# Faktenblatt: Passwort-Management **Impulsvortrag (ca. 15 Minuten) zum nächsten Di.day bei Merlina Minds** Stand: 2026-10-25 --- ## 1. Zweck und Lesehilfe **Zweck.** Dieses Faktenblatt ist die Quellengrundlage für die Folien und für Rückfragen aus dem Publikum. Es fasst sieben Rechercheteile zusammen: Di.day, Bedrohungslage, offizielle Empfehlungen, KeePassXC, Cloud-Manager und Bordmittel, Passkeys und 2FA sowie den Umzug in der Praxis. Jede Aussage hat ein unabhängiger Faktenprüfer gegen die angegebenen Quellen geprüft. **Rahmen.** Gemischtes Publikum, überwiegend Laien ohne technisches Vorwissen. Haltung im Sinne des Di.day (weg von der Abhängigkeit von Big Tech): eine klare Empfehlung für Open-Source- bzw. europanahe Passwortmanager und konkrete erste Schritte. Nach dem Vortrag (außerhalb der 15 Minuten) folgen Live-Demo und Umzugshilfe vor Ort. **Markierungen** | Zeichen | Bedeutung | |---|---| | ✓ | vom Prüfer bestätigt | | ✎ | vom Prüfer korrigiert; hier steht bereits die korrigierte Fassung | | (Prüfer-Ergänzung) | vom Prüfer zusätzlich gefundener Fakt mit Primärquelle, ohne eigenes Prüfurteil | | ⚡ | volatil: ändert sich schnell (Preise, Versionen, Menüs), kurz vor dem Vortrag neu prüfen | | `[T4-10 ✓ · 2025-11-17]` | Fundstelle in der Recherche mit Prüfurteil und Stand-Datum. T1 = Di.day, T2 = Bedrohungslage, T3 = offizielle Empfehlungen, T4 = KeePassXC, T5 = Cloud & Bordmittel, T6 = Passkeys & 2FA, T7 = Umzug & Praxis | **Grenzen der Prüfung.** Mehrere Prüfer hatten ihr Websuche-Kontingent aufgebraucht. Sie haben deshalb per Direktabruf der Primärquellen geprüft (Herstellerseiten, Dokumente von BSI, NIST und ANSSI, GitHub-API, Fachpresse). Eine breite Gegensuche nach widersprechenden Quellen war nur eingeschränkt möglich. Kein Prüfurteil lautete „widerlegt“. Zwei Aussagen waren „nicht belegbar“; sie stehen, zusammen mit zurückgewiesenen Details und reinem Trainingswissen, ausschließlich in Abschnitt 9. **Inhalt** 1. Zweck und Lesehilfe 2. Drei Kernbotschaften 3. Di.day – Einordnung 4. Zahlen & Bedrohungslage 5. Offizielle Empfehlungen 6. Empfohlene Werkzeuge 7. Passkeys & 2FA 8. Praxis: Umzug, Master-Passphrase, Notfallplan, erste 30 Minuten, Live-Demo 9. Nicht behaupten / Vorsicht 10. Offene Fragen 11. Folien-Ideen & Analogien --- ## 2. Drei Kernbotschaften Aus den geprüften Fakten abgeleitet. Jede Botschaft lässt sich mit den genannten Fundstellen belegen. ### Botschaft 1: „Das Hauptproblem ist nicht das schwache Passwort, sondern das wiederverwendete.“ - Ein Drittel der Internetnutzer in Deutschland nutzt dasselbe Passwort für verschiedene Dienste (Bitkom 2025). `[T2-17 ✓]` - Angreifer müssen oft nichts knacken: Erbeutete Zugangsdaten werden „überall ausprobiert“ (HPI). Beispiel Roku: 576.000 Konten übernommen, ohne dass Roku selbst gehackt wurde. `[T2-16 ✓, T2-24 ✓]` - Ein bereits geleaktes Passwort fällt in Sekunden, ein langes zufälliges praktisch nie (Hive Systems 2026). In Unternehmen ist ein schon kompromittiertes Passwort mehr als viermal so wahrscheinlich wie ein „schwaches“ (Verizon DBIR 2026). `[T2-05 ✓, T2-07 ✓, T2-11 ✓]` - Folgerung: für jedes Konto ein eigenes, zufälliges Passwort. Das schafft niemand im Kopf, dafür gibt es Passwortmanager. Das BSI: „Aus Sicht des BSI überwiegt der Nutzen bei weitem.“ `[T3-22 ✓]` ### Botschaft 2: „Ein Tresor, der dir gehört.“ - Drei Wege, im Einklang mit dem offiziellen DI.DAY-Wechselrezept: **lokal** (KeePassXC, dazu KeePassDX bzw. KeePassium), **bequem in der Cloud** (Proton Pass, Schweiz), **selbst gehostet** (Vaultwarden mit den Bitwarden-Apps). Bitwarden in der Cloud nur als offen benannte Abweichung: US-Unternehmen, auch die EU-Region läuft auf Microsoft Azure. `[T1-11 ✓, T1-12 ✓, T1-14 ✓, T5-02 ✓]` - Offen und geprüft: KeePassXC hat ein ANSSI-Sicherheitsvisum, das das BSI anerkennt, und in der BSI-Marktuntersuchung gab es „keine Bedenken“. Proton Pass wurde 2023 und 2026 auditiert, Bitwarden lässt sich jährlich prüfen. `[T4-10 ✓, T3-20 ✓, T5-15 ✓, T5-06 ✓]` - Das wichtigste Schloss ist die Master-Passphrase: Bei LastPass wurden 2022 die verschlüsselten Tresore gestohlen; geknackt werden seither vor allem solche mit schwachem Master-Passwort. Zur Passphrase gehört ein Notfallblatt. `[T5-20 ✓, T5-21 ✓, T7-30 ✓]` ### Botschaft 3: „Weniger Stress, mehr Schutz – eine Sache pro Monat.“ - Entlastung: Pflichtwechsel ohne Anlass sind überholt (BSI 2025 und 2026, NIST 2025). `[T3-05 ✓, T3-06 ✓, T2-23 ✓]` - Zuerst das E-Mail-Konto absichern, denn darüber lassen sich andere Konten zurücksetzen. Dort 2FA einschalten. `[T3-29 ✓, T7-19 ✎]` - Wo angeboten: Passkeys. Sie sind phishing-resistent und lassen sich seit iOS 26 (Herbst 2025) bzw. Android (Juni 2026) zwischen Passwortmanagern umziehen. `[T6-03 ✓, T6-16 ✓, T6-17 ✓]` - Haltung des Di.day: „entspannte Rebellion“, „Und ein Wechsel reicht auch erst einmal!“ Der Wechsel dieses Monats heißt Passwortmanager. `[T1-07 ✓]` --- ## 3. Di.day – Einordnung ### 3.1 Steckbrief | | | |---|---| | Name | DI.DAY, Digital Independence Day; deutsch auch DUT, „Digitaler Unabhängigkeitstag“ | | Motto | „Jeden ersten Sonntag auf die gute Seite wechseln!“ | | Rhythmus | jeden ersten Sonntag im Monat | | **Nächster Termin** | **Sonntag, 1. November 2026** (offiziell angekündigt); danach nach der Regel So 6.12.2026 und So 3.1.2027 (nicht offiziell angekündigt) | | Ausgerufen | 27.12.2025 auf dem 39C3 in Hamburg (Marc-Uwe Kling, Linus Neumann) | | Erster Termin | Sonntag, 4.1.2026 | | Koordination | Save Social – Networks For Democracy gUG, Hamburg (Geschäftsführer Björn Staschen) | | Getragen von | 49 „DI.DAY Initiators“ (u. a. Digitalcourage, Wikimedia Deutschland, Gesellschaft für Informatik, Nextcloud); der CCC unterstützt öffentlich | | Kernmaterial | 25 „Wechselrezepte“ im Kochrezept-Format; zum Thema: „Passwörter in Deiner Hand“ | | Kalender | events.diday.org (früher termine.di.day) | ### 3.2 Fakten im Einzelnen - **Koordination.** Laut Website ist der DI.DAY ein „gemeinsames Projekt vieler Organisationen, koordiniert von Save Social – Networks For Democracy“. Träger ist die Save Social – Networks For Democracy gUG (Geschäftsführer und Pressesprecher Björn Staschen, HRB 193903, Amtsgericht Hamburg). Zur Wortwahl: di.day selbst spricht von einer „Bewegung aus der Mitte der Gesellschaft“; „Graswurzelbewegung“ ist eine Zuschreibung. `[T1-01 ✓ · 2026-10-25]` Quellen: https://di.day/de/impressum · https://di.day/de · https://savesocial.eu/impressum/ · https://www.it-daily.net/shortnews/ccc-unabhaengigkeitstag - **Start.** Ausgerufen am Samstag, 27.12.2025, auf dem 39. Chaos Communication Congress (39C3) in Hamburg, im Talk „Die Känguru-Rebellion: Digital Independence Day“ von Marc-Uwe Kling und Linus Neumann (56 Minuten). Am selben Tag erschien die Mitteilung „CCC unterstützt den monatlichen Digital Independence Day“. `[T1-02 ✓ · 2025-12-27]` Quellen: https://media.ccc.de/v/39c3-die-kanguru-rebellion-digital-independence-day · https://www.ccc.de/de/updates/2025/ccc-unterstutzt-den-monatlichen-digital-independence-day · https://www.heise.de/news/39C3-Am-Di-Day-weg-von-Tech-Monopolen-aus-den-USA-und-China-11125535.html - **Erster Termin.** CCC: „Die ersten Workshops zum Digital Independence Day finden schon am 4. Januar statt.“ Der 4.1.2026 war ein Sonntag. Eine Bilanz mit Teilnehmerzahlen gibt es nicht. `[T1-03 ✓ · 2025-12-28]` Quellen: https://www.ccc.de/de/updates/2025/ccc-unterstutzt-den-monatlichen-digital-independence-day · https://www.heise.de/news/39C3-Am-Di-Day-weg-von-Tech-Monopolen-aus-den-USA-und-China-11125535.html - **Rhythmus.** Jeden ersten Sonntag im Monat. FAQ: „Die Kirchen hatten einen guten Riecher dafür, wann Menschen vielleicht ein wenig Zeit haben – sonntagsmorgens?“ und „Der DID ist keine Pflicht, sondern eine Freude. Und der nächste DID kommt bestimmt.“ `[T1-04 ✓ · 2026-10-25]` Quellen: https://di.day/de/faq · https://di.day/de - **Nächster Termin.** Startseite am 25.10.2026: „Nächster DI.DAY am 1. November“; auf „Termine und Aktionen“: „Der nächste DI.DAY am 1. November - richtig was los!“. Die Wochentage sind nachgerechnet; Dezember und Januar sind nur aus der Regel abgeleitet. `[T1-05 ✓ ⚡ · 2026-10-25]` Quellen: https://di.day/de · https://di.day/de/termine-und-aktionen · https://di.day/en/dates-and-campaigns - **Begründung.** Startseite: „Unser digitales Leben befindet sich in der Hand weniger Überreicher. Mit der Monopolstellung ihrer Unternehmen bestimmen Menschen wie Elon Musk, Jeff Bezos oder Mark Zuckerberg … Das bedroht unsere Freiheit. Die gute Nachricht: Wir können ihnen diese Macht auch wieder nehmen!“ Die FAQ schreibt „Superreicher“ und nennt X, Meta, Microsoft, Amazon, Apple, Spotify und ByteDance (TikTok). FAQ: „Wir geben Big Tech diese Macht derzeit, und wir können sie Big Tech auch wieder nehmen.“ Ziel: „demokratiefreundliche digitale Alternativen“. `[T1-06 ✓ · 2026-10-25]` Quellen: https://di.day/de · https://di.day/de/faq - **Haltung.** FAQ: „Der DID ist ‚entspannte Rebellion‘“, „Und ein Wechsel reicht auch erst einmal!“, es gehe „nicht um Purismus oder reine Lehre“. Als Einstieg nennt die FAQ einen alternativen Browser oder eine europäische Suchmaschine. `[T1-07 ✓ · 2026-10-25]` Quellen: https://di.day/de/faq · https://futurezone.at/digital-life/digital-independence-day-einmal-im-monat-gemeinsam-weg-von-big-tech/403125933 - **Auswahlkriterien.** FAQ: „Wir sind nicht die Stiftung Warentest“. Kriterien sind „mehr Datenschutz …, mehr souveränen Umgang mit eigenen Daten, weniger Abhängigkeit von einem Anbieter (Locked-In) und mehr Wahlfreiheit“. „Wir finden zum Beispiel Open-Source-Projekte großartig – aber nicht alle Empfehlungen beruhen darauf“. Zu großen europäischen Firmen: „Purismus und reine Lehre sind nicht unser Mantra“. `[T1-19 ✓ · 2026-10-25]` Quelle: https://di.day/de/faq - **Fachbeirat.** Vier Personen beraten die Rezepte und entscheiden im Konsens: Jutta Horstmann (ehemals Co-CEO der Heinlein-Gruppe, ehemals Geschäftsführerin von ZenDiS), Prof. Dr. Harald Wehnes (Gesellschaft für Informatik), Sascha Foerster (bonn.digital, zugleich Mitinitiator und Beirat von Save Social) und Svea Eckert (Tech-Journalistin). Nur die englische Beiratsseite ist veraltet („Co-CEO Heinlein Group“). Der Beirat ist also nicht völlig unabhängig vom Koordinator. `[T1-20 ✎ · 2026-10-25]` Quellen: https://di.day/de/faq · https://di.day/de/fachbeirat · https://di.day/en/advisory-panel - **Initiatoren.** Auf der Partnerseite stehen am 25.10.2026 genau 49 „DI.DAY Initiators“, darunter Digitalcourage, Digitale Gesellschaft, D64, Gesellschaft für Informatik, Wikimedia Deutschland, Nextcloud, mailbox.org, Tuta (als „Tutao GmbH“), Ecosia, Mastodon, Codeberg, Greenpeace, ver.di Hamburg, EDRi und epicenter.works. Der CCC steht nicht auf der Liste, unterstützt aber öffentlich. FAQ: „Der Kreis der Initiatoren ist nun geschlossen“ und „Keine der Organisationen hat schon alle Wechsel hinter sich (oder?).“ `[T1-21 ✓ ⚡ · 2026-10-25]` Quellen: https://di.day/en/partners · https://di.day/de/partner · https://di.day/de/faq - **Wachstum.** In einem Gastbeitrag des CCC auf edri.org (4.2.2026) ist von 189 beteiligten Organisationen und mehr als 400 Meetups die Rede, im Juli 2026 von regelmäßigen Events in über 100 Städten (CCC). Heute spricht di.day von „Hunderten Veranstaltungen“ bis nach Portugal, Irland und Colorado (USA). Die 189 Organisationen sind nicht dasselbe wie die 49 Initiatoren. Das erste Event außerhalb des deutschsprachigen Raums war am 1.2.2026 in Lissabon. `[T1-22 ✎ ⚡ · 2026-10-25]` Quellen: https://edri.org/our-work/didit-edri-members-spark-movement-for-alternatives-to-big-tech/ · https://events.ccc.de/en/2026/07/19/didays-2026-hamburg/ · https://di.day/de (Prüfer-Ergänzung) Vom 2. bis 4.10.2026 fanden in Hamburg die „DIDAYS 2026“ statt (Kultur Palast Harburg, CCC Hansestadt Hamburg und Wau Holland Stiftung, Eintritt frei). Quelle: https://events.ccc.de/en/2026/07/19/didays-2026-hamburg/ - **Selbst veranstalten.** FAQ: „Der DI.DAY gehört niemandem, jeder kann (im Geiste unserer Idee) eigene Veranstaltungen anbieten.“ Zum Eintragen in den Kalender braucht man ein Nutzerkonto und eine angelegte Organisation mit Website oder Adresse. termine.di.day leitet auf https://events.diday.org/ weiter; die Plattform stellt laut CCC der Chaostreff Flensburg ehrenamtlich bereit. Für Veranstalter gibt es den Netzwerk-Newsletter unter savesocial.eu/did-netzwerk. `[T1-23 ✓ ⚡ · 2026-10-25]` Quellen: https://di.day/de/faq · https://di.day/de/termine-und-aktionen · https://www.ccc.de/de/updates/2025/ccc-unterstutzt-den-monatlichen-digital-independence-day (Prüfer-Ergänzung) Privatpersonen, die Hilfe suchen, verweist der DI.DAY auf die Veranstaltungen im Kalender, nicht auf die Expertenvermittlung. Eine Veranstaltung von Merlina Minds sollte deshalb dort stehen. Quellen: https://di.day/de/faq · https://experts.di.day - **Typische Formate.** Wechselcafés („digital switching cafés“), Wechselpartys, Workshops, Linux-Installationsabende und Sprechstunden, oft mit Umzugshilfe. `[T1-24 ✓ · 2026-10-25]` Quellen: https://di.day/en/dates-and-campaigns · https://www.ccc.de/de/updates/2025/ccc-unterstutzt-den-monatlichen-digital-independence-day · https://itsfoss.com/news/di-day-celebration/ · https://www.l-iz.de/bildung/medien/2026/04/der-digital-independence-day-schritt-fuer-schritt-in-die-digitale-unabhaengigkeit-652531 - **Expertenvermittlung.** Über experts.di.day vermittelt der DI.DAY kostenlos Expert:innen an Veranstalter wie Vereine, Bibliotheken, Buchläden, Cafés und Bürgerzentren. Für Privatpersonen ist sie nicht gedacht. Die Kompetenz der Eingetragenen wird nicht geprüft („Vertrauen ist das Stichwort“). Merlina Minds könnte sich dort auch selbst eintragen. `[T1-25 ✓ ⚡ · 2026-10-25]` Quellen: https://di.day/de/faq · https://experts.di.day · https://di.day/de/termine-und-aktionen - **Grimme Online Award und Buch.** di.day ist für den Grimme Online Award 2026 in der Kategorie „Spezial“ nominiert (belegt auf grimme-online-award.de). Das Publikumsvoting läuft bis 16.11.2026, 11:00 Uhr, die Verleihung ist am 1.12.2026 in Essen; das Ergebnis steht noch aus. „Das Digital Independence Buch“ (Wechselrezepte als Kochbuch, Hardcover, 144 Seiten, ISBN 978-3-455-02440-1, von Stefan Müller und Björn Staschen, Vorwort Marc-Uwe Kling, laut Shop 20 €) erscheint erst am 4.11.2026; bis dahin nur Vorbestellung. Ein Teil der Einnahmen geht an Save Social. `[T1-32 ✎ ⚡ · 2026-10-25]` Quellen: https://www.grimme-online-award.de/2026/nominierte/nominierte-detail/d/diday-digital-independence-day · https://www.grimme-online-award.de/publikumsvoting · https://www.grimme-online-award.de/termine · https://marcuwekling.reimkultur-shop.de/products/das-digital-independence-buch - **Finanzierung** (Prüfer-Ergänzung). Startseite: „Save Social finanziert diese Website über Spenden“. Kein Konzern-Sponsor. Quelle: https://di.day/de - **Presse.** heise (Nico Ernst, 28.12.2025) beschreibt den DI.DAY unter der Überschrift „39C3: ‚Digital Independence Day‘ gegen Tech-Monopole“ als Kampagne gegen große US-amerikanische und chinesische Unternehmen, getragen von Save Social und unterstützt vom CCC (Beispiele: Mastodon statt X, Signal statt WhatsApp, Linux statt Windows 10). it's FOSS nennt ihn eine Bewegung, um „Big Tech zu verlassen“, mit Meetups, Workshops und „Switch Parties“. `[T1-31 ✎ · 2026-02-10]` Quellen: https://www.heise.de/news/39C3-Am-Di-Day-weg-von-Tech-Monopolen-aus-den-USA-und-China-11125535.html · https://itsfoss.com/news/di-day-celebration/ ### 3.3 Das offizielle Wechselrezept „Passwörter in Deiner Hand“ - **Eckdaten.** Titel „Passwörter in Deiner Hand“ (englisch „Have a Hold on Your Passwords“), 30 Minuten, Schwierigkeit „Mittel“, laut RSS-Feed veröffentlicht am 1.6.2026 (auf der Seite selbst steht kein Datum). Auf der Rezeptseite stehen keine Autor:innen, nur „Illustration von Florian Biege“; laut Grimme-Credits stammen die Wechselrezepte allgemein von Stefan Müller und Björn Staschen. `[T1-10 ✓ · 2026-10-25]` Quellen: https://di.day/de/wechselrezepte/passwords · https://di.day/de/wechselrezepte.xml · https://di.day/en/digital-switch-recipes/passwords · https://www.grimme-online-award.de/2026/nominierte/nominierte-detail/d/diday-digital-independence-day - **Erste Wahl: KeePass-Familie.** „Die KeePass-Familie – Die lokale Zutat – KeePassDX für Android und KeePassium für iOS – für den Desktop gibt es KeePassXC“. Vorteil: „100 % Open Source, kostenlos und komplett befreit von jedem Cloud-Zwang. Deine Passwörter bleiben als verschlüsselte Datei allein in Deiner Hand auf Deinem Handy. Maximale Souveränität!“ Nachteil: „Die automatische Synchronisation mit dem Computer erfordert etwas Eigeninitiative“. `[T1-11 ✓ ⚡ · 2026-10-25]` Quelle: https://di.day/de/wechselrezepte/passwords - **Zweite Wahl: Proton Pass.** „Proton Pass (Schweiz) – Komfortable Cloud-Alternative mit strengem Schweizer Datenschutz, komplett quelloffen (Open Source), moderne Apps für iOS und Android sowie Cloud-Synchronisation auch zum Desktop. Deine Daten liegen allerdings (wenn auch extrem sicher verschlüsselt) auf den Servern des Anbieters, nicht bei Dir.“ Hinweis: „komplett quelloffen“ ist zu stark; Proton schreibt nur „All Proton Pass apps are open source“ (zum Server keine Angabe). Im Vortrag „quelloffene Apps“ sagen. Die Schweiz gehört nicht zur EU. `[T1-12 ✓ ⚡ · 2026-10-25]` Quellen: https://di.day/de/wechselrezepte/passwords · https://proton.me/pass/security - **Proprietäre Anbieter im Rezept.** Sticky Password (Tschechien; „Synchronisation zwischen Handy und PC rein über Dein lokales Heim-Wlan – ganz ohne Cloud“, aber „nicht quelloffen (proprietär)“), 1Password (Kanada; „Cloud-Zwang, nicht Open Source und außerhalb der EU (Kanada) ansässig“, Speicherregion wählbar) und Dashlane (Frankreich/USA; „EU-Daten nach EU-Recht auf EU-Servern“, „reines Cloud-Modell“, „proprietärer Code“). Allgemeiner Nachteil laut Rezept: „Sie werden leichter zum Ziel von Hackerangriffen. Außerdem ist ihre Software nicht offen“. `[T1-13 ✓ ⚡ · 2026-10-25]` Quelle: https://di.day/de/wechselrezepte/passwords - **Bitwarden, LastPass, NordPass.** „Bitwarden erwähnen wir hier nur am Rande … Der Hauptsitz (samt wesentlicher Infrastruktur) liegt in den USA – beim Thema digitale Souveränität für uns daher zweite Wahl. Du kannst Bitwarden aber selbst hosten“. Im Topping: „Auch den Passwort-Tresor von Bitwarden kannst Du mit Vaultwarden selbst hosten. Der Bitwarden-Code ist Open-Source-Software und wird jährlichen Audits unterworfen.“ „Lastpass empfehlen wir nicht aufgrund seines US-Sitzes und der Passwort-Speicherung in der US-Cloud.“ „Nordpass arbeitet nach unserem Wissen aus Litauen mit Sitz in Panama – … keine besonders übersichtliche Unternehmensstruktur.“ `[T1-14 ✓ ⚡ · 2026-10-25]` Quelle: https://di.day/de/wechselrezepte/passwords - **Ablauf („Zubereitung“).** (1) „Warum Du Passwörter besser nicht im Browser speicherst“, (2) „Die App auswählen und aktivieren“, (3) „Der Schlüssel zum digitalen Leben“: ein Master-Passwort bzw. eine Passphrase, „Vergib ein starkes, langes Master-Passwort (am besten eine ‚Passphrase‘ aus mehreren Wörtern)“, das man „auf Papier ablegst“, (4) Umzug per CSV: „Lösche die CSV-Datei danach sofort und sicher, da sie Deine Passwörter im Klartext enthält!“ Nachtisch: 2FA/TOTP. Topping: „KeePass selbst hosten!“ (.kdbx-Datei in der eigenen Nextcloud oder per Syncthing), Vaultwarden, die Nextcloud-App „Passwords“ als eigenes Tool sowie Backups auf USB-Stick oder Festplatte: „Wer seine Daten selbst besitzt, sorgt auch selbst dafür.“ `[T1-15 ✓ · 2026-10-25]` Quelle: https://di.day/de/wechselrezepte/passwords - **Drei Gründe gegen den Browser-Speicher.** „Chrome, Safari, Firefox oder Edge … Erstens sperren Dich die Browser oft in ihr eigenes Ökosystem ein. Zweitens sind Passwörter oft deutlich leichter auszulesen als in einem spezialisierten Tresor, beispielsweise mit Schadsoftware oder bei einem unbefugtem Zugriff auf das Gerät. Und drittens: Die Browser-Hersteller müssen nicht wissen, bei welchen Diensten Du ein Konto hast. Ein eigenständiger Passwort-Manager ist sicherer, plattformunabhängig und respektiert Deine Privatsphäre.“ Für die Folie nuancieren, siehe 5.1 und 6.6 (BSI: gegen Firefox im Rahmen der Prüftiefe keine Bedenken). `[T1-16 ✓ · 2026-10-25]` Quelle: https://di.day/de/wechselrezepte/passwords - **Begleitrezept „Authenticator ohne Microsoft & Google“.** 75 Minuten, „Mittel“, laut RSS-Feed vom 25.9.2026. Empfohlen: Aegis, FreeOTP, Ente Auth, Proton Authenticator, 2FAS und Bitwarden Authenticator. Wichtigster Hinweis: vor dem Wechsel alle Recovery-Codes sichern, „am besten ausgedruckt und in einem Safe – oder digital in einem Passwort-Manager, auf den Du auch ohne Zwei-Faktor-Authentifizierung Zugriff hast“. Kritik an Google und Microsoft: Codes liegen „in einem geschlossenen Käfig in der Cloud: Du kannst die Zugänge nicht (bei Google: nur schwer) exportieren“. Für berufliche Codes rät das Rezept, gegebenenfalls den Microsoft Authenticator zu behalten (Arbeitgeber schreiben die App womöglich vor). `[T1-17 ✓ ⚡ · 2026-10-25]` Quellen: https://di.day/de/wechselrezepte/authenticator · https://di.day/de/wechselrezepte.xml (Prüfer-Ergänzung) Das Topping dieses Rezepts empfiehlt Passkeys als „modernen, phishing-sicheren Nachfolger von Passwort plus 2FA“. Quelle: https://di.day/de/wechselrezepte/authenticator - **Weiterführende Links.** Die Seite „Mehr Alternativen“ leitet das Thema so ein: „Die Unabhängigkeit beginnt bei Deinen Passwörtern: Es gibt kaum digitale Informationen, die so schützenswert sind – und die Dich so verwundbar machen.“ Verlinkt sind der Vergleich „10 Passwort-Manager im Vergleich“ der Verbraucherzentrale NRW (Stand 9.12.2025; getestet: 1Password, Avira, Chrome, KeePass2Android, KeePassXC, Firefox, mSecure, PassSecurium, SecureSafe, S-Trust – Bitwarden und Proton Pass sind nicht dabei), die Empfehlungsecke des Kuketz-Blogs, European Alternatives, ein heise-Video auf PeerTube, PC-Flüsterer Bremen und digital-frei.ch. `[T1-18 ✓ ⚡ · 2026-10-25]` Quellen: https://di.day/de/mehr-alternativen · https://www.verbraucherzentrale.nrw/wissen/digitale-welt/apps-und-software/10-passwortmanager-im-vergleich-113439 · https://www.kuketz-blog.de/empfehlungsecke/#passwort-manager · https://european-alternatives.eu/category/password-managers ### 3.4 Slogans, Zitate und Formulierungen - **Offizielle Sprüche.** Browser-Titel und Überschrift der Startseite: „Jeden ersten Sonntag auf die gute Seite wechseln!“. Ebenfalls auf der Startseite: „Gemeinsam wechseln!“ und „Feiere mit uns: #DIDit!“. Auf den Social-Media-Vorlagen: „Let's DID it“ (Untertitel „Jeden ersten Sonntag auf die gute Seite wechseln!“) und „Digital Independence Day“ mit dem Banner „Jeden ersten Sonntag digital freier werden!“. Hashtags: FAQ „#DIDit und #DUTgemacht sind gleich gut“. `[T1-08 ✓ · 2026-10-25]` Quellen: https://di.day/de · https://di.day/de/poste-den-diday · https://di.day/de/faq · https://events.diday.org/ - **Marc-Uwe Kling (CCC-Mitteilung).** „Nicht nur der Wechsel ist wichtig, wir müssen danach auch darüber sprechen. Am besten geben wir sogar damit an, dass wir uns von einem Big-Tech-Dienst befreit haben. #DIDit“. In derselben Mitteilung schreibt der CCC: „Es reicht.“, „Europa ist im Würgegriff von Big Tech.“, „Wenn wir gemeinsam wechseln, können wir den Netzwerkeffekt aushebeln.“ und (Zwischenüberschrift) „Das Netz sind wir“. `[T1-29 ✓ · 2025-12-27]` Quelle: https://www.ccc.de/de/updates/2025/ccc-unterstutzt-den-monatlichen-digital-independence-day - **Das Känguru (Lesung auf dem 39C3, laut futurezone).** „Sich jeden ersten Sonntag im Monat bei einer Sache ummelden, das ist machbar – und natürlich darf man damit sogar angeben, #DIDit.“ Wichtig: Das ist ein Zitat des Kängurus aus der Lesung, kein Werbesatz von Kling; den Wortlaut im Talk selbst hat niemand geprüft. `[T1-30 ✎ · 2026-01-29]` Quellen: https://futurezone.at/digital-life/digital-independence-day-einmal-im-monat-gemeinsam-weg-von-big-tech/403125933 · https://media.ccc.de/v/39c3-die-kanguru-rebellion-digital-independence-day - **„Superreiche“-Satz.** Auf Folien mit „laut di.day“ zitieren, nicht mit Personennamen (siehe Abschnitt 9). `[T1-06 ✓]` ### 3.5 Material und Gestaltung - **Wechselrezepte.** Am 25.10.2026 gibt es 25 Rezepte, aufgebaut wie Kochrezepte (Zutaten, Zubereitung, Nachtisch, „Guten Appetit!“, Topping) mit Dauer und Schwierigkeit. Beispiele: „Google zu anderen Suchmaschinen“ (2 Min., sehr einfach), „Chrome zu Firefox“ (10 Min., einfach), „WhatsApp zu Signal“ (20 Min., einfach), „Fotos ohne Google, Apple & Co.