# Stufenleiter: Vom Einheitspasswort zum eigenen Tresor

**Recherche für den Di.day-Impulsvortrag bei Merlina Minds (Sonntag, 1. November 2026, ca. 15 Minuten, Anrede du/ihr)**

Stand: 2026-10-25

---

## Zweck und Lesehilfe

**Zweck.** Diese Datei liefert das Material für die Stufenleiter im Vortrag, also von schlechten zu guten Arten, Passwörter zu verwalten. Die Stufen 1 bis 5 sind hier ausführlich beschrieben. Stufe 6 (unsere drei Favoriten) erscheint nur in der Übersichtstabelle, die Details stehen im Faktenblatt (`recherche/faktenblatt.md`, Abschnitte 3.3 und 6).

**Die sechs Stufen**

1. Überall dasselbe Passwort
2. Post-it am Bildschirm oder unter der Tastatur
3. Passwortbuch aus dem Buchhandel
4. Passwortspeicher der Browser (Google/Chrome, Apple, Microsoft/Edge, Firefox)
5. Kommerzielle Tools wie LastPass und 1Password
6. Unsere drei Favoriten nach dem Di.day-Wechselrezept: KeePassXC-Familie, Proton Pass, Bitwarden/Vaultwarden

**Haltung.** Ehrlich und fair statt Angstmache. Jede Stufe hat Vor- und Nachteile. Bordmittel und kommerzielle Tools sind nicht „unsicher“. Das Di.day-Argument lautet Abhängigkeit, Offenheit und Rechtsraum.

**Kürzel**

- `[L1-07 ✓ · 2026-10-25]` steht für die Fakt-ID aus der Recherche, das Urteil der Faktenprüfung und den Stand der Quelle.
- ✓ heißt: von der Faktenprüfung bestätigt.
- ✎ heißt: von der Faktenprüfung korrigiert. Hier steht nur die korrigierte Fassung.
- ⚡ heißt: Der Wert ändert sich laufend, deshalb kurz vor dem Vortrag neu prüfen.
- ✓² heißt: eine Ergänzung der Prüfer ohne eigene Fakt-ID, die ich beim Schreiben dieser Datei am 25.10.2026 selbst an der Quelle nachgeprüft habe.
- *Einordnung* markiert ein Argument ohne eigene Quelle, das aus den belegten Fakten folgt. Auf der Folie geht es als Wertung durch, nicht als Zahl.

**Roter Faden** *(Einordnung)*

- **Stufen 1 bis 3:** Das Problem ist erst die Wiederverwendung, dann der Ort, an dem das Passwort liegt.
- **Stufen 4 und 5:** Das Problem ist die Abhängigkeit, also wem der Tresor gehört.
- **Stufe 6:** Ein Tresor, der dir gehört.
- **Brückensatz des BSI:** Gefährlich ist nicht das Papier, sondern der Ort. Ein Passwortmanager „funktioniert ähnlich wie ein Notizbuch, das in einer Schublade eingeschlossen ist“ (L1-26).

---

## Stufe 1: Überall dasselbe Passwort

> **Folien-Einzeiler:** „Ein Schlüssel für alle Türen: bequem, bis ihn jemand bei irgendeinem Online-Shop findet und damit alle anderen Türen ausprobiert.“

**Bild:** Liebesschlösser an der Kölner Hohenzollernbrücke (`assets/img/stufe1-ein-schluessel.jpg`, siehe Bildnachweise). Dazu sagen: „Stellt euch vor, alle diese Schlösser hätten denselben Schlüssel.“

### Faire Vor- und Nachteile

**Vorteile**

- **Nur ein Passwort merken, kein Werkzeug nötig.** Das BSI nennt den Ansatz ausdrücklich „bequem“. Der Satz geht allerdings weiter: „aber dennoch nicht zu empfehlen“. `[L1-06 ✓ · 2025-01-30]`
- **Menschlich verständlich.** Bitkom schreibt: „Niemand kann sich Dutzende von Zugangsdaten merken.“ `[L1-06 ✓ · 2025-01-30]`
- **Funktioniert überall,** offline und kostenlos. *Einordnung*
- **Ein langes, starkes Passwort hilft gegen reines Erraten.** Gegen Datenlecks hilft es nicht (siehe Nachteile). `[L1-07 ✓ · 2026-10-25]`

**Nachteile**

- **Ein Leck öffnet alle Türen.** Das BSI schreibt: „Denn gerät das Passwort einer einzelnen Anwendung in falsche Hände, hat der Angreifer freie Bahn für alle weiteren Accounts mit dem gleichen Passwort. Er kann einfach automatisiert durchtesten, wo dieses Passwort ebenfalls verwendet wird.“ `[L1-07 ✓ · 2026-10-25]`
- **Ein starkes Passwort ändert daran nichts.** Das BSI rät von der Wiederverwendung ab, „selbst wenn das gewählte Passwort den oben genannten Kriterien entspricht“. `[L1-07 ✓ · 2026-10-25]`
- **Die Sicherheit hängt am schlechtesten geschützten Dienst,** und den hat man selbst nicht in der Hand. Ein Beispiel ist 23andMe, siehe unten. `[L1-09 ✓ · 2024-01-03]`
- **Das E-Mail-Konto ist der Generalschlüssel.** Laut BSI lassen sich über das Postfach „auch viele andere Passwörter in von Ihnen genutzten Online-Diensten zurücksetzen und neu vergeben“. Steckt das Einheitspasswort auch im Postfach, ist alles offen. ✓² (BSI-Seite „Umgang mit Passwörtern“, abgerufen am 25.10.2026, die Seite nennt keinen Stand)
- **Ein Leck bemerkt man oft nicht,** und danach müsste man das Passwort überall ändern. *Einordnung.* Hilfsmittel dafür ist Have I Been Pwned (L1-10).

### Für die Folie: belegte Zahlen und Anekdoten

1. **Ein Drittel macht es so, seit Jahren.** Laut Bitkom nutzen 33 % der Internetnutzenden in Deutschland dasselbe Passwort für mehrere Dienste. Befragt wurden telefonisch 1.021 Internetnutzende ab 16 Jahren, veröffentlicht am 30.01.2025.
   - **Verlauf nach Veröffentlichungsjahr:** 36 % (2020), 29 % (2022), 35 % (2022), 30 % (2023), 33 % (2025). Für den 29-%-Wert wurde im November 2021 befragt, deshalb auf der Folie Veröffentlichungsjahre nennen oder „2021–2025“ schreiben.
   - **Gegentrend im selben Zeitraum:** Die Nutzung von Passwortmanagern bzw. -generatoren stieg von 8 % (2020) über 18 % und 20 % auf 25 % (2023).
   - `[L1-01 ✓, L1-02 ✓ · 2025-01-30]`
2. **Credential Stuffing ist Massenware.** Laut Verizon DBIR 2025 machen automatisierte Anmeldeversuche mit gestohlenen Zugangsdaten im Median 19 % aller Login-Versuche pro Tag aus (Großunternehmen 25 %, kleine Firmen 12 %). Auf infizierten Geräten waren im Median nur 49 % der Passwörter einer Person tatsächlich verschieden. Grundlage sind Unternehmens-Logs (SSO) und Logs von Infostealern (14.742 Geräte), nicht die Gesamtbevölkerung. `[L1-08 ✓ · 2025]`
3. **23andMe 2023: „14.000 geknackte Konten, 6,9 Millionen Betroffene.“** Laut 23andMe wurden rund 14.000 Konten mit wiederverwendeten Passwörtern übernommen. Über die Funktion „DNA Relatives“ flossen dann Daten von etwa 6,9 Mio. Menschen ab (5,5 Mio. plus 1,4 Mio. mit Family-Tree-Daten), das ist fast die Hälfte der Kundschaft. Die meisten Betroffenen hatten selbst nichts falsch gemacht. `[L1-09 ✓ · 2024-01-03]`
   - **Fairer Nachsatz zur Firmenseite:** Die britische Datenschutzbehörde ICO verhängte am 17.06.2025 nach einer gemeinsamen Untersuchung mit dem kanadischen Datenschutzbeauftragten 2,31 Mio. £ Bußgeld. Bemängelt wurden unter anderem fehlende Pflicht-MFA („mandatory multi-factor authentication“), fehlende „secure password protocols“ und keine wirksame Überwachung. ✓² (ICO-Newsroom, abgerufen am 25.10.2026)

