News KeePassXC 2.7.3: Passwortmanager erhält neue Funktionen und Korrekturen

[Telechinese]

An der Arbeit benutzen wir ebenfalls KeePass.
Könnt Ihr mir für den privaten Gebrauch einen empfehlen?

KeePass? Was sonst

 

[ComputerJunge]

KeePass? Was sonst

KeePassXC

Ich habe es jetzt mal testweise installiert. Sieht schon moderner als KeePass aus. Allerdings fehlt mir die Option, definierte Generatorregeln namentlich speichern und dadurch wiederverwenden zu können.

 

[Zanza]

@SVΞN

KeePass oder KeePassXC welches von beiden ?

 

[Balrog]

Hallöchen, wie sicher ist denn so eine Software zum verwalten der PW?

Ich nutze sowas noch garnicht.... nur das auf meinem Iphone ...

Bitdefender bietet mir auch ständig sowas an, da ich davon die Total Sec. habe

 

[Vexz]

Frage hinsichtlich dem Vorteil gegenüber dem Browser PW Manager stellt sich mir weiterhin.

Mit dem PW-Manager des Browsers vertraust du dem Entwickler des Browsers deine Passwörter an und die werden irgendwo (hoffentlich verschlüsselt, aber das weiß man da nie so genau) in die Cloud gespeichert. Wenn das für dich kein Problem ist, ist das okay. Für andere wie mich ist das zu heikel.
Ich persönlich nutze primär Bitwarden. Man hat dabei einen Server (bei mir daheim auf dem NAS in Docker gehostet) und Clients (also alle deine Endgeräte, oder sogar nur Browser, durch Browser-Erweiterung). Du bist damit nicht an den Browser gebunden und das ist neben der Tatsache, dass ich selbst den Server hoste und weiß wo die Daten liegen, der nächste große Vorteil. Ich kann jederzeit am Rechner der Browser wechseln und bin auch nicht gewzungen, am Handy oder Tablet den gleichen Browser zu nutzen, nur um über die Sync-Funktion auch die Passwörter dort nutzen zu können. Zudem gibt es selbst für Apps auf Android (keine Ahnung, ob das bei iOS genauso geht) eine Autofill-Funktion, wo mir Logindaten automatisch ausgefüllt werden können, ohne sie manuell aus der Bitwarden-App herauskopieren zu müssen.

Edit:
Kleiner Nachtrag: Die PW-Manager des Browsers gelten auch nur für Logindaten innerhalb des Browsers. Für Logindaten abseits des Browsers musst du dir wieder selbst die Passwörter merken. Das Problem hast du z. B. mit KeePass, Bitwarden und co nicht.

Ergänzung (30. Oktober 2022)

Hallöchen, wie sicher ist denn so eine Software zum verwalten der PW?

Was genau meinst du mit "wie sicher"? Du erschaffst dir in KeePass eine verschlüsselte Datenbank, die sich nur mit einem Master-Passwort entsperren lässt. Wahlweise auch noch mit einer zusätzlichen Schlüsseldatei. Ohne das kommt man sonst nicht an die in der Datenbank gespeicherten Passwörter ran. Es ist also nur so sicher wie dein Master-Passwort. Idealerweise fällt niemandem jemals diese Datenbank in die Hände. Dann gehst du nicht mal das Risiko ein, dass sie jemand versucht zu knacken.

 

[ComputerJunge]

und die werden irgendwo (hoffentlich verschlüsselt, aber das weiß man da nie so genau) in die Cloud gespeichert.

Ich behaupte, per Default werden die Passwörter in lokalen Strukturen gespeichert, bei zusätzlicher Nutzung von Sync-Funktionen dann notwendigerweise (temporär) irgendwo.

Vertrauen muss ich natürlich auch den Entwicklern der Passwort-Manager. Und wenn ich den Browser-Entwicklern so etwas grundsätzlich nicht zutraue, sollte ich konsequenterweise auch deren Browser nicht nutzen.

