# Drehbuch Variante C – „Wechselrezept“ (überarbeitete Fassung) **Passwortmanager – Schutz oder Schnickschnack?** Impulsvortrag beim DI.DAY · Sonntag, 1. November 2026, 11–13 Uhr · zu Gast bei luise Oranienburg („lieber unabhängig und informationell selbstbestimmt“) · Oranienwerk, Kreativ Oase, Kremmener Straße 43, Oranienburg · Referent: Matthias Kerk · Folien: reveal.js im Browser | | | |---|---| | Fassung | Überarbeitung nach drei Jurys (Laien, Bühne, Fakten), Stand 26.10.2026. Vorlage: `entwuerfe/drehbuch-varianten/variante-c.md` | | Gesamtdauer | ca. 15:43 Min. (Sprechtext bei 120 Wörtern/Min. plus Zuschläge: Handzeichen 4 s, Pause 1,5 s, Klick 0,5 s) | | Wortzahl Sprechtext | 1.749 Wörter (per Skript gezählt, nur die Sprechtext-Absätze, ohne Regieanweisungen in Klammern) | | Folien | 21 + Bildnachweise (Folie 22) | | Bildstil | Stil B „Skizze“ für alle Grafiken. Stufe 1–3 mit den fertigen Skizzen, alle übrigen Grafiken neu im selben Stil. Keine Fotos. | | Quellen | `recherche/faktenblatt.md` (IDs T1–T7), `recherche/stufenleiter.md` (IDs L1–L2, ✓² = dort an der Quelle nachgeprüft) | | Regie-Legende | (Pause) ≈ 1–2 s · (Handzeichen) ≈ 4 s, Ergebnis kurz kommentieren · (Klick) = nächstes Fragment einblenden | | Eigene Layout-Typen | **rezeptkarte:** Rezeptkarte als Fahrplan links, Titelfrage mit Abstimmung rechts · **kernsatz:** Typo-Folie mit zwei Zeilen, die zweite per Klick, Quelle klein · **tool-karte:** ein Werkzeug pro Folie, Text links, Skizze rechts, Rezept-Stempel | **Folienübersicht** | Nr | Titel | Layout-Typ | Dauer | Wörter | |---|---|---|---|---| | 1 | Heute ist DI.DAY | titel | 0:34 | 66 | | 2 | Das Rezept des Tages | rezeptkarte | 0:42 | 65 | | 3 | Zutaten: Dutzende Konten, ein Kopf | zitat | 0:44 | 64 | | 4 | Das eigentliche Problem | kernsatz | 0:31 | 61 | | 5 | Zubereitung: die Stufenleiter | stufenleiter | 0:24 | 45 | | 6 | Stufe 1: Ein Schlüssel für alles | illu | 1:11 | 138 | | 7 | Stufe 2: Der Zettel am Bildschirm | illu | 1:06 | 118 | | 8 | Stufe 3: Das Passwortbuch | illu | 1:00 | 114 | | 9 | Stufe 4: Der Browser merkt sich's | grosse-zahl | 1:04 | 115 | | 10 | Stufe 5: Restaurant mit geschlossener Küche | illu | 1:05 | 124 | | 11 | Stufe 6: Ein Tresor, der dir gehört | stufenleiter | 0:37 | 70 | | 12 | Favorit 1: KeePassXC und Co. | tool-karte | 0:38 | 75 | | 13 | Favorit 2: Proton Pass | tool-karte | 0:28 | 56 | | 14 | Favorit 3: Bitwarden und Vaultwarden | tool-karten | 0:43 | 85 | | 15 | Was passt zu dir? | liste | 0:37 | 65 | | 16 | Der Schlüssel zum digitalen Leben | illu | 0:58 | 112 | | 17 | Entwarnung | zweispalter | 0:39 | 76 | | 18 | Zwei-Faktor: zuerst das E-Mail-Konto | zweispalter | 0:44 | 86 | | 19 | Passkeys: anmelden ohne Passwort | illu | 0:32 | 64 | | 20 | Das Urteil: Schutz oder Schnickschnack? | zitat | 0:52 | 86 | | 21 | Guten Appetit! Los geht's | schluss | 0:32 | 64 | | | **Summe** | | **15:43** | **1.749** | **Zeitplan Soll/Ist** | Block | Folien | Ist | Richtwert | Anmerkung | |---|---|---|---|---| | Einstieg „Heute ist DI.DAY“ + Rezept und Abstimmung | 1–2 | 1:17 | 1:00 | inkl. zwei Handzeichen (Abstimmung vorab) | | Warum überhaupt | 3–4 | 1:15 | 1:30 | inkl. zwei Handzeichen | | Stufen 1–5 (inkl. Überblick) | 5–10 | 5:51 | 7:00 | je Stufe 1:00–1:11 | | Stufe 6: Favoriten + Entscheidungshilfe | 11–15 | 3:02 | 2:30 | Folie 11 trägt die Kernaussage „gleich gut geschützt, Stufe 6 ohne Kette“ | | Master-Passwort + Entwarnung | 16–17 | 1:37 | 1:30 | | | Zwei-Faktor & Passkeys | 18–19 | 1:16 | 1:00 | E-Mail zuerst | | Titelfrage beantworten + Los geht's | 20–21 | 1:24 | 0:30 | zweite Abstimmung; die Auflösung der Titelfrage ist der Schlusspunkt dieser Variante | | **Summe** | | **15:43** | **15:00** | Puffer: Kürzungsstufe A spart ca. 40 s | **Kernbotschaften** 1. **Das Hauptproblem ist nicht das schwache, sondern das wiederverwendete Passwort.** Niemand kann sich Dutzende Zugangsdaten merken, und erbeutete Logins werden automatisch überall ausprobiert. 2. **Jede Stufe ist ein Gewinn, am Ende steht ein Tresor, der dir gehört.** Bordmittel und Abo-Tresore sind nicht unsicher, aber sie binden dich an einen Konzern. Die DI.DAY-Favoriten haben offenen Code, und der Tresor liegt bei dir, beim Schweizer Anbieter oder auf dem eigenen Server: KeePassXC-Familie, Proton Pass, Vaultwarden. Bitwarden in der Cloud ist laut Rezept die offen benannte zweite Wahl. 3. **Ein langes Master-Passwort, Zwei-Faktor, und zuerst das E-Mail-Konto.** Kein Pflichtwechsel, keine Sonderzeichen-Akrobatik. Eine Sache pro Monat reicht. **Idee der Variante** Der Vortrag liest mit dem Publikum das offizielle DI.DAY-Wechselrezept „Passwörter in Deiner Hand“, so wie der DI.DAY seine Rezepte tatsächlich im Kochbuch-Format veröffentlicht: Zutaten (warum überhaupt), Zubereitung (die Stufenleiter), „Der Schlüssel zum digitalen Leben“ (so heißt im Rezept der Schritt zum Master-Passwort) und „Guten Appetit!“ als Übergang zur Umzugshilfe. Der Vortrag ist das Lesen des Rezepts, die Umzugshilfe danach das gemeinsame Kochen. Die drei Favoriten tragen die Stempel aus dem Rezept: „die lokale Zutat“, „komfortable Cloud-Alternative“, „zweite Wahl“. Gegenüber der ersten Fassung geschärft: - **Randnotizen statt Messgerät.** Wo der Referent das Rezept bewusst ergänzt, schreibt er eine handschriftliche Randnotiz dazu: beim Browser („nicht unsicher – aber gebunden“), beim Master-Passwort („aufschreiben – aber in den Umschlag“) und bei der Zwei-Faktor-Anmeldung („gehört zum ersten Schritt“). So bleibt der Vortrag nah am Rezept und sagt offen, wo er abweicht (vgl. Faktenblatt 3.6). - **Schutz und Abhängigkeit getrennt, in einem einzigen Bild.** Die Stufenleiter ist der einzige wiederkehrende Bildrahmen. An Stufe 4 und 5 hängt eine kleine Kette für die Abhängigkeit, auf Stufe 6 liegt sie zerrissen am Boden. Beim Schutz liegen gute Abo-Tresore und die Favoriten gleichauf, der Unterschied ist die Kette; deshalb steht Stufe 6 eine Stufe höher (geändert 2026-10-31, vorher gleich hoch). - **Die Titelfrage gehört dem Publikum.** Abstimmung per Handzeichen am Anfang (Folie 2) und am Ende (Folie 20). Beantwortet wird im Alltagssinn: Schnickschnack ist, was weg kann. - **Nur noch zwei Küchenvergleiche:** die Kantine beim Browser und das Restaurant mit geschlossener Küche beim Abo-Tresor. Bei Stufe 6 wird das Restaurant einmal aufgegriffen: Dort ist die Küche offen. **Wiederkehrende Visuals** - **Stufenleiter (einziger wiederkehrender Bildrahmen):** Skizze im Stil der Stufe-1–3-Illustrationen, sechs krakelige Stufen mit leicht versetzten Marker-Flächen, Nummern in Silkscreen, Beschriftung in Caveat. Stufe 1–6 steigen gleichmäßig an. An Stufe 4 und 5 hängt eine kleine Tinten-Kette an einem Pflock (Abhängigkeit). Sie erscheint auf Folie 9 bzw. 10. Auf Stufe 6 liegt die Kette zerrissen daneben (Folie 11), als Bildreim auf die abgerissenen Kabel des befreiten Smartphones aus der DI.DAY-Illustration. Groß auf Folie 5 und 11, sonst klein oben rechts (Folie 6–15, per reveal.js Auto-Animate). Aktuelle Stufe Orange #fea300, erledigte Stufen Lila #74157d, kommende Neutral #ece7da. Die Kette ist das einzige Symbol für Abhängigkeit im ganzen Vortrag. Ein Stück davon hängt auf Folie 14 an der Bitwarden-Karte. - **Rezeptkarte (nur Folie 2):** zeigt die Gliederung einmal als Fahrplan. Auf den übrigen Folien gibt es keine Rezept-Labels wie „ZUTATEN“ oder „NACHTISCH“ mehr. - **Randnotizen (nur Folie 9, 16, 18):** kurze handschriftliche Notizen in Caveat, Lila, leicht schräg am Rand (Baustein `.handnotiz`). - **Rezept-Stempel (Folie 12–14):** runde Skizzen-Stempel mit Doppelkontur in Lila, leicht schief, mit dem Wortlaut des Rezepts. - **Rahmenfolien 1 und 21:** Lila Vollfläche mit Pixelband im DI.DAY-Look, Biege-Illustration, Logos. Alle Folien dazwischen auf Papier-Grund (#fffaf3) mit Skizzen. - **Skizzen-Stil für alle neuen Grafiken** (Vorbild `entwuerfe/illustrationen/skizze/`): Tintenkontur #23122a mit 5 px, dazu eine leicht versetzte dünne Zweitlinie (2 px, 60 % Deckkraft). Rauheitsfilter (feTurbulence + feDisplacementMap, kleine Skala) nur auf Konturen und Flächen, nie auf Text. Marker-Flächen um etwa 9/7 px zur Kontur versetzt, teils schraffiert. Farben: Lila #74157d / #dcb8e2, Orange #fea300, Post-it-Gelb #ffd84d / #f2b705, Warnrot #e5533d / #f7b9ad, Grün #2f8f46, Neutral #d9d4c7 / #ece7da, Bildschirm-Blau #cfe3f7, Weiß. Beschriftungen in Caveat. Freundlich, keine Kapuzen-Hacker, keine Totenköpfe, keine Gesichter echter Personen. - **Einbindung:** SVGs mit eigenen Schriften per `` oder inline, nie per ``. Die Skizzen Stufe 1–3 liegen fertig unter `assets/illustrationen/skizze/` (Schriftpfade dort `../../fonts/`; die Entwürfe unter `entwuerfe/illustrationen/skizze/` nicht mehr einbinden). Skizzen auf den Stufen-Folien mindestens 1.400 px breit (von 1.920), damit die Caveat-Beschriftungen auch hinten lesbar bleiben. - **Vorhandene Skizzen mitnutzen:** In `assets/illustrationen/skizze/` liegen bereits Skizzen im selben Stil, die auch die anderen Varianten nutzen. Für C passen als Basis: `stufe4-browser.svg` (Folie 9), `favorit-lokal.svg`, `favorit-cloud.svg`, `favorit-selbst.svg` (kleine Symbole auf Folie 11 und 15; `favorit-cloud.svg` als Hauptbild auf Folie 13, `favorit-selbst.svg` für die Vaultwarden-Karte auf Folie 14), `notfallumschlag.svg` (Folie 16), `zwei-faktor.svg` (Ausweich-Bild für Folie 18). Bewusst nicht für C: `leck-tueren.svg` (Folie 4 bleibt reine Typo-Folie), `tresor-weggerollt.svg` und `passphrase.svg` (eigene Beispielwörter, die nicht zum Faktenblatt-Beispiel auf Folie 16 passen). Eigens für C neu zu zeichnen sind nur die Stufenleiter mit Kette, die Rezeptkarte, der Kopf mit Schlössern, das Restaurant, das .kdbx-Ökosystem, die Würfel-Zeile und die Passkey-Tür. - **Schriften:** Überschriften in Atkinson Hyperlegible Next 700/800, Badges („STUFE 3“) und „Guten Appetit!