“ (90 Min., mittel). Jede Rezeptseite hat „Drucken“ und „Rezept als ZIP“; die Illustrationen stammen von Florian Biege. `[T1-09 ✓ ⚡ · 2026-10-25]` Quellen: https://di.day/de/wechselrezepte · https://di.day/de/wechselrezepte.xml · https://di.day/de/wechselrezepte/passwords - **„Poste den DI.DAY“.** 25 Rezept-ZIPs mit Sharepics (auch zum Passwort-Rezept), fünf Social-Media-Vorlagen („Willst du Zuck zucken sehen?“, „Deine Daten kaufen Hochzeiten in Venedig?“, „Doomsday für Big Tech“, „Let's DID it!“, „Digital Independence Day“) und ein Generator für eigene Posts (https://qznc.github.io/dot/diday.html). Ein Pressekit, Logo-Downloads oder Markenrichtlinien gibt es nicht; Presseanfragen laufen über presse@savesocial.eu. `[T1-26 ✓ ⚡ · 2026-10-25]` Quellen: https://di.day/de/poste-den-diday · https://di.day/en/post-diday · https://di.day/de/presseanfragen · https://savesocial.eu/medienanfragen/ - **Werbemittelgenerator.** Der Kalender events.diday.org enthält laut seinem JavaScript-Code einen „Werbemittelgenerator“ für Ankündigungen einzelner Veranstaltungen oder Übersichten (inkl. Social-Media-Story 1080 × 1920 px) und ein „Markenkit“. Ob die Funktion für eingeloggte DI.DAY-Veranstalter freigeschaltet ist, wurde ohne Login nicht geprüft. `[T1-27 ✓ ⚡ · 2026-10-25]` Quellen: https://events.diday.org/ · https://der-smarte-gemeinschaftskalender.de/ - **Gestaltung von di.day** (Beobachtung aus CSS und Alt-Texten, keine Markenvorgabe). Hauptfarbe Lila #800080, Akzente #ffd966 (gelb wirkend) und #ffa600 (orange), Logo „DI.DAY“ auf gelbem Grund, Schriften „ABC Social“ (kommerziell, Dinamo – nicht übernehmen) und die Pixelschrift „Silkscreen“ (frei bei Google Fonts). `[T1-28 ✓ ⚡ · 2026-10-25]` Quellen: https://di.day/assets/css/style.min.css · https://abcdinamo.com/typefaces/social · https://fonts.google.com/specimen/Silkscreen ### 3.6 Abgleich: offizielles Rezept und unser Vortrag | Punkt | DI.DAY-Rezept | Unser Vortrag | Hinweis | |---|---|---|---| | Erste Wahl | KeePass-Familie | KeePassXC + KeePassDX bzw. KeePassium | deckungsgleich | | Cloud | Proton Pass | Proton Pass | „quelloffene Apps“ statt „komplett quelloffen“; „Schweiz“ statt „EU“ | | Selbst gehostet | Vaultwarden (Topping, für Fortgeschrittene) | Vaultwarden | nur mit Admin-Kenntnissen oder -Unterstützung | | Bitwarden-Cloud | „zweite Wahl“ wegen US-Sitz | ggf. als einsteigerfreundliche Option mit EU-Region | als bewusste Abweichung offen benennen; EU-Region läuft auf Microsoft Azure | | Browser-Speicher | drei Gründe dagegen | übernehmen, aber nuanciert | Hauptargument ist die Bindung ans Ökosystem, nicht „unsicher“ | | 2FA | Nachtisch | ja, mit BSI-Formulierungen | „verdoppelt den Schutz“ ist zugespitzt | | Passkeys | Topping im Authenticator-Rezept | eigener Teil | – | | Umzug | CSV, danach sofort löschen | zusätzlich Credential Exchange (verschlüsselt, ohne CSV) | – | --- ## 4. Zahlen & Bedrohungslage ### 4.1 Top-Zahlen für Folien | Zahl | Was sie sagt | Einordnung / Vorsicht | Fundstelle | |---|---|---|---| | **33 %** | nutzen dasselbe Passwort für verschiedene Dienste | Bitkom, telefonisch, 1.021 Internetnutzer ab 16; neueste Bitkom-Zahl (Jan. 2025) | `[T2-17 ✓ · 2025-01-30]` | | **10 % / 15 %** | nutzen einen eigenständigen Passwortmanager / den im Browser | Cybersicherheitsmonitor 2026 (BSI/ProPK), online, n=3.060, Basis alle Befragten; 40 % nutzen 2FA, 21 % passwortloses Anmelden | `[T2-19 ✓ · 2026-05-11]` | | **17,8 Mrd.** | kompromittierte Konten bei Have I Been Pwned (aus 1.047 Leaks) | zählt E-Mail-Adressen je Leak, keine Menschen (Weltbevölkerung ca. 8 Mrd.) | `[T2-01 ✓ ⚡ · 2026-10-25]` | | **~3 Sekunden** vs. **132 Jahre** | vorhersehbares/geleaktes Passwort vs. zufälliges 8-Zeichen-Passwort mit allen Zeichenarten | Hive Systems; Offline-Angriff auf gestohlene bcrypt-Hashes; 8 Kleinbuchstaben: ca. 2 Wochen | `[T2-05/06/07 ✓ · 2026-07-14]` | | **39 %** | aller Einbrüche in Organisationen enthalten irgendwo Missbrauch von Zugangsdaten | Verizon DBIR 2026; als Einstiegsweg nur 13 % (Methodik geändert); betrifft Organisationen | `[T2-10 ✓ · 2026-05-19]` | | **> 4×** | wahrscheinlicher: ein schon geleaktes Passwort als ein „schwaches“ | DBIR 2026, Active-Directory-Konten: 4 % geleakt vs. < 1 % zu schwach | `[T2-11 ✓ · 2026-05-19]` | | **11 %** | waren in 12 Monaten Opfer von Cyberkriminalität (2025: 7 %); davon 14 % durch Fremdzugriff auf ein Online-Konto | CyMon 2026; Deliktbasis nur n=321; Median-Schaden 250 € | `[T2-20 ✓ · 2026-05-11]` | | **„kaffeetasse“** | Platz 6 der meistgeleakten Passwörter in Deutschland 2025 | HPI, aus Darknet-Leaks; „meistgeleakt“, nicht „beliebteste aller Deutschen“ | `[T2-15 ✎ · 2026-01-26]` | | **99,22 %** | weniger Kontoübernahmen mit aktivierter MFA | Microsoft Research 2023, Azure-AD-Konten (Unternehmen); kein „unangreifbar“ | `[T2-26 ✓ · 2023-05]` | | **576.000** | Roku-Konten per Credential Stuffing übernommen, ohne dass Roku gehackt wurde | April 2024 | `[T2-24 ✓ · 2024-04-12]` | | **> 35 Mio. $** | Krypto-Diebstähle, die TRM Labs mit dem LastPass-Einbruch 2022 in Verbindung bringt | 28 Mio. + ca. 7 Mio. $; keine direkte Zuordnung zu Einzelkonten; LastPass: kein „conclusive evidence“ | `[T5-21 ✓ · 2026-01-02]` | | **5 Mrd.** | Passkeys weltweit im Einsatz (Schätzung) | FIDO Alliance (Industrieverband); zählt Passkeys, nicht Menschen | `[T6-08 ✓ ⚡ · 2026-05-07]` | | **84,1 %** | speichern Passwörter im Browser | Umfrage VZ NRW, 1.203 Teilnehmende, Aug./Sep. 2025; Methodik anders als CyMon, nicht direkt vergleichen | (Prüfer-Ergänzung, siehe 4.5) | ### 4.2 Leaks und Schlagzeilen richtig einordnen - **Have I Been Pwned.** 17.846.550.965 kompromittierte Konten aus 1.047 Datenlecks, vom Prüfer auch per Summe über die öffentliche API bestätigt (zuletzt hinzugefügt: „AssuranceRetraite“ am 20.10.2026). Gezählt werden Konten bzw. E-Mail-Adressen je Leak, nicht Personen; dieselbe Adresse taucht oft mehrfach auf. Auf der Folie mit Stichtag angeben. `[T2-01 ✓ ⚡ · 2026-10-25]` Quellen: https://haveibeenpwned.com/ · https://haveibeenpwned.com/api/v3/breaches - **Größter Einzeldatensatz bei HIBP.** „Synthient Credential Stuffing Threat Data“ (aufgenommen am 6.11.2025; Blogpost von Troy Hunt vom 5.11.2025) mit 1.957.476.021 E-Mail-Adressen. Dazu kamen 1,3 Mrd. eindeutige Passwörter, davon 625 Mio. bisher unbekannt. Der Datensatz besteht aus Credential-Stuffing-Listen, also Zugangsdaten aus früheren Leaks, gebündelt und weiterverbreitet. Die Infostealer-Beute derselben Sammlung ist ein eigener, kleinerer Eintrag: „Synthient Stealer Log Threat Data“, 182.962.095 Adressen, aufgenommen am 21.10.2025. 2,9 Mio. der 5,9 Mio. HIBP-Abonnenten waren betroffen (keine repräsentative Gruppe). `[T2-02 ✎ · 2025-11-06]` Quellen: https://www.troyhunt.com/2-billion-email-addresses-were-exposed-and-we-indexed-them-all-in-have-i-been-pwned/ · https://heise.de/-11067582 · https://haveibeenpwned.com/api/v3/breaches (Prüfer-Ergänzung) Troy Hunt im selben Beitrag: „This Is Not a Gmail Breach“ – viele Gmail-Adressen, aber Google wurde nicht gehackt. Laienfreundlich: Jede vierstellige Zahl, also jede PIN, wurde schon in einem Leak gefunden. Mit dem Unterschied zwischen beiden Synthient-Einträgen lässt sich erklären, was ein „Leak beim Dienst“ und was „Schadsoftware auf dem eigenen Gerät“ ist. - **„16 Milliarden Passwörter“ (Juni 2025).** Kein neuer Hack. Cybernews meldete 30 zeitweise offen zugängliche Datenhalden mit je zig Millionen bis zu 3,5 Mrd. Einträgen, aus Infostealer-Logs, Credential-Stuffing-Listen und alten Leaks, mit vielen Überschneidungen. BleepingComputer (19.6.2025): „this is not a new data breach, or a breach at all, and the websites involved were not recently compromised“. Dass Apple, Google oder Facebook nicht gehackt wurden, schreibt heise: Ein Einbruch bei Google oder Apple sei „offenkundig nicht der Fall“. Die Schlagzeile mit „Apple, Facebook, Google“ stammt von Forbes. heise: „unmöglich zu sagen, wie viele Menschen oder Zugänge tatsächlich exponiert wurden“; allein auf einer Tauschbörse fand heise „über 19 Milliarden Zugangsdaten“, solche „txtbases“ sind Szene-Alltag. `[T2-03 ✎ · 2025-06-20]` Quellen: https://www.bleepingcomputer.com/news/security/no-the-16-billion-credentials-leak-is-not-a-new-data-breach/ · https://www.heise.de/news/16-Milliarden-Zugangsdaten-Kein-neuer-Leak-viele-alte-Daten-10453723.html · https://www.heise.de/en/news/16-billion-credentials-No-new-leak-lots-of-old-data-10453869.html - **RockYou2024.** Am 4.7.2024 in einem Hackerforum veröffentlicht: 9.948.575.739 eindeutige Klartext-Passwörter, aufbauend auf RockYou2021 (8,4 Mrd.), plus ca. 1,5 Mrd. neuere Einträge. Eine Passwortliste ohne zugehörige Konten, also ein Wörterbuch für Angreifer. Malwarebytes: Wer Passwörter nicht wiederverwendet, keine einfachen nutzt und MFA hat, hat „no reason to worry“. `[T2-04 ✓ · 2024-07-08]` Quellen: https://www.malwarebytes.com/blog/news/2024/07/rockyou2024-nearly-10-billion-passwords-leaked-online · https://www.tomshardware.com/tech-industry/cyber-security/biggest-password-leak-in-history-spills-10-billion-passwords - **BSI-Lagebericht 2025** (Berichtszeitraum 1.7.2024 bis 30.6.2025). 461 Datenleaks mit Daten von Institutionen sowie deutschen Verbraucherinnen und Verbrauchern wurden bekannt; in 36 % davon waren Passwörter enthalten (Geburtsdaten 92 %, Namen 78 %, Straßenadressen 72 %, E-Mail-Adressen 63 %, Bezahldaten 22 %). Der „neue Höchststand an Leak-Geschädigten“ betrifft Organisationen auf Ransomware-Leak-Seiten (teils mehrfach), nicht Privatpersonen. `[T2-21 ✎ · 2025-11]` Quelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Lageberichte/Lagebericht2025_Achtseiter.pdf?__blob=publicationFile&v=7 - **Infostealer laut Flashpoint.** Im ersten Halbjahr 2026 rund 7,4 Mio. infizierte Geräte (+27 % zum Vorhalbjahr) und ca. 1,7 Mrd. erbeutete Zugangsdaten; häufigste Familien Vidar, StealC und Lumma. Herstellerdaten, nicht unabhängig geprüft: nur mit Quelle und als Größenordnung verwenden. `[T2-14 ✓ ⚡ · 2026-08-17]` Quellen: https://www.infosecurity-magazine.com/news/infostealers-17-billion/ · https://flashpoint.io/resources/report/flashpoint-global-threat-intelligence-report-midyear-2026/information-stealing-malware-threats/ ### 4.3 Wie schnell Passwörter fallen (Hive Systems 2026) - **Zufälliges 8-Zeichen-Passwort.** Brute-Force eines zufälligen 8-stelligen Passworts mit allen Zeichenarten: rund 132 Jahre (2025: 164, 2024: 225), ein Rückgang von „roughly 20 to 25% annually“ (rechnerisch ca. 27 % bzw. 20 %). Annahmen: gemietete Cloud-Flotte mit 16× RTX 5090 (138.675 Hashes/s) gegen bcrypt mit Kostenfaktor 10, Offline-Angriff auf eine gestohlene Datenbank. Gilt nur für wirklich zufällige Passwörter, die noch in keinem Leak stehen. `[T2-05 ✓ ⚡ · 2026-07-14]` Quellen: https://www.hivesystems.com/newsroom-posts/07-14-2026 · https://www.hivesystems.com/blog/are-your-passwords-in-the-green - **Nur Kleinbuchstaben.** 8 Kleinbuchstaben fallen nach ca. zwei Wochen (ca. 3.400 $ GPU-Miete; Vorjahr drei Wochen). Hive: „Length remains the single best defense … every character added multiplies the time required far more than swapping in a symbol or two.“ Die Werte für 12 und 16 Zeichen stehen nur in der Tabellengrafik. `[T2-06 ✓ ⚡ · 2026-07-14]` Quellen: https://www.hivesystems.com/newsroom-posts/07-14-2026 · https://www.hivesystems.com/blog/are-your-passwords-in-the-green - **Bekannt = verloren.** „On a single rented RTX 5090, a bcrypt-protected password like the mixed-symbols example in our table (o#mA24ft) cracked in about three seconds when the attacker tried predictable guesses first … a common breach-list run (rockyou.txt with hashcat rules) against password cracked in about the same time.“ Angreifer beginnen mit „rainbow tables, dictionary attacks, and hashes from previous breaches“. Botschaft: Auch ein komplex aussehendes Passwort fällt in Sekunden, wenn es schon auf einer Rateliste steht. `[T2-07 ✓ ⚡ · 2026-07-14]` Quelle: https://www.hivesystems.com/blog/are-your-passwords-in-the-green - **KI.** KI-Beschleuniger aus dem Rechenzentrum „were no better, and in most cases worse, at cracking passwords“. CEO Alex Nette: „AI hasn't sped up the raw cracking - an at home gaming card still beats a data-center AI chip.“ Richtige Formulierung: „KI macht das Raten starker, zufälliger Passwörter nicht schneller.“ Laut Hive senkt KI aber die Hürde für größere Knack-Setups und hilft, Schwachstellen zu finden, über die Angreifer an Passwort-Datenbanken kommen. `[T2-08 ✓ · 2026-07-14]` Quellen: https://www.hivesystems.com/newsroom-posts/07-14-2026 · https://www.hivesystems.com/blog/are-your-passwords-in-the-green (Prüfer-Ergänzung) Zusammengedacht mit dem DBIR 2026 (Schwachstellen-Ausnutzung ist dort mit 31 % der häufigste Einstiegsweg): Dass ein Dienst gehackt wird, liegt nicht in eigener Hand. Ein einzigartiges, langes Passwort begrenzt den Schaden auf diesen einen Dienst. Quellen: https://www.hivesystems.com/newsroom-posts/07-14-2026 · https://www.verizon.com/business/resources/Td15/reports/2026-dbir-data-breach-investigations-report.pdf ### 4.4 Wie Angreifer hineinkommen (Verizon DBIR 2026, Organisationen) - **Einstiegswege.** 19. Ausgabe (19.5.2026), über 31.000 Vorfälle und über 22.000 bestätigte Datenschutzverletzungen in 145 Ländern (Zeitraum 1.11.2024 bis 31.10.2025). Erstmals ist das Ausnutzen von Schwachstellen der häufigste Einstiegsweg (31 %, Vorjahr 20 %). Missbrauch von Zugangsdaten als Einstieg fiel von 22 % auf 13 %, teils methodisch (ohne die neue Kategorie „Pretexting“ wären es 16 %). Phishing blieb bei 16 %. Der menschliche Faktor war an 62 % beteiligt. `[T2-09 ✓ · 2026-05-19]` Quellen: https://www.verizon.com/about/news/breach-industry-wide-dbir-finds · https://www.verizon.com/business/resources/Td15/reports/2026-dbir-data-breach-investigations-report.pdf - **Im gesamten Verlauf.** „if you consider all instances of credential abuse at any point in the breach progression, it still sits on top at 39%.“ Bei einfachen Angriffen auf Webanwendungen ist „Use of stolen creds“ erneut die häufigste Aktion; die Daten stammen aus Phishing, Infostealern oder früheren Leaks. `[T2-10 ✓ · 2026-05-19]` Quelle: https://www.verizon.com/business/resources/Td15/reports/2026-dbir-data-breach-investigations-report.pdf - **Geleakt schlägt schwach.** Im Median nutzten 4 % der Active-Directory-Konten schon kompromittierte Passwörter, an den Komplexitätsregeln scheiterten weniger als 1 %: „users are more than four times more likely to use an already compromised password than a ‚weak‘ password.“ Etwa 6 % verwenden Passwörter mehrfach oder teilen sie. `[T2-11 ✓ · 2026-05-19]` Quelle: https://www.verizon.com/business/resources/Td15/reports/2026-dbir-data-breach-investigations-report.pdf - **Ransomware.** 73 % der untersuchten Ransomware-Opfer hatten im Vorjahr ein Zugangsdaten- oder Infostealer-Leck; bei der Hälfte davon lag es höchstens 95 Tage vor dem Angriff (n=4.395). Kleine Organisationen hatten im Median sieben solcher Ereignisse pro Jahr, große etwa 20. Eher für Firmenvertreter relevant. `[T2-12 ✓ · 2026-05-19]` Quelle: https://www.verizon.com/business/resources/Td15/reports/2026-dbir-data-breach-investigations-report.pdf - (Prüfer-Ergänzung) **Länge wird kaum durchgesetzt.** Bei Konfigurationsprüfungen fielen 90 % der Geräte bei der Regel „Passwörter mit mindestens 15 Zeichen“ durch und 97 % bei der Sperre nach Fehlversuchen. Außerdem ist die Klickrate in Phishing-Simulationen über mobile Kanäle (Anruf, SMS, Messenger) im Median 40 % höher als per E-Mail. Quelle: https://www.verizon.com/business/resources/Td15/reports/2026-dbir-data-breach-investigations-report.pdf - **Infostealer Lumma.** Microsoft fand zwischen 16.3. und 16.5.2025 über 394.000 infizierte Windows-Rechner weltweit. Lumma stiehlt Passwörter, Kreditkarten, Bankzugänge und Krypto-Wallets und wurde über Spear-Phishing und Malvertising verbreitet (u. a. eine Booking.com-Kampagne). Am 21.5.2025 ließ Microsofts Digital Crimes Unit per Gerichtsbeschluss rund 2.300 Domains abschalten; das US-Justizministerium beschlagnahmte die Steuerstruktur, Europol und das japanische JC3 halfen. `[T2-13 ✓ · 2025-05-21]` Quelle: https://blogs.microsoft.com/on-the-issues/2025/05/21/microsoft-leads-global-action-against-favored-cybercrime-tool/ ### 4.5 Verhalten in Deutschland - **Bitkom 2025.** „Ein Drittel (33 Prozent) nutzt dasselbe Passwort für verschiedene Dienste“, „rund ein Viertel (23 Prozent) … häufig bewusst einfache Passwörter“. Telefonisch, 1.021 Internetnutzer ab 16, KW 49/2024 bis KW 02/2025. Belegte Vergleichswerte zur Wiederverwendung: 2022 35 %, 2023 30 %. Eine Bitkom-Passwortumfrage aus 2026 wurde nicht gefunden. `[T2-17 ✓ · 2025-01-30]` Quellen: https://www.bitkom.org/Presse/Presseinformation/Jeder-Vierte-nutzt-einfache-Passwoerter · https://www.bitkom.org/Presse/Presseinformation/Beim-Passwort-lieber-Cv2HXNKBSS3Vp-oder-123456 (Prüfer-Ergänzung) Felix Kuhlenkamp (Bitkom): Wer gute Passwörter mit 2FA kombiniert oder Passkeys nutzt, „der braucht keinen jährlichen Erinnerungs-Tag mehr, um seine Passwörter zu ändern. Das ist dann allenfalls noch nötig, falls es Hinweise auf Datenlecks gibt.“ Bitkom rät von Zetteln und Passwortlisten in Textdateien ab und empfiehlt Passwortmanager. Quelle: https://www.bitkom.org/Presse/Presseinformation/Jeder-Vierte-nutzt-einfache-Passwoerter - **Bitkom 2023.** 25 % nutzen Passwort-Generatoren oder -Manager (2022: 20 %), 38 % schreiben Passwörter auf Papier (43 %), 20 % nutzen 2FA wann immer möglich (11 %), 17 % für ausgewählte Dienste, 23 % ändern regelmäßig. 1.018 Befragte, KW 37–42/2023. Die Frage fasst Generator und Manager zusammen. `[T2-18 ✓ · 2023-12-15]` Quelle: https://www.bitkom.org/Presse/Presseinformation/Beim-Passwort-lieber-Cv2HXNKBSS3Vp-oder-123456 - **Cybersicherheitsmonitor 2026 (BSI und ProPK).** Genutzt (Basis: alle Befragten, n=3.060): eigenständiger Passwortmanager 10 %, Browser-Passwortmanager 15 %, 2FA 40 % (2025: 34 %), passwortloses Anmelden 21 % (2025: 16 %), „sichere Passwörter“ 46 %. Bekannt: eigenständiger Passwortmanager 23 %, Browser-Passwortmanager 28 %, 2FA 49 %. Online-Panel, 6.–12.1.2026, gewichtet. `[T2-19 ✓ ⚡ · 2026-05-11]` Quellen: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Digitalbarometer/CyMon-ProPK-BSI_2026_Ergebnispraesentation.pdf?__blob=publicationFile&v=2 · https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Digitalbarometer/CyMon-ProPK-BSI_2026_Kurzbericht.pdf?__blob=publicationFile&v=3 · https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/260511_Cyberkriminalitaet_im_Alltag.html **Widerspruch aufgelöst:** Ein Rechercheteil (T7) gibt dieselben 10 % / 15 % als „unter denen, die die Maßnahme kennen“ an. Der Prüfer von T2 hat die Ergebnispräsentation (Fragen Q10a/b) direkt geprüft: Basis sind **alle Befragten**. So zitieren. (Prüfer-Ergänzung) Gründe gegen mehr Schutz laut CyMon 2026: 27 % fühlen sich sicher, 23 % finden es zu kompliziert, ebenso viele fühlen sich überfordert, 20 % sagen: „Ich weiß nicht, was ich tun soll, weil überall etwas Anderes empfohlen wird.“ Das stützt die klare Empfehlung im Vortrag. Nur 35 % kennen passwortloses Anmelden. Quelle: Ergebnispräsentation (Link oben) - **Opfer und Schäden.** 11 % waren in den letzten zwölf Monaten Opfer von Cyberkriminalität (2025: 7 %), 27 % irgendwann einmal. Unter den Opfern (n=321): Fremdzugriff auf ein Online-Konto 14 % (2025: 8 %), Phishing 12 %, Betrug beim Onlineshopping 22 %. 88 % berichten von einem Schaden, 33 % von finanziellen Verlusten. `[T2-20 ✓ ⚡ · 2026-05-11]` Quellen: https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/260511_Cyberkriminalitaet_im_Alltag.html · https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Digitalbarometer/CyMon-ProPK-BSI_2026_Ergebnispraesentation.pdf?__blob=publicationFile&v=2 (Prüfer-Ergänzung) Schadenshöhe bei finanziell Geschädigten: Median 250 €, Mittelwert 2.999 €; bei Datendiebstahl Mittelwert 6.152 €, Median 142 € (nur n=21). Quelle: Ergebnispräsentation (Link oben) - **HPI-Liste 2025.** Meistgeleakte Passwörter in Deutschland 2025: 1. 123456, 2. 123456789, 3. 565656, 4. 12345678, 5. hallo123, 6. kaffeetasse, 7. 1234567, 8. passwort, 9. lol123 (der Artikel nennt nur neun Plätze). Grundlage: Passwörter, die mit Datensätzen privater Identitäten im Darknet gefunden wurden. HPI-Empfehlungen: mehr als 15 Zeichen, keine gleichen oder ähnlichen Passwörter bei verschiedenen Diensten, Passwortmanager, Wechsel bei Sicherheitsvorfällen und bei Passwörtern, die diese Regeln nicht erfüllen, 2FA aktivieren. `[T2-15 ✎ · 2026-01-26]` Quellen: https://hpi.de/artikel/hpi-veroeffentlcht-meist-geleakte-passwoerter-2025/ · https://www.zdfheute.de/panorama/passwort-sicherheit-2025-unsicher-hacker-100.html - **HPI-Forscher Prof. Christian Dörr.** „wir sehen allerdings in unseren Daten, dass viele Menschen sich ein starkes Passwort überlegen und dies überall verwenden“ und „Wurde ein Dienst gehackt und die Zugangsdaten sind offen - was milliardenfach passiert - probieren Kriminelle diese erbeuteten Zugangsdaten überall aus.“ Positiv, aber nur in indirekter Rede: Immer mehr Menschen setzen die Hinweise inzwischen um. Gemeint sind „Passwort-Cluster“ wie Vorname + Geburtstag + Sonderzeichen am Ende, die nur komplex wirken. `[T2-16 ✓ · 2026-01-26]` Quelle: https://hpi.de/artikel/hpi-veroeffentlcht-meist-geleakte-passwoerter-2025/ - (Prüfer-Ergänzung) **Umfrage der Verbraucherzentrale NRW** (1.203 Teilnehmende, 6.8. bis 10.9.2025): 84,1 % speichern Passwörter im Browser, 37,2 % nutzen ein eigenes Passwortmanager-Programm, 25,9 % merken sich Passwörter, 25,1 % führen eine Papierliste, 48 % haben mehr als 50 Online-Konten. Häufigste Gründe gegen einen Passwortmanager: Angst vor Diebstahl (53,5 %), Angst vor Zugriffsverlust (40,6 %), Unsicherheit bei der Auswahl (35,7 %); 25,2 % fürchten, der Anbieter könne die Passwörter sehen (Bezugsgröße unscharf). 79,1 % der Nichtnutzer informieren sich bei BSI, Verbraucherzentrale oder Stiftung Warentest. Quelle: https://www.verbraucherzentrale.nrw/wissen/digitale-welt/apps-und-software/10-passwortmanager-im-vergleich-113439 · siehe auch `[T3-23 ✓]` - **Umfragen nicht gegeneinander ausspielen.** Bitkom 2023 fragt nach „Generatoren oder Manager“ (25 %), der CyMon 2026 getrennt nach Browser (15 %) und eigenständigem Manager (10 %), die VZ NRW nach einem „eigenen Programm“ (37,2 %). Unterschiedliche Fragen und Methoden ergeben unterschiedliche Werte; das ist kein Trendbruch. Für die Folie die CyMon-Werte nehmen (größte Stichprobe, gewichtet, aktuell). ### 4.6 Echte Fälle - **Roku (Credential Stuffing).** Im April 2024 meldete Roku rund 576.000 übernommene Konten, nachdem im März schon ca. 15.000 betroffen waren. Rokus eigene Systeme waren nicht die Quelle; die Zugangsdaten stammten vermutlich von anderen Diensten mit denselben Logins. In weniger als 400 Fällen wurde mit hinterlegten Zahlungsmitteln eingekauft. Roku setzte Passwörter zurück, erstattete Käufe und aktivierte 2FA für alle Konten. `[T2-24 ✓ · 2024-04-12]` Quellen: https://securityaffairs.com/161765/data-breach/roku-second-data-breach.html · https://www.cbsnews.com/amp/boston/news/roku-576000-accounts-compromised-recent-security-breach - **23andMe (2023).** Mit wiederverwendeten Passwörtern übernahmen Angreifer rund 14.000 Konten (ca. 0,1 %); über die Verwandtschaftsfunktion kamen sie an Daten von rund 6,9 Mio. Menschen (ca. 5,5 Mio. „DNA Relatives“, ca. 1,4 Mio. „Family Tree“). Drei unabhängige Presseberichte decken sich; die SEC-Meldung selbst wurde nicht abgerufen. `[T2-25 ✓ · 2023-12]` Quellen: https://techcrunch.com/2023/12/04/23andme-confirms-hackers-stole-ancestry-data-on-6-9-million-users/ · https://www.nbcnews.com/tech/security/23andme-hackers-gained-access-data-69-million-people-rcna127990 · https://cyberinsider.com/23andme-says-october-breach-impacted-6-9-million-users/ - **LastPass (2022).** Siehe 6.7. ### 4.7 Was nachweislich hilft - **MFA wirkt.** Microsoft Research (2023): „MFA reduces the risk of compromise by 99.22% across the entire population and by 98.56% in cases of leaked credentials“. Datenbasis: Azure-AD-Konten (Unternehmen); Authenticator-Apps schnitten besser ab als SMS. Nicht als „unangreifbar“ verkaufen: Echtzeit-Phishing kann SMS- und App-Codes abfangen (siehe 7.2; dieser Hinweis stammt nicht aus der Studie). `[T2-26 ✓ · 2023-05]` Quellen: https://www.microsoft.com/research/publication/how-effective-is-multifactor-authentication-at-deterring-cyberattacks/ · https://arxiv.org/abs/2305.00945 - **Erst das Gerät, dann die Passwörter.** BleepingComputer: „If you're concerned that an infostealer might be present on your computer, scan your device with a trusted antivirus program before changing any passwords. Otherwise, newly entered credentials could be stolen as well.