Da ich verschiedene Browser verwende und auch "andere" Geheimnisse damit verwalte, bleibe ich bei einem dedizierten Werkzeug.

 

[Vexz]

Vertrauen muss ich natürlich auch den Entwicklern der Passwort-Manager. Und wenn ich den Browser-Entwicklern so etwas grundsätzlich nicht zutraue, sollte ich konsequenterweise auch deren Browser nicht nutzen.

Nicht unbedingt. Wenn der Passwort-Manager Open-Source ist, musst du nicht nur vertrauen, sofern du dich in den Code einarbeitest. Klar, das machen nur die wenigsten Leute, aber es gibt immer welche, die das tun. Und wenn da irgendwas nicht ganz koscher wäre, dann würde das schnell der Rest der Welt erfahren. Einige Browser hingegen sind nicht Open-Source.

 

[ComputerJunge]

@Vexz
Du hast so natürlich Recht. Ich hätte besser formuliert, ich muss vertrauen.

 

[Mickey Mouse]

ah, ich dachte schon, das mit den "nicht mehr anklickbaren Links" wäre ein Sicherheitsfeature (und habe schon eine Weile danach gesucht, das wieder anschalten zu können).

jetzt funktioniert das wieder, ein Glück, war völlig nervig...

 

[haf-blade]

Also für mich ist die ultimative Lösung ein selfhosted Vaultwarden als lightweight Implementierung des Bitwarden Servers und die Verwendung der Standard Bitwarden Clients. Funktioniert super einfach mit allem zusammen und die Synchronisierung ist super einfach (man muss nichts einrichten). Zusätzlich kann man die Benutzer verwalten und nutzerübergreifende Passwörter verwalten.

 

[jokakilla]

Ich nutze derzeit Keepass am Rechner und auf Android Keepass2Android. Die Datenbank liegt in einer Self-hosted Nextcloud mit 2FA. 2FA für Keepass läuft mit einem Yubikey am PC über USB und am Smartphone mit NFC. Funktioniert soweit an sich prima.

Tatsächlich hatte ich bei der letzten Neuanschaffung eines Handies mal darüber nachgedacht ins Apple Lager zu wechseln. Aber für den Yubikey hätte ich Keepassium Premium für 15€ im Jahr abonieren müssen oder für 60€ kaufen. Bei genauerer Betrachtung zog sich das bei einigen Apps durch die ich auf Android entweder gratis oder sehr viel günstiger bekomme.

Beim Vaultwarden hatte ich bedenken wegen der Angriffsfläche da es als expliziter Webservice im Netz steht. Vielleicht lässt sich das Risiko aber verringern indem man den Vaultwarden nur im VPN erreichbar macht. Das ganze funktioniert doch auch offline oder? Man könnte also kurz ins VPN, die App syncen lassen und wieder raus aus dem VPN?
Einen wirklich guten Grund zum Wechseln habe ich allerdings nicht. Wäre reines Interesse.

 

[Mickey Mouse]

vielleicht sehe ich das "zu naiv", aber mal ganz ehrlich, so wichtig bin ich nicht, als dass jemand sich die Mühe machen würde, meine Passphrase zu knacken.
es ist ja nicht so, dass da ein Online Anbieter geknackt wird und mit den "erbeuteten Passworten" kann automatisiert mein Keepass geknackt werden. Meine Passphrase war noch nie "im Netz" und ist so lang, dass die ohne Quanten-Computer nicht durch Permutation ermittelt wird.

es muss also erstmal jemand den Keepass Tresor in die Finger bekommen, der fällt ja niemanden "zufällig vor die Füße" und wenn er daran gekommen ist, muss er sich die Mühe machen den zu knacken.
wie gesagt, das passiert nicht zufällig, sondern es muss jemand gezielt AUF MICH abgesehen haben, ich bin nicht Olaf Scholz o.ä.
und ich gehe mal davon aus, dass sich da eben viele für viel zu wichtig halten

