Passwort-Manager und Krypto: was hinein darf und was niemals

Ein Passwort-Manager ist eines der besten Sicherheitswerkzeuge, die die meisten Menschen nutzen können. Er erzeugt starke, einzigartige Passwörter, füllt sie nur auf den richtigen Websites aus und beendet die Wiederverwendung von Passwörtern – die Gewohnheit hinter einem riesigen Anteil aller Kontoübernahmen.

Da liegt die Frage nahe: Sollten Ihre Krypto-Geheimnisse ebenfalls dort hinein? Manche schon. Eine Kategorie fast nie. So ziehen Sie die Grenze.

Worin ein Passwort-Manager gut ist

• Einzigartige, starke Passwörter für jede Börse, jedes E-Mail-Konto und jeden Dienst, sodass ein Datenleck nicht die anderen öffnet.
• Schutz vor Phishing. Ein guter Manager füllt ein Passwort nur auf genau der Domain aus, für die es gespeichert wurde. Bietet er das Ausfüllen nicht an, sind Sie vielleicht auf einer nachgemachten Website – ein kostenloses Warnsignal.
• Sichere Notizen und Teilen für Dinge wie Wiederherstellungscodes von Konten, mit einer Verschlüsselung, die Sie nicht selbst bauen müssen.

Für alles, was ein Konto schützt – Börsen-Logins, E-Mail, das Passwort, das Ihre Wallet-App entsperrt –, ist er meist der richtige Ort.

Die Grenze: Konten gegenüber Schlüsseln

Zwischen diesen beiden Arten von Geheimnissen besteht ein grundlegender Unterschied:

• Ein Kontopasswort schützt den Zugang zu einem Dienst. Wird es bekannt, hat der Dienst weitere Schutzmechanismen – Zwei-Faktor-Authentifizierung, Auszahlungsbestätigungen, Warnungen bei neuen Geräten – und Sie können es zurücksetzen.
• Eine Wiederherstellungsphrase oder ein privater Schlüssel ist das Geld. Wer sie besitzt, kontrolliert die Mittel, von überall aus, ohne einen Dienst dazwischen, ohne zweiten Faktor und ohne Zurücksetzen.

Ein Passwort-Manager bündelt viele Geheimnisse hinter einem einzigen Master-Passwort, meist über die Cloud synchronisiert und auf Alltagsgeräten entsperrt. Für Kontopasswörter ist das ein vernünftiger Kompromiss. Bei einer Wiederherstellungsphrase macht es Ihr wertvollstes Geheimnis zu einem weiteren Eintrag in einem Tresor, der online ist, auf Ihrem Allzweckcomputer liegt und nur eine Kompromittierung des Master-Passworts von der Offenlegung entfernt ist.

Was hinein darf – und was nicht

Vertretbar in einem Passwort-Manager:

• Passwörter für Börsen und E-Mail.
• Zwei-Faktor-Backup-Codes für diese Konten (idealerweise in einem anderen Tresor als die Passwörter selbst).
• Das Passwort, das Ihre Wallet-App auf einem Gerät entsperrt.
• Notizen zu Ihrem Setup: welche Wallets Sie nutzen, wo Ihre Backups liegen – ohne die Geheimnisse selbst.

Gehört nicht hinein:

• Wiederherstellungsphrasen (Seed-Wörter).
• Private Schlüssel und erweiterte private Schlüssel.
• Fotos oder Scans von Backups der Wiederherstellungsphrase.

Wiederherstellungsphrasen gehören offline, auf Papier oder Metall, an einen physisch sicheren Ort. Best Practices für die Seed-Phrase erläutert die Möglichkeiten.

Den Passwort-Manager selbst absichern

Wenn der Manager Ihre Börsen- und E-Mail-Passwörter enthält, verdient er ernsthaften Schutz:

• Ein langes, einzigartiges Master-Passwort, das Sie nirgendwo sonst verwenden.
• Starke Zwei-Faktor-Authentifizierung für das Konto des Managers – eine Authenticator-App oder ein Sicherheitsschlüssel statt SMS. Mobile 2FA richtig gemacht erklärt den Unterschied.
• Halten Sie die Geräte aktuell, die ihn entsperren, und seien Sie vorsichtig bei Browser-Erweiterungen, die Sie nicht brauchen.
• Haben Sie einen Plan für den Notfallzugriff – viele Manager unterstützen eine Vertrauensperson –, damit Ihre Konten nicht mit Ihnen sterben.

So funktioniert das mit SSP

SSP hat zwei Arten von Geheimnissen, und sie passen genau zu dieser Aufteilung:

• Die Passwörter, die SSP Wallet und SSP Key auf Ihren Geräten entsperren. Sie schützen die verschlüsselten Schlüssel, die lokal auf jedem Gerät gespeichert sind. Das SSP-Wallet-Passwort in einem Passwort-Manager zu speichern, ist für viele Menschen eine vernünftige Wahl.
• Die beiden Wiederherstellungsphrasen – eine für SSP Wallet, eine für SSP Key. Sie sind die Schlüssel zu Ihrem Tresor. Bewahren Sie sie offline auf und getrennt voneinander.

Der zweite Punkt ist bei SSP wichtiger als bei einer Wallet mit nur einem Schlüssel. Ihre Mittel benötigen beide Schlüssel. Liegen beide Wiederherstellungsphrasen im selben Passwort-Manager, erhält jeder, der in diesen Manager gelangt, beide Schlüssel auf einmal, und das 2-of-2-Design schützt Sie nicht mehr. Getrennt und offline aufbewahrt, fehlt einem Angreifer selbst nach einer Kompromittierung Ihres Computers oder Passwort-Managers noch immer ein Schlüssel.

Wenn Ihr Passwort-Manager kompromittiert ist

1. Ändern Sie das Master-Passwort und prüfen Sie die Sitzungen und Geräte des Kontos.
2. Ändern Sie zuerst die Passwörter Ihrer wertvollsten Konten – E-Mail und Börsen.
3. Falls dort jemals eine Wiederherstellungsphrase gespeichert war, betrachten Sie diese Wallet als kompromittiert: Erstellen Sie eine neue Wallet und verschieben Sie die Mittel.
4. Prüfen Sie Ihre Börsen auf neue Auszahlungsadressen, API-Schlüssel oder Einstellungen, die Sie nicht vorgenommen haben.

Die ehrliche Zusammenfassung

Nutzen Sie einen Passwort-Manager – er macht fast jedes Konto sicherer. Legen Sie Ihre Passwörter hinein, auch das, das Ihre Wallet-App entsperrt. Halten Sie Ihre Wiederherstellungsphrasen heraus, offline und bei einer Multisig wie SSP voneinander getrennt.

Die Regel ist einfach: Lässt sich ein Geheimnis zurücksetzen, ist der Manager ein gutes Zuhause. Ist das Geheimnis das Geld, gehört es nirgendwohin, wo es online ist. Für den Rest Ihres Setups ist eine Krypto-Opsec-Checkliste ein guter nächster Schritt.