# Drehbuch Variante B „Mitmachen“: Passwortmanager – Schutz oder Schnickschnack? **Impulsvortrag zum DI.DAY** · Sonntag, 1. November 2026, 11–13 Uhr · zu Gast bei luise Oranienburg („lieber unabhängig und informationell selbstbestimmt“) · Oranienwerk, Kreativ Oase, Kremmener Straße 43, Oranienburg · Referent: Matthias Kerk · Folien: reveal.js im Browser (offline, 1920 × 1080) Stand: 26.10.2026, überarbeitete Fassung nach drei Jurys (Laien, Bühne, Fakten) · Vorlage: `entwuerfe/drehbuch-varianten/variante-b.md` · Quellen: `recherche/faktenblatt.md` (IDs T1–T7), `recherche/stufenleiter.md` (IDs L1, L2) | | | |---|---| | **Gesamtdauer** | 15:18 Min. bei 120 Wörtern/Min. – davon 13:56 Sprechtext und 1:22 für Mitmach-Momente, Lacher und stille Pausen (alles eingerechnet, siehe Zeitrechnung). Bei 115 Wörtern/Min. ca. 15:55, bei 125 ca. 14:45 | | **Wortzahl Sprechtext** | **1.673 Wörter** (per Skript gezählt: nur die Sprechtext-Absätze, ohne Regieanweisungen in Klammern) | | **Folien** | 24 (23 mit Sprechtext, Folie 24 bleibt während des Umbaus zur Demo stehen) | | **Mitmach-Momente** | 5: ein Quiz, drei Handzeichen, einmal Nicken. Dazu zweimal die stille Frage „Auf welcher Stufe stehst du?“ (ohne Antwort) | | **Bilder** | Stufe 1–3: Skizzen-Illustrationen (`assets/illustrationen/skizze/…`), alle übrigen Grafiken im selben Skizzen-Stil. Keine Fotos. | **Was diese Variante ausmacht** - **Das Publikum macht mit, und niemand muss sich outen.** Gefragt wird nach Bekannten, nach Mehrheitsverhalten und nach Vorsätzen, nie nach dem eigenen Stand oder gar nach Passwörtern. - **Die Kaffeetasse ist der rote Faden.** Sie wird im Quiz erraten (Folie 4), klebt auf dem Zettel (Folie 8), verliert gegen sechs gewürfelte Wörter (Folie 19) und darf am Schluss wieder eine Tasse sein (Folie 23). - **„Und du?“ hängt an jeder Stufe.** Die kleine Sprechblase an der Fortschrittsanzeige stellt die Frage still weiter, ohne dass jemand antworten muss. **Kernbotschaften** 1. **Das Problem ist nicht das schwache Passwort, sondern das wiederverwendete.** Jede Stufe nach oben hilft. 2. **Ein Tresor, der dir gehört:** KeePassXC-Familie, Proton Pass oder Bitwarden/Vaultwarden, dazu ein einziges, langes Master-Passwort. 3. **Entspannte Rebellion:** kein Pflichtwechsel, Länge schlägt Sonderzeichen, ein Schritt reicht. Heute zuerst das E-Mail-Konto: neues, langes Passwort aus dem Tresor, Zwei-Faktor an. ### Folienübersicht | Nr | Titel | Layout-Typ | Dauer | Wörter | |---|---|---|---|---| | 1 | Titel | titel | 0:17 | 34 | | 2 | Heute ist DI.DAY | zweispalter | 0:34 | 69 | | 3 | Wie viele Konten hast du? | grosse-zahl | 0:24 | 48 | | 4 | Quiz: Platz 6 · Mitmach 1 | quiz (eigener Typ) | 1:14 | 83 | | 5 | Die Stufenleiter | stufenleiter | 0:25 | 46 | | 6 | Stufe 1: Überall dasselbe Passwort · Mitmach 2 | illu | 0:54 | 81 | | 7 | Ein Leck – alle Türen offen | grosse-zahl | 0:42 | 84 | | 8 | Stufe 2: Der Zettel | illu | 0:45 | 90 | | 9 | Stufe 3: Das Passwortbuch | illu | 0:53 | 106 | | 10 | Passwortbuch, nur digital | zweispalter | 0:34 | 68 | | 11 | Stufe 4: Der Browser merkt’s sich · Mitmach 3 | grosse-zahl | 1:05 | 110 | | 12 | Der Passwortmanager, der verschwand | zeitleiste (eigener Typ) | 0:32 | 65 | | 13 | Stufe 5: Profi-Tresor im Abo | zweispalter | 0:44 | 87 | | 14 | Eine Lehre für jeden Cloud-Tresor | illu | 0:35 | 70 | | 15 | Stufe 6 (1/3): KeePassXC-Familie | tool-karten | 0:34 | 68 | | 16 | Stufe 6 (2/3): Proton Pass | tool-karten | 0:20 | 39 | | 17 | Stufe 6 (3/3): Bitwarden / Vaultwarden | tool-karten | 0:22 | 43 | | 18 | Welcher passt zu dir? | entscheidung (eigener Typ) | 0:52 | 101 | | 19 | Ab jetzt merkst du dir nur noch eins | passphrase (eigener Typ) | 0:57 | 108 | | 20 | Was du nicht mehr musst | liste | 0:31 | 62 | | 21 | Bonus: Zweites Schloss und Passkeys | zweispalter | 0:56 | 111 | | 22 | Schutz oder Schnickschnack? | antwort (eigener Typ) | 0:12 | 17 | | 23 | Dein erster Schritt · Mitmach 4 und 5 | schluss | 0:58 | 83 | | 24 | Standbild: Jetzt geht’s los | schluss (Standbild) | – | 0 | | | **Summe** | | **15:18** | **1.673** | **Eigene Layout-Typen:** *quiz* = Liste mit verdecktem letztem Eintrag, der per Klick aufgedeckt wird · *zeitleiste* = drei Stationen von links nach rechts, einzeln per Klick · *entscheidung* = Analogie-Paar oben, drei Wenn-dann-Zeilen darunter · *passphrase* = Wortreihe auf Würfeln plus schräger Warnstempel · *antwort* = Spiegel der Titelfolie: Frage groß, per Klick die Antwort. ### Mitmach-Fahrplan | # | Folie | ca. bei | Form | Dauer | Sicherheitsnetz | Warum niemand bloßgestellt wird | |---|---|---|---|---|---|---| | 1 | 4 | 01:40 | Quiz: Platz 6 der meistgeleakten Passwörter | ca. 40 s (Frage, 30 s Raten, Auflösung, Lacher) | nach 10 s zweiter Tipp „Hat einen Henkel“; spätestens nach 30 s auflösen, auch ohne richtige Antwort | Raten, kein Geständnis | | 2 | 6 | 03:06 | Handzeichen: „Wer kennt jemanden, der überall dasselbe Passwort benutzt?“ | 10 s | keine Hand: „Ich auch nicht. Ganz bestimmt nicht.“ | gefragt wird nach Bekannten, nicht nach euch | | 3 | 11 | 06:52 | Handzeichen: „Wer lässt sich Passwörter vom Browser merken?“, danach Zahl aufdecken | 10 s | wenige Hände: „Die anderen tippen alles von Hand? Respekt!“ | Mehrheitsverhalten, ausdrücklich „keine Beichte“ | | 4 | 23 | 14:28 | Nicken: „Wer hat schon mal auf ‚Passwort vergessen?‘ geklickt?“ | 3 s | kein Nicken: „Dann habt ihr ein beneidenswertes Gedächtnis.“ | betrifft praktisch alle; Nicken statt Hand, nichts wird gezählt | | 5 | 23 | 14:48 | Handzeichen: „Wer geht heute eine Stufe höher?“ | 10 s | wenige Hände: „Die anderen kommen einfach mit an die Tische und schauen zu.“ | gefragt wird nach dem Vorsatz, nicht nach dem Ist-Stand | **Stille Selbsteinordnung** (keine Antwort, nur zwei Sekunden Pause): Folie 5 und Folie 18. Auf allen Stufen-Folien (6–9, 11, 13, 15–17) hängt an der Fortschrittsanzeige die kleine Sprechblase „Und du?“. **Spielregeln:** Nie nach Passwörtern fragen. Nie einzelne Personen ansprechen, nie „Wer steht auf Stufe 1?“. Handzeichen nur fröhlich kommentieren, nie eine einzelne Hand. Keine Witze über Menschen, die Zettel oder Passwortbücher nutzen; Pointen gehen auf Kosten von Verlagen, Konzernen oder des Referenten. ### Gestaltung (gilt für alle Folien) - **Theme:** `css/theme.css`, Folienraster 1920 × 1080. Farben über die Tokens (`--lila`, `--orange`, `--papier`, `--tinte` …), Pixelband oben und unten (`.pixelband.oben/.unten`) als DI.DAY-Randtextur. - **Schriften** (lokal in `assets/fonts`): Atkinson Hyperlegible Next für Text, Silkscreen für Akzente, Stufenzahlen und „Und du?“, Caveat als Handschrift in den Skizzen und Handnotizen. - **Skizzen-Stil für alle Grafiken:** Marker-Skizze mit leicht krakeliger Tinten-Kontur (#23122a), stellenweise doppeltem Strich, Farbflächen leicht versetzt zur Kontur, teils Schraffur, dezenter Rau-Filter (nie auf Text). Farben: Lila #74157d / #dcb8e2, Orange #fea300, Post-it-Gelb #ffd84d, Warnrot #e5533d / #f7b9ad, Grün #2f8f46, Neutral #d9d4c7 / #ece7da, Bildschirm-Blau #cfe3f7. Freundlich, keine Angstbilder, keine Kapuzen-Hacker, keine Gesichter. Vorbild und Technik: die drei Stufen-Skizzen. - **Stufe 1–3:** Skizzen `assets/illustrationen/skizze/stufe1-ein-schluessel.svg`, `stufe2-postit.svg`, `stufe3-passwortbuch.svg` (liegen dort schon, mit passenden Schriftpfaden; die Fassungen in `entwuerfe/illustrationen/skizze/` sind nur die Entwürfe). Einbinden per `` oder inline, **nicht** per `` (sonst fehlen die Schriften). Wo einzelne Teile als Fragment erscheinen sollen (Folie 8), inline einbinden. Die Illustration sitzt groß, mindestens 70 % der Folienbreite, damit die Caveat-Beschriftungen in der letzten Reihe lesbar bleiben. - **Wiederkehrende Fortschrittsanzeige „Stufenleiter“:** skizzierte Treppe mit sechs Stufen unten rechts (ca. 12 % der Folienbreite). Erledigte Stufen lila, aktuelle Stufe orange, Stufe 6 mit kleinem Tresor, daneben die Sprechblase „Und du?“ in Silkscreen. Auf Folie 5 groß, ab Folie 6 klein. - **Maskottchen Kaffeetasse:** die vorhandene Skizze `assets/illustrationen/skizze/kaffeetasse.svg` (dampfende Tasse mit Herz, passt zur Tasse in `stufe2-postit.svg`). Auftritte auf Folie 4, 19 und 23. - **Schon vorhandene Skizzen nutzen:** In `assets/illustrationen/skizze/` liegen neben den drei Stufen-Skizzen bereits `kaffeetasse.svg`, `stufe5-abo-tresor.svg`, `tresor-weggerollt.svg`, `favorit-lokal.svg`, `favorit-cloud.svg`, `favorit-selbst.svg` und `notfallumschlag.svg`. Diese Variante verwendet sie auf den Folien 4, 13–17, 19 und 23. Neu zu zeichnen sind nur die Grafiken, die es so nur in „Mitmachen“ gibt (siehe die einzelnen Folien). - **Tool-Namen als Text**, keine fremden Logos. Quellen klein unten rechts (`.quelle`). --- ## Folie 1 – Titel (00:00–00:17) **Auf der Folie:** Passwortmanager **Schutz oder Schnickschnack?