# Drehbuch Variante A – „Alltagsgeschichte“: Erika steigt die Leiter hoch

- **Vortrag:** „Passwortmanager – Schutz oder Schnickschnack?“ (Impulsvortrag, Deutsch, du/ihr)
- **Anlass:** DI.DAY, Sonntag, 1. November 2026, 11–13 Uhr · zu Gast bei luise Oranienburg („lieber unabhängig und informationell selbstbestimmt“) · Oranienwerk, Kreativ Oase, Kremmener Straße 43, Oranienburg
- **Referent:** Matthias Kerk · Folien als reveal.js im Browser (offline, Doppelklick)
- **Gesamtdauer:** Planzeit 14:40 von 15:00 Minuten, danach Live-Demo und Umzugshilfe (nicht Teil dieses Drehbuchs)
- **Wortzahl Sprechtext:** 1.651 Wörter (per Skript gezählt: nur die Sprechtext-Absätze, ohne Regieanweisungen in Klammern). Bei 120 Wörtern pro Minute sind das 13:46 Minuten, dazu ca. 54 Sekunden für drei Handzeichen (je 9 s), eine stille Frage (10 s) und Lacher. Macht 14:40, also 20 Sekunden Puffer. Gegenprobe bei langsamen 115 Wörtern pro Minute: 15:15. Dann greifen die ersten drei Kürzungen (zusammen ca. 25 s).
- **Folien:** 20 im Vortrag, dazu Folie 21 (Bildnachweise) für die Überleitung zur Demo · 39 Klicks insgesamt, höchstens 4 pro Folie
- **Stand:** 26.10.2026 · überarbeitete Fassung nach drei Jurys (Laien, Bühne, Fakten), Änderungen am Ende im „Änderungsprotokoll (Jury)“

**Die Idee:** Erika Mustermann (ja, die vom Musterausweis, also erkennbar erfunden) steigt im Lauf ihres digitalen Lebens die sechs Stufen hoch. Sie erlebt dabei typische Momente: den Zettel im Videocall, das Passwortbuch im Umzugskarton, den Tag, an dem Microsoft abschaltet. In jede Episode sind die belegten Fakten eingewoben. Erzählt wird **mit** Erika, nicht über sie: Sie macht, was fast alle machen, lernt auf jeder Stufe dazu, liest nach, bevor sie unterschreibt, und entscheidet am Ende nach ihren Geräten, nicht nach Klischee. Running Gag ist Erikas Einheitspasswort „kaffeetasse“. Es steht wirklich auf Platz 6 der meistgeleakten Passwörter in Deutschland 2025 (HPI) und steckt in allen drei Skizzen: am Schlüssel (Stufe 1), auf dem Post-it (Stufe 2), im Passwortbuch beim WLAN (Stufe 3). Auf Folie 17 darf die Tasse dann „wieder einfach Kaffee enthalten“.

## Kernbotschaften

1. **Das Problem ist nicht das schwache, sondern das wiederverwendete Passwort.** Ein einziges Leck irgendwo öffnet sonst alle Türen. Dieser Satz steht auf Folie 6 als Schlagzeile. (L1-07, T2-24)
2. **Jede Stufe nach oben zählt, und oben wartet ein Tresor, der dir gehört.** Bordmittel und Abo-Tresore sind nicht „unsicher“. Die DI.DAY-Frage lautet: Wem gehört der Tresor? Kann ich reinschauen? Welches Recht gilt? (L2-10, L2-08, T1-11, T1-12, T1-14)
3. **Ein gutes Master-Passwort, dann zuerst das E-Mail-Konto: neues Passwort aus dem Tresor, Zwei-Faktor an. Danach reicht eine Sache pro Monat.** Kein Ändern nach Kalender, Länge vor Sonderzeichen. (T3-02, T3-05, T3-29, T3-26, T1-07)

## Regie-Konventionen

- **(Klick)** heißt: nächstes Fragment in reveal.js. Einfache Einblendungen, keine Bewegungspfade. Höchstens 4 Klicks pro Folie.
- **(Pause)** heißt: 1 bis 2 Sekunden wirken lassen.
- **(Handzeichen)** heißt: Frage ans Publikum, Hände kurz zählen und kommentieren, **8 bis 10 Sekunden** einplanen.
- **(Stille Frage)** heißt: Frage, die jede und jeder nur für sich beantwortet. Etwa 10 Sekunden still stehen lassen, nicht nachfragen.
- Alle Erika-Episoden sind erfunden und werden auch so erzählt. Alle Zahlen, Zitate und echten Fälle sind belegt, die Fakt-IDs stehen bei jeder Folie (L… = `recherche/stufenleiter.md`, T… = `recherche/faktenblatt.md`).

## Wiederkehrende Visuals (alles im Skizzen-Stil)

- **Ein Look für alles.** Alle Grafiken sehen aus wie Marker-Skizzen, so wie die drei Stufen-Illustrationen. Konturen in Tinte #23122a, leicht krakelig, gelegentlich doppelt gezogen. Farbflächen wie mit breitem Marker, leicht versetzt zur Kontur, teils schraffiert. Beschriftungen in Caveat. Farben: Lila #74157d / #dcb8e2, Orange #fea300, Post-it-Gelb #ffd84d / #f2b705, Warnrot #e5533d / #f7b9ad, Grün #2f8f46, Neutral #d9d4c7 / #ece7da, Bildschirm-Blau #cfe3f7. Freundlich und mit Augenzwinkern: keine Kapuzen-Hacker, keine Totenköpfe, keine echten Gesichter. Pixel gibt es nur noch als DI.DAY-Deko: Pixelband oben und unten (`assets/deko/`) und Silkscreen für „STUFE 1“ bis „STUFE 6“ sowie für „Schutz.“ auf Folie 19.
- **Erika als Skizzenfigur.** Eine einfache, freundliche Marker-Figur: lila Strickjacke (#74157d), orange Kaffeetasse (#fea300), Gesicht nur aus zwei Punkten und einem Strich. **Drei Posen** als getrennte SVGs: *neutral* (Tasse in der Hand), *hoppla* (Hand vor dem Mund, Tasse kippelt; für Videocall, Umzug, Microsoft) und *zufrieden* (Daumen hoch; Stufe 6, Bahn, Schluss). Für „kratzt sich am Kopf“ (Folie 13) bekommt die neutrale Pose ein Caveat-„?“ darüber, eine eigene Pose ist nicht nötig. Groß etwa 300 px hoch, auf der Mini-Leiter etwa 60 px.
- **Stufenleiter als Fortschrittsanzeige.** Sechs handgezeichnete Stufen von links unten nach rechts oben, Labels in Caveat: „1 Ein Passwort · 2 Zettel · 3 Buch · 4 Browser · 5 Abo-Tresor · 6 Dein Tresor“. Erledigte Stufen hell-lila mit lila Schraffur, die aktuelle orange, kommende neutral (#ece7da). Erika steht klein auf der aktuellen Stufe. Groß auf Folie 4, 13, 15 (letztes Fragment) und 19. Sonst als Mini-Version **einheitlich unten links** über dem Pixelband, etwa 320 × 180 px. Oben rechts liegt bei allen drei Illustrationen schon Bildinhalt, links ist dort Weißraum. Umsetzung: **inline-SVG** mit `data-stufe="1…6"`. So greift Caveat aus `css/theme.css`, und die Farben kommen per CSS-Klasse. Den Übergang von groß nach klein zwischen Folie 4 und 5 nur per `data-auto-animate`, wenn es auf Anhieb sauber läuft, sonst einfacher Folienwechsel.
- **DI.DAY-Fragen-Symbole.** Drei kleine Skizzen-Icons, die auf Folie 13 eingeführt und auf Folie 14 auf jeder Tool-Karte wiederholt werden: Haus mit Schlüssel („Wem gehört der Tresor?“), Lupe („Kann ich reinschauen?“), Paragraf („Welches Recht gilt?“).
- **Stufe 1 bis 3: die Skizzen-Illustrationen** `assets/illustrationen/skizze/stufe1-ein-schluessel.svg`, `stufe2-postit.svg`, `stufe3-passwortbuch.svg`. Sie liegen derzeit noch in `entwuerfe/illustrationen/skizze/`; beim Folienbau dorthin kopieren. Die viewBox ist 1600 × 1000, der Hintergrund transparent. Einbinden **per `<object type="image/svg+xml">`, nicht per `<img>`**, sonst laden die eingebetteten Schriften nicht. Die Illustration sitzt rechtsbündig in etwa 1440 × 900 px. Ihr eigener Weißraum links (gut ein Drittel) plus der Folienrand ergibt eine freie linke Spalte für „STUFE n“, die Überschrift und die Mini-Leiter. Ergänzungen wie Kofferanhänger, Marker-Kringel oder Videocall-Rahmen liegen als eigene Ebenen (absolut positionierte Skizzen-SVGs) über dem `<object>`. Keine Fotos.
- **Farben und Schriften:** Tokens aus `css/theme.css`. Fließtext Atkinson Hyperlegible Next, die Beispiel-Passphrase in Atkinson Hyperlegible Mono, Handschrift in Caveat. Tool-Namen nur als Text, keine Fremdlogos.

## Folienübersicht

| Nr | Titel | Layout-Typ | Dauer | Wörter |
|---|---|---|---|---|
| 1 | Titel | titel | 00:00–00:12 (12 s) | 25 |
| 2 | Digital Independence Day | zweispalter | 00:12–00:49 (36 s) | 73 |
| 3 | Das ist Erika | illu | 00:49–01:53 (64 s) | 86 |
| 4 | Niemand kann sich das merken | grosse-zahl → stufenleiter | 01:53–02:28 (35 s) | 70 |
| 5 | Stufe 1: Ein Schlüssel für alle | illu | 02:28–03:23 (55 s) | 88 |
| 6 | Ein Leck – alle Türen offen | grosse-zahl | 03:23–04:14 (52 s) | 103 |
| 7 | Stufe 2: Der Zettel am Bildschirm | illu | 04:14–05:06 (51 s) | 96 |
| 8 | Stufe 3: Das Passwortbuch | illu | 05:06–06:10 (64 s) | 125 |
| 9 | Stufe 4: Der Browser merkt sich's | zweispalter | 06:10–07:02 (52 s) | 104 |
| 10 | Plötzlich Umzug | zeitleiste (eigener Typ) | 07:02–07:40 (38 s) | 76 |
| 11 | Stufe 5: Der Profi-Tresor im Abo | illu | 07:40–08:21 (41 s) | 82 |
| 12 | LastPass 2022 | zweispalter | 08:21–08:52 (31 s) | 62 |
| 13 | Die DI.DAY-Frage | stufenleiter | 08:52–09:09 (17 s) | 34 |
| 14 | Stufe 6: Unsere drei Favoriten | tool-karten | 09:09–10:19 (70 s) | 140 |
| 15 | Welcher passt zu dir? | liste → stufenleiter | 10:19–11:18 (60 s) | 99 |
| 16 | Das eine Passwort | passphrase (eigener Typ) | 11:18–12:10 (52 s) | 100 |
| 17 | Entwarnung | liste | 12:10–12:53 (42 s) | 79 |
| 18 | Bonus: 2FA und Passkeys | zweispalter | 12:53–13:46 (53 s) | 106 |
| 19 | Schutz oder Schnickschnack? | antwort (eigener Typ) | 13:46–14:07 (21 s) | 38 |
| 20 | Los geht's: #DIDit | schluss | 14:07–14:40 (32 s) | 65 |
| 21 | Danke & Bildnachweise | liste | ab 14:40, ohne Sprechtext | 0 |
| | **Summe** | | **14:40** | **1.651** |

Die Dauer je Folie ist aus der Wortzahl gerechnet (120 Wörter pro Minute) plus Interaktion: 9 s je Handzeichen, 10 s für die stille Frage, 2–3 s für erwartbare Lacher.

