Locker
Wer kennt nicht diese Situation am Arbeitsplatz: Eine neue Applikation verlangt mal wieder, dass ein neuer Benutzer angelegt und ein Kennwort vergeben wird. Einige Wochen später läuft das Kennwort ab und muss ersetzt werden – und natürlich muss das neue auch wieder super kryptisch sein. Wer soll sich denn das alles merken? Dann also lieber gleich ein Passwort für alle Applikationen und sonstigen Anwendungen, und schon ist das Passwortdilemma vorbei … Von wegen!
Dieses Problem ist sicher weit verbreitet und ich schätze, dass es in mindestens 90 % aller Unternehmen „normal“ ist, ein Passwort für alles herzunehmen. „Die Sicherheitsvorgaben sind daran schuld!“, kommt dann schnell mal als Antwort auf die kritische Nachfrage. Aber vielleicht sollte man sich lieber zuerst an die eigene Nase fassen und sich die Frage stellen, „Bin ich doch eher zu bequem?“. Ich weiß, das klingt nicht nett, aber Bequemlichkeit ist sicherlich oft der Hauptgrund für solche Nachlässigkeiten.
Denkansatz
Wechseln wir einmal die Sichtweise von der Arbeit zum Privaten und stellen wir uns die Frage, wie zuhause mit verschiedenen Benutzernamen und Passwörtern umgegangen wird. Dort ist die Situation identisch, nur dass es hier wahrscheinlich um mehr Konten geht als bei der Arbeit: WLAN-Kennwort hier, Streamingdienst da, Online-Einkäufe dort, das E-Mail-Kennwort gibt es auch noch, das Smartphone nicht vergessen und, und, und – es nimmt kein Ende. Starten wir doch mal einen kleinen Versuch, bei dem jeder mitmachen kann. Benötigt wird nur etwas zu schreiben, Papier und Stift reichen völlig aus.
Arbeit vs. privat
Eine Spalte auf dem Papier wird mit „Arbeit“ beschriftet und eine weitere Spalte mit „privat“. In der jeweiligen Spalte wird jetzt jede Applikation, Anwendung, alle Zugangsdaten und sonstige Konten notiert. So ergibt sich recht schnell eine Übersicht und man erkennt gleich, wer der „Gewinner“ ist. Bei mir war es eindeutig „privat“: Hier gab es nicht bloß doppelt so viele Einträge wie unter „Arbeit“, sondern locker das sechsfache – und das war nur das, was mir zu dem Zeitpunkt eingefallen ist. Dieses kleine Spielchen hat mir jedenfalls gezeigt, dass die Zahl der unterschiedlichen Zugangsdaten im privaten Umfeld deutlich höher ist als im Unternehmen.
Kleine Zwischenfrage: Wie geht Ihr mit euren privaten Zugangsdaten um? Gilt hier auch die Devise „ein Passwort für alles“? Dann wird es Zeit, dies zu ändern! Ja, das geht auf Kosten der Bequemlichkeit, aber ist es euch egal, wenn die Zugangsdaten in Untergrundforen billig verkauft und dann missbraucht werden? Wem das nicht egal ist, der sollte spätestens jetzt darüber nachdenken, wie der Passwort-Wildwuchs beherrscht werden kann.
Papier und/oder digital?
Die Möglichkeiten sind überschaubar, da nur zwei Methoden für die dauerhafte Speicherung der Zugangsdaten in Frage kommen: Klassisch mit Stift und Papier oder eine digitale Lösung mit einem Passwortmanager.
Offline Notebook aka Notizbuch
Die Lösung mit Papier hat ihren eigenen Charme. Ein Adressbuch mit Buchstabenverzeichnis lohnt sich dafür definitiv. Dass jemand gezielt einbrechen will, um das Adressbuch zu entwenden, gehört wohl eher ins Reich der Agentenfilme und Krimis. Der größte Trumpf der Papiermethode ist ganz klar: Da nichts digital vorliegt, kann auch nichts digital entwendet werden. Das größte Manko ist dagegen der Aufwand. Bei kryptischen Kennwörtern ist der Spaßfaktor sicherlich gering, wenn man 30 Stellen mit Groß-/Kleinbuchstaben und Sonderzeichen händisch notieren muss.
Digitaler Password Safe
Und wie schaut es mit der digitalen Lösung aus? „KeePass Password Safe“ ist der gebräuchlichste Passwortmanager, der lokal auf dem eigenen Gerät die Zugangsdaten verwaltet. Von Cloud Password Safes rate ich ab, denn Cloud und Safe, das passt nicht zusammen. Aber da scheiden sich die Geister. Meine Daten sollen jedenfalls bei mir bleiben und daher ist meine erste Wahl KeePass.
Beispiel mit KeePass
Mit der Nutzung von KeePass zuhause im privaten Umfeld gibt es keine Ausreden mehr, warum ein Passwort für alle Zugangsdaten herhalten muss. Dank des integrierten Passwortgenerators sind auch kryptische und lange Kennwörter möglich. Das Prinzip ist denkbar simpel: Es müssen nur überall einmal die Passwörter geändert werden und ab jetzt ist nur noch ein Kennwort zu merken, jenes von KeePass! Und auch das ist kein Problem – einfach aufschreiben und fertig ist die Symbiose zwischen Papier und digital. Aber dann bitte nicht das Post-it am Bildschirm befestigen, etwas mehr Einfallsreichtum ist sicher nicht verkehrt.
Alles soweit OK, oder irgendwie doch nicht? KeePass sichert den Zugang zur eigenen Passwort-Datenbank mit einem Kennwort ab. Hmmm, aber welches nehmen, fragt man sich da vielleicht. Jedenfalls eines, das noch nicht verwendet wurde, und das man sicherheitshalber im Papierformat „abspeichert“, wäre meine Antwort. „Und was ist, wenn mein Rechner infiziert ist?“, könnte die nächste Frage lauten. Tja – vollständige Sicherheit gibt es nun mal nicht.
Der Kreis schließt sich
Da jetzt zuhause alles klar und einfach geregelt ist (Ja, ja, leider auf Kosten des Komforts!), was spricht dagegen, das Ganze nun auch bei der Arbeit im Unternehmen umzusetzen? Eigentlich nichts, denn KeePass muss nicht installiert werden! Es gibt eine portable Version und daher kann jeder auch ohne Adminrechte seinen eigenen Passwort-Safe bei der Arbeit nutzen. Das im privaten Umfeld Gelernte ist so auch am Arbeitsplatz problemlos einsetzbar. Ich kann dies jedenfalls nur empfehlen, und bei den „paar“ Zugangsdaten sieht meine dienstliche KeePass-Datenbank recht leer aus, im Gegensatz zu meiner privaten.
Use IT!
Viele Arbeitgeber werden sicher schon eine Lösung für die Passwortverwaltung bereithalten und die Nutzung auch einfordern – also benutzt sie! Wenn schon alles dafür vorgesehen ist, was ist leichter, bestehende Applikationen und somit auch schon vorhandenes internes Wissen zu nutzen? Also nicht ängstlich sein, ran an KeePass und los geht’s mit der Verwaltung der eigenen Zugangsdaten. Viel Spaß! 😀