“ in Silkscreen, Notizen und Beschriftungen in Caveat, Fließtext in Atkinson. Tool-Namen nur als Text, keine Hersteller-Logos. - **Bildnachweise:** nur noch „Illustration: Florian Biege für di.day“ auf Folie 1 und 21 (Pflicht). Die Skizzen sind eigene Grafiken. Die Fotos aus `assets/img/` werden nicht verwendet, ihre Nachweise entfallen. --- ## Folie 1 – Heute ist DI.DAY (00:00–00:34) **Auf der Folie:** > *Kicker in Silkscreen, orange:* HEUTE IST DI.DAY\ > **Passwortmanager –**\ > **Schutz oder Schnickschnack?**\ > *klein:* Matthias Kerk · luise Oranienburg · 1. November 2026 · Illustration: Florian Biege für di.day **Bild/Visual:** Lila Vollfläche (#74157d) mit Pixelband oben und unten (`assets/deko/pixelband.svg`, `pixelband-unten.svg`). Oben links `assets/logos/diday.svg`, oben rechts `assets/logos/luise.png`. Rechts die Illustration `assets/logos/diday-illustration-florian-biege.png` (befreites, lachendes Smartphone mit abgerissenen Kabeln), etwa 40 % der Folienbreite. Links der Titel groß: Kicker „HEUTE IST DI.DAY“ in Silkscreen, Orange #fea300, darunter der Vortragstitel in Atkinson Hyperlegible Next 800, Weiß, zweizeilig, mindestens 96 px. „Schutz oder Schnickschnack?“ ist die größte Zeile. Bildnachweis klein unten rechts (`.bildnachweis`). **Layout-Typ:** titel **Sprechtext:** Heute ist DI.DAY. (Pause) Digital Independence Day. Seit Januar wechseln jeden ersten Sonntag im Monat Menschen auf die gute Seite, weg von der Abhängigkeit von Big Tech. Die Haltung gefällt mir: „entspannte Rebellion“. Kein Purismus, jeden Monat eine Sache. Und unsere Sache heute heißt: Passwörter. Guten Morgen, ich bin Matthias, schön, dass ihr da seid. Hier bei luise, „lieber unabhängig und informationell selbstbestimmt“. Passt heute ziemlich gut. **Fakten:** T1-03 ✓ (erster Termin 4.1.2026), T1-04 ✓ (jeden ersten Sonntag), T1-05 ✓ (Termin 1. November), T1-06 ✓ (Begründung: Macht weniger Konzerne), T1-07 ✓ („entspannte Rebellion“, „Und ein Wechsel reicht auch erst einmal!“, kein Purismus; hier bewusst als „jeden Monat eine Sache“, damit später niemand an Passwortwechsel denkt, vgl. Faktenblatt Botschaft 3), T1-08 ✓ (Motto „Jeden ersten Sonntag auf die gute Seite wechseln!“); Reserve, nicht im Sprechtext: T1-22 ✎ (regelmäßige Events in über 100 Städten, Stand Juli 2026; wenn überhaupt, nur „in vielen Städten“ sagen); Tagline von luise laut Projektvorgabe --- ## Folie 2 – Das Rezept des Tages (00:34–01:17) **Auf der Folie:** > **Wechselrezept: Passwörter in Deiner Hand**\ > 30 Min. · Schwierigkeit: mittel\ > *Rezeptkarte „So lesen wir’s heute“:* Zutaten – Dutzende Konten, ein Kopf · Zubereitung – die Stufenleiter · Der Schlüssel zum digitalen Leben – das Master-Passwort · Dazu – Zwei-Faktor und Passkeys · Guten Appetit – gemeinsam umziehen\ > (Klick) **Schutz oder Schnickschnack?** *handschriftlich:* Handzeichen!\ > *klein:* di.day/de/wechselrezepte/passwords **Bild/Visual:** Links eine Rezeptkarte im Skizzen-Stil: leicht schief liegende Karteikarte (Weiß mit versetzter Marker-Fläche #ece7da, krakelige Tintenkontur, Eselsohr). Kopf „Wechselrezept: Passwörter in Deiner Hand“ in Atkinson 700, darunter „30 Min. · mittel“ mit kleiner Uhr- und Kochlöffel-Skizze, dann die fünf Zeilen als Fahrplan, Zeilenköpfe in Caveat. Rechts nach (Klick) die Titelfrage groß in zwei Zeilen, darunter eine gezeichnete erhobene Hand (nur Umriss) und „Handzeichen!“ in Caveat. Kein Messgerät. **Layout-Typ:** rezeptkarte **Sprechtext:** Für viele Wechsel hat der DI.DAY ein Rezept, aufgebaut wie im Kochbuch. Unseres heißt „Passwörter in Deiner Hand“. Dauer: 30 Minuten, Schwierigkeit: mittel. (Pause) Die nächsten 15 Minuten lesen wir das Rezept zusammen, danach wird gemeinsam gekocht. Wo ich ergänze, mache ich eine Randnotiz. (Klick) Und unsere Frage: Schutz oder Schnickschnack? Kurze Abstimmung vorab. Wer tippt auf Schnickschnack? (Handzeichen) Und wer auf Schutz? (Handzeichen) Am Ende frage ich nochmal. **Fakten:** T1-09 ✓ (Rezepte im Kochrezept-Format; 25 Rezepte, deshalb „für viele Wechsel“), T1-10 ✓ (Titel, 30 Minuten, Schwierigkeit „Mittel“), T1-15 ✓ (Gliederung des Rezepts: Zubereitung mit Schritt 3 „Der Schlüssel zum digitalen Leben“, Nachtisch, Topping), Faktenblatt 3.5 (Rezeptaufbau inkl. „Guten Appetit!“), Faktenblatt 3.6 (Abgleich Rezept und Vortrag: Wo wir abweichen, sagen wir es) --- ## Folie 3 – Zutaten: Dutzende Konten, ein Kopf (01:17–02:01) **Auf der Folie:** > **Dutzende Konten. Ein Kopf.**\ > „Niemand kann sich Dutzende von Zugangsdaten merken.“\ > *klein:* Bitkom, 30.01.2025 **Bild/Visual:** In der Mitte ein Skizzen-Kopf (nur Umriss, freundlich, ohne Züge einer echten Person). Um ihn sammeln sich kleine Vorhängeschlösser, dieselben wie in der Stufe-1-Skizze: zuerst ein paar, nach dem ersten Klick viele, nach dem zweiten unzählbar. Zitat unten groß in Atkinson, Tinte auf Papier. **Layout-Typ:** zitat (mit Aufbau in drei Schritten) **Sprechtext:** Zuerst die Zutaten. Wer von euch hat mehr als zehn Online-Konten? (Handzeichen) (Klick) Mehr als fünfzig? (Handzeichen) (Klick) Und wer hat ehrlich gesagt keine Ahnung? (Pause) Genau. E-Mail, Bank, Bahn, und dieser eine Shop, bei dem ihr vor Jahren mal Druckerpatronen bestellt habt. Der Digitalverband Bitkom sagt es nüchtern: „Niemand kann sich Dutzende von Zugangsdaten merken.“ (Pause) Das ist kein persönliches Versagen. Das ist einfach zu viel für einen Kopf. **Fakten:** L1-06 ✓ (Bitkom-Zitat). Reserve für Rückfragen: VZ NRW 2025, 48 % haben mehr als 50 Konten (✓², stufenleiter.md Stufe 1). --- ## Folie 4 – Das eigentliche Problem (02:01–02:32) **Auf der Folie:** > **Das Hauptproblem ist nicht das schwache Passwort.**\ > (Klick) **Sondern das wiederverwendete.**\ > *klein:* „… probieren Kriminelle diese erbeuteten Zugangsdaten überall aus.“ – Prof. Christian Dörr, Hasso-Plattner-Institut, Januar 2026 **Bild/Visual:** Reine Typo-Folie, Weiß auf Lila. Die zweite Zeile erscheint per Klick in Orange und wird mit einem handgezeichneten Marker-Strich unterstrichen. Keine weitere Grafik: Das Bild zum Problem liefert die Stufe-1-Skizze zwei Folien später. **Layout-Typ:** kernsatz **Sprechtext:** Und jetzt die wichtigste Zutat. Das Hauptproblem ist nicht das schwache Passwort. (Klick) Sondern das wiederverwendete. Christian Dörr vom Hasso-Plattner-Institut in Potsdam sagt: „Wurde ein Dienst gehackt und die Zugangsdaten sind offen – was milliardenfach passiert –, probieren Kriminelle diese erbeuteten Zugangsdaten überall aus.“ Da sitzt kein Genie im Kapuzenpulli. Das macht ein Programm, automatisch. Es trifft also alle, die irgendwo ein Konto haben. **Fakten:** Faktenblatt Botschaft 1 (Wortlaut „Das Hauptproblem ist nicht das schwache Passwort, sondern das wiederverwendete“), T2-16 ✓ (Dörr wörtlich: „Wurde ein Dienst gehackt und die Zugangsdaten sind offen - was milliardenfach passiert - probieren Kriminelle diese erbeuteten Zugangsdaten überall aus.“), L1-07 ✓ (BSI: „automatisiert durchtesten“), L1-08 ✓ (Credential Stuffing ist Massenware; Mythos „Mich hackt doch keiner“, stufenleiter.md C); Vorsicht: „Credential Stuffing“ ist unsere Zuschreibung, kein BSI-Wortlaut (stufenleiter.md B) --- ## Folie 5 – Zubereitung: die Stufenleiter (02:32–02:56) **Auf der Folie:** > **Die Stufenleiter**\ > 1 Ein Passwort für alles · 2 Zettel am Bildschirm · 3 Passwortbuch · 4 Browser · 5 Tresor im Abo · 6 Tresor, der dir gehört **Bild/Visual:** Die Stufenleiter groß als Skizze (siehe Wiederkehrende Visuals): sechs Stufen von links unten nach rechts oben, Stufe 6 ganz oben. Stufen 1–5 in Lila-Tönen von #dcb8e2 bis #74157d, Stufe 6 orange. Nummern in Silkscreen, Beschriftung in Caveat. Noch ohne Ketten. Beim Weiterklicken schrumpft die Treppe per Auto-Animate in die Ecke oben rechts und bleibt dort bis Folie 15. **Layout-Typ:** stufenleiter **Sprechtext:** Zur Zubereitung. Ich hab euch eine Stufenleiter mitgebracht: sechs Arten, Passwörter zu verwalten. Sucht euch im Stillen eure Stufe aus, niemand muss sich outen. (Pause) Jede Stufe weiter ist schon ein Gewinn. **Fakten:** stufenleiter.md: Übersicht, Haltung („Ehrlich und fair statt Angstmache“) und Roter Faden (Stufen 1–3: erst Wiederverwendung, dann Ort; Stufen 4–5: Abhängigkeit; Stufe 6: ein Tresor, der dir gehört); T1-07 ✓ (kein Purismus) --- ## Folie 6 – Stufe 1: Ein Schlüssel für alles (02:56–04:07) **Auf der Folie:** > *Badge:* STUFE 1\ > **Überall dasselbe Passwort**\ > (Klick) **33 %** nutzen ein Passwort für mehrere Dienste\ > *klein:* Bitkom 2025, n = 1.021 · Bitkom-Umfragen 2020–2025: 29–36 % **Bild/Visual:** Skizze `assets/illustrationen/skizze/stufe1-ein-schluessel.svg` groß, mindestens 1.400 px breit, rechts unten bündig. Badge und Titel oben links, Stufenleiter klein oben rechts (Stufe 1 orange). Einbindung per `` oder inline. Startzustand geschlossen (`#s1-zu`): Ein gelber Schlüssel passt in alle fünf Schlösser „E-Mail, Bank, Shop, Social Media, Streaming“. Erster Klick: „33 %“ groß in Orange links neben der Skizze. Zweiter Klick: Die Skizze wechselt in den offenen Zustand, die Elster fliegt mit der roten Kopie davon, alle Schlösser springen auf. Inline geht das über `#s1-buegel-zu` und `#s1-buegel-offen` als Fragmente; mit `` über zwei übereinanderliegende Objekte (eins mit `#s1-zu`), die per Fragment überblendet werden. Sonst keine Overlays. **Layout-Typ:** illu **Sprechtext:** Stufe eins: überall dasselbe Passwort. Ein Schlüssel für alle Schlösser: E-Mail, Bank, Shop, Social Media. (Pause) (Klick) Ein Drittel der Menschen, die in Deutschland online sind, nutzt dasselbe Passwort für mehrere Dienste, sagt der Bitkom. Und das seit Jahren: je nach Umfrage 29 bis 36 Prozent. Ihr seid also in großer Gesellschaft. Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, nennt es sogar wörtlich „bequem“. Der Satz geht aber weiter: „aber dennoch nicht zu empfehlen“. (Klick) Denn eure Sicherheit hängt dann am schlechtesten geschützten Dienst. Kommt dort jemand an eine Kopie, gehen alle Schlösser auf. Beim Gentest-Anbieter 23andMe kamen Kriminelle 2023 mit wiederverwendeten Passwörtern in rund 14.000 Konten. Über eine Verwandtschaftsfunktion kamen sie an Daten von 6,9 Millionen Menschen. Die meisten hatten selbst nichts falsch gemacht. Und auch ein superstarkes Passwort rettet euch nicht. Fällt es einmal irgendwo raus, ist es überall offen. **Fakten:** T2-17 ✓ / L1-01 ✓ (33 %, Bitkom 2025: „dasselbe Passwort für verschiedene Dienste“, also nicht „überall“; Spanne der Bitkom-Umfragen nach Veröffentlichungsjahr: 36 % (2020), 29 % (2022, befragt Nov. 2021), 35 % (2022), 30 % (2023), 33 % (2025); stufenleiter.md C: „die Spanne erwähnen“), L1-06 ✓ (BSI „bequem, aber dennoch nicht zu empfehlen“; das Zitat nie mit Punkt nach „bequem“, stufenleiter.md B), L1-07 ✓ (ein Leck öffnet alle Konten, auch bei starkem Passwort), L1-09 ✓ / T2-25 ✓ (23andMe: rund 14.000 übernommene Konten, 6,9 Mio. Betroffene, die meisten ohne eigenen Fehler; nicht „6,9 Mio. Konten gehackt“) --- ## Folie 7 – Stufe 2: Der Zettel am Bildschirm (04:07–05:14) **Auf der Folie:** > *Badge:* STUFE 2\ > **Der Zettel am Bildschirm**\ > (Klick) *Stempel:* Platz 6 – meistgeleakt 2025\ > *klein:* HPI 2025 · Beispiel, bitte nicht verwenden **Bild/Visual:** Skizze `assets/illustrationen/skizze/stufe2-postit.svg` groß (mindestens 1.400 px breit), per `` oder inline: Monitor mit Post-it „Passwort: kaffeetasse“, unter der Tastatur „Bank: hallo123“, eine Hand fotografiert den Zettel („klick!“). Badge und Titel oben links, Stufenleiter oben rechts (Stufe 2 orange). Per Klick ein Stempel im Skizzen-Stil (rote Doppelkontur #e5533d, leicht schief, Caveat) „Platz 6 – meistgeleakt 2025“ neben dem Post-it, ohne die Zettelschrift zu verdecken. **Layout-Typ:** illu **Sprechtext:** Stufe zwei. Dann eben verschiedene Passwörter. Aber wohin damit? Auf den Zettel am Bildschirm. Oder, ganz raffiniert, unter die Tastatur. (Pause) Wer hat heute schon Kaffee getrunken? (Handzeichen) (Klick) „kaffeetasse“ steht auf Platz 6 der meistgeleakten Passwörter in Deutschland 2025, laut Hasso-Plattner-Institut. Aber hier geht's nicht ums Passwort, sondern um den Ort. Fair bleiben: Der Zettel erlaubt verschiedene Passwörter, und aus dem Internet kommt niemand ran, auch keine Schadsoftware. Der Haken: Alle, die vorbeikommen, sehen ihn. Besuch, Handwerker*innen, und manchmal eine Handykamera. Beim französischen Sender TV5Monde las 2015 jemand vor dem Fernseher das YouTube-Passwort von Ausdrucken im Hintergrund eines Fernsehinterviews ab. Übersetzt: „dasPasswortfürYouTube“. (Pause) Das BSI sagt deshalb: niemals „auf dem berühmten Notizzettel am Bildschirm“. Schutz vor dem Internet, aber nicht vor dem Schreibtisch. **Fakten:** T2-15 ✎ („kaffeetasse“ Platz 6, ausdrücklich „meistgeleakt“, nicht „beliebtestes“), L1-27 ✓ (Papier kann Schadsoftware nicht auslesen), L1-20 ✓ / T3-18 ✓ (BSI „berühmter Notizzettel am Bildschirm“), L1-21 ✓ (Verbraucherzentrale: „unter der Tastatur“), L1-13 ✓ (TV5Monde 2015, Ausdrucke im Hintergrund eines France-2-Interviews, abgelesen von einer Person auf Twitter: „lemotdepassedeyoutube“; nicht behaupten, die Zettel hätten den Hack verursacht, stufenleiter.md A); Pressefotos des Falls nicht zeigen (Bildrechte) --- ## Folie 8 – Stufe 3: Das Passwortbuch (05:14–06:15) **Auf der Folie:** > *Badge:* STUFE 3\ > **Das Passwortbuch**\ > Besser als sein Ruf –\ > wenn es weggeschlossen ist. **Bild/Visual:** Skizze `assets/illustrationen/skizze/stufe3-passwortbuch.svg` groß (mindestens 1.400 px breit): Büchlein „Meine Passwörter“ mit handschriftlicher Tabelle, Korrektur „Sommer2020!“ → „Sommer2021!“, Aufkleber „offline“, daneben ein Smartphone, das nach dem Bank-Passwort fragt („???“). Badge, Titel und Kernsatz oben links, Stufenleiter oben rechts (Stufe 3 orange). Per Klick kommt unten links eine kleine Skizze dazu: Schublade mit Vorhängeschloss, daneben in Caveat „verschließbare Schublade · Ersatzliste“. Die Korrektur „Sommer2020! → Sommer2021!“ wird auf Folie 17 noch einmal gebraucht. **Layout-Typ:** illu **Sprechtext:** Stufe drei: das Passwortbuch aus dem Buchhandel. (Pause) Jetzt überrasche ich euch vielleicht: Das BSI nennt die Papierliste „die Offline-Lösung“. Schadsoftware kann kein Buch auslesen. Und im Ernstfall finden eure Angehörigen damit eure Konten. Aber mit Bedingungen. (Klick) Ab in eine verschließbare Schublade, nicht offen auf den Schreibtisch. Und eine Ersatzliste anlegen, sonst ist bei Verlust oder Brand alles weg. Unterwegs habt ihr das Buch nicht dabei, seht ihr am Handy rechts. Und gegen gefälschte Webseiten hilft Papier nicht, da tippt ihr das Passwort im Zweifel brav selbst ein. Gefährlich ist nicht das Papier, sondern der Ort. (Pause) Übrigens: Das BSI beschreibt einen Passwortmanager als „Notizbuch, das in einer Schublade eingeschlossen ist“. Das gibt's also auch digital. **Fakten:** L1-25 ✓ / T3-17 ✓ (BSI „Papierliste: die Offline-Lösung“; Auflagen: verschließbare Schublade, Ersatzliste, Webseiten selbst auf Phishing prüfen), L1-27 ✓ (offline, hilft Erben und Bevollmächtigten, unterwegs nicht dabei), L1-26 ✓ / T3-15 ✓ (BSI-Bild „Notizbuch, das in einer Schublade eingeschlossen ist“); Vorsicht: Banking-PIN nicht neben Handy oder TAN-Generator (L1-29, Rückfrage 6) --- ## Folie 9 – Stufe 4: Der Browser merkt sich's (06:15–07:19) **Auf der Folie:** > *Badge:* STUFE 4\ > **Der Browser merkt sich's**\ > **84 %** speichern Passwörter im Browser\ > Chrome · Safari · Edge · Firefox\ > *Randnotiz:* nicht unsicher – aber gebunden\ > *klein:* Umfrage Verbraucherzentrale NRW 2025, n = 1.203 · Rezept, Schritt 1: „Warum Du Passwörter besser nicht im Browser speicherst“ **Bild/Visual:** Links groß „84 %“ in Orange. Rechts eine Skizze: Browserfenster (Bildschirm-Blau #cfe3f7) mit dem Dialog „Passwort speichern?“ und einem lila Knopf „Ja“. Die vier Browsernamen nur als Text, keine Logos. Klick 1: Eine Tinten-Kette führt vom Browserfenster zu einem kleinen Haus mit der Aufschrift „Apple · Google · Microsoft“. Gleichzeitig erscheint an Stufe 4 der Stufenleiter oben rechts die kleine Kette. Klick 2: Am Haus hängt ein Schild „Funktion eingestellt“ (Microsoft Authenticator 2025). Bewusst kein Schadsoftware-Symbol: Die Botschaft dieser Stufe ist die Bindung, nicht die Unsicherheit (Faktenblatt 6.6). Die Randnotiz steht schräg am rechten Rand in Lila. Kein Küchenbild, die Kantine ist nur gesprochen. Basis kann die vorhandene Skizze `assets/illustrationen/skizze/stufe4-browser.svg` sein (Browser mit „Passwort speichern?“ und Kette zur „Konzern-Cloud“). Dann kommt nur das Schild „Funktion eingestellt“ als Fragment dazu, und die Kette ist von Anfang an zu sehen. **Layout-Typ:** grosse-zahl (mit Skizze rechts) **Sprechtext:** Stufe vier. Der Browser fragt: „Passwort speichern?“ Wer kennt das? (Handzeichen) Eben. Laut Verbraucherzentrale NRW speichern rund 84 Prozent ihre Passwörter im Browser. (Pause) Das ist ein großer Schritt nach oben: kostenlos, eingebaut. Gegen den Passwortspeicher von Firefox hatte das BSI in seiner Untersuchung keine Bedenken. Das Rezept rät trotzdem davon ab. Meine Randnotiz: nicht unsicher, aber gebunden. Es ist wie in der Kantine: Ihr esst, was diese eine Küche kocht. (Klick) Apple will Apple-Geräte, Google will Chrome und Android, Microsoft will Edge. Im gemischten Haushalt wird's schnell fummelig. (Klick) Und manchmal streicht die Kantine ein Gericht. Microsoft hat 2025 die Passwortfunktion seiner Authenticator-App abgeschaltet. Die Passwörter blieben im Microsoft-Konto, nutzbar über Edge. Wer Edge nicht wollte, musste umziehen. **Fakten:** L2-12 ✓ (84,1 % VZ NRW; nicht mit CyMon 15 % vergleichen), L2-10 ✓ (BSI: Passwortmanager „in jedem Fall besser“ als Wiederverwendung), T3-21 ✎ / L2-03 ✓ (Firefox: im Rahmen der Prüftiefe keine Bedenken), T1-15 ✓ / T1-16 ✓ (Rezept, Schritt 1, mit drei Gründen gegen den Browser-Speicher; hier nuanciert nach Faktenblatt 3.6 und 5.7), L2-05 ✓ / L2-06 ✓ / L2-08 ✓ / L2-09 ✎ (Bindung an Ökosysteme), L2-08 ✓ / T5-23 ✓ (Authenticator: Passwortfunktion Juni bis August 2025 eingestellt, die Passwörter blieben im Microsoft-Konto bzw. in Edge; Abhängigkeit, kein Datenverlust); nur für Rückfragen: L2-10 ✓ / L2-11 ✓ / T3-16 ✓ (Schadsoftware kann Browser-Passwörter auslesen, Lumma); Vorsicht: Bordmittel nicht „unsicher“ nennen (Faktenblatt 6.6, 9.4) --- ## Folie 10 – Stufe 5: Restaurant mit geschlossener Küche (07:19–08:23) **Auf der Folie:** > *Badge:* STUFE 5\ > **Profi-Tresor im Abo**\ > LastPass · 1Password\ > Technisch oft top. Aber: geschlossene Küche.