“ Das gilt bei Infostealer-Verdacht, nicht bei jedem Leak. Weitere Tipps dort: eigenes Passwort pro Seite mit Passwortmanager, 2FA per Authenticator-App statt SMS (SIM-Swapping), Have I Been Pwned, „don't panic“. Das BSI sagt dasselbe (siehe 5.1). `[T2-27 ✓ · 2025-06-20]` Quelle: https://www.bleepingcomputer.com/news/security/no-the-16-billion-credentials-leak-is-not-a-new-data-breach/ - **Leak-Checker.** Das BSI nennt drei Prüfdienste: HPI Identity Leak Checker (https://hpi.de/ilc, seit gut zehn Jahren kostenlos, deutsche Alternative), Leakchecker der Uni Bonn und haveibeenpwned.com. Grenze laut BSI: Meist wird nur die E-Mail-Adresse abgeglichen, ein Treffer lässt sich keinem bestimmten Konto zuordnen. `[T3-07 ✓]` (Prüfer-Ergänzung) Quellen: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/Umgang-mit-Passwoertern/umgang-mit-passwoertern_node.html · https://hpi.de/artikel/hpi-veroeffentlcht-meist-geleakte-passwoerter-2025/ --- ## 5. Offizielle Empfehlungen Wörtliche Zitate, jeweils mit URL. Grundsatz: Das BSI gibt **keine Produktempfehlungen** und kein Ranking ab; unsere Werkzeugauswahl ist unsere eigene, gestützt auf BSI-Befunde. ### 5.1 BSI **Länge und Aufbau** - „Grundsätzlich gilt: Je länger, desto besser. Für ein gutes Passwort sind Länge und Komplexität entscheidend. Ein kurzes und komplexes Passwort sollte mindestens acht Zeichen lang sein und aus vier verschiedenen Zeichenarten (Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen) bestehen. Ein langes und weniger komplexes Passwort sollte mindestens 25 Zeichen lang sein.“ WLAN (WPA2/WPA3): mindestens 20 Zeichen. Achtung: Weiter unten auf derselben Seite steht „20 bis 25 Zeichen lang ist und zwei Zeichenarten genutzt werden“; die Seite ist nicht ganz einheitlich und hat kein Stand-Datum. Auf Folien „mindestens 25 Zeichen“ verwenden. Außerdem rät das BSI von „ä,ö,ü, ß, €“ ab und sagt: „Nutzen Sie einen Passwortmanager“. `[T3-01 ✓, T7-20 ✓ · abgerufen 2026-10-25]` Quelle: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/sichere-passwoerter-erstellen_node.html - **Passphrase** (eine von mehreren Merkstrategien): „Eine weitere Möglichkeit besteht darin, zufällig 5-6 Worte aus dem Wörterbuch zu wählen und diese mit einem Leerzeichen zu trennen. Dies resultiert in einem leicht zu merkenden, leicht zu tippenden und für Angreifer schwer zu brechenden Passwort.“ `[T3-02 ✎ · abgerufen 2026-10-25]` Quelle: wie oben - **Merk-Methoden.** Satzmethode: „Morgens stehe ich auf und putze mir meine Zähne drei Minuten lang.“ → „MsiaupmmZdMl“ → „Ms1a&pmmZ3M1“. Wortreihe: „Ein Beispiel - das Sie natürlich nicht selbst verwenden sollten - ist: ‚Ein blaues Pferd liest Kaffeesatz auf dem Ausflugsdampfer‘.“ Ausdrücklich „nicht selbst verwenden“ sagt das BSI nur zum zweiten Beispiel; veröffentlichte Beispielpasswörter nie benutzen. Das BSI warnt vor bekannten Zitaten und Liedzeilen als Merksatz. `[T3-03 ✎ · abgerufen 2026-10-25]` Quelle: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/Umgang-mit-Passwoertern/umgang-mit-passwoertern_node.html **Kein Routinewechsel – Wechsel nur mit Anlass** - Pressemitteilung „Passwortwechseln war gestern“ (31.1.2025): „Tatsächlich ist dieser Ratschlag jedoch überholt. Regelmäßige, anlassunabhängige Passwortwechsel führen erfahrungsgemäß dazu, dass zunehmend schwächere Passwörter genutzt werden. Sie sollten auch durch Dritte, etwa durch Arbeitgeberinnen und Arbeitgeber, nicht gefordert oder technisch erzwungen werden.“ Stattdessen: 2FA oder Passkeys. `[T3-05 ✓ · 2025-01-31]` Quelle: https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/250131_Passwortwechsel_next-level.html - Pressemitteilung „Der Ändere-dein-Passwort-Tag braucht ein Update“ (30.1.2026): „Tatsächlich ist ein pauschaler Passwortwechsel jedoch keine zeitgemäße Schutzmaßnahme mehr.“ Karin Wilhelm (BSI): „Ein routinemäßiger Passwortwechsel aber erhöht die Sicherheit nicht automatisch. Wichtiger ist, dass ein Passwort stark und einzigartig ist. Außerdem sollte es durch einen zweiten Faktor ergänzt oder durch einen Passkey ersetzt werden.“ „Deshalb empfiehlt das BSI, eine Zwei-Faktor-Authentisierung (2FA) zu aktivieren.“ Den Aktionstag soll man nutzen, „um zu überprüfen, bei welchen Benutzerkonten der Umstieg auf Passkeys bereits möglich ist und wo eine Zwei-Faktor-Authentisierung aktiviert werden kann“. Passwortmanager „helfen dabei, den Überblick zu behalten“. `[T3-06 ✓, T2-22 ✓, T6-06 ✓ · 2026-01-30]` Quelle: https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2026/260130_Aendere-dein-Passwort-Tag.html - **Wechsel mit Anlass.** „Ein Passwort sollte auf jeden Fall geändert werden, wenn es einen Hinweis darauf gibt, dass es in die Hände von unbefugten Dritten gelangt ist.“ Hinweise: Aufforderung des Anbieters, veröffentlichte gestohlene Passwörter, Phishing-Mails mit korrekten persönlichen Daten. Bei Schadsoftware: „muss zunächst das Gerät bereinigt werden. Erst danach sollten die Passwörter geändert und Log-Ins wieder über das betroffene Gerät durchgeführt werden.“ `[T3-07 ✓ · abgerufen 2026-10-25]` Quelle: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/Umgang-mit-Passwoertern/umgang-mit-passwoertern_node.html **E-Mail-Konto zuerst** - Maximilian Berndt (BSI, 31.1.2025): „Wer heute seinen Accountschutz überprüfen möchte, sollte bei seinem E-Mail-Konto anfangen. Darüber kann man oftmals die Anmeldeverfahren bei anderen Benutzerkonten, etwa Social-Media-Accounts, zurücksetzen.“ BSI-Seite: „Ein wichtiges Passwort ist zum Beispiel das Passwort für Ihr privates E-Mail-Konto.“ `[T3-29 ✓ · 2025-01-31]` Quellen: https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/250131_Passwortwechsel_next-level.html · https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/Umgang-mit-Passwoertern/umgang-mit-passwoertern_node.html - **Checkliste „Gehackter Account“ von BSI und ProPK** (BSI-Seite datiert 12.9.2025, vorgestellt Ende Oktober 2025): „Besonders kritisch sind gehackte E-Mail-Accounts … E-Mail-Adresse oft bei anderen Diensten hinterlegt, um dort das Passwort zurücksetzen zu können. Kriminelle bringen dann gleich mehrere Accounts unter ihre Kontrolle.“ Empfohlen: „Passkeys nutzen“, „Zwei-Faktor-Authentisierung aktivieren“. `[T7-19 ✎ · 2025-09-12]` Quellen: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Broschueren/Wegweiser_Checklisten_Flyer/Checkliste_BSI_ProPK_Fremdzugriff_Account.pdf?__blob=publicationFile&v=4 · https://borncity.com/blog/2025/10/29/checkliste-von-bsi-und-propk-fuer-gehacktes-e-mail-konto/ **Passwortmanager, Browser, Zettel** - „Ja, in der Regel lohnt sich der Einsatz eines Passwort-Managers. Es ist in jedem Fall besser, als gängige Passwörter wiederholt zu benutzen.“ Bild: „Sie funktionieren ähnlich wie ein Notizbuch, das in einer Schublade eingeschlossen ist und dessen Inhalte somit nur für die Besitzerin oder den Besitzer einsehbar sind.“ Nachteile laut BSI: Masterpasswort vergessen heißt „im schlechtesten Fall alle Daten verloren“; alle Passwörter können auf einmal gestohlen werden; bei Cloud-Diensten AGB, Datenschutzerklärung und Serverstandort prüfen. `[T3-15 ✓ · abgerufen 2026-10-25]` Quelle: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/Passwort-Manager/passwort-manager_node.html - **Browser-Speicher.** „Da Browser aber komplexe Programme sind, die dieses Thema nicht mit oberster Priorität behandeln, können die Zugangsdaten relativ einfach von Schadsoftware extrahiert und somit von einem Angreifer missbraucht werden.“ Das ist eine allgemeine Warnung, kein Urteil über jeden Browser (in der Marktuntersuchung gab es gegen Firefox keine Bedenken). `[T3-16 ✓ · abgerufen 2026-10-25]` Quelle: wie oben - **Notizzettel.** „Passwörter sollten niemals unverschlüsselt auf dem PC abgelegt werden oder auf dem berühmten Notizzettel am Bildschirm kleben. Wer sich Passwörter notieren will, sollte sie stattdessen gut unter Verschluss halten bzw. auf dem Rechner in einer verschlüsselten Datei ablegen.“ `[T3-18 ✓ · abgerufen 2026-10-25]` Quelle: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/Umgang-mit-Passwoertern/umgang-mit-passwoertern_node.html - **Vier Verwaltungstypen.** Das BSI stellt „vier Möglichkeiten vor, Passwörter sicher und handhabbar zu verwalten. Die Typen dienen lediglich der Orientierung, sie machen keine Vorgaben.“ Personas: Eike (Papierliste), Kim (digitaler Notizzettel), Jona (Browser), Leo (eigenständiger Passwortmanager). Papierliste: sicher aufbewahren, „etwa in einer verschließbaren Schublade statt frei zugänglich auf dem Schreibtisch“, BSI-Merkblatt nutzen, Ersatzliste anlegen. Eigenständiger Manager: vertrauenswürdigen Anbieter wählen, starkes Masterpasswort, Passkey oder 2FA für den Manager, „Legen Sie regelmäßig ein unabhängiges Backup an, z.B. durch Export der Passwörter“. `[T3-17 ✓ · abgerufen 2026-10-25]` Quelle: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/Passwortverwaltung/passwortverwaltung_node.html - (Prüfer-Ergänzung) **Weitere BSI-Grundregeln und Material:** voreingestellte Passwörter (Router, Geräte) ändern, Bildschirmsperre nach 5 Minuten, Passwörter nie per E-Mail verschicken. Das BSI bietet ein DIN-A4-Faktenblatt „Sichere Passwörter“ (geeignet als Handout) und die Entscheidungshilfe „Welcher Passwort-Typ sind Sie?“. Quellen: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/Umgang-mit-Passwoertern/umgang-mit-passwoertern_node.html · https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/sichere-passwoerter-erstellen_node.html **2FA und Passkeys** (ausführlich in Abschnitt 7) - „Wenden Sie eine Zwei-Faktor-Authentisierung an, sobald ein Online-Dienst dies ermöglicht.“ Mehrere zweite Faktoren hinterlegen. Passwortmanager-Bericht: „Dabei sollten in erster Linie Hardware-Tokens in Erwägung gezogen und der Einsatz von TOTPs ... evaluiert werden. Auf SMS-OTP-Varianten sollte verzichtet werden, sofern es andere 2FA-Möglichkeiten gibt, da diese anfälliger für bestimmte Angriffe, wie etwa SIM-Swapping, sind.“ `[T3-26 ✓ · abgerufen 2026-10-25]` Quellen: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Zwei-Faktor-Authentisierung/zwei-faktor-authentisierung_node.html · https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/DVS-Berichte/passwortmanager.pdf?__blob=publicationFile - „Falls Ihnen ein Onlinedienst die Anmeldung mit Passkey anbietet, stellt das für Sie einen Gewinn an Sicherheit und Komfort dar.“ „Zum anderen sind Passkeys immun gegen die breite Masse bekannter Phishing-Angriffe.“ Seit 30.6.2026 definiert die Technische Richtlinie TR-03188 „Passkey Server“ (für Betreiber) Passkeys als Stand der Technik. `[T3-27 ✓ ⚡ · 2026-06-30]` Quellen: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Passkeys/passkeys-anmelden-ohne-passwort_node.html · https://www.bsi.bund.de/DE/Service-Navi/Presse/Alle-Meldungen-News/Meldungen/2026/TR-03188_Passkey_260630.html **BSI-Marktuntersuchung Passwortmanager (mit FZI, 2025)** - **Studie.** Bericht „IT-Sicherheit auf dem digitalen Verbrauchermarkt: Fokus Passwortmanager“ (v1.0 vom 1.12.2025, Pressemitteilung 9.12.2025), zehn Produkte, geprüft im ersten Halbjahr 2025: 1Password, Avira Password Manager, Chrome, Keepass2Android, KeePassXC, Firefox, mSecure, PassSecurium, SecureSafe, S-Trust. Ergebnisse (Standardkonfiguration mit aktivierter Synchronisation): Bei 3 von 10 kann der Hersteller theoretisch zugreifen (Chrome nur bei Sync im Standardmodus, mSecure, PassSecurium; bei SecureSafe und S-Trust „nicht bewertbar“); nur 3 verschlüsseln den kompletten Inhalt (1Password, Keepass2Android, KeePassXC); nur 4 setzen sichere, korrekt konfigurierte Kryptografie ein, alle „mit geringen Abweichungen“ (1Password, Keepass2Android, KeePassXC, Firefox); 8 von 10 verschlüsseln nach einem Wechsel des Masterpassworts nicht vollständig neu. Nicht untersucht: Bitwarden, Vaultwarden, Proton Pass. `[T3-19 ✓ ⚡ · 2025-12-09]` Quellen: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/DVS-Berichte/passwortmanager.pdf?__blob=publicationFile · https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/251209_Verbesserungsbedarf_Passwortmanager.html (Prüfer-Ergänzung) Bitwarden stand in der Vorauswahl (19 eigenständige Programme), wurde per Zufallsauswahl aber nicht gezogen; KeePassXC und Keepass2Android kamen gezielt wegen des verbreiteten kdbx-Formats dazu. Dass Bitwarden und Proton Pass fehlen, ist also kein Negativurteil. Laut Pressemitteilung haben „mehrere Unternehmen bereits Verbesserungen eingeleitet oder zugesagt“. Quellen: Bericht Kap. 3.1/3.2 (Link oben) · Pressemitteilung (Link oben) - **KeePassXC** (getestet: 2.7.9 für Windows): „Im Rahmen der Prüftiefe ergaben sich keine Bedenken gegen die Nutzung von KeePassXC.“ Kein Herstellerzugriff, kompletter Inhalt verschlüsselt. „Die KeePassXC-Entwickler betreiben keine Cloud.“ „KeePassXC sperrt sich in der Standardeinstellung nicht selbst und bietet keinen Wiederherstellungsmechanismus.“ Empfehlung: selbst ein Backup erstellen und sich „für den Fall des Vergessens des Masterpassworts absichern“; bei geteilten Geräten automatische Sperre aktivieren (z. B. 10 Minuten). Die Entwickler reagierten nicht auf den Prüfbericht. **Aktueller Stand:** Seit KeePassXC 2.7.11 ist die Sperre nach 15 Minuten Inaktivität Standard (siehe 6.1). `[T3-20 ✓ · 2025-12-01]` Quelle: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/DVS-Berichte/passwortmanager.pdf?__blob=publicationFile - **Browser.** Gegen den Firefox-Passwortmanager (139.0.1) hatte das BSI im Rahmen der Prüftiefe keine Bedenken; es empfiehlt aber dringend, ein Hauptpasswort zu setzen (wird nicht erzwungen, keine Selbstsperre). Bei Chrome (137) kann Google auf die Passwörter zugreifen, wenn die Synchronisation im Standardmodus läuft; ohne Sync (Standard) oder mit eigener Sync-Passphrase gibt es keinen Zugriff, und das BSI rät, eine solche Passphrase zu setzen. Das Domain-Matching beim Autofill sei „nicht restriktiv genug“. `[T3-21 ✎ ⚡ · 2025-12-01]` Quelle: wie oben - **Fazit.** Pressemitteilung: „Doch die Defizite der Passwortmanager sind kein Grund, auf diese zu verzichten. Aus Sicht des BSI überwiegt der Nutzen bei weitem.“ Bericht, Kap. 6: „Grundsätzlich begrüßenswert sind in dieser Hinsicht Open Source-Produkte, da durch das Verfügbarmachen von Quellcode zusätzlich Transparenz geschaffen wird“. Verbraucher-Empfehlungen: „Richte immer ein starkes Masterpasswort ein“, „Nutze eingebaute Backup-Funktionen oder sichere Deine Daten manuell“, „Aktiviere Zwei-Faktor-Authentisierung, am besten mit Hardware-Token oder TOTP“, „Sorge dafür, dass Dein Passwortmanager nach einer Inaktivität gesperrt wird“; Updates zeitnah übernehmen. `[T3-22 ✓ · 2025-12-09]` Quellen: https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/251209_Verbesserungsbedarf_Passwortmanager.html · https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/DVS-Berichte/passwortmanager.pdf?__blob=publicationFile **BSI-Codeanalyse CAOS 3.0 (mit mgm security partners, 2024)** - **KeePass 2.56** (das klassische KeePass, **nicht** KeePassXC): „Die Anwendung weist keine als mittel, hoch oder kritisch eingestuften Sicherheitslücken auf.“ Nur zwei niedrig eingestufte Befunde (globales Auto-Type, übersprungene Zertifikatsprüfung beim spamex.com-Import), behoben in KeePass 2.57.1 (8.10.2024). Analyse 20.2. bis 18.4.2024. `[T3-24 ✓, T4-11 ✓ · 2024-10-14]` Quellen: https://www.bsi.bund.de/DE/Service-Navi/Presse/Alle-Meldungen-News/Meldungen/Codeanalyse-KeePass-Vaultwarden_241014.html · https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Studien/P486-Codeanalyse/KeePass-Passwortmanager.pdf?__blob=publicationFile&v=4 · https://keepass.info/help/kb/kp_2.57.1_notes.html - **Vaultwarden 1.30.3:** „je zwei Sicherheitslücken mittlerer bzw. hoher Kritikalität“ (Notfallzugang und Schlüsselrotation hoch; Zugriff auf fremde Organisationsdaten und HTML-Injection im Admin-Dashboard mittel), drei CVEs. Behoben mit Vaultwarden 1.32.0 vom 11.8.2024 (CVE-2024-39924, -39925, -39926). Die mitgeprüfte Bitwarden-Browsererweiterung 2024.3.1 hatte nur Befunde der Stufen niedrig und info. Betroffen waren vor allem Mehrbenutzer-Setups; die Lehre: Wer selbst hostet, muss Updates einspielen. `[T3-25 ✓ · 2024-10-14]` Quellen: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Studien/P486-Codeanalyse/Vaultwarden-Passwortmanager.pdf?__blob=publicationFile&v=5 · https://heise.de/-9982432 · https://github.com/dani-garcia/vaultwarden/releases/tag/1.32.0 ### 5.2 NIST SP 800-63B-4 (USA) Richtlinie für US-Bundessysteme, gerichtet an **Dienstbetreiber** (Verifier/CSP), nicht an Endnutzer; international als Referenz genutzt. - **Status.** Final, veröffentlicht im Juli 2025 („07/31/25: SP 800-63B-4 (Final)“), angekündigt am 1.8.2025; ersetzt SP 800-63B (Rev. 3). Titel „Digital Identity Guidelines: Authentication and Authenticator Management“. Hinweis: Der BSI-Passwortmanager-Bericht zitiert noch den zweiten Entwurf. `[T3-10 ✓ · 2025-07-31]` Quellen: https://csrc.nist.gov/pubs/sp/800/63/b/4/final · https://csrc.nist.gov/News/2025/nist-revises-digitial-identity-guidelines-sp-800-6 - **Länge, Komposition, Wechsel.** „Verifiers and CSPs SHALL require passwords that are used as a single-factor authentication mechanism to be a minimum of 15 characters in length.“ Mit MFA mindestens 8 Zeichen; maximale Länge mindestens 64 Zeichen (SHOULD). „SHALL NOT impose other composition rules (e.g., requiring mixtures of different character types) for passwords.“ „SHALL NOT require subscribers to change passwords periodically. However, verifiers SHALL force a change if there is evidence that the authenticator has been compromised.“ Außerdem verboten: Passwort-Hinweise für nicht Angemeldete und Sicherheitsfragen. Leerzeichen und Unicode sollen erlaubt sein. `[T3-11 ✓, T2-23 ✓ · 2025-07]` Quellen: https://pages.nist.gov/800-63-4/sp800-63b.html · https://pages.nist.gov/800-63-4/sp800-63b/authenticators/ - **Sperrliste.** „verifiers SHALL compare the prospective secret against a blocklist that contains known commonly used, expected, or compromised passwords.“ Beispiele: frühere Leaks, Wörterbuchwörter, Dienst- und Nutzername. Wichtig: „The entire password SHALL be subject to comparison, not substrings or words that might be contained therein“ – eine Passphrase aus Wörterbuchwörtern ist also zulässig. `[T3-12 ✓ · 2025-07]` Quelle: https://pages.nist.gov/800-63-4/sp800-63b.html - **Passwortmanager erlauben.** „Verifiers SHALL allow the use of password managers and autofill functionality. Verifiers SHOULD permit claimants to use the ‚paste‘ function … Password managers have been shown to increase the likelihood that subscribers will choose stronger passwords, particularly if the password managers include password generators.“ `[T3-13 ✓ · 2025-07]` Quelle: wie oben - **Warum Sonderzeichen-Zwang wenig bringt.** „…a user who might have chosen ‚password‘ as their password would be relatively likely to choose ‚Password1‘ if required to include an uppercase letter and a number or ‚Password1!‘ if a symbol is also required.“ „Password length is a primary factor in characterizing password strength.“ Passphrasen: „The use of passphrases (i.e., passwords with multiple words) is often an effective way to create a longer password.“ `[T3-14 ✓, T3-04 ✎ · 2025-07]` Quelle: wie oben ### 5.3 Verbraucherzentrale - **Starke Passwörter** (Stand 1.5.2025, Teil der LKA-NRW-Kampagne „Mach dein Passwort stark“): „Regelmäßiges Ändern wird nicht mehr empfohlen.“ „Lange wurde empfohlen, Passwörter regelmäßig zu ändern. Viele haben dadurch ihre Codes eher geschwächt, um sie sich leichter merken zu können. Deshalb geben Sicherheitsbehörden wie das BSI diese Empfehlung nicht mehr aus.“ Länge: „mindestens 8, besser 12 Zeichen lang sein, dann aber auch aus vier Zeichenarten“ oder „mindestens 25 Zeichen oder länger“ mit zwei Zeichenarten. Masterpasswort: „Wählen Sie am besten ein besonders langes Passwort, mit 25 Zeichen oder mehr. Sagen Sie es niemandem, schreiben Sie es nicht auf …“. Notizen: „Notieren Sie sich – wenn überhaupt – das Passwort an einem geschützten Ort, nicht auf einem Zettel am PC, nicht in Ihrer Brieftasche oder gesammelt in Ihrem Kalender.“ `[T3-28 ✓, T3-18 ✓ · 2025-05-01]` Quelle: https://www.verbraucherzentrale.de/wissen/digitale-welt/datenschutz/starke-passwoerter-erstellen-so-schuetzen-sie-ihre-onlinekonten-effektiv-11672 - **Sind Passwortmanager sinnvoll?** (Stand 9.12.2025) Gleiche Browser-Warnung wie das BSI, dazu: „Ein spezialisierter Passwort-Manager nutzt in der Regel stärkere Verschlüsselung und schützt Ihre Daten auch bei einem Geräteverlust besser.“ Mindestschutz im Browser: Masterpasswort, Updates, gesperrtes Gerät. `[T3-16 ✓ · 2025-12-09]` Quelle: https://www.verbraucherzentrale.de/wissen/digitale-welt/datenschutz/sind-passwortmanager-sinnvoll-114154 - **Vergleich der VZ NRW** (Stand 9.12.2025): Zitat Ayten Öksüz: „ungefähr die Hälfte der geprüften Passwort-Manager [sind] erfreulicherweise datensparsam“. KeePassXC und Keepass2Android gelten als „besonders datenschutzfreundlich“: lokal, Open Source, keine personenbezogenen Daten. `[T3-23 ✓ · 2025-12-09]` Quellen: https://www.verbraucherzentrale.nrw/wissen/digitale-welt/apps-und-software/10-passwortmanager-im-vergleich-113439 · https://www.verbraucherzentrale.nrw/pressemeldungen/digitale-welt/passwortmanager-auf-dem-pruefstand-114401 - **Digitale Vorsorge** (Stand 3.11.2025): siehe 8.3. `[T7-30 ✓]` ### 5.4 IT-Grundschutz (für Institutionen, nicht für Privatleute) Relevant für Firmenvertreter im Publikum. - **ORP.4.A23 (Passwortwechsel).** Seit Edition 2020 im Grundschutz. Edition 2023: „IT-Systeme oder Anwendungen SOLLTEN NUR mit einem validen Grund zum Wechsel des Passworts auffordern. Reine zeitgesteuerte Wechsel SOLLTEN vermieden werden. Es MÜSSEN Maßnahmen ergriffen werden, um die Kompromittierung von Passwörtern zu erkennen.“ Ist das nicht möglich, soll geprüft werden, ob doch periodisch gewechselt wird. Edition 2023 ist die aktuelle Fassung; Grundschutz++ läuft seit 2026 parallel, der alte Grundschutz bleibt in einer mehrjährigen Übergangszeit anwendbar, ein Kompendium-Update ist angekündigt. `[T3-08 ✎ ⚡ · 2026-10-25]` Quellen: https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/IT-GS-Kompendium_Einzel_PDFs_2023/02_ORP_Organisation_und_Personal/ORP_4_Identitaets_und_Berechtigungsmanagement_Editon_2023.pdf?__blob=publicationFile&v=3 · https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html - **ORP.4.A8 (Passwortgebrauch).** „Passwörter DÜRFEN NICHT mehrfach verwendet werden. … Ein Passwort DARF NUR für eine Hinterlegung für einen Notfall schriftlich fixiert werden. Es MUSS dann sicher aufbewahrt werden. Die Nutzung eines Passwort-Managers SOLLTE geprüft werden. Bei Passwort-Managern mit Funktionen oder Plug-ins, mit denen Passwörter über Onlinedienste Dritter synchronisiert oder anderweitig an Dritte übertragen werden, MÜSSEN diese Funktionen und Plug-ins deaktiviert werden.“ Für Firmen passen lokale (KeePassXC) oder selbst gehostete Lösungen; dass Vaultwarden kein „Onlinedienst Dritter“ ist, ist unsere Interpretation, nicht BSI-Wortlaut. `[T3-09 ✓ · Edition 2023]` Quelle: wie oben (ORP.4-PDF) ### 5.5 Weitere Referenzen - **EFF-Würfelmethode (Diceware).** „Roll five dice all at once“, Wortliste mit 7.776 Wörtern (6^5), „For most applications, we suggest making a six-word passphrase“ – rund 2^77 Möglichkeiten, jedes weitere Wort bringt etwa 12,9 Bit. In den geprüften Texten von BSI, NIST und Verbraucherzentrale wird die Würfelmethode nicht ausdrücklich genannt (die BSI-Empfehlung „5-6 zufällige Wörter“ passt aber dazu). `[T7-21 ✓, T3-04 ✎ · abgerufen 2026-10-25]` Quellen: https://www.eff.org/dice · https://www.eff.org/deeplinks/2016/07/new-wordlists-random-passphrases ### 5.6 Konsens auf einen Blick | Thema | BSI | NIST SP 800-63B-4 | Verbraucherzentrale | |---|---|---|---| | Länge vor Komplexität | „Je länger, desto besser“; ≥ 25 Zeichen (lang) oder ≥ 8 mit 4 Zeichenarten | ≥ 15 Zeichen bei reinem Passwort-Login; keine Kompositionsregeln | ≥ 8, besser 12 mit 4 Zeichenarten oder ≥ 25 mit 2 | | Regelmäßiger Wechsel | „überholt“, „keine zeitgemäße Schutzmaßnahme mehr“ | „SHALL NOT require … periodically“ | „Regelmäßiges Ändern wird nicht mehr empfohlen.“ | | Wechsel bei Verdacht | ja, bei Schadsoftware erst Gerät bereinigen | „SHALL force a change“ | – | | Passwortmanager | „in der Regel lohnt sich“; Nutzen „überwiegt bei weitem“ | müssen erlaubt sein (Autofill, Einfügen) | spezialisierter Manager besser als Browser | | 2FA | sobald angeboten; Hardware-Token und App vor SMS | OTP nicht phishing-resistent, SMS „restricted“ | nennt SMS- und E-Mail-Code ohne Warnung | | Passkeys | „Gewinn an Sicherheit und Komfort“ | WebAuthn/FIDO2 phishing-resistent | – | ### 5.7 Wo sich die Quellen widersprechen – und wie wir es formulieren - **Master-Passwort aufschreiben?