Welcher Ort benutzt Ihr um Passwörter aufzubewahren?

[Chemiker]

Hallo,

ich denke einige von euch kennen das Problem.

In der Firma benutzt man mehrere Rechner die ein Passwort haben, zusätzlich benötigt man für Programme und Internet ständig Passwörter.

Zuhause ist die Situation ähnlich.

Meine Frage ist, wie Ihr mit dieser Flut an Passwörtern umgeht und wie soll man sie sicher archievieren und verwalten?

Bis bald Chemiker

[rollstuhlfahrer]

Zur Zeit (unter Kubuntu) verwende ich die integrierte Passwort-Verwaltung (kwallet), auf die so gut wie alle anderen Programme auch zugreifen.

Gesehen habe ich aber schon einiges. Was mir dabei am Besten gefallen hat, war eine passwortgesicherte Excel-Datei, wo die Spalte, in der die Passwörter stehen schwarz auf schwarz war.

Bernhard

[Christian Seehase]

Moin Bernhard,

dabei muss Dir aber klar sein, dass sich der Passwortschutz von Excel, meines Wissens, recht leicht aushebeln lässt. (zumindest bis 2003, ab 2007 weiss ich es nicht).

Immer wieder gern genommen ist KeePass

[mleyen]

Geteilte Passwörter.
Auf dem jeweiligem PC, wo ich das PW eingeben muss, liegt sozusagen die eine Hälfte des Passworts und die andere Hälfte liegt auf meinem USB-Stick im Portemonnaie.
Um an die 'Passworttabelle' ranzukommen muss ich ein globales PW eingeben. (Gedächtnis)
Das gleiche für wichtige einzelne PWs.

[hathor]

Ich will gerade das hier mal testen:
http://keepass.info/download.html

Mit C#-Sourcecode.

[Elvis]

Das beste Mittel hierbei ist zu verhindern sich überhaupt nochmal einloggen zu müssen:
Im Büro gibt es bei uns eigentlich fast nur noch Windows-Authentifizierung.
Ehrlich gesagt halte ich jeden Anbieter von Software für den Geschäftsgebrauch, der keine Kerberos5-basierte Authentifizierung anbietet im Zweifel für einen unfähigen Trottel.
Manchmal ist ein Produkt tatsächlich so gut, dass man so einen drakonisches Manko wie eine weitere Kombination von Username/Passwort zähneknirschend akzeptiert. Aber wehe es gibt einen Konkurrenten, der es richtig macht, selbst wenn er nicht so viele Features mitbringt.
Wir haben auch einige Legacy Apps, die leider unumgänglich sind, auf Oracle basieren und natürlich Username/Passwort voraussetzen :| . Die konnte ich aber OCI-Wrapper und Hooks dazu "überreden", die Verbindung per Kerberos-Token aufbauen. Die Angestellten sparen Nerven, und sicherer ist's auch noch. :-)

Privat bevorzuge ich Dienste, die OpenID unterstützen. Da ich bei Google 2-Phase Verification nutze, ist das dann auch noch viel sicherer als blöde Passwörter, da ich neben dem Passwort auch noch einen zeitlich begrenzt gültigen Code aus meinem Android brauche.
Ist der Cookie dann erstmal gesetzt, kann ich schön alle möglichen Dienste nutzen, ohne dass ich mir a) Bange um mein Passwort machen muss, und b) ständig mit Logins genervt werde.
Für alle Seiten, die leider immer noch der Meinung sind, sie seien ja so wichtig, dass ich mir extra für sie weiterhin Username/Passwort verwalten müsste, habe ich die Keychain in meinem Macbook.

Die IT-Welt ist leider noch komplett überlaufen mit Dogmatikern und Masochisten.
Dogmatiker, die nicht in der Lage sind sich Gedanken zu machen, ob man tatsächlich seinen Angestellten/Usern ständige Login-Dialoge aufzwingen sollte.
Und Masochisten, die, in ihrer Geilheit auf's Ausfüllen besagter Logins, sogar Cookies löschen, so dass auch wirklich immer schön das Passwort übertragen wird. Alles im Namen der Sicherheit: klaro. :thumb:
Und natürlich jede mögliche Kombination beider Störungen...

[mkinzler]

Passt irgendwie Statt Facebook und Yahoo: Mozillas BrowserID als Alternative zur OpenID

[Matze]

Meinen Kopf nutze ich dafür. ;)

Bei wenig wichtigen Passwörtern wie die für die DP, Facebook etc. lasse ich diese vom FF-Passwortmanager speichern (da habe ich nur ca. 3 verschiedene Passwörter). Aber wichtige Passwörter z.B. für Online-Banking oder PayPal habe ich nur im Kopf.
In der Firma brauche ich eigentlich nur mein Windows-Passwort und diverse Passwörter, um Fernwartungen bei Kunden zu machen. Die habe ich momentan alle im Kopf, aber die Fernwartungspasswörter liegen bei uns auch auf den Firmenservern, da die eigentlich für alle Mitarbeiter zugänglich sind.