Bitte nicht falsch verstehen, das ist etwas völlig anderes bei Online Accounts, die per se regelmäßig "durchprobiert" werden. Mein MS Account ist per Yubikey (ja, ich habe zwei (tatsächlich drei, weil ein USB-C dazu gekommen ist) gesichert. Da geht das Passwort regelmäßig "durch Netz" und die Gefahr eines Abgriffs ist (meiner Meinung nach) wesentlich größer. Da brauche ich den Yubikey aber eben nur, wenn ich mich von einem "fremden" Gerät anmelden möchte und nicht jedes Mal. Der "Aufwand" ist überschaubar.
bei Keypass(XC) hätte ich eben genau das Problem, dass ich vom iPad nur zahlend auf den Tresor zugreifen könnte. Das ist es mir nicht wert, s.o.

 

[Art Vandelay]

Unter Windows Update von 2.7.0 auf die neue 2.7.4 gemacht, alles cool :-)

@Mickey Mouse: Vielleicht gibt's ja für ios eine andere Keepass kompatible App, die auf deinen Speicher zugreifen kann wo die keepass Datenbank liegt.
Ich nutze unter android keepass2android und kann mittels nextcloud schnittstelle auf meinen Speicher zugreifen. Und kostet nix.

 

[Zanza]

Arbeite mit meinem Apple Geräten und da ist ein solcher Passwortmanager im System integriert.

 

[Niklas434]

1. was ist der Vorteil in Programmen Nextcloud einzurichten statt znettal den Synchclient und die DB darüber zu synhronisieren? So mache ich es z.B. mit der Syno und
deren Drive. Vorteil: Der Client wird an einer Stelle aktualisiert und alle haben es dann auch.
2. Wozu Plugins? Das neue PW angelegt werden passiert eher seltener. Ja, es ist Komfort, sollte imho zweitrangig sein. Zumindest für,Firefox gibt es Plugins.
2.1. Ist kein Problem, z.B. habe ich bei Steam und Epic mehr als einen Account. Shortcut für Keepass Logon dort öffnet ein Fenster, bei dem ich dem passenden auswähle.

Hilft das etwas weiter?

1. Ein zentraler Zugriffsort für alle Dateien.
2. Ist für mein empfinden sehr wichtig, alleine weil ich mein Browser so eingestellt habe, dass Cookis und somit auch Login - Sessions nach dem Beenden des Browser gelöscht werden.
2.1 Müsste mich bei gelegentheit mal mit Keepass XC beschäftigen allerdings geht es mir schon hart auf den Sack, wenn ich sehe, dass im Jahr 2022 kein Webdav implementiert wurde.

- Zudem empfinde ich es für den Fall der Fälle immer als sicherer, wenn der Client die Datenbank auch Lokal vorhalten kann. Keepass XC ist mir da zu ulkig, meine Meinung.

 

[Mickey Mouse]

@Mickey Mouse: Vielleicht gibt's ja für ios eine andere Keepass kompatible App, die auf deinen Speicher zugreifen kann wo die keepass Datenbank liegt.

sorry, hatte ich missverständlich ausgedrückt!
es gibt und ich habe Keepass (KeePassium) auf i(pad)OS am Laufen, kostenlos in der Free Version, aber die unterstützt eben keine 2FA.

wobei mir auch nicht so ganz klar ist, ob da eine "echte" 2FA zum Einsatz kommt (als ich damit angefangen habe, wurde das nichtmal auf dem PC per Yubikey unterstützt, da gab es nur "dirty tricks", die keine 2FA geboten haben) oder ob das nicht nur ein einfacherer Zugriff mit biometrischen Mitteln ist, NACHDEM der Tresor bereits vollständig mit einer "einfachen" Passphrase (also ohne 2FA) entschlüsselt wurde?!?

ich vermute mal, dass sich die Leute da auch eine Sicherheit einreden, die so gar nicht vorhandne ist, weil ihre Passwort-Datei immer noch per Brutforce Attacke geknackt werden kann, genauso wie ohne 2FA. Aber vielleicht irre ich mich da auch.

