Beste Passwort-Manager

[BeBur]

Siehe Lastpass Hacks bspw.

Die verschlüsseln alle Clientseitig, d.h. das ist auch nicht groß anders als wenn du KeePass auf GDrive hast und dann GDrive gehackt wird.

 

[blackdog12]

Ich finde Bitwarden super, meins hab ich sogar bei mir selber gehostet, aber das ist bisschen viel.
Bitwarden ist auch OpenSource und ist wirklich gut und komfortabel.


Ein PW Manager in der Cloud ist kein Totalfail. Es kommt drauf an wie die Daten auch gespeichert werden. Ansonsten wäre ja auch jede SaaS PAM Lösung Quatsch, was ja so überhaupt nicht der Fall ist.
Weiterhin gibt es ja auch sowas wie Keeper Security, die einen richtig guten Ansatz haben auch wenn Cloud.
Open Source ist nie eine Garantie für das was du beschreibst. OSS bietet aber zumindest die Möglichkeit.

Auch weil bisher hier niemand NordPass empfohlen hat, denke ich, dass es nicht gut ist von euch. Aber warum wird es von Tests empfohlen?

Zu Bitwarden: Sagst du also, man kann es in der Cloud machen?

 

[h00bi]

Das ist so nicht ganz korrekt. Siehe Lastpass Hacks bspw.

https://www.heise.de/news/Passwortm...einen-Kennworttresore-zu-knacken-9300583.html

Möglicherweise haben sich Nutzer aber auch nicht an die LastPass-Empfehlung gehalten, keine zu kurzen und leicht erratbaren Passwörter zu verwenden.

 

[RedPanda05]

Das ist so nicht ganz korrekt. Siehe Lastpass Hacks bspw.
Das Problem ist, dass ein Anbieter nur einmal gehackt werden muss, um alle Kundenpasswörter zu gefährden, während bei Keepass in Gdrive erstmal jemand in deinen Google Account muss, dann das Passwort für Keepass braucht und dann idealerweise noch die Schlüsseldatei benötigt, die natürlich nicht in GDrive liegt sondern auf jedem deiner Clients lokal.

Wie man bei Lastpass gesehen hat ist es eben genau so nicht. Die Tresore sind sicher, wenn deren Passwörter sicher sind. Das Problem war, dass sich viele haben phishen lassen oder schlechte Passwörter verwendet haben.

 

[andy_0]

Das Problem ist, dass ein Anbieter nur einmal gehackt werden muss

Stell dir vor: das ist bei Google Drive und den da vorhandenen Daten auch so, wenn Google selber Daten verliert.

Siehe Lastpass Hacks bspw.

Insbesondere da hat man ja gesehen, dass die jeweiligen Tresore sicher sind bzw. waren. Hat man aber erst einmal Zugriff darauf, kann man dann über Jahre die schwächsten Tresore öffnen.

Deswegen ist ein sehr relevantes Sicherheitsmerkmal, egal ob Bitwarden, KeePass oder LastPass, die Master Passwort Stärke und die konfigurierten Tresor Safety (möglichst sicherer Algorithmus, möglichst viel RAM).

 

[RedPanda05]

Als allgemeiner Tenor lässt sich sagen, dass du ruhig einen Cloud basierten PW Manager verwenden kannst. Das Forum besteht nur aus vielen Paranoiden. Wichtig ist, dass du nach security audits guckst und Reputation (auch wenn die Lastpass Tresore sicher sind, sollte man alle PW ändern und das nervt). Realistische Empfehlung sind, KeePass(XC) (wenn man es selbst in der Hand haben will und einen der eher schlechte sync zwischen mehreren Geräten nicht stört, Bitwarden (free version sehr brauchbar und die bezahlversion ist mit 10€/y auch fair), Bitwaren/Vaultwarden selbst hosten (Vaultwarden hat erst vor ein paar Wochen ein security audit vom Bsi bekommen). Der Rest ist ehrlich gesagt preislich schlicht nicht attraktiv. Z.B. keeper will ~ 35€/y unverschämt, wenn man mich fragt.

 

[Tamron]

Z.B. keeper will ~ 25€/y unverschämt, wenn man mich fragt.

Keeper bietet dir aber deutlich mehr als Bitwarden und co.
Breachwatch, Deep/Darknet Überwachung (so gut es halt geht...) und co.
Das sind deutliche Mehrwerte, die halt auch dann einen Preis erfordern.
Bitwarden ist mega für 0€.

Auch weil bisher hier niemand NordPass empfohlen hat, denke ich, dass es nicht gut ist von euch. Aber warum wird es von Tests empfohlen?

Zu Bitwarden: Sagst du also, man kann es in der Cloud machen?

