Vor dem Anmeldefenster eines Dienstes steht manchmal die Frage, welches Passwort hier eigentlich gilt. Auf dem Zettel neben der Tastatur steht eines, im Kopf liegen zwei ältere Versionen, und beim dritten Versuch kommt die Sperrmeldung. Danach wird das Konto monatelang nicht mehr angefasst.
Das E-Mail-Konto kommt zuerst
Über das Postfach laufen die Rücksetzlinks der anderen Dienste. Wer dort hineinkommt, kann bei vielen Anbietern ein neues Passwort für ein fremdes Konto anfordern. Deshalb steht das E-Mail-Konto am Anfang, auch wenn es nicht das Konto ist, an das du zuerst denkst. Zwei Handgriffe zählen hier: ein eigenes, langes Passwort nur für dieses Postfach und ein zweiter Faktor für die Anmeldung.
Der Aufwand lässt sich vorher ausrechnen. Nehmen wir an, du zählst 40 Zugänge, die dir wichtig sind, und rechnest drei Minuten pro Zugang. Das sind 120 Minuten, also zwei Stunden. Bei 20 Minuten pro Abend wären es sechs Abende. Die Rechnung sagt nichts über die Sicherheit der einzelnen Passwörter.
Nicht jede Nachricht, die zur Anmeldung drängt, kommt von dem Dienst, dessen Namen sie trägt. Bevor du auf einen Link reagierst, gehört sie zuerst zu verdächtige Nachrichten prüfen: Das Postfach ist der Ort, an dem sich solche Versuche sammeln.
Drei Dinge, die nicht dasselbe sind
Ein einzigartiges Passwort schützt ein Konto, solange es niemand errät und solange es nicht in einer fremden Datenbank auftaucht. Ein Passwortmanager speichert die vielen Passwörter verschlüsselt und öffnet sie mit einem Masterpasswort. Ein zweiter Faktor ist etwas anderes: eine Bestätigung auf einem Gerät, ein Sicherheitsschlüssel oder ein Merkmal, das zu dir gehört. Erst dieser Faktor hilft, wenn ein Passwort bereits bekannt ist.
Konten-Checkliste zum Ausdrucken
Eine Reihenfolge für einen einzigen Abend. Nicht das ganze Leben umstellen, sondern mit dem Konto beginnen, über das alles andere läuft.
- Das E-Mail-Konto zuerst. Über dieses Konto laufen die Rücksetzlinks der meisten anderen Konten.
- Zwei Dinge auseinanderhalten: ein eigenes Passwort und ein zweiter Faktor. Zwei verschiedene Passwörter sind keine zwei Faktoren.
- Für jedes wichtige Konto ein eigenes Passwort. Wiederverwendung ist das eigentliche Risiko, nicht die Länge allein.
- Den zweiten Faktor dort einschalten, wo er angeboten wird. Bei besitzbasierten Verfahren den Verlustfall mitdenken.
- Einen Wiederherstellungsweg einrichten, bevor der alte Zugang wegfällt. Nach den Anbieteranweisungen, nicht aus dem Gedächtnis.
- Ein einziges Konto umstellen, die Anmeldung prüfen, dann eine Pause machen. Der Rest kann warten.
Diese Liste enthält keine Felder für echte Zugangsdaten. Bitte niemals Passwörter in OnProm eingeben oder uns zusenden.
Die Liste hat keine Spalte für das Passwort selbst; abgehakt wird nur, was eingerichtet ist.
Zwei verschiedene Passwörter sind noch keine zwei Faktoren. Sie gehören beide zur Kategorie „Wissen“ und werden über dieselbe Tastatur eingegeben. Wer ein Passwort aus einer fremden Datenbank kennt, hat damit nicht automatisch den zweiten Faktor.
Zu den Konten mit zweitem Faktor gehören auch die, hinter denen Erinnerungen liegen. Wer alte Familienfotos ordnen will, braucht Zugang zu einem Speicher, in dem Bilder über Jahre liegen. Dieses Konto ist wichtiger als der Streamingdienst.
Einen Manager auswählen, ohne Rangliste
Der Unterschied, der für die Auswahl zählt, liegt in der Bauart: ein Tresor auf einem einzigen Gerät oder eine verschlüsselte Sammlung, die zwischen mehreren Geräten abgeglichen wird. Die lokale Variante ist ohne Sicherung weg, wenn das Gerät verloren geht; die abgeglichene ist bequemer und bringt den Anbieter ins Spiel, der die verschlüsselten Daten transportiert.