**Eigene Layout-Typen:** `zeitleiste` = drei Kalenderblätter nebeneinander, die nacheinander umklappen, darunter eine Pointe-Zeile. `passphrase` = eine sehr große Beispiel-Passphrase in Mono-Schrift mit schrägem Warnstempel, darüber eine Würfelreihe. `antwort` = ein einziges riesiges Wort als Antwort, darunter eine Zeile und ein kleines Zitat.

---

## Folie 1 – Titel (00:00–00:12)

**Auf der Folie:**
- Titel: „Passwortmanager – Schutz oder Schnickschnack?“
- Unterzeile: „Matthias Kerk · DI.DAY · 1. November 2026“
- Fußzeile klein: „luise Oranienburg · Oranienwerk, Kreativ Oase“

**Bild/Visual:** Titelkasten aus dem Theme (`.titelkasten`) auf Lila, Pixelband oben und unten. DI.DAY-Logo (`assets/logos/diday.svg`) oben links und groß genug, dass der erste Satz „Heute ist DI.DAY!“ ein Bild hat. luise-Logo (`assets/logos/luise.png`) oben rechts. Titel zweizeilig in Atkinson Hyperlegible Next 800, weiß, „Schnickschnack?“ in Orange. Unten rechts klein Erika (Skizze, neutral) mit Kaffeetasse, noch unkommentiert, als Vorgriff auf Folie 3.

**Layout-Typ:** `titel`

**Sprechtext:**
Heute ist DI.DAY! Schön, dass ihr da seid. Ich bin Matthias, und ich habe eine Frage mitgebracht: Passwortmanager – Schutz oder Schnickschnack? (Pause) Antwort am Ende, versprochen.

**Fakten:** T1-05 ✓ ⚡ (1. November 2026 ist offizieller DI.DAY-Termin); sonst Begrüßung

---

## Folie 2 – Digital Independence Day (00:12–00:49)

**Auf der Folie:**
- Überschrift: „Digital Independence Day“
- Text: „Jeden ersten Sonntag auf die gute Seite wechseln!“
- (Klick) in Silkscreen, orange: „Heute: deine Passwörter“
- Klein unten: „Zu Gast bei luise Oranienburg – lieber unabhängig und informationell selbstbestimmt“ · „Illustration: Florian Biege für di.day“

**Bild/Visual:** Links der Text, darüber der Schriftzug „Digital Independence NOW!“ (`assets/logos/diday-tagline.svg`). Rechts die Illustration von Florian Biege (`assets/logos/diday-illustration-florian-biege.png`): das befreite, lachende Smartphone mit abgerissenen Kabeln. Darunter der Bildnachweis, er ist **Pflicht**. Beim Klick erscheint „Heute: deine Passwörter“.

**Layout-Typ:** `zweispalter` (Text links, Illustration rechts)

**Sprechtext:**
DI.DAY heißt Digital Independence Day. Ausgerufen Ende 2025 auf dem Chaos Communication Congress in Hamburg. Seitdem wechseln Menschen jeden ersten Sonntag im Monat bei einer Sache auf die gute Seite, weg von der Abhängigkeit von Big Tech. Und zwar ohne Purismus, das nennt sich „entspannte Rebellion“. In den FAQ steht: „Und ein Wechsel reicht auch erst einmal!“ (Pause) Danke an luise Oranienburg, dass wir hier im Oranienwerk sein dürfen. (Klick) Unser Wechsel heute: eure Passwörter.

**Fakten:** T1-02 ✓, T1-04 ✓, T1-06 ✓, T1-07 ✓, T1-08 ✓

---

## Folie 3 – Das ist Erika (00:49–01:53)

**Auf der Folie:**
- Überschrift: „Das ist Erika.“
- Namensschild: „Hallo, ich bin Erika Mustermann“
- (Klick) Konto-Blasen: „E-Mail · Bank · Bahn · Krankenkasse · Chor-Cloud“, danach ein Schwarm leerer „…“-Blasen

**Bild/Visual:** Erika groß links (Skizze, Pose *neutral*) mit einem Namensschild im Konferenz-Look, schräg mit Klebestreifen. Bewusst **kein** Ausweis-Design nachbauen. Rechts erscheinen mit **einem** Klick die Konto-Sprechblasen als Marker-Skizzen, gestaffelt per CSS-Verzögerung (je 0,3 s), zuletzt fünf, sechs leere „…“-Blasen in Neutral.

**Layout-Typ:** `illu` (Figur links, Sprechblasen rechts)

**Sprechtext:**
Für diesen Wechsel habe ich jemanden mitgebracht. Das ist Erika. Nachname Mustermann. Ja, genau, die vom Musterausweis. Erika gibt's also gar nicht. Aber ich wette, ihr kennt sie. Erika ist irgendwas zwischen dreißig und siebzig, je nachdem, wer gerade zuhört. Und sie ist schlauer als ihre Passwörter. (Pause) (Klick) Sie hat E-Mail, Online-Banking, die Bahn-App, die Krankenkasse, und der Chor hat neuerdings eine Cloud. Für alles ein Konto. Kurze Frage an euch: Wer hat mehr als zehn Online-Konten? (Handzeichen) Und wer hat ehrlich gesagt keinen Schimmer? (Handzeichen) Erika auch nicht.

**Fakten:** keine (Erzählung, fiktive Figur; die Handzeichen-Fragen brauchen keine Zahl)

---

## Folie 4 – Niemand kann sich das merken (01:53–02:28)

**Auf der Folie:**
- Überschrift (als Zitat): „„Niemand kann sich Dutzende von Zugangsdaten merken.““
- Große Zahl: „10 %“, darunter: „nutzen einen eigenständigen Passwortmanager“
- (Klick) Stufenleiter mit den sechs Kurzlabels
- Quelle klein: „Zitat: Bitkom 2025 · Zahl: Cybersicherheitsmonitor 2026 (BSI/ProPK), n = 3.060“

**Bild/Visual:** Große Zahl „10 %“ in Orange, das Zitat darüber. Beim Klick erscheint rechts die große Skizzen-Stufenleiter, alle sechs Stufen neutral. Erika (*neutral*) steht unten davor und schaut hoch.

**Layout-Typ:** `grosse-zahl` → `stufenleiter` (Fragment)

**Sprechtext:**
Und jedes Konto will ein Passwort. Der Digitalverband Bitkom sagt nüchtern: „Niemand kann sich Dutzende von Zugangsdaten merken.“ Trotzdem nutzt nur etwa jede oder jeder Zehnte einen eigenständigen Passwortmanager. Das zeigt der Cybersicherheitsmonitor von Polizei und BSI, dem Bundesamt für Sicherheit in der Informationstechnik. (Klick) Deshalb steigt Erika heute eine Leiter hoch. Sechs Stufen, von „au weia“ bis „richtig gut“. Jede Stufe hat was für sich. Und jede hat einen Haken.

**Fakten:** L1-06 ✓, T2-19 ✓ (identisch mit L2-12 ✓; Basis: alle Befragten)

---

## Folie 5 – Stufe 1: Ein Schlüssel für alle (02:28–03:23)

**Auf der Folie:**
- Kopf in Silkscreen: „STUFE 1“
- Überschrift: „Ein Schlüssel für alle“
- (Klick) Kofferanhänger am Schlüsselring, Caveat: „kaffeetasse“
- (Klick) Banderole: „Platz 6 der meistgeleakten Passwörter in Deutschland 2025“
- Quelle klein: „HPI-Liste 2025 (Jan. 2026) · BSI“

**Bild/Visual:** `assets/illustrationen/skizze/stufe1-ein-schluessel.svg` rechtsbündig. Darauf ein gelber Schlüssel („passt überall!“) vor einer Wand aus offenen Schlössern (E-Mail, Bank, Shop, Social Media, Streaming), oben eine Elster mit einer roten Schlüsselkopie („Kopie!“). Die Elster wird auf Folie 6 aufgegriffen. Überschrift links im Weißraum. Erster Klick: Ein gezeichneter Kofferanhänger mit „kaffeetasse“ (Caveat, Tinte) baumelt am Schlüsselring, links neben dem Schlüsselkopf. Zweiter Klick: Die HPI-Zeile erscheint als Marker-Banderole in Orange-hell unten links. Mini-Leiter: Erika auf Stufe 1.

**Layout-Typ:** `illu`

**Sprechtext:**
Stufe eins. Stellt euch vor, all diese Schlösser hätten denselben Schlüssel. (Pause) So macht's Erika: ein Passwort für alles. Damit sie nicht überlegen muss, wo sie welches genutzt hat. Und weil wir unter uns sind, verrate ich es euch. (Klick) kaffeetasse. Kleingeschrieben. (Pause) Wer trinkt gerade Kaffee? (Handzeichen) (Klick) Dann aufgepasst: kaffeetasse steht auf Platz sechs der meistgeleakten Passwörter in Deutschland 2025. Hat das Hasso-Plattner-Institut ausgewertet. (Pause) Fair ist: Das ist bequem. Ein Passwort, kein Werkzeug, kostet nichts. Sogar das BSI nennt das „bequem“. Der Satz geht allerdings weiter: „aber dennoch nicht zu empfehlen“.

