Passwort-Manager Sicherheit bei Clouddiensten?

[TossExecutor]

Hallo zusammen,

ich spiele mit dem Gedanken mir Proton Pass zu holen, ich blicke bei dem Sicherheitskonzept allerdings noch nicht so durch. Hat das mal wer von euch ausprobiert oder hat eine Meinung dazu? Aktuell benutzte ich KeyPass, muss aber dafür natürlich jedes Mal dran denken den USB-Stick mitzunehmen, auf dem ich die lokale Datei gespeichert habe, wenn ich den Standort wechseln möchte. Ich weiß halt nicht wie sicher es ist, wenn die Datenbank zu den Passwörter auf einem Server liegt. Könnte mir natürlich auch vorstellen, dass ich z.B. Passwörter für Banking dann lokal auf meinem Stick belasse und nur für unwichtigeres die Cloud Lösung verwendet, da bin ich aber noch nicht sicher. Hängt auch davon ab was ihr dazu meint.

Wir sichert ihr denn eure Passwörter sonst? V.a. diese automatische E-Mail Alias Funktion von Proton Pass reizt mich ja schon, ich bin immer genervt wenn meine E-Mails für Werbezwecke verkauft werden, so könnte ich ganz einfach nachvollziehen woher die Werbung kommt und den Alias löschen.

Vielen Dank schon Mal im Voraus.

 

[Azghul0815]

Solange die Daten in der Cloud verschlüsselt sind und nur du den Schlüssel hast, ist das Zeugs erstmal sicher.
Die Frage ist halt, traust du dem Anbieter, dass nur du den Schlüssel hast?

Ich nutze KeePass und hab die Datei auf dem NAS, bin mit dem NAS via Wireguard verbunden und habe dadurch alles bei mir. Überlege aber auch z.b. Zu 1password zu wechseln.

 

[chris_2401]

ich hab keepass datenbanken via syncthing zwischen pc, laptop, handy, nas und backup-nas synchronisiert.
alias dienste gibts auch andere.

 

[einfachpeer]

Ich habe eine extra Mail mit einem mit Multi Faktor gesicherten Bitwarden Account.

Das funktioniert so :

Mail Login Kryptisch und 2FA

Neue Geräte müssen mit Passwort und 2FA freigegeben werden

Bei jedem Login Biometrie und/oder Passwort nutzen.

Und bei neuen Logins bekomme ich eine Mail.

Ich finde das sehr gut und es ist kostenlos. Man könnt für mehr Sicherheit sonst auch den Server selber hosten

 

[Vexz]

Ich nutze KeePass und hab die Datei auf dem NAS, bin mit dem NAS via Wireguard verbunden und habe dadurch alles bei mir. Überlege aber auch z.b. Zu 1password zu wechseln.

Wenn du schon ein NAS hast, empfehle ich dir zu überlegen, ob Bitwarden in Docker auf dem NAS für dich eine Lösung wäre. So hast du das "Cloud Feeling", aber alles bleibt in eigener Hand und landet nicht in der Cloud.

@TossExecutor
Ich habe genau diese Lösung in Benutzung. Ein Bitwarden (bzw. Vaultwarden in meinem Fall) Server läuft in Docker auf meinem NAS. Die Daten werden täglich automatisch nochmal extra verschlüsselt und in eine Cloud hoch geladen, so dass sie dort auch nochmal geschützt gesichert sind.

 

[TossExecutor]

ne ich habe kein NAS und mit Raid ist mir die Hardware Investition gerade zu viel.

 

[conf_t]

Geht auch fancier mit Nextcloud und dann ohne VPN.
Gibt z.B. Anbieter die das bereitstellen und so kannst du dort auch gleich die sonstigen Clouddienste von Google/Apple weitesgehend umgehen.

Meine Fotos -> Laden sich per Nextcloud hoch und per Nextcloud auf die PCs
Mein Keepass? -> Dito und KeepassXC ist auch wunderbar multisessionfähig
Mein Adressbuch auf dem Handy, dem Festnetztelefon usw.? -> Syncen sich über meine Nextcloud
Kalender-Sync -> dito
Musikstreaming? -> MP3-Sammlung liegt in meiner Nextcloud
Mailanhänge vom Handy aus ablegen und von einem beliebigen anderen Gerät lesen -> Nextcloud..

5 weitere Familienmitglieder es bei mir mit (eigenes Konto).

 

[tollertyp]

Für ein selbst gehostetes Bitwarden (Vaultwarden) reicht auch ein Raspi.

 

[GucciGünther]

Du kannst dich auch einfach mit deiner Mail bei den Diensten in folgendem Format anmelden:
Name+Amazon@domain.com

Dadurch kriegst du weiterhin die Mail an dein Postfach und kannst auch direkt sehen von welchem Dienst das dann kam bzw. wo evtl. deine Daten verkauft wurden.

 

[the_ButcheR]

Meine Datenbank liegt einfach auf Dropbox. Schlüsseldatei und Passwort hab nur ich. Ich vertrau Keepass, dass die Verschlüsselung korrekt implementiert ist und es keine Hintertür gibt.

 

[tollertyp]

Du kannst dich auch einfach mit deiner Mail bei den Diensten in folgendem Format anmelden:
Name+Amazon@domain.com

Sicher, dass das überall geht?