\ > *klein:* BSI-Marktuntersuchung 2025 · 1Password-Einzeltarif 2026: +33 % **Bild/Visual:** Skizze eines Restaurants: Gastraum mit gedecktem Tisch, dahinter eine verschlossene Küchentür mit Bullauge, durch das nur Dampf zu sehen ist. Davor ein Tresor auf einem Servierwagen. Per Klick hängen nacheinander drei Schilder an der Küchentür (Caveat auf weißen Kärtchen): „Code: geschlossen“, „Preis: machen die Wirt*innen“, „LastPass: USA · 1Password: Kanada“. An Stufe 5 der Stufenleiter oben rechts hängt die Kette. Keine Hersteller-Logos. Das Restaurant ist eigens für C zu zeichnen. Notlösung, falls die Zeit nicht reicht: `assets/illustrationen/skizze/stufe5-abo-tresor.svg` trägt dieselben drei Punkte („Code: zu“, Abo-Preisschild, „USA / Kanada“), aber ohne Restaurant. Dann trägt nur der Sprechtext das Bild. **Layout-Typ:** illu **Sprechtext:** Stufe fünf: Passwortmanager im Abo. LastPass, 1Password und Co. Technisch oft top: Bei 1Password hatte das BSI keine grundsätzlichen Bedenken. Und LastPass? Da haben Kriminelle 2022 die verschlüsselten Tresore gestohlen, die Webadressen sogar unverschlüsselt. Die Verschlüsselung hat grundsätzlich gehalten. Geknackt werden seitdem vor allem Tresore mit schwachem Master-Passwort. Das ist das eine Passwort, das den ganzen Tresor aufschließt. Merkt euch das. (Pause) Das DI.DAY-Argument ist ein anderes. Stellt euch ein Restaurant mit geschlossener Küche vor. Das Essen ist super, aber reinschauen könnt ihr nicht. (Klick) Der Code ist nicht offen. (Klick) Den Preis machen die Wirt*innen: 1Password hat seinen Einzeltarif dieses Jahr um ein Drittel erhöht. (Klick) Und es gilt fremdes Recht: bei LastPass das der USA, bei 1Password das Kanadas. Also die DI.DAY-Frage: Wem gehört der Tresor? **Fakten:** L2-14 ✓ (1Password: keine grundsätzlichen BSI-Bedenken; Sitz Kanada), T5-20 ✓ / L2-18 ✎ / L2-19 ✎ (LastPass-Einbruch 2022: verschlüsselte Tresore gestohlen, Website-URLs lagen unverschlüsselt dabei), T5-21 ✓ (geknackt vor allem Tresore mit schwachem Master-Passwort, oft alte Konten mit wenigen Iterationen), Faktenblatt 6.7 „Faire Einordnung“ (Verschlüsselung hat grundsätzlich gehalten), L2-16 ✓ ⚡ (1Password +33 % ab Verlängerung nach dem 27.03.2026), L2-17 ✓ (LastPass: Sitz Boston; Reserve: gehört den Finanzinvestoren Francisco Partners und Elliott), T1-13 ✓ / T1-14 ✓ (Rezept: 1Password „nicht Open Source“, Kanada; LastPass nicht empfohlen); Vorsicht: Rechtsraum nur für die beiden Genannten nennen, nicht „kommerziell heißt außerhalb der EU“ (Dashlane: EU-Vertrag über Dashlane SAS Paris, L2-24, stufenleiter.md C); Krypto-Diebstähle nicht als bewiesen darstellen (stufenleiter.md A); Passwörter wurden nicht „im Klartext gestohlen“ (stufenleiter.md C) --- ## Folie 11 – Stufe 6: Ein Tresor, der dir gehört (08:23–09:01) **Auf der Folie:** > *Badge:* STUFE 6\ > **Ein Tresor, der dir gehört**\ > offener Code · Tresor bei dir, beim Schweizer Anbieter oder auf eigenem Server\ > (Klick) *handschriftlich mit Klammer über Stufe 5 und 6:* gleich gut geschützt – 6 ohne Kette\ > *klein:* nach dem DI.DAY-Wechselrezept „Passwörter in Deiner Hand“ **Bild/Visual:** Die Stufenleiter noch einmal groß (Auto-Animate aus der Ecke). Stufe 6 steht eine Stufe höher als Stufe 5. An Stufe 4 und 5 hängt die kleine Kette am Pflock, auf Stufe 6 liegt sie zerrissen daneben. Auf Stufe 6 drei kleine Skizzen für die drei Wege: Datei mit Schloss, Wolke über Bergsilhouette, kleiner Server (verkleinert aus `favorit-lokal.svg`, `favorit-cloud.svg`, `favorit-selbst.svg`). Ein paar orange Marker-Striche als Konfetti. Per Klick erscheint die handschriftliche Beschriftung mit Klammer über Stufe 5 und 6. **Layout-Typ:** stufenleiter **Sprechtext:** Damit sind wir oben. Beim Schutz liegen gute Abo-Tresore und unsere Favoriten gleichauf. (Klick) Der Unterschied ist die Kette: Auf Stufe sechs ist sie ab. Deshalb steht die Sechs eine Stufe höher. (Pause) Stufe sechs: ein Tresor, der euch gehört. Hier ist die Küche offen, alle können in den Code der Apps schauen. Und eure Daten liegen bei euch, bei einem Schweizer Anbieter oder auf einem eigenen Server. Drei Favoriten, passend zum DI.DAY-Rezept. **Fakten:** *Einordnung* „beim Schutz gleichauf“: BSI 2025 ohne grundsätzliche Bedenken gegen 1Password und ohne Bedenken gegen KeePassXC, beide verschlüsseln den kompletten Inhalt (L2-14 ✓, L2-01 ✎, T3-19 ✓, T3-20 ✓); im Test von Test Achats bestanden alle zwölf Manager die Sicherheitsprüfung, KeePassXC lag am Tabellenende (L2-25 ✓ ⚡, Rückfrage 9). Offener Code der Apps: KeePassXC GPL (T4-02 ✓), KeePassDX und KeePassium GPLv3 (T4-17 ✓, T4-19 ✎), Proton nur die Apps (T5-12 ✓), Bitwarden-Apps GPLv3 (T5-01 ✓), Vaultwarden AGPL (T5-09 ✓). Die drei Wege laut Rezept: T1-11 ✓, T1-12 ✓, T1-14 ✓; Faktenblatt Botschaft 2. Vorsicht: Stufe 6 nicht „unabhängig“ oder „jederzeit umziehbar“ nennen (KeePassXC kann keinen Credential Exchange, T6-21 ✓; bei Proton ist er erst angekündigt, T6-20 ✓; Bitwarden-Cloud ist laut Rezept wegen der US-Bindung zweite Wahl, siehe Folie 14) --- ## Folie 12 – Favorit 1: KeePassXC und Co. (09:01–09:38) **Auf der Folie:** > **KeePassXC & Co.: die Datei bei dir**\ > KeePassXC (Rechner) · KeePassDX (Android) · KeePassium (iPhone)\ > kostenlos · Open Source · ohne Konto\ > *Stempel:* DI.DAY-Rezept: die lokale Zutat **Bild/Visual:** Ökosystem-Skizze: In der Mitte eine Datei „passwoerter.kdbx“ mit Vorhängeschloss (Marker-Fläche Lila hell #dcb8e2), drumherum drei Geräte, App-Namen nur als Text: Rechner → KeePassXC, Android-Handy → KeePassDX, iPhone → KeePassium. Gestrichelte Linien zu zwei Kärtchen in Caveat: „Abgleich: z. B. eigener Cloud-Ordner“ und „Sicherung: USB-Stick“. Runder Rezept-Stempel „DI.DAY-Rezept: die lokale Zutat“ (Wortlaut des Rezepts) rechts neben der Überschrift. Stufenleiter klein oben rechts (Stufe 6 orange). **Layout-Typ:** tool-karte **Sprechtext:** Favorit eins: die KeePass-Familie. Am Rechner KeePassXC, auf dem Android-Handy KeePassDX, auf dem iPhone KeePassium. Open Source, kostenlos, kein Konto, keine Cloud. Eure Passwörter liegen als verschlüsselte Datei bei euch. Im Rezept ist das die erste Wahl. Die französische Cybersicherheitsbehörde hat KeePassXC ein Sicherheitsvisum erteilt. Und das BSI hatte in seiner Untersuchung keine Bedenken. Der Haken: Den Abgleich zwischen euren Geräten und die Sicherungskopien organisiert ihr selbst. Und wer das Master-Passwort vergisst, dem hilft niemand. **Fakten:** T1-11 ✓ (Rezept: KeePass-Familie als erste Wahl, wörtlich „Die KeePass-Familie – Die lokale Zutat“; „erste Wahl“ ist die Einordnung im Faktenblatt, kein Rezept-Zitat, deshalb steht auf dem Stempel „die lokale Zutat“; die Synchronisation „erfordert etwas Eigeninitiative“), T4-02 ✓ (Open Source, kein Konto, keine Cloud), T4-17 ✓ ⚡ (KeePassDX), T4-19 ✎ ⚡ (KeePassium gratis mit einer Datenbank), T4-10 ✓ (ANSSI-Sicherheitsvisum CSPN-2025/16; laut ANSSI „pas en soi une recommandation du produit“), T3-20 ✓ (BSI-Marktuntersuchung: im Rahmen der Prüftiefe keine Bedenken), T4-12 ✓ (Abgleich über Cloud-Ordner oder Syncthing), T4-16 ✓ (keine Wiederherstellung); Vorsicht: nicht „das BSI empfiehlt“ oder „erkennt KeePassXC an“ sagen (Faktenblatt 9.4); KeePassXC hat keine eigene Handy-App, nur Partner-Apps --- ## Folie 13 – Favorit 2: Proton Pass (09:38–10:06) **Auf der Folie:** > **Proton Pass: bequem aus der Schweiz**\ > quelloffene Apps · gleicht sich selbst ab · kostenloser Einstieg\ > *Stempel:* DI.DAY-Rezept: komfortable Cloud-Alternative **Bild/Visual:** Skizze `assets/illustrationen/skizze/favorit-cloud.svg` (vorhanden): eine Wolke mit Vorhängeschloss über Bergen mit der Beschriftung „Schweiz“, Handy und Laptop mit gestrichelten Linien zur Wolke verbunden. Name nur als Text, kein Logo. An der Wolke ein Kärtchen in Caveat: „Daten beim Anbieter · Schweiz ≠ EU“. Rezept-Stempel wie auf Folie 12. **Layout-Typ:** tool-karte **Sprechtext:** Favorit zwei: Proton Pass aus der Schweiz. Schöne Apps für Handy, Rechner und Browser, und alles gleicht sich von selbst ab. Die Apps sind quelloffen und wurden schon zweimal von Sicherheitsfirmen geprüft. Einsteigen könnt ihr kostenlos. Ehrlich dazu: Eure Daten liegen, stark verschlüsselt, beim Anbieter, nicht bei euch. Und die Schweiz ist Europa, aber nicht EU. **Fakten:** T1-12 ✓ (Rezept: komfortable Cloud-Alternative; Daten beim Anbieter; „quelloffene Apps“ statt „komplett quelloffen“), T5-11 ✓ (Proton AG, Genf), T5-12 ✓ (nur die Apps sind Open Source), T5-14 ✓ ⚡ (Free-Tarif), T5-15 ✓ (Audits 2023 Cure53 und 2026 Recurity Labs, von Proton beauftragt; „unabhängig“ nicht betonen); Vorsicht: Schweiz ≠ EU (Faktenblatt 9.4) --- ## Folie 14 – Favorit 3: Bitwarden und Vaultwarden (10:06–10:49) **Auf der Folie:** > **Bitwarden**\ > Open Source · sehr einsteigerfreundlich\ > aber: US-Firma, Microsoft-Rechenzentren\ > *Stempel:* DI.DAY-Rezept: zweite Wahl\ > **Vaultwarden**\ > selbst betrieben · mit den Bitwarden-Apps\ > (Klick) ☑ Server ☑ Sicherungen ☑ Updates **Bild/Visual:** Zwei Karten nebeneinander. Links „Bitwarden“: Skizze eines App-Fensters mit Schloss, darunter klein „Sitz: USA · Tresordaten in Microsofts Rechenzentren, auch in der EU-Region“. An der Karte hängt ein kurzes Stück der Kette aus der Stufenleiter (die ehrliche Ausnahme auf Stufe 6). Rezept-Stempel „zweite Wahl“. Rechts „Vaultwarden“: kleiner Server-Kasten (Basis: `assets/illustrationen/skizze/favorit-selbst.svg`, Server unter dem Schild „Verein“ mit Klemmbrett), darunter drei handgezeichnete Kästchen „Server · Sicherungen · Updates“, die per Klick abgehakt werden. **Layout-Typ:** tool-karten (zwei Karten nebeneinander) **Sprechtext:** Favorit drei: Bitwarden. Auch Open Source, regelmäßig geprüft und sehr einsteigerfreundlich. Aber ehrlich: Bitwarden ist eine US-Firma, und auch in der EU-Region liegen die Tresordaten in Microsofts Rechenzentren. Im DI.DAY-Rezept deshalb „zweite Wahl“, und hier hängt noch ein Stück Kette. Wer es schon nutzt: Das ist kein Sicherheitsproblem, sondern eine Frage der Unabhängigkeit. Und dann gibt's Vaultwarden. Den Server, also den Rechner, auf dem der Tresor liegt, betreibt ihr selbst, dazu die normalen Bitwarden-Apps. (Klick) Das lohnt sich, wenn sich jemand um Sicherungen und Updates kümmert. **Fakten:** T5-01 ✓ (Apps GPLv3, SDK-Streit beigelegt), T5-06 ✓ (Audits seit 2018), T1-14 ✓ (Rezept: „zweite Wahl“ wegen US-Sitz, jährliche Audits, Vaultwarden im Topping), T5-02 ✓ (US-Firma, Tresordaten auf Microsoft Azure, auch in der EU), T5-03 ✓ (EU-Region), T5-09 ✓ ⚡ (Vaultwarden: inoffizielle Server-Implementierung, funktioniert mit den Bitwarden-Apps), T5-10 ✓ ⚡ (Betriebspflichten HTTPS, Backups, Updates; für Laien ohne Admin keine Empfehlung), T3-25 ✓ (BSI-Lücken 2024 behoben: Wer selbst betreibt, muss Updates einspielen); Vorsicht: „Bitwarden EU ist rein europäisch“ ist falsch (Faktenblatt 9.4) --- ## Folie 15 – Was passt zu dir? (10:49–11:26) **Auf der Folie:** > **Was passt zu dir?