** VZ: „schreiben Sie es nicht auf“. BSI: gegen Vergessen absichern (bei KeePassXC gibt es keine Wiederherstellung), Grundschutz erlaubt Notfall-Hinterlegung; dieselbe VZ empfiehlt an anderer Stelle eine sicher verwahrte Liste mit Masterpasswort für Erben. **Formulierung:** „Nicht am Gerät, nicht im Portemonnaie – aber als Notfallblatt im verschlossenen Umschlag an einem sicheren Ort.“ `[T3-28 ✓, T3-20 ✓, T3-09 ✓, T7-30 ✓]` - **SMS als zweiter Faktor.** VZ nennt SMS ohne Warnung, der BSI-Bericht rät davon ab, wenn es Alternativen gibt. **Formulierung:** „SMS ist besser als nichts; App, Sicherheitsschlüssel oder Passkey sind besser.“ `[T3-26 ✓]` - **Browser-Speicher.** Allgemeine BSI-Warnung vor dem Auslesen durch Schadsoftware vs. „keine Bedenken“ gegen Firefox in der Marktuntersuchung. **Formulierung:** „Browser-Speicher sind besser als Wiederverwendung; ein eigener Manager ist plattformunabhängig und unabhängig vom Browser-Konzern.“ `[T3-16 ✓, T3-21 ✎]` - **25 oder 20–25 Zeichen?** Die BSI-Seite ist uneinheitlich; „mindestens 25 Zeichen“ verwenden. `[T3-01 ✓]` - **„Komplexität ist egal“** ist zu pauschal: NIST verbietet Kompositionszwang, das BSI nennt weiterhin auch die Variante kurz und komplex. **Formulierung:** „Länge schlägt Komplexität.“ `[T3-01 ✓, T3-11 ✓]` - (Prüfer-Ergänzung) Die VZ-Seite zu starken Passwörtern verweist noch auf einen Test der Stiftung Warentest vom Januar 2022; der ist veraltet. Quelle: https://www.verbraucherzentrale.de/wissen/digitale-welt/datenschutz/starke-passwoerter-erstellen-so-schuetzen-sie-ihre-onlinekonten-effektiv-11672 --- ## 6. Empfohlene Werkzeuge ### 6.1 Steckbrief KeePassXC (lokal, ohne Konto) | | | |---|---| | Was | kostenlos, quelloffen (GPL-2 oder GPL-3), lokale verschlüsselte .kdbx-Datei; kein Konto, keine Cloud, keine Werbung, kein Abo | | Wer | „KeePassXC Team“, fünf Maintainer, finanziert über Spenden; Impressum: Janek Bevendorff, Weimar | | Version | 2.8.0 vom 21.10.2026 ⚡ | | Plattformen | Windows 10/11 (x64, ARM64), macOS 12+, Linux; Windows 7/8/8.1 nur noch Legacy-Installer 2.7.12 ohne Support | | Handy | keine eigene App; Partner-Apps: KeePassDX oder Keepass2Android (Android), KeePassium (iPhone/iPad/Mac) | | Browser | Erweiterung für Chrome, Chromium, Vivaldi, Brave, Firefox, Tor Browser, Edge – nicht Safari | | Passkeys | ja, seit 2.7.7, nur über die Browser-Erweiterung; kein Credential Exchange | | TOTP | ja (Warnung: in derselben Datenbank schwächt das die 2FA) | | Prüfungen | Audit 2023 (2.7.4); ANSSI-Sicherheitsvisum CSPN-2025/16 für 2.7.9 unter Windows 10, gültig bis 17.11.2028, vom BSI anerkannt; BSI-Marktuntersuchung 2025 (2.7.9): „keine Bedenken“ | | Sync | nicht eingebaut: Datei in Nextcloud, Syncthing oder einem Cloud-Ordner ablegen | | Wiederherstellung | keine – Master-Passwort (und ggf. Schlüsseldatei) weg heißt Daten weg | **Fakten im Einzelnen** - **Version 2.8.0** (21.10.2026): erste stabile Version der 2.8-Reihe, u. a. Qt 6, Auto-Type unter Wayland, frei belegbare Tastenkürzel, Remote-Sync über externe Werkzeuge, native ARM64-Builds für Windows. Behebt fünf Lücken der Stufe niedrig bis mittel, die alle 2.7.x-Versionen betreffen: zwei im Import alter KDB-Dateien (u. a. CVE-2026-69150), zwei in der Browser-Integration, eine bei der SSH-Übergabe an Pageant unter Windows; laut Team „none of the vulnerabilities affect core functionality or cryptography“. Davor: 2.8.0-beta1 (23.9.2026), 2.7.12 (10.3.2026). `[T4-01 ✓ ⚡, T7-14 ✓ · 2026-10-21]` Quellen: https://keepassxc.org/blog/2026-10-21-2.8.0-released/ · https://api.github.com/repos/keepassxreboot/keepassxc/releases/tags/2.8.0 · https://github.com/keepassxreboot/keepassxc/releases/tag/2.8.0 (Prüfer-Ergänzung) Für Windows 7/8/8.1 gibt es nur noch 2.7.12, „no longer supported after version 2.7.12“ – diese Fixes kommen dort nicht an. Botschaft: aktuell halten. Quelle: https://keepassxc.org/download/ - **Lizenz und Prinzip.** README: „KeePassXC code is licensed under GPL-2 or GPL-3“; Website: „Free and open source“, „No cloud, no ads, no subscriptions“, „no data is stored on remote servers“. Laut FAQ für Menschen, die „don't want to use an online service to store their passwords“. Spenden decken Server, CI, Code-Signing und Apple-Gebühren. `[T4-02 ✓ · 2026-10-25]` Quellen: https://raw.githubusercontent.com/keepassxreboot/keepassxc/develop/README.md · https://keepassxc.org/ · https://keepassxc.org/docs/ · https://keepassxc.org/donate/ (Prüfer-Ergänzung) Passend zum Di.day: Spenden gehen auch per SEPA und Wero an ein deutsches Konto (Empfänger Janek Bevendorff), ohne US-Zahlungsdienst. Quelle: https://keepassxc.org/donate/ - **Wer steht dahinter.** Keine Firma, sondern das internationale „KeePassXC Team“ mit fünf Maintainern (zwei Kern-Maintainer mit Admin-Zugang), finanziert über Spenden. Impressum: Janek Bevendorff, Friesstr. 1, 99423 Weimar; auch der ANSSI-Bericht nennt das Team in Weimar als Entwickler. Ob die Mitglieder ehrenamtlich arbeiten, sagt das Projekt nicht ausdrücklich. KeePassXC ist ein Fork des eingestellten KeePassX. `[T4-03 ✎ · 2026-10-25]` Quellen: https://keepassxc.org/team/ · https://messervices.cyber.gouv.fr/visas/ANSSI-CSPN-2025-16-rapport.pdf · https://keepassxc.org/blog/2025-11-09-about-keepassxcs-code-quality-control/ · https://keepassxc.org/docs/ - **Plattformen und Installation.** Windows: MSI-Installer (braucht die MSVC-Redistributable), portable ZIP, Microsoft Store, winget (`winget install -e --id KeePassXCTeam.KeePassXC`), Chocolatey. macOS 12+: DMG für Apple Silicon und Intel oder Homebrew (`brew install --cask keepassxc`). Linux: Flatpak von Flathub („Recommended … with automatic updates“), AppImage, Snap, PPA, Distributionspakete. FAQ zu Handy-Apps: „porting it properly to mobile platforms would require a full rewrite“. `[T4-04 ✓ ⚡ · 2026-10-25]` Quellen: https://keepassxc.org/download/ · https://keepassxc.org/docs/ - **KeePass ist nicht KeePassXC.** Zwei Projekte mit demselben Dateiformat (KDBX). Das Original KeePass von Dominik Reichl ist in C#/.NET geschrieben und vor allem für Windows gedacht (sonst über Mono), aktuell 2.61.1 vom 1.5.2026, GPL v2 oder neuer. KeePassXC ist in C++/Qt geschrieben und läuft nativ unter Windows, macOS und Linux. Die KeePass-Downloadseite führt KeePassXC als „Alternative“ für Linux und macOS. `[T4-05 ✎ · 2026-10-25]` Quellen: https://keepassxc.org/docs/ · https://keepass.info/news/news_all.html · https://keepass.info/help/v2/license.html · https://keepass.info/download.html (Prüfer-Ergänzung) KeePassXC unterstützt bewusst keine Plugins; die FAQ nennt KeePass2-Plugins „inherently dangerous“. Quelle: https://keepassxc.org/docs/ - **Browser-Erweiterung.** Offiziell für Chrome, Vivaldi, Brave, Firefox, Tor Browser, Edge und Chromium; Safari fehlt. „On Linux, Flatpak and Snap based browsers are generally not supported. Ubuntu’s Firefox Snap is currently the only known exception.“ Einrichtung: Werkzeuge > Einstellungen > Browser-Integration aktivieren, Browser wählen, Datenbank entsperren, in der Erweiterung „Verbinden“ klicken, Verbindung benennen. `[T4-06 ✓ ⚡ · 2026-10-25]` Quellen: https://keepassxc.org/docs/KeePassXC_GettingStarted.html · https://keepassxc.org/docs/KeePassXC_UserGuide.html (Prüfer-Ergänzung) Für iPhone- und Mac-Nutzer mit Safari ist KeePassium mit dem System-AutoFill die praktikable Lösung; KeePassium speichert Passkeys im KeePassXC-Format. Quelle: https://keepassium.com/blog/2024/12/keepassium-2.0 - **Passkeys.** Seit 2.7.7 (GitHub-Release 9.3.2024 UTC, Blog 10.3.2024): „Passkeys are only supported with the use of the KeePassXC Browser Extension“, Option „Enable Passkeys“ einschalten. Exportierte .passkey-Dateien (JSON) sind unverschlüsselt. 2.7.12 setzt die BE/BS-Flags: „NOTE: MAY BREAK EXISTING PASSKEYS“. Seit 2.7.10 übernimmt KeePassXC Passkeys beim Bitwarden-Import. `[T4-07 ✓ ⚡, T6-21 ✓ · 2026-10-25]` Quellen: https://keepassxc.org/blog/2024-03-10-2.7.7-released/ · https://keepassxc.org/docs/KeePassXC_UserGuide.html · https://api.github.com/repos/keepassxreboot/keepassxc/releases/tags/2.7.12 · https://www.heise.de/news/KeePassXC-2-7-12-DLL-Schutz-Passkey-Aenderungen-und-TOTP-in-Auto-Type-11206934.html (Prüfer-Ergänzung) Abhilfe bei gebrochenen Passkeys laut heise (11.3.2026): Attribute KPEX_PASSKEY_FLAG_BE=0 und KPEX_PASSKEY_FLAG_BS=0 setzen. Wichtig für die Umzugshilfe. Quelle: heise-Link oben - **TOTP.** KeePassXC berechnet TOTP-Codes „like any authenticator app, such as Google Authenticator“. Warnung: „Storing TOTP codes in the same database as the password will eliminate the advantages of two-factor authentication. If you desire maximum security, we recommend keeping TOTP codes in a separate database that you only unlock when needed.“ Die Rechneruhr muss synchronisiert sein. `[T4-08 ✓ · 2026-10-25]` Quelle: https://keepassxc.org/docs/KeePassXC_GettingStarted.html - **Audit 2023.** Zaur Molotnikov prüfte KeePassXC 2.7.4 (abgeschlossen 19.1.2023, veröffentlicht 15.4.2023, für das Team kostenlos): Kryptografie ausreichend – unter der Bedingung starker Anmeldedaten und des neuesten Dateiformats –, Code „written well and exercises defensive coding sufficiently“, Kernfunktionen empfohlen. Verbesserungsbedarf: Geheimnisse sollen nach dem Sperren nicht im Speicher bleiben. Ein Audit gilt nur „for a ‚snapshot‘“. `[T4-09 ✓ · 2023-04-15]` Quellen: https://keepassxc.org/blog/2023-04-15-audit-report/ · https://keepassxc.org/audits/ · https://keepassxc.org/docs/ (Prüfer-Ergänzung) Alte KDBX-3.1-Datenbanken auf KDBX 4 umstellen. Quelle: Audit-Blogpost (oben) - **ANSSI-Sicherheitsvisum.** „ANSSI-CSPN-2025/16, KEEPASSXC version 2.7.9, Paris, le 17/11/2025“, Prüflabor Synacktiv, Konfiguration AMD64 für Windows 10, gültig bis 17.11.2028. Anerkannt über das Abkommen BSZ_CSPN zur gegenseitigen Anerkennung zwischen BSI und ANSSI. Geprüft: Bildschirmaufnahme-Schutz, Zwischenablage-Schutz, Datenbank- und Speicherschutz, Abfrage bei jedem Passwortzugriff der Browser-Erweiterung, Abschottung von KeeShare, ssh-agent-Anbindung. Auflage: „Utiliser un mot de passe robuste pour la base de données“. `[T4-10 ✓ · 2025-11-17]` Quellen: https://messervices.cyber.gouv.fr/visas/ANSSI-CSPN-2025-16-rapport.pdf · https://keepassxc.org/audits/ · https://keepassxc.org/blog/2025-11-23-2.7.11-released/ · https://www.privacyguides.org/news/2025/11/25/keepassxc-awarded-anssi-security-visa/ (Prüfer-Ergänzung) Auftraggeber war die ANSSI selbst. Der Bericht betont, die Zertifizierung sei „pas en soi une recommandation du produit“ und garantiere keine völlige Fehlerfreiheit. Quelle: ANSSI-PDF (oben) - **BSI-Marktuntersuchung 2025:** „keine Bedenken“ für 2.7.9, siehe 5.1. **BSI-Codeanalyse CAOS 3.0** betraf das klassische KeePass, nicht KeePassXC, siehe 5.1. `[T3-20 ✓, T4-11 ✓]` - **Synchronisation.** „You can safely store your database file in the cloud (OneDrive, Dropbox, Google Drive, Nextcloud, Syncthing, etc.). The database file is always fully encrypted; unencrypted data is never written to disk and is never accessible to your cloud storage provider. We recommend using a storage service that keeps automatic backups (version history)“. Neu in 2.8.0: Remote-Sync über rsync, ssh, scp – „Syncing is not an atomic operation“; Änderungen zwischen Download und Upload werden überschrieben. `[T4-12 ✓ · 2026-10-25]` Quellen: https://keepassxc.org/docs/KeePassXC_GettingStarted.html · https://keepassxc.org/docs/KeePassXC_UserGuide.html · https://keepassxc.org/docs/ - **Zusammenführen und Standardeinstellungen.** „Datenbank → Aus Datenbank zusammenführen“: Pro Eintrag gewinnt die zuletzt geänderte Version, die ältere wandert in den Verlauf – so lassen sich Konfliktkopien aus Cloud-Ordnern vereinen. Standardwerte laut Quellcode: bei externer Änderung automatisch neu laden (an), nach jeder Änderung speichern (an), **Sicherungskopie vor dem Speichern (aus)**, Sperre bei Inaktivität (an, 900 Sekunden), atomares Speichern (an; für problematische Cloud-Clients gibt es einen Temp-Datei-Modus). `[T4-13 ✓ ⚡ · 2026-10-25]` Quellen: https://keepassxc.org/docs/KeePassXC_UserGuide.html · https://raw.githubusercontent.com/keepassxreboot/keepassxc/develop/src/core/Config.cpp · https://raw.githubusercontent.com/keepassxreboot/keepassxc/develop/src/gui/ApplicationSettingsWidgetGeneral.ui - **Sync-Konflikte.** Syncthing führt Dateiinhalte nie zusammen; bei gleichzeitigen Änderungen wird die ältere Fassung in „.sync-conflict---.kdbx“ umbenannt. Das KeePassDX-Wiki warnt vor Beschädigung, wenn Syncthing während des Speicherns läuft, rät zu zeitlich getrenntem Speichern und Sync und zu manuellen Backups; Nextcloud kann der App beim Sync den Dateizugriff entziehen, bei Google Drive, Dropbox und OneDrive gibt es Cache- und Speicherprobleme bis hin zu Datenverlust. `[T4-14 ✓ · 2026-10-25]` Quellen: https://docs.syncthing.net/users/syncing.html · https://github.com/Kunzisoft/KeePassDX/wiki/File-Manager-and-Sync - **Android-Apps und Konflikte (älterer Test).** ctrl.blog (23.2.2021): Mehrere Android-KeePass-Apps überschrieben Änderungen anderer Geräte ohne Warnung; KeePassDX warnte, überschrieb aber nach Ignorieren der Warnung; KeePass2Android bot Zusammenführen an. Heute kann KeePassDX zusammenführen (seit 3.2.0) und danach automatisch speichern (seit 3.5.0); die Warnung bei externen Änderungen erscheint laut Wiki aber nicht immer. `[T4-15 ✓ ⚡ · 2021-02-23 / 2026-10]` Quellen: https://www.ctrl.blog/entry/keepass-file-conflicts-android/ · https://github.com/Kunzisoft/KeePassDX/wiki/File-Manager-and-Sync - **Kein Wiederherstellungsweg.** „Losing the database password might result in permanent locking of your database and you will not be able to retrieve information“; „Deletion of the database file will result in the total loss of all your information“. FAQ zur Schlüsseldatei: Sie darf sich nie ändern („If the file changes, it is as if you forgot your password and you will lose access to your database“), gehört getrennt von der Datenbank aufbewahrt und nicht in denselben Cloud-Ordner; „If you lose your key file, you lose your database. Keep in mind that USB thumb drives are notoriously unreliable“. `[T4-16 ✓ · 2026-10-25]` Quellen: https://keepassxc.org/docs/KeePassXC_GettingStarted.html · https://keepassxc.org/docs/ (Prüfer-Ergänzung) Wer einen YubiKey oder OnlyKey ohne Sicherung des HMAC-Secrets verliert, verliert dauerhaft den Zugang; die YubiKey-Umsetzung ist nicht kompatibel mit KeePass2/KeeChallenge. Quelle: https://keepassxc.org/docs/ - **Erste Datenbank.** Assistent in drei Schritten: Name, Verschlüsselungseinstellungen („we don’t recommend making any changes besides … the decryption time using the slider“), „We recommend using a long, randomized password“; dann .kdbx speichern. Neuer Eintrag mit Strg+N, Passwort über das Würfel-Symbol, Icon per Download-Knopf. Quick Unlock ist standardmäßig aktiv unter Windows (Windows Hello) und macOS (Touch ID, Apple Watch). Seit 2.7.11 sperrt sich die Datenbank standardmäßig nach 15 Minuten Inaktivität. Datenbankberichte prüfen die Passwortgesundheit, optional gegen Have I Been Pwned. `[T4-24 ✓ ⚡ · 2026-10-25]` Quellen: https://keepassxc.org/docs/KeePassXC_GettingStarted.html · https://keepassxc.org/blog/2025-11-23-2.7.11-released/ · https://raw.githubusercontent.com/keepassxreboot/keepassxc/develop/src/core/Config.cpp · https://raw.githubusercontent.com/keepassxreboot/keepassxc/develop/README.md **Widerspruch aufgelöst:** Das BSI schrieb (getestet 2.7.9), KeePassXC sperre sich standardmäßig nicht selbst. Das stimmte für 2.7.9; seit 2.7.11 ist die Sperre nach 900 Sekunden Standard. - **Import.** CSV, 1Password (.1pux, .opvault), Bitwarden (.json), Proton Pass (.json), KeePass 1 (.kdb), entfernte .kdbx. „CSV, 1Password Export, Bitwarden, and Proton Pass files are unencrypted and should be securely deleted after import“. Details in 8.1. `[T4-25 ✓, T7-13 ✓ · 2026-10-25]` Quellen: https://keepassxc.org/docs/KeePassXC_UserGuide.html · https://api.github.com/repos/keepassxreboot/keepassxc/releases/tags/2.7.10 · https://www.privacyguides.org/en/passwords/ - **Zielgruppe.** KeePassXC beschreibt sich als Werkzeug für „people with extremely high demands of secure personal data management“, sagt aber im selben Guide auch, es biete Funktionen „for novice and power users alike“ (README: „can be used by anyone“). Ehrlich für Laien: volle Kontrolle und keine Abhängigkeit, aber Sync und Backup in eigener Verantwortung (heise Download bemängelt „keine komfortable Synchronisationsfunktion“). `[T4-26 ✎ · 2026-10-25]` Quellen: https://keepassxc.org/docs/KeePassXC_GettingStarted.html · https://raw.githubusercontent.com/keepassxreboot/keepassxc/develop/README.md · https://www.heise.de/download/product/keepassxc - **Debian/Ubuntu-Paketfalle.** Im April 2024 entfernte der Debian-Maintainer Netzwerk- und Plugin-Funktionen aus dem Paket „keepassxc“ (2.7.7+dfsg.1-2), darunter die Browser-Integration; der volle Umfang steckt in „keepassxc-full“. Das KeePassXC-Team warnte damals öffentlich. In Debian 13 „trixie“ ist „keepassxc“ ein Übergangspaket, das von keepassxc-full oder keepassxc-minimal abhängt. Praxis: keepassxc-full oder Flatpak installieren. `[T4-21 ✓ ⚡ · 2026-10-25]` Quellen: https://heise.de/-9716004 · https://metadata.ftp-master.debian.org/changelogs/main/k/keepassxc/stable_NEWS · https://packages.debian.org/trixie/keepassxc - **KI-Debatte (für Rückfragen).** Seit Juni 2025 verlangt KeePassXC, dass überwiegend KI-erstellte Pull Requests gekennzeichnet werden. Anfang November 2025 löste das öffentliche Kritik aus. Am 9.11.2025 stellte das Team klar: „There are no AI features inside KeePassXC and there never will be!“, KI darf den Krypto-Code nicht umschreiben („Would we ever let AI rewrite our crypto stack? No.“), „no unreviewed AI code makes it into the code base“; jeder Beitrag wird Zeile für Zeile von einem Maintainer geprüft. `[T4-22 ✎ · 2025-11-09]` Quellen: https://keepassxc.org/blog/2025-11-09-about-keepassxcs-code-quality-control/ · https://api.github.com/repos/keepassxreboot/keepassxc/commits/c4b4be48a5e3d0b3d5dc61e1e5be21a55d9969c0 · https://lwn.net/Articles/1045807/ - **Gefälschte Downloads.** Über Bing-Anzeigen und Tippfehler-Domains (keeppaswrd[.]com, keegass[.]com, KeePass[.]me) wurde „KeeLoader“ verbreitet, ein verseuchtes **KeePass** (nicht KeePassXC): Es exportierte die Datenbank im Klartext und führte in einem Fall zu Ransomware (BleepingComputer, 19.5.2025). KeePassXC: „We strongly discourage downloading KeePassXC from third-party websites“. Nur keepassxc.org, offizielle Stores, winget, Homebrew oder Flathub. `[T4-23 ✓ · 2025-05-19]` Quellen: https://www.bleepingcomputer.com/news/security/fake-keepass-password-manager-leads-to-esxi-ransomware-attack/ · https://keepassxc.org/docs/KeePassXC_GettingStarted.html - (Prüfer-Ergänzungen, kurz) Wayland-Auto-Type (neu in 2.8.0) braucht die Desktop-Portale „Remote Desktop Portal“ und „Global Shortcuts Portal“, geht also nicht überall (https://keepassxc.org/docs/KeePassXC_UserGuide.html). Seit 2.8.0 können Windows-Admins Einstellungen per Group Policy erzwingen; Quick Unlock unter Linux über Polkit, unter macOS mit dem Gerätepasswort ohne Touch ID (https://api.github.com/repos/keepassxreboot/keepassxc/releases/tags/2.8.0). **Partner-Apps fürs Handy** - **KeePassDX (Android).** GPLv3, von Kunzisoft (Jeremy Jamet; französischsprachiger Einzelentwickler, Website ohne Impressum). F-Droid-Version 4.5.6 (Oktober 2026) kostenlos und ohne Internet-Berechtigung; Passkeys seit 4.2.0 (15.10.2025, ab Android 14), dazu TOTP und Autofill. Bei Google Play gibt es eine Pro-Version, die laut README nur optische Extras bietet („provides no functional advantage“). Ohne Internet-Berechtigung braucht die App einen Sync-Client (Syncthing, Nextcloud), der die Datei bereitstellt. `[T4-17 ✓ ⚡ · 2026-10-25]` Quellen: https://f-droid.org/packages/com.kunzisoft.keepass.libre/ · https://github.com/Kunzisoft/KeePassDX · https://github.com/Kunzisoft/KeePassDX/wiki/Passkeys · https://github.com/Kunzisoft/KeePassDX/releases/tag/4.2.0 - **Keepass2Android.** Von der KeePassXC-FAQ empfohlen; GPLv3, Hobby-Entwickler Philipp Crocoll aus Karlsruhe, spendenfinanziert, eingebaute Cloud-Speicheranbindungen (letztes Release v1.15-r6 vom 15.10.2026). Es gibt die Variante „Keepass2Android Offline“ ohne Netzwerkzugriff. `[T4-18 ✓ ⚡ · 2026-10-25]` Quellen: https://github.com/PhilippC/keepass2android · https://raw.githubusercontent.com/PhilippC/keepass2android/master/docs/README.md · https://philipp.crocoll.net/ · https://keepassxc.org/docs/ - **KeePassium (iOS/macOS).** Open Source (GPLv3) von KeePassium Labs S.à r.l., Bertrange, Luxemburg (Director Dr. Andrei Popleteev). Kosten: gratis mit einer Datenbank, Premium 19,99 €/Jahr, Pro einmalig 79,99 €. Premium ist „Rent-to-own“: Nach einem Jahr Abo behält man die App-Version vom Zahltag dauerhaft, spätere neue Funktionen nicht. Passkeys seit 2.0 (17.12.2024) im selben Format wie KeePassXC. Cure53 prüfte im Oktober 2024 Version 1.53: ein Befund „High“ (keine Stärkeprüfung der Passphrase) und zwei „Low“, laut Hersteller durch Warnhinweise behoben. Privacy Guides empfiehlt KeePassium. `[T4-19 ✎ ⚡ · 2026-10-25]` Quellen: https://keepassium.com/impressum/ · https://keepassium.com/pricing · https://support.keepassium.com/kb/license-rent-own/ · https://keepassium.com/blog/2024/12/keepassium-2.0 · https://keepassium.com/blog/2024/11/independent-security-audit-complete · https://www.privacyguides.org/en/passwords/ - **Strongbox (iOS/macOS) – nicht empfehlen.** Gründer Mark McGuill, Phoebe Code Limited (Hove, UK); Anfang 2025 von Applause übernommen (heise, 14.3.2025). Privacy Guides hat Strongbox am 15.3.2025 aus den Empfehlungen gestrichen. Die eigene README: „not compliant with the OSI definition … could be considered proprietary software … ‚Source Available‘“. Die KeePassXC-FAQ nennt Strongbox weiterhin. `[T4-20 ✓ ⚡ · 2026-10-25]` Quellen: https://www.heise.de/en/news/Keepass-client-Strongbox-bought-up-Users-worried-10316743.html?view=print · https://strongboxsafe.com/about/ · https://raw.githubusercontent.com/strongbox-password-safe/Strongbox/master/README.md · https://github.com/privacyguides/privacyguides.org/pull/2904 - (Prüfer-Ergänzung) **Unabhängige Empfehlung:** Privacy Guides empfiehlt als lokale Manager KeePassXC (Desktop), KeePassDX (Android) und KeePassium (iOS/macOS). Daraus ergibt sich das „KeePass-Set“ für Laien. Quelle: https://www.privacyguides.org/en/passwords/ ### 6.2 Steckbrief Bitwarden (Cloud) - **Open Source.** Die Apps stehen standardmäßig unter GPLv3 („The default license throughout the repository is GPL v3.0 unless the header specifies another license“; Code unter der Bitwarden License nur im Ordner /bitwarden_license für Enterprise-Funktionen). Der SDK-Lizenzstreit vom Oktober 2024 ist beigelegt: Die Apps lassen sich wieder allein aus GPL-Code bauen; das alte SDK heißt sdk-secrets und bleibt proprietär. `[T5-01 ✓ · 2026-10-25]` Quellen: https://github.com/bitwarden/clients/blob/main/LICENSE.txt · https://github.com/bitwarden/sdk-internal · https://github.com/bitwarden/clients/issues/11611 · https://www.theregister.com/2024/11/04/bitwarden_gpls_password_manager/ - **Sitz und Infrastruktur.** Bitwarden Inc., 1 North Calle Cesar Chavez, Suite 102, Santa Barbara, CA 93103 (USA); zertifiziert nach dem EU-U.S. Data Privacy Framework, kein EU-Vertreter genannt. Deutsche Hilfeseite: „Bitwarden verarbeitet und speichert alle Tresor-Daten sicher in der Microsoft Azure Cloud in den USA oder EU“ und „Da Bitwarden nur Dienstleistungen von Azure nutzt …“. Tresore werden vor dem Hochladen lokal verschlüsselt. Für den Di.day wichtig: Auch „Bitwarden EU“ hängt an einem US-Unternehmen und einem US-Hyperscaler. `[T5-02 ✓ · 2026-10-25]` Quellen: https://bitwarden.com/privacy/ · https://bitwarden.com/de-de/help/data-storage/ - **EU-Region.** Vor der Registrierung im Feld „Server“ bzw. „Logging in on“ die EU wählen (Web-Tresor dann vault.bitwarden.eu). „Creating accounts on both server regions will not cause data to sync between the two.“ „Bitwarden cannot migrate accounts from one region to another“; ein Wechsel geht nur per Export, neuem Konto und Import (Abos überträgt der Support). Einen konkreten Standort der EU-Region nennt Bitwarden nicht. `[T5-03 ✓ · 2026-10-25]` Quellen: https://bitwarden.com/help/choose-my-server/ · https://bitwarden.com/help/server-geographies/ - **Preise.** Free 0 $; Premium 1,65 $/Monat, „Billed annually at $19.80“; Families 3,99 $/Monat, „Billed annually at $47.88“, bis 6 Personen. „Pricing shown in USD and based on an annual subscription. Taxes not included.