### Reserve für Gesprochenes und Rückfragen

- **Empathischer Einstieg:** Eine irische Studie von 2025 mit Menschen zwischen 59 und 86 Jahren trägt den Titel „I'm 73, you can't expect me to have multiple passwords“. Sie stützt sich auf 37 Interviews, 2 Fokusgruppen und eine Beobachtungsstudie und ist auch bei USENIX Security 2025 erschienen. `[L1-11 ✓ · 2025-02-17]`
- **Mitmach-Moment:** Have I Been Pwned listet 17.846.550.965 kompromittierte Konten aus 1.047 geleakten Websites, abgelesen am 25.10.2026. Die Zahl kurz vor dem Vortrag neu ablesen. „Prüft eure E-Mail-Adresse.“ `[L1-10 ✓ ⚡ · 2026-10-25]`
- **Die Spanne ehrlich nennen:** Je nach Frageform und Methode liegt die Wiederverwendung in Deutschland zwischen knapp 30 % (Bitkom 2021/22: 29 %) und 70 % (Google/Walnut 2019). Zwei weitere Werte: WEB.DE/Bilendi kam 2021 auf 61 % und 2023 auf 57 %. `[L1-03 ✎ · 2023-04-04]`
- **Viele Konten:**
  - VZ NRW 2025: 48 % haben mehr als 50 passwortgeschützte Konten (n = 1.203). ✓²
  - NordPass, Umfrage unter eigenen Kund:innen: 2024 im Schnitt 168 private und 87 berufliche Passwörter, 2026 nur noch 120 bzw. 67. Es ist der erste Rückgang seit 2020, laut NordPass wegen Single Sign-on und Passkeys. `[L1-04 ✓ ⚡ · 2026-05-07]`
  - Bitdefender 2024: Regelmäßig genutzt werden meist nur 3 bis 10 Konten. `[L1-05 ✓ · 2024-04-12]`
  - Formulierung für die Folie: „Ein paar Konten nutzt man täglich, angesammelt hat man weit über hundert.“
- **Überleitung zu Stufe 2** *(Einordnung):* „Also unterschiedliche Passwörter. Aber wohin damit?“

### Quellen Stufe 1

- https://www.bitkom.org/Presse/Presseinformation/Jeder-Vierte-nutzt-einfache-Passwoerter
- https://www.bitkom.org/Presse/Presseinformation/Jeder-dritte-Onliner-nutzt-dasselbe-Passwort-fuer-mehrere-Dienste
- https://www.bitkom.org/Presse/Presseinformation/Online-Dienste-dasselbe-Passwort
- https://www.bitkom.org/Presse/Presseinformation/Ein-Drittel-nutzt-dasselbe-Passwort-fuer-unterschiedliche-Dienste
- https://www.bitkom.org/Presse/Presseinformation/Beim-Passwort-lieber-Cv2HXNKBSS3Vp-oder-123456
- https://www.t-online.de/digital/aktuelles/id_100589574/datenschutz-jeder-dritte-nutzt-laut-umfrage-passwoerter-mehrfach.html
- https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/Umgang-mit-Passwoertern/umgang-mit-passwoertern_node.html
- https://www.verizon.com/business/resources/articles/credential-stuffing-attacks-2025-dbir-research/
- https://techcrunch.com/?p=2646840
- https://www.hipaajournal.com/6-9-million-23andme-users-affected-by-data-breach/
- https://ico-newsroom.prgloo.com/news/ico-fines-23andme-gbp-2-31-million-for-failing-to-protect-uk-users-genetic-data
- https://haveibeenpwned.com/
- https://arxiv.org/abs/2502.11650
- https://web.de/magazine/in-eigener-sache/mehrheit-deutschen-leichtsinnig-passwortschutz-35866028
- https://blog.google/intl/de-de/unternehmen/technologie/deutsche-und-ihre-passwoerter/
- https://www.ndss-symposium.org/wp-content/uploads/2017/09/06_1_1.pdf
- https://www.verbraucherzentrale.nrw/wissen/digitale-welt/apps-und-software/10-passwortmanager-im-vergleich-113439
- https://www.comparethecloud.net/news/password-counts-fall-for-the-first-time-in-six-years-as-passkeys-and-single-sign-on-gain-ground
- https://www.bitdefender.com/de-de/blog/hotforsecurity/die-meisten-menschen-jonglieren-zwischen-3-und-10-online-konten-so-eine-bitdefender-umfrage

---

## Stufe 2: Post-it am Bildschirm oder unter der Tastatur

> **Folien-Einzeiler:** „Der Zettel schützt vor Hackern aus dem Internet, aber nicht vor allen, die am Schreibtisch vorbeikommen oder eine Kamera dabei haben.“

**Bild:** Zwei leere gelbe Haftzettel neben einer Tastatur (`assets/img/stufe2-postit.jpg`). Für die Pointe auf der Folie ein offensichtliches Fantasie-Passwort in Handschrift-Schrift auf den unteren Zettel setzen, zum Beispiel „Passwort: Sommer2026!“ (siehe Bildnachweise).

### Faire Vor- und Nachteile

**Vorteile**

- **Unterschiedliche und auch komplizierte Passwörter,** ohne dass man sie sich merken muss. Gegenüber Stufe 1 ist das ein Fortschritt. *Einordnung*
- **Aus dem Internet unerreichbar,** auch für Schadsoftware. Die Verbraucherzentrale schreibt zur Papierliste, die Passwörter „können nicht durch schädliche Programme ausgelesen und gestohlen werden“. `[L1-27 ✓ · 2025-12-09]`
- **Keine Technik, keine Kosten,** sofort verständlich. *Einordnung*

**Nachteile**

- **Sichtbar für alle, die vorbeikommen:** Kolleg:innen, Reinigungskräfte, Besuch, Handwerker:innen. Das BSI schreibt, Passwörter sollten niemals „auf dem berühmten Notizzettel am Bildschirm kleben“. `[L1-20 ✓ · 2026-10-25]`
- **Unter der Tastatur sucht man zuerst.** Die Verbraucherzentrale nennt die Liste „unter der Tastatur“ ausdrücklich als Ort, an dem sie „schnell in falsche Hände geraten“ kann. Auch der Zettel am PC und die Brieftasche gelten dort als ungeeignet. `[L1-21 ✓ · 2025-12-09]`
- **Kameras sehen mit:** Pressefotos, TV-Beiträge, Fotos aus dem Homeoffice. Belegte Fälle sind TV5Monde 2015, Hawaii 2017/18 und Prinz William 2012, Details unten. `[L1-13 ✓, L1-14 ✓, L1-15 ✓]`
- **Am Arbeitsplatz oft gegen die Regeln.**
  - Die Cybersicherheitsagentur Baden-Württemberg (CSBW) empfiehlt im Clean-Desk-Factsheet „Niemals Passwörter notieren“. Gefahr bestehe „schon bei kurzen Pausen“.
  - Bitkom: Passwörter „auf dem Büro-Schreibtisch liegenzulassen“ ist keine gute Idee.
  - `[L1-22 ✓ · 2025-01-30]`
- **Kein Backup und unterwegs nicht dabei.** Die Verbraucherzentrale schreibt zur Liste: „Hat man die Liste nicht bei sich, kommt man unter Umständen nicht ins gewünschte Online-Konto.“ `[L1-27 ✓ · 2025-12-09]`

