{"id":50056,"date":"2014-04-25T11:05:09","date_gmt":"2014-04-25T10:05:09","guid":{"rendered":"http:\/\/onsoftware.softonic.de\/?p=50056"},"modified":"2024-03-08T06:14:11","modified_gmt":"2024-03-08T05:14:11","slug":"heartbleed-warum-ein-passwort-manager-die-richtige-losung-ist-25-04-2014","status":"publish","type":"post","link":"https:\/\/cms-articles.softonic.io\/de\/heartbleed-warum-ein-passwort-manager-die-richtige-losung-ist-25-04-2014\/","title":{"rendered":"Heartbleed: Warum ein Passwort-Manager die richtige L\u00f6sung ist"},"content":{"rendered":"

Die\u00a0Heartbleed-Sicherheitsl\u00fccke hat einen gro\u00dfen Teil des als sicher geltenden, verschl\u00fcsselten Internets zwei Jahre offen f\u00fcr Angriffe gelassen. \u00dcber die L\u00fccke war es theoretisch m\u00f6glich Benutzernamen und Passw\u00f6rter<\/strong> zu ergaunern. Selbst popul\u00e4re Webseiten wie Google oder Yahoo! waren gef\u00e4hrdet. Inzwischen haben sie das Leck gestopft.<\/p>\n

Auch wenn man Hacker nicht davon abhalten kann, Webseiten zu knacken, so kann man doch einiges f\u00fcr die eigene Sicherheit unternehmen. Der erste Schritt sind unterschiedliche Passw\u00f6rter f\u00fcr jeden Dienst, den man nutzt. Das Problem: Wie erinnert man sich an all die verschiedenen Kombinationen aus Zahlen, Zeichen, Klein- und Gro\u00dfbuchstaben? Die Antwort: mit einem Passwort-Manager<\/strong>.<\/p>\n

Wie funktioniert ein Passwort-Manager?<\/h3>\n

\"1password<\/p>\n

Passwort-Manager generieren, speichern und verschl\u00fcsseln Passw\u00f6rter. Man muss sich nur an ein Master-Passwort<\/strong> erinnern, mit dem man Zugang zur Passw\u00f6rter-Datenbank erh\u00e4lt.<\/p>\n

Es ist sinnvoll, f\u00fcr jedes Account ein eigenes Passw\u00f6rter mit Buchstaben, Zahlen und Zeichen zu erstellen. Damit verhindert man, dass ein Hacker alle Accounts auf einmal knackt, wenn er das eine, f\u00fcr alle Accounts g\u00fcltige Passwort klaut.<\/p>\n

\"LastPass<\/p>\n

Brute-Force-<\/a>Attacken knacken in Windeseile schwache Passw\u00f6rter, die nur aus Buchstaben und Zahlen bestehen. Je k\u00fcrzer ein Passwort ist, umso leichter hat es ein Hacker mit einer Brute-Force-Attacke<\/strong>.<\/p>\n

Anwendungen wie zum Beispiel 1Password<\/a> oder LastPass<\/a> bieten nicht nur einen Passwort-Manager. Sie speichern auch sensible Dokumente, Kreditkarteninformationen oder Software-Lizenzen<\/strong>.<\/p>\n

Was passiert, wenn das Master-Passwort gestohlen wird?<\/h3>\n

Experten halten das f\u00fcr sehr unwahrscheinlich. Passwort-Manager erschweren zudem das Knacken des Master-Passworts. Softonic sprach mit 1Password-Mitarbeiter Jeffrey Goldberg<\/a>, dessen Jobtitel nicht Manager sondern Verteidiger gegen die schwarzen K\u00fcnste<\/strong> lautet. “1Password verschl\u00fcsselt die Passwort-Datenbank mit Schl\u00fcsseln, die aus diesem Master-Passwort generiert werden. Niemand hat<\/strong> zu dieser Verschl\u00fcsselung oder zum Master-Passwort Zugang<\/strong>. Wenn jemand die Datenbank klaut, kann er sie ohne das Master-Passwort nicht entschl\u00fcsseln.”<\/p>\n