“ Auch die deutsche Seite zeigt nur US-Dollar. Free: unbegrenzt viele Geräte und Passwörter, Passkeys, Teilen mit einer weiteren Person. Seit Anfang 2026 gelten diese Preise (vorher ca. 10 $ bzw. 40 $/Jahr). `[T5-04 ✓ ⚡ · 2026-10-25]` Quellen: https://bitwarden.com/pricing/ · https://bitwarden.com/de-de/pricing/ · https://www.thurrott.com/?p=332249 · https://www.mobiflip.de/bitwarden-passwortmanage-erhoeht-preis-und-ruestet-premium-massiv-auf/ - **Notfallzugang.** Nur für Premium-Nutzer (inkl. Mitglieder bezahlter Organisationen); die Vertrauensperson braucht nur ein (auch kostenloses) Konto auf demselben Server (.com oder .eu). Details in 8.3. Premium enthält außerdem TOTP-Authenticator, 5 GB für Anhänge und Berichte zum Tresorzustand; im Free-Tarif fehlt TOTP. `[T5-05 ✓ ⚡ · 2026-10-25]` Quellen: https://bitwarden.com/help/emergency-access/ · https://bitwarden.com/pricing/ - **Audits.** 2025: Cure53 (Browser-Erweiterung, Core, Desktop, Web-Tresor, RustCrypto), Applied Cryptography Group der ETH Zürich („Cryptography Report“, Annahme eines vollständig bösartigen Servers), Unit 42 von Palo Alto Networks (Mobil-Apps), Fracture Labs. 2024: IOActive, Mandiant, Cure53, Fracture Labs u. a. Audits seit 2018; dazu SOC 2 Type 2, SOC 3, ISO 27001, jährliches HIPAA-Audit. Für 2026 ist noch kein Audit eingetragen. `[T5-06 ✓ · 2026-10-25]` Quelle: https://bitwarden.com/help/is-bitwarden-audited/ - **Import.** Exporte aus Chrome/Edge, Firefox, Safari/macOS, LastPass, 1Password, KeePass, Dashlane u. a.; laut Import-FAQ und Quellcode auch ProtonPass (json), KeePass 2 (xml) und KeePass (kdbx). Direktimport per Credential Exchange unter iOS 26+ und Android 14+. „Importing does not check for duplicates“. Details in 8.1. `[T5-07 ✓ ⚡, T7-11 ✎ · 2026-10-25]` Quellen: https://bitwarden.com/help/import-data/ · https://bitwarden.com/help/import-faqs/ · https://github.com/bitwarden/clients/blob/main/libs/importer/src/models/import-options.ts **Widerspruch aufgelöst:** Die Hilfeseite nennt KeePassXC und Proton Pass nicht; Import-FAQ und Quellcode zeigen aber, dass beide Wege gehen. - **Passkeys.** Speichern und nutzen auch im Free-Tarif, in Browser-Erweiterungen, iOS ab 17 und Android ab 14. Seit dem Windows-11-Update vom November 2025 kann sich Bitwarden als systemweiter Passkey-Anbieter einklinken (zum Start teils noch als Beta beschrieben). `[T5-08 ✓ ⚡, T6-22 ✓ · 2026-10-25]` Quellen: https://bitwarden.com/help/storing-passkeys/ · https://bitwarden.com/pricing/ · https://heise.de/-11075433 - (Prüfer-Ergänzung) **Bitwarden Authenticator:** kostenlose, quelloffene TOTP-App für iOS und Android, ohne Bitwarden-Konto nutzbar – Ersatz für das fehlende TOTP im Free-Tarif. Quelle: https://bitwarden.com/products/authenticator/ - (Prüfer-Ergänzung) **Bitwarden lite** (früher Bitwarden Unified): Bitwardens eigenes Self-Hosting-Image in einem Docker-Container, auch für Raspberry Pi und NAS, „intended for personal use and home-labs“, seit Dezember 2025 nicht mehr Beta – die offizielle Alternative zu Vaultwarden. Quelle: https://bitwarden.com/help/install-and-deploy-lite/ ### 6.3 Steckbrief Vaultwarden (selbst gehostet) - **Was es ist.** Inoffizielle, in Rust geschriebene Server-Implementierung der Bitwarden-API unter AGPL-3.0; funktioniert mit den offiziellen Bitwarden-Apps. README: „This project is not associated with Bitwarden or Bitwarden, Inc.“ Einer der aktiven Maintainer ist bei Bitwarden angestellt und arbeitet in seiner Freizeit mit. Früher „bitwarden_rs“ (Umbenennung mit 1.21.0). Aktuell 1.37.4 vom 5.10.2026 (UTC). `[T5-09 ✓ ⚡ · 2026-10-25]` Quellen: https://github.com/dani-garcia/vaultwarden · https://github.com/dani-garcia/vaultwarden/releases/tag/1.37.4 - **Betriebspflichten – für Laien ohne Admin keine Empfehlung.** HTTPS ist „pretty much required“, weil der Web-Tresor Web-Crypto-APIs braucht. Sichern muss man Env-Datei, data-Verzeichnis und Datenbank; „We cannot be held liable for any data loss … We highly recommend performing regular backups.“ Ein öffentliches Audit nennt das README nicht. Version 1.37.4 schloss mehrere Lücken, darunter „Organization member revocation (High, 8.1)“ und „Two-factor authentication (Medium, 6.8)“, mit dem Rat „We strongly advise updating as soon as possible“. Sinnvoll für Homelab-Erfahrene, Vereine, Firmen mit eigener IT. `[T5-10 ✓ ⚡ · 2026-10-25]` Quellen: https://github.com/dani-garcia/vaultwarden/wiki/Enabling-HTTPS · https://github.com/dani-garcia/vaultwarden/wiki/General-(not-docker) · https://github.com/dani-garcia/vaultwarden/releases/tag/1.37.4 - **BSI-Codeanalyse 2024:** Lücken in 1.30.3, behoben in 1.32.0 (siehe 5.1). „Das BSI hat Vaultwarden für unsicher erklärt“ ist falsch bzw. veraltet. `[T3-25 ✓]` - **Notfallzugang ohne Premium** (standardmäßig an); SMTP technisch nicht zwingend, aber dringend empfohlen – Details in 8.3. `[T7-25 ✎]` ### 6.4 Steckbrief Proton Pass (Cloud, Schweiz) - **Unternehmen.** Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates (Genf), Schweizer Recht; EU-Vertreter Proton Europe sàrl, Luxemburg. Daten nur auf „binding request coming from the competent Swiss authorities“. Seit Juni 2024 ist die gemeinnützige Proton Foundation Hauptaktionärin, „no change of control can occur without the consent of the foundation“ (eine Mehrheitsquote nennt Proton nicht). Stiftungsrat u. a. Andy Yen, Carissa Véliz, Sir Tim Berners-Lee. `[T5-11 ✓ · 2026-10-25]` Quellen: https://proton.me/legal/privacy · https://proton.me/blog/proton-non-profit-foundation · https://proton.me/foundation - **Open Source – nur die Apps.** Android, iOS, Browser-Erweiterung und gemeinsame Bibliotheken stehen unter GPL-3.0 (aktiv gepflegt). Protons Open-Source-Seite: „All Proton apps are open source and have been independently audited“ – verlinkt sind nur App-Repositories, kein Server-Code. Deshalb „quelloffene Apps“ sagen, nicht „komplett quelloffen“. `[T5-12 ✓, T1-12 ✓ · 2026-10-25]` Quellen: https://github.com/protonpass/android-pass · https://github.com/protonpass/ios-pass · https://github.com/ProtonMail/WebClients · https://proton.me/community/open-source · https://proton.me/pass/security - **Preise** (jährliche Abrechnung, in USD angezeigt; Rabattpreise): Free 0 $; Pass Plus 2,99 $/Monat = 35,88 $/Jahr (regulär 4,99 $); Pass Family 4,99 $/Monat = 59,88 $/Jahr für 6 Personen (regulär 6,99 $); Proton Unlimited 9,99 $/Monat = 119,88 $/Jahr (regulär 12,99 $, inkl. Mail, Calendar, VPN, Drive). Euro-Preise wurden beim Abruf nicht angezeigt. `[T5-13 ✓ ⚡ · 2026-10-25]` Quelle: https://proton.me/pass/pricing - **Funktionen.** Free: 2 Tresore, 10 „Hide-my-email“-Aliase, Teilen mit 2 Personen, 1 GB, Passkeys; kein integrierter TOTP-Authenticator. Plus: 50 Tresore, unbegrenzt Aliase, Teilen mit 10 Personen, 10 GB, integrierter 2FA-Authenticator. Family: 6 Plus-Konten, Admin-Panel, 50 GB. Mit Aliasen gibt man pro Dienst eine eigene Weiterleitungsadresse heraus. `[T5-14 ✓ ⚡ · 2026-10-25]` Quelle: https://proton.me/pass/pricing (Prüfer-Ergänzung) **Proton Authenticator:** kostenlos, Open Source, iOS, Android, Windows, macOS, Linux, ohne Konto, Codes exportierbar. Quelle: https://proton.me/authenticator - **Audits.** Cure53 (Mai/Juni 2023; Mobil-Apps, Erweiterungen, API): „a moderate number of findings and most security vulnerabilities limited in severity“, offen blieb nur ein mittlerer Befund (Android-Plattformgrenze). Recurity Labs (Januar bis April 2026; Erweiterungen, Mobil- und Desktop-Apps, CLI): „well above par“, keine Remote-Exploits, keine Umgehung der Verschlüsselung; Hinweise zum Umgang mit Geheimnissen im Arbeitsspeicher, auf dem Desktop beim Retest behoben. Beide Audits hat Proton selbst beauftragt und in eigenen Blogbeiträgen zusammengefasst (branchenüblich; „unabhängig“ nicht überbetonen). `[T5-15 ✓ · 2026-05-12]` Quellen: https://proton.me/blog/proton-pass-audit-2026 · https://proton.me/blog/pass-open-source-security-audit - **Schweiz und Überwachungsverordnung (VÜPF).** Wegen der geplanten Revision der VÜPF begann Proton 2025, Teile seiner Infrastruktur nach Deutschland (und Norwegen) zu verlagern, zuerst den KI-Assistenten Lumo. Der Entwurf (Vernehmlassung 29.1. bis 6.5.2025) sah u. a. vor, dass Dienste ab 5.000 Nutzern diese identifizieren und Metadaten sechs Monate speichern. Andy Yen drohte im Mai 2025 mit dem Wegzug; im August 2025 stellte Proton klar: „not performing a gradual exit from Switzerland“ – Sitz, Lobbyarbeit und Investitionsschwerpunkt bleiben in Genf. `[T5-16 ✓ ⚡ · 2025-08-16]` Quellen: https://heise.de/-10538664 · https://cyberinsider.com/proton-confirms-gradual-exit-from-switzerland-over-surveillance-law-fears · https://www.techradar.com/vpn/vpn-privacy-security/we-would-be-less-confidential-than-google-proton-threatens-to-quit-switzerland-over-new-surveillance-law · https://www.admin.ch/de/newnsb/EXv-JkPBAZuL **Widerspruch aufgelöst:** Im Di.day-Teil war die Verlagerung nur als Trainingswissen markiert; durch T5-16 ist sie jetzt belegt. - **VÜPF heute nicht in Kraft** (Stand Oktober 2026). In der Frühjahrssession 2026 haben National- und Ständerat zwei gleichlautende Motionen (25.4273 Gapany, 25.4206 Feller) oppositionslos an den Bundesrat überwiesen: grundlegend überarbeiten und erneut in die Vernehmlassung geben. Bundesrat Beat Jans: Der Entwurf werde bereits überarbeitet, eine Regulierungsfolgenabschätzung laufe. Zweite Vernehmlassung laut Swico „auf Ende Jahr geplant“ (noch nicht eröffnet gefunden). Ergebnisbericht zur ersten Vernehmlassung: 11.2.2026. `[T5-17 ✓ ⚡ · 2026-10-25]` Quellen: https://www.swico.ch/media/filer_public/42/75/427561f8-d830-4fff-822a-d657ef1b4e2a/sessionsruckblick_swico_v1.pdf · https://www.admin.ch/de/newnsb/EXv-JkPBAZuL · https://www.watson.ch/wirtschaft/digital/999868136-vuepf-neue-vernehmlassung-fuer-geplante-verschaerfung-der-ueberwachung (Prüfer-Ergänzung) Ein im Mai 2026 geleakter Entwurf „VÜPF 2.0“ (datiert Februar 2026) hebt die Schwelle auf mehr als 100.000 Kunden an und lässt die Ende-zu-Ende-Verschlüsselung unangetastet; Proton, Threema und Tresorit wären weiter betroffen. Quelle: https://www.watson.ch/schweiz/digital/931849271-ueberwachung-geleakter-entwurf-zu-vuepf-revision-sorgt-fuer-neue-kritik - **Rechenzentrum Frankfurt.** Proton betreibt primäre Datenbankkopien in Frankfurt (Ausweichstandort Zürich). In der Nacht 26./27.8.2026 fiel dort die Kühlung komplett aus (Filterwechsel an beiden redundanten Kompressoren ohne Vorankündigung); Proton-Dienste waren ein bis zwei Stunden gestört. Laut Proton gingen keine E-Mails verloren, einige Server wurden durch Überhitzung zerstört. Ob Proton-Pass-Daten betroffen waren, sagt der Bericht nicht. `[T5-18 ✎ · 2026-08-28]` Quelle: https://proton.me/blog/august-27-outage-incident-report - **Vertrauensdebatte (für Rückfragen).** Ende 2024 lobte CEO Andy Yen auf X die Republikaner als Partei der „little guys“ (Kontext: Trumps Kartellpolitik, Nominierung Gail Slaters). Im Januar 2025 eskalierte die Debatte, als offizielle Proton-Konten ihn verteidigten und die Beiträge dann löschten („internal miscommunication“); Proton betonte seine politische Neutralität. Yen räumte später auf Reddit ein, sein Beitrag sei ungeschickt gewesen. `[T5-19 ✎ · 2025-02]` Quellen: https://theintercept.com/2025/01/28/proton-mail-andy-yen-trump-republicans/ · https://en.wikipedia.org/wiki/Proton_AG - **Passkeys, Credential Exchange, Notfallzugang, Import/Export:** Passkeys in allen Tarifen; Credential Exchange erst angekündigt (Roadmap 15.10.2026) – siehe 7.6. Notfallzugang mit Bezahltarif seit 28.8.2025 – siehe 8.3. Import/Export – siehe 8.1. `[T6-20 ✓, T7-26 ✓, T7-15 ✎]` ### 6.5 Vergleichstabelle | | KeePassXC (+ KeePassDX / KeePassium) | Bitwarden (Cloud, EU-Region) | Vaultwarden (selbst gehostet) | Proton Pass | |---|---|---|---|---| | **Open Source** | ja: GPL-2/3; Apps GPLv3 | Apps GPLv3, Server veröffentlicht; Enterprise-Teile proprietär | ja, AGPL-3.0 (inoffiziell) + Bitwarden-Apps | Apps GPL-3.0; Server-Code nicht veröffentlicht | | **Sitz / Rechtsraum** | kein Unternehmen; Team mit Impressum in Weimar (DE). KeePassDX: Einzelentwickler (FR); KeePassium: Luxemburg | Bitwarden Inc., USA; EU-Region auf Microsoft Azure; EU-U.S. DPF | dort, wo man selbst hostet | Proton AG, Genf (Schweiz, **nicht EU**); Teile der Infrastruktur in Frankfurt | | **Kosten privat** ⚡ | kostenlos; KeePassium Free (1 DB), Premium 19,99 €/Jahr, Pro 79,99 € einmalig | Free 0 $; Premium 19,80 $/Jahr; Families 47,88 $/Jahr (6 Pers.); USD zzgl. Steuern | Software kostenlos; Server und Betrieb selbst; Notfallzugang ohne Premium | Free 0 $; Plus 35,88 $/Jahr; Family 59,88 $/Jahr (6 Pers.); Rabattpreise in USD | | **Sync** | keiner eingebaut: Nextcloud, Syncthing oder Cloud-Ordner selbst einrichten | automatisch, Ende-zu-Ende-verschlüsselt | automatisch über eigenen Server | automatisch, Ende-zu-Ende-verschlüsselt | | **Plattformen** | Windows, macOS, Linux; Android (KeePassDX, Keepass2Android), iOS (KeePassium) | Browser-Erweiterungen, Desktop, Web, iOS, Android | alle Bitwarden-Apps | Browser-Erweiterungen, Web, iOS, Android, Windows-App | | **Passkeys** | ja (nur via Browser-Erweiterung, nicht Safari); KeePassDX ab 4.2.0, KeePassium ab 2.0; kein Credential Exchange | ja, auch Free; Credential Exchange iOS 26 / Android 14+ | über Bitwarden-Apps; Credential Exchange mit Vaultwarden ungetestet | ja, alle Tarife; Credential Exchange angekündigt | | **TOTP** | ja (Warnung beachten) | nur Premium; kostenlos: Bitwarden Authenticator | über Bitwarden-Apps | nur Plus; kostenlos: Proton Authenticator | | **Notfallzugang** | keiner (Backup + Notfallblatt) | Premium/Families | ja, ohne Premium (SMTP einrichten) | Bezahltarif, bis 5 Kontakte | | **Eignung für Laien** (unsere Einschätzung) | gut bei einem Hauptgerät und Wunsch nach Kontrolle; mehrere Geräte/Familie anspruchsvoll (Sync, Backups) | sehr einsteigerfreundlich; Di.day: „zweite Wahl“ (US) | nur mit Admin-Kenntnissen oder Betreuung (HTTPS, Backups, Updates) | sehr einsteigerfreundlich; Extra: E-Mail-Aliase | | **Fundstellen** | T4-01–T4-26 | T5-01–T5-08 | T5-09, T5-10, T7-25 | T5-11–T5-18, T6-20, T7-26 | **Faustregel für die Empfehlung:** Ein Hauptrechner und Lust auf Kontrolle → KeePassXC. Mehrere Geräte, Familie, Bequemlichkeit → Proton Pass. Eigener Server oder IT im Haus (Verein, Firma) → Vaultwarden. Wer schon Bitwarden nutzt oder es explizit möchte → Bitwarden mit EU-Region, offen als Abweichung vom Di.day-Rezept benannt. ### 6.6 Bordmittel – fair bewertet Grundsatz: Die Passwortmanager von Apple, Google, Microsoft und Mozilla sind **sicher und viel besser als wiederverwendete Passwörter**. Das Argument dagegen ist die Bindung an ein Ökosystem und die Abhängigkeit von Big Tech, nicht mangelnde Sicherheit. | | Apple Passwörter | Google Passwortmanager | Firefox | Microsoft Edge | |---|---|---|---|---| | Plattformen | iPhone, iPad, Mac, Vision Pro; Windows nur über iCloud für Windows (Browser-Erweiterung); keine Android-App erwähnt | Chrome, Android | Firefox auf allen Systemen; kein systemweites Autofill außerhalb des Browsers | Edge; nur mit privatem Microsoft-Konto-Profil | | Verschlüsselung | nicht recherchiert | standardmäßig hält Google den Schlüssel; „Verschlüsselung auf dem Gerät“ optional und danach nicht abschaltbar | Sync Ende-zu-Ende (AES-256-CBC + HMAC-SHA256), Mozilla kann nicht lesen | nicht recherchiert | | BSI-Marktuntersuchung | nicht getestet | Chrome: Herstellerzugriff bei Sync im Standardmodus; eigene Sync-Passphrase empfohlen | „keine Bedenken“; Hauptpasswort setzen | nicht getestet | | Umzug | CSV; ab iOS/macOS 26 Credential Exchange | CSV; ab Play-Dienste 26.21 Credential Exchange | CSV | CSV | | Besonderheit | Nachlasskontakt erbt **keine** Passwörter | Schlüsselverlust bei On-Device-Verschlüsselung = alle Passwörter weg | Open Source, gemeinnützige Mozilla – passt unter den Bordmitteln am besten zum Di.day | Authenticator-Passwörter wurden 2025 nach Edge umgezogen | - **Apple Passwörter.** Seit iOS 18 / macOS 15 Sequoia; verwaltet Passwörter, Passkeys, Bestätigungscodes, WLAN-Passwörter und „Mit Apple anmelden“. Unter Windows greift man mit iCloud für Windows über „iCloud Passwords“ in Chrome und Edge zu. Seit iOS/iPadOS/macOS 26 Übergabe an andere Manager per FIDO CXP/CXF (beide Apps müssen es unterstützen). Fazit: kostenlos und sicher, bindet aber an Apple-Geräte – schwierig in Haushalten mit iPhone und Android. `[T5-24 ✓ ⚡ · 2026-10-25]` Quellen: https://support.apple.com/en-us/120758 · https://heise.de/-10452032 · https://support.apple.com/guide/icloud-windows/manage-passwords-icwa812f1681/icloud - **Google Passwortmanager.** Standardmäßig verwahrt Google den Schlüssel im Google-Konto. Mit der „Verschlüsselung auf dem Gerät“ hält der Nutzer den Schlüssel; einmal eingerichtet, „it can't be removed“. Wer alle angemeldeten Geräte verliert, verliert alle Passwörter; zurück geht es nur per Reset, der alle gespeicherten Passwörter löscht. CSV-Export möglich, aber unverschlüsselt. `[T5-25 ✓ ⚡ · 2026-10-25]` Quellen: https://support.google.com/accounts/answer/11350823 · https://support.google.com/chrome/answer/13068232 - **Firefox.** Synchronisiert Passwörter Ende-zu-Ende-verschlüsselt (AES-256-CBC mit HMAC-SHA256), mit einem Schlüssel, der auf dem Gerät aus dem Passwort des Mozilla-Kontos abgeleitet wird; Mozilla kann die Daten nicht lesen. AES-256-GCM nutzt Firefox nur für die lokale Login-Speicherung. Das BSI hatte keine Bedenken, empfiehlt aber ein Hauptpasswort. `[T5-26 ✎, T3-21 ✎ · 2026-10-25]` Quellen: https://hacks.mozilla.org/2018/11/firefox-sync-privacy/ · https://mozilla-services.readthedocs.io/en/latest/sync/storageformat5.html · https://github.com/mozilla/application-services/blob/main/components/logins/README.md - **Microsoft: Lock-in-Lehrstück Authenticator.** Ab Juni 2025 keine neuen Passwörter mehr im Microsoft Authenticator, ab Juli kein Autofill, seit Mitte August 2025 sind gespeicherte Passwörter in der App nicht mehr abrufbar. Passwörter und Adressen liegen weiter im Microsoft-Konto bzw. in Edge (edge://wallet/passwords); der Verlauf generierter Passwörter und die Zahlungsdaten wurden nicht übernommen. Passkeys (z. B. Arbeit/Schule) und MFA bleiben im Authenticator. Wer nicht zu Edge wollte, musste vorher als CSV exportieren. Lehre: Der Anbieter streicht eine Funktion, und die Nutzer müssen in wenigen Wochen umziehen. `[T5-23 ✓, T7-09 ✓ · 2025-08]` Quellen: https://cyberinsider.com/microsoft-to-retire-password-autofill-in-authenticator-by-august-2025/ · https://support.microsoft.com/de-de/authenticator/changes-to-microsoft-authenticator-autofill · https://learn.microsoft.com/en-us/answers/questions/2387488/what-are-the-implications-of-authenticator-autofil - **Edge.** „Microsoft Password Manager in Edge is only available if you sign in with a personal account profile.“ `[T7-08 ✓ · 2026-10-25]` Quelle: https://support.microsoft.com/en-US/authenticator/changes-to-microsoft-authenticator-autofill ### 6.7 Gegenbeispiele und weitere Anbieter **LastPass – fair bewertet** - **Was passiert ist (2022).** Laut britischer Datenschutzbehörde ICO lief der Angriff in zwei Schritten: Erst wurde der Firmenlaptop eines Mitarbeiters in Europa kompromittiert. Dann griffen die Angreifer das private Gerät eines leitenden Mitarbeiters über eine bekannte Lücke in einem Streaming-Dienst eines Drittanbieters an; ein Keylogger zeichnete sein Master-Passwort auf, ein Cookie eines vertrauenswürdigen Geräts umging die MFA. In seinem Tresor lagen ein AWS-Zugangsschlüssel und ein Entschlüsselungsschlüssel, mit denen die Angreifer eine Backup-Datenbank zogen: Namen, E-Mail-Adressen, Telefonnummern, Rechnungs- und IP-Adressen, Firmennamen, die **unverschlüsselten** gespeicherten Website-URLs und die verschlüsselten Tresore. `[T5-20 ✓ · 2025-12-11]` Quellen: https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2025/12/password-manager-provider-fined · https://bleepingcomputer.com/news/security/uk-fines-lastpass-over-2022-data-breach-impacting-16-million-users (Prüfer-Ergänzung) Lehre: Auch Metadaten zeigen, wo jemand Konten hat, und ermöglichen gezieltes Phishing. Quelle: BleepingComputer (oben) - **Folgen.** Die gestohlenen Tresore werden seit Jahren offline geknackt. Im März 2025 beschlagnahmten Secret Service und FBI rund 24 Mio. $ aus einem 150-Mio.-$-Krypto-Diebstahl vom 30.1.2024 und führen ihn auf dieselben Angreifer zurück. Betroffen waren oft langjährige Kunden mit schwachen Master-Passwörtern und alten Konten mit wenigen Iterationen, viele hatten Seed-Phrasen in „Secure Notes“. TRM Labs verfolgte über 28 Mio. $ (Ende 2024/Anfang 2025) und weitere ca. 7 Mio. $ (September 2025), ausgezahlt über russlandnahe Börsen; die Zuordnung ist „not based on direct attribution to individual LastPass accounts“. LastPass sagt, die Ermittler hätten „not made us aware of any conclusive evidence“. `[T5-21 ✓ · 2026-01-02]` Quellen: https://krebsonsecurity.com/2025/03/feds-link-150m-cyberheist-to-2022-lastpass-hacks/ · https://bleepingcomputer.com/news/security/cryptocurrency-theft-attacks-traced-to-2022-lastpass-breach - **Strafen und Vergleiche.** ICO: 1,2 Mio. £ Bußgeld gegen LastPass UK (11.12.2025), bis zu 1,6 Mio. britische Nutzer betroffen, **kein Beleg für entschlüsselte Passwörter**. USA: Sammelklage-Vergleich über bis zu rund 24,5 Mio. $ am 3.2.2026 vorläufig genehmigt (D. Mass., 1:22-cv-12047); Anhörung zur endgültigen Genehmigung am 14.7.2026, Ergebnis nicht verifiziert. Kanada: Vergleich am 18.2.2026 in British Columbia endgültig genehmigt (Summe unbelegt). `[T5-22 ✓ ⚡ · 2026-10-25]` Quellen: https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2025/12/password-manager-provider-fined · https://news.bloomberglaw.com/us-law-week/lastpass-gets-initial-nod-for-24-5-million-data-breach-deal · https://topclassactions.com/lawsuit-settlements/closed-settlements/8-2m-lastpass-data-breach-class-action-settlement/ · https://mobilesyrup.com/2026/03/27/canada-lastpas-data-breach-settlement-claim/ - **Faire Einordnung.** Die Verschlüsselung der Tresore hat grundsätzlich gehalten; gefallen sind vor allem Tresore mit schwachem Master-Passwort. Die eigentliche Lehre fürs Publikum: Ein langes, einzigartiges Master-Passwort schützt auch dann, wenn der Tresor gestohlen wird. Der Di.day empfiehlt LastPass wegen US-Sitz und US-Cloud nicht. `[T5-21 ✓, T5-22 ✓, T1-14 ✓]` **Weitere Anbieter (nicht empfohlen bzw. eher für Firmen)** - **NordPass.** Von Nord Security (operativ in Litauen, rechtlich über niederländische Gesellschaften organisiert; NordVPN ist in Panama eingetragen), proprietär, nicht Open Source – passt nicht zur Open-Source-Empfehlung. `[T5-30 ✎ · 2026-10-25]` Quellen: https://en.wikipedia.org/wiki/NordPass · https://en.wikipedia.org/wiki/Nord_Security - **KeeWeb.** Kaum gepflegt: nach 1.18.7 (18.7.2021) fast fünf Jahre keine Version, dann 1.18.8 (30.4.2026, „Bump electron to 13“ – eine seit Jahren veraltete Electron-Version) und 1.18.9 (8.5.2026). Für Laien nicht empfehlen. `[T5-29 ✓ ⚡ · 2026-10-25]` Quelle: https://github.com/keeweb/keeweb/releases - **Passbolt** (Passbolt SA, Belvaux, Luxemburg; AGPL-3.0): für Teams und Organisationen. Community Edition kostenlos und selbst gehostet; Pro 4,50 € pro Nutzer und Monat bei jährlicher Abrechnung und mindestens 10 Nutzern; kein Privat-Tarif. Aktiv gepflegt (passbolt_api v5.17.0, 20.10.2026). Interessant für Firmen wie Merlina Minds. `[T5-27 ✓ ⚡ · 2026-10-25]` Quellen: https://www.passbolt.com/pricing · https://github.com/passbolt/passbolt_api/releases - **Psono** (esaqa GmbH, Vorra; Community Edition Apache-2.0): „Open-Source Self-Hosted Password Manager for Companies“, alle Business-Funktionen bis 10 Nutzer kostenlos, Self-Hosting oder SaaS; kein Privat-Cloud-Tarif genannt. Für Laien ungeeignet. `[T5-28 ✓ · 2026-10-25]` Quellen: https://psono.com/ · https://gitlab.com/esaqa/psono/psono-server - **Im Di.day-Rezept genannte proprietäre Anbieter:** Sticky Password, 1Password, Dashlane – siehe 3.3. `[T1-13 ✓]` --- ## 7. Passkeys & 2FA ### 7.1 Was ist ein Passkey? (laienverständlich) - **Schlüsselpaar statt Geheimnis beim Dienst.** Ein Passkey ist ein kryptografisches Schlüsselpaar. Bei der Anmeldung schickt die Webseite eine Zufallszahl („Die Challenge ist nicht mehr als eine hinreichend große Zufallszahl.“), das Gerät signiert sie mit dem privaten Schlüssel, die Webseite prüft mit dem öffentlichen Schlüssel. Der Dienst speichert nur den öffentlichen Schlüssel. BSI: „Weil Sie Ihr Passwort durch Passkey ersetzen, gibt es keine Information mehr, die man Ihnen stehlen könnte.