### Für die Folie: belegte Zahlen und Anekdoten

1. **Papier ist weit verbreitet.**
   - Laut Bitkom notierten 43 % (November 2022) bzw. 38 % (Dezember 2023) ihre Passwörter auf Zetteln oder Papier.
   - 2022 waren das gut doppelt so viele wie die 20 %, die einen Passwortmanager oder -generator nutzten. 2023 standen 38 % gegen 25 %, also noch rund anderthalbmal so viele. `[L1-12 ✎ · 2023-12-15]`
   - Neuester Wert: VZ NRW 2025, 25,1 % nutzen eine Papierliste (n = 1.203, Mehrfachnennungen möglich). ✓²
   - Wichtig: Keine dieser Umfragen erfasst, *wo* die Zettel liegen.
2. **Hawaii 2017/2018.**
   - Ein AP-Foto vom Juli 2017 aus der Einsatzzentrale der Katastrophenschutzbehörde zeigt einen gelben Post-it mit Passwort am Monitor. Nach dem falschen Raketenalarm vom 13.01.2018 tauchte es wieder auf.
   - Behördensprecher Richard Rapoza bestätigte, das Passwort sei echt („authentic“) und gehöre zu einer internen Anwendung („internal application“), die er nicht mehr in Gebrauch glaubte.
   - Weder das Gesicht des Mitarbeiters noch das Passwort auf die Folie bringen, siehe „Nicht behaupten“.
   - `[L1-14 ✓ · 2018-01-19]`
3. **TV5Monde 2015.**
   - Einen Tag nach dem Hackerangriff auf den Sender (08.04.2015) waren in einem Interview der 13-Uhr-Nachrichten von France 2 im Hintergrund Ausdrucke mit Zugangsdaten zu sehen.
   - Ein Twitter-Nutzer las das YouTube-Passwort ab: „lemotdepassedeyoutube“, auf Deutsch „dasPasswortfürYouTube“.
   - Computerworld schrieb: „Any visitor to the offices could have seen the passwords.“
   - `[L1-13 ✓ · 2015-04-10]`

### Reserve für Gesprochenes und Rückfragen

- **Prinz William, November 2012:** PR-Fotos von seinem Dienst bei der RAF Valley zeigten Zugangsdaten des britischen Verteidigungsministeriums (MoD) auf Bildschirmen und an einer Pinnwand. Das MoD sprach von „administrative oversight“, setzte die Zugangsdaten zurück und veröffentlichte die Fotos verpixelt neu. Ihn „Prinz William“ nennen, nicht „Thronfolger“. `[L1-15 ✓ · 2012-11-21]`
- **Weißes Haus, 2018:** Ein Mitarbeiter notierte „his ProtonMail passwords and his address“ auf Briefpapier des Weißen Hauses und ließ den Zettel an einer Bushaltestelle liegen. The Intercept bestätigte die Echtheit. Der Fall zeigt, dass Zettel auch verloren gehen. `[L1-18 ✓ · 2018-03-17]`
- **Küchentisch-Foto, November 2020:** Ein Foto der niederländischen Verteidigungsministerin Ank Bijleveld zeigte 5 von 6 PIN-Ziffern einer vertraulichen Videokonferenz der EU-Verteidigungsminister:innen. Daniël Verlaan von RTL Nieuws erriet die letzte Ziffer und saß in der Konferenz, die danach abgebrochen wurde. Die Ministerin hatte das Foto selbst gemacht, ein Mitarbeiter stellte es auf ihren Account. Die PIN stand auf dem Bildschirm, nicht auf einem Zettel. Der Fall eignet sich als Beispiel für „Kameras sehen alles“. `[L1-19 ✓ · 2020-11-21]`
- **Super Bowl 2014:** Ein Beitrag von „CBS This Morning“ über die Sicherheitszentrale des Super Bowl zeigte WLAN-Zugangsdaten auf einem Wandmonitor, das Passwort bestand aus „welcome“ und Ziffern. Auch das war ein Bildschirm, kein Zettel. `[L1-16 ✓ · 2014-02-04]`
- **Visual Hacking, 2015:** Ein White-Hat-Hacker, der sich als Aushilfe ausgab, sammelte in 8 US-Firmen bei 88 % der Versuche sensible Informationen ein. In 70 % der Fälle griff niemand ein. 53 % der Informationen stammten von ungeschützten Bildschirmen. Interessenkonflikt: Die Studie entstand bei Ponemon im Auftrag von 3M, einem Hersteller von Blickschutzfiltern. `[L1-23 ✓ · 2015-06-15]`
- **Überleitung zu Stufe 3:** Das BSI verbietet das Notieren nicht: „Wer sich Passwörter notieren will, sollte sie stattdessen gut unter Verschluss halten“. Entscheidend ist der Ort, nicht das Papier. `[L1-20 ✓ · 2026-10-25]`

### Quellen Stufe 2

- https://www.bitkom.org/Presse/Presseinformation/Ein-Drittel-nutzt-dasselbe-Passwort-fuer-unterschiedliche-Dienste
- https://www.bitkom.org/Presse/Presseinformation/Beim-Passwort-lieber-Cv2HXNKBSS3Vp-oder-123456
- https://www.verbraucherzentrale.nrw/wissen/digitale-welt/apps-und-software/10-passwortmanager-im-vergleich-113439
- https://www.cbsnews.com/minnesota/news/password-for-hawaiian-alert-agency-kept-on-post-it-note/
- https://www.vice.com/en/article/hawaii-emergency-password-post-it (Ersatz für den Sophos-Link, der auf eine 404-Seite führt)
- https://www.cbsnews.com/news/jeffrey-wong-gets-threats-after-misleading-photo-ballistic-missile-alert-hawaii/
- https://www.computerworld.com/?p=1359635
- https://www.csoonline.com/article/2908852/hacked-french-broadcasters-passwords-revealed-in-tv-broadcast.html
- https://www.hellomagazine.com/royalty/446394/prince-william-slip-up-raf/
- https://www.theregister.com/2015/05/01/london_rail_station_exposes_signal_system_passwords/
- https://theintercept.com/2018/03/17/trump-russia-apple-whatsapp/
- https://dutchnews.nl/2020/11/dutch-tech-journalist-crashes-into-eu-ministers-online-meeting
- https://www.tweedekamer.nl/kamerstukken/plenaire_verslagen/kamer_in_het_kort/d66-stelt-vragen-over-een-journalist-die-inlogde
- https://www.theregister.com/2014/02/04/super_bowl_becomes_super_balls_up_as_cbs_broadcasts_wifi_code_to_the_world/
- https://www.fmlink.com/ponemon3m-study-exposes-visual-hacking-as-under-addressed-corporate-risk-made-worse-by-open-plan-offices/
- https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/Umgang-mit-Passwoertern/umgang-mit-passwoertern_node.html
- https://www.verbraucherzentrale.de/wissen/digitale-welt/datenschutz/starke-passwoerter-erstellen-so-schuetzen-sie-ihre-onlinekonten-effektiv-11672
- https://www.verbraucherzentrale.de/wissen/digitale-welt/datenschutz/sind-passwortmanager-sinnvoll-114154
- https://www.cybersicherheit-bw.de/sites/default/files/2024-04/CSBW-Factsheet_Clean_Desk-Clean_Desktop.pdf

---

## Stufe 3: Passwortbuch aus dem Buchhandel

> **Folien-Einzeiler:** „Ein Passwortbuch ist besser als sein Ruf, solange es im verschlossenen Schrank liegt und nicht neben dem Computer.“
>
> Kürzere Alternative: „Gefährlich ist nicht das Papier, sondern der Ort, an dem es liegt.“

**Bild:** Ein aufgeschlagenes, leeres Registerbuch mit Daumenregister A–Z (`assets/img/stufe3-passwortbuch.jpg`). Optional zwei bis drei Fantasie-Einträge in Handschrift-Schrift einblenden.