**\ > Ein Rechner, volle Kontrolle → KeePassXC\ > Viele Geräte, Familie → Proton Pass\ > Eigener Server → Vaultwarden\ > *klein:* Bitwarden-Cloud geht auch – bewusst zweite Wahl · QR: di.day/de/wechselrezepte/passwords **Bild/Visual:** Drei handgezeichnete Wegweiser-Pfeile (Marker-Flächen Lila, Orange, Lila hell), die per Klick nacheinander erscheinen. An jedem Pfeilende die kleine Skizze aus Folie 11 (Datei, Wolke, Server). Unten rechts ein QR-Code zum DI.DAY-Rezept (neu zu erzeugen, als SVG neben `qr-luise-oranienburg.svg`), darüber in Caveat „Rezept zum Nachlesen“. Letzte Folie mit der Stufenleiter als Fortschrittsanzeige. **Layout-Typ:** liste (drei Wege als Wegweiser) **Sprechtext:** Welcher Weg passt zu euch? Überlegt kurz mit. (Pause) (Klick) Ihr habt vor allem einen Rechner und wollt die volle Kontrolle? KeePassXC. (Klick) Mehrere Geräte, vielleicht die ganze Familie, und es soll bequem sein? Proton Pass. (Klick) Eigener Server oder jemand im Verein, der sich kümmert? Vaultwarden. (Pause) Und ganz ehrlich: Jedes davon ist um Längen besser als Stufe eins. Die beste Wahl ist die, die ihr heute wirklich einrichtet. **Fakten:** Faktenblatt 6.5 „Faustregel für die Empfehlung“ (gestützt auf T4-26 ✎, T5-10 ✓, T5-14 ✓), T3-22 ✓ (BSI: Nutzen überwiegt bei weitem), L2-10 ✓ („in jedem Fall besser“ als Wiederverwendung), T1-14 ✓ (Bitwarden als offen benannte zweite Wahl) --- ## Folie 16 – Der Schlüssel zum digitalen Leben (11:26–12:24) **Auf der Folie:** > **Der Schlüssel zum digitalen Leben**\ > Ein Master-Passwort. Lang statt kompliziert.\ > (Klick) verlieben effizient gelernt aufraffen eckpfeiler speisen\ > *Stempel:* Beispiel – niemals selbst verwenden!\ > *Randnotiz:* aufschreiben – aber in den Umschlag\ > *klein:* Rezept, Schritt 3 · BSI: 5–6 zufällige Wörter · Wortliste: dys2p/wordlists-de **Bild/Visual:** Oben eine kleine Würfel-Skizze: fünf Würfel mit den Augen 6-3-1-2-2, ein Pfeil, daneben „verlieben“. Sie zeigt: Ein Wurf mit fünf Würfeln ergibt ein Wort. Per Klick erscheinen alle sechs Wörter groß nebeneinander (je ein Fragment, schnell hintereinander), unter jedem klein die Würfelzahl: 63122, 22653, 32223, 13634, 22635, 55353. Roter Skizzen-Stempel „Beispiel – niemals selbst verwenden!“ schräg darüber. Unten rechts die vorhandene Umschlag-Skizze `assets/illustrationen/skizze/notfallumschlag.svg` („Notfallblatt“), daneben die Randnotiz. Die Würfel-Skizze ist neu, die vorhandene `passphrase.svg` passt nicht (andere Beispielwörter). Die sechs Wörter stehen als HTML-Text in Caveat auf der Folie, nicht im SVG. Keine Zahl wie „2⁷⁷“ auf der Folie. **Layout-Typ:** illu (Würfel-Skizze und Wortreihe) **Sprechtext:** Egal welcher Tresor: Eins braucht ihr immer. Im Rezept heißt dieser Schritt „Der Schlüssel zum digitalen Leben“, also euer Master-Passwort. Ab jetzt merkt ihr euch nur noch dieses eine. Erinnert ihr euch an LastPass? Gefallen sind vor allem die Tresore mit schwachem Master-Passwort. Also: lang statt kompliziert. Das BSI nennt als eine Möglichkeit fünf bis sechs zufällige Wörter, mit Leerzeichen getrennt. (Klick) Zum Beispiel so. (Pause) Wichtig ist „zufällig“: nicht das Haustier, nicht die Lieblingsband. Würfeln oder den Generator im Passwortmanager nehmen. Und dieses Beispiel ist ab sofort verbrannt, ihr habt es ja alle gesehen. Aufschreiben? Ja, das Rezept sagt sogar: auf Papier. Meine Randnotiz: als Notfallblatt im verschlossenen Umschlag, an einem sicheren Ort. **Fakten:** T1-15 ✓ (Rezept, Schritt 3 „Der Schlüssel zum digitalen Leben“: „Vergib ein starkes, langes Master-Passwort (am besten eine ‚Passphrase‘ aus mehreren Wörtern)“, auf Papier ablegen), T5-21 ✓ (LastPass-Lehre: vor allem Tresore mit schwachem Master-Passwort), T3-02 ✎ (BSI: 5–6 zufällige Wörter mit Leerzeichen, als eine von mehreren Merkstrategien), T7-20 ✓, T7-21 ✓ (EFF: fünf Würfel pro Wort, sechs Wörter ≈ 2^77 Möglichkeiten; nur für Rückfragen, nicht auf die Folie), T7-22 ✓ (deutsche Wortliste dys2p de-7776), T7-23 ✓ (Beispiel-Passphrase mit Würfen, „niemals selbst verwenden“), Faktenblatt 8.2 (Regeln für Laien), Faktenblatt 5.7 (Notfallblatt-Formulierung, gestützt auf T3-28 ✓, T3-20 ✓, T3-09 ✓, T7-30 ✓) --- ## Folie 17 – Entwarnung (12:24–13:03) **Auf der Folie:** > **Entwarnung!**\ > Kein Pflichtwechsel.\ > Länge vor Sonderzeichen.\ > *klein:* BSI 2025/2026 · NIST SP 800-63B-4 (2025) **Bild/Visual:** Zwei Skizzen-Sprechblasen „Regelmäßig ändern!“ und „Mindestens ein Sonderzeichen!“, die per Klick nacheinander mit einem roten Marker-Strich durchgestrichen werden. Unter der ersten in Caveat die Korrektur aus der Passwortbuch-Skizze: „Sommer2020! → Sommer2021!“. Unter der zweiten „passwort → Passwort1!“, danach ein langer orangefarbener Marker-Balken „Länge“. **Layout-Typ:** zweispalter **Sprechtext:** Und jetzt zwei gute Nachrichten zum Durchatmen. (Klick) Erstens: Ihr müsst eure Passwörter nicht mehr regelmäßig ändern. Das BSI nennt den Wechsel ohne Anlass „überholt“. Sonst wird aus „Sommer2020!“ eben „Sommer2021!“, wie vorhin im Passwortbuch. Geändert wird nur, wenn es einen Grund gibt, zum Beispiel ein Datenleck. (Klick) Zweitens: Länge vor Sonderzeichen. Wer zu Sonderzeichen gezwungen wird, macht aus „passwort“ eben „Passwort1!“. Das bringt kaum etwas. Die US-Standardbehörde NIST sagt: Die Länge ist ein Hauptfaktor für die Stärke. **Fakten:** T3-05 ✓ (BSI 2025: „überholt“; anlasslose Wechsel führen „erfahrungsgemäß“ zu schwächeren Passwörtern), T3-06 ✓ (BSI 2026: „keine zeitgemäße Schutzmaßnahme mehr“), T3-07 ✓ (Wechsel mit Anlass), T2-23 ✓ / T3-11 ✓ (NIST: kein periodischer Wechsel, keine Kompositionsregeln), T3-14 ✓ (NIST-Beispiel „password → Password1 → Password1!“, „Password length is a primary factor“); „Sommer2020!/Sommer2021!“ ist ein erfundenes Beispiel aus der eigenen Skizze; Vorsicht: nicht „nie ändern“ und nicht „Komplexität ist egal“ (Faktenblatt 5.7, 9.4) --- ## Folie 18 – Zwei-Faktor: zuerst das E-Mail-Konto (13:03–13:47) **Auf der Folie:** > **Zwei-Faktor-Anmeldung**\ > Passwort + Code vom Handy\ > **Zuerst beim E-Mail-Konto!**\ > *Randnotiz:* gehört zum ersten Schritt\ > *klein:* SMS < Authenticator-App < Passkey (abgeleitet aus BSI-Bewertungen) **Bild/Visual:** Links eine Skizze: Tür mit zwei Schlössern, am einen ein Schlüssel „Passwort“, am anderen ein Handy mit sechsstelligem Code. Darunter eine kleine Dreier-Treppe in Marker-Farben: SMS (Gelb #ffd84d), App (Grün hell), Passkey (Grün #2f8f46). Rechts ein Briefkasten mit großem Generalschlüssel, Caveat „Postfach = Generalschlüssel“. Die Randnotiz steht schräg in Lila über dem Titel. Kein Eisbecher, kein Rezept-Label. Ausweich-Bild für die linke Hälfte: die vorhandene Skizze `assets/illustrationen/skizze/zwei-faktor.svg` (Schlüssel „Passwort“ + Handy mit Code). **Layout-Typ:** zweispalter **Sprechtext:** Jetzt meine wichtigste Randnotiz. Im Rezept kommt die Zwei-Faktor-Anmeldung erst nach der Zubereitung. Für mich gehört sie zum allerersten Schritt. (Pause) Neben dem Passwort braucht es noch etwas Zweites, meist einen Code aus einer App auf dem Handy. Wer euer Passwort ergattert, steht dann in aller Regel trotzdem vor der Tür. Das BSI rät: einschalten, sobald ein Dienst es anbietet. SMS ist besser als nichts, eine App ist besser. Und fangt beim E-Mail-Konto an. Über euer Postfach lassen sich viele andere Passwörter zurücksetzen. Es ist euer Generalschlüssel. **Fakten:** T1-15 ✓ (im Rezept steht 2FA/TOTP als „Nachtisch“ nach der Zubereitung; wir ziehen sie bewusst vor), T3-26 ✓ (2FA aktivieren, sobald möglich; auf SMS verzichten, wenn es Alternativen gibt), T6-29 ✎ (Rangfolge SMS < App < Passkey, abgeleitet, nicht wörtlich BSI), T6-04 ✓ (Echtzeit-Phishing kann SMS- und App-Codes abfangen, deshalb „in aller Regel“), T3-29 ✓ (BSI: beim E-Mail-Konto anfangen), T7-19 ✎ (BSI/ProPK-Checkliste: gehackte E-Mail-Konten besonders kritisch), ✓² stufenleiter.md Stufe 1 (BSI: über das Postfach lassen sich viele Passwörter zurücksetzen), Faktenblatt 5.7 („SMS ist besser als nichts“); Vorsicht: nicht „unangreifbar“ (T2-26 ✓ nur für Rückfragen) --- ## Folie 19 – Passkeys: anmelden ohne Passwort (13:47–14:19) **Auf der Folie:** > **Passkeys: anmelden ohne Passwort**\ > Fingerabdruck, Gesicht oder Geräte-PIN\ > schützt vor üblichem Phishing (gefälschten Webseiten)\ > z. B. GMX · WEB.DE · Deutsche Bahn – dort bleibt das Passwort parallel bestehen\ > *klein:* BSI: Passkeys „resistent gegen übliche Phishing-Angriffe“ · GMX/WEB.DE seit Juli 2026 · Deutsche Bahn seit Februar 2026 **Bild/Visual:** Skizze: Links eine Tür „Dienst“ mit Vorhängeschloss, rechts eine Figur (nur Umriss, Hosentasche betont), aus deren Tasche ein Schlüssel lugt. Caveat-Beschriftungen „Schloss beim Dienst“ und „Schlüssel bleibt bei dir“. Daneben eine schiefe, rot umrandete Tür „Fake-Webseite“, an der der Schlüssel nicht passt (Caveat: „passt nicht“). Keine Streusel, kein Extra-Topping. **Layout-Typ:** illu **Sprechtext:** Und ein Ausblick: Passkeys. Damit meldet ihr euch mit Fingerabdruck, Gesicht oder Geräte-PIN an, ohne Passwort einzutippen. Der Fingerabdruck verlässt dabei nie euer Gerät. Und gegen die üblichen gefälschten Webseiten sind Passkeys immun. GMX, WEB.DE und die Bahn können das schon. Aber Achtung: Dort bleibt euer Passwort parallel bestehen, es muss also trotzdem stark sein. Mein Tipp: Speichert Passkeys gleich in eurem neuen Passwortmanager. **Fakten:** T6-01 ✓ (Schlüsselpaar, kein Geheimnis beim Dienst), T6-02 ✓ (Biometrie bleibt auf dem Gerät, alternativ Geräte-PIN), T6-03 ✓ / T3-27 ✓ (BSI: „resistent gegen übliche Phishing-Angriffe“, „immun gegen die breite Masse bekannter Phishing-Angriffe“), T6-10 ✓ ⚡ (GMX/WEB.DE seit Ende Juli 2026; „Das gewohnte Passwort funktioniert … weiterhin parallel“, BSI: „Backup-Login“), T6-11 ✓ ⚡ (Deutsche Bahn; Anmeldung mit E-Mail und Passwort bleibt möglich), Faktenblatt 7.5 (Passkeys im unabhängigen Manager speichern); Vorsicht: Passkeys nicht „unhackbar“ nennen (Faktenblatt 9.4) --- ## Folie 20 – Das Urteil: Schutz oder Schnickschnack? (14:19–15:11) **Auf der Folie:** > **Schutz oder Schnickschnack?