** Matthias Kerk · luise Oranienburg · DI.DAY, 1. November 2026 **Bild/Visual:** Lila Vollfläche mit Pixelband oben und unten. DI.DAY-Logo (`assets/logos/diday.svg`) oben links, luise-Logo (`assets/logos/luise.png`) oben rechts. Titel in Weiß, „Schnickschnack?“ in Orange und Silkscreen, das Fragezeichen wackelt einmal. Läuft schon beim Einlass. **Layout-Typ:** titel **Sprechtext:** Heute ist DI.DAY! (Pause) Guten Morgen, schön, dass ihr bei luise im Oranienwerk seid. Ich bin Matthias, und ich habe eine Frage mitgebracht: Passwortmanager – Schutz oder Schnickschnack? (Pause) In fünfzehn Minuten habt ihr eine Antwort. Versprochen. **Fakten:** Rahmendaten der Veranstaltung · [T1-05 ✓ ⚡] Termin 1.11.2026 ist offizieller DI.DAY --- ## Folie 2 – Heute ist DI.DAY (00:17–00:52) **Auf der Folie:** **Heute ist DI.DAY** Jeden ersten Sonntag auf die gute Seite wechseln! #DIDit Illustration: Florian Biege für di.day **Bild/Visual:** Links Überschrift und Motto, darunter der Schriftzug `assets/logos/diday-tagline.svg` („Digital Independence NOW!“). Rechts die Biege-Illustration (`assets/logos/diday-illustration-florian-biege.png`): das befreite, lachende Smartphone mit abgerissenen Kabeln. Sie bleibt im Original (kein Skizzen-Umbau). Bildnachweis Pflicht (`.bildnachweis`). **Layout-Typ:** zweispalter **Sprechtext:** DI.DAY steht für Digital Independence Day. Ausgerufen letzten Dezember in Hamburg, unter anderem von Marc-Uwe Kling, dem mit dem Känguru. Seitdem heißt es jeden ersten Sonntag im Monat: auf die gute Seite wechseln, weg von ein paar großen Tech-Konzernen. Inzwischen gibt es Hunderte solcher Treffen, und heute eben auch hier in Oranienburg. Der DI.DAY nennt das „entspannte Rebellion“: Ein Wechsel pro Monat reicht. Und der Wechsel heute heißt: Passwörter. **Fakten:** [T1-02 ✓] Ausrufung 27.12.2025 auf dem 39C3 (Kling, Neumann) · [T1-03 ✓], [T1-04 ✓] erster Sonntag im Monat seit 4.1.2026 · [T1-22 ✎ ⚡] „Hunderte Veranstaltungen“ (keine Einzelzahl nennen) · [T1-07 ✓] „entspannte Rebellion“, „Und ein Wechsel reicht auch erst einmal!“ · [T1-08 ✓] Motto und #DIDit · Bildnachweis laut `assets/logos/HERKUNFT.md` --- ## Folie 3 – Wie viele Konten hast du? (00:52–01:16) **Auf der Folie:** **Wie viele Konten hast du?** **48 %** haben mehr als 50 „Niemand kann sich Dutzende von Zugangsdaten merken.“ – Bitkom Online-Umfrage Verbraucherzentrale NRW 2025, n = 1.203 · Bitkom 2025 **Bild/Visual:** Große Zahl „48 %“ in Orange, mittig. Beim Klick erscheinen ringsum nacheinander skizzierte Konto-Kärtchen (Tinten-Kontur leicht schief, Farbfläche versetzt, Beschriftung in Caveat: E-Mail, Bank, Krankenkasse, Bahn, Streaming, Druckerpatronen-Shop …), bis die Folie voll ist. Danach das Bitkom-Zitat als Handnotiz unten. **Layout-Typ:** grosse-zahl **Sprechtext:** Bevor wir loslegen: Überlegt mal kurz, wie viele Online-Konten ihr habt. E-Mail, Bank, Krankenkasse, Bahn. Und der Shop, bei dem ihr vor Jahren einmal Druckerpatronen bestellt habt. (Pause) In einer Umfrage der Verbraucherzentrale NRW hatte fast die Hälfte mehr als fünfzig Konten. (Klick) Die merkt sich niemand. Also tricksen wir. **Fakten:** VZ NRW 2025 (online, n = 1.203): 48 % mit mehr als 50 Konten (✓², `stufenleiter.md` Stufe 1 „Reserve“; Faktenblatt 4.5, Prüfer-Ergänzung) · [L1-06 ✓] Bitkom-Zitat --- ## Folie 4 – Quiz: Platz 6 · Mitmach 1 (01:16–02:30) **Auf der Folie:** **Meistgeleakte Passwörter in Deutschland 2025** 1 123456 · 2 123456789 · 3 565656 · 4 12345678 · 5 hallo123 6 ▯▯▯▯▯▯▯▯▯▯▯ → *Klick:* **kaffeetasse** Hasso-Plattner-Institut, Januar 2026 · gezählt in Datenlecks, nicht „beliebteste Passwörter“ **Bild/Visual:** Highscore-Tafel als Skizze: ein von Hand gezeichneter Arcade-Rahmen (krakelige Tinten-Kontur, lila Marker-Fläche leicht versetzt), die Einträge in Silkscreen auf Papier. Platz 6 zeigt elf skizzierte leere Kästchen. Beim Klick füllen sie sich einzeln mit „kaffeetasse“ in Orange, daneben erscheint die dampfende Kaffeetasse (`kaffeetasse.svg`), das Maskottchen dieser Variante. **Layout-Typ:** quiz (eigener Typ: Liste mit verdecktem letztem Eintrag, Aufdecken per Klick) **Sprechtext:** Wie wir tricksen, zeigt das Hasso-Plattner-Institut. Es hat ausgewertet, welche Passwörter in Deutschland 2025 in Datenlecks am häufigsten auftauchten. Platz eins: eins, zwei, drei, vier, fünf, sechs. (Pause) Große Überraschung. Jetzt seid ihr dran: Was steht auf Platz sechs? Elf Buchstaben. Tipp: Einige von euch halten es gerade in der Hand. (Zurufe abwarten, ca. 30 Sek.; nach 10 Sek. zweiter Tipp „Hat einen Henkel“; spätestens nach 30 Sek. auflösen, auch ohne richtige Antwort) (Klick) Kaffeetasse! (Lacher abwarten) Das heißt nicht, dass halb Oranienburg „kaffeetasse“ als Passwort hat. Aber genau solche Listen probieren Kriminelle zuerst aus. Und doppelt riskant wird die Kaffeetasse, wenn sie überall dieselbe ist. Dazu gleich mehr. **Fakten:** [T2-15 ✎] HPI-Liste „Meistgeleakte Passwörter in Deutschland 2025“, Platz 6 „kaffeetasse“, gefunden in Darknet-Leaks („meistgeleakt“, nicht „beliebteste aller Deutschen“; „in Deutschland“ steht auf der Folie und im Sprechtext) · [T2-07 ✓ ⚡] Angreifende beginnen mit Ratelisten aus früheren Leaks (stützt „solche Listen probieren Kriminelle zuerst aus“). Der frühere Satz „Und dann fällt so ein Passwort in Sekunden“ ist bewusst gestrichen: Die Hive-Zahlen beschreiben Offline-Angriffe auf gestohlene Hash-Datenbanken, nicht das Online-Login (Faktenblatt 9.4) · Brückensatz zu Folie 7 („doppelt riskant … überall dieselbe“): Einordnung (Kernbotschaft 1, [T2-16 ✓]) --- ## Folie 5 – Die Stufenleiter (02:30–02:55) **Auf der Folie:** **Die Stufenleiter** 1 Überall dasselbe · 2 Zettel · 3 Passwortbuch · 4 Browser · 5 Abo-Tresor · 6 Eigener Tresor *Sprechblase:* Und du? **Bild/Visual:** Große skizzierte Treppe von links unten nach rechts oben, sechs Stufen mit Etiketten in Caveat. Stufenflächen neutral (#ece7da, schraffiert), Stufe 6 grün mit kleinem skizziertem Tresor. Die Sprechblase „Und du?“ (Silkscreen, Orange, skizzierter Rand) ploppt nach dem ersten Satz auf. Dieselbe Treppe wird ab Folie 6 zur kleinen Fortschrittsanzeige. **Layout-Typ:** stufenleiter **Sprechtext:** Ich habe euch eine Stufenleiter mitgebracht. Sechs Stufen, von „oje“ bis „richtig gut“. Und dazu eine Frage, die nur ihr selbst beantwortet: Auf welcher Stufe stehst du? (Pause, zwei Sekunden) Keine Sorge, hier muss sich niemand outen. Jede Stufe nach oben ist ein Gewinn. Wir fangen ganz unten an. **Fakten:** Einordnung (roter Faden aus `stufenleiter.md`: Stufen 1–3 Wiederverwendung und Ort, Stufen 4–5 Abhängigkeit, Stufe 6 eigener Tresor) --- ## Folie 6 – Stufe 1: Überall dasselbe Passwort · Mitmach 2 (02:55–03:48) **Auf der Folie:** **Stufe 1: Überall dasselbe Passwort** *nach dem Handzeichen:* **33 %** machen es so Bitkom, Januar 2025, n = 1.021 · andere Umfragen: knapp 30 bis 70 % **Bild/Visual:** Skizze `assets/illustrationen/skizze/stufe1-ein-schluessel.svg` im Zustand „geschlossen“ (``): ein gelber Schlüssel „passt überall!“ steckt in fünf Vorhängeschlössern (E-Mail, Bank, Shop, Social Media, Streaming). Groß über ca. 75 % der Folienbreite, Überschrift oben links im Titelkasten, „33 %“ erscheint erst nach dem Handzeichen als großer orangefarbener Stempel rechts. Fortschrittsanzeige: Stufe 1, Sprechblase „Und du?“. **Layout-Typ:** illu **Sprechtext:** Stufe eins: überall dasselbe Passwort. (Pause) Kurze Frage, und ich frage ausdrücklich nicht nach euch: Wer kennt jemanden, der überall dasselbe Passwort benutzt? (Handzeichen, ca. 10 Sek.) Aha. Ihr habt sehr bequeme Bekannte. (Lacher abwarten) (Klick) Laut Bitkom macht das ein Drittel der Menschen, die in Deutschland online sind. Und der Vorteil ist echt: Man muss sich nur eins merken. Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, nennt das „bequem“ – und schiebt gleich hinterher: „aber dennoch nicht zu empfehlen“. Ein Schlüssel für alle Schlösser. Praktisch, solange niemand eine Kopie hat. **Fakten:** [L1-01 ✓] bzw. [T2-17 ✓] 33 % (Bitkom, Januar 2025, n = 1.021); Spanne knapp 30 bis 70 % nur als Fußnote ([L1-03 ✎], 70 % = Google/Walnut 2019, nicht repräsentativ für DE) · [L1-06 ✓] BSI „bequem, aber dennoch nicht zu empfehlen“ (Zitat nie mit Punkt nach „bequem“ beenden) · Bild „Ein Schlüssel für alle Türen“ aus dem Folien-Einzeiler in `stufenleiter.md` --- ## Folie 7 – Ein Leck – alle Türen offen (03:48–04:30) **Auf der Folie:** **Ein Leck – alle Türen offen** **14.000** Konten übernommen → **6,9 Mio.** Menschen betroffen 23andMe 2023, Angaben des Unternehmens **Bild/Visual:** Links (ca. 45 % der Breite) dieselbe Stufe-1-Skizze, jetzt im Standardzustand: Die Elster fliegt mit der roten „Kopie!