Deine Zeichensetzung im ersten Satz hatte mich verwirrt, aber nun hab ich es verstanden 😄
NordPass ist ja von NordVPN und co.
Solche Firmen sind mir zumindest sehr suspekt genauso auch deren Geschäftsmodell, Steuern und Firmensitz. "Tests" kannst du ignorieren, die sind alle gekauft genauso auch irgendwelche Trustpilot und co. Bewertungen.

Bitwarden kann man sehr gut in der Cloud machen. Es ist dann deine Entscheidung, ob du damit auch okay bist oder lieber die Passwörter über Drittdienste per Keypass synchronisierst.
Einfacher und deutlich benutzerfreundlicher ist halt Bitwarden per App auf Desktop sowie Smartphone und auch im Browser. Du hast an jedem Ort auch automatisches ausfüllen der Passwörter. Ich find das klasse, aber es führen viele Wege zu diesem Ziel

 

[wesch2000]

Wenn ich meinen Keypass Tresor in Google Drive ablege

Ich synce in einen Cryptomator-Tresor und der befindet sich auch in der Cloud.

 

[RedPanda05]

@Tamron ich mag mich irren, aber das unterscheidet sich jetzt nicht fundamental oder: https://bitwarden.com/de-de/help/reports/

 

[Tamron]

Das ist dort auch eine bezahlte Option und er listet halt nur das auf was frei verfügbar wie bei haveibeenpowned zu finden ist. Die coolen Sachen sind das aber nicht, sondern ewig alt teilweise. Du willst halt wissen, ob du in irgendeinem der großen "Boards" direkt drinstehst. Das ist ein riesiger Unterschied.

 

[andy_0]

Du willst halt wissen, ob du in irgendeinem der großen "Boards" direkt drinstehst. Das ist ein riesiger Unterschied.

Das ist vollständig richtig. Ob das aber von Keeper passiert d.h. ob man einen Mehrwert für den Mehrpreis hat: komplett unklar. Die Wahrscheinlichkeit, dass geleakte und nutzbare Daten "irgendwo" zu kaufen sind, ohne dass dies allgemein bekannt wird, würde ich als eher gering einschätzen.

 

[Tamron]

Die wären kaum so zertifiziert von den Ami Behörden, wenn dem so wäre außerdem habe
ich hab es schon vom CTO gezeigt bekommen wo die was machen.
Natürlich kann es trotzdem nicht klappen, aber die üblichen Anlaufstellen für solche Dumps und mehr sind drin. Von daher passt das was die machen

 

[RedPanda05]

@Tamron ich habe mich jetzt etwas durch die Keeper Seite gelesen und für mich ist nicht ersichtlich, wo oder wie hier essentielle Mehrwerte über alternative Dienste (bei hacks) generiert wird, außer die Information, dass man die Daten intern verarbeitet (zur Überprüfung) und nicht an einen dritten weitergibt.

 

[andy_0]

Die wären kaum so zertifiziert von den Ami Behörden, wenn dem so wäre

"Zertfikate", welches denn? Die tollen, die sie auf ihre Homepage kleben wie z.B. ISO 27001 zu "Informationssicherheitsmanagementsysteme" deren Konformität "von sich aus verkünde[t]" wird? Oder AICPA SCO wo es z.B. um Finanzberichte geht? Die teilweise auch nur INTERN genutzt werden.

Ich bin mir nicht sicher ob du verstehst, was Zertifikate im Regelfall bedeuten: gar nichts.

 

[Tamron]

@RedPanda05
Verstehe dich nicht
Eine Google Suche und du findest doch alles zu "Breachwatch" sowie "Darknet Überwachung"

@andy_0
ich meine sowas wie FIPS 140-3
Ich checke deinen ISO27001 Punkt auch nicht. So funktioniert der Prozess nicht. Wenn du ISO27001 als unwichtig empfindest, dann viel Spaß. Ohne das verkauft man sein Produkt nicht.

Zertifikate bedeuten viel, kommt halt auf die richtigen Zertifikate und dem entsprechenden Markt an.

 

[RedPanda05]

@Tamron ich bezog mich auf Breachwatch. Es ist nicht ersichtlich wo hier substanzieller Mehrwert gegenüber den Alternativen generiert wird.