 

[SIR_Thomas_TMC]

Danke für euer Feedback zu meinen Fragen. Hab mir jetzt mal bitwarden free geholt. Mal schauen wie ich so klar komme. Bisher war der Import aus Firefox und die Integration/Nutzung in Firefox sowie am Handy (bisher auch nur im Browser) problemlos.

 

[Muntermacher]

1. Ein zentraler Zugriffsort für alle Dateien.

Sorry, hatte meine Frage nicht gut formuliert. Ich meine, was ist der Vorteil bei verschiedenen Programmen die Nextcloud Login Informationen zu hinterlegen, statt einmal für den "Drive" Clienten vom Nextcloud.
Zentral bleibt es, ja, nur synchen nicht die Anwendungen selber. Ich frage, weil je mehr Anwendungen die Logins kennen, desto mehr potentielle Schwachstellen für diese entstehen. Zugegeben bei einem PW Safe habe ich andere Probleme, wenn ich diesem nicht vertrauen kann. Und ich frage auch, weil ich obiges praktiziere.

Zu 3. ich meine Keepass, vermute aber, daß Keepass XC ähnliches bietet.

 

[Vexz]

Beim Vaultwarden hatte ich bedenken wegen der Angriffsfläche da es als expliziter Webservice im Netz steht. Vielleicht lässt sich das Risiko aber verringern indem man den Vaultwarden nur im VPN erreichbar macht. Das ganze funktioniert doch auch offline oder? Man könnte also kurz ins VPN, die App syncen lassen und wieder raus aus dem VPN?
Einen wirklich guten Grund zum Wechseln habe ich allerdings nicht. Wäre reines Interesse.

Nicht zwingend. Dich zwingt niemand irgendwelche Ports zu öffnen und so könntest du es rein aus deinem sicheren Heimnetzwerk verfügbar machen. Daheim syncst du dann immer eine aktuelle Kopie deiner Datenbank auf deine mobilen Geräte, damit du deine Passwörter immer dabei hast.
Über das Internet könntest du den Server über DynDNS verfügbar machen. Natürlich dann mit einem SSL-Zertifikat, damit die Verbindung verschlüsselt und somit sicher ist. Registrierungen kannst du auf dem Server deaktivieren. Somit ist die einzige "Unsicherheit" eine mögliche Sicherheitslücke auf dem Server oder in der Client-Applikation. Das Problem hast du aber auch bei jeder anderen Lösung. Somit ist es nicht weniger oder mehr sicher als andere Lösungen.

Edit:
Ich bin ja noch gar nicht auf die VPN Sache eingegangen. Klar, so wie von dir beschrieben geht das natürlich auch. Ist meiner Meinung nach aber nicht notwendig, wenn man den Sync über DynDNS mit SSL-Zertifikat macht. Natürlich muss man dafür den selbstgehosteten Server im Internet freigeben, aber wenn man da schon solche Zweifel an der Sicherheit hat, sollte man vielleicht gar keinem PW-Manager trauen.
Mit VPN macht es das unnötig kompliziert.

 

[andy_m4]

Mit dem PW-Manager des Browsers vertraust du dem Entwickler des Browsers deine Passwörter an

Dem Browserhersteller musst Du doch sowieso vertrauen. Weil letztlich schickst Du ja die Login-Daten doch durch den Browser um Dich irgendwo einzuloggen. Dieser Denkansatz a-la "Ich vertraue den Browserhersteller nicht und verwende deshalb einen externen Passwort-Manager" geht also so oder so fehl.

Der eigentliche Grund warum man seine Passwörter nicht im Browser speichern sollte ist die Tatsache das Browser gegenüber dem Internet ziemlich exponiert sind und zudem unter Sicherheitslücken leiden. Und wenn so eine Sicherheitslücke ausgenutzt wird bedeutet das halt im schlimmsten Fall das all Deine Passwörter "weg" sind und nicht nur die, die Du gerade zufällig benutzt.
DAS ist der Grund warum man (aus Perspektive der Sicherheit betrachtet) Passwörter nicht im Browser speichern will und nicht der, das man dem Browserhersteller nicht vertraut.