Passwortmanager für Familien sicher einrichten

Ein Passwortmanager hilft Familien, für jedes wichtige Online-Konto ein eigenes starkes Passwort zu verwenden. Besonders E-Mail-, Banking- und Behördenkonten sollten geschützt sein, weil sie oft als Zugang zu weiteren Diensten dienen. Entscheidend sind ein gut gesichertes Hauptpasswort, die Zwei-Faktor-Authentifizierung und ein erreichbarer Notfallzugang.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt, Passwörter nicht mehrfach zu verwenden und Konten zusätzlich abzusichern. Ein Passwortmanager kann diese Regeln im Alltag praktikabel machen, ohne dass sich Familien Dutzende komplizierte Zeichenfolgen merken müssen.

Prioritäten: Welche Konten zuerst geschützt werden

Nicht jedes Konto ist gleich wichtig. Beginnen Sie mit Diensten, über die sich andere Zugänge zurücksetzen oder persönliche Daten einsehen lassen.

• E-Mail-Konto: Es kann für Passwortzurücksetzungen und wichtige Benachrichtigungen genutzt werden.
• Banking und Bezahldienste: Hier sollten individuelle Zugangsdaten und eine zusätzliche Bestätigung aktiviert sein.
• Behördenkonten: Digitale Zugänge zu Verwaltung, Steuer- oder Sozialleistungen enthalten besonders schützenswerte Daten.
• Cloud-Speicher, Mobilfunkkonto und Geräteverwaltung sollten anschließend folgen.

Legen Sie für jedes Konto ein eigenes Passwort an. Ein Datenleck bei einem Dienst darf dann nicht automatisch weitere Konten gefährden. Alte oder mehrfach verwendete Passwörter sollten nach und nach ersetzt werden, beginnend mit dem E-Mail-Konto.

Einrichtung: In wenigen Schritten zum Familien-Passwortmanager

1. Einen vertrauenswürdigen Manager auswählen

Wählen Sie einen Passwortmanager, der für die verwendeten Geräte verfügbar ist und eine verschlüsselte Synchronisierung anbietet. Prüfen Sie außerdem, ob der Anbieter eine unabhängige Sicherheitsprüfung, regelmäßige Aktualisierungen und einen klar beschriebenen Wiederherstellungsprozess nennt.

Installieren Sie die Anwendung nur aus dem offiziellen App-Store oder von der Anbieter-Website. Aktivieren Sie automatische Updates und schützen Sie die App mit einer Gerätesperre, etwa einem sicheren PIN, Fingerabdruck oder Gesichtserkennung. Die Gerätesperre ersetzt das Hauptpasswort nicht, erschwert aber den Zugriff auf einem verlorenen Gerät.

2. Ein starkes Hauptpasswort erstellen

Das Hauptpasswort öffnet den Passwortmanager und verdient deshalb besondere Aufmerksamkeit. Es sollte lang, einzigartig und nicht aus Namen, Geburtstagen, Haustieren oder leicht erratbaren Familienbegriffen zusammengesetzt sein.

Eine gut merkbare Passphrase aus mehreren unverbundenen Wörtern kann geeigneter sein als ein kurzes Passwort mit wenigen Sonderzeichen. Verwenden Sie diese Kombination ausschließlich für den Passwortmanager und geben Sie sie nicht per Chat, E-Mail oder Notiz-App weiter.

Schreiben Sie das Hauptpasswort höchstens für die Übergangszeit auf und bewahren Sie den Zettel an einem geschützten Ort auf. Speichern Sie es nicht gemeinsam mit dem Wiederherstellungscode oder auf einem Gerät, das automatisch mit der Cloud synchronisiert wird.

3. Zugangsdaten automatisch erzeugen lassen

Ersetzen Sie schwache oder wiederverwendete Passwörter durch zufällig erzeugte Einträge. Für jedes Konto sollte der Manager ein eigenes Passwort speichern. Die Länge und die erlaubten Zeichen richten sich nach den Vorgaben des jeweiligen Dienstes.

Ändern Sie Passwörter nicht nach einem festen Kalender ohne Anlass. Wichtiger ist, sie bei einem vermuteten Datenleck, nach einem Geräteverlust oder bei einem ungewöhnlichen Anmeldehinweis sofort zu ersetzen. Prüfen Sie dabei auch aktive Sitzungen und angemeldete Geräte.

4. Zwei-Faktor-Authentifizierung aktivieren

Die Zwei-Faktor-Authentifizierung verlangt neben dem Passwort einen zweiten Nachweis. Das kann ein Bestätigungscode, eine Authentifizierungs-App, ein Sicherheitsschlüssel oder – je nach Dienst – eine andere zusätzliche Methode sein.