 

[Oli_P]

KeePass 1/2 bzw. KeePass XC sind sicherlich gute Passwort-Manager. Selber nutze ich KeePass 2. Aber Achtung: KeePass 1/2 sind nicht so sehr auf eine schöne Benutzeroberfläche ausgelegt und wollen richtig konfiguriert werden. Da kannste ein paar Abende mit verbringen. Vor allem Synch-Angelegenheiten können ein bißchen den Kopf zum qualmen kriegen Ist eher was für "Fetischisten" (wie ich und vielleicht auch andere hier )
KeePass XC ist da "hübscher" und kommt mit einigen Funktionen, wo du Plugins benötigst unter KeePass 1/2. Allerdings lässt sich KeePass XC auch nicht mittels Plugins aufrüsten, es gibt halt nur das Browser-Plugin für Auto Fill.
KeePass 1/2 hingegen kannste mit Plugins zuballern. Da gibts eine ganze Menge an nützlichen Helferlein.
Wenn du sowas nutzen willst dann achte aber darauf, dass du nur die Original-Software nimmst.
KeePass 1/2
KeePass XC

Achja und fürs Handy sowas wie KeePass DX oder KeePass2Android.

Bevor du fragst, was der Unterschied zwischen KeePass 1 + 2 ist... Beide Programme sind komplett anders programmiert. KeePass 1 läuft auf verschiedenen OS (wie auch KeePass XC). KeePass 2 ist Windows-only.
Dass du unter KeePass deine Daten erstmal offline verwaltest, ist dir sicherlich schon bewusst. Aber mit was nachhelfem, kannste auch sehr bequem Datenbanken synchron halten zwischen verschiedenen Geräten.

Ergänzung (7. Januar 2025)

Auch weil bisher hier niemand NordPass empfohlen hat, denke ich, dass es nicht gut ist von euch. Aber warum wird es von Tests empfohlen?

Ja, hab ich auch schon oft gesehen. Also dass Nordpass der Überflieger unter den Passwort-Managern wäre. Keine Ahnung, nie genutzt... Aber ist ne kommerzielle Anwendung und wenn der immer auf Platz 1 bei den Tests kommt, dann ist mir das suspekt. Ich weiss da nicht, ob die Tester voreingenommen sind. KeePass landet bei solchen Tests gewöhnlich auf den hinteren Rängen (wenns denn überhaupt getestet wird) und kritisiert wird (vielleicht zu recht) die altbackene Oberfläche und (da muss ich immer lachen) "fehlende Möglichkeit zum synchen". Bei Nordpass bezahlste wohl Geld dafür, dass du deine Daten immer synchron auf verschiedenen Geräten hast. Wenn dir das wichtig ist und du nicht zu viel "fummeln" willst an der Software, dann nimm vielleicht Bitwarden. Aber hab ich keine Erfahrung mit.

 

[blackdog12]

NordPass ist ja von NordVPN und co.
Solche Firmen sind mir zumindest sehr suspekt genauso auch deren Geschäftsmodell, Steuern und Firmensitz. "Tests" kannst du ignorieren, die sind alle gekauft genauso auch irgendwelche Trustpilot und co. Bewertungen.

Bitwarden kann man sehr gut in der Cloud machen. Es ist dann deine Entscheidung, ob du damit auch okay bist oder lieber die Passwörter über Drittdienste per Keypass synchronisierst.

Ok, also Nordpass sollte man klar nicht nehmen wie ich es verstehe.
Und bei Bitwarden könnte man es auch auf der Cloud von denen machen?

 

[CyborgBeta]

Mit https://bitwarden.com/ bin ich sehr zufrieden. Nur basic auth damit speichern ist ein wenig nervig.

Ergänzung (7. Januar 2025)

Bitwarden in der Cloud kommt definitiv nicht an die Sicherheit einer lokalen Keypass Datei ran.

Aha, und weshalb nicht? Bei mir braucht ein Angreifer, glaube ich, 12 Millionen Iterationen für einen Test ... bis dahin sind schon meine Nachfahren dran.

 

[Tamron]

ich bezog mich auf Breachwatch. Es ist nicht ersichtlich wo hier substanzieller Mehrwert gegenüber den Alternativen generiert wird.

Ich hab keine Lust für dich Absätze aus irgendwelchen Lösungen rauszukopieren.
Es ist halt nicht nur haveibeenpowned... so schwer ist das doch nicht zu verstehen
Und HIBP ist halt Daten von irgendwann.

Ok, also Nordpass sollte man klar nicht nehmen wie ich es verstehe.
Und bei Bitwarden könnte man es auch auf der Cloud von denen machen?

Wir können zumindest keine Empfehlung für Nordpass aussprechen. Für anderes schon.
Bitwarden nutzt du als SaaS Produkt und es läuft im Standard so, dass dein Tresor nicht bei dir sondern in der Cloud liegt. Du musst nichts machen außer ein Konto zu erstellen, ein sehr sehr sicheres Passwort dir auszudenken und MFA einzurichten. Dann bist du gut aufgestellt
Probier es aus und wenn es dir nicht zusagt, dann nimmst du einfach die nächste Möglichkeit, die dir genannt wurde. Nur weil es für einige von uns eine passende Lösung ist, muss es ja nicht für dich sein. Das ist ja sehr subjektiv.