**\ > (Klick) **Schutz.**\ > „Aus Sicht des BSI überwiegt der Nutzen bei weitem.“\ > (Klick) *handschriftlich:* Passwort1**!** ← Schnickschnack\ > *klein:* BSI, Pressemitteilung 09.12.2025 **Bild/Visual:** Die Titelfrage groß wie auf Folie 1. Per Klick „Schutz.“ in Orange (Atkinson 800, sehr groß), darunter das BSI-Zitat. Per zweitem Klick unten rechts in Caveat „Passwort1!“, das Ausrufezeichen mit rotem Marker umkringelt, ein Pfeil, daran „Schnickschnack“. Kein Messgerät. **Layout-Typ:** zitat **Sprechtext:** Zurück zur Abstimmung. Wer sagt jetzt Schutz? (Handzeichen) Und wer bleibt bei Schnickschnack? (Handzeichen) Schnickschnack ist überflüssiger Kram, der auch weg kann. Kann der Passwortmanager weg? Nur, wenn ihr euch für jedes Konto ein eigenes, zufälliges Passwort merken könnt. Und das kann niemand. (Klick) Also: Schutz. Das BSI sagt über Passwortmanager: Der Nutzen „überwiegt bei weitem“. (Klick) Schnickschnack ist nicht der Passwortmanager. Schnickschnack ist das Ausrufezeichen hinten an „Passwort1!“. Sieht sicher aus, bringt kaum etwas. Und mit einem freien Tresor schützt ihr nicht nur eure Konten, sondern auch eure Unabhängigkeit. **Fakten:** T3-22 ✓ (BSI-Fazit wörtlich), L1-06 ✓ (Bitkom: niemand kann sich Dutzende Zugangsdaten merken), T3-14 ✓ (NIST: „Password1!“ als Folge von Sonderzeichen-Zwang), T1-06 ✓ (Unabhängigkeit als DI.DAY-Ziel); „Schnickschnack“ im Alltagssinn: überflüssiges Beiwerk, Zierrat --- ## Folie 21 – Guten Appetit! Los geht's (15:11–15:43) **Auf der Folie:** > **Guten Appetit!**\ > Erster Schritt: dein E-Mail-Konto – neues Passwort aus dem Manager, Zwei-Faktor an\ > Eine Sache pro Monat reicht.\ > **#DIDit**\ > *klein:* Rezept: di.day/de/wechselrezepte/passwords · luise-oranienburg.de · Illustration: Florian Biege für di.day **Bild/Visual:** Lila Vollfläche mit Pixelband wie Folie 1 (Klammer). „Guten Appetit!“ groß in Silkscreen, Orange. Links unten `diday.svg`, rechts die Biege-Illustration (befreites Smartphone). Zwei QR-Codes mit Caveat-Beschriftung: „Rezept“ (wie Folie 15) und „luise“ (`qr-luise-oranienburg.svg`). Danach folgt Folie 22 (Bildnachweise & Lizenzen); sie bleibt während der Umzugshilfe stehen. **Layout-Typ:** schluss **Sprechtext:** Und jetzt: Guten Appetit! Gleich wird gekocht. Holt Handys und Laptops raus, wir richten zusammen ein und ziehen eure Passwörter um. Und euer erster Schritt danach: das E-Mail-Konto. Neues Passwort aus dem Manager, Zwei-Faktor an. Mehr müsst ihr heute nicht schaffen: Eine Sache pro Monat reicht. Und dann, das gehört zum DI.DAY: Erzählt davon und gebt ruhig ein bisschen an. Hashtag DIDit! Danke euch! **Fakten:** T3-29 ✓ (E-Mail zuerst), Faktenblatt 8.4 (erste 30 Minuten: E-Mail-Hauptkonto mit neuem Zufallspasswort und 2FA), Faktenblatt Botschaft 3 und T1-07 ✓ („eine Sache pro Monat“; „Und ein Wechsel reicht auch erst einmal!“), T1-08 ✓ („#DIDit“), T1-29 ✓ (Kling: „Am besten geben wir sogar damit an …“) --- ## Puffer & Kürzungsplan Die Einsparungen sind per Skript nachgerechnet (gleiche Zählweise wie oben: 120 Wörter/Min. plus Zuschläge für Handzeichen, Pausen und Klicks). **Stufe A: bei leichtem Verzug (spart ca. 40 s, danach ca. 15:05)** - Folie 3: nur eine Handzeichen-Frage: „Wer von euch hat mehr als fünfzig Online-Konten?“ Die zweite und dritte Frage, „Genau.“ und die Druckerpatronen-Aufzählung entfallen (ca. 19 s). - Folie 6: 23andMe auf einen Satz kürzen: „Bei 23andMe reichten 2023 rund 14.000 so übernommene Konten, um an Daten von 6,9 Millionen Menschen zu kommen.“ (ca. 7 s) - Folie 8: „Unterwegs habt ihr das Buch nicht dabei, seht ihr am Handy rechts.“ streichen (ca. 6 s). **Stufe B: bei deutlichem Verzug (spart zusätzlich ca. 30 s, danach ca. 14:37)** - Folie 7: TV5Monde-Anekdote streichen (zwei Sätze, ca. 11 s). Schmerzt, weil sie ein Lacher ist, ist aber verzichtbar. - Folie 9: Kantine auf einen Satz kürzen: „Es ist wie in der Kantine: Ihr hängt an einer Küche, Apple, Google oder Microsoft.“ Die Kantine muss genannt bleiben, weil der nächste Satz („Und manchmal streicht die Kantine ein Gericht“) daran anschließt. Die Authenticator-Geschichte bleibt, sie ist das stärkste Lock-in-Beispiel (ca. 8 s). - Folie 10: LastPass-Absatz straffen auf „Bei LastPass wurden 2022 die verschlüsselten Tresore gestohlen, die Webadressen sogar unverschlüsselt. Geknackt werden vor allem Tresore mit schwachem Master-Passwort, also dem einen Passwort, das den ganzen Tresor aufschließt. Merkt euch das.“ Die unverschlüsselten Webadressen (Jury-Punkt F5) und die Erklärung des Master-Passworts (L9, erster Auftritt des Begriffs) bleiben stehen (ca. 5 s). - Folie 14: Vaultwarden auf zwei kurze Sätze: „Und Vaultwarden: Den Rechner, auf dem der Tresor liegt, betreibt ihr selbst. Das ist was für Technikfans oder den Verein mit Admin.“ (ca. 5 s) **Notbremse (spart zusätzlich ca. 1:50 Min., danach ca. 12:48)** - Folien 12–14 überspringen und direkt mit Folie 15 weitermachen. Dort pro Weg einen Satz ergänzen: „KeePassXC: erste Wahl im Rezept, die Datei liegt bei euch.“ · „Proton Pass: Schweiz, bequem.“ · „Bitwarden: Open Source, aber US-Firma, deshalb zweite Wahl.“ Details gibt es in der Demo (netto ca. 1:33). - Folie 5 nur zeigen, mit einem Satz: „Die Stufenleiter: sechs Arten, Passwörter zu verwalten. Jede Stufe weiter ist schon ein Gewinn.“ (ca. 10 s) - Die Abstimmung auf Folie 20 nur mit einer Frage („Wer sagt jetzt Schutz?“, ca. 7 s). **Unantastbar:** Folie 1 (DI.DAY-Einstieg), Folie 4 (Kernbotschaft Wiederverwendung), Folie 11, erster Absatz (gleich gut geschützt, der Unterschied ist die Kette), Folie 16 (Master-Passwort mit Warnstempel), Folie 18 (Zwei-Faktor, E-Mail zuerst), Folie 20–21 (Antwort auf die Titelfrage, erster Schritt, #DIDit). **Puffer, falls Zeit übrig ist (je ca. 15–20 s, nur belegte Fakten)** - Folie 4: „Have I Been Pwned zählt 17,8 Milliarden geleakte Konten. Das sind Konten, nicht Menschen, viele Adressen tauchen mehrfach auf.“ [T2-01 ✓ ⚡, Zahl am Vortragstag neu ablesen] - Folie 8: „Ein Verlag wirbt sogar damit, dass man das Passwortbuch im Bücherregal verstecken kann.“ [L1-24 ✎ ⚡; nur „Dutzende“ Eintragebücher, kein „Bestseller“] - Folie 7: Hawaii 2017/18: Ein Pressefoto aus der Einsatzzentrale der Katastrophenschutzbehörde zeigte einen Post-it mit einem echten Passwort am Monitor. [L1-14 ✓; weder Foto noch Mitarbeitende noch Passwort zeigen] - Folie 11: „Im Verbrauchertest von Test Achats haben alle zwölf Passwortmanager die Sicherheitsprüfung bestanden. LastPass lag sogar in der Spitzengruppe, KeePassXC am Tabellenende. Solche Tests messen Komfort, nicht Abhängigkeit.“ [L2-25 ✓ ⚡] - Folie 18: Microsoft-Studie: Mehr-Faktor-Anmeldung senkt das Risiko einer Kontoübernahme um 99,22 % (Unternehmenskonten, kein „unangreifbar“). [T2-26 ✓] --- ## Mögliche Rückfragen 1. **„Und wenn der Passwortmanager selbst gehackt wird?“** Dann liegt dort ein verschlüsselter Tresor. Bei LastPass hat die Verschlüsselung grundsätzlich gehalten, die Webadressen lagen allerdings unverschlüsselt dabei. Geknackt wurden vor allem Tresore mit schwachem Master-Passwort. Deshalb ist die lange Passphrase so wichtig. Das BSI: Der Nutzen „überwiegt bei weitem“. [T5-20 ✓, T5-21 ✓, T3-22 ✓] 2. **„Ist der Passwortspeicher im Browser nicht genauso gut?“** Er ist viel besser als ein Passwort für alles, und gegen Firefox hatte das BSI keine Bedenken. Wer bei Chrome den Abgleich zwischen Geräten nutzt, sollte dafür eine eigene Passphrase setzen, bei Firefox ein Hauptpasswort. Das DI.DAY-Argument ist die Bindung an einen Konzern, nicht die Sicherheit. [T3-16 ✓, T3-21 ✎, T1-16 ✓, Faktenblatt 5.7] 3. **„Ich habe Angst, mein Master-Passwort zu vergessen.“** Notfallblatt im verschlossenen Umschlag an einem sicheren Ort, und der Vertrauensperson sagen, wo er liegt. Bei KeePassXC gibt es keine Wiederherstellung. Proton (Bezahltarif) und Bitwarden (Premium) haben einen Notfallzugang für Vertrauenspersonen, Vaultwarden auch ohne Premium. [T4-16 ✓, T7-24 ✓, T7-25 ✎, T7-26 ✓, T7-30 ✓] 4. **„Bitwarden ist doch Open Source, warum nur zweite Wahl?“** Stimmt, die Apps sind Open Source und werden regelmäßig geprüft. Aber Bitwarden ist eine US-Firma, und auch in der EU-Region liegen die Tresordaten in Microsofts Rechenzentren (Azure), verschlüsselt. Wer Bitwarden will: vor der Registrierung die EU-Region wählen, oder Vaultwarden selbst betreiben. [T5-01 ✓, T5-02 ✓, T5-03 ✓, T1-14 ✓] 5. **„Was kostet das?“** KeePassXC und KeePassDX sind kostenlos, KeePassium ist mit einer Datenbank gratis (Premium 19,99 €/Jahr). Proton Pass und Bitwarden haben kostenlose Tarife. Bei beiden fehlt im Gratistarif der eingebaute Code-Generator für Zwei-Faktor, dafür gibt es kostenlose Authenticator-Apps. Preise ändern sich. [T4-02 ✓, T4-19 ✎ ⚡, T5-04 ✓ ⚡, T5-13 ✓ ⚡, T5-14 ✓ ⚡] 6. **„Ich habe ein Passwortbuch. Muss ich das jetzt wegwerfen?