Vier Fragen vor der Entscheidung: Wird der Tresor auf dem Gerät verschlüsselt? Wie regelmäßig wird die Software aktualisiert? Ist das Gerät selbst durch eine Bildschirmsperre geschützt? Und welchen Weg gibt es, wenn das Masterpasswort oder das Gerät fehlt? Eine Rangliste einzelner Hersteller hilft hier nicht, weil Funktionen und Preise sich ändern.
Eine Sicherung des Tresors ist sinnvoll, aber nur verschlüsselt, in der Form, die die Software anbietet. Ein unverschlüsselter Export ist eine lesbare Datei mit allen Passwörtern und gehört auf kein durchsuchbares Laufwerk. In einem Haushalt mit mehreren Geräten ist das ein Punkt für Medienregeln in der Familie vereinbaren: Wer kümmert sich um die Updates, und wo liegt die Sicherung?
Erst ein Konto, dann das nächste
Die Reihenfolge ist eine Arbeitshilfe und keine Vorschrift:
- E-Mail-Postfach: neues Passwort, zweiter Faktor, Wiederherstellungswege prüfen.
- Konten mit Geld: Onlinebanking, Bezahldienste, Kartenverwaltung.
- Konten mit Ausweisbezug: Mobilfunk, Versicherungen, Behördenkonto.
- Konten mit vielen persönlichen Daten: Fotospeicher, Cloud, soziale Netzwerke.
Nach jeder Umstellung einmal abmelden und neu anmelden; sonst merkt man erst später, dass der zweite Faktor nicht greift. Die Unterlagen aus den Finanzkonten brauchen einen eigenen Platz: Kontoauszüge und Jahresabrechnungen lassen sich für ein einfaches Haushaltsbuch führen in einem Ordner sammeln.
Dasselbe gilt für Gesundheitsunterlagen: Notizen, die du für ein Arztgespräch vorbereiten anlegst, sind vertraulich und gehören nicht in dieselbe Datei wie Zugangsdaten.
Wenn das Handy weg ist oder das Masterpasswort fehlt
Der Fall, der die meisten umwirft, ist der Verlust des eigenen Geräts, nicht der Angriff von außen. Deshalb gehört der Rückweg vorbereitet, bevor etwas passiert: Prüfe Wiederherstellungsadresse und Telefonnummer im Konto, richte den zweiten Faktor mit Blick auf ein Ersatzgerät ein und notiere die Wiederherstellungscodes. Diese Codes gehören auf Papier in einen verschlossenen Umschlag zu Hause, nicht in dieselbe Tasche wie das Gerät.
Bei einem vergessenen Masterpasswort gibt es keine allgemeine Lösung: Manche Produkte bieten einen Notfallzugang, andere nicht. Verlässlich sind nur die konkreten Anweisungen des jeweiligen Anbieters. Passkeys sind eine zusätzliche Entwicklung: Einige Dienste lassen damit die Anmeldung über das entsperrte Gerät zu. Sie funktionieren anders als ein gespeichertes Passwort und beantworten die Fragen nach Ersatzgerät und Wiederherstellung nicht.
Hilfe anzunehmen ist erlaubt, die Zugangsdaten bleiben bei dir. Wer Unterstützung sucht, kann mit kleiner Nachbarschaftshilfe anfangen und eine Regel mitbringen: Die andere Person darf zusehen und erklären, getippt wird das Passwort von dir.
Die kurze Liste für den Ausdruck
Am Ende bleibt eine Liste, die auf eine halbe Seite passt und keine Spalte für das Passwort selbst hat:
- Postfach mit eigenem Passwort und zweitem Faktor.
- Die fünf wichtigsten Konten benannt.
- Für jedes dieser Konten ein eigenes Passwort.
- Zweiter Faktor überall dort, wo er angeboten wird.
- Wiederherstellungsadresse und Telefonnummer aktuell.
- Sicherung des Tresors vorhanden und verschlüsselt.
- Eine Person im Haushalt, die den Notfallweg kennt, ohne die Passwörter zu kennen.
Die Checkliste lässt sich ausdrucken und abhaken; sie fragt keine Zugangsdaten ab, sondern nur, ob etwas eingerichtet ist. Wer sie nach einem halben Jahr hervorholt, findet meist zwei Punkte, die nicht mehr stimmen. Das ist kein Rückschritt, sondern der Normalfall.