“ davon, alle fünf Schlösser stehen offen. Rechts erscheinen beim Klick die zwei Zahlen mit einem skizzierten Marker-Pfeil dazwischen, „14.000“ klein in Lila, „6,9 Mio.“ groß in Orange. Kein Hacker-Motiv. Fortschrittsanzeige: Stufe 1. **Layout-Typ:** grosse-zahl (mit Illustration links) **Sprechtext:** Denn irgendein Dienst wird immer mal gehackt. Und dann kann jemand, so sagt es das BSI, „einfach automatisiert durchtesten“, wo euer Passwort sonst noch passt. Das macht kein Genie im Kapuzenpulli, das machen Programme. Automatisch und wahllos. (Pause) (Klick) Ein Beispiel: die Gentest-Firma 23andMe. Dort wurden rund vierzehntausend Konten mit wiederverwendeten Passwörtern übernommen. Über eine Verwandtschaftsfunktion kamen die Kriminellen dann an Daten von fast sieben Millionen Menschen. Die meisten hatten selbst nichts falsch gemacht. (Pause) Das Hauptproblem ist also nicht das schwache Passwort. Sondern das wiederverwendete. **Fakten:** [L1-07 ✓] BSI „automatisiert durchtesten“ (nicht „Credential Stuffing“ als BSI-Begriff ausgeben) · [L1-08 ✓] automatisierte Anmeldeversuche als Massenphänomen · [L1-09 ✓] bzw. [T2-25 ✓] 23andMe: rund 14.000 Konten, rund 6,9 Mio. Betroffene (nicht „6,9 Mio. Konten gehackt“) · [T2-16 ✓] Kernbotschaft 1 (Faktenblatt Abschnitt 2) --- ## Folie 8 – Stufe 2: Der Zettel (04:30–05:16) **Auf der Folie:** **Stufe 2: Der Zettel** *auf dem Haftzettel, per Klick:* Passwort: kaffeetasse **Bild/Visual:** Skizze `assets/illustrationen/skizze/stufe2-postit.svg`: Monitor mit Anmeldemaske, gelber Zettel am Rand, unter der Tastatur lugt „Bank: hallo123“ hervor, daneben die Kaffeetasse, eine Hand fotografiert den Zettel mit dem Smartphone („klick!“). Inline einbinden: Die Gruppe `#s2-text-postit` („Passwort: kaffeetasse“) erscheint als Fragment erst beim Klick, die Gruppe `#s2-hand-handy` als zweites Fragment beim Satz „Oder die Kamera schaut mit“. Überschrift im Titelkasten unten rechts. Fortschrittsanzeige: Stufe 2. **Layout-Typ:** illu **Sprechtext:** Stufe zwei: der Zettel. Am Bildschirm oder, ganz raffiniert, unter der Tastatur. (Klick) Oh, da ist sie ja wieder: unsere Kaffeetasse. (Pause) Dabei ist der Zettel ein Fortschritt: Jedes Konto kann ein eigenes Passwort bekommen. Und niemand aus dem Internet kommt an das Papier ran. Aber alle, die am Schreibtisch vorbeikommen: Besuch, Kolleg*innen, Handwerker*innen. (Pause) (Klick) Oder die Kamera schaut mit. Klick, und der Zettel ist auf einem Foto. Das BSI sagt deshalb: nie auf dem „berühmten Notizzettel am Bildschirm“. Aufschreiben an sich ist aber nicht verboten. Entscheidend ist, wo der Zettel liegt. **Fakten:** [L1-27 ✓] Papier kann von Schadsoftware nicht ausgelesen werden · [L1-21 ✓] „unter der Tastatur“ als Ort, an dem Listen „schnell in falsche Hände geraten“ · „Oder die Kamera schaut mit“: belegte Fälle laut `stufenleiter.md` (TV5Monde 2015, Prinz William 2012), die Anekdote selbst ist aus Zeitgründen nur noch Reserve-Satz (siehe Zeitüberschuss; [L1-13 ✓], nicht behaupten, die Ausdrucke hätten den Hack verursacht) · [L1-20 ✓] BSI „berühmter Notizzettel am Bildschirm“ und „gut unter Verschluss halten“ --- ## Folie 9 – Stufe 3: Das Passwortbuch (05:16–06:08) **Auf der Folie:** **Stufe 3: Das Passwortbuch** *Handnotiz beim Zitat:* „… das Sie einfach in Ihrem Bücherregal verstecken können.“ *zum letzten Satz:* Gefährlich ist nicht das Papier, sondern der Ort. **Bild/Visual:** Skizze `assets/illustrationen/skizze/stufe3-passwortbuch.svg`: aufgeschlagenes Büchlein „Meine Passwörter“ mit handschriftlicher Tabelle, Korrekturen, Eselsohr und Kaffeefleck, ein grüner Aufkleber „offline“, abseits ein Smartphone, das nach dem Bank-Passwort fragt („???“). Beim Buchtitel-Zitat blendet eine Handnotiz mit dem Untertitel ein, zum Satz mit der Schublade die Zeile „Gefährlich ist nicht das Papier, sondern der Ort.“ Fortschrittsanzeige: Stufe 3. Regie: Die Einträge im Buch nicht kommentieren (auch nicht die „kaffeetasse“ in der WLAN-Zeile). Wer sie entdeckt, schmunzelt von selbst. **Layout-Typ:** illu **Sprechtext:** Stufe drei: das Passwortbuch, davon gibt es im Buchhandel Dutzende. Mein Lieblingstitel: „Meine Passwörter. Ein Eintragebuch für Ihre Zugangsdaten, das Sie einfach in Ihrem Bücherregal verstecken können.“ (Pause) Im Regal. Ein Versteck mit Titel. (kurz schmunzeln lassen, nicht auf Lacher warten) Über den Titel darf man schmunzeln, über das Buch nicht. Denn das Passwortbuch ist besser als sein Ruf. Es ist offline, keine Schadsoftware kommt dran. Das BSI nennt die Papierliste sogar „die Offline-Lösung“. Und im Ernstfall finden eure Angehörigen die Zugänge. Die Haken: Ohne Zweitliste ist bei Brand oder Verlust alles weg. Unterwegs habt ihr es nicht dabei. Und vor gefälschten Webseiten warnt es nicht. Also: wenn Buch, dann in die abschließbare Schublade. **Fakten:** [L1-24 ✎ ⚡] „Dutzende“ Eintragebücher bei Hugendubel (nicht „187“), Frechverlag-Titel wörtlich · [L1-27 ✓] offline, hilft Erben und Bevollmächtigten, unterwegs nicht dabei · [L1-25 ✓] BSI „Papierliste: die Offline-Lösung“ mit Auflagen (verschließbare Schublade, Ersatzliste, Phishing selbst prüfen) · Zeile „Gefährlich ist nicht das Papier, sondern der Ort“: Einordnung aus `stufenleiter.md` --- ## Folie 10 – Passwortbuch, nur digital (06:08–06:42) **Auf der Folie:** **Ein Passwortmanager ist ein Passwortbuch, nur digital** „… ähnlich wie ein Notizbuch, das in einer Schublade eingeschlossen ist …“ – BSI ✓ merkt sich alle Passwörter ✓ erfindet für jedes Konto ein neues ✓ trägt es beim Anmelden ein Aufgeschlossen mit **einem** Master-Passwort **Bild/Visual:** Links neue Skizze „Notizbuch in der Schublade“: eine Schreibtischschublade mit Vorhängeschloss, darin das lila Büchlein aus Stufe 3; ein skizzierter Marker-Pfeil führt zu Laptop und Handy, auf deren Bildschirmen dasselbe Büchlein als kleiner Tresor erscheint. Rechts das BSI-Zitat, darunter die drei grünen Marker-Haken als Fragmente, zuletzt ein skizzierter Schlüssel mit „Master-Passwort“. Fortschrittsanzeige: Übergang, Stufe 3 erledigt, noch keine neue Stufe orange. **Layout-Typ:** zweispalter **Sprechtext:** Das BSI beschreibt einen Passwortmanager übrigens genau so: wie ein „Notizbuch, das in einer Schublade eingeschlossen ist“. Also ein Passwortbuch, nur digital. (Klick) Das Programm merkt sich alle eure Passwörter. (Klick) Es erfindet für jedes Konto ein neues, starkes. (Klick) Und beim Anmelden trägt es das Passwort für euch ein. (Klick) Aufschließen tut ihr diesen digitalen Tresor mit einem einzigen Hauptpasswort, dem Master-Passwort. (Pause) Das Einfachste davon habt ihr vielleicht schon: euren Browser. **Fakten:** [L1-26 ✓] bzw. [T3-15 ✓] BSI: Passwortmanager „funktionieren ähnlich wie ein Notizbuch, das in einer Schublade eingeschlossen ist“; Master-Passwort als Schlüssel (vergessen heißt „im schlechtesten Fall alle Daten verloren“, kommt auf Folie 15 und 19) · [T3-13 ✓] Passwortmanager mit Generator führen zu stärkeren Passwörtern, Autofill · Überleitung zum Browser aus `stufenleiter.md` (Einordnung) --- ## Folie 11 – Stufe 4: Der Browser merkt’s sich · Mitmach 3 (06:42–07:48) **Auf der Folie:** **Stufe 4: Der Browser merkt’s sich** Chrome · Safari · Firefox · Edge *nach dem Handzeichen:* **84 %** speichern Passwörter im Browser Online-Umfrage Verbraucherzentrale NRW, Aug./Sep. 2025, n = 1.203, Mehrfachnennungen · zum Vergleich: Cybersicherheitsmonitor 2026 (BSI/ProPK, n = 3.060): 15 % nennen den Browser-Passwortspeicher als Schutzmaßnahme **Bild/Visual:** Vier skizzierte Kacheln mit den Browser-Namen als Text (keine Logos). Nach dem Handzeichen erscheint „84 %“ groß in Orange. Beim Satz „in seiner eigenen Welt“ rücken die Kacheln auseinander, und jede bekommt einen eigenen skizzierten Gartenzaun. Fortschrittsanzeige: Stufe 4, Sprechblase „Und du?