“** Nein. Das BSI nennt die Papierliste selbst „die Offline-Lösung“, mit Bedingungen: in eine verschließbare Schublade, eine Ersatzliste anlegen. Die Banking-PIN gehört aber nicht neben Handy oder TAN-Generator, das verstößt gegen die Bankbedingungen. [L1-25 ✓, L1-29 ✓] 7. **„Ist die Schweiz nicht unsicher wegen des neuen Überwachungsgesetzes?“** Die geplante Verschärfung (VÜPF) ist nicht in Kraft. Das Parlament hat 2026 eine grundlegende Überarbeitung verlangt. Proton hat Teile seiner Infrastruktur nach Deutschland verlagert, der Sitz bleibt Genf. [T5-16 ✓ ⚡, T5-17 ✓ ⚡] 8. **„In den Nachrichten hieß es, 16 Milliarden Passwörter seien geleakt. Muss ich jetzt alles ändern?“** Das war kein neuer Hack, sondern eine Sammlung alter Daten. Wer Passwörter nicht wiederverwendet und Zwei-Faktor nutzt, muss deshalb nicht in Panik verfallen. Gezielt ändern, wenn ein Dienst ein Leck meldet. Ob die eigene Adresse betroffen ist, zeigen Have I Been Pwned oder der HPI Identity Leak Checker. [T2-03 ✎, T2-04 ✓, T3-07 ✓] 9. **„Ich habe gelesen, KeePassXC war im Test ganz hinten?“** Stimmt. Im Test von Test Achats und Que Choisir (Februar 2026) landete KeePassXC mit Zoho Vault und Enpass am Tabellenende, Proton Pass im Mittelfeld, Bitwarden war Preis-Leistungs-Tipp. Aber alle zwölf Manager haben die Sicherheitsprüfung bestanden. Solche Tests bewerten Komfort und Funktionen zum Prüfzeitpunkt, nicht Abhängigkeit oder Vorgeschichte. Wer viel Komfort will, ist mit Proton Pass besser bedient. [L2-25 ✓ ⚡] 10. **„Wenn Stufe 5 und 6 gleich gut schützen: Warum dann nicht einfach 1Password?“** Beim Schutz spricht nichts dagegen, das BSI hatte keine grundsätzlichen Bedenken. Der Unterschied ist die Abhängigkeit: geschlossener Code, nur im Abo ohne Gratistarif, 2026 ein Drittel teurer, Sitz in Kanada. Das DI.DAY-Rezept nennt 1Password bei den proprietären Anbietern, mit genau diesen Nachteilen: Cloud-Zwang, nicht Open Source, außerhalb der EU. Wer es nutzt und zufrieden ist: kein Sicherheitsproblem. [L2-14 ✓, L2-16 ✓ ⚡, T1-13 ✓] 11. **„Gibt es auch kommerzielle Anbieter aus der EU?“** Ja, zum Beispiel hat Dashlane seine EU-Kundschaft bei einer Tochter in Paris unter Vertrag, es gilt französisches Recht. Der Code ist aber nicht offen, es ist ein reines Cloud-Modell, und den Gratistarif gibt es seit September 2025 nicht mehr. Kommerziell heißt also nicht automatisch außerhalb der EU, aber Offenheit und Bindung sind eine eigene Frage. [L2-24 ✓, T1-13 ✓] --- ## Änderungsprotokoll (Jury) 32 must_fix-Punkte (Laien 12, Bühne 10, Fakten 10). Faktenpunkte gegen `recherche/faktenblatt.md` und `recherche/stufenleiter.md` geprüft. **Jury Laien** - **L1 · Folie 21: „Ein Wechsel pro Monat reicht“ klingt nach monatlichem Passwortwechsel.** Umgesetzt. Folie 21 sagt jetzt „Mehr müsst ihr heute nicht schaffen: Eine Sache pro Monat reicht.“ Auch Folie 1 („jeden Monat eine Sache“), die Schlussfolie und Kernbotschaft 3 sprechen nicht mehr von „Wechsel“ (T1-07, Faktenblatt Botschaft 3). - **L2 · Folie 2–21: Bilder auf einen Rahmen beschränken, Rezept-Labels und Messgerät streichen oder stark verkleinern.** Umgesetzt. Das Schnickschnack-o-Meter ist ganz gestrichen, die Rezept-Labels („ZUTATEN“, „ZUBEREITUNG“, „GEHEIMREZEPT“, „NACHTISCH“, „TOPPING“) ebenso. Einziger wiederkehrender Bildrahmen ist die Stufenleiter, das Abhängigkeits-Lämpchen ist als kleine Kette in sie eingebaut. Küchenbilder gibt es nur noch als Kantine (Folie 9) und Restaurant (Folie 10, einmal aufgegriffen auf Folie 11). Gestrichen: Liebesschlösser, Einheitsbrei, Zettelwirtschaft, Omas Rezeptbuch, „selbst gekocht / geliefert / offene Küche“ pro Favorit, Eisbecher, Streusel. Das Rezept bleibt als gesprochener roter Faden (Charakter der Variante), ist aber nur auf Folie 2 als Karte zu sehen. Dazu kommen drei kleine Randnotizen und die drei Rezept-Stempel. - **L3 · Folie 2/20: Schnickschnack nicht umdeuten, Titelfrage im Alltagssinn beantworten.** Umgesetzt. Folie 2 definiert keinen Pol mehr, sondern lässt abstimmen. Folie 20: „Schnickschnack ist überflüssiger Kram, der auch weg kann. Kann der Passwortmanager weg? … Und das kann niemand.“ Die Wendung „Schnickschnack ist nicht der Passwortmanager“ bleibt erhalten, zielt jetzt aber auf echten Zierrat (das Ausrufezeichen in „Passwort1!“, „Sieht sicher aus, bringt kaum etwas“) statt auf den Zettel des Publikums. Folie 17 hat vorher erklärt, dass dieses Ausrufezeichen vom Sonderzeichen-Zwang kommt, die Pointe trifft also die Regel und nicht die Zuhörenden. - **L4 · Folie 8: Etikett „Omas Rezeptbuch“ streichen.** Umgesetzt, im Titel, im Sprechtext und im Kürzungsplan. - **L5 · Folie 18: 2FA nicht als „Nachtisch“.** Umgesetzt. Kein Nachtisch-Label, kein Eisbecher. Stattdessen die wichtigste Randnotiz: „Im Rezept kommt die Zwei-Faktor-Anmeldung erst nach der Zubereitung. Für mich gehört sie zum allerersten Schritt.“ - **L6 · Folie 19: „Phishing-Masche“ durch „gefälschte Webseiten“ ersetzen, Extra-Topping streichen.** Umgesetzt. Sprechtext „gegen die üblichen gefälschten Webseiten“. Die Folie zeigt „schützt vor üblichem Phishing (gefälschten Webseiten)“. Das Extra-Topping mit Selbsthosting, Vaultwarden und Nextcloud ist gestrichen, auch im Kürzungsplan. - **L7 · Folie 12/14: „Sync“ → „Abgleich“, „Azure“ → „Microsofts Rechenzentren“, „Maximale Souveränität!“ streichen.** Umgesetzt im Sprechtext und auf den Folien (Folie 12 „Abgleich“, Folie 13 „gleicht sich selbst ab“, Folie 14 „Microsoft-Rechenzentren“). „Maximale Souveränität!“ ist gestrichen. Nur in Rückfrage 2 und 4 stehen „Synchronisierung“ bzw. „(Azure)“ noch erklärend für Nachfragen. - **L8 · Folie 9: „kann sogar Passkeys“ streichen.** Umgesetzt. - **L9 · Folie 10/12: Master-Passwort beim ersten Auftauchen erklären.** Umgesetzt auf Folie 10: „Das ist das eine Passwort, das den ganzen Tresor aufschließt.“ Der Kürzungsplan (Stufe B) sichert, dass die Erklärung auch in der gekürzten Fassung bleibt. - **L10 · Folie 6: „Liebesschlösser an der Kölner Hohenzollernbrücke“ passt nicht zur Illustration.** Umgesetzt. Der Sprechtext folgt der Skizze: „Ein Schlüssel für alle Schlösser: E-Mail, Bank, Shop, Social Media“ und „Kommt dort jemand an eine Kopie, gehen alle Schlösser auf.“ - **L11 · Folie 16: „≈ 2⁷⁷“ von der Folie, „fünf Würfel“ für sechs Wörter.** Umgesetzt. Keine 2⁷⁷ mehr auf der Folie (nur noch in den Fakten). Das Visual zeigt jetzt „fünf Würfel → ein Wort“ (6-3-1-2-2 → „verlieben“), unter jedem der sechs Wörter steht seine Würfelzahl. - **L12 · Folie 4: „Wird ein Dienst gehackt, und das passiert milliardenfach“ ungenau und alarmistisch.** Umgesetzt. Dörr wird jetzt wörtlich zitiert (siehe F1). **Jury Bühne** - **B1 · Folie 2, 6–11, 20: Schnickschnack-o-Meter streichen oder umbauen; die Nadel darf bei Stufe 5 nicht schon „echter Schutz“ zeigen.** Umgesetzt. Das Messgerät ist gestrichen. Die Titelfrage wird erst auf Folie 20 beantwortet, getragen von der Abstimmung am Anfang und am Ende. - **B2 · Folie 6–11: höchstens ein dauerhaftes Overlay auf den Vollbildern.** Umgesetzt. Statt Fotos gibt es die Skizzen. Einziges dauerhaftes Overlay ist die kleine Stufenleiter oben rechts. Messgerät und Rezept-Label sind gestrichen, Fragmente erscheinen nur kurz und neben der Skizze. - **B3 · Folie 6: Liebesschlösser bildneutral formulieren.** Umgesetzt (siehe L10). - **B4 · Folie 6: BSI einmal ausschreiben.** Umgesetzt. Erste Nennung auf Folie 6: „Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI“. - **B5 · Folie 9: Microsoft Authenticator klingt nach Datenverlust.** Umgesetzt: „hat 2025 die Passwortfunktion seiner Authenticator-App abgeschaltet … Die Passwörter blieben im Microsoft-Konto, nutzbar über Edge.“ (L2-08, T5-23) - **B6 · Folie 4: Dörr-Paraphrase näher am Wortlaut.** Umgesetzt (siehe F1). - **B7 · Folie 12: „das BSI erkennt es an“ klingt nach Empfehlung.** Umgesetzt: „Und das BSI hatte in seiner Untersuchung keine Bedenken.“ (T3-20; Faktenblatt 9.4) - **B8 · Folie 1: Titel und Titelfrage groß zeigen.** Umgesetzt. Der Vortragstitel ist jetzt die Hauptzeile der Folie, „Schutz oder Schnickschnack?“ die größte Zeile, „HEUTE IST DI.DAY“ der Kicker darüber. - **B9 · Folie 19: Passwort bleibt bei GMX, WEB.DE und Bahn parallel; Extra-Topping streichen.** Umgesetzt: „Aber Achtung: Dort bleibt euer Passwort parallel bestehen, es muss also trotzdem stark sein.“ Das steht auch auf der Folie. Das Extra-Topping ist gestrichen (T6-10, T6-11). - **B10 · Folie 16: 2⁷⁷ von der Folie, Würfel-Widerspruch.** Umgesetzt (siehe L11). **Jury Fakten** - **F1 · Folie 4: Dörr-Zitat korrekt wiedergeben.** Umgesetzt. Im Sprechtext steht der volle Wortlaut nach T2-16: „Wurde ein Dienst gehackt und die Zugangsdaten sind offen – was milliardenfach passiert –, probieren Kriminelle diese erbeuteten Zugangsdaten überall aus.“ Auf der Folie steht der zweite Teil wörtlich mit Auslassungszeichen. - **F2 · Folie 4 und Kernbotschaft 1: „selten“ ersetzen.** Umgesetzt. Folie 4: „Das Hauptproblem ist nicht das schwache Passwort. (Klick) Sondern das wiederverwendete.“ Kernbotschaft 1 entsprechend (Faktenblatt Botschaft 1). - **F3 · Folie 11 und Kernbotschaft 2: „unabhängig · jederzeit umziehbar“ streichen oder einschränken.** Umgesetzt. Folie 11: „offener Code · Tresor bei dir, beim Schweizer Anbieter oder auf eigenem Server“. Im Sprechtext steht nichts mehr von „jederzeit ausziehen“. Kernbotschaft 2 ist neu formuliert und nennt Bitwarden-Cloud ausdrücklich als zweite Wahl. Auf Folie 14 hängt an Bitwarden sichtbar ein Stück Kette. Die Fakten-Zeile nennt T6-20/T6-21 als Vorsicht. - **F4 · Folie 10: Rechtsraum nur für die beiden Genannten.** Umgesetzt: „Und es gilt fremdes Recht: bei LastPass das der USA, bei 1Password das Kanadas.