### Faire Vor- und Nachteile

**Vorteile**

- **Offline:** Schadsoftware kann es nicht auslesen. Die Verbraucherzentrale schreibt: „Die Passwörter können nicht durch schädliche Programme ausgelesen und gestohlen werden.“ `[L1-27 ✓ · 2025-12-09]`
- **Das BSI erkennt es offiziell an.** Die Papierliste ist laut BSI „die Offline-Lösung“, passend für die Persona „Eike“, der Onlinedienste skeptisch sieht, selten neue Konten anlegt, kein zusätzliches Programm will und fast nur am heimischen PC surft. `[L1-25 ✓ · 2026-10-25]`
- **Ein eigenes, starkes Passwort pro Konto,** ohne Installation und ohne Technikkenntnisse. *Einordnung,* passt zur Persona Eike (L1-25).
- **Hilft im Ernstfall.** Sicher verwahrt können „Erben oder von Ihnen bestimmte Bevollmächtigte etwa nach Ihrem Tod Ihre digitalen Konten schließen“ (Verbraucherzentrale). `[L1-27 ✓ · 2025-12-09]`
- **Niedrige Hürde für Menschen, die mit Apps fremdeln.** In der irischen Studie mit Menschen zwischen 59 und 86 Jahren galt sicheres Aufschreiben als praktikabel. `[L1-11 ✓ · 2025-02-17]`
- **Rückendeckung aus Großbritannien.** Das NCSC schreibt: „If you want to write your password down, that's also OK, provided you keep it somewhere safe.“ `[L1-28 ✓ · 2021-12-21]`

**Nachteile**

- **Schlecht gegen Einbruch, neugierige Mitbewohner:innen oder Besuch,** wenn es offen herumliegt. Das BSI verlangt deshalb eine verschließbare Schublade statt des offenen Schreibtischs. `[L1-25 ✓ · 2026-10-25]`
- **Bei Verlust oder Brand gibt es kein Backup,** außer man legt eine Ersatzliste an und verwahrt sie sicher. Das ist eine Auflage des BSI. `[L1-25 ✓ · 2026-10-25]`
- **Unterwegs nicht dabei** (Verbraucherzentrale). `[L1-27 ✓ · 2025-12-09]`
- **Kein automatisches Ausfüllen und keine Phishing-Prüfung.** Das BSI nennt als Auflage, Webseiten selbst auf Phishing zu prüfen. Auf einer gefälschten Seite tippt man das Passwort im Zweifel selbst ein. `[L1-25 ✓ · 2026-10-25]`
- **Handschrift ist fehleranfällig.**
  - Das BSI schreibt: „Da diese händisch notiert werden müssen, ist die Papierliste ggf. fehleranfällig.“
  - Verwechslungsgefahr besteht bei l/1/I und 0/O. Passwortgeneratoren haben dafür eigens eine Option, bei Bitwarden heißt sie „Avoid ambiguous characters“.
  - `[L1-30 ✓ · 2026-10-25]`
- **Vorsicht bei der Banking-PIN.** Nach den üblichen Sonderbedingungen für das Online-Banking darf die PIN „nicht auf einem Gerät notiert oder als Abschrift zusammen mit einem Gerät aufbewahrt werden“, das als Besitzelement dient, etwa Smartphone oder girocard mit TAN-Generator. Ein Passwortbuch neben dem Handy verletzt also die Sorgfaltspflichten. Maßgeblich sind die Bedingungen der jeweiligen Bank. `[L1-29 ✓ · 2025-10-05]`

### Für die Folie: belegte Zahlen und Anekdoten

1. **Das Buch denkt das Versteck gleich mit.**
   - Allein bei Hugendubel gibt es Dutzende Eintragebücher.
   - Vom Frechverlag: „Meine Passwörter. Ein Eintragebuch für Ihre Zugangsdaten, das Sie einfach in Ihrem Bücherregal verstecken können.“ (10,00 €)
   - Vom BILDNER Verlag: „Zettel ade, Passwort okay! Das schlaue Passwortbuch“ (9,90 €)
   - Selbst „For Dummies“ hat eines: „Passwords and Internet Addresses Journal For Dummies“ (Wiley, 2013).
   - `[L1-24 ✎ ⚡ · 2026-10-25]`
2. **Das BSI erkennt die Papierliste ausdrücklich an, mit Auflagen.** „Papierliste: die Offline-Lösung“, verbunden mit diesen Auflagen:
   - verschließbare Schublade
   - Ersatzliste
   - sorgfältig eintragen
   - Webseiten selbst auf Phishing prüfen
   - Merkblatt-Methode, damit ein Finder nicht das ganze Passwort kennt
   - `[L1-25 ✓ · 2026-10-25]`
3. **Brücke zu den Werkzeugen.** Das BSI selbst sagt über Passwortmanager: Sie „funktionieren ähnlich wie ein Notizbuch, das in einer Schublade eingeschlossen ist und dessen Inhalte somit nur für die Besitzerin oder den Besitzer einsehbar sind“. Gleich danach nennt es den Haken: Wer das Masterpasswort verliert, verliert im schlechtesten Fall alle Daten. `[L1-26 ✓ · 2026-10-25]`

### Reserve für Gesprochenes und Rückfragen

- **Trick gegen Finder:** Die Verbraucherzentrale rät, sich eine „Hauptkombination“ zu merken und auf der Liste nur die individuellen Zusatzzeichen je Konto zu notieren. Das entspricht der Merkblatt-Methode des BSI. `[L1-27 ✓ · 2025-12-09]`
- **Schneier nur historisch zitieren:** Bruce Schneier empfahl 2005, Passwörter aufzuschreiben und in der Brieftasche aufzubewahren („We're all good at securing small pieces of paper.“). Die Verbraucherzentrale rät heute ausdrücklich „nicht in Ihrer Brieftasche“. `[L1-28 ✓ · 2021-12-21; L1-21 ✓ · 2025-12-09]`
- **Beliebtheit:** Laut GIGA hatte ein Passwortbuch bei Amazon „über 35.000 Rezensionen“ und 4,6 Sterne bei 16,99 € (Dezember 2024). Der Beitrag ist als Anzeige gekennzeichnet, deshalb nicht von „Bestseller“ sprechen. `[L1-24 ✎ · 2026-10-25]`
- **Überleitung zu Stufe 4:** „Ein Notizbuch in einer verschlossenen Schublade, das gibt es auch digital. Und das einfachste davon habt ihr schon: euren Browser.“ Die Formulierung ist *Einordnung,* das BSI-Zitat stammt aus L1-26.