“. **Layout-Typ:** grosse-zahl (Variante mit vier Kacheln) **Sprechtext:** Und jetzt dürft ihr ruhig die Hand heben, das ist nämlich keine Beichte: Wer lässt sich Passwörter vom Browser merken? (Handzeichen, ca. 10 Sek.) (Klick) Willkommen in der Mehrheit. In einer Online-Umfrage der Verbraucherzentrale NRW waren es vierundachtzig Prozent. (Pause) Und das ist nicht unsicher. Euer Browser ist ein kleiner Passwortmanager: kostenlos, eingebaut, oft mit Warnung vor geleakten Passwörtern. Laut BSI ist das „in jedem Fall besser, als gängige Passwörter wiederholt zu benutzen“. (Pause) Aber: Er merkt sich eure Passwörter nur in seiner eigenen Welt. iPhone, Android und Windows in einem Haushalt? Wird mühsam. Wer bei Chrome synchronisiert und ganz allein reinschauen will, muss extra etwas einstellen. Und Schadsoftware weiß genau, wo sie im Browser suchen muss. **Fakten:** [L2-12 ✓] 84,1 % (VZ NRW, Online-Umfrage Aug./Sep. 2025) und CyMon 2026 15 % (BSI/ProPK, n = 3.060): verschiedene Fragen, deshalb beide Quellen nennen und nicht gegeneinander rechnen · [L2-05 ✓ ⚡], [L2-06 ✓ ⚡], [L2-09 ✎ ⚡] Warnungen vor geleakten Passwörtern · [L2-10 ✓] bzw. [T3-15 ✓] BSI-Zitat (gilt für Passwortmanager allgemein) und Infostealer-Warnung · [L2-03 ✓], [L2-06 ✓] keine Bedenken gegen Firefox, Apple Ende-zu-Ende (deshalb „nicht unsicher“) · [L2-05 ✓], [L2-06 ✓], [L2-08 ✓] Bindung an ein Ökosystem · [L2-02 ✓ ⚡] Chrome: bei Sync im Standardmodus Zugriff durch Google laut BSI „jederzeit“, mit eigener Sync-Passphrase kein Zugriff (im Sprechtext bewusst entschärft, Details in Rückfrage 3) · [L2-11 ✓] Lumma liest Browser-Passwörter aus --- ## Folie 12 – Der Passwortmanager, der verschwand (07:48–08:20) **Auf der Folie:** **Der Passwortmanager, der verschwand** Juni 2025: nichts Neues speichern · Juli: kein Ausfüllen · August: weg aus der App Microsoft Authenticator, 2025 **Bild/Visual:** Skizzierte Zeitleiste mit drei Marker-Kästchen, die per Klick einzeln erscheinen. Ein neutraler skizzierter Schlüssel (kein Microsoft-Logo) wird mit jedem Kästchen blasser, die Schraffur dünnt aus, im August bleibt nur eine gestrichelte Kontur. Fortschrittsanzeige: Stufe 4. **Layout-Typ:** zeitleiste (eigener Typ) **Sprechtext:** Und wer bestimmt eigentlich? Microsoft hatte in seiner Authenticator-App einen Passwortspeicher. 2025 wurde der abgeschaltet. (Klick) Juni: nichts Neues mehr speichern. (Klick) Juli: kein automatisches Ausfüllen. (Klick) August: weg aus der App. Die Passwörter gingen nicht verloren, sie blieben im Microsoft-Konto und in Edge. Aber wer Edge nicht wollte, musste umziehen. Und wann, das hat der Konzern entschieden. (Pause) Darum geht’s am DI.DAY: nicht um unsicher, sondern um abhängig. **Fakten:** [L2-08 ✓] bzw. [T5-23 ✓] Zeitplan Juni/Juli/August 2025; Passwörter und Adressen blieben im Microsoft-Konto bzw. in Edge, **Zahlungsdaten und der Verlauf generierter Passwörter wurden nicht übernommen** – deshalb nie „verloren ging nichts“ sagen; als Geschichte von Abhängigkeit erzählen, nicht von Datenverlust (Rückfrage 12) --- ## Folie 13 – Stufe 5: Profi-Tresor im Abo (08:20–09:04) **Auf der Folie:** **Stufe 5: Profi-Tresor im Abo** LastPass · 1Password **+** technisch oft top, bequem, Support **–** Code zu · Sitz USA / Kanada · Preis rauf, Produkt weg? BSI 2025 (1Password) · 1Password Einzeltarif +33 % (2026) · S-Trust der Sparkassen eingestellt 31.3.2026 **Bild/Visual:** Plus- und Minus-Spalte in Silkscreen, Tool-Namen als Text. In der Mitte die vorhandene Skizze `assets/illustrationen/skizze/stufe5-abo-tresor.svg`: glänzender Tresor, Bauplan mit Kette „Code: zu“, Ortsschild „USA / Kanada“, Preisschild „Abo – pro Jahr“ mit Pfeil nach oben. Inline einbinden, damit die drei Teile nacheinander zu ihren Sätzen erscheinen: Bauplan bei „Reinschauen könnt ihr nicht“, Ortsschild bei „LastPass sitzt in den USA“, Preisschild bei „um ein Drittel teurer“. Fortschrittsanzeige: Stufe 5, Sprechblase „Und du?“. **Layout-Typ:** zweispalter **Sprechtext:** Stufe fünf: kommerzielle Tresore im Abo, etwa LastPass oder 1Password. Technisch oft richtig gut: Bei 1Password hatte das BSI „keine grundsätzlichen Bedenken“. Bequem, mit Support. (Pause) Aber: Reinschauen könnt ihr nicht, der Code ist geschlossen. Ihr müsst der Firma vertrauen, und ihrem Recht: LastPass sitzt in den USA, 1Password in Kanada. Und die Firma kann Preise und Produkte ändern, während eure Passwörter drinstecken. 1Password ist dieses Jahr im Einzeltarif um ein Drittel teurer geworden. Und S-Trust, den Passwortmanager der Sparkassen, gibt es seit Ende März gar nicht mehr. **Fakten:** [L2-14 ✓] 1Password: BSI „keine grundsätzlichen Bedenken“, Sitz Kanada · [L2-17 ✓ ⚡] LastPass Boston (USA) · [L2-16 ✓ ⚡] +33 % Einzeltarif ab Verlängerung nach 27.3.2026 (nur USD belegt, deshalb keine Euro-Preise) · [L2-13 ✎] S-Trust eingestellt zum 31.3.2026 (kein Zusammenhang mit dem BSI-Test behaupten; S-Trust ist ein deutsches Produkt, deshalb steht es bewusst nicht im Satz über den Firmensitz) · Einzeiler „Profi-Tresor im Abo“ aus `stufenleiter.md` --- ## Folie 14 – Eine Lehre für jeden Cloud-Tresor (09:04–09:38) **Auf der Folie:** **Eine Lehre für jeden Cloud-Tresor** LastPass 2022: Kopien der Kundentresore gestohlen Webadressen: unverschlüsselt · Passwörter: verschlüsselt Geknackt: vor allem schwache Master-Passwörter LastPass 2022 · ICO 2025 **Bild/Visual:** Rechts die vorhandene Skizze `assets/illustrationen/skizze/tresor-weggerollt.svg`: Ein Tresor rollt auf einer Sackkarre aus dem Bild, vorn ein großes Vorhängeschloss „Master-Passwort“, am Griff baumelt ein Zettel. Für dieses Publikum steht auf dem Zettel „Webadressen“ statt „URLs“ (Text im SVG anpassen). Neu und nur für diese Variante: links ein skizziertes Regal mit vielen gleichen Tresoren (ein Anbieter, viel Kundschaft), mit einer Lücke dort, wo der weggerollte Tresor stand. So zeigt das Bild „Wo viele Tresore liegen, lohnt sich ein Einbruch“. Das Vorhängeschloss leuchtet beim letzten Satz orange auf, derselbe Tresor kehrt auf Folie 19 zurück. Fortschrittsanzeige: Stufe 5 und Stufe 6 gemeinsam umrandet, weil die Lehre für beide gilt. **Layout-Typ:** illu **Sprechtext:** Eine Lehre gilt für jeden Tresor in der Cloud, auch für die Cloud-Favoriten gleich: Wo viele Tresore liegen, lohnt sich ein Einbruch. (Klick) Bei LastPass haben Kriminelle 2022 Kopien der Kundentresore erbeutet. Unverschlüsselt waren die Webadressen, die Einbrecher*innen wissen also, wo jemand Konten hat. Die Passwörter selbst waren verschlüsselt, und diese Verschlüsselung hat grundsätzlich gehalten. Geknackt werden seitdem vor allem Tresore mit schwachem Master-Passwort. (Pause) Merkt euch das, das kommt gleich wieder. **Fakten:** [L2-18 ✎], [L2-19 ✎] bzw. [T5-20 ✓] Tresor-Backups: Website-URLs unverschlüsselt, Passwörter verschlüsselt (nie „im Klartext gestohlen“); Metadaten zeigen, wo jemand Konten hat (Prüfer-Ergänzung zu T5-20) · „Ein zentraler Anbieter ist ein lohnendes Ziel“ ([L2-18 ✎], [L2-19 ✎]) bewusst für alle Cloud-Tresore formuliert, auch für Stufe 6 · Faire Einordnung „Die Verschlüsselung hat grundsätzlich gehalten“ (Faktenblatt 6.7, [T5-21 ✓], [T5-22 ✓]); Krypto-Diebstähle nicht als bewiesen darstellen --- ## Folie 15 – Stufe 6 (1/3): KeePassXC-Familie (09:38–10:12) **Auf der Folie:** **Stufe 6: Ein Tresor, der dir gehört** *Karte 1, groß:* **KeePassXC-Familie** – lokal · offen · kostenlos* Rechner: KeePassXC · Android: KeePassDX · iPhone: KeePassium *Karten 2 und 3, klein und blass:* Proton Pass · Bitwarden / Vaultwarden *KeePassium gratis mit einer Datenbank · BSI 2025 zu KeePassXC 2.7.9: „keine Bedenken“ im Rahmen der Prüftiefe · im Einklang mit dem DI.DAY-Wechselrezept „Passwörter in Deiner Hand“ **Bild/Visual:** Drei skizzierte Karten nebeneinander (Marker-Kontur, Farbfläche versetzt), die aktive groß im Vordergrund, die anderen klein und blass. Symbol auf Karte 1: die vorhandene Skizze `favorit-lokal.svg` (kleines Haus, davor ein Laptop mit verschlossener Datei, keine Wolke). Fortschrittsanzeige: Stufe 6 leuchtet orange, das Tresor-Symbol öffnet sich. **Layout-Typ:** tool-karten **Sprechtext:** Stufe sechs: ein Tresor, der dir gehört. Drei Favoriten, passend zum DI.DAY-Rezept. (Klick) Erstens: die KeePassXC-Familie. Kein Konto, keine Cloud: Eure Passwörter liegen verschlüsselt bei euch. Offen, alle können reinschauen. Bei KeePassXC hatte das BSI im Rahmen seiner Prüfung keine Bedenken. Kostenlos, beim iPhone allerdings nur mit einer Datenbank. Der Haken: Den Abgleich zwischen Handy und Rechner richtet ihr selbst ein. Und wer das Master-Passwort vergisst, dem hilft niemand. **Fakten:** [T1-11 ✓ ⚡] KeePass-Familie als erste Wahl im Rezept, Nachteil Synchronisation · [T4-02 ✓] offen, kein Konto, keine Cloud · [T3-20 ✓] BSI zu KeePassXC 2.7.9: „Im Rahmen der Prüftiefe ergaben sich keine Bedenken“ (nicht „das BSI empfiehlt“; gilt für KeePassXC, nicht für die Handy-Apps) · [T4-17 ✓ ⚡] KeePassDX kostenlos · [T4-19 ✎ ⚡] KeePassium gratis mit einer Datenbank, Premium 19,99 €/Jahr · [T4-16 ✓] kein Wiederherstellungsweg · ANSSI-Visum bewusst nur in Rückfrage 9 --- ## Folie 16 – Stufe 6 (2/3): Proton Pass (10:12–10:32) **Auf der Folie:** **Stufe 6: Ein Tresor, der dir gehört** *Karte 2, groß:* **Proton Pass** – bequem · Schweiz · Apps offen Gratis-Tarif · synchronisiert automatisch · Daten verschlüsselt beim Anbieter Schweiz ist nicht EU · Server-Code nicht veröffentlicht **Bild/Visual:** Karte 2 rückt nach vorn, Karte 1 tritt zurück. Symbol: die vorhandene Skizze `favorit-cloud.svg` (Wolke mit Vorhängeschloss über Bergen, Beschriftung „Schweiz“, Handy und Laptop gestrichelt verbunden). Fortschrittsanzeige: Stufe 6. **Layout-Typ:** tool-karten **Sprechtext:** Zweitens: Proton Pass aus der Schweiz. Bequem: Es synchronisiert automatisch, und es gibt einen