Jedes Jahr lesen wir das Gleiche: Die häufigste Ursache für kompromittierte Konten ist nach wie vor die Wiederverwendung von Passwörtern. Kein raffinierter Angriff, kein Zero-Day-Angriff auf Ihre Infrastruktur – dasselbe Passwort, das Sie 2018 in dem Online-Shop verwendet haben, dessen Datenbank geleakt wurde.
Und ja, Sie wissen es. Die Realität ist jedoch, dass es unmöglich ist, sich 80 einzigartige und sichere Passwörter zu merken. Aus diesem Grund war ein Passwort-Manager nicht mehr nur etwas für Paranoide, sondern wurde zu einer grundlegenden Hygienemaßnahme, wie Antivirenprogramme in den 2000er Jahren.
1. Das eigentliche Problem: Wiederverwendung + massive Lecks
Jeden Monat gibt es neue Lecks von Datenbanken mit Millionen von E-Mail- und Passwortkombinationen. Diese Dumps landen in Listen, die Angreifer auf anderen Diensten testen. Bei Wiederverwendung reicht EIN Leak aus, um den Zugriff auf alles zu verlieren: E-Mail, Netflix, Banking usw.
Seiten wie Have I Been Pwned bestätigen, dass die durchschnittliche E-Mail in drei oder vier Leaks vorkommt. Die Frage ist nicht, ob es Sie berühren wird; Die Frage ist, ob Sie an dem Tag, an dem es soweit ist, über eindeutige Passwörter verfügen werden.
2. Warum ein verschlüsseltes Excel, eine Notiz oder der Browser nicht ausreichen
„Ich habe es in einer Tabelle mit Passwort.“ Okay, aber:
- Die native Excel-/Sheets-Verschlüsselung ist schwach. Es gibt Tools, die sie innerhalb von Minuten knacken, wenn Ihr Master-Passwort nicht sehr sicher ist.
- Sie haben kein automatisches Ausfüllen. Am Ende müssen Sie kopieren und einfügen, wodurch das Passwort manchmal in der Zwischenablage verbleibt, wo eine andere App es lesen kann.
- Sie haben keine Überwachung. Wie viele Ihrer Passwörter sind schwach? Wie viele werden wiederholt? Wie viele sind durchgesickert? Ein moderner Manager sagt es Ihnen.
- Der Browser-Manager ist besser als nichts, aber er geht davon aus, dass Sie nur über diesen Browser zugreifen und dass Ihre Sitzung sicher ist. Wenn Ihr PC kompromittiert ist, ist der Browser eine der ersten Anlaufstellen für Malware.
3. Was ein guter Passwort-Manager haben sollte
Nicht alle Manager sind gleich. Die Mindestanforderung, die Sie benötigen sollten, ist:
- End-to-End-Verschlüsselung. Der Server des Anbieters sollte NIEMALS in der Lage sein, Ihre Passwörter zu lesen – nur Sie mit Ihrem Master-Passwort.
- Moderne Algorithmen. AES-256-GCM oder ChaCha20-Poly1305 für Daten, Argon2id, um den Schlüssel vom Master-Passwort abzuleiten (nicht PBKDF2 alt).
- Robuster Passwortgenerator. Anpassbar (Länge, Symbole, aussprechbare Phrasen...).
- Gesundheitsaudit: wiederholt, schwach, in Leaks aufgedeckt (über Teil-Hashes – der Dienst sieht nie Ihr echtes Passwort).
- 2FA / TOTP integriert oder, besser, extern. Einige Manager legen die TOTP-Codes im selben Tresor ab, andere trennen sie (mehr sicher).
- Sicheres Teilen. Für Teams können Anmeldeinformationen geteilt werden, ohne sie in Slack oder per E-Mail zu senden.
4. Medel Vault: Unser Vorschlag
Medel Vault ist unsere Passwortverwaltungs-App, die auf zwei klaren Prämissen basiert: End-to-End-Verschlüsselung und kein Vertrauen in den Server. Was das in der Praxis bedeutet:
- Ihr Master-Passwort verlässt niemals Ihr Gerät. Daraus leiten wir (mit Argon2id) den Schlüssel ab, der Ihren Tresor lokal verschlüsselt.
- Was auf unsere Server hochgeladen wird, ist ein verschlüsselter Blob. Selbst wenn jemand unsere Datenbank kompromittieren würde, müsste der Angreifer AES-256 knacken – seien Sie ruhig.
- Generator, Gesundheitsaudit, TOTP, Teamfreigabe und automatische Vervollständigung im Browser.
- Native mobile App mit biometrischer Entsperrung, Synchronisierung mit Ihrem Konto in Sekundenschnelle.
5. Die Migration ist einfach
Wenn Sie von einem anderen Manager kommen (LastPass, 1Password, KeePass, Bitwarden, der Browser...), importiert Medel Vault die Standard-CSVs. In weniger als 5 Minuten haben Sie Ihren gesamten Tresor migriert, organisiert nach Ordnern/Tags.
6. Der häufigste Einwand: „Was passiert, wenn ich mein Master-Passwort verliere?“
Das ist eine berechtigte Frage. Die ehrliche Antwort: Niemand kann es für Sie wiederherstellen, nicht einmal wir (wenn wir könnten, würde eine Ende-zu-Ende-Verschlüsselung nichts bedeuten). Was Medel Vault tut, ist:
- Erzwingen Sie bei der Registrierung ein Wiederherstellungskit – einen 24-stelligen Schlüssel, den Sie auf Papier/Box aufbewahren.
- Ermöglichen Sie Notfallkontakte mit verzögertem Zugriff (Ihr Ehepartner hat 48 Stunden nach der Zugriffsanfrage Zugriff, sodass Sie Zeit haben, den Zugriff zu kündigen, wenn Sie es nicht waren).
Sperrung
Passwörter Arbeiten Sie nicht daran, in den nächsten 10 Jahren zu verschwinden, egal wie viel über Passkeys geredet wird. Mittlerweile lautet die Frage nicht mehr: „Brauche ich einen Manager?“, sondern vielmehr: „Welcher ist am wenigsten schlecht?“ Wenn Sie einen möchten, der Sie nicht dazu auffordert, seinem Server zu vertrauen, werfen Sie einen Blick auf Medel Vault oder schreiben Sie uns, wenn Sie technische Fragen haben – wir antworten innerhalb weniger Stunden.