“ (Das Zitat bezieht sich auf die Nutzerin bzw. den Nutzer.) `[T6-01 ✓ · 2026-10-25]` Quellen: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Passkeys/Kryptografie-hinter-Passkey/kryptografie-hinter-passkey_node.html · https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Passkeys/passkeys-anmelden-ohne-passwort_node.html · https://fidoalliance.org/passkeys/ - **Fingerabdruck bleibt auf dem Gerät.** FIDO: „Biometric information and processing continues to stay on the device and is never sent to any remote server“ und „the server only sees an assurance that the biometric check was successful.“ BSI: Der zweite Faktor wird „lediglich gegenüber dem Authentikator präsentiert“. Statt Biometrie geht auch eine Geräte-PIN. `[T6-02 ✓ · 2026-10-25]` Quellen: https://fidoalliance.org/passkeys/ · BSI-Kryptografie-Seite (oben) - **Phishing-resistent.** BSI: „Der Client prüft sowohl bei der Registrierung als auch bei jedem Anmeldeversuch“ die Web-Adresse; „Auf diese Weise kann ein Passkey nur für den einen, korrekten Zugang genutzt werden.“ „Die beiden Passkey-Verfahren sind resistent gegen übliche Phishing-Angriffe“ (synchronisierte und gerätegebundene Passkeys). Einschränkung: „übliche“ Angriffe; kompromittierte Geräte und die Sicherheit der Sync-Dienste hat das BSI nicht betrachtet. `[T6-03 ✓ · 2026-10-25]` Quellen: BSI-Kryptografie-Seite (oben) · https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Zwei-Faktor-Authentisierung/Bewertung-2FA-Verfahren/bewertung-2fa-verfahren_node.html · https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Studien/2FA/it-sicherheit.pdf?__blob=publicationFile&v=5 - **Synchronisiert oder gerätegebunden.** Synchronisierte Passkeys liegen als Kopie in der Cloud eines Passkey-Anbieters und funktionieren auf mehreren Geräten; gerätegebundene (z. B. auf einem Sicherheitsschlüssel) bieten laut FIDO „the highest security assurance“. BSI: „Die geheimen Schlüssel sind also duplizierbar, lassen sich in einer Cloud hinterlegen.“ „In der Theorie könnten die Server kompromittiert, die Schlüssel kopiert und missbraucht werden.“ Hardware-Token seien „komplizierter in der Handhabung“. `[T6-13 ✓ · 2026-10-25]` Quellen: https://fidoalliance.org/passkeys/ · BSI-Kryptografie-Seite (oben) (Prüfer-Ergänzung) Synchronisierte Passkeys „kombinieren beide Faktoren auf einem Gerät“; die Sicherheit der Sync-Dienste hat das BSI nicht bewertet. Für Laien: Das Konto beim Passkey-Anbieter (Apple, Google oder Passwortmanager) wird zum Generalschlüssel und braucht selbst besten Schutz. Quelle: BSI-Bewertungstabelle (oben) - (Prüfer-Ergänzung) **Passkeys gehören nicht nur zu Apple, Google, Microsoft.** BSI: Die Anmeldung ist „an ein vertrauenswürdiges Endgerät oder einen Passwortmanager gebunden“. Für FIDO2-Sticks empfiehlt das BSI einen zweiten Stick als Reserve. Quellen: https://www.bsi.bund.de/DE/Service-Navi/Abonnements/Newsletter/Buerger-CERT-Abos/Newsletter-Einfach-Cybersicher/Einfach_Cybersicher_260805/_documents/News-Update_2_Passkeys_GMX_Web.html · BSI-Passkey-Seite (oben) ### 7.2 Die 2FA-Verfahren im Vergleich - **Echtzeit-Phishing.** BSI: „Vor Phishing-Angriffen, die in Echtzeit stattfinden, schützen E-Mail- und SMS-TAN-Verfahren sowie TOTP nicht.“ Gegen Phishing ohne Echtzeitkomponente schützen „alle untersuchten 2FA-Verfahren“. Software-Verfahren haben Schwächen, wenn beim Dienst Geheimnisse geleakt werden. In der Bewertungstabelle (v1.1, Mai 2026) bekommen E-Mail-TAN, SMS-TAN und TOTP-Apps beim Echtzeit-Phishing „Schlecht“, Passkeys „Gut“. `[T6-04 ✓ · 2026-10-25]` Quellen: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Zwei-Faktor-Authentisierung/Bewertung-2FA-Verfahren/bewertung-2fa-verfahren_node.html · https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Studien/2FA/it-sicherheit.pdf?__blob=publicationFile&v=5 - **Rangfolge.** Laut BSI bieten vor allem hardwaregestützte Verfahren (z. B. FIDO-Token) „ein hohes Maß an Sicherheit“; die SMS-TAN sollte man nicht auf demselben Gerät empfangen, mit dem man sich anmeldet. In den Bewertungstabellen stuft das BSI SMS-TAN zusätzlich als angreifbar durch SIM-Swapping, Neuvergabe von Rufnummern und mitlesende Apps ein, TOTP-Apps nicht; gegen Echtzeit-Phishing und Leaks beim Dienst sind beide gleich schwach. Daraus ergibt sich – **abgeleitet, nicht wörtlich vom BSI** – die Rangfolge **SMS < Authenticator-App < Passkey/Sicherheitsschlüssel**. SMS bleibt besser als gar keine 2FA. `[T6-29 ✎, T3-26 ✓ · 2026-10-25]` Quellen: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Zwei-Faktor-Authentisierung/zwei-faktor-authentisierung_node.html · BSI-Bewertungstabelle (oben) - **NIST.** „Use of the PSTN for out-of-band verification is restricted“ (SMS/Telefon nur eingeschränkt zulässig), „OTP authentication is not phishing-resistant“, WebAuthn ist „an example of a standard that provides phishing resistance through verifier name binding“, und „syncable authenticators SHALL NOT be used at AAL3“. Risikoindikatoren: „device swap, SIM change, number porting“. Finale Fassung SP 800-63-4 vom Juli 2025. `[T6-05 ✓ · 2025-07-31]` Quellen: https://pages.nist.gov/800-63-4/sp800-63b.html · https://csrc.nist.gov/pubs/sp/800/63/4/final - **Ersatzwege.** BSI: „mehrere ‚zweite Faktoren‘ hinterlegen“ (weiteres Token, weitere App, weitere Rufnummer). Passkeys lassen sich nach Geräteverlust nur wiederherstellen, „wenn Sie entweder lokale Backups angelegt haben“ oder sie „in einer Cloud synchronisiert werden“; sonst bieten „einige Dienste weitere Möglichkeiten, Ihre Identität nachzuweisen“. Wiederherstellungscodes erwähnt die BSI-Seite nicht ausdrücklich (allgemeine Praxis). `[T6-28 ✓ · 2026-10-25]` Quellen: BSI-2FA-Seite (oben) · https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Passkeys/passkeys-anmelden-ohne-passwort_node.html - (Prüfer-Ergänzung) **Deutsche Besonderheiten aus der BSI-Bewertung:** Die Online-Ausweisfunktion (eID mit NFC-Smartphone) schneidet in allen betrachteten Szenarien mit „Gut“ ab; PushTAN-Apps und ChipTAN fürs Banking „Mittel“ gegen Echtzeit-Phishing. Quelle: https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Zwei-Faktor-Authentisierung/Bewertung-2FA-Verfahren/bewertung-2fa-verfahren_node.html ### 7.3 Was das BSI empfiehlt - **Spätestens seit Oktober 2024** empfiehlt das BSI Passkeys („deutlich höheres Sicherheitsniveau“). Repräsentative Befragung damals: 38 % kannten den Begriff, 18 % nutzten Passkeys, 44 % waren skeptisch, 72 % der Nutzenden hatten hohes Vertrauen. Zahlen von 2024, nur Deutschland. `[T6-07 ✓ · 2024-10-01]` Quelle: https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2024/241001_Nutzung_Passkeys.html - **30.1.2026:** statt pauschaler Passwortwechsel 2FA aktivieren und prüfen, wo Passkeys schon gehen (Zitate in 5.1). `[T6-06 ✓]` - **30.6.2026:** TR-03188 „Passkey Server“ (für Betreiber) – Passkeys als Stand der Technik (5.1). `[T3-27 ✓]` ### 7.4 Wie verbreitet sind Passkeys? - **Weltweit.** FIDO-Bericht „State of Passkeys 2026“ (7.5.2026): schätzungsweise 5 Mrd. Passkeys im Einsatz; 90 % der Befragten kennen Passkeys, 75 % haben bei mindestens einem Konto einen eingerichtet, 49 % nutzen sie regelmäßig, wenn verfügbar; 33 % hatten im Vorjahr eine Kontoübernahme oder Datenleck-Benachrichtigung. 11.000 Verbraucher in 10 Ländern inkl. Deutschland (Sapio Research, April 2026). Industrieverband, also interessengeleitet; Länderzahlen für Deutschland nicht gefunden. `[T6-08 ✓ ⚡ · 2026-05-07]` Quelle: https://fidoalliance.org/fido-alliance-reports-accelerating-global-passkey-adoption-on-world-passkey-day-2026/ - **Unternehmen** (gleicher Bericht, 1.400 Entscheider aus Firmen ab 500 Beschäftigten): 68 % führen Passkeys für Mitarbeitende ein oder haben sie eingeführt, 28 % sind vollständig passwortlos, 57 % nutzen täglich noch phishing-anfällige Verfahren. `[T6-09 ✓ ⚡ · 2026-05-07]` Quelle: wie oben - **Deutschland 2026:** 21 % nutzen passwortloses Anmelden (CyMon 2026), siehe 4.5. `[T2-19 ✓]` **Dienste, die man in Deutschland kennt** - **GMX und WEB.DE** bieten seit Ende Juli 2026 Passkeys an (dpa/teltarif 24.7.2026). Pfad: „Login & Sicherheit/Passkeys anlegen und verwalten/Passkey hinzufügen“. „Das gewohnte Passwort funktioniert bei Web.de und GMX weiterhin parallel.“ Laut BSI-Newsletter (5.8.2026) bleibt das Passwort als „Backup-Login“ – also stark halten und 2FA anlassen. `[T6-10 ✓ ⚡, T3-27 ✓ · 2026-07-24]` Quellen: https://www.teltarif.de/arch/2026/kw30/s104917.html · https://www.bsi.bund.de/DE/Service-Navi/Abonnements/Newsletter/Buerger-CERT-Abos/Newsletter-Einfach-Cybersicher/Einfach_Cybersicher_260805/_documents/News-Update_2_Passkeys_GMX_Web.html - **Deutsche Bahn** (bahn.de, DB Navigator): Login mit Passkey, bestätigt per „Fingerabdruck, Gesichtserkennung oder PIN“; einrichten im Account Manager unter „Login & Sicherheit“ → „Alternative Login-Methoden“; man kann sich „jederzeit weiterhin mit E-Mail-Adresse und Passwort anmelden“. Eingeführt laut iphone-ticker am 3.2.2026 mit DB Navigator 26.1.0 (iOS). `[T6-11 ✓ ⚡ · 2026-10-25]` Quellen: https://www.bahn.de/faq/wie-melde-ich-mich-mit-passkey-an · https://www.bahn.de/bahnbusiness/faq/pk/service/kundenkonto/passkeys · https://www.iphone-ticker.de/db-navigator-anmeldung-jetzt-auch-per-passkey-moeglich-272359/ - **Amazon** (für Endkunden seit Oktober 2023), **PayPal** (in Deutschland seit Juni 2023, anfangs nur Apple- und Android-Geräte; die PayPal-Hilfe nennt inzwischen auch Windows 10+ mit Edge/Chrome), **Google** (seit 3.5.2023), **Microsoft** (Verbraucherkonten seit 2.5.2024). Auf Folien als Beispiele („z. B.“) formulieren; laufend gepflegte Übersicht: passkeys.directory. `[T6-12 ✓ ⚡ · 2023–2024]` Quellen: https://www.heise.de/news/Passkeys-Amazon-und-WhatsApp-wagen-die-passwortlose-Anmeldung-9336264.html · https://www.teltarif.de/paypal-passkey-iphone/news/89799.html · https://www.paypal.com/us/cshelp/article/what-is-a-passkey-help997 · https://blog.google/technology/safety-security/the-beginning-of-the-end-of-the-password/ · https://www.microsoft.com/en-us/security/blog/2024/05/02/microsoft-introduces-passkeys-for-consumer-accounts/ · https://passkeys.directory ### 7.5 Wo speichere ich Passkeys? (Di.day-Empfehlung) Neue Passkeys möglichst gleich im **unabhängigen Passwortmanager** speichern statt im Schlüsselbund von Apple, Google oder Microsoft. | Werkzeug | Passkey-Unterstützung | Fundstelle | |---|---|---| | Bitwarden | ja, auch Free; Browser-Erweiterung, iOS 17+, Android 14+; Windows 11 als Passkey-Anbieter | `[T5-08 ✓, T6-22 ✓]` | | Proton Pass | ja, alle Tarife; laut Proton auch teilen und exportieren | `[T5-14 ✓, T6-20 ✓]` | | KeePassXC | ja, seit 2.7.7, nur über Browser-Erweiterung (nicht Safari, nicht in Apps) | `[T4-07 ✓, T6-21 ✓]` | | KeePassDX (Android) | ja, seit 4.2.0 (15.10.2025), ab Android 14 | `[T4-17 ✓]` | | KeePassium (iOS/macOS) | ja, seit 2.0 (17.12.2024), KeePassXC-kompatibles Format | `[T4-19 ✎]` | | Windows 11 | seit November-Patchday 2025 können Drittanbieter (genannt: 1Password, Bitwarden) systemweite Passkey-Anbieter sein, abgesichert über Windows Hello | `[T6-22 ✓]` | - **Windows 11.** heise (12.11.2025): Mit dem November-Patchday 2025 allgemein verfügbar, 1Password und Bitwarden zum Start; Microsoft-Beitrag „Windows 11 expands passkey manager support“ (11.11.2025). windowspro.de und CyberInsider führten Bitwarden damals noch als Beta. Damit funktionieren unabhängige Manager als systemweite Passkey-Anbieter auf iOS (ab 17), Android (ab 14) und Windows 11. `[T6-22 ✓ ⚡ · 2025-11-12]` Quellen: https://heise.de/-11075433 · https://techcommunity.microsoft.com/blog/windows-itpro-blog/windows-11-expands-passkey-manager-support/4467572 · https://petri.com/windows-11-1password-bitwarden-passkey-support/ ### 7.6 Portabilität: Passkeys umziehen (Credential Exchange) - **Der Lock-in bis 2025/26.** Bei Apple konnte man Passkeys bis Herbst 2025 (iOS/iPadOS/macOS 26) nicht direkt in einen anderen Manager übertragen, beim Google Passwortmanager sogar bis Juni 2026 (Play-Dienste 26.21). Wer wechseln wollte, musste Passkeys neu anlegen. Proton kritisierte das 2024 (mit Eigeninteresse): Apple und Google nutzten Passkeys, „to lock people into their walled gardens“. `[T6-14 ✎ · 2026-06]` Quellen: https://proton.me/blog/big-tech-passkey · https://heise.de/-10452032 · https://support.google.com/product-documentation/answer/14343500?hl=en-gb - **Die Spezifikationen.** FIDO Credential Exchange Format CXF 1.0 ist „Proposed Standard“ (14.8.2025, Errata 9.3.2026); das Protokoll CXP 1.0 ist weiterhin ein Arbeitsentwurf vom 3.10.2024. Ausgeliefert wird heute ein vom Betriebssystem vermittelter Transfer von App zu App auf demselben Gerät, kein fertiger geräteübergreifender Standard. `[T6-15 ✓ ⚡ · 2026-10-25]` Quellen: https://fidoalliance.org/download-credential-exchange-specifications/ · https://fidoalliance.org/specs/cx/cxf-v1.0-ps-20250814.html · https://bitwarden.com/blog/security-vendors-join-forces-to-make-passkeys-more-portable-for-everyone/ - **Apple.** WWDC25: „passkeys can now be transferred securely between participating credential manager apps on iOS, iPadOS, macOS, and visionOS 26“; „The transfer process is user initiated … secured by local authentication like Face ID“; „No insecure files are created on disk“. Übertragen werden Passkeys, Passwörter, Bestätigungscodes u. a. Laut Bitwarden ist iOS 26 die erste große Plattform mit CXP; der Export startet in der Quell-App. `[T6-16 ✓ ⚡ · 2025-09-15]` Quellen: https://developer.apple.com/videos/play/wwdc2025/279/ · https://heise.de/-10452032 · https://bitwarden.com/blog/security-vendors-join-forces-to-make-passkeys-more-portable-for-everyone/ - **Google.** Release-Notes „Google Play services v26.21 (2026-06-01)“: „You can now import and export passwords and passkeys between Google Password Manager and third-party password managers“ über den „Credential Exchange standard“. Voraussetzung Android 14+; auf Android startet der Umzug in der Ziel-App. Gestaffelter Rollout. `[T6-17 ✓ ⚡, T7-03 ✓ · 2026-06-01]` Quellen: https://support.google.com/product-documentation/answer/14343500?hl=en-gb · https://www.androidauthority.com/google-password-manager-import-export-support-3673351/ · https://www.droid-life.com/2026/06/02/google-play-services-for-june-now-rolling-out/ - **Bitwarden.** „Portable passkeys and easy imports available now on both iOS and Android“; erster Drittanbieter mit dieser Integration auf iOS. Einschränkung: „Passkeys that use a hidden ‚counter‘ … are not able to be transferred through the CXP process.“ Arbeitsgruppe: Apple, Bitwarden, Dashlane, Google, Microsoft, NordPass, 1Password, Samsung, SK Telecom. Selbst gehostete Server und Vaultwarden erwähnt Bitwarden nicht. `[T6-18 ✓ ⚡ · 2026-07-23]` Quellen: https://bitwarden.com/blog/security-vendors-join-forces-to-make-passkeys-more-portable-for-everyone/ · https://bitwarden.com/resources/july-2026-spotlight-your-passkeys-can-now-move-freely-heres-how/ - **1Password** (nur als Referenz, proprietär): Export per Credential Exchange inkl. Passkeys nur aus den Mobil-Apps (iOS/iPadOS 26+, Android 14+); Import aus kompatiblen Apps – ob dabei Passkeys übernommen werden, sagt die Importseite nicht ausdrücklich. `[T6-19 ✎ ⚡ · 2026-10-25]` Quellen: https://support.1password.com/export/ · https://support.1password.com/import/ - **Proton Pass.** Passkeys in allen Tarifen; Credential Exchange erst angekündigt: Proton sei „adding support for credential exchange protocol to make it easier to move passkeys and credentials“ (Roadmap 15.10.2026). Export heute nur über Browser-Erweiterung, Web-App und Windows-App (PGP-verschlüsseltes ZIP, unverschlüsseltes ZIP oder CSV), nicht aus den Mobil-Apps; laut Proton-Blog lassen sich Passkeys „store, share, and export … just like you can with passwords“. `[T6-20 ✓ ⚡ · 2026-10-15]` Quellen: https://proton.me/blog/proton-pass-passkeys · https://proton.me/blog/2026-autumn-winter-roadmaps · https://proton.me/support/pass-export - **KeePassXC** unterstützt Credential Exchange nicht, auch nicht in 2.8.0. Folge für Laien: Passkeys in KeePassXC sind vor allem eine Desktop-Lösung mit Browser-Erweiterung. `[T6-21 ✓ · 2026-10-21]` Quellen: https://github.com/keepassxreboot/keepassxc/releases · https://github.com/keepassxreboot/keepassxc/releases/tag/2.8.0 **Status-Ampel Credential Exchange** (Stand 25.10.2026 ⚡) | Anbieter | Stand | |---|---| | Apple (iOS/iPadOS/macOS/visionOS 26) | ✅ seit Herbst 2025 | | Google Passwortmanager (Android 14+, Play-Dienste 26.21) | ✅ seit Juni 2026 (gestaffelt) | | Bitwarden | ✅ iOS 26, Android 14+ (ohne Passkeys mit Signaturzähler) | | 1Password, Dashlane | ✅ (proprietär, nur Referenz) | | Proton Pass | 🟡 angekündigt (Roadmap 15.10.2026) | | KeePassXC | ❌ nicht unterstützt (2.8.0) | | Microsoft Password Manager, Samsung Pass | ❓ unklar – siehe Abschnitt 9 | | Spezifikation | CXF 1.0 Proposed Standard, CXP 1.0 Working Draft | ### 7.7 Authenticator-Apps (TOTP) - **Aegis** (nur Android): Open Source (GPL-3.0), verschlüsselter Tresor (AES-256-GCM, Passwort oder Biometrie), automatische, wahlweise verschlüsselte Backups, kein Internetzugriff, Import u. a. aus Google Authenticator, Microsoft Authenticator, Authy und 2FAS. Google Play und F-Droid; v3.4.3 vom 6.9.2026. Kein iOS geplant. `[T6-24 ✓ ⚡ · 2026-09-06]` Quellen: https://github.com/beemdevelopment/Aegis · https://raw.githubusercontent.com/beemdevelopment/Aegis/master/FAQ.md - **Ente Auth**: kostenlos, Open Source (AGPL-3.0), iOS, Android (auch F-Droid), Windows, macOS, Linux, Web; optional Ende-zu-Ende-verschlüsselte Synchronisation, nutzbar ohne Konto, Export und Import („No lockins.“); laut README geprüft von Cure53, Symbolic Software und Fallible. Betreiber Ente Technologies, Inc. mit Hauptsitz in den USA; Server bzw. Hosting-Partner in Europa (Scaleway, Hetzner, Backblaze, Wasabi). Kein EU-Anbieter, aber Daten in Europa. Gute Wahl für Haushalte mit iPhone und Android. `[T6-25 ✓ ⚡ · 2026-10-25]` Quellen: https://ente.com/auth/ · https://github.com/ente-io/ente · https://ente.com/privacy - **2FAS Auth**: iOS und Android mit Browser-Erweiterung, Quellcode GPL-3.0 (ohne Grafiken), kein Konto nötig, Cloud- oder manuelles Backup. Betreiber: Two Factor Authentication Service, Inc., Delaware (USA) – kein EU-Unternehmen. `[T6-26 ✓ ⚡ · 2026-10-25]` Quellen: https://github.com/twofas/2fas-ios · https://github.com/twofas/2fas-android · https://2fas.com/ · https://2fas.com/terms-of-service/ - **Proton Authenticator** und **Bitwarden Authenticator**: kostenlos, quelloffen, ohne Konto nutzbar (Prüfer-Ergänzung, siehe 6.2 und 6.4). Alle genannten Apps stehen auch im Di.day-Authenticator-Rezept. `[T1-17 ✓]` - **TOTP im Passwortmanager – „alle Eier in einem Korb“?** KeePassXC-FAQ: „Yes. But only if you store them in the same database as your password.“ Aber: „storing both together can still be more secure than not using 2FA at all“; vollen Nutzen bringt eine „separate database, secured with a different password, possibly even on a different computer“. Gegenposition (Herstellerinteresse) 1Password: „storing your TOTP in 1Password is safe.“ **Faustregel:** Für die meisten Konten ist TOTP im Manager okay und viel besser als nichts; für die zwei Kronjuwelen – E-Mail-Konto und Passwortmanager selbst – gehört der zweite Faktor in eine separate App oder auf einen Sicherheitsschlüssel. `[T6-27 ✓, T4-08 ✓ · 2026-10-25]` Quellen: https://keepassxc.org/docs/ · https://1password.com/blog/1password-2fa-passwords-codes-together ### 7.8 Hardware-Sicherheitsschlüssel - **Nitrokey** (Berlin): Open-Source-Sicherheitsschlüssel mit FIDO2-Passkeys; „Nitrokey is developed and produced in Germany, primarily in Berlin“, Hard- und Software offen. Begrenzter Speicher für Passkeys: laut Hersteller (Schätzung) bis zu 30 (Nitrokey 3 NFC) bzw. 100 (Nitrokey 3A Mini). Günstiger: „Nitrokey Passkey“ (vorgestellt 22.3.2024), laut Kommentar vom April 2024 mit damaliger Firmware auf 10 Passkeys beschränkt (aktueller Stand unklar). Schlüssel eignen sich für wenige besonders wichtige Konten (E-Mail, Passwortmanager), nicht für 200 Logins; immer einen zweiten als Ersatz registrieren. `[T6-30 ✓ ⚡ · 2026-10-25]` Quellen: https://docs.nitrokey.com/nitrokeys/nitrokey3/faq · https://www.nitrokey.com/products/nitrokeys · https://www.nitrokey.com/news/2024/new-nitrokey-passkey-passwordless-login-two-factor-authentication --- ## 8. Praxis ### 8.1 Umzug: Export und Import **Wo ist der Export-Knopf?** (Menünamen ändern sich häufig – kurz vor dem Di.day am Demo-Gerät prüfen ⚡) | Quelle | Weg | Ergebnis | Fundstelle | |---|---|---|---| | Chrome (Computer) | Menü ⋮ > „Passwörter und Autofill“ > „Google Passwortmanager“ > „Einstellungen“ > „Passwörter exportieren“ > „Datei herunterladen“; Abkürzung `chrome://password-manager/settings` | CSV | `[T7-01 ✓]` | | Chrome (Android) | Menü > Passwortmanager > Einstellungen > Passwörter exportieren, mit PIN/Biometrie bestätigen; Speicherort im Dateidialog selbst wählen | CSV | `[T7-02 ✎]` | | Google Passwortmanager (Android 14+, Play-Dienste 26.21+) | Credential Exchange; Umzug in der Ziel-App anstoßen (z. B. Bitwarden: Einstellungen > Tresor > Einträge importieren > „Aus anderer App importieren“) | verschlüsselt, inkl. Passkeys | `[T7-03 ✓, T7-12 ✓]` | | Apple Passwörter (Mac, ab macOS 15) | „Ablage > Alle Passwörter in Datei exportieren“ > „Passwörter exportieren“ > Speicherort | CSV (ohne WLAN, Gruppen-Passwörter, „Mit Apple anmelden“) | `[T7-04 ✓]` | | iPhone (ab iOS 18.2) | Einstellungen > Apps > Safari > unter „Verlauf und Websitedaten“ „Exportieren“ > nur „Passwörter“ > „In Downloads sichern“ (nicht in der Passwörter-App!) | ZIP mit CSV, je nach Einstellung in iCloud Drive > Downloads | `[T7-05 ✓]` | | iPhone / Mac (ab 26) | Passwörter-App > „…“ > „Export Data to Another App“ (iOS; deutscher Name ungeprüft) bzw. „Export Selected Item to App“ (Mac) > Ziel-App | Credential Exchange, inkl. Passkeys (werden kopiert) | `[T7-06 ✓]` | | Firefox | `about:logins` > Menü „…“ > „Passwörter exportieren…“ | CSV | `[T7-07 ✓]` | | Edge | `edge://wallet/passwords` > „…“ > „Kennwörter exportieren“ (nur mit privatem Microsoft-Konto-Profil) | CSV | `[T7-08 ✓]` | | Microsoft Authenticator | enthält seit August 2025 keine Passwörter mehr → in Edge bzw. im Microsoft-Konto suchen | – | `[T7-09 ✓]` | | Proton Pass | nur Browser-Erweiterung, Web-App, Windows-App | PGP-ZIP, ZIP oder CSV | `[T6-20 ✓, T7-15 ✎]` | | Samsung Pass | siehe Abschnitt 9 (aktueller Stand nicht belegbar) | – | T7-10 | Quellen zur Tabelle: https://support.google.com/chrome/answer/13068232?hl=en · https://bitwarden.com/help/import-from-chrome/ · https://support.google.com/product-documentation/answer/14343500?hl=en · https://support.apple.com/guide/passwords/mchl35b12625/mac · https://support.apple.com/guide/iphone/export-passwords-iphf28f2e93e/ios · https://www.iphone-ticker.de/neu-in-ios-18-2-lesezeichen-passwoerter-und-verlauf-schnell-exportieren-247261/ · https://sixcolors.com/post/2025/09/export-keys-securely-from-passwords-to-third-party-managers/ · https://bitwarden.com/help/import-from-firefox/ · https://www.prajwaldesai.com/how-to-export-passwords-on-microsoft-edge/ · https://support.microsoft.com/de-de/authenticator/changes-to-microsoft-authenticator-autofill · https://proton.me/support/pass-export · Stand 2026-10 **Import in die empfohlenen Werkzeuge** - **Bitwarden.** Web-Tresor „Tools > Importieren“, Browser-Erweiterung „Einstellungen > Tresor-Optionen > Einträge importieren“. Formate u. a. Chrome (csv), Edge (csv), Firefox (csv), „Safari and macOS (csv)“, Brave, Opera, Vivaldi, KeePass (kdbx), KeePass 2 (xml), ProtonPass (json). „Importing does not check for duplicates.“ Anhänge einzeln hochladen, Exportdatei danach löschen. Die Desktop-App kann aus Chrome, Brave und Opera (Edge und Vivaldi nur unter Windows/macOS, Arc nur macOS, Firefox gar nicht) direkt aus dem Browserprofil importieren, ohne CSV – nur die direkt von Bitwarden heruntergeladene Version, nicht App-Store-Versionen; dabei wird das Computerpasswort abgefragt. Per Credential Exchange: iOS 26+ (in der Quell-App Bitwarden als Ziel wählen) bzw. Android 14+ (in Bitwarden „Aus anderer App importieren“; Dashlane-Daten gehen auf Android nicht). `[T7-11 ✎, T7-12 ✓ ⚡ · 2026-10]` Quellen: https://bitwarden.com/help/import-data/ · https://bitwarden.com/help/import-faqs/ · https://bitwarden.com/help/import-from-chrome/ - **KeePassXC.** „Datenbank > Importieren…“ oder Knopf „Datei importieren“ auf dem Startbildschirm: CSV, 1Password (.1pux, .opvault), Bitwarden (.json), Proton Pass (.json), KeePass 1 (.kdb), entfernte .kdbx. Ziel: neue oder bestehende, entsperrte Datenbank. CSV-Assistent: „Analyze the output in the preview at the bottom to determine the correct import settings. You may need to re-map the column associations.