kostenlosen Tarif. Die Apps sind offen, da können alle reinschauen. Eure Daten liegen dafür verschlüsselt beim Anbieter. Und die Schweiz ist nicht in der EU. **Fakten:** [T1-12 ✓ ⚡], [T5-12 ✓] Proton Pass: „quelloffene Apps“ (nicht „komplett quelloffen“), Schweiz ist nicht EU · [T5-13 ✓ ⚡] Gratistarif · E-Mail-Aliase bewusst gestrichen, stehen in Rückfrage 11 ([T5-14 ✓ ⚡]) --- ## Folie 17 – Stufe 6 (3/3): Bitwarden / Vaultwarden (10:32–10:54) **Auf der Folie:** **Stufe 6: Ein Tresor, der dir gehört** *Karte 3, groß:* **Bitwarden / Vaultwarden** – offen · einsteigerfreundlich Bitwarden: Sitz USA, Tresore in Microsofts Cloud · DI.DAY: „zweite Wahl“ Vaultwarden: dieselben Apps, eigener Server auch bei Wahl der EU-Region: Microsoft Azure **Bild/Visual:** Karte 3 rückt nach vorn. Symbol für Bitwarden (neu zu zeichnen): eine neutrale skizzierte Wolke mit Vorhängeschloss und sachlichem Gepäck-Etikett „Sitz: USA“, kein Fragezeichen, kein Warnsymbol. Daneben für Vaultwarden die vorhandene Skizze `favorit-selbst.svg` (kleiner Server im Gewölbe unter dem Schild „Verein“, Schraubenschlüssel). Zum Schluss stehen alle drei Karten gleich groß nebeneinander. Fortschrittsanzeige: Stufe 6. **Layout-Typ:** tool-karten **Sprechtext:** Drittens: Bitwarden. Offen und sehr einsteigerfreundlich, aber eine US-Firma. Die Tresore liegen in Microsofts Cloud, auch wenn ihr Server in Europa wählt. Darum im DI.DAY-Rezept nur zweite Wahl. Oder ihr betreibt den Server selbst, mit Vaultwarden: dieselben Apps, aber eher was für Technikfans. **Fakten:** [T1-14 ✓ ⚡] Bitwarden „zweite Wahl“, Vaultwarden im Topping · [T5-01 ✓] Bitwarden-Apps GPLv3 · [T5-02 ✓] US-Firma, Tresordaten in Microsoft Azure (USA oder EU) · [T5-09 ✓ ⚡], [T5-10 ✓ ⚡] Vaultwarden: Bitwarden-Apps, Backups und Updates in eigener Verantwortung · Proton Pass und Bitwarden hat das BSI nicht geprüft, das ist kein Negativurteil (Rückfrage 9) --- ## Folie 18 – Welcher passt zu dir? (10:54–11:46) **Auf der Folie:** **Welcher passt zu dir?** Ein Rechner, volle Kontrolle → **KeePassXC** Mehrere Geräte, Familie → **Proton Pass** Verein mit Admin → **Vaultwarden** *klein:* Schon bei Bitwarden? Gute Stufe, kein Grund zur Eile. **Bild/Visual:** Oben zwei kleine Skizzen als Analogie: links ein Tresor im Wohnzimmer mit Schlüssel am Haken, rechts eine Wand mit nummerierten Bankschließfächern. Darunter drei Fragen als skizzierte Wegweiser-Schilder, die Antworten erscheinen nacheinander als orange Etiketten. **Kein QR-Code** auf dieser Folie, der steht nur auf dem Standbild (Folie 24). Am Ende ploppt an der Fortschrittsanzeige wieder „Und du?“ auf. **Layout-Typ:** entscheidung (eigener Typ) **Sprechtext:** KeePassXC ist wie ein Tresor bei euch zu Hause: Der gehört euch allein, aber es macht ihn euch auch niemand auf, wenn ihr den Schlüssel verliert. Proton Pass ist das Schließfach bei einer Bank, der ihr vertrauen müsst. (Pause) Welcher passt zu dir? Ein Rechner, alles selbst in der Hand? KeePassXC. Handy, Laptop, vielleicht die Familie, und es soll einfach laufen? Proton Pass. Euer Verein hat jemanden, der einen Server pflegt? Vaultwarden. Und wer schon Bitwarden nutzt: Ihr steht auf einer guten Stufe, kein Grund zur Eile. (Pause) Kurzer Check im Kopf: Auf welcher Stufe stehst du gerade? Und welche ist die nächste? (Pause, zwei Sekunden) **Fakten:** Analogie „eigener Tresor vs. Bankschließfach“ aus Faktenblatt 11.2 (Einordnung; Rückbezug auf [T4-16 ✓] kein Wiederherstellungsweg) · Faustregel aus Faktenblatt 6.5 (Einordnung auf Basis von [T1-11 ✓], [T1-12 ✓], [T1-14 ✓], [T5-03 ✓]) --- ## Folie 19 – Ab jetzt merkst du dir nur noch eins (11:46–12:43) **Auf der Folie:** **Ab jetzt merkst du dir nur noch eins** verlieben effizient gelernt aufraffen eckpfeiler speisen *Stempel:* Beispiel – niemals selbst verwenden! Passphrase: 6 zufällige Wörter, je Wort 5 Würfe (Wortliste dys2p de-7776) **Bild/Visual:** Sechs skizzierte Würfel, die beim Klick nacheinander „ausrollen“ und je ein Wort zeigen. Danach knallt schräg ein Stempel in Warnrot mit Marker-Rand darüber: „Beispiel – niemals selbst verwenden!“. Beim Kaffeetassen-Satz erscheint links klein die Tasse (`kaffeetasse.svg`) mit dem Zettel „steht auf jeder Liste“, unter den Würfeln „auf keiner“. Beim Notfallblatt-Satz unten rechts die vorhandene Skizze `notfallumschlag.svg`. Beim LastPass-Satz taucht der Tresor von Folie 14 auf (`tresor-weggerollt.svg`, verkleinert), das Schloss „Master-Passwort“ leuchtet orange. Die Würfel sind neu zu zeichnen, sechs Stück, weil die Folie sechs Wörter zeigt (die vorhandene `passphrase.svg` zeigt fünf andere Wörter und passt deshalb nicht). **Layout-Typ:** passphrase (eigener Typ) **Sprechtext:** Egal welcher Tresor: Ihr merkt euch ab jetzt genau ein Passwort, das Master-Passwort. Und das sollte lang sein. Das BSI nennt zum Beispiel fünf bis sechs zufällige Wörter aus dem Wörterbuch. (Klick) Etwa so. Und bitte genau dieses nicht nehmen, das steht ja jetzt auf einer Folie. (Lacher abwarten) Zufällig heißt: würfeln oder vom Programm erzeugen lassen. Nicht der Name eurer Katze. (Klick) Die Kaffeetasse steht auf jeder Liste, eure gewürfelten Wörter auf keiner. (Klick) Und dann schreibt ihr es auf. Ja, wirklich: auf ein Notfallblatt, in einen Umschlag, an einen sicheren Ort. Erinnert ihr euch an LastPass? Dieses eine Passwort ist das Schloss, das noch hält, wenn jemand den ganzen Tresor klaut. **Fakten:** [T1-15 ✓] Rezept-Schritt „Der Schlüssel zum digitalen Leben“: langes Master-Passwort, am besten Passphrase, auf Papier ablegen · [T3-02 ✎] BSI: „zufällig 5-6 Worte aus dem Wörterbuch“, eine von mehreren Merkstrategien (nicht „das BSI empfiehlt ausdrücklich“) · [T7-21 ✓], [T7-23 ✓] Würfelmethode und Beispiel-Passphrase mit Warnhinweis · Kaffeetassen-Satz: Einordnung (bekannte Passwörter stehen auf Ratelisten [T2-07 ✓]; frisch gewürfelte sechs Wörter ≈ 2^77 Möglichkeiten [T7-23 ✓]) · Notfallblatt-Formulierung aus Faktenblatt 5.7 ([T3-28 ✓], [T3-20 ✓], [T3-09 ✓], [T7-30 ✓]) · [T5-21 ✓] langes Master-Passwort schützt auch bei gestohlenem Tresor --- ## Folie 20 – Was du nicht mehr musst (12:43–13:14) **Auf der Folie:** **Was du nicht mehr musst** ~~regelmäßig ändern~~ ~~password → Password1 → Password1!~~ **Länge schlägt Komplexität** BSI 2025/2026 · NIST SP 800-63B-4 (2025) **Bild/Visual:** Zwei Zeilen werden per Klick mit einem dicken orangen Marker-Strich durchgestrichen (skizzierter SVG-Pfad, leicht schief); die NIST-Kette baut sich vorher Wort für Wort auf. Unten wächst ein langer skizzierter, schraffierter Balken: „Länge schlägt Komplexität“. **Layout-Typ:** liste **Sprechtext:** Und jetzt die gute Nachricht: Zwei Dinge dürft ihr vergessen. Erstens: Passwörter regelmäßig ändern, einfach so. Das BSI nennt diesen Rat inzwischen „überholt“. Denn wer ständig wechseln muss, nimmt erfahrungsgemäß immer schwächere. Geändert wird nur bei Anlass, etwa nach einem Datenleck. (Klick) Zweitens: Sonderzeichen-Akrobatik. Aus „password“ wird unter Zwang „Password1“, dann noch mit Ausrufezeichen. Bringt wenig. Was zählt, ist Länge. Länge schlägt Komplexität. **Fakten:** [T3-05 ✓] BSI 2025: Rat „überholt“ (nicht „rät ausdrücklich ab“), Routinewechsel führen „erfahrungsgemäß“ zu schwächeren Passwörtern · [T3-06 ✓] BSI 2026: „keine zeitgemäße Schutzmaßnahme mehr“ · [T3-07 ✓] Wechsel bei Hinweis auf Kompromittierung · [T3-14 ✓] NIST-Beispiel „password“ → „Password1“ → „Password1!“ · [T3-11 ✓], [T2-06 ✓ ⚡] Länge als wichtigster Faktor · Formulierung „Länge schlägt Komplexität“ aus Faktenblatt 5.7 --- ## Folie 21 – Bonus: Zweites Schloss und Passkeys (13:14–14:10) **Auf der Folie:** **Bonus** **2FA:** einschalten, wo es geht – zuerst bei E-Mail und Passwortmanager **Passkey:** Fingerabdruck oder PIN statt Passwort BSI · z. B. GMX, WEB.DE, Deutsche Bahn (dort bleibt das Passwort als Reserve) **Bild/Visual:** Links zwei skizzierte Vorhängeschlösser hintereinander, darunter eine kleine Treppe „SMS < App“. Rechts ein skizzierter Schlüssel mit Hausnummernschild „12“; beim Satz zur gefälschten Tür steht daneben eine fast gleiche, leicht schiefe Tür mit „12“, an der sich der Schlüssel nicht dreht (kurze Wackel-Animation). Beim Reserve-Satz (er kommt vor der Tür-Analogie) hängt sich an den Schlüsselring des Passkey-Schlüssels ein kleiner Ersatzschlüssel mit Etikett „Passwort (Reserve)“. **Layout-Typ:** zweispalter **Sprechtext:** Zwei Bonus-Tipps. Erstens: Zwei-Faktor-Anmeldung, also zusätzlich zum Passwort ein Code aus einer App oder per SMS. Laut BSI einschalten, sobald ein Dienst das anbietet. SMS ist besser als nichts, eine App ist besser. Am wichtigsten beim E-Mail-Konto und beim Passwortmanager selbst. (Klick) Zweitens: Passkeys. Quasi das Passwort, das keins mehr ist. GMX, WEB.DE und die Bahn können das schon, das alte Passwort bleibt dort aber als Reserve. Also weiter stark halten. Ihr bestätigt mit Fingerabdruck oder PIN, und beides verlässt euer Gerät nie. Ein Passkey ist wie ein Haustürschlüssel, der die Hausnummer kennt. An einer täuschend echt gefälschten Tür dreht er sich einfach nicht. Passkeys speichert ihr am besten gleich im neuen Passwortmanager. **Fakten:** [T3-26 ✓] BSI: 2FA „sobald ein Online-Dienst dies ermöglicht“; SMS-Formulierung aus Faktenblatt 5.7 · [T3-17 ✓], [T6-27 ✓] 2FA für den Passwortmanager selbst, E-Mail und Manager als „Kronjuwelen“ · [T6-10 ✓ ⚡] GMX/WEB.DE seit Juli 2026, Passwort funktioniert „weiterhin parallel“, laut BSI-Newsletter „Backup-Login“ · [T6-11 ✓ ⚡] Bahn: Anmeldung mit E-Mail und Passwort bleibt möglich · Faktenblatt 9.4: Passkey aktiviert heißt nicht, dass das Passwort verschwindet · [T6-02 ✓] Biometrie bleibt auf dem Gerät · Analogie „Haustürschlüssel, der die Hausnummer kennt“ aus Faktenblatt 11.2, [T6-01 ✓], [T6-03 ✓] · [T3-27 ✓ ⚡] BSI „Gewinn an Sicherheit und Komfort“ (Reserve-Satz) · Faktenblatt 7.5 Passkeys im unabhängigen Manager ([T4-07 ✓], [T5-08 ✓], [T5-14 ✓]) --- ## Folie 22 – Schutz oder Schnickschnack? (14:10–14:21) **Auf der Folie:** **Schutz oder Schnickschnack?