**Fakten:** T2-15 ✎ („meistgeleakt“, nicht „beliebtestes“), L1-06 ✓

---

## Folie 6 – Ein Leck – alle Türen offen (03:23–04:14)

**Auf der Folie:**
- Überschrift: „Ein Leck – alle Türen offen“
- (Klick) Große Zahl: „576.000“, darunter: „Roku-Konten übernommen. Roku selbst: nicht gehackt.“
- (Klick) Schlagzeile über die ganze Breite: „Das Problem ist nicht das schwache Passwort. Sondern das wiederverwendete.“ Darunter klein: „33 % nutzen dasselbe Passwort für mehrere Dienste“
- Quelle klein: „Roku 2024 (laut Presse) · Bitkom 2025; andere Umfragen: knapp 30 bis 70 %“ (Spanne laut stufenleiter.md, L1-01/L1-03)

**Bild/Visual:** Links die rote Schlüsselkopie der Elster aus Folie 5 mit dem Caveat-Zettel „Kopie!“. Von ihr führt ein gestrichelter Pfeil an einer Reihe von fünf skizzierten Türen entlang (Shop, Mail, Bank, Bahn, Chor), die alle einen Spalt offen stehen, mit oranger Marker-Fläche im Spalt. So sieht „automatisiert durchtesten“ aus, ganz ohne Hacker-Figur. Erster Klick: die große Zahl. Zweiter Klick: Die Kernbotschaft schiebt sich als breiter Marker-Balken (Lila, weiße Schrift) über das untere Drittel, die 33-%-Zeile klein darunter.

**Layout-Typ:** `grosse-zahl` (mit Skizze und Schlagzeilen-Balken)

**Sprechtext:**
Das Problem kommt von woanders. Irgendwann wird ein Online-Shop gehackt, bei dem Erika vor Jahren mal Blumenerde bestellt hat. Und wie bei der Elster eben hat jemand eine Kopie ihres Schlüssels. Kriminelle probieren ihre E-Mail-Adresse und kaffeetasse dann einfach überall aus. Vollautomatisch, Tür für Tür. (Klick) So wurden 2024 bei einem Streaming-Anbieter namens Roku über eine halbe Million Konten übernommen. Roku selbst war gar nicht gehackt. (Pause) Ein superstarkes Passwort hilft da übrigens auch nicht, wenn es überall dasselbe ist. (Klick) Das Problem ist nicht das schwache Passwort. Sondern das wiederverwendete. Und Erika ist damit nicht allein: Ein Drittel der Menschen, die in Deutschland online sind, macht es genauso.

**Fakten:** L1-07 ✓ (BSI „automatisiert durchtesten“; „selbst wenn das gewählte Passwort den … Kriterien entspricht“), T2-24 ✓, T2-17 ✓ (identisch mit L1-01 ✓), Faktenblatt Botschaft 1

---

## Folie 7 – Stufe 2: Der Zettel am Bildschirm (04:14–05:06)

**Auf der Folie:**
- Kopf in Silkscreen: „STUFE 2“
- Überschrift: „Der Zettel am Bildschirm“
- (Klick) Videocall-Rahmen mit Label „● Chorprobe (Video)“
- (Klick) Untertitel: „TV5Monde, 2015: „dasPasswortfürYouTube““

**Bild/Visual:** `assets/illustrationen/skizze/stufe2-postit.svg` rechtsbündig. Darauf ein Monitor mit Anmeldemaske, am Monitor das Post-it „Passwort: kaffeetasse“ (rot unterstrichen), unter der Tastatur „Bank: hallo123“, daneben eine Kaffeetasse und eine Hand, die das Post-it mit dem Handy fotografiert („klick!“). Die Pointe „kaffeetasse hat überlebt, für den Rechner selbst“ steht damit schon im Bild, ein Overlay ist nicht nötig. **Für Variante A** im Anmeldefeld „erika“ statt „anna“ (A-eigene Kopie der SVG, eine Textzeile). Überschrift links im Weißraum. Erster Klick: Ein skizzierter Videocall-Rahmen legt sich um die Illustration, oben eine Leiste mit rotem Punkt und „Chorprobe (Video)“ in Caveat, am linken Rand drei kleine Video-Kacheln mit Strichmännchen-Köpfen ohne Gesichter. Das Post-it bleibt gut lesbar. Zweiter Klick: die TV5Monde-Zeile als Untertitel-Balken unten. **Keine** Bilder aus der TV-Sendung (Urheberrecht), nur das Zitat als Text. Mini-Leiter: Erika auf Stufe 2.

**Layout-Typ:** `illu`

**Sprechtext:**
Stufe zwei. Erika hat dazugelernt: Jedes Konto kriegt sein eigenes Passwort. Nur: Wer soll sich die alle merken? Also gelbe Zettel. Am Bildschirm und unter der Tastatur. Und ja, die kaffeetasse hat überlebt. Für den Rechner selbst. (Pause) Fair ist: Ein Zettel ist aus dem Internet nicht erreichbar, keine Schadsoftware kann ihn auslesen. Aber alle, die vorbeikommen, können ihn lesen. (Klick) Und dann ist Chorprobe per Videocall. Im Bild, gestochen scharf: der gelbe Zettel. (Pause) Passiert sogar Profis. Beim französischen Sender TV5Monde waren 2015 im Hintergrund eines Fernsehinterviews Zugangsdaten zu sehen. Jemand vor dem Fernseher las das YouTube-Passwort ab. Übersetzt: (Klick) „dasPasswortfürYouTube“. (Pause)

**Fakten:** L1-27 ✓, L1-13 ✓ (Zettel nicht als Ursache des Hacks darstellen), L1-21 ✓ (Tastatur als typischer Fundort); L1-20 ✓ (BSI „berühmter Notizzettel“) nur noch in der Puffer-Liste

---

## Folie 8 – Stufe 3: Das Passwortbuch (05:06–06:10)

**Auf der Folie:**
- Kopf in Silkscreen: „STUFE 3“
- Überschrift: „Das Passwortbuch“
- (Klick) Marker-Kringel um „WLAN – kaffeetasse“, daneben Caveat: „wir arbeiten dran“
- (Klick) Umzugskarton mit Aufschrift „KÜCHE“
- (Klick) Zitat: „„ähnlich wie ein Notizbuch, das in einer Schublade eingeschlossen ist““ – BSI über Passwortmanager

**Bild/Visual:** `assets/illustrationen/skizze/stufe3-passwortbuch.svg` rechtsbündig. Darauf ein aufgeschlagenes Buch „Meine Passwörter“ mit Daumenregister und Einträgen in Handschrift, darunter „WLAN: kaffeetasse“ und „Bank: ~~Sommer2020!~~ Sommer2021!“, außerdem ein grüner Stempel „offline ✓“ und ein Handy mit Bank-Login und roten „???“. Die zweite Pointe der Folie („tippt auf der falschen Seite selbst ein“) ist damit schon im Bild. Überschrift links im Weißraum. Erster Klick: ein roter Marker-Kringel (#e5533d) um die WLAN-Zeile. Zweiter Klick: Im linken Weißraum erscheint ein skizzierter Umzugskarton „KÜCHE“ mit Deckel halb zu, aus dem eine lila Buchecke ragt. Das Buch in der Illustration blendet auf 35 % ab, als wäre es eingepackt. Dritter Klick: Das BSI-Zitat erscheint als Brücke, daneben eine kleine Skizze einer Schublade mit Vorhängeschloss. Mini-Leiter: Erika auf Stufe 3.

**Layout-Typ:** `illu`

**Sprechtext:**
Stufe drei. Zu Weihnachten bekommt Erika ein Passwortbuch. Davon gibt's im Buchhandel Dutzende. Eins heißt „Meine Passwörter“, ein Eintragebuch, „das Sie einfach in Ihrem Bücherregal verstecken können“. (Pause) Ein Versteck mit Titel. (Klick) Und wer genau hinschaut: WLAN, kaffeetasse. Wir arbeiten dran. (Pause) Aber ehrlich: So ein Buch ist besser als sein Ruf. Das BSI nennt die Papierliste „die Offline-Lösung“. Es kommt nur auf den Ort an: abschließbare Schublade statt Schreibtisch. (Klick) Dann zieht Erika um. Das Buch landet im Karton „Küche“. Den sucht sie bis heute. Kein Backup. (Pause) Und auf einer gefälschten Bankseite tippt sie ihr Passwort brav selbst ein. Das Buch warnt nicht. (Klick) Dieselbe Behörde hat dafür ein schönes Bild: Ein Passwortmanager funktioniert „ähnlich wie ein Notizbuch, das in einer Schublade eingeschlossen ist“. Also: Passwortbuch, nur digital.

**Fakten:** L1-24 ✎ („Dutzende“, nicht „187“; Titel des Frechverlags), L1-25 ✓ (Offline-Lösung mit Auflagen: Schublade, Ersatzliste, Phishing selbst prüfen), L1-27 ✓, L1-26 ✓

---

## Folie 9 – Stufe 4: Der Browser merkt sich's (06:10–07:02)

**Auf der Folie:**
- Kopf in Silkscreen: „STUFE 4“
- Überschrift: „Der Browser merkt sich's“
- Dialog-Skizze: „Passwort speichern?  [Ja]  [Nie]“
- (Klick) Zahl: „84 %“, darunter: „sagen: Ich speichere Passwörter im Browser“
- Quelle direkt darunter: „Online-Umfrage Verbraucherzentrale NRW, Aug./Sep. 2025, 1.203 Teilnehmende, Mehrfachnennungen möglich · andere Frage als auf Folie 4: Im Cybersicherheitsmonitor 2026 nennen 15 % den Browser-Speicher als Schutzmaßnahme“
- (Klick) Zwei Geräte mit gestrichelter Linie und „?“
- Klein: „Chrome · Safari · Edge · Firefox“

**Bild/Visual:** Links ein skizziertes, neutrales Browserfenster (Bildschirm-Blau #cfe3f7) mit dem Dialog, ohne Screenshot und ohne Browser-Logos. Erikas gezeichneter Mauszeiger steht auf „Ja“. Rechts erscheint mit dem ersten Klick die Zahl, bewusst **mittelgroß** (nicht im Riesenformat von Folie 4), damit sie nicht gegen die 10 % antritt, die Quelle direkt darunter. Zweiter Klick: unten rechts ein Handy und ein Laptop als Skizze, dazwischen eine gestrichelte Linie mit Caveat-„?“ (= jede Welt für sich). Browser-Namen nur als kleiner Text. Mini-Leiter: Erika auf Stufe 4.

**Layout-Typ:** `zweispalter` (Dialog-Skizze links, Zahl und Geräte rechts)

**Sprechtext:**
Stufe vier. Neue Wohnung, neuer Laptop. Der Browser fragt freundlich: „Passwort speichern?“ Erika klickt „Ja“. (Klick) In einer Online-Umfrage der Verbraucherzentrale NRW sagten 84 Prozent: Machen wir auch. (Pause) Das ist erst mal gut: kostenlos, eingebaut, warnt oft sogar bei geleakten Passwörtern. Gegen Firefox hatte das BSI keine Bedenken. Es rät aber, nachzuschärfen: in Firefox ein Hauptpasswort setzen, in Chrome ein eigenes Passwort für den Abgleich. (Pause) Der Haken: Jeder Browser lebt in seiner eigenen Welt. (Klick) Erika hat ein iPhone und einen Windows-Laptop mit Chrome. Das geht, aber mit Zusatzprogramm und Umstellerei. Und das DI.DAY-Rezept sagt: Die Browser-Hersteller müssen nicht wissen, wo du überall ein Konto hast.