\"LastPass<\/p>\n

Genauso arbeitet auch LastPass. Obwohl LastPass die Passwort-Datenbank mit den eigenen Servern synchronisiert, speichert oder versendet der Anbieter keine Verschl\u00fcsselungsdaten. Alle Verschl\u00fcsselungsdaten generiert LastPass aus dem Master-Passwort. Diese Daten werden lokal auf dem Computer des Nutzers gespeichert<\/strong>.<\/p>\n

“Wir nutzen SSL nur in einer zweiten Sicherheitsstufe. Das Herzst\u00fcck unserer Sicherheit besteht darin, die Verschl\u00fcsselungsdaten lokal zu speichern”, erkl\u00e4rt LastPass-CEO Joe Siegrist.<\/p>\n

Muss man all seine Passw\u00f6rter \u00e4ndern?<\/h3>\n

Bevor man dran geht alle Passw\u00f6rter zu \u00e4ndern, sollte man kontrollieren, welche benutzten Webseiten von Heartbleed betroffen sind. Dabei versichert man sich, dass die Betreiber der Seiten die Sicherheitsl\u00fccke mit einem Patch geschlossen haben. Mashable<\/a> ver\u00f6ffentlichte eine umfangreiche Liste mit den popul\u00e4rsten Webseiten und ihren Reaktionen auf Heartbleed. Bevor man das Passwort \u00e4ndert, geht man sicher, dass die Sicherheitsl\u00fccke durch den Anbieter geschlossen wurde. Andernfalls riskiert man, dass die Passwort\u00e4nderung von Hackern mitverfolgt wird. Trotz einiger Mitteilungen, dass die Heartbleed-Sicherheitsl\u00fccke in den Medien \u00fcbertrieben dargestellt wird, sollte man lieber auf Nummer Sicher gehen.<\/p>\n

Der Netzwerkspezialist Cloudflare pr\u00e4sentiert in seinem Blog eine Aufgabe<\/a>, bei der man einen privaten Schl\u00fcssel mit Hilfe von Heartbleed klauen<\/strong> kann. Es dauerte nur einige Stunden, bis die ersten Nutzer erfolgreich die Aufgabe erf\u00fcllten und private Verschl\u00fcsselungsdaten entwendeten. Die Bedrohung ist real.<\/p>\n

“[Heartbleed] ist keine \u00dcbertreibung”, sagt Siegrist. “Cloudflare hat bewiesen, wie man den Bug nutzt. Es ist durchaus m\u00f6glich, hier\u00fcber Nutzernamen und Passw\u00f6rter zu klauen.”<\/p>\n

\"LastPass<\/p>\n

Mit einem Passwort-Manager \u00e4ndert man seine Passw\u00f6rter in wenigen Schritten. Softonic-Redakteur Tim V\u00fcllers \u00e4nderte nach dem Heartbleed-Desaster die 14 wichtigsten Passw\u00f6rter in 19 Minuten<\/a>. Der Manager speichert die neuen Passw\u00f6rter und erinnert sich auf diese Weise an sie. LastPass besitzt sogar eine Alarmfunktion<\/a>, die Nutzer vor Webseiten warnt, die f\u00fcr Heartbleed anf\u00e4llig sind. Der Anbieter betreibt eine \u00f6ffentliche Webseite<\/a>, auf der man URLs eintippt. Die Seite pr\u00fcft die Adresse, ob sie von der Sicherheitsl\u00fccke betroffen ist. Mashable hat zus\u00e4tzlich eine Liste zusammengestellt, die die Reaktionen verschiedenen Anbieter auf die Bedrohung auff\u00fchrt.<\/p>\n

Noch gibt es keine Automatisierungs-Tools<\/strong>. 1Password und LastPass arbeiten aber daran.<\/p>\n