** *Klick:* **Schutz.** Einer, der dir gehört. **Bild/Visual:** Lila Vollfläche wie auf Folie 1, Pixelband oben und unten. Erst nur die Titelfrage groß. Beim Klick streicht ein dicker orangefarbener Marker-Strich „Schnickschnack?“ durch, „Schutz.“ erscheint groß in Orange, darunter „Einer, der dir gehört.“ in Weiß. Sonst nichts, die Folie lebt von der Pause. **Layout-Typ:** antwort (eigener Typ: Spiegel der Titelfolie) **Sprechtext:** Ich hatte euch eine Antwort versprochen. Passwortmanager – Schutz oder Schnickschnack? (Pause) (Klick) Schutz. Und zwar einer, der euch gehört. (Pause, drei Sekunden) **Fakten:** Fazit aus Kernbotschaft 2 · [T3-22 ✓] BSI: „Aus Sicht des BSI überwiegt der Nutzen bei weitem.“ (Rückfrage 1) --- ## Folie 23 – Dein erster Schritt · Mitmach 4 und 5 (14:21–15:18) **Auf der Folie:** **Dein erster Schritt: das E-Mail-Konto** ✓ neues, langes Passwort aus dem Tresor ✓ Zwei-Faktor an *Klick:* Wer geht heute eine Stufe höher? Ein Wechsel pro Monat reicht. · **#DIDit** · Danke! **Bild/Visual:** Oben die komplette skizzierte Stufenleiter mit kleinen orangefarbenen „+1“-Pfeilen von jeder Stufe zur nächsten. Darunter ein skizzierter Briefumschlag mit Vorhängeschloss und zwei grünen Marker-Haken. Unten rechts die Kaffeetasse (`kaffeetasse.svg`, die Version mit Herz), daneben „#DIDit“ in Silkscreen. **Layout-Typ:** schluss **Sprechtext:** Und wo fangt ihr an? Kurz nicken, wer schon mal auf „Passwort vergessen?“ geklickt hat. (Nicken abwarten, ca. 3 Sek.) Eben. Und wo landet dann der Link zum Zurücksetzen? Im E-Mail-Postfach. Darum zuerst das E-Mail-Konto: ein neues, langes Passwort aus dem Tresor, und Zwei-Faktor an. (Klick) Letzte Frage: Wer geht heute eine Stufe höher? (Handzeichen, ca. 10 Sek.) Wunderbar! Ein Wechsel pro Monat reicht. Und die Kaffeetasse darf ab heute wieder einfach Kaffee enthalten. (Lacher abwarten) Danke euch! Holt Handy und Laptop raus, wir ziehen gleich gemeinsam um. Und danach dürft ihr angeben: Hashtag DIDit! **Fakten:** [T3-29 ✓] BSI: beim E-Mail-Konto anfangen, darüber lassen sich andere Konten zurücksetzen · [T7-19 ✎] BSI/ProPK: gehackte E-Mail-Konten „besonders kritisch“ · Faktenblatt 8.4 (erste 30 Minuten: E-Mail-Hauptkonto mit neuem Zufallspasswort aus dem Manager und 2FA) · Bild „Das Postfach ist der Generalschlüssel“ aus Faktenblatt 11.2 · [T1-07 ✓] „Und ein Wechsel reicht auch erst einmal!“ · [T1-08 ✓] #DIDit · [T1-29 ✓] Kling: „Am besten geben wir sogar damit an …“ --- ## Folie 24 – Standbild: Jetzt geht’s los (nach dem Vortrag) **Auf der Folie:** **Jetzt: Live-Demo & Umzugshilfe** Handy oder Laptop mitbringen! *QR-Codes:* DI.DAY-Rezept „Passwörter in Deiner Hand“ · luise Oranienburg Illustration Smartphone: Florian Biege für di.day · Skizzen: eigene Illustrationen **Bild/Visual:** Biege-Illustration links, rechts zwei QR-Codes: DI.DAY-Rezept (neu zu erzeugen, schlicht dunkel auf hell, mit skizziertem Rahmen; der Code selbst bleibt unverzerrt) und luise (`assets/logos/qr-luise-oranienburg.svg`), darunter DI.DAY- und luise-Logo. Keine Fotonachweise mehr, weil keine Fotos verwendet werden. Die Folie bleibt stehen, während die Tische für die Demo vorbereitet werden. **Layout-Typ:** schluss (Standbild) **Sprechtext:** (kein Sprechtext) **Fakten:** [T1-10 ✓] Rezept-URL https://di.day/de/wechselrezepte/passwords · Bildnachweis laut `assets/logos/HERKUNFT.md` --- ## Zeitrechnung | Block | Folien | Wörter | Extras | Dauer | Zeitfenster | |---|---|---|---|---|---| | Einstieg: Titel, DI.DAY, Konten | 1–3 | 151 | 0 s | 1:16 | 00:00–01:16 | | Warum überhaupt: Quiz (Mitmach 1) | 4 | 83 | 33 s | 1:14 | 01:16–02:30 | | Stufenleiter und Stufen 1–3 (Mitmach 2) | 5–9 | 407 | 15 s | 3:38 | 02:30–06:08 | | Was ist ein Passwortmanager? | 10 | 68 | 0 s | 0:34 | 06:08–06:42 | | Stufen 4–5 und die Cloud-Lehre (Mitmach 3) | 11–14 | 332 | 10 s | 2:56 | 06:42–09:38 | | Stufe 6: drei Favoriten und Entscheidungshilfe | 15–18 | 251 | 2 s | 2:08 | 09:38–11:46 | | Master-Passwort und Entwarnung | 19–20 | 170 | 3 s | 1:28 | 11:46–13:14 | | Bonus: 2FA und Passkeys | 21 | 111 | 0 s | 0:56 | 13:14–14:10 | | Antwort und erster Schritt (Mitmach 4 und 5) | 22–23 | 100 | 19 s | 1:09 | 14:10–15:18 | | **Summe** | 1–23 | **1.673** | **82 s** | **15:18** | 00:00–15:18 | **So ist gerechnet:** 1.673 Wörter Sprechtext bei 120 Wörtern pro Minute ergeben 13:56 Min. reine Sprechzeit; kurze Sprechpausen („(Pause)“) und Klicks stecken in diesem Tempo. Dazu kommen alle ausdrücklich notierten Extras, zusammen 82 s: - Mitmach-Momente 63 s: Quiz-Zurufe 30 s (Folie 4), drei Handzeichen je 10 s (Folien 6, 11, 23), Nicken 3 s (Folie 23) - Lacher 12 s: vier „(Lacher abwarten)“ je 3 s (Folien 4, 6, 19, 23); Folie 9 ist bewusst ohne Lacher-Pause - Stille Pausen 7 s: zweimal „Auf welcher Stufe stehst du?“ je 2 s (Folien 5, 18), 3 s nach der Antwort (Folie 22) Das Quiz kommt damit samt Frage, Auflösung und Lacher auf rund 40 s, wie von der Bühnen-Jury verlangt. **Tempo-Spanne:** bei 125 Wörtern/Min. 14:45 Min., bei 115 Wörtern/Min. (realistisch vor Laien) 15:55 Min., bei 110 Wörtern/Min. 16:35 Min. Liegt der Vortrag zur Hälfte (Ende Folie 12, Soll 08:20) mehr als 30 s hinten, greift der Kürzungsplan. Wer beim Proben merkt, dass er eher 115 Wörter/Min. spricht, streicht die Stufe „30 s im Rückstand“ gleich vorab und landet bei rund 15:25. ## Puffer & Kürzungsplan **Grundsatz:** Die Mitmach-Momente sind der Kern dieser Variante und fallen zuletzt. Quiz (Folie 4), Stufe 6 (Folien 15–18), Master-Passwort (Folie 19) und der Schluss mit Titelantwort, E-Mail-Schritt und Handzeichen (Folien 22–23) bleiben immer drin. Gekürzt wird zuerst in Belegen und Anekdoten. | Zeitnot | Was wegfällt | Ersparnis | kumuliert | |---|---|---|---| | Quiz dauert länger als 45 s | stiller Check auf Folie 18 (von „Kurzer Check im Kopf“ bis „welche ist die nächste?“, 15 Wörter plus Pause) | ca. 10 s | ca. 10 s | | 30 s im Rückstand | Folie 12 auf drei Sätze: „Microsoft hat 2025 den Passwortspeicher seiner Authenticator-App einfach abgeschaltet. Wann ihr umzieht, entscheidet dann der Konzern. Darum geht’s am DI.DAY: nicht um unsicher, sondern um abhängig.“ (statt 65 nur 26 Wörter; der DI.DAY-Satz bleibt immer) | ca. 20 s | ca. 30 s | | | zusätzlich auf Folie 11 das BSI-Zitat („Laut BSI ist das … wiederholt zu benutzen“, 14 Wörter) | ca. 7 s | ca. 37 s | | 1 Min. im Rückstand | zusätzlich 23andMe-Beispiel auf Folie 7 (von „Ein Beispiel“ bis „nichts falsch gemacht.“, 35 Wörter; BSI-Satz und Kernsatz bleiben, die Zahlen stehen auf der Folie) | ca. 18 s | ca. 55 s | | | zusätzlich Folie 20 als Kurzfassung: „Und jetzt die gute Nachricht: Passwörter regelmäßig ändern, einfach so, nennt das BSI inzwischen ‚überholt‘. Geändert wird nur bei Anlass. Und statt Sonderzeichen-Akrobatik gilt: Länge schlägt Komplexität.“ (statt 62 nur 27 Wörter) | ca. 18 s | ca. 1:13 | | 2 Min. im Rückstand | zusätzlich Folie 21 auf drei Sätze: „2FA einschalten, wo es geht, zuerst beim E-Mail-Konto. Und wo ein Dienst Passkeys anbietet: ausprobieren, am besten gleich im neuen Passwortmanager. Das Passwort bleibt dort als Reserve, also stark halten.“ (statt 111 nur 30 Wörter) | ca. 40 s | ca. 1:53 | | | zusätzlich auf Folie 13 der S-Trust-Satz (14 Wörter; bleibt als Fußnote auf der Folie) | ca. 7 s | ca. 2:00 | | Notbremse | Mitmach 3 (Folie 11) als rhetorische Frage, Zahl sofort zeigen; Mitmach 4 (Nicken auf Folie 23) als rhetorische Frage | ca. 13 s | ca. 2:13 | Nie gekürzt werden: das Quiz, die Frage nach den Bekannten (Folie 6), „Wer geht heute eine Stufe höher?