Ein Passwortverwaltungs-Tool nutze ich somit (noch) nicht.

Grüße

[jaenicke]

Es kommt darauf an welche Passworter. Die für Amazon, Ebay, Paypal, Online-Banking, meine Mailaccounts und so etwas merke ich mir alle und speichere sie nirgends. Das sind so ca. 30, alle auch etwas länger.

Und dann benutze ich Roboform für Passwörter, die nicht ganz so wichtig sind. Das sind ca. 400, die ich darin gespeichert habe.
Dort ist dann auch gleich eine Toolbar zum automatischen Ausfüllen, Passwort generieren usw. dabei. Und ich kann die Passwörter auf dem USB-Stick, logischerweise in einem Datensafe noch einmal verschlüsselt, auch direkt mitnehmen.

[blackfin]

Ich habe meine gesamten Passwörter in einer Keepass-Datenbank, die auf einem Hardware-verschlüsstelten USB-Stick liegt (Kingston DataTraveler 5000).
Auf dem Stick sind Keepass 1, Keepass 2 und KeepassX für OSX / Linux, als Datenbank-Format nehme ich das Keepass-1-Schema, da man diese mit den genannten Programmen auf allen Systemen problemlos öffnen kann.

Die Datenbank wird von mir regelmäßig auch in ein TrueCrypt-Verzeichnis vom Stick auf eine Backupplatte gespeichert.

Damit bin ich bisher sehr gut gefahren.

[mkinzler]

Jetzt fehlt dir eigentlich nur noch eine Datenschutztressor, in dem du den den Stick bei Nichtbenutzung lagerst. :stupid:

[blackfin]

Höre ich da leicht heraus, ich wäre paranoid? :-D
Naja, vielleicht, allerdings lässt mich das ruhig schlafen: Sollte ich den Stick mal verlieren, müsste der Cracker erstmal durch zwei ziemlich sichere Verschlüssleungen durch (Hardware-Stick-Verschlüsselung (AES) und Keepass-Datenbank (glaube auch AES)).
Bis er das haben sollte, habe ich aber den Verlust schon lange gemerkt und die Passwörter geändert :-)

[mkinzler]

Daten kann man nicht sicher genug sichern.

[Teekeks]

Alle Passwörter (sind etwa nur 30-40) habe ich im Gedächtnis.

[Meflin]

Zitat:

Zitat von blackfin (Beitrag 1112072)

Sollte ich den Stick mal verlieren, müsste der Cracker erstmal durch zwei ziemlich sichere Verschlüssleungen durch (Hardware-Stick-Verschlüsselung (AES) und Keepass-Datenbank (glaube auch AES)).

Doppelte Verschlüsselung bringt keinen beweisbaren Sicherheitsmehrwert ;-)

Ich vertraue mittlerweile auch auf Keepass. Das einzige, was mir da noch fehlt, wäre irgendwie ein Browserinterface, was mir bei Angabe einer URL oder per temporärem Fileupload das ganze lokal entschlüsselt. Dann könnte man wirklich auch überall darauf zugreifen, ohne so nervige Sachen wie nen USB-Stick zu brauchen :stupid:

[Chemiker]

Hallo,

also mehr als 30 Passwörter zu behalten finde ich schon eine Leistung, dazu muss man ja auch noch den jeweiligen PC/Server und das entsprechende Programme zuordnen können.

Da ich Passwörter benutze die keinen Bezug zu irgendetwas haben und eine Gemisch aus Zahlen, Sonderzeichen und große und kleine Buchstaben sind kann man sie sich auch schwer merken.

Meine Passwörter speichere ich nicht elektronisch, sondern nur mit Papier und Bleistift. Meine Kinder und meine Frau wissen wo sie abgelegt sind.

Bis bald Chemiker

[jaenicke]

Zitat:

Zitat von Chemiker (Beitrag 1112095)

Da ich Passwörter benutze die keinen Bezug zu irgendetwas haben und eine Gemisch aus Zahlen, Sonderzeichen und große und kleine Buchstaben sind kann man sie sich auch schwer merken.

Ich benutze Bildgeschichten, Liedtexte, ...
Ein Beispiel:
Alle meine Entchen, schwimmen auf dem See, ...
--> AmE,sadS...