**Fakten:** L2-12 ✓ (84,1 % VZ NRW und 15 % CyMon messen Verschiedenes, deshalb beide Quellen nennen; „Online-Umfrage“ steht so auf der VZ-NRW-Seite aus den Quellen von Stufe 4, am 26.10.2026 dort nachgelesen), L2-05 ✓ ⚡, L2-06 ✓ ⚡ (Warnfunktionen), L2-03 ✓ / T3-21 ✎ (Firefox: im Rahmen der Prüftiefe keine Bedenken; Hauptpasswort als eigene Empfehlung), L2-02 ✓ ⚡ (Chrome: eigene Sync-Passphrase empfohlen), L2-05 / L2-06 (Ökosystem-Bindung), T1-16 ✓ (Rezept: Hersteller müssen nicht wissen …; Bordmittel ausdrücklich nicht „unsicher“ nennen)

---

## Folie 10 – Plötzlich Umzug (07:02–07:40)

**Auf der Folie:**
- Überschrift: „Plötzlich Umzug“
- (Klick, Klick, Klick) Zeitleiste: „Juni 2025: speichern ✗ · Juli: ausfüllen ✗ · August: anzeigen ✗“
- (Klick) Pointe: „Umzug nach Microsofts Zeitplan“
- Klein: „Microsoft Authenticator, Juni–Aug. 2025, laut Fachpresse · Passwörter blieben im Microsoft-Konto bzw. in Edge“ (die Microsoft-Supportseite nennt den Zeitplan nicht mehr)

**Bild/Visual:** Drei skizzierte Abreißkalender-Blätter nebeneinander, die nacheinander umklappen, jedes mit einem durchgestrichenen Symbol in Warnrot (Diskette, Stift, Auge). Beim letzten Klick wandert ein skizzierter Umzugskarton, beschriftet „Passwörter“, in einen Kasten mit der Aufschrift „Edge“. Erika in der Pose *hoppla*. Kein Microsoft-Logo.

**Layout-Typ:** `zeitleiste` (eigener Typ, siehe oben)

**Sprechtext:**
Wie abhängig man dabei ist, hat Erika 2025 gemerkt. Ein Kollege hatte ihr den Microsoft Authenticator aufs Handy gepackt. Der konnte damals auch Passwörter. (Klick) Juni: keine neuen Passwörter mehr. (Klick) Juli: kein automatisches Ausfüllen. (Klick) August: Die Passwörter waren in der App nicht mehr zu sehen. (Pause) Weg waren sie nicht. Sie lagen im Microsoft-Konto, im Browser Edge. Wer Edge nicht wollte, musste umziehen. (Klick) Und zwar dann, wenn Microsoft es wollte. Das ist der Punkt: nicht Datenverlust, sondern Abhängigkeit.

**Fakten:** L2-08 ✓, T5-23 ✓ (als Abhängigkeit erzählen, nicht als Datenverlust)

---

## Folie 11 – Stufe 5: Der Profi-Tresor im Abo (07:40–08:21)

**Auf der Folie:**
- Kopf in Silkscreen: „STUFE 5“
- Überschrift: „Der Profi-Tresor im Abo“
- Text: „LastPass · 1Password“
- (Klick) Preisschild: „+33 %“, darunter: „1Password-Einzeltarif 2026“
- Quelle klein: „35,88 → 47,88 USD/Jahr bei Verlängerung ab 27.03.2026, laut Fachpresse (9to5Google, AlternativeTo)“ (L2-16)

**Bild/Visual:** Ein solider Tresor als Marker-Skizze (Neutral #d9d4c7 mit Schraffur, dicke Tür, großes Rad) in der Mitte, an der Tür ein Preisschild an einer Schnur. Beim Klick dreht sich das Schild um und zeigt „+33 %“ in Orange. Tool-Namen als schlichter Text, keine Logos. Erika (*neutral*) klein daneben. Preise nur in USD zeigen, Euro-Preise sind nicht belegt. Mini-Leiter: Erika auf Stufe 5.

**Layout-Typ:** `illu`

**Sprechtext:**
Stufe fünf. Erikas Kollege schwört auf seinen Passwortmanager im Abo, bekannte Namen sind LastPass oder 1Password. (Pause) Und fair: Technisch sind die oft richtig gut. Bei 1Password hatte das BSI keine grundsätzlichen Bedenken, der Hersteller kommt nicht an die Daten. Läuft überall, bequem, mit Familienfunktion. (Pause) Der Haken: Du vertraust einer Firma, deren Code du nicht sehen kannst. Und deren Preise und Besitzer sich ändern. (Klick) 1Password hat dieses Jahr den Einzeltarif um ein Drittel verteuert. LastPass gehört Finanzinvestoren. Und beide sitzen außerhalb der EU.

**Fakten:** L2-14 ✓, L2-16 ✓ ⚡ (Preis über die Fachpresse belegt, Quellen in `stufenleiter.md`, Stufe 5), L2-17 ✓ ⚡ (LastPass: Boston; 1Password: Kanada)

---

## Folie 12 – LastPass 2022 (08:21–08:52)

**Auf der Folie:**
- Überschrift: „LastPass 2022“
- Text: „Kopien der Tresore erbeutet · Passwörter: verschlüsselt · Webadressen: nicht“
- (Klick) „Geknackt werden vor allem Tresore mit schwachem Master-Passwort“
- Quelle klein: „LastPass 2022, laut britischer Datenschutzbehörde ICO (2025)“

**Bild/Visual:** Freundlich statt gruselig. Links wird ein skizzierter Tresor auf einer Sackkarre halb aus dem Bild gerollt (nur die Karre und eine Hand im Ärmel, keine Figur). An ihm hängt gut lesbar ein Zettel „URLs“ in Caveat, denn die waren unverschlüsselt. Beim Klick erscheinen rechts zwei Tresore nebeneinander. Am einen springt ein dünnes Vorhängeschloss auf (orange Marker-Strahlen), am anderen hält ein dickes Schloss (grünes Häkchen). Kein Hacker-im-Kapuzenpulli-Klischee.

**Layout-Typ:** `zweispalter` (Sackkarre links, Schloss-Vergleich rechts)

**Sprechtext:**
Bevor Erika unterschreibt, liest sie nach. Und stößt auf LastPass: 2022 haben Kriminelle dort Kopien der Kundentresore erbeutet. Passwörter darin: verschlüsselt. Webadressen: nicht. (Klick) Die Verschlüsselung hat grundsätzlich gehalten. Geknackt werden vor allem Tresore mit schwachem Master-Passwort, dem einen Passwort, das den Tresor aufschließt. (Pause) Gestohlen werden kann jeder Tresor, auch die, die ich euch gleich zeige. Darum ist das wichtigste Schloss euer Master-Passwort.

**Fakten:** L2-18 ✎ (nur „Kopien der Kundentresore“; der Angriffsweg steht in Rückfrage 1), L2-19 ✎ (keine Klartext-Passwörter gestohlen; URLs unverschlüsselt), T5-20 ✓, T5-21 ✓ und Faktenblatt 6.7 „Faire Einordnung“ („Verschlüsselung hat grundsätzlich gehalten“); „Gestohlen werden kann jeder Tresor“ ist *Einordnung*. Krypto-Diebstähle (TRM) und Bußgeld (ICO) bewusst nur in Rückfrage 1.

---

## Folie 13 – Die DI.DAY-Frage (08:52–09:09)

**Auf der Folie:**
- Überschrift: „Die DI.DAY-Frage“
- (Klick) Haus-mit-Schlüssel-Icon: „Wem gehört der Tresor?“
- (Klick) Lupen-Icon: „Kann ich reinschauen?“
- (Klick) Paragrafen-Icon: „Welches Recht gilt?“

**Bild/Visual:** Die große Skizzen-Stufenleiter wieder in voller Größe. Stufen 1–5 hell-lila, die oberste Stufe orange mit Marker-Strahlen. Erika (*neutral* mit Caveat-„?“ über dem Kopf) steht auf Stufe 5 und schaut nach oben. Die drei Fragen erscheinen nacheinander links neben der Leiter, in Atkinson Hyperlegible Next 700, groß und gut lesbar, je mit dem Skizzen-Icon davor. Silkscreen hier nicht verwenden, für ganze Sätze ist es zu schwer lesbar.

**Layout-Typ:** `stufenleiter`

**Sprechtext:**
Erika steht jetzt auf Stufe fünf und kratzt sich am Kopf. Technisch sind viele dieser Tresore gut. Aber die DI.DAY-Frage ist eine andere: (Klick) Wem gehört der Tresor? (Klick) Kann ich reinschauen? (Klick) Und welches Recht gilt?

**Fakten:** T1-19 ✓ (DI.DAY-Kriterien: Datenschutz, weniger Lock-in, Wahlfreiheit); die Formulierung der drei Fragen ist Einordnung (Überleitung aus `stufenleiter.md`, Stufe 5)

---

## Folie 14 – Stufe 6: Unsere drei Favoriten (09:09–10:19)

**Auf der Folie:**
- Kopf in Silkscreen: „STUFE 6“
- Überschrift: „Unsere drei Favoriten“
- (Klick) Karte 1: „KeePassXC-Familie“ (klein: „KeePassXC · KeePassDX · KeePassium“)
  - Haus: „Datei bei dir“ · Lupe: „Open Source“ · Paragraf: „kein Anbieter dazwischen“
  - Haken: „Abgleich & Backup selbst“
- (Klick) Karte 2: „Proton Pass“
  - Haus: „beim Anbieter, verschlüsselt“ · Lupe: „Apps offen“ · Paragraf: „Schweiz (nicht EU)“
  - Haken: „Tresor beim Anbieter“
- (Klick) Karte 3: „Bitwarden / Vaultwarden“
  - Haus: „Microsoft-Cloud / eigener Server“ · Lupe: „Open Source“ · Paragraf: „USA / dort, wo ihr hostet“
  - Haken: „US-Firma, Daten bei Microsoft“ (nicht „DI.DAY-2. Wahl“: Im Rezept ist auch Proton Pass „Zweite Wahl“, T1-12; nicht „US-Cloud“: Die Tresore liegen in Microsoft Azure, USA oder EU, T5-02)
- Fußnote klein: „passend zum DI.DAY-Wechselrezept „Passwörter in Deiner Hand“ · KeePassXC: BSI-Marktuntersuchung 2025, „im Rahmen der Prüftiefe“ keine Bedenken · KeePassium: Grundversion gratis, Premium kostenpflichtig“

**Bild/Visual:** Drei Tool-Karten als skizzierte Karteikarten (Papier mit Marker-Rand, leicht schief), die nacheinander erscheinen. Oben auf jeder Karte der Name als Text, keine Logos, dazu ein kleines Symbol: Datei mit Schloss auf einem Laptop / Wolke mit Bergsilhouette / geschweifte Klammern plus kleines Server-Häuschen. Darunter **dieselben drei Icons wie auf Folie 13** mit je zwei bis drei Wörtern Antwort, ganz unten der Haken in Warnrot-hell. So beantwortet jede Karte sichtbar die DI.DAY-Frage. Mini-Leiter: Erika (*zufrieden*) auf Stufe 6 mit Fähnchen.