“ **Wichtig:** Erst 2.8.0 erkennt englische Spaltenköpfe (z. B. aus Chrome) automatisch auch bei deutscher Oberfläche („CSV Import: Fix automatic column mapping for English headers with non-English UI languages“); mit 2.7.x die Spalten von Hand zuordnen. `[T7-13 ✓, T7-14 ✓ · 2026-10-21]` Quellen: https://keepassxc.org/docs/KeePassXC_UserGuide · https://github.com/keepassxreboot/keepassxc/releases/tag/2.8.0 - **Proton Pass.** Direkter Import aus Chrome, Edge, Firefox, Brave, Safari/Apple Passwörter, Bitwarden, 1Password, KeePass/KeePassXC (als **XML**: „Datenbank > Exportieren > XML-Datei“, dann Anbieter „KeePass (xml)“), LastPass, Dashlane, NordPass, Keeper, Enpass, RoboForm und Kaspersky. Alles andere, auch Dropbox Passwords, über „Generic CSV“, eventuell mit angepassten Spaltenköpfen. Weg: Browser-Erweiterung ☰ > Einstellungen > Import; iPhone: Profil > „Import to Proton Pass“. „Proton Pass does not currently support importing credit card information.“ Ob die Android-App importieren kann, ist für 2026 nicht bestätigt (älterer Bericht: nein) – im Zweifel Web-App oder Erweiterung nutzen. `[T7-15 ✎ ⚡ · 2026-10]` Quellen: https://proton.me/support/pass-import · https://proton.me/support/pass-import-chrome · https://proton.me/support/pass-import-keepass · https://proton.me/support/pass-import-safari · https://proton.me/support/pass-import-dropbox-passwords **Die CSV-Regel** - Alle Hersteller warnen gleich: Die CSV enthält sämtliche Passwörter im Klartext. Apple: „not encrypted and are visible to anyone who can access the file … delete the file you exported“. Google: „If you don’t delete your password file, anyone who uses the device can open the file and access your passwords.“ Bitwarden: Exportdatei löschen, falls der Rechner kompromittiert wird. KeePassXC: „A CSV file is unencrypted and you should securely delete this file“. `[T7-16 ✓ · 2026-10]` Quellen: https://support.apple.com/guide/iphone/export-passwords-iphf28f2e93e/ios · https://support.google.com/chrome/answer/13068232?hl=en · https://bitwarden.com/help/import-data/ · https://keepassxc.org/docs/KeePassXC_UserGuide - **Praxisregeln** (unsere Ableitung, keine Herstellerzitate): lokal speichern, nicht in einen synchronisierten Cloud-Ordner; nicht per Mail oder Messenger verschicken; nach dem Import löschen **und** Papierkorb leeren; beim iPhone auch die ZIP in iCloud Drive > Downloads löschen. Die CSV ist **kein** Backup – als Backup dient der verschlüsselte Export bzw. die .kdbx-Datei. **Nach dem Umzug** - **Browser-Speicher abschalten.** Chrome/Brave/Opera: unter `chrome://password-manager/settings` „Speichern von Passwörtern und Passkeys anbieten“ und „Automatisch anmelden“ aus. Edge: `edge://wallet/settings` > Microsoft Password Manager, „Ask to save password“ und „Autofill passwords and passkeys“ aus (deutsche Bezeichnungen ungeprüft). Firefox: Einstellungen > Passwörter und Autofill, Haken entfernen. Safari: Einstellungen > Autofill, Haken entfernen. Die Bitwarden-Erweiterung kann sich in manchen Browsern selbst als Standard festlegen. `[T7-17 ✓ ⚡ · 2026-10]` Quelle: https://bitwarden.com/help/disable-browser-autofill/ - **Alten Speicher erst nach der Importkontrolle leeren.** Chrome: Google Passwortmanager > Einstellungen > „Daten löschen“ – laut Proton entfernt das „your passwords (and all of your personal data) from Google Password Manager“, und zwar auf allen synchronisierten Geräten; Passkeys vorher sichern bzw. per Credential Exchange übertragen. Android: Geräteeinstellungen > nach „AutoAusfüllen“ suchen > „Bevorzugter Dienst“ > „Ändern“. iPhone: Einstellungen > Allgemein > „AutoAusfüllen & Kennwörter“, im Abschnitt „AutoAusfüllen von“ den neuen Manager wählen. `[T7-18 ✓ ⚡ · 2026-10]` Quellen: https://proton.me/support/pass-import-chrome · https://support.microsoft.com/de-de/authenticator/changes-to-microsoft-authenticator-autofill ### 8.2 Die Master-Passphrase - **Empfehlungen.** BSI: „zufällig 5-6 Worte aus dem Wörterbuch zu wählen und diese mit einem Leerzeichen zu trennen“; langes Passwort mindestens 25 Zeichen; keine Umlaute, ß oder €. EFF: sechs Wörter aus 7.776 (fünf Würfel pro Wort), rund 2^77 Möglichkeiten. VZ fürs Masterpasswort: „25 Zeichen oder mehr“. NIST: Sperrlisten prüfen das ganze Passwort, nicht einzelne Wörter – Passphrasen aus Wörterbuchwörtern sind ausdrücklich in Ordnung. `[T7-20 ✓, T7-21 ✓, T3-28 ✓, T3-12 ✓]` Quellen: siehe 5.1–5.5 - **Deutsche Würfel-Wortlisten mit 7.776 Wörtern.** (1) **dys2p/wordlists-de** „de-7776“: ohne Umlaute und ß, 3–12 Zeichen, ab dem fünften Buchstaben eindeutig (laut README „größtenteils, jedoch nicht hundertprozentig“), Unlicense/CC0/BSD-3. (2) **bjoernalbers/diceware-wordlist-german**: Wörter aus dem DWDS, 4–8 Zeichen, ohne Umlaute, bewusst neutral und arbeitsplatztauglich, MIT. (3) Liste „de“ im Python-Paket diceware auf Basis von Wortlisten des IDS Mannheim. Die alte Liste diceware_german.txt (Reinhold) enthält Sonderzeichen, Zahlen und Nicht-Wörter wie „zzz“ – nicht verwenden. KeePassXC 2.8.0 bringt nur die englische EFF-Liste mit; eigene Listen lassen sich im Passphrasen-Generator über den Plus-Knopf laden. `[T7-22 ✓ · 2026-10]` Quellen: https://github.com/dys2p/wordlists-de · https://github.com/bjoernalbers/diceware-wordlist-german · https://diceware.readthedocs.io/en/latest/wordlists.html · https://keepassxc.org/docs/KeePassXC_UserGuide · https://github.com/keepassxreboot/keepassxc/tree/2.8.0/share/wordlists - **Beispiel für die Folie** (mit dys2p de-7776, Würfe in der Originaldatei nachgeschlagen): 63122 → verlieben, 22653 → effizient, 32223 → gelernt, 13634 → aufraffen, 22635 → eckpfeiler, 55353 → speisen. Ergebnis: **„verlieben effizient gelernt aufraffen eckpfeiler speisen“** – 6 Wörter ≈ 77,5 Bit (≈ 2^77), 5 Wörter ≈ 64,6 Bit (log2(7776) ≈ 12,92 Bit pro Wort). Auf der Folie unbedingt: **„Beispiel – niemals selbst verwenden!“** `[T7-23 ✓ · 2026-10-25]` Quellen: https://raw.githubusercontent.com/dys2p/wordlists-de/main/de-7776-v1-diceware.txt · https://www.eff.org/dice - **Regeln für Laien:** würfeln oder den Generator des Managers nutzen – nicht selbst Wörter aussuchen (Lieblingsband, Haustier, Partner sind erratbar); keine Beispiele von Folien übernehmen; auf das Notfallblatt schreiben (8.3); für das Konto des Passwortmanagers zusätzlich 2FA. ### 8.3 Notfallplan | Werkzeug | Notfallzugang | Bedingungen | Fundstelle | |---|---|---|---| | Bitwarden | ja: „Ansehen“ oder „Übernahme“, Wartezeit mindestens 1 Tag, danach automatische Freigabe ohne Widerspruch | wer einrichtet, braucht Premium bzw. bezahlte Organisation; Vertrauensperson: (auch kostenloses) Konto auf demselben Server; Einladung gilt 5 Tage | `[T7-24 ✓, T5-05 ✓]` | | Vaultwarden | ja, ohne Premium, standardmäßig an | SMTP dringend einrichten (sonst keine Benachrichtigung bei Anfragen) | `[T7-25 ✎]` | | Proton | ja, seit 28.8.2025, kontoweit inkl. Pass, bis zu 5 Kontakte, sofort oder mit Wartezeit (Tage bis Monate), automatische Freigabe ohne Reaktion | Bezahltarif; Kontakte brauchen ein Proton-Konto | `[T7-26 ✓]` | | KeePassXC | keiner | Datei-Backup + Master-Passwort (+ ggf. Schlüsseldatei) auf Notfallblatt | `[T7-27 ✓]` | | Apple-Nachlasskontakt | **keine** Passwörter, Passkeys oder Zahlungsdaten aus dem iCloud-Schlüsselbund | Zugriffsschlüssel + Sterbeurkunde | `[T7-29 ✓]` | - **Bitwarden-Notfallzugang.** „premium users, including members of paid organizations“; Vertrauensperson: „Anyone with a free or premium Bitwarden account on the same Bitwarden server“. „The minimum wait time is one day.“ Bei „Übernahme“ setzt die Vertrauensperson ein neues Master-Passwort, vorhandene 2FA-Methoden werden entfernt. „Invitations … are only valid for five days.“ Mit der Organisationsrichtlinie „Automatic confirmation“ gibt es keinen Notfallzugang. `[T7-24 ✓ ⚡ · 2026-10]` Quellen: https://bitwarden.com/help/emergency-access/ · https://bitwarden.com/help/add-and-manage-trusted-emergency-contacts/ - **Vaultwarden.** Notfallzugang ohne Premium, Voreinstellung `EMERGENCY_ACCESS_ALLOWED=true`. SMTP ist technisch nicht zwingend – ohne Mailversand werden Einladungen an bestehende Nutzer automatisch angenommen –, sollte aber eingerichtet sein. Sonst erfährt der Kontoinhaber nicht per Mail von einer Notfallanfrage und kann während der Wartezeit nicht widersprechen; nach Ablauf wird automatisch freigegeben. `[T7-25 ✎ ⚡ · 2026-10]` Quellen: https://github.com/dani-garcia/vaultwarden · https://github.com/dani-garcia/vaultwarden/blob/main/.env.template · https://github.com/dani-garcia/vaultwarden/blob/main/src/api/core/emergency_access.rs - **Proton.** „up to five trusted contacts“, „Your trusted contacts will also need to have a Proton Account“, Wartezeit „ranging from days to months“, „If you do nothing, the request will automatically be approved after the designated waiting time.“ Voraussetzung: „a paid Proton plan (all paid plans qualify)“. Daten bleiben Ende-zu-Ende-verschlüsselt, Widerruf jederzeit. `[T7-26 ✓ ⚡ · 2025-08-28]` Quelle: https://proton.me/blog/emergency-access **Offene Frage aufgelöst:** Ein Rechercheteil (T5) fragte, ob Proton Pass einen Notfallzugang hat – ja, über den kontoweiten Proton-Notfallzugang. - **KeePassXC.** Kein Notfallzugang. „KeePassXC can create a backup of your existing database file just prior to saving“ (frei wählbares Ziel mit Platzhaltern; standardmäßig aus) sowie „Database → Save Database Backup…“. Ergänzend ein HTML-Export als „paper backup“ – mit Warnung vor Druckertreibern und Druckern; danach die Datei löschen. `[T7-27 ✓ · 2026-10]` Quelle: https://keepassxc.org/docs/KeePassXC_UserGuide - **Wiederherstellungscodes.** Bitwarden erzeugt beim Aktivieren der 2FA einen „unique recovery code“ (Einstellungen > Sicherheit > Zweistufige Anmeldung); nach der Nutzung entsteht ein neuer; „Bitwarden is unable to retrieve the recovery code on your behalf.“ Achtung: Der Code deaktiviert **alle** 2FA-Methoden, die dann neu eingerichtet werden müssen. Proton: 12-Wort-Wiederherstellungsphrase bzw. Recovery Kit als PDF – ausdrucken und aufbewahren, **nicht** in Proton Drive oder Proton Pass selbst. `[T7-28 ✓ ⚡ · 2026-10]` Quellen: https://bitwarden.com/help/two-step-recovery-code/ · https://bitwarden.com/help/lost-two-step-device/ · https://proton.me/support/recovery-phrase - **Apple-Nachlasskontakt.** „Inaccessible data includes … data stored in your iCloud Keychain (payment information, passwords, and passkeys).“ Wer nur Apple Passwörter nutzt und sonst nicht vorsorgt, hinterlässt über diesen Weg keine Zugangsdaten. `[T7-29 ✓ · 2026-10]` Quelle: https://support.apple.com/en-us/102631 - **Digitale Vorsorge nach Verbraucherzentrale** (Stand 3.11.2025): Vollmacht „mit Datum und Unterschrift“, gültig „über den Tod hinaus“; Übersicht aller Accounts, bei Passwortmanager „auch das Masterpasswort in die Liste aufnehmen“; Liste „an einem sicheren Ort“, der Vertrauensperson sagen, wo sie liegt. „Keinesfalls sollten Passwörter einem Unternehmen anvertraut werden.“ Kostenloses Online-Tool der VZ. Betanet: Zugangsdaten gehören nicht in Vollmacht oder Betreuungsverfügung, weil diese Ämtern, Geschäftspartnern bzw. dem Betreuungsgericht vorgelegt werden; im Testament nur ein Hinweis auf den Ort der Liste. Googles Kontoinaktivität-Manager erlaubt bis zu 10 Vertrauenspersonen (ob Daten des Google Passwortmanagers weitergegeben werden: offen). `[T7-30 ✓ · 2025-11-03]` Quellen: https://www.verbraucherzentrale.de/wissen/digitale-welt/datenschutz/digitale-vorsorge-digitaler-nachlass-was-passiert-mit-meinen-daten-12002 · https://www.betanet.de/digitaler-nachlass.html · https://support.google.com/accounts/answer/3036546?hl=de **Vorlage „Notfallumschlag“** (zum Ausdrucken für Teilnehmende; abgeleitet aus T7-24 bis T7-30) 1. Name des Passwortmanagers und Web-Adresse (bzw. Speicherort der .kdbx-Datei) 2. E-Mail-Adresse des Kontos 3. Master-Passphrase 4. 2FA-Wiederherstellungscode bzw. Proton-Recovery-Kit 5. Wo liegt das Backup (USB-Stick, verschlüsselter Export)? 6. Wer ist als Notfallkontakt eingetragen? Nicht ins Testament oder die Vollmacht schreiben, sondern separat und sicher verwahren; die Vertrauensperson informieren, wo der Umschlag liegt. ### 8.4 „Die ersten 30 Minuten“ – Checkliste für Teilnehmende | Zeit | Schritt | |---|---| | 0–5 Min. | Passwortmanager installieren (Desktop bzw. Browser-Erweiterung **und** Handy-App) – nur aus offiziellen Quellen. Konto bzw. KeePassXC-Datenbank anlegen (Bitwarden: vorher EU-Region wählen). | | 5–10 Min. | Master-Passphrase würfeln (6 Wörter), auf das Notfallblatt schreiben. Für das Manager-Konto 2FA einschalten, Wiederherstellungscode bzw. Recovery Kit sichern. | | 10–20 Min. | Aus Browser oder Apple exportieren (oder Credential Exchange nutzen), importieren, drei Logins stichprobenartig prüfen. CSV löschen, Papierkorb leeren. | | 20–25 Min. | Im Browser „Speichern anbieten“ und Autofill ausschalten; alte Passwörter erst nach der Kontrolle löschen; am Handy den Autofill-Dienst umstellen. | | 25–30 Min. | E-Mail-Hauptkonto mit neuem Zufallspasswort aus dem Manager und 2FA absichern. Notfallblatt in den Umschlag. Termin für Runde 2 festlegen. | **Reihenfolge für Runde 2 und danach** (unsere didaktische Ableitung, keine BSI-Vorgabe; begründet mit dem BSI-Rat „E-Mail zuerst“): (1) E-Mail-Hauptkonto(en), (2) Konto des Passwortmanagers, (3) Bank, PayPal und andere Zahlungsdienste, (4) Apple-, Google-, Microsoft-Konto und Mobilfunk, (5) Shops mit hinterlegter Zahlungsart, (6) soziale Netzwerke und Messenger, (7) der Rest nach und nach – Passkeys anlegen, wo angeboten. `[T7-19 ✎, T3-29 ✓]` ### 8.5 Live-Demo (ca. 10 Minuten, nach dem Vortrag) **Grundregeln:** nur ein Testprofil mit Dummy-Logins, keine echten Daten am Beamer; das Publikum nicht auffordern, echte Passwörter auf „Prüfseiten“ einzugeben; höchstens die **eigene** E-Mail-Adresse bei HIBP oder dem HPI Identity Leak Checker zeigen, keine fremden Adressen. | Minute | Inhalt | |---|---| | 0–1 | Ausgangslage: Chrome-Testprofil mit drei gespeicherten Dummy-Logins | | 1–3 | `chrome://password-manager/settings` > „Datei herunterladen“; CSV im Texteditor öffnen („So lesbar ist das für jeden.“) | | 3–5 | Import in Bitwarden (Web-Tresor Tools > Importieren > Chrome (csv)) **oder** KeePassXC 2.8.0 (Datenbank > Importieren > CSV, Spaltenvorschau zeigen) | | 5–6 | CSV löschen und Papierkorb leeren – sichtbar vorführen | | 6–7 | In Chrome „Speichern anbieten“ und Autofill aus, „Daten löschen“; Erweiterung als Standard festlegen | | 7–8 | Autofill auf einer Testseite; neues starkes Passwort generieren | | 8–9 | Passphrase live würfeln (jemand aus dem Publikum würfelt, Wort in dys2p de-7776 nachschlagen) | | 9–10 | Am Handy Autofill-Dienst umstellen (Android) bzw. auf dem iPhone mit iOS 26 „Daten an andere App exportieren“ an Bitwarden zeigen; Notfallblatt hochhalten | **Vorbereitung (Checkliste)** - [ ] KeePassXC 2.8.0 auf dem Demo-Rechner; Verfügbarkeit auf Flathub, winget und im Microsoft Store prüfen (erst seit 21.10.2026 draußen). Unter Debian/Ubuntu `keepassxc-full` oder Flatpak. `[T4-01, T4-21]` - [ ] Bitwarden-Direktimport ohne CSV braucht die direkt heruntergeladene Desktop-App (keine Store-Version); Firefox wird nicht unterstützt. `[T7-11]` - [ ] Credential Exchange auf dem **iPhone** zeigen, nicht auf dem Mac: Six Colors bekam Bitwarden auf macOS Tahoe nicht als Ziel angezeigt. `[T7-06]` - [ ] Alle Menüpfade am echten Demo-Gerät durchklicken (Chrome-Menüs wurden laut Berichten auf „Passwörter & Passkeys“ umbenannt – vom Prüfer nicht bestätigt). `[T7-02, T7-17]` - [ ] Falls Vaultwarden gezeigt wird: Credential-Exchange-Import mit den Bitwarden-Clients vorher testen. `[T6-18]` - [ ] Nextcloud- bzw. Syncthing-Testordner für die KeePassXC-Sync-Demo; KeePassDX-Verhalten bei externen Änderungen ausprobieren. `[T4-14, T4-15]` - [ ] Ausgedruckte Notfallumschlag-Vorlage, ggf. BSI-Faktenblatt „Sichere Passwörter“ und das Di.day-Rezept („Drucken“-Knopf) als Handout. **Umzugshilfe vor Ort – Regeln** - Klarer Ablauf für die CSV: lokal speichern, sofort importieren, löschen, Papierkorb leeren, beim iPhone auch iCloud Drive > Downloads; nie per Mail oder Messenger hin- und herschicken. `[T7-16]` - Vor einem Wechsel der Authenticator-App alle Recovery-Codes sichern. Berufliche Codes: Arbeitgeber schreiben womöglich eine App vor (dann ggf. Microsoft Authenticator behalten). `[T1-17]` - Bei Infostealer-Verdacht erst das Gerät prüfen, dann Passwörter ändern. `[T2-27, T3-07]` - Bitwarden: Ein zweiter Import erzeugt Duplikate. KeePassXC 2.7.x: Spalten von Hand zuordnen. Proton Pass aus KeePassXC: XML statt CSV. `[T7-11, T7-14, T7-15]` - Passkeys reisen nicht per CSV: per Credential Exchange übertragen oder im neuen Manager neu anlegen; vor dem Leeren des alten Speichers prüfen, ob alle angekommen sind. `[T6-18, T7-03]` - Samsung-Pass-Nutzer: Zeit für einen manuellen Umzug einplanen (siehe Abschnitt 9). `[T7-10]` - Microsoft-Authenticator-Nutzer: Passwörter liegen in Edge (`edge://wallet/passwords`), Zahlungsdaten müssen neu angelegt werden. `[T7-09]` - KeePassXC-Nutzer nach dem Update auf 2.7.12+: kaputte Passkeys mit den BE/BS-Attributen reparieren (siehe 6.1). --- ## 9. Nicht behaupten / Vorsicht ### 9.1 Prüferurteil „nicht belegbar“ Kein Prüfurteil lautete „widerlegt“. Diese zwei Aussagen sind nicht belegbar und gehören nicht als Fakt auf eine Folie: | Aussage | Warum nicht belegbar | Wie vorsichtig sagen | |---|---|---| | „Der Microsoft Password Manager (Edge/Windows) kann Passkeys nicht per Credential Exchange exportieren.“ `[T6-23]` | Einzige Quelle ist ein privater Medium-Beitrag (Juni 2026), beim Abruf gesperrt (HTTP 403); keine Aussage von Microsoft gefunden. Microsoft ist Mitglied der CXP-Arbeitsgruppe. | „Ob Microsoft den Passkey-Umzug schon unterstützt, ist unklar.“ | | „Samsung Pass bietet keinen CSV-Export, nur eine proprietäre .spass-Datei.“ `[T7-10]` | Belegt nur durch Community-Beiträge bis Juni 2025; keine offizielle Samsung-Quelle, Samsung-Community-Seite gesperrt. Samsung gehört zur CXP-Arbeitsgruppe; ob One UI 8.x inzwischen CXP oder CSV kann, ist offen. | „Stand Mitte 2025 laut Community-Berichten kein CSV-Export – vor Ort prüfen.“ | Quellen: https://danfabulich.medium.com/you-can-export-import-passkeys-now-but-only-on-ios-3b90cddf5fe6 · https://bitwarden.com/blog/security-vendors-join-forces-to-make-passkeys-more-portable-for-everyone/ · https://community.bitwarden.com/t/import-from-samsung-pass-android-phone/56130 · https://bitwarden.com/help/import-faqs/ ### 9.2 Von den Prüfern zurückgewiesene Details Diese Formulierungen standen in der Recherche, die Prüfer haben sie korrigiert. **So nicht sagen:** | Nicht so … | … sondern so | ID | |---|---|---| | „EDRi zählte 189 Organisationen“ | Gastbeitrag des CCC auf edri.org; 189 ≠ 49 Initiatoren | T1-22 | | „Kling wirbt mit ‚Sich jeden ersten Sonntag … ummelden‘“ | Das Känguru in Klings Lesung (laut futurezone) | T1-30 | | heise-Überschrift „weg von Tech-Monopolen aus den USA und China“ | steht nur im URL-Slug; Titel „39C3: ‚Digital Independence Day‘ gegen Tech-Monopole“ | T1-31 | | „Das Digital-Independence-Buch gibt es schon“ | erscheint am 4.11.2026, bis dahin Vorbestellung | T1-32 | | „FAQ und deutsche Beiratsseite widersprechen sich“ | nur die englische Beiratsseite ist veraltet; Foerster ist zugleich Save-Social-Mitinitiator | T1-20 | | „Synthient-Datensatz enthält Infostealer-Beute“ | Credential-Stuffing-Listen; Stealer Logs sind ein eigener Eintrag (183 Mio.) | T2-02 | | „BleepingComputer: Apple, Google, Facebook nicht gehackt“; „30 Datensätze mit je zehn Millionen“ | das mit Apple/Google schreibt heise, die Schlagzeile stammt von Forbes; „je zig Millionen“ | T2-03 | | „Microsoft, DOJ, Europol, JC3 legten 2.300 Lumma-Domains still“ | Domains: Microsofts Digital Crimes Unit per Gerichtsbeschluss; DOJ beschlagnahmte die Steuerstruktur | T2-13 | | „HPI: Wechsel nur bei Sicherheitsvorfällen“ | auch bei Passwörtern, die die Regeln nicht erfüllen | T2-15 | | Dörr wörtlich: „Immer mehr Menschen nutzen zufällige Passwörter“ | nur indirekte Rede | T2-16 | | „Neuer Höchststand an Leak-Geschädigten“ (als Personen) | gezählt werden Organisationen auf Ransomware-Leak-Seiten | T2-21 | | „Mythos ‚KI knackt alles‘ widerlegt“ (pauschal) | nur die reine Rechengeschwindigkeit; KI hilft beim Aufbau von Setups und beim Finden von Schwachstellen | T2-08 | | „BSI rät ausdrücklich ab“ vom Passwortwechsel | wörtlich: „überholt“ bzw. „keine zeitgemäße Schutzmaßnahme mehr“ | T2-22 | | „BSI empfiehlt ausdrücklich Passphrasen“ | eine von mehreren Merkstrategien, positiv bewertet | T3-02 | | „BSI: beide Beispielpasswörter nicht verwenden“ | sagt das BSI nur zur Wortreihe (gilt trotzdem für beide) | T3-03 | | „EFF: mindestens 6 Wörter“ | 6 Wörter „für die meisten Anwendungen“ | T3-04 | | „Grundschutz-Edition 2023 ist das letzte Kompendium“ | Update angekündigt, Grundschutz++ parallel; ORP.4.A23 hat einen Rückfall auf periodischen Wechsel | T3-08 | | „Firefox: keine Bedenken nur mit Hauptpasswort“ | Urteil unabhängig davon; Hauptpasswort ist separate Empfehlung | T3-21 | | „Das KeePassXC-Team arbeitet ehrenamtlich“ | nicht belegt; „internationales Team, spendenfinanziert“ | T4-03 | | „KeePass nennt KeePassXC eine Portierung“ | als „Alternative“ für Linux/macOS geführt | T4-05 | | „KeePassium Premium: nach 12 Monaten alle Funktionen dauerhaft“ | nur die App-Version vom Zahltag | T4-19 | | „KI-Kennzeichnungsregel von KeePassXC neu im November 2025“ | seit Juni 2025; die Kritik kam im November | T4-22 | | „KeePassXC richtet sich nicht an Einsteiger“ | „for novice and power users alike“ | T4-26 | | „Bitwarden läuft komplett auf Azure“ | belegt für Tresordaten; Subprozessoren unbekannt | T5-02 | | „Bitwarden-SDK: GPLv3 für die meisten Crates“ | „GPL or Bitwarden SDK License“ | T5-01 | | „Proton gehört mehrheitlich einer Stiftung“ | Stiftung ist kontrollierende Hauptaktionärin; Quote nicht genannt | T5-11 | | „Proton-Ausfall in Frankfurt ohne Datenverlust“ | nur „keine E-Mails verloren“; Server durch Hitze zerstört | T5-18 | | „Yens Republikaner-Beitrag im Januar 2025“ | Ende 2024; eskaliert im Januar 2025 | T5-19 | | „LastPass-Vergleich Kanada: 3 Mio. US-$“ | Summe unbelegt | T5-22 | | „Firefox Sync nutzt AES-256-GCM“ | AES-256-CBC + HMAC-SHA256; GCM nur lokal | T5-26 | | „NordPass sitzt in Vilnius“ | operativ Litauen, rechtlich NL/Panama verschachtelt | T5-30 | | „Apple und Google ließen bis 2025 keinen Passkey-Export zu“ | Apple bis Herbst 2025, Google bis Juni 2026 | T6-14 | | „1Password importiert Passkeys per CXP“ | Import ja, Passkeys nicht ausdrücklich bestätigt | T6-19 | | „BSI: Authenticator-Apps sind besser als SMS“ | nicht wörtlich; Rangfolge aus BSI-Tabellen abgeleitet | T6-29 | | „BSI empfiehlt Passkeys seit Oktober 2024“ | „spätestens seit“ | T6-07 | | „38 Mio. GMX/WEB.DE-Nutzer haben jetzt Passkeys“ | Zahl nur aus fragwürdigen Sekundärquellen; nicht auf die Folie | T6-10 | | „Chrome-CSV landet unter Android im Download-Ordner“ | Speicherort im Dateidialog selbst wählen | T7-02 | | „Google blockiert Exporte mit ‚Export blocked for your protection‘“; „Android Authority testete mit Bitwarden“ | nicht belegt | T7-03 | | „iPhone-Export landet immer in iCloud Drive“ | hängt von den iCloud-Drive-Einstellungen ab | T7-05 | | „WLAN-Passwörter werden auch per CXP nicht übertragen“ | nur für den CSV-Export dokumentiert | T7-06 | | „Edge-Export erfordert Windows Hello“ | Bestätigung per PIN oder Passwort; Windows Hello nicht ausdrücklich | T7-08 | | „Bitwarden importiert direkt aus jedem Browser“ | nur Desktop-Download-Version; nicht Firefox; Edge/Vivaldi nur Win/Mac | T7-11 | | „Proton Pass importiert Dropbox Passwords direkt“ | über „Generic CSV“ | T7-15 | | BSI-Checkliste: „Passwörter und Anmeldeverfahren … zurücksetzen“ | Zitat von Karin Wilhelm aus der Begleitkommunikation | T7-19 | | „8 % der Online-Nutzer erlebten Fremdzugriff“ | 8 % der **Betroffenen** (2025); 2026: 14 % der Betroffenen | T7-19 | | „Vaultwarden-Notfallzugang braucht SMTP“ | technisch nicht nötig, aber dringend empfohlen | T7-25 | ### 9.3 Nur Trainingswissen oder niedrige Konfidenz – vor Verwendung prüfen - **ETH-Zürich-Studie zu Cloud-Passwortmanagern** (angeblich Anfang 2026, Schwächen der „Zero-Knowledge“-Versprechen bei Bitwarden, LastPass, Dashlane): nur Trainingswissen, nicht online bestätigt (niedrig). Belegt ist nur der ETH-„Cryptography Report“ 2025 auf Bitwardens Audit-Seite. `[T5 Prüfer-Hinweis]` - **iCloud Drive „Zuletzt gelöscht“ hält Dateien ca. 30 Tage** – Trainingswissen (niedrig). `[T7]` - **OneDrive synchronisiert oft Desktop und Dokumente automatisch** – Trainingswissen (niedrig); CSV deshalb in einem nicht synchronisierten Ordner ablegen. `[T7]` - **Chrome fragt beim Export nach dem Gerätepasswort** – Trainingswissen (niedrig). `[T7-01]` - **Firefox:** Hauptpasswortabfrage beim Export, Wortlaut der Mozilla-Warnung, Hauptpasswort gilt nur lokal – Mozilla-Hilfeseiten wegen Bot-Schutz nicht abrufbar. `[T7-07, T5-26]` - **Apple-Account unterstützt Passkeys** – nur Trainingswissen. `[T6-12]` - **Wiederherstellungscodes ausdrucken** ist allgemeine Praxis, steht aber nicht auf der BSI-2FA-Seite. `[T6-28]` - **Bitkom-Zeitreihe 2016 (37 %), 2018 (32 %), 2020 (36 %)** – ungeprüft, weglassen. `[T2-17]` - **KeePassDX-Passkeys ab Android 14** – plausibel (Credential-Provider-API), nicht primär geprüft. `[T6-21]` - **2FAS ist kostenlos** – nur über ein Nutzerzitat auf der Startseite belegt. `[T6-26]` - **Psono „kaum Hilfe auf Deutsch“** – Einschätzung, nicht geprüft. `[T5-28]` ### 9.4 Mythen und Fallstricke (dedupliziert) **Di.day** - Nicht als reine CCC-Veranstaltung darstellen: koordiniert von Save Social, der CCC hat ihn mit ausgerufen und unterstützt ihn, steht aber nicht auf der Partnerliste. - Kein einmaliger Feiertag: monatlich, jeden ersten Sonntag, „keine Pflicht, sondern eine Freude“. - Nicht behaupten, der DI.DAY empfehle nur Open Source (das Rezept nennt Sticky Password, 1Password, Dashlane; FAQ: Open Source keine Voraussetzung) oder habe Tools getestet („Wir sind nicht die Stiftung Warentest“). - Proton Pass ist „europäisch, Schweiz“, nicht „EU-Anbieter“. - Bitwarden in der Cloud ist im Rezept „zweite Wahl“: wenn wir es empfehlen, als bewusste Abweichung sagen. - Zitat „Unser digitales Leben befindet sich in der Hand weniger Superreicher“: dpa schreibt es Kling zu, futurezone Staschen; auf di.day steht es ohne Namen (mal „Überreicher“, mal „Superreicher“). Sicher: „laut di.day“. - Zugespitzte Rezept-Aussagen nicht ungeprüft übernehmen: „verdoppelt den Schutz“ (2FA), „kompromissloser Datenschutz“, „Cloud-Dienste werden leichter zum Ziel von Hackerangriffen“, Browser-Passwörter „deutlich leichter auszulesen“ (moderne Browser verschlüsseln ebenfalls). Lieber BSI-Formulierungen. - Kein offizielles DI.DAY-Logo und keine Biege-Illustrationen ungefragt verwenden; Markenrichtlinien gibt es nicht. Schrift ABC Social ist kommerziell. - termine.di.day leitet auf events.diday.org weiter – den beim Druck aktuellen Link nehmen. - „189 Organisationen, über 400 Meetups“ ist Stand Februar 2026 – wenn, dann mit Datum oder „Hunderte Veranstaltungen“. **Zahlen** - HIBP: 17,8 Mrd. Konten sind keine 17,8 Mrd. Menschen. - „16 Milliarden Passwörter von Apple, Google und Facebook gehackt“ ist falsch; RockYou2024 ist kein neuer Hack mit 10 Mrd. Opfern, sondern ein Wörterbuch. - Hive-Tabelle: „132 Jahre“ gilt nur für wirklich zufällige, nie geleakte Passwörter gegen bcrypt; „Sommer2025!