Passwort-Manager: Tipps für die Datenschutzschulung

Aus gutem Grund sind die Passwort-Sicherheit und Passwort-Manager echte Klassiker in der Datenschutzschulung. Auch die Aufsichtsbehörden für den Datenschutz geben regelmäßig Hinweise dazu, wie Nutzer und Nutzerinnen richtig mit Passwörtern umgehen. Zu den Sicherheits-Empfehlungen gehört häufig, einen Passwort-Manager oder einen Passwort-Safe zu verwenden.

Das empfiehlt unter anderem der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg. Entsprechende Programme wie KeePass gebe es als Freie und Open-Source-Software kostenlos. Einige Betriebssysteme würden sie auch bereits mitliefern (etwa MacOS mit dem Schlüsselbund). Viele Webbrowser würden zwar die Speicherung von Passwörtern unterstützen. Doch sollten die Nutzerinnen und Nutzer diese mit einem Master-Passwort absichern.

Diese Anforderungen muss ein Passwort-Manager erfüllen

Bevor Sie als Datenschutzbeauftragte oder Datenschutzbeauftragter den Passwort-Manager zum Thema in Ihrer Schulung machen, müssen Sie wissen, was einen guten Passwort-Safe ausmacht. Dazu gehören folgende Punkte:

• Der Passwort-Manager verschlüsselt nach dem Stand der Technik.
• Er belässt keine Passwörter ungeschützt im Zwischenspeicher.
• Der Manager ist gegen Brute-Force-Attacken geschützt.
• Er unterstützt die Anwender bei der Passwort-Wahl.
• Auch importierte Passwörter werden hinsichtlich ihrer Stärke überprüft.
• Die Passwörter lassen sich bei Bedarf nach Anwendungen sortieren.
• Der Passwort-Manager ist geschützt gegen Keylogger, also das Mitschreiben der Passworteingabe.
• Das Tool sichert die Passwörter, falls ein Nutzer sie vergisst.
• Es unterstützt eine Zwei-Faktor-Authentifizierung.

Nutzen Sie als Datenschutzbeauftragte oder als Datenschutzbeauftragter diese Kriterien, um einen sicheren Passwort-Manager zu finden, bzw. beraten Sie den Verantwortlichen anhand dieser Kriterien.

Denn viele Passwort-Manager erfüllen nur Teile der Anforderungen. Beispielsweise lassen sich einige Tools zwar selbst mit einem starken Passwort schützen, nicht aber über einen weiteren Sicherheitsfaktor.

Beispiel für einen Passwort-Manager: Firefox Lockwise

Zeigen Sie als Datenschutzbeauftragter oder Datenschutzbeauftragte in Ihrer Schulung, wie ein Passwort-Manager praktisch funktioniert. Dazu eignet sich beispielsweise Firefox Lockwise.

Lockwise ist die Passwort-Verwaltung von Firefox. Sie speichert Benutzernamen und Passwörter, die Nutzer beim Zugriff auf Websites verwenden, und fügt sie beim nächsten Besuch der Website automatisch ein.

Führen Sie exemplarisch mit Demo-Zugangsdaten vor, wie Lockwise arbeitet. Präsentieren Sie dies per Beamer oder über eine Online-Meeting-Lösung:

• Weisen Sie zunächst darauf hin: Obwohl Firefox mit der Passwortverwaltung Benutzernamen und Passwörter in einem verschlüsselten Format auf der Festplatte speichert, kann jeder diese Zugangsdaten lesen und verwenden, der Zugriff auf das Benutzerprofil des Computers hat. Deshalb müssen die Nutzerinnen und Nutzer gespeicherte Passwörter immer mit einem Hauptpasswort schützen.
• Die Firefox-Einstellungen des Abschnitts „Datenschutz & Sicherheit“ öffnen sich über den Bereich „Zugangsdaten und Passwörter“. Dort setzt man ein Häkchen neben „Hauptpasswort verwenden“, um den Dialog „Hauptpasswort ändern“ zu öffnen. Hier lässt sich das Hauptpasswort eingeben. Während der Eingabe zeigt die Passwort-Qualitätsmessung an, wie schwierig es ist, das definierte Passwort zu erraten.
• Ist ein Hauptpasswort definiert und festgelegt, fragt Firefox einmal pro Browsersitzung danach, sobald Firefox auf die Zugangsdaten, die durch das Hauptpasswort geschützt sind, zugreifen muss.

• Trägt ein Anwender oder eine Anwenderin auf einer Website das erste Mal Benutzernamen und Passwort ein, fragt Firefox, ob man diese Daten speichern möchte. Um Firefox anzuweisen, Benutzernamen und das Passwort zu speichern, klickt man auf die Schaltfläche „Speichern“. Beim nächsten Besuch der Website trägt Firefox automatisch den Benutzernamen und das Passwort in die entsprechenden Felder ein.
• Zugangsdaten für Websites lassen sich auch manuell hinzufügen. Dazu die Option „Zugangsdaten und Passwörter“ auswählen, um Firefox Lockwise zu öffnen. Danach öffnet sich die Seite about:logins von Firefox Lockwise in einem neuen Tab. Auf die Schaltfläche „Neue Zugangsdaten hinzufügen“ klicken. Danach manuell die Adresse der Website, den Benutzernamen und das Passwort eingeben.
• Um die gespeicherten Passwörter für eine Website anzuzeigen, in das Feld mit dem Benutzernamen für diese Website klicken, danach auf „Gespeicherte Zugangsdaten anzeigen“. Hier lassen sich gespeicherte Zugangsdaten anzeigen, kopieren, bearbeiten oder entfernen.
• Möchte ein Nutzer in Firefox Lockwise gespeicherte Zugangsdaten (Benutzernamen und Passwörter) sichern oder an eine andere Anwendung weitergeben, lassen sich diese in Form einer .csv-Datei (mit durch Kommata getrennten Werten) exportieren. Zugangsdaten lassen sich auch aus einer .csv-Datei (mit durch Kommata getrennten Werten) importieren.