Das ist das Prinzip. Dazu kommen noch Sonderzeichen und Zahlen nach bestimmten Mustern. Auf diese Weise muss ich mir nicht viel mehr als das Lied oder die Geschichte zu einer Seite merken. Knacken kann man das aber dennoch sehr schwer, da die Buchstaben und Zeichen an sich nichts miteinander zu tun haben. Und selbst wenn man das Prinzip kennt, gibt es immer noch sehr sehr viele Lieder und die Bildgeschichten denke ich mir ja selbst aus. ;-)

[Luckie]

Jupp auch mein Prinzip. Ich nehme nur Buchtitel oder Liedtitel + Autor und an festen Stellen eine zugehörige Signatur (Name, Dienstleister, Service) der dazu gehört. Und noch am Anfang und am Ende je ein Sonderzeichen.

Die Lösung mit einem Passwortsave und USB-Stick halte ich für unpraktisch, da man den nicht immer dabei hat. Bei mir liegen sie in einer Datei verschlüsselten Datei in einem geschützten Bereich meiner Homepage. Es müssen also zwei Hürden überwunden werden.

[MrSpock]

Ich nutze auch Keepass und habe die Datenbank PGP verschlüsselt auf meinen Server geladen.

[jaenicke]

Zitat:

Zitat von Luckie (Beitrag 1112101)

Die Lösung mit einem Passwortsave und USB-Stick halte ich für unpraktisch, da man den nicht immer dabei hat.

Doch, ich habe eine Brieftasche, in der im Münzfach eine winzige Tasche ist, und darin liegt ein genauso winziger USB Stick, gerade so groß wie die beiden Stücke eines längs halbierten USB-Steckers. ;-)

Auf meinem Server liegen die Daten auch, aber da komme ich unterwegs schlechter heran. ;-)

[blackfin]

Zitat:

Das einzige, was mir da noch fehlt, wäre irgendwie ein Browserinterface, was mir bei Angabe einer URL oder per temporärem Fileupload das ganze lokal entschlüsselt. Dann könnte man wirklich auch überall darauf zugreifen, ohne so nervige Sachen wie nen USB-Stick zu brauchen

Das gibts: Web KeePass :-)

[alcaeus]

Ich verwende mittlerweile 1Password um die Passwoerter zu speichern.

Ein kleiner Hinweis an diejenigen, die sich 30-40 Passwoerter merken: angenommen ihr seid mal nicht Genies mit fotografischen Gedaechtnissen sind die Passwoerter zu unsicher. Selbst die Satz-Technik verwendet nur Buchstaben und Ziffern - gibt euch wenn ihr Glueck habt ein Alphabet von 62 Zeichen. Angenommen ihr habt einen normalen Satz wird euer Passwort zwischen 8 und 12 Zeichen lang sein. Das ist mit aktueller Hardware extrem schnell in nem Dictionary gefunden - v.a. da viele Plattformen noch ungesaltete MD5-Hashes nutzen. Solche Passwoerter halten nicht lange stand. Als kleiner Merkspruch: solang man sich ein Passwort noch merken kann, ist es ziemlich wahrscheinlich dass ein Rechner es in relativ kurzer Zeit knackt.

Meine Empfehlung: sicheren Passwort-Manager waehlen, Sicherheitskonzept fuer Storage-Medium auf dem die PWs drauf sind, und dann Random-Passwoerter mit > 20 Zeichen und nem Alphabet mit Sonderzeichen. Da beisst sich dann definitiv jemand die Zaehne aus.

Greetz
alcaeus

[Meflin]

Zitat:

Zitat von blackfin (Beitrag 1112119)

Das gibts: Web KeePass :-)

:thumb: Muss ich mir mal genauer ansehen...

[jaenicke]

Zitat:

Zitat von alcaeus (Beitrag 1112133)

Angenommen ihr habt einen normalen Satz wird euer Passwort zwischen 8 und 12 Zeichen lang sein.

Bei mir sind es in der Regel 20 bis 24 Zeichen, und Sonderzeichen kommen ja auch vor wie gesagt. Die hängen von bestimmten Dingen ab, auf die ich nicht näher eingehen möchte. Aber jedenfalls sieht ein typisches Passwort bei mir so aus, mal am Beispiel eines nicht mehr benutzten:
45!QB@zP#%gGJg9EEk2V
Ich bezweifle, dass sich das so schnell knacken lässt.