“ (Folie 23), der Brückensatz auf Folie 4, die Definition auf Folie 10, die Lehre zum Master-Passwort (Folie 14 und 19) und der Reserve-Hinweis zu Passkeys. **Zeitüberschuss (Reserve-Sätze, alle belegt):** - Folie 8, nach „Oder die Kamera schaut mit“ (statt „Klick, und der Zettel ist auf einem Foto“): „2015, einen Tag nach einem Hackerangriff auf den Sender TV5Monde, lief im französischen Fernsehen ein Interview. Im Hintergrund: Ausdrucke mit Zugangsdaten. Jemand hat das YouTube-Passwort abgelesen. Übersetzt hieß es: ‚dasPasswortfürYouTube‘. (Lacher abwarten)“ [L1-13 ✓] (30 Wörter, ca. 18 s; nicht behaupten, die Ausdrucke hätten den Hack verursacht) - Folie 8, danach oder stattdessen: „Selbst auf PR-Fotos von Prinz William bei der Royal Air Force waren 2012 Zugangsdaten zu sehen. Das Ministerium hat die Fotos danach verpixelt neu veröffentlicht.“ [L1-15 ✓] (nur „Prinz William“, nicht „Thronfolger“) - Folie 9, nach „Offline-Lösung“: „Auch die britische Cyberbehörde sagt: Aufschreiben ist okay, solange es an einem sicheren Ort liegt.“ [L1-28 ✓] - Folie 17, nach Vaultwarden: „Ehrlich auch das: Im Verbrauchertest von Test Achats und Que Choisir landete KeePassXC am Tabellenende, Bitwarden war Preis-Leistungs-Tipp. Solche Tests bewerten Komfort, nicht Abhängigkeit.“ [L2-25 ✓ ⚡] (siehe auch Rückfrage 10) - Folie 21, nach dem Haustürschlüssel: „Das BSI nennt Passkeys einen ‚Gewinn an Sicherheit und Komfort‘.“ [T3-27 ✓ ⚡] ## Mögliche Rückfragen 1. **„Und wenn der Passwortmanager selbst gehackt wird?“** – Das BSI sagt: „Aus Sicht des BSI überwiegt der Nutzen bei weitem.“ Bei LastPass wurden 2022 verschlüsselte Tresore gestohlen; geknackt werden vor allem die mit schwachem Master-Passwort, einen Beleg für entschlüsselte Passwörter fand die britische Datenschutzbehörde nicht. Bei KeePassXC gibt es keinen zentralen Server des Herstellers. [T3-22 ✓], [L2-19 ✎], [T5-21 ✓], [T5-22 ✓ ⚡], [T3-20 ✓] 2. **„Was passiert, wenn ich das Master-Passwort vergesse?“** – Bei KeePassXC sind die Daten dann weg, es gibt keine Wiederherstellung. Deshalb das Notfallblatt im Umschlag. Proton und Bitwarden bieten einen Notfallzugang über Vertrauenspersonen, aber nur im Bezahltarif; bei Vaultwarden ist er kostenlos. [T4-16 ✓], [T3-20 ✓], [T7-24 ✓ ⚡], [T7-26 ✓ ⚡], [T7-25 ✎] 3. **„Ist der Passwortspeicher im Browser jetzt unsicher?“** – Nein. Gegen Firefox hatte das BSI keine Bedenken (Hauptpasswort setzen), Apple verschlüsselt Ende-zu-Ende. Bei Chrome kann Google laut BSI im Standard-Sync-Modus „jederzeit“ zugreifen; ohne Sync oder mit eigener Sync-Passphrase nicht, deshalb rät das BSI zur Passphrase. Das eigentliche Argument ist die Bindung an ein Ökosystem. [L2-02 ✓ ⚡], [L2-03 ✓], [L2-06 ✓ ⚡] 4. **„Warum nicht einfach Bitwarden, das ist doch Open Source?“** – Ist es, und es ist sehr einsteigerfreundlich. Aber Bitwarden ist eine US-Firma, die Tresore liegen in Microsoft Azure, auch in der EU-Region; das DI.DAY-Rezept nennt es deshalb „zweite Wahl“. Wer neu startet, wählt vor der Registrierung die EU-Region; ein späterer Wechsel geht nur per Export und Import. [T5-01 ✓], [T5-02 ✓], [T1-14 ✓ ⚡], [T5-03 ✓] 5. **„Muss ich jetzt alle Passwörter auf einmal ändern?“** – Nein. Zuerst das E-Mail-Konto, dann nach und nach die wichtigsten Konten. Ohne Anlass muss niemand Passwörter wechseln; bei Verdacht auf Schadsoftware erst das Gerät bereinigen. [T3-29 ✓], [T3-05 ✓], [T3-07 ✓], [T7-19 ✎] 6. **„Woher weiß ich, ob meine Daten in einem Leck stecken?“** – Bei Have I Been Pwned oder dem HPI Identity Leak Checker die eigene E-Mail-Adresse prüfen. Ein Treffer zeigt aber meist nicht, welches Konto betroffen ist. [L1-10 ✓ ⚡], [T2-01 ✓ ⚡], [T3-07 ✓] 7. **„Bleibt Proton überhaupt in der Schweiz?“** – Proton hat Teile der Infrastruktur nach Deutschland und Norwegen verlagert, der Sitz bleibt aber Genf. Die umstrittene Schweizer Überwachungsverordnung ist nicht in Kraft und wird überarbeitet. [T5-16 ✓ ⚡], [T5-17 ✓ ⚡] 8. **„Wenn ich einen Passkey habe, ist mein Passwort dann weg?“** – Nicht unbedingt. Bei GMX, WEB.DE und der Bahn funktioniert das Passwort parallel weiter. Also das Passwort trotzdem stark halten und 2FA anlassen. [T6-10 ✓ ⚡], [T6-11 ✓ ⚡] 9. **„Empfiehlt das BSI diese Programme?“** – Nein, das BSI gibt keine Produktempfehlungen. Zu KeePassXC 2.7.9 schreibt es: „Im Rahmen der Prüftiefe ergaben sich keine Bedenken.“ Dazu hat KeePassXC ein Sicherheitsvisum der französischen Behörde ANSSI, das das BSI anerkennt; auch die ANSSI betont, das sei keine Produktempfehlung. Proton Pass, Bitwarden, KeePassDX und KeePassium hat das BSI nicht geprüft. Bitwarden fiel bei der Zufallsauswahl heraus, das ist also kein Negativurteil. [T3-20 ✓], [T4-10 ✓], [T3-19 ✓ ⚡], [L2-01 ✎] 10. **„Bei Stiftung Warentest schneidet KeePassXC doch schlecht ab?“** – Gemeint ist der Test von Test Achats und Que Choisir, veröffentlicht auf test.de (Februar 2026). Dort bestanden alle zwölf Manager die Sicherheitsprüfung. KeePassXC landete am Tabellenende, Proton Pass im Mittelfeld, Bitwarden war Preis-Leistungs-Tipp, LastPass lag trotz Einbruch vorn. Solche Tests bewerten Komfort und Funktionen zum Prüfzeitpunkt, nicht Abhängigkeit oder Vorgeschichte. [L2-25 ✓ ⚡] 11. **„Was kann Proton Pass noch?“** – Zum Beispiel E-Mail-Aliase: Für jeden Dienst gibt man eine eigene Weiterleitungsadresse heraus, im Gratistarif zehn Stück. Einen eingebauten Code-Generator für Zwei-Faktor gibt es erst im Bezahltarif; kostenlos geht das mit dem Proton Authenticator. [T5-14 ✓ ⚡] 12. **„Hat Microsoft beim Authenticator Daten gelöscht?“** – Die Passwörter und Adressen blieben im Microsoft-Konto bzw. in Edge. Nicht übernommen wurden die Zahlungsdaten und der Verlauf generierter Passwörter. Wer nicht zu Edge wollte, musste vorher selbst exportieren. [T5-23 ✓], [T7-09 ✓] ## Vor dem Vortrag prüfen (⚡) - Preise und Tarife: 1Password +33 % [L2-16], Proton-Gratistarif [T5-13], KeePassium-Gratisumfang [T4-19], Bitwarden-Gratistarif [T5-04]. - KeePassXC aktuell (2.8.0) und BSI-Aussage nur für 2.7.9 [T4-01, T3-20]; DI.DAY-Rezept unverändert [T1-11, T1-12, T1-14]. - Passkey-Beispiele GMX/WEB.DE und Bahn, Passwort weiterhin parallel [T6-10, T6-11]; Termin 1.11. auf di.day [T1-05]. - QR-Code zu https://di.day/de/wechselrezepte/passwords erzeugen und mit dem Handy testen (nur auf Folie 24). - Skizzen aus `assets/illustrationen/skizze/` auf dem Beamer prüfen: Sind die Caveat-Beschriftungen aus der letzten Reihe lesbar? ## Änderungsprotokoll (Jury) Die drei Jurys haben zusammen **23 must_fix-Punkte** genannt: Laien 8, Bühne 8, Fakten 7. Alle 23 sind umgesetzt. Folien-Nummern: „alt“ meint die Vorlage `variante-b.md` (19 Folien), „neu“ diese Fassung (24 Folien). ### Jury Laien (8 Punkte) | # | must_fix (Kurzform) | Status | Wo und wie | |---|---|---|---| | L1 | alt 9: Witze auf Kosten des Passwortbuchs entschärfen | umgesetzt | Neu Folie 9: „Da sucht garantiert keiner. (Lacher abwarten)“ und „Zack, wieder Stufe eins“ sind gestrichen. Es bleibt nur die sanfte Pointe auf Kosten des Verlags („Im Regal. Ein Versteck mit Titel.“, ohne Lacher-Pause), danach sofort „Über den Titel darf man schmunzeln, über das Buch nicht. Denn das Passwortbuch ist besser als sein Ruf.“ Regie: Einträge im Buch nicht kommentieren. Neue Spielregel: keine Witze über Menschen mit Zettel oder Passwortbuch. | | L2 | Laien-Definition: was ein Passwortmanager ist und tut | umgesetzt | Neue Folie 10 „Passwortbuch, nur digital“: BSI-Bild „Notizbuch, das in einer Schublade eingeschlossen ist“ [L1-26] und drei Haken: merkt sich alle Passwörter, erfindet für jedes Konto ein neues, trägt es beim Anmelden ein. | | L3 | Master-Passwort beim ersten Auftauchen erklären | umgesetzt | Das Wort fällt jetzt zuerst auf Folie 10, mit Erklärung: „mit einem einzigen Hauptpasswort, dem Master-Passwort“. Auf der Folie steht „Aufgeschlossen mit **einem** Master-Passwort“. Die Folien 14 und 19 bauen darauf auf. | | L4 | alt 13: E-Mail-Aliase und ANSSI-Visum streichen, „Open Source“ als „offen, alle können reinschauen“, „EU-Region“ umformulieren | umgesetzt | Neu Folien 15–17: Aliase stehen nur noch in Rückfrage 11, das ANSSI-Visum nur in Rückfrage 9. „Offen, alle können reinschauen“ (15) und „Die Apps sind offen, da können alle reinschauen“ (16) knüpfen an „Reinschauen könnt ihr nicht“ (13) an. Bitwarden: „auch wenn ihr Server in Europa wählt“ (17). | | L5 | alt 10: Chrome-Satz entschärfen oder in die Rückfragen | umgesetzt | Neu Folie 11: „Wer bei Chrome synchronisiert und ganz allein reinschauen will, muss extra etwas einstellen.“ Die Details (BSI „jederzeit“, eigene Sync-Passphrase) stehen in Rückfrage 3. | | L6 | alt 12: „beide“ ersetzen durch „LastPass sitzt in den USA, 1Password in Kanada“ | umgesetzt | Neu Folie 13: „Ihr müsst der Firma vertrauen, und ihrem Recht: LastPass sitzt in den USA, 1Password in Kanada.