Aktivieren Sie diese Funktion zuerst für das E-Mail-Konto, danach für Banking-, Behörden- und Passwortmanager-Zugänge. Bewahren Sie die Wiederherstellungscodes sicher auf und testen Sie einmal, ob der vorgesehene Ersatzweg tatsächlich funktioniert.

SMS-Codes sind nicht bei jedem Dienst die stärkste verfügbare Option, können aber besser sein als ein allein verwendetes Passwort. Wenn eine Authentifizierungs-App oder ein Sicherheitsschlüssel angeboten wird, sollte die Familie prüfen, ob diese Methode im Alltag zuverlässig nutzbar ist.

Familienzugang ohne unnötige Freigaben

Ein gemeinsamer Passwortmanager bedeutet nicht, dass alle Familienmitglieder jedes Passwort sehen müssen. Nutzen Sie getrennte Tresore oder Freigaben, wenn die Anwendung das unterstützt. Teilen Sie nur Zugangsdaten, die mehrere Personen wirklich benötigen, etwa für einen Streamingdienst, den Internetzugang oder gemeinsame Versicherungsunterlagen.

Banking-Zugänge, persönliche E-Mail-Konten und Behördenkonten sollten grundsätzlich individuell bleiben. Teilen Sie niemals Einmalcodes, Sicherheitsfragen oder Wiederherstellungscodes über einen gemeinsamen Familienchat. Kinder und Jugendliche können einen eigenen Bereich mit altersgerechten Konten erhalten, während sensible Zugangsdaten der Erwachsenen geschützt bleiben.

Notfallplan: Was bei Verlust oder Ausfall zu tun ist

Ein Passwortmanager ist besonders dann nützlich, wenn ein Smartphone verloren geht oder eine Person vorübergehend nicht erreichbar ist. Der Notfallplan sollte deshalb festlegen, wer im Ernstfall helfen darf und wo die notwendigen Informationen liegen.

Dokumentieren Sie offline:

• den Namen des Passwortmanagers und die offizielle Wiederherstellungsseite,
• den Aufbewahrungsort des Hauptpassworts oder die vereinbarte Notfallregel,
• die aktivierten zweiten Faktoren,
• den Aufbewahrungsort der Wiederherstellungscodes,
• wichtige Kontaktdaten des Anbieters.

Viele Dienste bieten einen Notfallkontakt oder eine zeitverzögerte Notfallfreigabe an. Richten Sie diese Funktion nur ein, wenn die Bedingungen verständlich sind. Prüfen Sie, welche Daten freigegeben werden, wie lange die Wartezeit dauert und wie eine Anfrage abgebrochen werden kann.

Bei einem verlorenen Smartphone sollten Sie zunächst das Gerät sperren oder aus der Ferne löschen, sofern diese Möglichkeit eingerichtet ist. Danach ändern Sie bei besonders wichtigen Konten die Zugangsdaten und melden unbekannte Sitzungen ab. Bei einem gesperrten E-Mail-Konto kann die Wiederherstellung über die hinterlegten Kontaktmöglichkeiten nötig sein.

Wiederherstellungscodes sicher verwahren

Wiederherstellungscodes sind Ersatzschlüssel für die Zwei-Faktor-Authentifizierung. Wer sie besitzt, kann je nach Dienst eine zusätzliche Sicherheitsstufe umgehen. Behandeln Sie sie daher ähnlich vertraulich wie Passwörter.

Bewahren Sie die Codes möglichst offline an einem abschließbaren Ort auf. Eine zweite Kopie kann sinnvoll sein, wenn sie an einem anderen sicheren Ort liegt. Speichern Sie keine unverschlüsselte Bildschirmaufnahme in einer allgemein zugänglichen Foto- oder Cloud-App.

Nach der Verwendung eines Codes sollte der Dienst neue Codes erzeugen, sofern das möglich ist. Kontrollieren Sie außerdem regelmäßig, ob alte Telefonnummern, nicht mehr verwendete Geräte oder frühere Notfallkontakte noch hinterlegt sind.

Regelmäßige Sicherheitsprüfung für die Familie

Planen Sie kurze gemeinsame Prüfungen, beispielsweise beim Einrichten eines neuen Geräts oder nach einem Anbieterwechsel. Kontrollieren Sie, ob der Passwortmanager aktuell ist, die Zwei-Faktor-Authentifizierung noch funktioniert und die Wiederherstellungscodes auffindbar sind.

Achten Sie auf Phishing: Keine seriöse Stelle sollte das Hauptpasswort oder vollständige Wiederherstellungscodes per unaufgeforderter E-Mail verlangen. Öffnen Sie Sicherheitslinks lieber über die selbst eingegebene Website oder die offizielle App. Bei E-Mail-, Banking- und Behördenkonten lohnt sich zusätzlich ein Blick auf aktuelle Anmeldeaktivitäten und Benachrichtigungen.

Quelle: Bsi