**Layout-Typ:** `tool-karten`

**Sprechtext:**
Und so landet Erika eines Sonntags beim DI.DAY. Vielleicht sogar bei diesem hier. (Pause) Stufe sechs: unsere drei Favoriten, passend zum DI.DAY-Wechselrezept „Passwörter in Deiner Hand“. (Klick) Erstens: die KeePassXC-Familie, für Rechner, Android und iPhone. Der Tresor ist eine verschlüsselte Datei bei dir. Open Source, da können alle reinschauen. Kein Konto, keine Cloud, kostenlos nutzbar. Das BSI hatte keine Bedenken, soweit es geprüft hat. Der Haken: Abgleich und Backup machst du selbst. (Klick) Zweitens: Proton Pass aus der Schweiz. Gleicht sich bequem über alle Geräte ab, Einstieg kostenlos, in die Apps kann man reinschauen. Der Haken: Der Tresor liegt verschlüsselt beim Anbieter. Und die Schweiz ist Europa, aber nicht EU. (Klick) Drittens: Bitwarden. Open Source, jährlich geprüft, sehr einsteigerfreundlich. Aber: eine US-Firma, die Tresore liegen in Microsofts Cloud. Im DI.DAY-Rezept deshalb zweite Wahl. Wer den Server lieber selbst betreibt, nimmt Vaultwarden, mit denselben Apps.

**Fakten:** T1-10 ✓, T1-11 ✓, T4-02 ✓, T4-17 ✓ ⚡, T4-19 ✎ (KeePassium nur mit einer Datenbank gratis, Premium 19,99 €/Jahr → „kostenlos nutzbar“), T3-20 ✓ („Im Rahmen der Prüftiefe ergaben sich keine Bedenken“, getestet 2.7.9), T1-12 ✓ / T5-12 ✓ („quelloffene Apps“, nicht „komplett quelloffen“; Schweiz ≠ EU), T5-13 ✓ ⚡, T1-14 ✓ („zweite Wahl“, jährliche Audits), T5-01 ✓, T5-02 ✓, T5-06 ✓, T5-09 ✓, T5-10 ✓; Faktenblatt 9.4 (BSI empfiehlt keine Produkte, siehe Rückfrage 5)

---

## Folie 15 – Welcher passt zu dir? (10:19–11:18)

**Auf der Folie:**
- Überschrift: „Welcher passt zu dir?“
- (Klick) „Ein Hauptrechner, Lust auf Kontrolle → KeePassXC“
- (Klick) „Mehrere Geräte, Familie → Proton Pass“
- (Klick) „Eigener Server, IT im Verein → Vaultwarden“, darunter klein: „Schon bei Bitwarden? Bleib ruhig dabei. Neu mit Bitwarden? Vor der Registrierung die EU-Region wählen.“
- (Klick) große Stufenleiter mit der Frage: „Und du? Welche Stufe – und welche als Nächstes?“

**Bild/Visual:** Drei skizzierte Wegweiser-Schilder an einem Pfosten, die nacheinander aufklappen. Mit dem zweiten Schild steht Erika (*zufrieden*, Handy und Laptop unterm Arm) daneben, ein grünes Marker-Häkchen am Schild. Vierter Klick: Die Wegweiser blenden ab, die große Stufenleiter erscheint **ohne** Erika, alle Stufen neutral, darüber in großer Schrift die stille Frage. Hier sollen alle ihre eigene Stufe suchen.

**Layout-Typ:** `liste` (Wegweiser) → `stufenleiter` (letztes Fragment)

**Sprechtext:**
Und welcher passt zu dir? (Klick) Ein Hauptrechner und Lust auf Kontrolle: KeePassXC. (Klick) Mehrere Geräte, Familie, möglichst bequem: Proton Pass. Erika hat iPhone und Laptop und will, dass sich alles von selbst abgleicht. Also Proton Pass. (Klick) Eigener Server oder IT-Leute im Verein: Vaultwarden. Und wer mit Bitwarden schon glücklich ist: Bleib ruhig dabei. Wer neu mit Bitwarden anfängt, wählt vor der Registrierung die EU-Region. (Klick) Und jetzt ihr, ganz still für euch: Auf welcher Stufe steht ihr heute? Und welche ist die nächste? (Stille Frage) Jede Stufe nach oben zählt. Und aussuchen müsst ihr nicht allein: Gleich in der Umzugshilfe schauen wir gemeinsam.

**Fakten:** Faustregel aus Faktenblatt 6.5 (eigene Einschätzung, keine BSI-Empfehlung); T5-03 ✓ (Bitwarden: EU-Region vor der Registrierung wählen, kein späterer Umzug zwischen Regionen); T3-15 ✓ (jede Stufe nach oben ist besser als Wiederverwendung); T1-07 ✓ (kein Purismus)

---

## Folie 16 – Das eine Passwort (11:18–12:10)

**Auf der Folie:**
- Überschrift: „Das eine Passwort“
- (Klick) Beispiel: „verlieben effizient gelernt aufraffen eckpfeiler speisen“
- Stempel: „Beispiel – niemals selbst verwenden!“
- (Klick) „Notfallblatt, verschlossen“
- Quelle klein: „5–6 zufällige Wörter (BSI) · je Wort ein Wurf mit 5 Würfeln, Wortliste dys2p de-7776“

**Bild/Visual:** Oben sechs Würfe aus je fünf skizzierten Würfeln mit Augen in Tinte, denn bei der Liste mit 7.776 Wörtern braucht jedes Wort fünf Würfel (T7-23). Unter jedem Wurf klein in Caveat die Wurfzahl: 63122 · 22653 · 32223 · 13634 · 22635 · 55353. Beim ersten Klick erscheint unter jedem Wurf sein Wort, gestaffelt per CSS-Verzögerung, also ein Klick für alle sechs. Zusammen ergeben sie die Passphrase in Atkinson Hyperlegible Mono, sehr groß. Schräg darüber ein oranger Marker-Stempel „Beispiel – niemals selbst verwenden!“. Zweiter Klick als Rückgriff auf Stufe 3: Erikas lila Passwortbuch aus der Stufe-3-Skizze, jetzt mit nur einem Eintrag, liegt in einem abgeschlossenen Schrank mit Vorhängeschloss und ist durch ein Sichtfenster zu sehen, daneben ein Umschlag „Notfallblatt“.

**Layout-Typ:** `passphrase` (eigener Typ, siehe oben)

**Sprechtext:**
Egal welcher Tresor: Erika braucht jetzt nur noch ein einziges Passwort, das Master-Passwort. Und das muss richtig gut sein, siehe LastPass. (Pause) Eine schöne Methode dafür: fünf bis sechs zufällige Wörter, mit Leerzeichen getrennt. Leicht zu merken, schwer zu knacken. (Klick) Zum Beispiel so. Aber bitte: niemals selbst verwenden, das steht ja jetzt auf einer Folie. (Pause) Am besten würfeln oder vom Passwortmanager würfeln lassen. Der Name vom Hund ist nicht zufällig. (Klick) Und dann aufschreiben, ja, wirklich. Denn vergessen kann heißen: Tresor zu. Also als Notfallblatt, im verschlossenen Umschlag. Erikas altes Passwortbuch hat dafür einen neuen Job: ein einziger Eintrag, im abgeschlossenen Schrank.

**Fakten:** T3-02 ✎ (Passphrase als eine von mehreren Merkstrategien, nicht „das BSI empfiehlt ausdrücklich“), T7-23 ✓, T7-21 ✓, T7-22 ✓, T3-28 ✓, T4-16 ✓ / T3-20 ✓ (kein Wiederherstellungsweg bei KeePassXC → „vergessen kann heißen: Tresor zu“), T7-30 ✓ (Formulierung „nicht am Gerät, nicht im Portemonnaie, aber als Notfallblatt im verschlossenen Umschlag“, Faktenblatt 5.7), T5-21 ✓

---

## Folie 17 – Entwarnung (12:10–12:53)

**Auf der Folie:**
- Überschrift: „Entwarnung“
- (Klick) „✓ Ändern nur mit Grund“, darunter in Caveat: „~~Sommer2020! → Sommer2021!~~ so nicht!“
- (Klick) „✓ Länge vor Sonderzeichen“, darunter: „~~password → Password1!~~“
- (Klick) Kaffeetasse, dampfend
- Quelle klein: „BSI 2025/2026 · NIST SP 800-63B-4“

**Bild/Visual:** Zwei große Marker-Häkchen in Grün. Unter dem ersten der Ausschnitt aus Erikas Passwortbuch (Stufe 3: „Sommer2020! → Sommer2021!“), hier als ganze Kette durchgestrichen und mit „so nicht!“ in Warnrot, damit niemand den Wechsel als Empfehlung liest. Unter dem zweiten wird „password → Password1!“ durchgestrichen. Zum Schluss erscheint Erikas Kaffeetasse groß in der Mitte, als Skizze in Orange mit drei Dampf-Kringeln, jetzt mit Kaffee.

**Layout-Typ:** `liste`

**Sprechtext:**
Und jetzt die gute Nachricht: Ein paar Dinge müsst ihr nicht mehr. (Klick) Alle paar Monate das Passwort ändern? Überholt, sagt das BSI. Sonst wird aus Sommer2020 eben Sommer2021, wie in Erikas Buch. Geändert wird nur, wenn es einen Grund gibt, zum Beispiel ein Leck. (Klick) Sonderzeichen-Akrobatik? Wer gezwungen wird, macht aus „password“ eben „Password1!“. Das schreibt sogar die US-Standardbehörde NIST. Die Länge ist wichtiger. (Pause) Alle anderen Passwörter würfelt ab jetzt der Tresor. (Klick) Und die kaffeetasse? Darf wieder einfach Kaffee enthalten.

**Fakten:** T3-05 ✓ (anlasslose Wechsel führen „erfahrungsgemäß dazu, dass zunehmend schwächere Passwörter genutzt werden“; das Sommer-Beispiel illustriert das), T3-06 ✓, T3-07 ✓, T3-14 ✓, T3-01 ✓ („Länge schlägt Komplexität“, nicht „Komplexität ist egal“), T2-06 ✓

---

## Folie 18 – Bonus: 2FA und Passkeys (12:53–13:46)

**Auf der Folie:**
- Überschrift: „Bonus: 2FA & Passkeys“
- (Klick) Links: „2FA: SMS < App“ · klein: „einschalten, sobald angeboten (BSI)“
- (Klick) Rechts: „Passkey: Finger statt Passwort“ · klein: „z. B. GMX, WEB.DE, Deutsche Bahn – Passwort bleibt als Reserve“

**Bild/Visual:** Links eine kleine skizzierte Treppe mit drei Stufen „SMS · App · Passkey“, das Orange wird von Stufe zu Stufe kräftiger. Rechts ein skizzierter Handy-Umriss mit einem Fingerabdruck darin, ein kleiner Pfeil prallt am Rand ab: Der Fingerabdruck bleibt im Gerät. Unten Erika (*zufrieden*) mit Daumen hoch.

