# Passwortmanager

**Was ist ein Passwortmanager?**

Ein Passwortmanager ist ein Programm, das die Zugangsdaten eines Betriebs verschlüsselt in einem digitalen Tresor speichert und beim Anmelden einträgt. Sie merken sich ein einziges starkes Hauptpasswort, der Manager erzeugt für jeden Dienst ein eigenes langes Passwort und bewahrt es auf.

Der Grund für einen Passwortmanager liegt in einer schlichten menschlichen Grenze: Viele unterschiedliche starke Passwörter lassen sich nicht merken. Also wird dasselbe Passwort mehrfach verwendet, oft mit einer kleinen Abwandlung am Ende. Wird ein Anbieter angegriffen und werden dort Zugangsdaten erbeutet, probieren Angreifer dieselbe Kombination automatisiert bei anderen Diensten aus. Dieses Vorgehen heißt Credential Stuffing, also das automatisierte Durchprobieren erbeuteter Zugangsdaten bei fremden Diensten. Ein eigenes zufälliges Passwort je Dienst begrenzt den Schaden auf genau diesen einen Dienst.

Im Betrieb geht es um mehr als das eigene Windows-Kennwort. Es gibt Zugänge, die mehrere Personen brauchen: das Firmenpostfach, das Onlinebanking, das Portal der Steuerberatung, die Verwaltung der Internet-Domain, den Zugang zum Router, die Konten in sozialen Netzwerken. Solche Zugangsdaten landen leicht in einer Tabelle, in einer Notiz am Bildschirm oder auf einem Zettel in der Schublade. Ein Passwortmanager mit Team-Funktion legt sie in gemeinsame Ordner, gibt sie gezielt für einzelne Rollen frei und macht nachvollziehbar, wer worauf Zugriff hat. Verlässt jemand den Betrieb, entziehen Sie den Zugriff und wechseln die geteilten Passwörter, ohne raten zu müssen, welche das waren.

Ein naheliegender Einwand lautet, dass damit alle Passwörter an einem Ort liegen. Der Tresor ist verschlüsselt und ausschließlich mit dem Hauptpasswort lesbar. Drei Dinge sind dafür wichtig. Das Hauptpasswort ist lang, am besten ein Satz aus mehreren Wörtern, den nur Sie kennen. Der Zugang zum Manager wird zusätzlich mit Zwei-Faktor-Authentifizierung geschützt, also mit einem zweiten Nachweis neben dem Passwort, etwa einer Bestätigung am Mobiltelefon. Und es gibt einen Notfallzugang, etwa ein versiegeltes Kuvert im Safe, damit der Betrieb weiterarbeiten kann, wenn die verantwortliche Person längere Zeit ausfällt.

Der erste sinnvolle Schritt ist eine Liste der Zugänge, sortiert nach dem Schaden bei Missbrauch: Onlinebanking, Firmen-Mail, Domain-Verwaltung, Fernwartung, Buchhaltung, Kundendatenbank. Diese kommen zuerst in den Passwortmanager, jeweils mit einem neu erzeugten langen Passwort und, wo der Anbieter es anbietet, mit einem zweiten Faktor. Alles Übrige folgt nach und nach im Arbeitsalltag, wann immer ein Passwort ohnehin einmal eingegeben wird.

Wie Zugangsdaten im Betrieb verwaltet werden, ob Konten ausgeschiedener Mitarbeiter noch aktiv sind und ob die wichtigen Zugänge einen zweiten Faktor haben, gehört zu den Punkten, die der IT-Check erhebt. Ein Erstgespräch von 20 Minuten verursacht keine Kosten und klärt, ob eine Prüfung für Ihren Betrieb passt.

## Verwandte Begriffe
- [Zwei-Faktor-Authentifizierung (2FA)](https://vetosec.at/it-sicherheit/zwei-faktor-authentifizierung/)
- [Passwortangriff](https://vetosec.at/it-sicherheit/passwortangriff/)
- [Berechtigungskonzept und minimale Rechte](https://vetosec.at/it-sicherheit/berechtigungskonzept/)

## Quelle
https://vetosec.at/it-sicherheit/passwortmanager/ (vetosec, schutz)