“ S-Trust folgt erst danach, in einem eigenen Satz über Preis- und Produktänderungen. | | L7 | alt 18: ersten Schritt konkret machen | umgesetzt | Neu Folie 23: „Darum zuerst das E-Mail-Konto: ein neues, langes Passwort aus dem Tresor, und Zwei-Faktor an.“ Auf der Folie als zwei Haken, außerdem in Kernbotschaft 3. | | L8 | Brückensatz von Folie 4 (schwach) zu Folie 7 (wiederverwendet) | umgesetzt | Folie 4 endet mit „Und doppelt riskant wird die Kaffeetasse, wenn sie überall dieselbe ist. Dazu gleich mehr.“ Folie 7 löst das mit dem Kernsatz ein. | ### Jury Bühne (8 Punkte) | # | must_fix (Kurzform) | Status | Wo und wie | |---|---|---|---| | B1 | Gesamtbudget: Lacher und realistischen Quiz-Puffer einrechnen, dafür 60–80 Wörter streichen | umgesetzt | Alle Extras sind jetzt eingerechnet, zusammen 82 s (siehe Zeitrechnung). Die Quiz-Zurufe sind mit 30 s angesetzt, das Quiz dauert so samt Frage, Auflösung und Lacher rund 40 s. Gestrichen oder in Reserve und Rückfragen verschoben wurden gut 100 Wörter: Proton-Aliase, ANSSI-Satz, TV5Monde-Anekdote, die Passwortbuch-Witze, das gesprochene Bitkom-Zitat und Doppelungen auf alt 2 und alt 13. Dazu kamen Pflichtergänzungen der anderen Jurys (Definition, Brückensatz, Passkey-Reserve, konkreter erster Schritt, Dank). Ergebnis: 1.673 statt 1.690 Wörter, ehrlich gerechnet 15:18 statt scheinbarer 15:00. Die 18 s Überhang fängt die erste Stufe des neuen Kürzungsplans auf. Er nennt jetzt für jede Kürzung die Wortzahl und die kumulierte Ersparnis. S-Trust bleibt (siehe B2). | | B2 | alt 12: „beide“ ist mehrdeutig, Namen nennen oder S-Trust streichen | umgesetzt | Namen genannt (wie L6). S-Trust bleibt als Beispiel für das Produktrisiko, das die Fakten-Jury als Stärke führt, steht aber nicht mehr neben dem Satz über den Firmensitz. | | B3 | alt 12: „großer Anbieter ist ein lohnendes Ziel“ zur Master-Passwort-Lehre umformulieren | umgesetzt | Eigene Folie 14 „Eine Lehre für jeden Cloud-Tresor“: „Eine Lehre gilt für jeden Tresor in der Cloud, auch für die Cloud-Favoriten gleich“, dann „diese Verschlüsselung hat grundsätzlich gehalten“, „Geknackt werden seitdem vor allem Tresore mit schwachem Master-Passwort“ und „Merkt euch das, das kommt gleich wieder“. | | B4 | alt 13: auf drei Folien aufteilen, auf ca. 140 Wörter kürzen, Aliase streichen | umgesetzt | Neu Folien 15–17 mit 68 + 39 + 43 = 150 statt 185 Wörtern, ohne Aliase. Der Richtwert ist um 10 Wörter überschritten, weil die Pflichtpunkte der Fakten-Jury dazukamen (KeePassium-Einschränkung, „bei KeePassXC … im Rahmen seiner Prüfung“). | | B5 | alt 18: auf zwei Folien aufteilen | umgesetzt | Folie 22 bringt die Titelantwort mit drei Sekunden Pause (17 Wörter). Folie 23 bringt E-Mail-Schritt, Handzeichen, „Ein Wechsel pro Monat reicht“, die Kaffeetassen-Auflösung, Dank, Umzug und #DIDit. | | B6 | alt 1/2: mit „Heute ist DI.DAY“ beginnen, „Denn“ streichen | umgesetzt | Folie 1 beginnt mit „Heute ist DI.DAY!“, Folie 2 mit „DI.DAY steht für Digital Independence Day.“ | | B7 | alt 14: QR-Code mitten im Vortrag entfernen | umgesetzt | Neu Folie 18 hat keinen QR-Code, das ist dort ausdrücklich vermerkt. QR-Codes gibt es nur auf dem Standbild (Folie 24). | | B8 | alt 17: Passwort bleibt bei GMX, WEB.DE und Bahn als Reserve | umgesetzt | Neu Folie 21, direkt nach „Quasi das Passwort, das keins mehr ist“: „GMX, WEB.DE und die Bahn können das schon, das alte Passwort bleibt dort aber als Reserve. Also weiter stark halten.“ Auf der Folie als Fußnote und als Ersatzschlüssel „Passwort (Reserve)“ in der Skizze. | ### Jury Fakten (7 Punkte) | # | must_fix (Kurzform) | Status | Wo und wie | |---|---|---|---| | F1 | alt 11: „Verloren ging nichts“ ersetzen | umgesetzt | Neu Folie 12: „Die Passwörter gingen nicht verloren, sie blieben im Microsoft-Konto und in Edge.“ Dass Zahlungsdaten und der Verlauf generierter Passwörter nicht übernommen wurden, steht in den Fakten und in der neuen Rückfrage 12 [T5-23]. | | F2 | alt 4: „in Deutschland“ auf Folie und in den Sprechtext | umgesetzt | Folie 4: Überschrift „Meistgeleakte Passwörter in Deutschland 2025“. Sprechtext: „welche Passwörter in Deutschland 2025 in Datenlecks am häufigsten auftauchten“. | | F3 | alt 4: „fällt in Sekunden“ einordnen oder streichen | umgesetzt (gestrichen) | Der Satz entfällt. Die Begründung steht in den Fakten zu Folie 4: Hive misst Offline-Angriffe auf gestohlene Datenbanken (Faktenblatt 9.4). | | F4 | alt 12: „lohnendes Ziel“ symmetrisch formulieren, unverschlüsselte URLs ergänzen | umgesetzt | Neu Folie 14: Die Lehre gilt „für jeden Tresor in der Cloud, auch für die Cloud-Favoriten“. Sprechtext: „Unverschlüsselt waren die Webadressen, die Einbrecher*innen wissen also, wo jemand Konten hat.“ Auf der Folie: „Webadressen: unverschlüsselt · Passwörter: verschlüsselt“ [L2-19]. | | F5 | alt 10: 84 % als Online-Umfrage der VZ NRW kennzeichnen, CyMon 15 % nennen | umgesetzt | Neu Folie 11, Sprechtext: „In einer Online-Umfrage der Verbraucherzentrale NRW“. Die Fußnote nennt Zeitraum, n und Mehrfachnennungen, dazu zum Vergleich den Cybersicherheitsmonitor 2026 mit 15 % (andere Frage, nicht gegeneinander gerechnet). | | F6 | alt 13: „im Rahmen der Prüftiefe“, Etikett „Sitz: USA“ statt Fragezeichen-Wolke, „kostenlos“ für KeePassium relativieren | umgesetzt | Neu Folie 15: „Bei KeePassXC hatte das BSI im Rahmen seiner Prüfung keine Bedenken“, in der Fußnote wörtlich „im Rahmen der Prüftiefe“. Außerdem „Kostenlos, beim iPhone allerdings nur mit einer Datenbank“, mit Sternchen-Fußnote [T4-19]. Neu Folie 17: neutrales Etikett „Sitz: USA“, kein Fragezeichen. Der Hinweis „keine Produktempfehlung, Proton Pass und Bitwarden nicht geprüft“ steht in Rückfrage 9. | | F7 | alt 17: „Passwort bleibt parallel, also stark halten“ in den Sprechtext | umgesetzt | Wie B8. Rückfrage 8 bleibt als Vertiefung. | ### Weitere Schwächen, soweit ohne Charakterverlust behoben - **Lacher:** Statt fünf gibt es vier „(Lacher abwarten)“, alle in der Zeit eingerechnet. Folie 9 ist bewusst ohne Lacher-Pause. - **Kein roter Faden, Kaffeetassen-Gag ohne Auflösung:** Die Kaffeetasse trägt jetzt bis zum Schluss. Folie 19: „steht auf jeder Liste, eure gewürfelten Wörter auf keiner“. Folie 23: „darf ab heute wieder einfach Kaffee enthalten“. - **alt 12 überladen:** aufgeteilt in Stufe 5 (Folie 13) und die Cloud-Lehre (Folie 14). - **Schluss ohne Dank und ohne „Ein Wechsel pro Monat reicht“:** beides auf Folie 23. - **Test-Achats-Tabellenende fehlte in den Rückfragen:** steht in Rückfrage 10, Rückfrage 12 (Microsoft) ist neu. - **Mitmach-Charakter geschärft:** Neuer Mitmach-Moment 4 auf Folie 23 (Nicken: „Wer hat schon mal auf ‚Passwort vergessen?‘ geklickt?“). Er begründet den E-Mail-Schritt mit dem Erlebnis des Publikums statt mit einem Zitat. Der Mitmach-Fahrplan rechnet die Zeitpunkte jetzt aus den Wortzahlen. ### Bewahrte Stärken (graft_candidates) Erhalten sind: der Mitmach-Fahrplan mit der Spalte „Warum niemand bloßgestellt wird“ und die Spielregeln; das Quiz mit doppeltem Sicherheitsnetz und dem Satz gegen Scham; die stille Frage „Auf welcher Stufe stehst du?“ (Folie 5 und 18) und die Sprechblase „Und du?“; „Ihr habt sehr bequeme Bekannte“; „Aufschreiben an sich ist aber nicht verboten …“ und „Gefährlich ist nicht das Papier, sondern der Ort“; „keine Beichte … Willkommen in der Mehrheit“; „Der Passwortmanager, der verschwand“ und „nicht um unsicher, sondern um abhängig“; Tresor zu Hause gegen Bankschließfach; „kein Grund zur Eile“; „Merkt euch das …“ mit Einlösung „das Schloss, das noch hält …“; „Ab jetzt merkst du dir nur noch eins“; „Was du nicht mehr musst“; der Haustürschlüssel, der die Hausnummer kennt; „Am wichtigsten beim E-Mail-Konto und beim Passwortmanager selbst“; „Wer geht heute eine Stufe höher?“ und „Schutz. Und zwar einer, der euch gehört.“; Kling mit Känguru und „Hunderte solcher Treffen“; der bildneutrale Sprechtext für die Stufen 1–3; S-Trust ohne BSI-Kausalität; das Chrome-Detail (jetzt in Rückfrage 3); ICO und Leak-Checker in den Rückfragen. **Ein Konflikt:** Die Bühnen-Jury nennt „Da sucht garantiert keiner“ als Stärke, die Laien-Jury verlangt, genau diese Pointe zu entschärfen. Der must_fix hat Vorrang, deshalb bleibt nur die sanfte Pointe auf Kosten des Verlags. ### Bildentscheidung Die Stufen 1–3 nutzen die Skizzen aus `assets/illustrationen/skizze/` statt Fotos, alle Fotonachweise entfallen. Alle übrigen Grafiken sind im selben Skizzen-Stil. Wo es passt, werden schon vorhandene Skizzen verwendet (`kaffeetasse.svg`, `stufe5-abo-tresor.svg`, `tresor-weggerollt.svg`, `favorit-*.svg`, `notfallumschlag.svg`). Neu zu zeichnen ist nur, was es so nur in dieser Variante gibt. Die Biege-Illustration (Folie 2 und 24) bleibt im Original.