### Quellen Stufe 3

- https://www.hugendubel.de/de/search?q=passwortbuch
- https://www.mediamarkt.at/de/product/_zettel-ade-passwort-okay-das-schlaue-passwortbuch-144908366.html
- https://katalog.ulb.hhu.de/Record/9947402562006443
- https://www.giga.de/sparen/bei-amazon-fuer-16-99-euro-kleiner-helfer-spart-zeit-geld-und-nerven--01JEDYPDX97QW46E6HDFZZN9EZ
- https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/Passwortverwaltung/passwortverwaltung_node.html
- https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/Passwort-Manager/passwort-manager_node.html
- https://www.verbraucherzentrale.de/wissen/digitale-welt/datenschutz/sind-passwortmanager-sinnvoll-114154
- https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/three-random-words
- https://www.ncsc.gov.uk/collection/defending-democracy/guidance-for-high-risk-individuals
- https://www.schneier.com/blog/archives/2005/06/write_down_your.html
- https://arxiv.org/abs/2502.11650
- https://www.steyler-bank.de/fileadmin/medienbib/DOKUMENTE/Allgemeine_Dokumente/Recht_Pflicht/Sonderbedingungen/283340_Sonderbedingungen_fuer_das_Onlinebanking_gueltig_ab_05.10.2025.pdf
- https://bitwarden.com/help/generator/

---

## Stufe 4: Passwortspeicher der Browser (Google/Chrome, Apple, Microsoft/Edge, Firefox)

> **Folien-Einzeiler:** „Der Browser merkt sich deine Passwörter gratis und bequem, aber nur in seiner eigenen Welt. Und Schadsoftware weiß genau, wo sie suchen muss.“

### Faire Vor- und Nachteile

**Vorteile**

- **Kostenlos, eingebaut, keine Installation.** Für viele ist das der erste realistische Schritt weg vom Einheitspasswort. Das BSI schreibt: Ein Passwortmanager sei „in jedem Fall besser, als gängige Passwörter wiederholt zu benutzen“. `[L2-10 ✓ · 2026-10-25]`
- **Prüfungen an Bord:** Google Passwortcheck mit Warnung bei gehackten Passwörtern `[L2-05 ✓ ⚡]`, Password Monitor in Edge (nur Windows/macOS, prüft nur in Edge gespeicherte Passwörter) `[L2-09 ✎ ⚡]`, Apple-App „Passwörter“ mit Warnung vor schwachen, wiederverwendeten und geleakten Passwörtern `[L2-06 ✓ ⚡]`.
- **Passkeys an Bord.** Google synchronisiert seit September 2024 Passkeys auch auf dem Desktop, geschützt durch eine PIN mit Ende-zu-Ende-Verschlüsselung. `[L2-05 ✓ · 2026-10-25]` Apple Passwörter verwaltet ebenfalls Passkeys. `[L2-06 ✓ · 2026-10-25]`
- **Apple:** „Passwörter im iCloud-Schlüsselbund“ sind schon im Standard-Datenschutz Ende-zu-Ende-verschlüsselt. `[L2-06 ✓ · 2026-10-25]`
- **Firefox:** Laut BSI „ergaben sich keine Bedenken gegen die Nutzung von Firefox“. Ein Hauptpasswort sollte man selbst setzen. `[L2-03 ✓ · 2025-12-01]`
- **Chrome ohne Sync** (die Standardeinstellung) oder **mit eigener Sync-Passphrase:** laut BSI kein Zugriff durch Google. `[L2-02 ✓ ⚡ · 2025-12-01]`
- **Umzug wird leichter.** Seit iOS, iPadOS und macOS 26 lassen sich Passkeys, Passwörter und Einmalcodes verschlüsselt an andere Manager übergeben, auf Basis von FIDO-Spezifikationen (laut heise vermutlich CXP/CXF). Beide Apps müssen das unterstützen. Bitwarden kann es seit dem 23.09.2025. Das schwächt das Lock-in-Argument gegen Apple ab. `[L2-07 ✓ ⚡ · 2025-06-18]`

**Nachteile**

- **Bindung an ein Ökosystem.**
  - Apple Passwörter läuft auf Apple-Geräten und unter Windows (über iCloud für Windows), Android erwähnt Apple nicht. `[L2-06 ✓]`
  - Google lebt in Chrome und Android, auf dem iPhone muss man Chrome als Autofill-Dienst einstellen. `[L2-05 ✓]`
  - Microsofts Password Manager steckt in Edge. `[L2-08 ✓, L2-09 ✎]`
  - Gemischte Haushalte mit iPhone, Windows und Android werden dadurch umständlich. *Einordnung*
- **Die Voreinstellungen sind nicht optimal.**
  - Firefox erzwingt standardmäßig kein Hauptpasswort und sperrt sich nicht selbst. `[L2-03 ✓]`
  - Bei Chrome kann Google im Standard-Sync-Modus laut BSI „jederzeit“ zugreifen. `[L2-02 ✓]`
  - Die On-Device-Verschlüsselung bei Google ist optional und lässt sich einmal eingerichtet nicht mehr entfernen. Wer alle Wiederherstellungsoptionen oder alle angemeldeten Geräte verliert, verliert alle Passwörter. `[L2-04 ✓ ⚡ · 2026-10-25]`
- **Infostealer wissen, wo sie suchen müssen.**
  - Das BSI schreibt, Browser behandelten das Thema „nicht mit oberster Priorität“, die Zugangsdaten könnten deshalb „relativ einfach von Schadsoftware extrahiert“ werden. `[L2-10 ✓]`
  - Lumma zieht laut Microsoft gespeicherte Passwörter aus Chromium-, Edge- und Firefox-Browsern. `[L2-11 ✓]`
- **Details bei Chrome laut BSI:** Lokal sind nicht alle Felder verschlüsselt, der Nutzername liegt im Klartext. Das Domain-Matching beim automatischen Ausfüllen ist „nicht restriktiv genug“. `[L2-02 ✓]`
- **Der Anbieter bestimmt das Produkt.** Microsoft hat 2025 die Passwortfunktion im Authenticator abgeschaltet und auf Edge umgeleitet (siehe Reserve). `[L2-08 ✓]`

### Für die Folie: belegte Zahlen und Anekdoten

1. **Fast alle nutzen es, kaum jemand sieht es als Schutz.**
   - Laut der Umfrage der VZ NRW speichern 84,1 % ihre Passwörter im Browser (n = 1.203, August/September 2025, Mehrfachnennungen möglich).
   - Im Cybersicherheitsmonitor 2026 von BSI und ProPK nennen nur 15 % den „Passwortmanager im Browser“ als Schutzmaßnahme (n = 3.060, Januar 2026). Einen eigenständigen Passwortmanager nennen 10 %.
   - Die Fragen waren verschieden, deshalb beide Quellen nennen.
   - `[L2-12 ✓ · 2026-04-30]`
2. **Lumma:**
   - Zwischen dem 16.03. und dem 16.05.2025 identifizierte Microsoft über 394.000 infizierte Windows-Rechner weltweit.
   - Lumma „extracts saved passwords, session cookies, and autofill data from Chromium (including Edge), Mozilla, and Gecko-based browsers“.
   - Im Mai 2025 ging Microsoft per Gerichtsbeschluss dagegen vor. Rund 2.300 Domains wurden „taken down, suspended, and blocked“.
   - `[L2-11 ✓ · 2025-05-21]`
3. **Der Passwortmanager, der einfach verschwand.** Microsoft stellte die Passwortfunktion im Authenticator 2025 schrittweise ein:
   - **Juni 2025:** Neue Passwörter ließen sich nicht mehr speichern.
   - **Juli 2025:** Das automatische Ausfüllen endete.
   - **August 2025:** Die gespeicherten Passwörter waren in der App nicht mehr zugänglich.
   - **Was blieb:** Die Passwörter waren mit dem Microsoft-Konto synchronisiert und blieben über Edge erhalten. Wer Edge nicht wollte, musste exportieren. Die Geschichte erzählt von Abhängigkeit, nicht von Datenverlust.
   - `[L2-08 ✓ · 2025-08-31]`

### Reserve für Gesprochenes und Rückfragen

- **BSI-Marktuntersuchung „Fokus Passwortmanager“:**
  - Erstellt von BSI und FZI, Version 1.0 vom 01.12.2025, veröffentlicht am 09.12.2025 parallel zur Datenschutzprüfung der VZ NRW.
  - Geprüft wurden zehn Produkte: Chrome, Firefox, 1Password, Avira, mSecure, PassSecurium, SecureSafe, S-Trust, KeePassXC und KeePass2Android.
  - Die Versionen erschienen zwischen April 2024 und Mai 2025.
  - Edge und Safari standen nur in der Vorauswahl, sie wurden nicht geprüft.
  - Befunde: Nur 3 von 10 Produkten verschlüsseln den kompletten Inhalt. Nur 4 setzen sichere und korrekt konfigurierte Kryptografie ein. Bei 3 von 10 (Chrome mit Sync, mSecure, PassSecurium) könnte der Hersteller theoretisch zugreifen.
  - `[L2-01 ✎ · 2025-12-09]`
- **Chrome, Zugriff durch Google je nach Modus** (laut BSI, getestet mit Version 137 unter Windows 10):

  | Modus | Zugriff durch Google |
  |---|---|
  | ohne Sync (Standard) | kein Zugriff |
  | Sync im Standardmodus | „jederzeit“ |
  | Sync mit eigener Passphrase | kein Zugriff |
  | On-Device-Verschlüsselung | „bei Benutzung“ |