“ ist nicht zufällig; viele Dienste nutzen schwächere Hash-Verfahren. Die Tabelle beschreibt Offline-Angriffe auf gestohlene Datenbanken, nicht das Online-Konto (dort begrenzen Dienste die Versuche). Hauptgefahr für Laien ist Wiederverwendung, nicht Brute Force. - „KI knackt jedes Passwort“ ist nicht belegt. - DBIR: „Gestohlene Passwörter sind kein Hauptproblem mehr“ ist falsch (13 % als Einstieg, 39 % im gesamten Verlauf); und der DBIR betrifft Organisationen. - Umfragen nicht direkt vergleichen (Bitkom, CyMon, VZ NRW fragen Unterschiedliches). - HPI-Liste: „meistgeleakt“, nicht „beliebteste aller Deutschen“. - Herstellerzahlen (z. B. Flashpoint) nur mit Quelle und als Größenordnung. - „2FA macht unangreifbar“ ist übertrieben: Die 99,22 % beziehen sich auf Unternehmenskonten; Echtzeit-Phishing fängt SMS- und App-Codes ab. **Offizielle Empfehlungen** - „Regelmäßig ändern“ ist veraltet – aber nicht „nie ändern“: bei Leak, Phishing oder Schadsoftware wechseln (bei Schadsoftware erst das Gerät bereinigen). - Nicht „Das BSI empfiehlt Produkt X“ sagen: Das BSI formuliert nur „keine Bedenken im Rahmen der Prüftiefe“. - Nicht behaupten, das BSI habe KeePassXC im CAOS-Projekt geprüft (das war KeePass 2.56). Für KeePassXC gibt es die Marktuntersuchung 2025 (Gefährdungsanalyse, keine vollständige Quellcodeanalyse) und das vom BSI anerkannte ANSSI-Visum. - Bitwarden-Cloud und Proton Pass hat das BSI nicht geprüft – kein Negativurteil (Zufallsauswahl). - „Das BSI hat Vaultwarden für unsicher erklärt“ ist veraltet: Lücken in 1.30.3, behoben in 1.32.0. - „Komplexität ist egal“ ist zu pauschal; besser „Länge schlägt Komplexität“. - NIST ist kein Verbrauchergesetz, sondern eine Richtlinie für Dienstbetreiber; „15 Zeichen“ ist eine Pflicht für Dienste. - IT-Grundschutz gilt für Institutionen, nicht für Privatleute. - „Passwörter aufschreiben ist verboten“ stimmt nicht: Die Papierliste ist beim BSI eine legitime Option, sicher verwahrt. Abgeraten wird vom Zettel am Monitor. - „Das BSI rät, Biometrie abzuschalten“ ist falsch verallgemeinert (betrifft nur eine Wiederherstellungsoption bei Avira). - „Browser-Passwortspeicher sind grundsätzlich unsicher“ ist zu pauschal. - SMS-2FA ist besser als keine 2FA; Alternativen sollen bevorzugt werden. - BSI-Beispielpassphrasen und eigene Folienbeispiele als „nicht verwenden“ kennzeichnen. - Die BSI-Studienergebnisse gelten nur für die getesteten Versionen (erstes Halbjahr 2025). **Werkzeuge** - KeePass und KeePassXC nicht gleichsetzen. - „KeePassXC hat eine Handy-App“ ist falsch (nur Partner-Apps von Drittentwicklern mit eigenen Lizenzen und Geschäftsmodellen). - „KeePassXC synchronisiert automatisch“ ist falsch; gleichzeitige Änderungen auf zwei Geräten erzeugen Konfliktkopien oder überschreiben sich (Reparatur: „Aus Datenbank zusammenführen“). - Audits und Zertifikate gelten nur für die geprüfte Version und Plattform; das ANSSI-Visum ist ausdrücklich keine Produktempfehlung. - Strongbox nicht als Open Source empfehlen (Source Available, an Applause verkauft, bei Privacy Guides gestrichen); für iOS KeePassium. - Schlüsseldatei-Falle: Urlaubsfoto als Schlüsseldatei, später bearbeitet oder von der Cloud neu gespeichert – ausgesperrt. Schlüsseldatei nie ändern, nicht in denselben Cloud-Ordner. - Kein Wiederherstellungsweg für das Master-Passwort. - Sicherung vor dem Speichern ist standardmäßig aus; Cloud ohne Versionsverlauf = keine Rettung. - KeePassXC-Browser-Erweiterung gibt es nicht für Safari; unter Linux funktionieren Flatpak- und Snap-Browser meist nicht; unter Debian/Ubuntu `keepassxc-full` nehmen. - KeePassXC-Passkeys: nur im Browser; exportierte .passkey-Dateien unverschlüsselt; Update auf 2.7.12 konnte Passkeys brechen. - Nur aus offiziellen Quellen installieren (KeeLoader-Fake, Suchmaschinen-Werbung). - Die KI-Debatte nicht als „KeePassXC ist vibe-coded“ oder „hat KI-Funktionen“ verkürzen. - „Bitwarden EU ist rein europäische Infrastruktur“ ist falsch (US-Firma, Azure; Tresore aber Ende-zu-Ende-verschlüsselt). - „Bitwarden ist seit 2024 nicht mehr Open Source“ ist falsch (SDK-Streit beigelegt). - „Proton hat die Schweiz verlassen“ ist falsch; „Das Schweizer Überwachungsgesetz ist beschlossen“ ist falsch (Stand Oktober 2026). - „Bei LastPass wurden alle Passwörter geknackt“ ist falsch; unverschlüsselt waren aber Metadaten wie Website-URLs. - Bordmittel nicht „unsicher“ nennen – das Argument ist die Bindung. - Google: Standardmäßig hält Google den Schlüssel; die On-Device-Verschlüsselung lässt sich nicht mehr abschalten, Schlüsselverlust = alle Passwörter weg. - Vaultwarden ist nicht „Bitwarden zum Selberhosten vom Hersteller“ (das wäre Bitwarden lite). - Preisfallen: Bitwarden nur USD, nur Jahrespreise ohne Steuern, alte Preise (10 $/40 $) gelten nicht mehr; Proton zeigt Rabattpreise. - Weder Bitwarden Free noch Proton Pass Free enthalten TOTP – kostenlose Authenticator-Apps als Ausweg (ohnehin die sauberere Trennung). - Bitwarden-Notfallzugang setzt Premium voraus, und die Vertrauensperson muss auf demselben Server sein (.eu und .com getrennt). - NordPass (proprietär) und KeeWeb (kaum gepflegt) nicht empfehlen. **Passkeys und 2FA** - „Der Dienst bekommt meinen Fingerabdruck“ – falsch. - „Passkey = noch eine 2FA-App“ – ein Passkey ersetzt das Passwort und vereint Besitz und Biometrie/PIN. - Passkey aktiviert heißt nicht, dass das Passwort verschwindet (GMX/WEB.DE, Bahn): Das Konto ist nur so sicher wie der schwächste Anmelde- bzw. Wiederherstellungsweg. - „Apple und Google lassen keinen Passkey-Export zu“ ist veraltet; richtig: Umzug möglich, aber noch nicht überall. - CXP ist kein fertiger Standard (CXF Proposed Standard, CXP Working Draft). - „5 Mrd. Passkeys“ ≠ 5 Mrd. Nutzer. - „SMS-2FA ist nutzlos“ – falsch, nur die schwächste Variante. - „Eine Authenticator-App schützt vor Phishing“ – falsch; phishing-resistent sind nur Passkeys bzw. FIDO2-Schlüssel. - „TOTP im Passwortmanager ist gar keine 2FA“ – zu pauschal; schützt weiter gegen geleakte oder erratene Passwörter. - „Passkeys sind unhackbar“ – nein: Kontowiederherstellung, Schadsoftware, Sitzungsdiebstahl und Cloud-Sync bleiben Angriffsflächen. - 2FAS (Delaware) und Ente (US-Firma) nicht als EU-Anbieter bezeichnen; Aegis gibt es nur für Android. - Hardware-Schlüssel haben begrenzt Speicherplätze; immer einen Ersatzschlüssel registrieren. - Passkeys mit Signaturzähler lassen sich per CXP nicht übertragen; CSV-Exporte enthalten keine Passkeys. **Umzug** - „Die CSV ist ein gutes Backup“ – falsch. - iPhone: Die Export-ZIP landet je nach Einstellung in iCloud Drive > Downloads und damit in der Cloud. - Alten Speicher nicht vor der Importkontrolle löschen; „Daten löschen“ in Chrome entfernt mehr als Passwörter und wirkt auf allen Geräten. - Bitwarden prüft nicht auf Duplikate. - KeePassXC 2.7.x ordnet englische CSV-Spalten bei deutscher Oberfläche nicht automatisch zu (behoben in 2.8.0). - Proton Pass liest aus KeePassXC XML, nicht CSV. - „Notfallzugang ist kostenlos“ – nur bei Vaultwarden; Bitwarden braucht Premium, Proton einen Bezahltarif, KeePassXC hat keinen. - Apples Nachlasskontakt erbt keine Passwörter. - Selbst ausgedachte Wörter sind nicht zufällig; die alte Reinhold-Liste meiden; keine Umlaute oder ß in der Passphrase. - Passwörter nicht in Vollmacht oder Testament schreiben. - Menünamen ändern sich – alle Klickpfade kurz vorher prüfen. - Nach einem Leak-Verdacht nicht auf einem möglicherweise infizierten Gerät alle Passwörter ändern. - Bitwarden-Wiederherstellungscode deaktiviert alle 2FA-Methoden. --- ## 10. Offene Fragen ### Vor dem Vortrag unbedingt klären 1. **Datum:** Findet die Veranstaltung bei Merlina Minds am Sonntag, 1.11.2026, statt oder an einem anderen Tag? Davon hängt die Einstiegsfolie „Heute ist DI.DAY“ ab. 2. **Kalendereintrag:** Steht die Veranstaltung schon auf events.diday.org? (Konto und angelegte Organisation nötig; die App lädt per JavaScript, daher nicht geprüft.) 3. **Logo und Illustrationen:** Dürfen lokale Veranstalter sie nutzen? Bei hallo@di.day oder Save Social nachfragen. 4. **Monatsthema 1.11.:** Gibt es einen Schwerpunkt oder ein neues Rezept? (Steht wohl im Save-Social-Newsletter kurz vorher.) 5. **Euro-Preise** für Bitwarden und Proton Pass im Browser mit Euro-Einstellung bzw. aus Deutschland nachsehen. 6. **KeePassXC 2.8.0** auf Flathub, winget und im Microsoft Store verfügbar? Ist der Store-Eintrag offiziell vom Team (die Download-Seite verlinkt ihn; 2022 warnte das Team vor einem inoffiziellen)? 7. **Menüpfade** auf den Demo-Geräten: deutsche Chrome-Menüs (Desktop und Android nach der Umbenennung im Juni 2026), Apples „Export Data to Another App“ unter iOS 26, Edge-Bezeichnungen. 8. **Credential Exchange:** Liefert Proton Pass schon aus? Funktioniert der Import mit selbst gehostetem Vaultwarden über die Bitwarden-Clients? Kann Samsung Pass bzw. Samsung Wallet (One UI 8.x) inzwischen CXP oder CSV? Kann der Microsoft Password Manager Passkeys exportieren? 9. **Hive-Tabelle:** Werte für 12 und 16 Zeichen und für wiederverwendete Passwörter nur in der Grafik – vor einer Folie im Original auf hivesystems.com/password ansehen. 10. **Redaktionelle Entscheidung:** Sollen die Unternehmenszahlen aus dem DBIR (39 %, „4ד) für ein überwiegend privates Publikum auf eine Folie oder nur als Randbemerkung für Firmenvertreter? ### Gut zu wissen, falls Rückfragen kommen 11. Hat sich das Verhalten von KeePassDX 4.5.x bei externen Änderungen (Nextcloud/Syncthing) gegenüber dem Test von 2021 verbessert? Am besten selbst ausprobieren. 12. Wo genau liegen Proton-Pass-Daten (Frankfurt oder Schweiz)? Der Vorfallbericht nennt nur primäre Datenbanken in Frankfurt. 13. Termin und Inhalt der zweiten VÜPF-Vernehmlassung (laut Swico Ende 2026) in Curia Vista bzw. beim EJPD gegenprüfen. 14. Ergebnis der Anhörung zur endgültigen Genehmigung des US-Vergleichs mit LastPass (14.7.2026). 15. Passkey-Stand 2026 bei PayPal und Amazon in Deutschland (Windows, Firefox) – die geprüften Quellen sind von 2023. 16. Ist der Bitwarden-Desktop-Client als Passkey-Anbieter unter Windows 11 inzwischen regulär oder noch Beta? 17. Wie viele Passkeys fasst der Nitrokey Passkey mit aktueller Firmware? 18. Gibt es eine Bitkom-Passwortumfrage 2026? Gibt es deutsche Länderzahlen im FIDO-Bericht 2026? 19. Strongbox: aktuelle Lizenz (GitHub zeigt AGPL-3.0, README „Source Available“) und Preise nach der Übernahme. 20. Debian 13 / aktuelle Ubuntu-Versionen: Welche Variante installiert das Übergangspaket `keepassxc` standardmäßig? 21. Gibt Googles Kontoinaktivität-Manager auch Daten aus dem Google Passwortmanager weiter? 22. Wie lange bleiben gelöschte Dateien in den Papierkörben von iCloud Drive, OneDrive und Google Drive? 23. Grimme Online Award: Ergebnis nach dem 1.12.2026. 24. Kann die mobile Edge-App Passwörter exportieren? Kann die Android-App von Proton Pass 2026 importieren? ### Durch die Prüfung bereits beantwortet - Hat Proton Pass einen Notfallzugang? **Ja**, kontoweit seit 28.8.2025, nur mit Bezahltarif. `[T7-26]` - Wo sitzt Ente bzw. wo liegen die Daten? **US-Firma (Delaware), Hosting in Europa.** `[T6-25]` - Sperrt sich KeePassXC inzwischen standardmäßig? **Ja**, seit 2.7.11 nach 15 Minuten. `[T4-24]` - Hat Proton 2025 Infrastruktur verlagert? **Ja**, belegt (Lumo nach DE/NO, Datenbanken in Frankfurt); der Sitz bleibt Genf. `[T5-16, T5-18]` - Welche Lizenz hat Psono? **Apache-2.0** (Community Edition). `[T5-28]` - Bezugsbasis der CyMon-Werte 10 %/15 %: **alle Befragten**. `[T2-19]` - Welche deutsche Diceware-Liste? **dys2p de-7776** oder **bjoernalbers** (nicht die alte Reinhold-Liste). `[T7-22]` --- ## 11. Folien-Ideen & Analogien ### 11.1 Möglicher roter Faden für 15 Minuten (Vorschlag) 1. **Einstieg (1–2 Min.):** „Heute ist DI.DAY“ (falls 1.11.) bzw. „Jeden ersten Sonntag auf die gute Seite wechseln!“; Schlüsselbund-Frage oder Hook „kaffeetasse“. 2. **Problem (3 Min.):** Wiederverwendung statt Hacker-Genie; 33 %, Credential Stuffing (Roku), Schlagzeilen-Check „16 Milliarden“. 3. **Entlastung (2 Min.):** Was Sie nicht mehr tun müssen (kein Pflichtwechsel, keine Sonderzeichen-Akrobatik) – BSI/NIST. 4. **Lösung (4 Min.):** Passwortmanager als Tresor; drei Wege (lokal, Cloud Schweiz, selbst gehostet); Master-Passphrase würfeln; LastPass-Lehre. 5. **Ausblick (2 Min.):** 2FA beim E-Mail-Konto; Passkeys und der neue „Umzugswagen“. 6. **Abschluss (1–2 Min.):** „3 Dinge bis heute Abend“, Notfallumschlag, „#DIDit – und erzähl es weiter“, Hinweis auf Demo und Umzugshilfe. ### 11.2 Analogien (gesammelt) - **Schlüsselbund:** „Wer hat einen Schlüssel, der Haustür, Auto, Briefkasten und Büro öffnet?“ Wiederverwendete Passwörter sind genau das; geht der Schlüssel im Fitnessstudio verloren, steht alles offen. Der Passwortmanager ist der Schlüsselkasten mit einem eigenen Schlüssel pro Tür. - **Einbrecher mit Fundschlüssel:** probiert den gefundenen Schlüssel an allen Türen der Straße – so funktioniert Credential Stuffing (Roku). - **Taschendieb im eigenen Rechner:** Infostealer, eingeschleust über Raubkopien, Fake-Downloads, Fake-CAPTCHAs. Erst das Gerät säubern, dann Passwörter ändern. - **Notizbuch in der verschlossenen Schublade** (BSI-Bild für den Passwortmanager): Man merkt sich nur noch einen Schlüssel. - **Eigener Tresor vs. Bankschließfach:** KeePassXC ist ein Tresor, den man selbst besitzt und aufstellt – niemand kann ihn knacken, aber auch niemand für einen öffnen. Bitwarden oder Proton Pass sind das Schließfach bei einer Bank, der man vertrauen muss. - **Selbst kochen statt Restaurant** (Vaultwarden): lohnt sich nur mit Küche (Server), Aufräumen (Backups) und Putzen (Sicherheitsupdates). - **Vorhängeschloss und Schlüssel** (Passkey): Der Dienst bekommt nur das Vorhängeschloss (öffentlicher Schlüssel), den passenden Schlüssel behält man in der Tasche. Fingerabdruck oder PIN öffnen nur die eigene Tasche, nicht die Tür des Dienstes. - **Haustürschlüssel, der die Hausnummer kennt** (Phishing-Resistenz): An der täuschend echten Fake-Tür dreht sich der Passkey einfach nicht. Ein Passwort oder SMS-Code ist ein Zettel mit Geheimzahl, den man auch dem Betrüger vorliest. - **Tresor mit zwei Schlössern im selben Raum:** TOTP im selben Passwortmanager. - **Ersatzschlüssel beim Nachbarn:** Wiederherstellungscodes ausdrucken und zu den wichtigen Unterlagen legen, nicht als Screenshot aufs Handy. - **Offener Schlüsselbund auf dem Küchentisch:** die CSV-Exportdatei – nur kurz in der Hand halten, direkt in den Tresor legen, den Zettel vernichten. - **Umzugswagen mit Schloss statt offener Kartons:** Credential Exchange (seit iOS 26 / Android Juni 2026). - **Das Postfach ist der Generalschlüssel:** Wer die E-Mail hat, kann über „Passwort vergessen?“ alles andere zurücksetzen. - **Kochrezept als roter Faden** (wie die Di.day-Wechselrezepte): Zutaten (Passwörter, Handy, neuer Tresor), Zubereitung (vier Schritte), Nachtisch (2FA), Topping (Selbst-Hosting, Backup), „Guten Appetit!“. Einstieg aus dem Rezept: „die geheimsten Zutaten vieler Gerichte: Deine Passwörter!“ ### 11.3 Folien-Ideen nach Abschnitt **Di.day und Haltung** - Einstieg mit Datum und Motto; darunter „seit 4. Januar 2026, ausgerufen auf dem 39C3“. - „Eine Sache pro Monat“ mit dem Känguru-Zitat (korrekt zugeordnet, siehe 3.4) – heute ist diese eine Sache der Passwortmanager. - „Entspannte Rebellion statt Purismus“: Es muss nicht alles an einem Tag passieren. - „Wer steckt dahinter?“ in einem Satz: Save Social koordiniert, rund 50 Initiatoren wie Digitalcourage, Wikimedia, Gesellschaft für Informatik, Nextcloud, unterstützt vom CCC. - Empfehlungsfolie im Einklang mit dem Rezept, drei Wege, Fußnote „deckt sich mit dem offiziellen DI.DAY-Wechselrezept ‚Passwörter in Deiner Hand‘“. - Aktueller Aufhänger: Grimme-Online-Award-Nominierung, Publikumsvoting bis 16.11.2026. - Abschluss „#DIDit – und erzähl es weiter“ mit dem Kling-Zitat „Am besten geben wir sogar damit an …“, QR-Code zu di.day/de/wechselrezepte/passwords, Hinweis auf Demo und Umzugshilfe. - Visuelle Anlehnung ohne offizielles Logo: Lila #800080 mit Gelb- und Orange-Akzenten, optional Pixelschrift Silkscreen (frei) für Überschriften. **Zahlen und Bedrohung** - Hook „Platz 6: kaffeetasse – wer trinkt gerade Kaffee?“, dann Auflösung: Liste aus Leaks, Angreifer probieren solche Listen zuerst. - HIBP: 17,8 Mrd. Konten neben 8 Mrd. Menschen – „Wie kann das sein?“ erklärt Mehrfach-Leaks; normalisiert statt beschämt. - „Schlagzeilen-Check“: „16 Milliarden Passwörter geleakt!“ neben der Einordnung durch heise und BleepingComputer – keine Panik, aber Wiederverwendung beenden. - Ampel nach Hive mit drei Zeilen: 8 Kleinbuchstaben ≈ 2 Wochen; 8 Zeichen zufällig gemischt ≈ 132 Jahre; bekannt oder wiederverwendet ≈ Sekunden. - „Deutschland in drei Zahlen“: 33 % Wiederverwendung, 10 % eigenständiger Manager, 40 % 2FA – „Sie sind nicht allein, und wer heute startet, ist vorne mit dabei.“ - Für Firmenvertreter: DBIR 39 % und „4× wahrscheinlicher“. - Mutmacher zum Schluss: Laut HPI setzen immer mehr Menschen die Hinweise um (indirekt zitieren). **Empfehlungen** - Mythbuster mit BSI-Titel „Der Ändere-dein-Passwort-Tag braucht ein Update“ und dem Wilhelm-Zitat. - Animation „password → Password1 → Password1!“ (NIST): Sonderzeichen-Zwang erzeugt Muster; danach „Länge schlägt Komplexität“. - „Was Sie NICHT mehr tun müssen“: kein jährlicher Wechsel, keine Sonderzeichen-Akrobatik (BSI 2026, NIST 2025). - BSI-Personas Eike, Kim, Jona, Leo als Treppe: Jede Stufe ist besser als ein Passwort für alles. - Zitatfolie „Aus Sicht des BSI überwiegt der Nutzen bei weitem.“ als Antwort auf „Und wenn der Passwortmanager gehackt wird?“ - Ausschnitt BSI-Marktuntersuchung (KeePassXC, Chrome, Firefox: Herstellerzugriff, Vollverschlüsselung, Auto-Sperre). - NIST in fünf Regeln: Was ein guter Dienst tun muss. - Konsens-Tabelle BSI / NIST / Verbraucherzentrale (siehe 5.6). - Zettel am Monitor („auf dem berühmten Notizzettel am Bildschirm“) vs. verschließbare Schublade. **Werkzeuge** - Ökosystem-Karte: .kdbx-Datei in der Mitte, drumherum KeePassXC, KeePassDX, KeePassium und die Sync-Wege – ein offenes Format, viele Apps. - „Wo wohnt mein Passwort?“ als Landkarte: Bitwarden (Santa Barbara, Azure EU/US), Proton Pass (Genf, Frankfurt/Zürich), KeePassXC (eigener Rechner), Vaultwarden (eigener Server). - Ampel „Für wen passt KeePassXC?“: Grün ein Hauptgerät; Gelb Laptop + Handy mit Disziplin; Rot Familie mit vielen Geräten → eher Proton Pass oder Bitwarden. - „Drei goldene Regeln für die Tresor-Datei“: Master-Passwort aufs Notfallblatt; Backups (Versionsverlauf + USB-Kopie); möglichst nur auf einem Gerät gleichzeitig ändern. - Vertrauens-Zeitleiste KeePassXC: 2023 Audit, Nov. 2025 ANSSI-Visum (vom BSI anerkannt), Okt. 2026 Version 2.8.0 – mit Hinweis „Audit = Momentaufnahme“. - „Download nur aus offizieller Quelle“: Fake-Domains (keegass[.]com) vs. keepassxc.org. - Vertrauensfolie „Open Source + Audit“: Cure53, ETH Zürich, Recurity Labs, Synacktiv/ANSSI. - Ampel Rot/Gelb/Grün: überall dasselbe Passwort / Bordmittel (sicher, aber gebunden) / unabhängiger Passwortmanager – „Gelb ist schon viel besser als Rot!“ - Lock-in-Geschichte Microsoft Authenticator: Juni – Juli – August 2025; „Wer nur das Bordmittel nutzt, zieht um, wenn der Konzern es will.“ - Screenshot Bitwarden-Registrierung mit markiertem Feld „bitwarden.eu“: „Erst Region wählen, dann registrieren.“ - Vergleichsfolie Bitwarden vs. Proton Pass (Lizenz, Sitz, Gratis-Tarif, Premium, Familie, Besonderheit) mit „Preise Stand Oktober 2026, ohne Gewähr“. - LastPass mit Tresor-Bild: „Die Diebe haben verschlossene Tresore gestohlen und knacken sie in Ruhe zu Hause – wer ein schwaches Schloss hatte, verlor noch 2024/25 Kryptogeld.“ **Passkeys und 2FA** - „Was ist ein Passkey?“ mit Vorhängeschloss-Bild und BSI-Untertitel „Es gibt keine Information mehr, die man Ihnen stehlen könnte.“ - 2FA-Treppe: SMS (gelb, besser als nichts) – Authenticator-App wie Aegis, Ente Auth, 2FAS (hellgrün) – Passkey oder Sicherheitsschlüssel (dunkelgrün, phishing-resistent). - „5 Milliarden Passkeys“ mit bekannten Diensten: GMX/WEB.DE, Deutsche Bahn, Amazon, PayPal, Google, Microsoft – „Sie nutzen wahrscheinlich schon Dienste, die das können.“ - „Wo liegen Ihre Schlüssel?“: Plattform-Schlüsselbund vs. unabhängiger Manager. - Status-Ampel Credential Exchange (siehe 7.6), mit „Stand Okt. 2026“. - „Alle Eier in einem Korb?“: TOTP im Manager okay, Kronjuwelen separat. - Mythos-Folie mit drei durchgestrichenen Sprechblasen: „Mein Fingerabdruck geht an Amazon“, „Passkeys gehören für immer Apple/Google“, „Mit Passkey ist mein Passwort weg“. - Mitmach-Aufgabe: „Heute Abend bei einem Dienst (z. B. GMX/WEB.DE oder Bahn) unter ‚Login & Sicherheit‘ einen Passkey im eigenen Passwortmanager anlegen.“ **Praxis und Abschluss** - „Das Postfach ist der Generalschlüssel“ mit Reihenfolge als Treppe. - Live-Würfeln mit dem Beispiel „verlieben effizient gelernt aufraffen eckpfeiler speisen“ und Warnstempel „Beispiel – nie verwenden“; Merkzahl 6 Wörter ≈ 2^77. - „Neu seit 2025/26: Umzug ohne Zettel“ (Credential Exchange). - „Was Ihr Erbe NICHT bekommt“: Apples Nachlasskontakt sieht keine Passwörter – Überleitung zum Notfallumschlag. - Notfallumschlag als Requisite zum Mitnehmen (Vorlage in 8.3). - „Die ersten 30 Minuten“ als Checkliste (8.4). - Spickzettel „Wo ist der Export-Knopf?“ (Tabelle in 8.1) für die Umzugshilfe. - Vergleich Notfallzugang: Bitwarden (Premium, Wartezeit ab 1 Tag), Vaultwarden (kostenlos, SMTP), Proton (Bezahltarif, bis 5 Kontakte), KeePassXC (keiner: Backup + Notfallblatt). - „3 Dinge bis heute Abend“: (1) Passwortmanager installieren (Hilfe in der Demo), (2) E-Mail-Konto mit einzigartigem Passwort und 2FA absichern, (3) eigene E-Mail-Adresse bei Have I Been Pwned oder dem HPI Identity Leak Checker prüfen. - Handout: Di.day-Rezept zum Ausdrucken, Sharepics, BSI-Faktenblatt „Sichere Passwörter“, Verweis auf den VZ-NRW-Vergleich.