Passwörter und Passkeys: Konten absichern
Dasselbe Passwort auf mehreren Websites zu verwenden, bleibt eine der häufigsten Ursachen für gehackte Konten. Drei Werkzeuge lösen den Großteil des Problems: ein Passwort-Manager, die Zwei-Faktor-Authentifizierung und Passkeys.
Redaktionsteam von Kayzen Security4 Min. Lesezeit
Was ein gutes Passwort ausmacht
Länge zählt mehr als scheinbare Komplexität. Eine Passphrase aus mehreren unzusammenhängenden Wörtern ist zugleich lang und gut zu merken. Die CNIL veröffentlicht eine ausführliche Empfehlung zu Passwörtern (Beschluss Nr. 2022-100 vom 21. Juli 2022), abgestuft danach, ob sie allein oder mit einem zweiten Faktor genutzt werden.
- Einzigartig für jedes Konto.
- Lang: eine Passphrase oder eine zufällig erzeugte Zeichenfolge.
- Nie aus persönlichen Angaben abgeleitet (Vornamen, Daten, Name des Haustiers).
- Bei einem bekannten Datenleck oder im Zweifel sofort geändert.
Der Passwort-Manager
Ein Passwort-Manager speichert Ihre Zugangsdaten in einem verschlüsselten Tresor, geschützt durch ein einziges Master-Passwort. Er erzeugt zufällige Passwörter, füllt sie automatisch aus und schlägt sie nur auf der richtigen Website vor, was auch das Phishing-Risiko senkt.
Wählen Sie ein anerkanntes Werkzeug, schützen Sie das Master-Passwort sorgfältig und aktivieren Sie die Zwei-Faktor-Authentifizierung für den Tresor selbst. Im Unternehmen ermöglicht ein Team-Passwort-Manager, Zugänge zu teilen, ohne sie per E-Mail zu versenden.
Die Zwei-Faktor-Authentifizierung
- Authenticator-App oder physischer Sicherheitsschlüssel: die sichersten Optionen.
- Code per SMS: besser als nichts, aber anfälliger (Übernahme der Rufnummer, Echtzeit-Phishing).
- Geben Sie einen erhaltenen Code niemals an jemanden weiter, der danach fragt, selbst wenn er sich als Ihre Bank oder technischer Support ausgibt.
- Bewahren Sie die Wiederherstellungscodes an einem sicheren Ort auf, nicht auf dem Hauptgerät.
Passkeys: der logische nächste Schritt
Ein Passkey beruht auf den Standards der FIDO Alliance und des W3C. Ihr Gerät erzeugt für jede Website ein eigenes Schlüsselpaar: Der private Schlüssel wird nie an die Website übertragen und bleibt auf Ihrem Gerät oder in Ihrem Passwort-Manager, der ihn verschlüsselt synchronisiert; Sie entsperren ihn mit Fingerabdruck, Gesicht oder PIN.
Da der Schlüssel an den echten Domainnamen gebunden ist, kann eine gefälschte Website ihn nicht verwenden: ein starker Schutz gegen Phishing. Aktivieren Sie Passkeys, wenn ein Dienst sie anbietet, und behalten Sie eine Wiederherstellungsmöglichkeit.
Im Unternehmen
- Die Zwei-Faktor-Authentifizierung für E-Mail, Fernzugriffe und Administrationswerkzeuge vorschreiben.
- Einen Team-Passwort-Manager statt geteilter Tabellen bereitstellen.
- Die Konten ausscheidender Personen zügig deaktivieren.
- Auf jedem Rechner unterschiedliche lokale Administratorpasswörter verwenden.
Offizielle Quellen
- CNIL (neuer Tab) — Mots de passe : une nouvelle recommandation pour maîtriser sa sécurité
- FIDO Alliance (neuer Tab) — Passkeys (clés d'accès)
- Cybermalveillance.gouv.fr (neuer Tab) — Assistance et prévention en sécurité numérique (fiches réflexes, prestataires ExpertCyber)
Die genannten Quellen werden von ihren Urhebern in ihrer Originalsprache veröffentlicht. Kayzen ist mit keiner dieser Stellen verbunden.
Dieser Leitfaden dient der allgemeinen Information. Er ersetzt weder eine Rechtsberatung noch das Eingreifen einer Fachkraft für IT-Sicherheit.