  Die Empfehlung des BSI lautet: Wer synchronisiert, setzt eine eigene Passphrase. `[L2-02 ✓ ⚡ · 2025-12-01]`
- **Firefox ohne Hauptpasswort:** Laut Mozilla kann jeder, der die Profildateien `key4.db` und `logins.json` kopiert, die gespeicherten Logins lesen. Das Hauptpasswort (Primary Password) gilt nur lokal und wird nicht synchronisiert. `[L2-03 ✓ · 2025-12-01]`
- **Edge:** Microsofts Angaben zum nötigen Konto sind widersprüchlich. Laut der Seite zum Password Manager braucht man ein persönliches Microsoft-Konto, laut der Seite zum Password Monitor geht auch ein Geschäfts- oder Schulkonto. `[L2-09 ✎ · 2026-10-25]`
- **Überleitung zu Stufe 5:** Das BSI schreibt, eigenständige Passwortmanager böten mehr Schutzfunktionen als die Browser. Bei Cloud-Diensten gibt der Standort von Anbieter und Servern Auskunft über das geltende Recht. `[L2-10 ✓ · 2026-10-25]`

### Quellen Stufe 4

- https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/DVS-Berichte/passwortmanager.pdf?__blob=publicationFile&v=4
- https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/Passwort-Manager/passwort-manager_node.html
- https://www.verbraucherzentrale.nrw/pressemitteilungen/passwortmanager-auf-dem-pruefstand-114401
- https://www.verbraucherzentrale.nrw/wissen/digitale-welt/apps-und-software/10-passwortmanager-im-vergleich-113439
- https://www.test.de/Internet-Sicherheit-Behoerde-ruegt-unsichere-Passwort-Manager-6270238-0/
- https://heise.de/-11108747
- https://support.google.com/accounts/answer/11350823?hl=de
- https://passwords.google/intl/de/
- https://developer.chrome.com/blog/passkeys-gpm-desktop?hl=en
- https://support.apple.com/en-us/120758
- https://support.apple.com/de-de/102651
- https://support.apple.com/guide/icloud-windows/icw76039ec0f
- https://support.apple.com/guide/icloud-windows/icw2babf5e03
- https://heise.de/-10452032
- https://9to5mac.com/2025/06/13/ios-26-passkeys-password-transfer/
- https://sixcolors.com/post/2025/09/export-keys-securely-from-passwords-to-third-party-managers/
- https://support.mozilla.org/kb/use-primary-password-protect-stored-logins
- https://alternativeto.net/news/2025/5/microsoft-drops-password-autofill-in-authenticator-redirects-users-to-edge-instead
- https://www.euronews.com/2025/07/30/microsoft-authenticator-is-ending-password-autofill-heres-how-to-set-up-a-passkey-instead
- https://support.microsoft.com/en-us/edge/use-password-monitor-to-help-protect-your-passwords-in-microsoft-edge
- https://support.microsoft.com/en-US/edge/use-password-generator-to-create-more-secure-passwords-in-microsoft-edge
- https://support.microsoft.com/en-US/authenticator/changes-to-microsoft-authenticator-autofill
- https://www.microsoft.com/en-us/security/blog/2025/05/21/lumma-stealer-breaking-down-the-delivery-techniques-and-capabilities-of-a-prolific-infostealer/
- https://blogs.microsoft.com/on-the-issues/2025/05/21/microsoft-leads-global-action-against-favored-cybercrime-tool/
- https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Digitalbarometer/CyMon-ProPK-BSI_2026_Kurzbericht.pdf?__blob=publicationFile

---

## Stufe 5: Kommerzielle Tools wie LastPass und 1Password

> **Folien-Einzeiler:** „Ein Profi-Tresor im Abo: technisch oft top. Aber du vertraust einer Firma, deren Code du nicht sehen kannst und deren Preise, Besitzer und Produkte sich ändern können.“

### Faire Vor- und Nachteile

**Vorteile**

- **Technisch teils exzellent.**
  - 1Password laut BSI: kein Zugriff durch den Hersteller, der komplette Inhalt ist verschlüsselt (nur 3 von 10 Produkten im Test schaffen das), „keine Designfehler“ gefunden, also „keine grundsätzlichen Bedenken“. Kritisiert werden RSA mit 2048 Bit und ein zu großzügiges Domain-Matching. `[L2-14 ✓, L2-13 ✎, L2-01 ✎ · 2025-12-09]`
  - Dazu kommt der „Secret Key“: 34 Zeichen mit 128 Bit Entropie, die nie an 1Password gesendet werden. Wer die Serverdaten stiehlt, kann sie ohne diesen Schlüssel nicht per Brute Force entschlüsseln. `[L2-15 ✎ · 2026-10-25]`
- **Unabhängige Tests:** Im Test von Test Achats und Que Choisir (test.de, 04.02.2026) bestanden alle zwölf geprüften Manager die Sicherheitsprüfung. An der Spitze lagen NordPass, LastPass und Roboform. `[L2-25 ✓ ⚡ · 2026-02-04]`
- **Nachweise:** 1Password nennt ISO/IEC 27001, SOC 2 Type 2, Pentest-Berichte im Trust Center (seit 03.11.2025) und ein öffentliches Bug-Bounty-Programm auf HackerOne. `[L2-14 ✓ · 2025-12-09]`
- **Komfort:** alle Plattformen, Teilen in der Familie, Cloud-Sync, Support. *Einordnung*
- **Vorsorge gegen das Aussperren:** 1Password bietet vorab einzurichtende Wiederherstellungscodes. In Familienkonten kann die organisierende Person den Zugang wiederherstellen. `[L2-15 ✎ · 2026-10-25]`