**Layout-Typ:** `zweispalter`

**Sprechtext:**
Noch ein kleiner Bonus. (Klick) Zwei-Faktor-Anmeldung: Zum Passwort kommt ein Code aus einer App oder per SMS. Einschalten, sobald ein Dienst das anbietet. Bei Firmenkonten fand Microsoft damit über 99 Prozent weniger Kontoübernahmen. SMS ist besser als nichts, eine App ist besser. (Klick) Am besten sind Passkeys: Anmelden mit Fingerabdruck oder Geräte-PIN, und der Fingerabdruck bleibt auf deinem Gerät. Auf die üblichen gefälschten Seiten fällt ein Passkey nicht rein. GMX, WEB.DE und die Bahn können das schon. Das Passwort bleibt dort übrigens als Reserve, also trotzdem stark halten. Speichert Passkeys am besten gleich in eurem neuen Tresor. Erika meldet sich bei der Bahn jetzt mit dem Daumen an.

**Fakten:** T3-26 ✓, T2-26 ✓ (Unternehmenskonten, kein „unangreifbar“), T6-29 ✎ (Rangfolge abgeleitet, nicht BSI-Wortlaut), T6-02 ✓, T6-03 ✓, T3-27 ✓, T6-10 ✓ ⚡, T6-11 ✓ ⚡, T5-08 ✓, T5-14 ✓, T4-07 ✓, Faktenblatt 7.5 (Passkeys im unabhängigen Manager)

---

## Folie 19 – Schutz oder Schnickschnack? (13:46–14:07)

**Auf der Folie:**
- Überschrift: „Schutz oder Schnickschnack?“
- (Klick) Riesig, orange, Silkscreen: „Schutz.“
- (Klick) „… und am besten einer, der dir gehört.“
- Klein: „„Aus Sicht des BSI überwiegt der Nutzen bei weitem.““

**Bild/Visual:** Erst nur die Frage auf Lila. Beim ersten Klick erscheint „Schutz.“ sehr groß. Beim zweiten die Zeile darunter in Weiß, das BSI-Zitat klein am unteren Rand. Rechts die große Skizzen-Stufenleiter, alle Stufen lila, die oberste orange, Erika (*zufrieden*) jubelt oben.

**Layout-Typ:** `antwort` (eigener Typ, siehe oben)

**Sprechtext:**
Also: Passwortmanager – Schutz oder Schnickschnack? (Pause) (Klick) Schutz. Einer, der euch Arbeit abnimmt, statt welche zu machen. (Klick) Und am besten einer, der euch gehört. Oder, wie es das BSI nüchtern sagt: „Aus Sicht des BSI überwiegt der Nutzen bei weitem.“

**Fakten:** T3-22 ✓; „der euch gehört“ = Faktenblatt Botschaft 2 („Ein Tresor, der dir gehört“)

---

## Folie 20 – Los geht's: #DIDit (14:07–14:40)

**Auf der Folie:**
- Überschrift: „Los geht's! #DIDit“
- „Erster Schritt: dein E-Mail-Konto – neues Passwort aus dem Tresor, Zwei-Faktor an“
- „Danach: eine Sache pro Monat“
- „Gleich: Live-Demo & Umzugshilfe“
- QR-Code 1 mit Unterschrift „DI.DAY-Rezept: Passwörter in Deiner Hand“ (https://di.day/de/wechselrezepte/passwords)
- QR-Code 2 mit Unterschrift „luise-oranienburg.de“ (`assets/logos/qr-luise-oranienburg.svg`)

**Bild/Visual:** Lila mit Pixelband, DI.DAY- und luise-Logo. Zwei QR-Codes nebeneinander unten rechts. Den Rezept-QR offline als SVG neu erzeugen. Die luise-Adresse ist geprüft: https://luise-oranienburg.de war am 26.10.2026 erreichbar (Seitentitel „luise Oranienburg“). Beide QR-Codes vorher mit dem Handy testen. Erika (*zufrieden*) winkt, neben ihr ein skizziertes Handy und ein Laptop: das Signal, die eigenen Geräte auszupacken.

**Layout-Typ:** `schluss`

**Sprechtext:**
Erika hat sechs Stufen gebraucht. Ihr dürft heute oben einsteigen. Euer erster Schritt: das E-Mail-Konto. Ein neues, langes Passwort aus dem Tresor, und die Zwei-Faktor-Anmeldung an. Denn über das Postfach lassen sich viele andere Konten zurücksetzen. Danach reicht eine Sache pro Monat. Und dann: drüber reden, ruhig ein bisschen angeben. Hashtag DIDit! (Pause) Handys und Notebooks raus: Gleich geht's weiter mit Live-Demo und Umzugshilfe. Danke euch!

**Fakten:** T3-29 ✓, T3-26 ✓, Faktenblatt 8.4 (25–30 Min.: E-Mail-Hauptkonto mit neuem Zufallspasswort aus dem Manager und 2FA), T1-07 ✓, T1-29 ✓ („Am besten geben wir sogar damit an …“), T1-08 ✓, T1-10 ✓

---

## Folie 21 – Danke & Bildnachweise (ab 14:40, ohne Sprechtext)

**Auf der Folie:**
- Überschrift: „Danke! Bildnachweise“
- „Illustrationen und Skizzen: eigene“
- „Illustration Smartphone (Folie 2): Florian Biege für di.day“
- „DI.DAY-Logos: Nutzung für diese Veranstaltung abgesprochen (25.10.2026)“
- „Schriften: Atkinson Hyperlegible, Silkscreen, Caveat (SIL Open Font License)“

**Bild/Visual:** Ruhige Textfolie. Sie bleibt stehen, während die Demo vorbereitet wird. Unten beide QR-Codes noch einmal klein.

**Layout-Typ:** `liste`

**Sprechtext:**
(keiner, die Folie läuft während des Umbaus zur Demo)

**Fakten:** `assets/logos/HERKUNFT.md` (Freigabe der DI.DAY-Logos für die luise-Veranstaltung, Absprache 2026-10-25; Biege-Illustration nur mit Bildnachweis vermerkt, siehe „Vor dem Vortrag prüfen“); Faktenblatt 9.4 (keine Biege-Illustrationen ungefragt)

---

## Puffer & Kürzungsplan

**Zeitmarken (Uhr im Blick behalten):**

| Folie | soll beginnen bei |
|---|---|
| 5 (Stufe 1) | 02:28 |
| 9 (Stufe 4) | 06:10 |
| 14 (Stufe 6) | 09:09 |
| 16 (Master-Passwort) | 11:18 |
| 18 (Bonus) | 12:53 |

Liegst du an einer Marke mehr als 20 Sekunden hinten, nimm die nächsten Kürzungen aus der Liste.

**Kürzungen nach Reihenfolge (zuerst die mit wenig Verlust):**

| # | Wo | Was fällt weg | spart |
|---|---|---|---|
| 1 | Folie 13 | „Erika steht jetzt auf Stufe fünf und kratzt sich am Kopf.“ (11 Wörter) | ca. 6 s |
| 2 | Folie 6 | „Ein superstarkes Passwort hilft da übrigens auch nicht, wenn es überall dasselbe ist.“ (13 Wörter) | ca. 7 s |
| 3 | Folie 3 | Die erste Handzeichen-Frage („mehr als zehn?“), direkt zu „Und wer hat ehrlich gesagt keinen Schimmer?“ (6 Wörter + Handzeichen) | ca. 12 s |
| 4 | Folie 15 | „Und aussuchen müsst ihr nicht allein: Gleich in der Umzugshilfe schauen wir gemeinsam.“ (13 Wörter) | ca. 7 s |
| 5 | Folie 9 | „Erika hat ein iPhone und einen Windows-Laptop mit Chrome. Das geht, aber mit Zusatzprogramm und Umstellerei.“ (16 Wörter; den Geräte-Klick dann auf „Der Haken“ legen) | ca. 8 s |
| 6 | Folie 18 | Microsoft-Studie (10 Wörter) | ca. 5 s |
| 7 | Folie 14 | „Und so landet Erika eines Sonntags beim DI.DAY. Vielleicht sogar bei diesem hier.“ (13 Wörter); stattdessen direkt „Stufe sechs“ | ca. 7 s |
| 8 | Folie 7 | TV5Monde-Episode samt zweitem Fragment (24 Wörter plus Lacher); die Folie endet dann auf „der gelbe Zettel“ | ca. 15 s |
| 9 | Folie 10 | Ganze Folie streichen; stattdessen in Folie 9 nach „eigenen Welt“: „Und streicht der Anbieter eine Funktion, wie Microsoft 2025 beim Authenticator, ziehst du um, wenn er es will.“ (netto 57 Wörter weniger) | ca. 29 s |

Alle neun zusammen sparen gut anderthalb Minuten (ca. 96 s). Nicht kürzen: die „Fair ist …“-Sätze jeder Stufe, die Kernbotschaft auf Folie 6, die Einordnung von Bitwarden samt EU-Region, die stille Frage auf Folie 15, den Reserve-Satz zu Passkeys und den Schluss mit E-Mail-Konto und #DIDit.

**Notbremse (2 Minuten oder mehr im Verzug):** Folie 10 und 13 überspringen. Folie 12 nur mit zwei Sätzen: „Bei LastPass wurden 2022 Tresore gestohlen. Geknackt werden vor allem die mit schwachem Master-Passwort, dem einen Passwort, das den Tresor aufschließt.“ Folie 18 auf einen Satz eindampfen: „Bonus: Schaltet beim E-Mail-Konto die Zwei-Faktor-Anmeldung ein, und wo es geht: Passkeys. Zeige ich euch gleich in der Demo.“ Damit gewinnst du etwa 2 Minuten.

