Passwortverwaltung – Variante Dahlmann

Jaja, Heartblöd. Also Passwörter ändern. Das sollte man ja eh öfter machen und jedes Passwort sollte anders sein, weil die Kombination Mail + PW schnell mal geknackt wird. Und wenn man ehrlich ist, das nutzt man ja doch ein PW und eine Mailadresse für all die Seiten, bei denen man denkt: „Ach, nicht so wichtig.“ Oder man nimmt halt gerade das Übliche PW für eine Seite und denkt: „Das ändere ich dann mal später.“ Und im Grunde schleppt man so fünf bis acht Varianten des PWs mit sich rum. Wie unsicher das ist, habe ich selber mal erfahren, als mein Twitter Password, das jetzt auch nicht so einfach war, gehackt wurde.

Was bisher geschah
Ganz, ganz früher hatte ich nur ein Passwort. Das war toll, aber ich kannte noch keine Wordlists. Als Ende der 90er mir mal jemand zeigte, was man mit einer Wordlist und einem BruteForce-Programm anstellen kann, habe ich dann ein paar mehr genommen. Bisher hatte ich 12 oder 15 verschiedene PWs, von denen es wiederum weitere Varianten gab (Mit Unterstrich, Prozentzeichen usw). Für deren Verwaltung nutze ich seit einiger Zeit Lastpass, das mich auch regelmäßig anmeckert, wenn es entdeckt, dass ich auf verschiedenen Seiten das gleiche PW nutze. („Geh weg, das ändere ich später“).

Ab sofort
Ich habe nun einen Teil der PWs durch solche ersetzt, die Lastpass generiert hat. 12 Zeichen. Vermutlich auch zu kurz, aber schön mit Sonderzeichen und dem ganzen Quatsch. Ich werde das auch konsequent für alle Seiten machen, auf denen LastPass mich anmeckert. Das Problem an der Sache: Ich werde mir die Passwörter, die alle ungefähr so aussehen „U8%dl2s0!_ri“, nicht merken können. Niemals. Vielleicht zwei oder drei, aber beim Rest werde ich komplett von LastPass abhängig sein.

Was im Grunde nicht problematisch ist, auf den Rechnern erledigt LassPass sowieso alles automatisch für mich. Nerviger wird es da schon den mobilen Endgeräten. Die PWs werden meist innerhalb der Apps gespeichert, dagegen kann man sich in den meisten Fällen nicht mal wehren. Ergo kann man da nur hoffen, dass die PWs nicht unverschlüsselt übermittelt werden. Ein anderes Problem sind Webseiten, die man nur selten ansurft. Man kann die PWs im Browser speichern, aber dann kann man sie vermutlich auch gleich per Beamer an eine Wand werfen. Da ich meine nun teilweise nicht mehr weiß, muss ich die PWs aus der LastPass App holen, kopieren und im Browser einfügen. Das ist unbequem, aber vertretbar. Manche Seiten lassen sich auch mit dem internen Browser von LastPass ansurfen.

Was tun im Urlaub?
Zu einem richtigen Problem wird die Sache erst, wenn man an einem fremden Rechner, Smartphone usw. sitzt, zum Beispiel im Urlaub in einem Hotel. Dann müsste ich etwas machen, was extrem unsicher und nervig ist. Das Masterpasswort für LastPass (was ich mir hoffentlich gemerkt habe) auf einem fremden Rechner eingeben. Logischerweise muss ich das Masterpasswort sofort wieder ändern (das aus einem unsinnigen Satz besteht), sonst macht das keinen Sinn. Eine andere Variante ist, eine Liste mit wichtigen PWs an einer sicheren Stelle zu hinterlegen. (Was man eh machen sollte, man weiß ja nie, ob der Passwortmanager nicht mal unerreichbar ist). In diesem Fall liegt meine Liste an zwei Orten, gezippt und mit einem PW versehen.

Natürlich muss diese Liste auch dann wieder aktualisiert werden, wenn die PWs sich ändern, was man regelmäßig machen sollte. Weil das alles sehr unpraktisch ist, habe ich meine PWs in verschiedene Kategorien unterteilt:

1. Wirklich total wichtig
– Facebook, Google, Twitter, Amazon usw.
2. Wichtig
– Seiten, die ich regelmäßig besuche, aber die nicht unwichtig sind wie Flickr,
3. Unwichtiger
– Seiten, die ich selten besuche, die keine wichtige Funktion haben.

PWs der Seiten der Kategorie Eins werden jetzt alle drei bis sechs Monate geändert, der zweiten Kategorie jährlich, der dritten dann wie es gerade passt.

Das wäre alles in der Handhabung deutlich einfacher, wenn man ein System hätte, dass die PWs automatisch alle drei bis sechs Monate ändern würde und dabei eine Liste als Text-File zur Verfügung stellt. Diese Liste könnte man dann einfach halt wieder auf seine geheimen Geheimplätze werfen.

Das ist alles zu kompliziert? Das eigene Leben wird schon nicht einem Hacker anheimfallen? Dachte ich auch, bis mein Twitteraccount geknackt wurde. Und es war unschön, wieder an meinen Account zu kommen.

Warum ich keine Zwei-Wege-Authentifizierung nutze
Man könnte zusätzlich auch noch bei einigen Accounts die Zwei-Wege-Authentifizierung aktivieren, also dass man bei fast jedem Login einen weiteren Code aufs Handy gesendet bekommt. Ich mache das nicht. Das Problem ist bei dieser Art der Authentifizierung entsteht bei einem Verlust des Smartphones. Vertragskunden bekommen ihre alte Nummer wieder, Prepaid-Kunden, und das ist die Mehrheit in Deutschland, schauen meist in die Röhre und bekommen eine neue Nummer. Zwar gibt es ausdruckbare Backup Codes (Google z.B.) aber die hat man vermutlich gerade nicht dabei, wenn das Smartphone weg ist. Im Urlaub zum Beispiel. Theoretisch kann man die Backup-Codes natürlich mitnehmen, aber viel Spaß, wenn die Tasche mit Handy UND Backups-Codes gestohlen wird. Ich verzichte daher auf die Zwei-Wege-Authentifizierung und verlasse mich auf starke Passwörter.