**Nachteile**

- **Geschlossener Code, man muss vertrauen.**
  - Avira reagierte „weder auf technische Fragen, noch auf den Prüfbericht“ des BSI, die Kryptografie blieb ungeprüft. `[L2-13 ✎]`
  - Dashlane hat den Code seiner Mobil-Apps nur als „source available“ unter CC BY-NC 4.0 veröffentlicht, das ist kein Open Source. `[L2-24 ✓]`
- **Abo mit Preisrisiko.**
  - 1Password: Der Einzeltarif steigt ab der Verlängerung nach dem 27.03.2026 von 35,88 auf 47,88 USD im Jahr (+33 %). Einen Gratistarif gibt es nicht. `[L2-16 ✓ ⚡]`
  - Dashlane hat seinen Gratistarif am 16.09.2025 beendet. `[L2-24 ✓]`
  - LastPass Free ist seit dem 16.03.2021 auf einen Gerätetyp beschränkt. `[L2-23 ✓]`
- **Besitzer und Fortbestand.**
  - LastPass gehört den Private-Equity-Investoren Francisco Partners und Elliott Management. `[L2-17 ✓ ⚡]`
  - Den Passwortmanager S-Trust der Sparkassen gibt es seit dem 31.03.2026 nicht mehr. `[L2-13 ✎]`
- **Rechtsraum.**
  - LastPass sitzt in Boston (USA) `[L2-17 ✓]`, 1Password in Kanada `[L2-14 ✓]`.
  - Der US-amerikanische CLOUD Act verpflichtet US-Anbieter zur Herausgabe, „regardless of whether such communication, record, or other information is located within or outside of the United States“. Bei echter Ende-zu-Ende-Verschlüsselung betrifft das vor allem verschlüsselte Daten und Metadaten. `[L2-27 ✓]`
  - Fair bleiben: Dashlane hat Nutzer:innen in der EU über die Dashlane SAS in Paris unter Vertrag, es gilt französisches Recht. `[L2-24 ✓]`
- **Das BSI 2025 im Detail.**
  - Ausdrücklich abgeraten hat es nur von PassSecurium, und zwar bis zum Upgrade auf Version 3.x.
  - Zu mSecure schreibt es, das Konzept erfülle „nicht die üblichen Erwartungen“.
  - Bei SecureSafe und dem baugleichen S-Trust wird serverseitig ver- und entschlüsselt.
  - heise fasst zusammen: Von allen vier rät das BSI „eher ab“.
  - `[L2-13 ✎ · 2025-12-09]`
- **Marketing bei 1Password:** Laut VZ NRW ist 1Password der einzige geprüfte Manager, der nur kostenpflichtig nutzbar ist. Er nutzt personenbezogene Daten zusätzlich für Marketing, in der Regel mit Einwilligung. `[L2-14 ✓]`
- **Ein zentraler Anbieter ist ein lohnendes Ziel.** Das zeigt der LastPass-Einbruch 2022, siehe unten. `[L2-18 ✎, L2-19 ✎]`

### Für die Folie: belegte Zahlen und Anekdoten

1. **LastPass als Lehrstück.**
   - **Der Einbruch:** 2022 drangen Angreifer erst über den Firmen-Laptop eines Entwicklers ein. Der entscheidende Schritt kam danach, zwischen dem 12.08. und dem 26.10.2022: Über eine veraltete Plex-Media-Server-Version kaperten sie den privaten PC eines leitenden DevOps-Ingenieurs im Homeoffice und installierten einen Keylogger. So kamen sie an die Schlüssel zu den Cloud-Backups mit den Kundentresoren. `[L2-18 ✎ · 2023-02-28]`
   - **Die Beute:** In den Tresor-Backups lagen die Website-URLs unverschlüsselt, die Passwörter verschlüsselt. Viele ältere Konten hatten statt 100.100 nur 5.000 Iterationen, einzelne sogar 500 oder 1. `[L2-19 ✎ · 2022-12-28]`
   - **Die Folgen:** Laut TRM Labs wurden mehr als 35 Mio. USD in Krypto aus geknackten Tresoren gestohlen, bis September 2025, „likely only a fraction“. Eine endgültige Zuordnung oder ein Urteil gibt es nicht. `[L2-20 ✓ · 2025-12-24]`
   - **Die Strafe:** Die britische Datenschutzbehörde ICO verhängte ein Bußgeld von 1.228.283 £ (Penalty Notice vom 20.11.2025, veröffentlicht am 11.12.2025). `[L2-21 ✓ · 2025-12-11]`
2. **Preise und Bedingungen ändern sich, während deine Passwörter drinstecken.**
   - 1Password +33 % beim Einzeltarif (2026). `[L2-16 ✓ ⚡]`
   - Dashlane Free endete 2025. Danach konnten Gratisnutzer ihre Daten „just export“, also nur noch exportieren. `[L2-24 ✓]`
   - S-Trust der Sparkassen wurde zum 31.03.2026 eingestellt, seit April 2026 sind die Daten gelöscht. `[L2-13 ✎]`
3. **Fairness-Folie: Testsieger ist nicht gleich Di.day-Sieger.** Im Test von Test Achats und Que Choisir (Februar 2026) lag LastPass trotz Einbruch und Bußgeld in der Spitzengruppe, und alle zwölf bestanden die Sicherheitsprüfung. Unser Favorit KeePassXC landete mit Zoho Vault und Enpass am Tabellenende, Proton Pass im Mittelfeld. Preis-Leistungs-Tipp war bei Test Achats Bitwarden. Solche Tests bewerten Komfort und Funktionen zum Prüfzeitpunkt, nicht Abhängigkeit oder Vorgeschichte. `[L2-25 ✓ ⚡ · 2026-02-04]`

### Reserve für Gesprochenes und Rückfragen

- **Die Beruhigung „Millionen Jahre“:**
  - So beruhigte LastPass im Dezember 2022 seine Kund:innen, bezogen auf die Standardeinstellungen.
  - Der Sicherheitsforscher Wladimir Palant nannte das eine „straight-out lie“. Von Menschen gewählte Passwörter fallen mit Wortlisten viel schneller.
  - 2FA hilft gegen eine gestohlene Tresorkopie nicht, und ein neues Master-Passwort schützt die schon gestohlene Kopie nicht.
  - `[L2-19 ✎ · 2022-12-28]`
- **Betriebsinterne Praxis:** Laut ICO erlaubte LastPass Mitarbeitenden, privates und geschäftliches LastPass-Konto mit demselben Master-Passwort zu verknüpfen, und ermutigte sogar dazu („allowing and encouraging“). Verboten wurde das erst am 22.05.2023. `[L2-18 ✎ · 2023-02-28]`
- **US-Vergleich:**
  - In der US-Sammelklage stimmte LastPass einem Vergleich über bis zu 24,45 Mio. USD zu, ohne Schuld einzuräumen.
  - Laut ClaimDepot wurde der Vergleich am 30.09.2026 endgültig genehmigt. Den Gerichtsbeschluss selbst hat niemand gesehen, deshalb vor dem Vortrag prüfen.
  - `[L2-22 ✓ ⚡ · 2026-10-25]`
- **Besitzerkette LastPass:**
  - 2015 übernahm LogMeIn LastPass für 110 Mio. USD in bar plus bis zu 15 Mio. USD Earn-out.
  - 2020 übernahmen Francisco Partners und Elliott (über Evergreen Coast Capital) LogMeIn für rund 4,3 Mrd. USD.
  - Seit dem 01.05.2024 ist LastPass ein eigenständiges Unternehmen.
  - `[L2-17 ✓ · 2024-05-01]`
- **1Password-Finanzierung:** Im Januar 2022 sammelte 1Password 620 Mio. USD bei einer Bewertung von 6,8 Mrd. USD ein, angeführt von ICONIQ Growth. `[L2-16 ✓ · 2026-03-27]`
- **Zero Knowledge mit Grenzen:**
  - Forscher der ETH Zürich und der USI Lugano zeigten Angriffe für den Fall, dass der Server des Anbieters bösartig oder gehackt ist: 12 auf Bitwarden, 7 auf LastPass, 6 auf Dashlane und in der erweiterten Fassung 6 auf 1Password.
  - Das Paper ist IACR ePrint 2026/058 und wird auf der USENIX Security 2026 vorgestellt.
  - Fair bleiben: Auch das Open-Source-Produkt Bitwarden ist betroffen. Offener Code macht solche Analysen leichter, garantiert aber keine Sicherheit.
  - `[L2-26 ✎ · 2026-02-16]`
- **Überleitung zu Stufe 6** *(Einordnung):* „Technisch sind viele dieser Tresore gut. Die Di.day-Frage lautet: Wem gehört der Tresor, kann ich hineinschauen, und welches Recht gilt?“