[WM_CLOSE]

Eigentlich ist in den meisten Fällen die Methode von Chemiker die sinnvollste.
Das ist die einzige Methode, wo kein bösartiger Hacker meine Daten stehlen könnte nur weil einer ne Sicherheitslücke in meinem Passwort-Manager gefunden hat.
Da müsste er schon bei mir einbrechen.
Nebenbei könnte man das Passwort auch mit nem einfachen Algo verschlüsseln, dann nutzt einem der Zettel mit den Passwörtern auch nichts.

Außerdem hat es insbesondere im Firmenumfeld große Vorteile:
Angenommen Ich habe meine Passwörter alle in einem sicheren Datensafe gelagert, nur ich kenne das Master-Passwort.
Nun stolpere ich auf der Treppe...
Kein Mensch kennt mehr das Passwort -> Kein Datenzugriff.

Das passiert mit der Papier-Bleistft - Methode nicht.

[Luckie]

Zitat:

Zitat von Chemiker (Beitrag 1112095)

Meine Passwörter speichere ich nicht elektronisch, sondern nur mit Papier und Bleistift. Meine Kinder und meine Frau wissen wo sie abgelegt sind.

Und wenn du die Passwörter mal nicht zu Hause benötigst? Dann musst du den Zettel immer mitnehmen und kannst ihn verlieren.

Die Passwörter die ich online auf meinem Webspace abgelegt habe, sind alles Passwörter für Internetdienste. Passwörter für den eigenen Rechner habe ich auch nur zu Hause, denn was will ich mit dem Administratorpasswort für meinem Rechner an der Arbeit?

[Meflin]

Zitat:

Zitat von WM_CLOSE (Beitrag 1112251)

Eigentlich ist in den meisten Fällen die Methode von Chemiker die sinnvollste.

Da wage ich dir zu widersprechen. Schon allein weil man das Passwort zwangsläufig jedes mal manuell abtippen muss und es jedem Menschen zu dumm ist, ständig Passwörter wie Y9TQeFp/%"ec&%^bf`@t0ulTwQ einzugeben, wird man da früher oder später zwangsläufig diesbezüglich Sicherheit aufgeben...

[blackfin]

Zitat:

Außerdem hat es insbesondere im Firmenumfeld große Vorteile:
Angenommen Ich habe meine Passwörter alle in einem sicheren Datensafe gelagert, nur ich kenne das Master-Passwort.
Nun stolpere ich auf der Treppe...
Kein Mensch kennt mehr das Passwort -> Kein Datenzugriff.

Im Firmenumfeld hinterlegt man das Master-Passwort dann beim Notar (bzw. dieser dann in einem Banksafe etc.), so dass im Extremfall (Todesfall, Gedächtnisverlust...) jemand der Firma Zugriff drauf erhält.

[Jumpy]

Ich nutze als Basis immer das selbe (oder Teile des selben) Passwort(s) für alles mögliche.
Das Passwort ist ein sinnloser Mix aus Buchstabe, Zahlen, Sonderzeichen, aber da es nur eins ist kann ich es mir merken.
Das Basispasswort wird je nach Bedarf (blockweise) permutiert/invertiert/abrasiert(wenns mal zu lang ist:-D) und ich muss mir nur die Veränderung merken (bzw. oft geht sie aus dem hervor, für das ich das PW verwende).

Sollte man natürlich mal eines meiner Passörter knacken, hätte man eine Liste aller Zeichen, die ich so verwende und könnte diese auf alle anderen PW anwenden (würde BruteForce-Attacken beschleunigen).
Aber dazu müsste man erst mal wissen, das ich immer permutierte Abwandlungen benutz und ihr sagt ja wohl hoffentlich nix, gell:gruebel:

[Elmariachi]

Ich habe ein Plugin für Firefox (PwdHash), was aus wenigen Passwörten und der URL jeweils einen Hashwert generiert. So übermittel ich jeder Webseite ein anderes Passwort. Die Eingabe geht dann in einem Passwortfeld über @@Passwort (Hoffe, das wird so nun nicht gehasht)

Für unterwegs gibt's dann noch Apps/Widgets für Smartphones, die den Hash ausrechnen können.

[Perlsau]

Mir war schon damals, als die Diskussion entstand, nicht so recht klar, weshalb ich den Ort, an dem ich meine Paßwörter aufbewahre, in aller Öffentlichkeit beschreiben sollte ...

[blackfin]

Bei mir ist KeePass auf einem verschlüsselten USB-Stick zuwerke (DataTraveler 5000).
(natürlich mit entsprechenden Backups auf anderen externen Medien, die ich nicht mit mir rumschleppe)

Eigentlich wüsste ich wirklich keine Situation, in der das nicht ausreichen würde, zudem auf dem USB-Stick Keepass für alle für mich relevanten Betriebssysteme installiert ist und die Datenbank eh kompatibel ist.