**Puffer, falls Zeit übrig ist (je ca. 20–30 Sekunden):**

- Stufe 1: 23andMe 2023. Rund 14.000 Konten mit wiederverwendeten Passwörtern übernommen, über die Verwandtschaftsfunktion flossen Daten von etwa 6,9 Millionen Menschen ab. Die meisten Betroffenen hatten selbst nichts falsch gemacht. (L1-09 ✓; nicht „6,9 Mio. Konten gehackt“)
- Stufe 2: Prinz William, 2012. PR-Fotos von seinem Dienst bei der Royal Air Force zeigten Zugangsdaten auf Bildschirmen und an einer Pinnwand; das Ministerium setzte sie zurück. (L1-15 ✓; „Prinz William“, nicht „Thronfolger“)
- Stufe 2: Das BSI sagt, Passwörter sollten niemals „auf dem berühmten Notizzettel am Bildschirm kleben“. (L1-20 ✓)
- Stufe 3: Noch ein Buchtitel: „Zettel ade, Passwort okay! Das schlaue Passwortbuch“. (L1-24 ✎)
- Stufe 6: Ehrlicher Nachsatz zu Tests: Im Verbrauchertest von Test Achats und Que Choisir (bei test.de, Februar 2026) landete KeePassXC am Tabellenende, Proton Pass im Mittelfeld, Bitwarden war Preis-Leistungs-Tipp. Bewertet wurden Komfort und Funktionen, nicht Unabhängigkeit. (L2-25 ✓ ⚡)

**Vor dem Vortrag kurz prüfen (⚡):**

- 1Password-Preis (L2-16), Besitz von LastPass (L2-17), Gratis-Tarife von Proton Pass und Bitwarden (T5-13, T5-04), KeePassium-Preise (T4-19)
- Passkeys bei GMX/WEB.DE und Bahn (T6-10, T6-11), Warnfunktionen der Browser (L2-05, L2-06)
- QR-Codes mit dem Handy testen
- **Freigabe der Biege-Illustration bestätigen.** `HERKUNFT.md` vermerkt eine Absprache nur für die DI.DAY-Logos, für die Illustration nur den Bildnachweis (Faktenblatt 10, offene Frage 3). Ohne Bestätigung Folie 2 nur mit `diday-tagline.svg` bauen.
- Für Variante A: die Stufe-2-Skizze mit „erika“ statt „anna“ im Anmeldefeld

---

## Mögliche Rückfragen

1. **„Und wenn der Passwortmanager selbst gehackt wird?“**
   Bei LastPass ist genau das 2022 passiert. Die Kriminellen kamen zuerst über einen Firmenlaptop aus der Entwicklung rein. Der entscheidende Schritt war der private PC einer Führungskraft im Homeoffice: Über einen veralteten Medienserver (Plex) installierten sie einen Keylogger und kamen so an die Schlüssel zu den Cloud-Backups. Erbeutet wurden verschlüsselte Tresore plus unverschlüsselte Webadressen. Geknackt werden seither vor allem Tresore mit schwachem Master-Passwort oder alten Einstellungen. Die Analysefirma TRM Labs bringt über 35 Millionen Dollar Krypto-Diebstahl damit in Verbindung, bewiesen ist das im Einzelnen nicht. Die britische Datenschutzbehörde ICO verhängte gut 1,2 Millionen Pfund Bußgeld und fand keinen Beleg für entschlüsselte Passwörter. Die Lehre: Die Verschlüsselung hat grundsätzlich gehalten, deshalb die lange Passphrase. Bei KeePassXC gibt es gar keinen Hersteller-Server, die Datei liegt bei dir. Und das BSI sagt: „Aus Sicht des BSI überwiegt der Nutzen bei weitem.“ (L2-18 ✎, L2-19 ✎, L2-20 ✓, L2-21 ✓, T5-20 ✓, T5-21 ✓, T5-22 ✓, T3-20 ✓, T3-22 ✓; stufenleiter.md A: Krypto-Diebstähle nicht als bewiesen darstellen)

2. **„Was, wenn ich das Master-Passwort vergesse?“**
   Bei KeePassXC gibt es keine Wiederherstellung, deshalb Notfallblatt im Umschlag plus Backup der Datei. Proton hat eine 12-Wort-Wiederherstellungsphrase zum Ausdrucken. Notfallzugang für Vertrauenspersonen gibt es bei Proton und Bitwarden mit Bezahltarif, bei Vaultwarden kostenlos. (T4-16 ✓, T7-28 ✓, T7-24 ✓, T7-25 ✎, T7-26 ✓)

3. **„Ist der Passwortspeicher im Browser jetzt unsicher?“**
   Nein. Gegen Firefox hatte das BSI im Rahmen seiner Prüfung keine Bedenken, es empfiehlt aber ein Hauptpasswort. Apple verschlüsselt Ende-zu-Ende. Bei Chrome kommt Google ohne Sync oder mit eigener Sync-Passphrase nicht ran, im Standard-Sync dagegen „jederzeit“. Dazu kommt: Schadsoftware weiß, wo sie im Browser suchen muss. Der DI.DAY-Punkt ist aber die Bindung an ein Ökosystem. (L2-02 ✓, L2-03 ✓, L2-06 ✓, L2-10 ✓, L2-11 ✓, T1-16 ✓)

4. **„84 Prozent im Browser, aber nur 10 Prozent mit Passwortmanager – wie passt das zusammen?“**
   Das sind zwei verschiedene Umfragen mit verschiedenen Fragen. Die 84 Prozent stammen aus einer Online-Umfrage der Verbraucherzentrale NRW mit Mehrfachnennungen: Viele nutzen mehrere Wege gleichzeitig, in derselben Umfrage sagen 37 Prozent, sie haben einen eigenen Passwortmanager. Die 10 Prozent stammen aus dem Cybersicherheitsmonitor, dort nennen 15 Prozent den Browser-Speicher als Schutzmaßnahme. Deshalb nennen wir beide Quellen und vergleichen sie nicht direkt. (L2-12 ✓, Faktenblatt 4.5 „Umfragen nicht gegeneinander ausspielen“)

5. **„Und was sagt das BSI zu Proton Pass und Bitwarden?“**
   Nichts, und das ist kein schlechtes Zeichen. Das BSI empfiehlt grundsätzlich keine Produkte. In seiner Marktuntersuchung 2025 waren Proton Pass und Bitwarden nicht dabei. Bitwarden stand in der Vorauswahl, wurde per Zufallsauswahl aber nicht gezogen. Das ist kein Negativurteil. Bei KeePassXC lautet die Formulierung „im Rahmen der Prüftiefe … keine Bedenken“, das ist ebenfalls keine Empfehlung. Dazu hat die französische Cybersicherheitsbehörde ANSSI KeePassXC ein Sicherheitsvisum erteilt, das das BSI anerkennt. Proton Pass und Bitwarden lassen sich regelmäßig von externen Prüfern untersuchen. (T3-19 ✓ + Prüfer-Ergänzung, Faktenblatt 5 Grundsatz und 9.4, T3-20 ✓, T4-10 ✓, T5-06 ✓, T5-15 ✓)

6. **„Warum nicht einfach Bitwarden? Ist doch Open Source.“**
   Stimmt: Open Source, jährlich geprüft, sehr einsteigerfreundlich. Aber Bitwarden ist eine US-Firma, die Tresordaten liegen auf Microsoft Azure, auch in der EU-Region. Darum im DI.DAY-Rezept „zweite Wahl“. Die Tresore sind Ende-zu-Ende-verschlüsselt, das Problem ist die rechtliche Abhängigkeit (CLOUD Act), nicht das Mitlesen. Wer Bitwarden neu einrichtet: vor der Registrierung die EU-Region wählen, später umziehen geht nur per Export und neuem Konto. (T5-01 ✓, T5-02 ✓, T5-03 ✓, T5-06 ✓, T1-14 ✓, L2-27 ✓)

7. **„Proton ist doch auch nicht in der EU?“**
   Richtig, Schweiz. Die Apps sind quelloffen, der Server-Code nicht. Die geplante Verschärfung der Schweizer Überwachungsverordnung (VÜPF) ist nicht in Kraft und wird überarbeitet. Proton bleibt in Genf und betreibt Teile der Infrastruktur in Frankfurt. (T1-12 ✓, T5-12 ✓, T5-16 ✓, T5-17 ✓, T5-18 ✎)

8. **„Ist KeePassXC wirklich kostenlos?“**
   KeePassXC am Rechner und KeePassDX unter Android: ja. KeePassium auf dem iPhone ist mit einer Datenbank gratis, Premium kostet 19,99 € im Jahr. Darum heißt es auf der Folie „kostenlos nutzbar“. (T4-02 ✓, T4-17 ✓ ⚡, T4-19 ✎ ⚡)

9. **„Im Test bei test.de lag KeePassXC doch ganz hinten?“**
   Stimmt. Im Test von Test Achats und Que Choisir (bei test.de im Februar 2026) landete KeePassXC am Tabellenende, Proton Pass im Mittelfeld, Bitwarden war Preis-Leistungs-Tipp. Alle zwölf bestanden die Sicherheitsprüfung. Bewertet wurden Komfort und Funktionen, nicht Abhängigkeit oder Offenheit. (L2-25 ✓ ⚡)

10. **„Muss ich jetzt alle Passwörter sofort ändern?“**
    Nein. Kein Ändern nach Kalender, Schritt für Schritt, zuerst das E-Mail-Konto. Ändern, wenn es Hinweise auf ein Leck gibt. Bei Verdacht auf Schadsoftware erst das Gerät säubern, dann die Passwörter ändern. (T3-05 ✓, T3-07 ✓, T3-29 ✓, T2-27 ✓, T1-07 ✓)

11. **„Sperren mich Passkeys nicht wieder bei Apple oder Google ein?“**
    Das war lange so. Seit iOS 26 (Herbst 2025) und bei Google seit Juni 2026 lassen sich Passkeys per Credential Exchange in andere Manager umziehen. Bitwarden kann das schon, Proton hat es angekündigt, KeePassXC nicht. Tipp: neue Passkeys gleich im unabhängigen Manager anlegen. (T6-14 ✎, T6-16 ✓, T6-17 ✓, T6-18 ✓, T6-20 ✓, T6-21 ✓)

---

## Änderungsprotokoll (Jury)

Gezählt: 22 must_fix-Punkte (Jury Laien 8, Jury Bühne 7, Jury Fakten 7). Alle 22 sind umgesetzt. Wo zwei Jurys dasselbe verlangen, steht der Punkt trotzdem einzeln da.