 

[shookon3]

ich nutze keepass in Verbindung mit einem teil eigenem passphrase und einem teil vom yubikey erzeugt + Challenge Response des yubikeys, gesichert ist die keepass Datenbank auf meinem nas und in apples cloud

hatte vor jahren mal nextcloud als eigene Instanz laufen aber dort gab es bei mir häufiger sync Probleme und was den abgleich und das überschreiben der vorhandenen Datenbank betrifft

prinzipiell halte ich von den ganzen closedsource Password*managern* wie 1password garnichts, die Datenlecks eben solcher haben in der Vergangenheit ja sehr gut gezeigt wie sicher diese sind

 

[jo0]

Proton Pass ist doch Opensource, sowie eigentlich alles bei Proton. Vertrauen kann man den in der Hinsicht schonmal. Zudem haben sie sich mit ProtonMail und ProtonVPN einen Namen gemacht. Ich bin auch am überlegen, ob ich das Nutzen werde. Allein weil ich sowieso schon ein Unlimited Acc bei Proton habe.

 

[NJay]

ne ich habe kein NAS und mit Raid ist mir die Hardware Investition gerade zu viel.

KeePass ist doch verschlüsselt. Du kannst die Datei also auch einfach per OneDrive/GoogleDrive, etc. synchronisieren.

 

[shookon3]

Proton Pass ist doch Opensource, sowie eigentlich alles bei Proton. Vertrauen kann man den in der Hinsicht schonmal. Zudem haben sie sich mit ProtonMail und ProtonVPN einen Namen gemach

ja sie haben sich einen Namen gemacht, einen Namen der gerne mit Behörden vor allem außerhalb der EU kommuniziert
https://steigerlegal.ch/2021/08/02/protonmail-daten-usa/
https://tarnkappe.info/artikel/it-s...mit-den-strafverfolgungsbehoerden-167162.html
dennoch beide quellen mit Vorsicht zu genießen

noch dazu kommt dass deren Struktur eben NICHT vollständig opensource ist, wie bei Allen Sachen der IT ist das immer ein abwägen zwischen Bequemlichkeit und Sicherheit

 

[revunix]

Wenn es um einen Passwort-Manager in der Cloud geht, dann empfehle ich 1Password. Bis jetzt gab es nur Versuche, 1Password zu hacken, aber soweit ich weiß, ist das noch nie erfolgreich gelungen. Der Anmeldevorgang erfordert eine ganze Reihe von Sicherheitsmaßnahmen: E-Mail, Secure Key, Passwort, 2FA und optional sogar einen YubiKey. Mein unverschlüsseltes Backup von 1Password bewahre ich zusätzlich in einem Cryptomator-Container auf, ebenso wie meine Zugangsdaten. Für den Notfall habe ich alles auch ausgedruckt und in einem Bankschließfach hinterlegt. KeePass und Bitwarden sind für mich persönlich einfach zu unattraktiv und unhandlich in der Bedienung. Ich habe bisher jeden Passwort-Manager getestet, und alle – außer 1Password – waren für mich schlichtweg unbrauchbar.

 

[1lluminate23]

Nehmt es mir nicht krumm, aber warum müssen die Passwörter immer in die Cloud? Mir persönlich wäre das zu gefährlich, da ich Cloudanbieter immer als potenzielle Opfer von Angriffen sehe. Ich nutze KeePass und Passwörter für Websites und Dienste habe ich mobil im iPhone Passwortmanager oder oft biometrisch.

Ich habe meine Keepass-Datei auf einem USB-Stick und einer externen SSD im Bankschließfach.

Ich halte zwar eine Keepass-Datei bei Google Drive oder Dropbox, etc. als „sicher“ weil sie AES verschlüsselt ist, aber ich komme nicht auf die Idee die Datei in die Cloud zu legen, ob NAS, bezahlte Cloud und VPN. Ist mir alles zu riskant.

 

[tollertyp]

@revunix: Was war denn an der Bedienung von Bitwarden so viel unhandlicher als bei 1Password?
Und was macht sie für dich konkret "unbrauchbar"?

 

[jo0]

ja sie haben sich einen Namen gemacht, einen Namen der gerne mit Behörden vor allem außerhalb der EU kommuniziert
https://steigerlegal.ch/2021/08/02/protonmail-daten-usa/
https://tarnkappe.info/artikel/it-s...mit-den-strafverfolgungsbehoerden-167162.html
dennoch beide quellen mit Vorsicht zu genießen

noch dazu kommt dass deren Struktur eben NICHT vollständig opensource ist, wie bei Allen Sachen der IT ist das immer ein abwägen zwischen Bequemlichkeit und Sicherheit

Ok, dass wusste ich nicht.. Schade. Aber trotzdem sollte zumindest der Container sicher sein. Die weitergabe erfolgt ja auch "nur", wenn man wirklich was illegales machen sollte und die Daten angefragt werden.

 

[shookon3]

hat der Staat(nehmen wir das mal als Begriff für Polizei etc) erstmal die Möglichkeit etwas zu bekommen, sei es auch nur über einen richterlichen Beschluss bei schwerststraftsten dann kann man eigentlich an 2 Händen runterzählen wie lange es dauert bis es auch für ganze banale Sachen benutzt wird.
Gutes Beispiel ist die Stille sms die mittlerweile sogar bei weed dealern benutzt wird