Seitdem ich KeePass nutze, habe ich kein einziges unsicheres Passwort mehr und alle sind unterschiedlich.
Keine Ahnung, falls ich hier einem Irrglauben bzgl. Sicherheit aufliege, lasst es mich wissen!

[Luckie]

Wo ich es aufbewahre? Im Kopf.

[Luckie]

Nein. Aber ich kann sie mir trotzdem merken. ;)

[Furtbichler]

Zitat:

Zitat von Smut (Beitrag 1238876)

Ich werde ... folgendes Tool probieren...

Und auf der Website steht dann

Zitat:

Zitat von F-Secure seine Website

Finding it hard to remember millions of passwords?

:roll: Mich dünkt, die Werbung für dieses Tool verwendet eine Hyperbel, oder auf gut Deutsch: Dummbeutelverarsche.

[Der schöne Günther]

Sorry but your password must at least contain an uppercase letter, a number, a haiku, a gang sign and an ancient hieroglyph. Und danach bitte noch dieses fantasievolle Captcha lösen.

Diese ganzen unsinnigen, konstruierten Mindestanforderungen haben die meisten Menschen überhaupt erst dazu gebracht, Passwörter nicht mehr ernst zu nehmen und/oder sich mit einem Zettel an den Monitor zu kleben.
Dieser xkcd-Comic bringt es wieder bestens auf den Punkt: http://xkcd.com/936/


Aber das ist keine Antwort auf die ursprüngliche Frage. Meine Antwort ist schlicht: Merken.

[himitsu]

Ich fand vor vielen Jahren Web.de mal geil.

Mom meldet sich bei mir "ich kann keine Mails mehr lesen" (via brennendem Geflügel)



Die fanden raus, daß viele Passwörter unsicher waren und haben die Regeln für den Mailzugang geändert/erweitert.

Allen mit "unsicheren" wurden die Passwörter gelöscht und die mußte dann neue Passwörter anlegen.

Ja, wenn man sich via Web-Mail einloggen wollte, da kam eine Meldung und man schickte auch allen eine Mail, wo nochmal gewarnt wurde, aber ohne Zugang kann man diese Mail sehr gut lesen. :wall:

Ja, ich hatte auch mal ein System für meine Passwörter, aber dank bestimmter und überall unterschiedlicher Regeln, die nicht immer mit meinem System kompatibel sind, gab ich es dann doch wieder auf.
Und ich kenn sogar Webzugänge, wo man nichtmal ein eigenes Passwort vergeben kann, sonder das Vorgegebene zwangsweise verwenden muß.




Ach ja, der WLAN-Router bei meiner Mom hat ein nettes automatisch generiertes Passwort.
Ein langes aussprechbares Wort und dann ein paar Zahlen und einprägsammere Sonderzeichen (!, _ und Degleichen) zwischen die Buchstaben gemischt.

Sowas ist doch nicht all zu unsicher?

[BUG]

Zitat:

Zitat von himitsu (Beitrag 1238961)

Sowas ist doch nicht all zu unsicher?

Im Grunde ist alles sicherer als von Menschen ausgedachte Passwörter. Dank der letzten Leaks sind die Passwortlisten und Heuristiken ziemlich vollständig.
Zufällige Passworte lassen sich aber schlecht merken, und ab 10 verschiedenen Benutzeraccounts, die man auch mal ne Woche lang nicht benutzt, braucht man irgend eine Art der Passwortverwaltung.

Ich benutzte ein Hashverfahren und das Base64-Alphabet, um Passwörter aus dem Benutzer- und Dienstnahmen, einer laufenden Nummer (pro Dienst) und einem geheimen Passwort abzuleiten. Das Schöne daran ist, das man das theoretisch bis auf den Hash alles auf Papier machen kann und ich damit nicht von einem bestimmten Programm oder Anbieter abhängig bin.


Apropos Passwort: haveibeenpwned.com von Troy Hunt ist online. Er hat auch einen lesenswerten Blogeintrag zum technischen Teil (Azure Table Storage) geschrieben.

[jaenicke]

Ich mische meine Passwörter nach einem bestimmten Muster. Die entsprechenden Zuordnungen schreibe ich einfach auf und sind nach Masterpassworteingabe auch von einem meiner Webspaces abrufbar, weil niemand ohne das Muster etwas damit anfangen kann, selbst wenn jemand errät, dass das Passwortlisten sind und an meinem Passwort vorbeikommt.

Außerdem lässt sich das leicht merken, ich muss nur immer einen Moment überlegen um das konkrete Passwort zusammenzusetzen.

[Perlsau]

Lädt das nicht zu einem Brute-Force-Hacking ein?