**Jury Laien**

| # | must_fix | Status | Wie |
|---|---|---|---|
| L1 | Folie 12: LastPass auf drei ruhige Sätze, Keylogger, Medienserver, TRM/Krypto, Bußgeld in die Rückfragen | umgesetzt | Folie 12 von 105 auf 62 Wörter: erbeutete Kopien, „verschlüsselt / Webadressen nicht“, „Verschlüsselung hat grundsätzlich gehalten“, Master-Passwort-Lehre. Angriffsweg, Keylogger, Plex, TRM und ICO stehen in Rückfrage 1. Quellzeile ohne TRM. |
| L2 | Folie 15: Rollenklischee Erika/Jörg auflösen, „Nextcloud“ streichen oder erklären | umgesetzt | Jörg ist gestrichen, damit auch Nextcloud. Erika wählt nach ihren Geräten („iPhone und Laptop, alles soll sich von selbst abgleichen“), nicht nach „keine Lust auf Basteln“. Neu auf Folie 3: „Und sie ist schlauer als ihre Passwörter.“ |
| L3 | Folie 15: EU-Region ausdrücklich an Bitwarden binden | umgesetzt | „Wer neu mit Bitwarden anfängt, wählt vor der Registrierung die EU-Region.“ So steht es auch auf der Folie und in Rückfrage 6. |
| L4 | Folie 20 und Kernbotschaft 3: „Ein Wechsel pro Monat“ → „Umstieg“ / „eine Sache pro Monat“ | umgesetzt | Folie 20 und Kernbotschaft 3: „Danach reicht eine Sache pro Monat.“ Zusätzlich heißt es auf Folie 17 „Ändern nur mit Grund“ statt „Kein Pflichtwechsel“, damit „Wechsel“ nur noch im DI.DAY-Sinn vorkommt (das FAQ-Zitat auf Folie 2 bleibt wörtlich). |
| L5 | Folie 20: ersten Schritt konkret machen | umgesetzt | „Euer erster Schritt: das E-Mail-Konto. Ein neues, langes Passwort aus dem Tresor, und die Zwei-Faktor-Anmeldung an.“ Steht auch auf der Folie. |
| L6 | Master-Passwort beim ersten Auftauchen erklären | umgesetzt | Erstes Auftauchen ist jetzt Folie 12: „… schwachem Master-Passwort, dem einen Passwort, das den Tresor aufschließt.“ |
| L7 | Folie 5: „Schaut euch diese Brücke an“ bildneutral | umgesetzt | „Stellt euch vor, all diese Schlösser hätten denselben Schlüssel.“ Das passt zur Skizze mit der Schlösserwand. |
| L8 | Folie 14: Block von ca. 185 Wörtern kürzen (Sicherheitsvisum streichen), „Open Source“ an „Kann ich reinschauen?“ koppeln | umgesetzt | Folie 14 von 177 auf 140 Wörter. Aus dem Sprechtext raus sind das ANSSI-Visum (jetzt in Rückfrage 5), die drei App-Namen (stehen klein auf der Karte) und die Vaultwarden-Details (Folie 15). Neu: „Open Source, da kann jeder reinschauen“ bzw. „in die Apps kann man reinschauen“. Jede Tool-Karte beantwortet mit den Icons von Folie 13 die drei DI.DAY-Fragen. |

**Jury Bühne**

| # | must_fix | Status | Wie |
|---|---|---|---|
| B1 | Folie 5: Brücken-Satz bildneutral | umgesetzt | wie L7 |
| B2 | Folie 12: auf ca. 40 Wörter, „Lehre eins“ streichen, nur Master-Passwort-Lehre | umgesetzt | 62 Wörter statt 105. Etwas über 40, weil die Erklärung des Master-Passworts (L6) und der Fairness-Satz (F3) hier sitzen. „Lehre eins“ ist gestrichen, übrig ist nur „Darum ist das wichtigste Schloss euer Master-Passwort.“ |
| B3 | Folie 1/2: erster Satz „Heute ist DI.DAY“, dann Titelfrage mit „Antwort am Ende, versprochen“ | umgesetzt | Folie 1 beginnt mit „Heute ist DI.DAY!“, dann die Titelfrage und „Antwort am Ende, versprochen.“ Folie 2 erklärt danach den Tag (neue Überschrift „Digital Independence Day“, damit sich nichts doppelt). |
| B4 | Folie 3: 8–10 s pro Handzeichen, höchstens zwei Fragen; insgesamt 60–80 Wörter kürzen für echten Puffer | umgesetzt | Folie 3 hat zwei Fragen („mehr als fünfzig?“ ist gestrichen), alle Handzeichen sind mit 9 s gerechnet. Sprechtext von 1.708 auf 1.651 Wörter (−57 Wörter). Der Puffer entsteht vor allem durch die realistische Zeitrechnung: 14:40 statt geplanter 15:00, also 20 Sekunden Luft. Kleine Abweichung: Die Kürzung liegt knapp unter der verlangten Spanne von 60–80 Wörtern, weil der Auftrag 1.650 Wörter als Untergrenze setzt und die neuen Pflichtinhalte (L5, L6, F2, B6) Platz brauchen. Die Gegenprobe bei 115 W/min steht im Kopf, Kürzungen 1–3 fangen sie auf. |
| B5 | Folie 15: „Wer neu mit Bitwarden anfängt …“, Jörg samt Animation streichen | umgesetzt | wie L2 und L3. Jörg, seine Figur und die Lauf-Animation sind gestrichen. |
| B6 | Interaktion nach hinten verteilen: stille Selbsteinordnung auf Folie 14 oder 15 | umgesetzt | Folie 15, letztes Fragment: große Leiter ohne Erika, „Auf welcher Stufe steht ihr heute? Und welche ist die nächste?“ (Stille Frage, 10 s). Folie 15 läuft von 10:19 bis 11:18, die Frage kommt kurz vor ihrem Ende, also mitten im dichten Teil zwischen Stufe 6 und Master-Passwort. |
| B7 | Folie 19: Antwort mit DI.DAY-Bezug schärfen | umgesetzt | „Schutz. Einer, der euch Arbeit abnimmt, statt welche zu machen. Und am besten einer, der euch gehört.“ Auch auf der Folie („… und am besten einer, der dir gehört“). „Am besten“, weil nicht jeder Passwortmanager einem gehört. |

**Jury Fakten**

| # | must_fix | Status | Wie |
|---|---|---|---|
| F1 | Folie 9: 84 % als Online-Umfrage kennzeichnen, „wie die allermeisten“ streichen oder CyMon 15 % daneben, nicht gegen die 10 % ausspielen | umgesetzt | Gesprochen: „In einer Online-Umfrage der Verbraucherzentrale NRW sagten 84 Prozent: Machen wir auch.“ („Online-Umfrage“ steht so auf der VZ-NRW-Seite aus den Quellen, am 26.10.2026 nachgelesen). „Wie die allermeisten“ ist gestrichen. Auf der Folie: Teilnehmende, Zeitraum, Mehrfachnennungen und der CyMon-Wert 15 % als „andere Frage als auf Folie 4“. Die Zahl ist bewusst mittelgroß statt im Riesenformat von Folie 4. Neue Rückfrage 4. |
| F2 | Folie 9: „Unsicher ist das nicht“ belegen, Halbsatz zu Voreinstellungen | umgesetzt | Satz ersetzt durch „Gegen Firefox hatte das BSI keine Bedenken. Es rät aber, nachzuschärfen: in Firefox ein Hauptpasswort setzen, in Chrome ein eigenes Passwort für den Abgleich.“ Der Satz zur Schadsoftware ist in Rückfrage 3 gewandert. |
| F3 | Folie 12: „Lehre eins“ symmetrisch formulieren oder streichen | umgesetzt | gestrichen und ersetzt durch „Gestohlen werden kann jeder Tresor, auch die, die ich euch gleich zeige.“ |
| F4 | Folie 14: „im Rahmen der Prüftiefe“ ergänzen, Rückfrage „BSI empfiehlt keine Produkte, Proton/Bitwarden nicht geprüft“ | umgesetzt | Gesprochen laienfreundlich: „Das BSI hatte keine Bedenken, soweit es geprüft hat.“ Wörtlich „im Rahmen der Prüftiefe“ in der Fußnote. Neue Rückfrage 5. |
| F5 | Folie 14: „kostenlos“ → „kostenlos nutzbar“ (KeePassium Premium) | umgesetzt | „Kein Konto, keine Cloud, kostenlos nutzbar.“ Fußnote „KeePassium: Grundversion gratis, Premium kostenpflichtig“, neue Rückfrage 8. |
| F6 | Folie 21: „Logos mit Freigabe“ nur bei echter Freigabe; Folie 20: URL luise-oranienburg.de verifizieren | umgesetzt | Folie 21 sagt jetzt genau, was `HERKUNFT.md` belegt: „DI.DAY-Logos: Nutzung für diese Veranstaltung abgesprochen (25.10.2026)“. Für die Biege-Illustration steht nur der Bildnachweis, ihre Freigabe ist ein Prüfpunkt vor dem Vortrag (mit Ausweichlösung). Die URL ist geprüft: https://luise-oranienburg.de antwortete am 26.10.2026 mit HTTP 200, Seitentitel „luise Oranienburg“. Der QR-Code ist laut `HERKUNFT.md` auf diese Adresse ausgestellt, Handytest bleibt Pflicht. |
| F7 | Folie 11: Quellzeile „Anbieterangaben“ für 1Password-Preis falsch | umgesetzt | „35,88 → 47,88 USD/Jahr ab März 2026, laut Fachpresse (9to5Google, AlternativeTo)“ |

**Außerdem behoben (Schwächen ohne must_fix):** Die Kernbotschaft „wiederverwendet statt schwach“ ist jetzt Schlagzeile auf Folie 6. Statt 14-mal „das BSI sagt“ nennt der Sprechtext das BSI nur noch 9-mal, der Rest steht in den Quellzeilen. Roku wird als „ein Streaming-Anbieter namens Roku“ eingeführt, man muss ihn nicht kennen. Der Animationsaufwand ist kleiner: drei statt vier Erika-Posen, kein Jörg, gestaffelte Einblendungen statt einzelner Klicks, höchstens 4 Klicks pro Folie. Alle Visuals sind auf den Skizzen-Stil umgestellt, die Fotos sind raus. Die Pointen von Stufe 2 und 3 stehen schon in den Skizzen (Post-it „kaffeetasse“, Buch „WLAN: kaffeetasse“, „???“ am Handy). Das Buch liefert zusätzlich „Sommer2020! → Sommer2021!“ als neuen Rückgriff auf Folie 17.

**Bewahrt (die Stärken von A, nicht angeglichen):** Erika als roter Faden mit wachsenden Pannen; der Running Gag „kaffeetasse“ bis zur Auflösung auf Folie 17; die Blumenerde-Geschichte; „Ein Versteck mit Titel“; die BSI-Definition „ähnlich wie ein Notizbuch, das in einer Schublade eingeschlossen ist … Also: Passwortbuch, nur digital.“; der Videocall bei der Chorprobe als Brücke zu TV5Monde; „nicht Datenverlust, sondern Abhängigkeit“; „Bevor Erika unterschreibt, liest sie nach“; die DI.DAY-Frage als Scharnier mit großer Leiter; „Und so landet Erika eines Sonntags beim DI.DAY“; das Passwortbuch als Notfallblatt mit einem Eintrag im Schrank; „Der Name vom Hund ist nicht zufällig“; die Passkey-Reserve; „Einer, der euch Arbeit abnimmt, statt welche zu machen“; „Erika hat sechs Stufen gebraucht. Ihr dürft heute oben einsteigen.“; die „Fair ist …“-Sätze, die Mini-Leiter mit Figur und der Kürzungsplan mit Zeitmarken.