“ Das Schild lautet „LastPass: USA · 1Password: Kanada“. Neue Rückfrage 11 zu Dashlane (EU-Vertrag über Paris, L2-24). - **F5 · Folie 10: unverschlüsselte Webadressen und „vor allem“ ergänzen.** Umgesetzt: „die Webadressen lagen sogar unverschlüsselt dabei“ und „Geknackt werden seitdem vor allem Tresore mit schwachem Master-Passwort.“ (L2-19, T5-20, T5-21) Auch Rückfrage 1 ist ergänzt. - **F6 · Folie 10/11: Stufe 5 und 6 mit derselben Nadelstellung, nur das Abhängigkeits-Lämpchen unterscheidet sich; Rückfrage zu Test Achats.** Umgesetzt, ohne Messgerät: In der Stufenleiter stehen Stufe 5 und 6 auf gleicher Höhe, sie unterscheiden sich nur durch die Kette. (Am 2026-10-31 geändert: Stufe 6 steht jetzt eine Stufe höher, weil gleiche Höhe auf Folie 5 wie ein Fehler wirkte.) Folie 11 sagt es ausdrücklich: „Beim Schutz liegen gute Abo-Tresore und unsere Favoriten gleichauf. Der Unterschied ist die Kette.“ Neue Rückfrage 9 (KeePassXC am Tabellenende, L2-25), dazu Rückfrage 10 und ein Puffer-Satz auf Folie 11. - **F7 · Folie 9: „Passwortfunktion abgeschaltet“, Passwörter blieben im Microsoft-Konto bzw. in Edge.** Umgesetzt (siehe B5). - **F8 · Folie 16: „Gefallen sind vor allem die Tresore mit schwachem Master-Passwort“.** Umgesetzt, wörtlich so (T5-21). - **F9 · Folie 19: „schützt vor üblichem Phishing“ auf die Folie, Passwort bleibt parallel.** Umgesetzt. Folientext „schützt vor üblichem Phishing (gefälschten Webseiten)“, dazu der Hinweis auf das parallele Passwort auf der Folie und im Sprechtext (T6-03, T6-10, T6-11). - **F10 · Folie 18: „steht dann trotzdem vor der Tür“ abschwächen.** Umgesetzt: „steht dann in aller Regel trotzdem vor der Tür“ (T6-04: Echtzeit-Phishing kann SMS- und App-Codes abfangen). **Weitere Schwächen aus den Jurys (keine must_fix-Punkte)** - *Einstieg zu lang (1:17), Schluss 0:57:* Teilweise umgesetzt. Der Sprechtext auf Folie 1–2 ist von 147 auf 131 Wörter gekürzt, das Messgerät samt Erklärung ist weg. Die neue Abstimmung per Handzeichen frisst die Ersparnis wieder auf, der Einstieg bleibt bei 1:17. Folie 20–21 dauern 1:24 statt 0:57, weil dort die zweite Abstimmung und die Auflösung der Titelfrage liegen. Beides ist bewusst so: Die Titelfrage gehört dem Publikum, das ist der Kern dieser Variante. Ausgeglichen wird das in den Stufen 1–5 (5:44 statt 7:00), die Gesamtzeit liegt bei ca. 15:36. - *Stufen-Folien zu dicht (146 bzw. 142 Wörter):* Umgesetzt. Die längste Stufen-Folie hat jetzt 124 Wörter (Folie 6 und 10), Folie 9 hat 115 (siehe Folienübersicht). - *Interaktion nur am Anfang:* Jetzt verteilt auf Folie 2 (Abstimmung), 3, 7, 9 („Wer kennt das?“), 15 (stilles Mitüberlegen) und 20 (zweite Abstimmung). - *„kaffeetasse“ vermischt schwaches Passwort und Ort:* Folie 7 sagt jetzt ausdrücklich: „Aber hier geht's nicht ums Passwort, sondern um den Ort.“ - *Formelhafter Refrain „Schnickschnack-o-Meter: …“:* gestrichen. Jede Stufe endet mit einem eigenen Satz aus der Recherche („Schutz vor dem Internet, aber nicht vor dem Schreibtisch“, „Gefährlich ist nicht das Papier, sondern der Ort“, „nicht unsicher, aber gebunden“, „Wem gehört der Tresor?“). - *Widersprüchliche Kochbilder bei den Favoriten:* gestrichen. „Offene Küche“ steht nur noch einmal auf Folie 11 als Gegenstück zum Restaurant. - *Unerklärte Begriffe im Schlussdrittel:* Phishing wird als „gefälschte Webseiten“ erklärt, Server als „der Rechner, auf dem der Tresor liegt“, Open Source über „die Küche ist offen, alle können in den Code schauen“. Azure, Sync, Nextcloud und „selbst hosten“ fallen im Sprechtext nicht mehr. **Bewahrte Stärken (graft_candidates):** „Heute ist DI.DAY.“ als erster Satz und die luise-Tagline (Folie 1) · „lesen wir das Rezept zusammen, danach wird gemeinsam gekocht“ (Folie 2) · „Das ist kein persönliches Versagen. Das ist einfach zu viel für einen Kopf.“ (Folie 3) · Typo-Folie zur Kernbotschaft mit HPI Potsdam (Folie 4) · BSI-Überraschung „Offline-Lösung“, Angehörige, Ersatzliste, „Gefährlich ist nicht das Papier, sondern der Ort“ (Folie 8) · Firefox-Befund des BSI, „nicht unsicher“ (Folie 9) · Restaurant mit geschlossener Küche und faire LastPass-Kurzfassung mit „Merkt euch das.“ (Folie 10) · Schutz und Abhängigkeit getrennt, jetzt als Kette an der Stufenleiter (Folie 9–11, 14) · eine Folie pro Favorit, .kdbx-Ökosystem, Rezept-Stempel (Folie 12–14) · „Wer es schon nutzt: kein Sicherheitsproblem, sondern eine Frage der Unabhängigkeit“ (Folie 14) · „Die beste Wahl ist die, die ihr heute wirklich einrichtet.“ (Folie 15) · „Das BSI nennt als eine Möglichkeit …“ und „Dieses Beispiel ist ab sofort verbrannt“ (Folie 16) · „zwei gute Nachrichten zum Durchatmen“, „Länge vor Sonderzeichen“ (Folie 17) · „Postfach = Generalschlüssel“ und SMS < App < Passkey als Fußnote (Folie 18) · „Schnickschnack ist nicht der Passwortmanager …“ und „schützt nicht nur eure Konten, sondern auch eure Unabhängigkeit“ (Folie 20; die Fortsetzung „… ist das gute Gefühl, mit einem starken Passwort überall sicher zu sein“ ist bewusst nicht wörtlich übernommen, weil sie genau die Umdeutung ist, die Laien-Punkt L3 streichen lässt; der Gedanke lebt als „Sieht sicher aus, bringt kaum etwas“ am echten Zierrat „Passwort1!“ weiter) · konkreter erster Schritt „Neues Passwort aus dem Manager, Zwei-Faktor an.“ (Folie 21) · Rückfragen 5, 6 und 8. **Abschlussprüfung dieser Fassung (26.10.2026)** Ein früherer Überarbeitungslauf brach vor der letzten Prüfung ab. Diese Fassung baut auf ihm auf und wurde Punkt für Punkt gegen die Jury-Befunde abgeglichen. - *Vollständigkeit:* Aus der Jury-Datei per Skript gezählt: genau 32 must_fix-Punkte (Laien 12, Bühne 10, Fakten 10). Alle 32 stehen oben einzeln, alle sind umgesetzt, keiner ist offen. Begriffe, die die Jurys streichen ließen („Omas Rezeptbuch“, „Nachtisch“, „Topping“, „Phishing-Masche“, „Sync“, „Azure“, „Maximale Souveränität“, Liebesschlösser, „2⁷⁷“, „selten“, „jederzeit umziehbar“, Schnickschnack-o-Meter, „Ein Wechsel pro Monat“), kommen in keinem Folientext und keinem Sprechtext mehr vor, nur noch in Fakten-Zeilen, Rückfragen oder diesem Protokoll. - *Zahlen:* Keine Platzhalter mehr (die Suche nach dem Platzhalter-Kürzel findet nichts). Wortzahl, Dauer je Folie, Zeitcodes, Folienübersicht, Zeitplan und die Einsparungen im Kürzungsplan sind per Skript gezählt: 1.735 Wörter, ca. 15:36 Min. inkl. Handzeichen, Pausen und Klicks, reine Sprechzeit ca. 14:28 (Ziel: 1.650–1.850 Wörter, 14–16 Min.). - *Fakten nachgeprüft* gegen `recherche/faktenblatt.md` und `recherche/stufenleiter.md`, dabei noch korrigiert: - Folie 14 und Rückfrage 4: „auch in der EU-Region liegen die Tresordaten in Microsofts Rechenzentren“ statt „die EU-Region läuft in Microsofts Rechenzentren“. Belegt ist Azure nur für die Tresordaten (Faktenblatt 9.2, T5-02). - Rückfrage 6: „Das BSI nennt die Papierliste selbst ‚die Offline-Lösung‘, mit Bedingungen“ statt „erkennt … an“. Das ist dieselbe Vorsicht wie bei Bühnen-Punkt B7. - Rückfrage 10: Die Rezept-Gründe zu 1Password stehen jetzt wörtlich nach T1-13 da (Cloud-Zwang, nicht Open Source, außerhalb der EU), statt eines „deshalb“, das so nicht im Rezept steht. - Rückfrage 2: „Sync-Passphrase“ durch „Abgleich zwischen Geräten … eigene Passphrase“ ersetzt (passend zu L7). - Folie 1, Fakten-Zeile: T1-22 („in vielen Städten“) als Reserve markiert, weil der Sprechtext die Städte gar nicht nennt. - *Charakter geschärft:* - Folie 1: „Heute ist DI.DAY.“ ist wieder der allererste Satz (Bühnen-Stärke 1), der Gruß kommt danach. - Folie 20: „Sieht sicher aus, bringt kaum etwas.“ erklärt die Schlusspointe, ohne Schnickschnack umzudeuten (L3). - *Kürzungsplan nachgerechnet:* Stufe B sparte nicht „ca. 1 Min.“, sondern ca. 30 s. Das steht jetzt korrekt da, ebenso die Werte für Stufe A (ca. 40 s) und die Notbremse (ca. 1:50). Drei gekürzte Fassungen sind repariert: - Folie 9: Die Kantine bleibt genannt, weil der nächste Satz an sie anschließt. - Folie 10: Die unverschlüsselten Webadressen (F5) und die Erklärung des Master-Passworts (L9) bleiben auch gekürzt stehen. - Folie 14: Statt des unerklärten „Server“ steht „der Rechner, auf dem der Tresor liegt“. - *Bilder:* Stufe 1–3 verweisen auf die fertigen Skizzen unter `assets/illustrationen/skizze/`, keine Fotos. Alle übrigen Grafiken sind im Skizzen-Stil beschrieben. Wo eine vorhandene Skizze passt, ist sie als Basis genannt (Folie 9, 11, 13, 14, 15, 16, 18), ebenso eine Notlösung für das Restaurant auf Folie 10. Neu zu zeichnen sind nur die Grafiken, die den Charakter dieser Variante tragen: Stufenleiter mit Kette, Rezeptkarte, Restaurant, .kdbx-Ökosystem. **Korrekturen nach der Prüfung des Foliensatzes (26.10.2026)** - *Folie 6, Zahl:* Die Bitkom-Frage lautet „dasselbe Passwort für verschiedene Dienste“, nicht „überall“. Folie: „33 % nutzen ein Passwort für mehrere Dienste“, Quellenzeile mit der Spanne „Bitkom-Umfragen 2020–2025: 29–36 %“ (stufenleiter.md C: „die Spanne erwähnen“, L1-01). Sprechtext: „… nutzt dasselbe Passwort für mehrere Dienste, sagt der Bitkom. Und das seit Jahren: je nach Umfrage 29 bis 36 Prozent.“ Dadurch +14 Wörter (+7 s): Folie 6 dauert 1:11, alle Zeitcodes ab Folie 7, die Summen (1.749 Wörter, ca. 15:43 Min.) und die Restzeiten im Kürzungsplan sind entsprechend angepasst. - *Folie 12, Stempel:* „erste Wahl“ ist die Einordnung im Faktenblatt, kein Wortlaut des Rezepts. Der Stempel zitiert jetzt das Rezept: „die lokale Zutat“ (T1-11). Folie 14 („zweite Wahl“) ist wörtlich belegt und bleibt. - *Folie 19:* Quellenzeile ergänzt (T6-03, T6-10, T6-11). - *Folie 21/22:* Der Foliensatz hat 21 Vortragsfolien plus Folie 22 „Bildnachweise & Lizenzen“; diese bleibt während der Umzugshilfe stehen.