“Noch muss man das Formular f\u00fcr die Passwort\u00e4nderung selbst suchen. 1Password assistiert dem Nutzer dabei, ein neues, starkes Passwort zu generieren. Wir arbeiten st\u00e4ndig daran, diesen Prozess zu verbessern”, sagt Goldberg.<\/p>\n

Ein wenig Arbeit verhindert aber vielleicht den Supergau in der Zukunft<\/strong>.<\/p>\n

Was kann man f\u00fcr den eigenen Schutz noch tun?<\/h3>\n

Der Passwort-Manager ist der erste Schritt f\u00fcr mehr Schutz im Internet. Dar\u00fcber hinaus sollte man bei Sicherheits-News genau hinsehen und sich dar\u00fcber im Klaren sein, welche Webseiten man besucht.<\/p>\n

Phishing-Attacken<\/strong> sind sehr popul\u00e4r. Dabei gaukeln Webseiten vor, sie w\u00e4ren eine andere Seite, die der Nutzer kennt. Sobald er jedoch seine Daten auf eine Phishing-Seite eintr\u00e4gt, werden sie einem Hacker zugeleitet. Daher sollte man nie auf ungew\u00f6hnliche Links klicken<\/strong>, die man per E-Mail bekommt.<\/p>\n

Passwort-Manager unterst\u00fctzen den Nutzer dadurch, indem sie ihn direkt auf die korrekte Webseite f\u00fchren. Manchmal ist es nur ein Zeichen in der Adresse, die den Nutzer anstatt auf die korrekte auf eine Phishing-Seite f\u00fchrt, ohne dass er den Trick bemerkt.<\/p>\n

\"Chrome<\/p>\n

“Nutzer sollten in ihren Browser SSL\/TLS-Warnungen ernster nehmen”, fordert Goldberg. Das Schloss-Symbol in der Adresszeile<\/strong> weist darauf hin, welche Webseiten eine Verschl\u00fcsselung nutzen. Die meisten Browser warnen den Nutzer vor verd\u00e4chtigen Seiten. Dennoch schadet Aufmerksamkeit beim Surfen nicht.<\/p>\n

Zwei-Wege-Authorisierung f\u00fcr mehr Sicherheit<\/h3>\n

Einige Webseiten bieten bereits eine Zwei-Wege-Authorisierung an. Eine Zwei-Wege-Authorisierung<\/strong> besteht aus dem Passwort und einem zuf\u00e4llig generierten Code. Sobald man das Passwort eingegeben hat, muss man den Code eintippen, den man per SMS oder \u00fcber ein Authentifizierungs-Tool wie zum Beispiel den Google Authenticator<\/a> erh\u00e4lt. Diese Codes besitzen nur f\u00fcr einen kurzen Zeitraum G\u00fcltigkeit und verfallen danach.<\/p>\n

\"Dropbox<\/p>\n

Facebook, Google, Twitter, Evernote und viele andere Anbieter verwenden bereits eine Zweifach-Authentifizierung. Sie bedeutet zwar ein bisschen mehr Arbeit beim Einloggen, aber sie erh\u00f6ht die Sicherheit gegen Passwortdiebstahl.<\/p>\n

Zuletzt sollte man darauf achten, dass alle Computer, Smartphones und Tablets immer auf dem aktuellen Stand<\/strong> sind. Sicherheitsl\u00fccken werden meistens \u00fcber Patches oder Updates geschlossen.<\/p>\n

Anwendungen wie\u00a0Avast!<\/a> alarmieren den Nutzer, wenn eine Software veraltet ist. Auch Softonic f\u00fcr Windows<\/a> unterst\u00fctzt den Nutzer dabei, seine Software aktuell zu halten.<\/p>\n

Weitere Informationen \u00fcber Heartbleed und wie man sich gegen Sicherheitsl\u00fccken sch\u00fctzt, gibt es unter den folgenden Links:<\/p>\n

Lastpass:<\/strong><\/p>\n