### Quellen Stufe 5

- https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/DVS-Berichte/passwortmanager.pdf?__blob=publicationFile&v=4
- https://heise.de/-11108747
- https://www.test.de/Internet-Sicherheit-Behoerde-ruegt-unsichere-Passwort-Manager-6270238-0/
- https://www.test.de/Schutz-im-Netz-Diese-Passwortmanager-sind-sicher-6279000-0/
- https://www.verbraucherzentrale.nrw/wissen/digitale-welt/apps-und-software/10-passwortmanager-im-vergleich-113439
- https://www.sparkasse.de/service/sicherheit-im-internet/s-trust.html
- https://support.1password.com/security-assessments/
- https://support.1password.com/secret-key-security/
- https://support.1password.com/recovery-codes/
- https://9to5google.com/2026/02/24/1passwords-annual-subscription-plans-are-getting-a-price-hike-next-month/
- https://alternativeto.net/news/2026/2/1password-to-raise-subscription-prices-for-individual-and-family-plans-by-up-to-33-
- https://1password.com/de/password-manager
- https://www.darkreading.com/endpoint-security/1password-raises-620m-series-c-now-valued-at-6-8b
- https://www.lastpass.com/company/newsroom/b948ad48-3268-4c9e-8b45-0d6d02d0b4e7
- https://fortune.com/2015/10/09/logmein-buys-lastpass
- https://therecord.media/lastpass-attacker-hacked-engineers-home-computer-keylogger
- https://ico.org.uk/media2/xfbl1uaa/lastpass-uk-ltd-penalty-notice.pdf
- https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2025/12/password-manager-provider-fined/
- https://blog.lastpass.com/posts/notice-of-recent-security-incident
- https://palant.info/2022/12/23/lastpass-has-been-breached-what-now/
- https://palant.info/2022/12/28/lastpass-breach-the-significance-of-these-password-iterations/
- https://www.trmlabs.com/resources/blog/trm-traces-stolen-crypto-from-2022-lastpass-breach-on-chain-indicators-suggest-russian-cybercriminal-involvement
- https://krebsonsecurity.com/2025/03/feds-link-150m-cyberheist-to-2022-lastpass-hacks/
- https://www.theregister.com/2025/12/11/lastpass_ico_fine/
- https://www.claimdepot.com/settlements/lastpass-settlement
- https://www.pcworld.com/article/3102935/the-lastpass-breach-settlement-is-real-heres-what-you-should-know.html
- https://blog.lastpass.com/posts/changes-to-lastpass-free
- https://www.dashlane.com/blog/dashlane-free-ending
- https://www.dashlane.com/terms
- https://techcrunch.com/2023/02/02/dashlane-publishes-its-source-code-to-github-in-transparency-push/
- https://www.theregister.com/2026/02/16/password_managers/
- https://eprint.iacr.org/2026/058
- https://www.justice.gov/opa/press-release/file/1153446/download

---

## Übersicht: Die Stufenleiter auf einen Blick

| Stufe | Methode | Einzeiler (kurz) | Stärkster Vorteil | Größter Haken | Für wen vertretbar? *(Einordnung)* | Beleg |
|---|---|---|---|---|---|---|
| 1 | Überall dasselbe Passwort | Ein Schlüssel für alle Türen | nur ein Passwort merken | ein Leck öffnet alle Konten, das wird automatisiert durchgetestet | für niemanden, auch nicht mit starkem Passwort | L1-01, L1-07, L1-09 |
| 2 | Post-it am Bildschirm / unter der Tastatur | Schützt vor dem Internet, nicht vor dem Schreibtisch | verschiedene Passwörter, für Schadsoftware unerreichbar | sichtbar für alle, die vorbeikommen, und für Kameras; im Büro oft verboten | höchstens als Übergang, nie offen sichtbar | L1-12, L1-14, L1-20, L1-22 |
| 3 | Passwortbuch aus dem Buchhandel | Besser als sein Ruf, wenn es weggeschlossen ist | offline; vom BSI als „Offline-Lösung“ anerkannt; hilft im Erbfall | Einbruch und Verlust ohne Backup; keine Phishing-Prüfung; Tippfehler | wenige Konten, ein Rechner zu Hause, kein Wunsch nach Apps (BSI-Persona Eike) | L1-25, L1-26, L1-27 |
| 4 | Passwortspeicher im Browser | Gratis und bequem, aber nur in seiner eigenen Welt | eingebaut, gratis, Leak-Warnung, Passkeys; Firefox ohne BSI-Bedenken, Apple Ende-zu-Ende | Lock-in; schwache Voreinstellungen (Chrome-Sync, kein Hauptpasswort in Firefox); Infostealer | guter erster Schritt weg von Stufe 1 bis 3, Einstellungen nachschärfen | L2-02, L2-03, L2-06, L2-10, L2-11 |
| 5 | Kommerzielle Tools (LastPass, 1Password, Dashlane …) | Profi-Tresor im Abo | technisch teils exzellent (1Password: keine grundsätzlichen BSI-Bedenken), sehr komfortabel | geschlossener Code, Preis-, Besitzer- und Einstellungsrisiko, teils Rechtsraum außerhalb der EU; LastPass 2022 | wer Komfort will und dem Anbieter vertraut; kein „unsicher“, aber abhängig | L2-14, L2-16, L2-17, L2-18, L2-25, L2-27 |
| 6 | Unsere drei Favoriten | Ein Tresor, der dir gehört | **KeePassXC-Familie:** offen, kostenlos, Datei liegt bei dir. **Proton Pass:** quelloffene Apps, bequem, Sitz in der Schweiz. **Bitwarden/Vaultwarden:** Open Source, Vaultwarden selbst hostbar | **KeePassXC:** Sync und Backup selbst einrichten. **Proton:** Schweiz ist nicht EU, Server-Code nicht veröffentlicht. **Bitwarden:** US-Firma auf Azure, laut Di.day nur „zweite Wahl“. Vaultwarden nur für Technikaffine | ein Hauptrechner und Lust auf Kontrolle → KeePassXC; mehrere Geräte oder Familie → Proton Pass; eigene IT → Vaultwarden | Faktenblatt 3.3, 6.1–6.5; L2-25 |

**Zu Stufe 6, ehrlich gesagt:**

- **BSI:** Aus der BSI-Untersuchung 2025 gibt es nur Befunde zu KeePassXC (Version 2.7.9) und KeePass2Android. Bitwarden stand nur in der Vorauswahl. Proton Pass, KeePassDX und KeePassium wurden nicht geprüft. `[L2-01 ✎]`
- **Verbrauchertest:** Bei Test Achats und Que Choisir landete KeePassXC am Tabellenende, Proton Pass im Mittelfeld, Bitwarden war Preis-Leistungs-Tipp. `[L2-25 ✓ ⚡]`
- Alle Details stehen im Faktenblatt.

---

## Nicht behaupten / Vorsicht

### A. Nicht belegbar: nicht auf die Folie

- **Ein deutscher Post-it-Vorfall:** Einen gut belegten Fall haben wir nicht gefunden. Keinen erfinden und keinen aus Foren übernehmen.
- **„Bestseller“ bei Passwortbüchern:** Platzierungen bei Amazon oder Thalia ließen sich nicht prüfen, weil die Shops den Abruf blockieren. Die GIGA-Zahl (35.000 Rezensionen) stammt aus einer Anzeige.
- **„Mühsames Abtippen verleitet zu kurzen Passwörtern“:** Das ist plausibel, aber durch keine Studie belegt. Höchstens als „Verlockung“ formulieren.
- **„Die Zettel haben den TV5Monde-Hack verursacht“:** Unbelegt. Der Angriff war hochprofessionell, die Zettel waren nur einen Tag danach im Fernsehen zu sehen.
- **Eine Bitkom-Zahl für 2026:** Nicht gefunden, der neueste Wert ist von Januar 2025.
- **„Die Zahl der Konten bleibt gleich, nur die Passwörter werden weniger“ (NordPass):** Das ist eine eigene Schlussfolgerung, erhoben wurde es nicht.
- **„Edge erkennt sehr neue Leaks eventuell nicht“:** Das steht so nicht bei Microsoft. Dort heißt es nur, die Datenbank werde „periodically“ aktualisiert.
- **Wie gut die verschlüsselte Übergabe (CXP/CXF) im Herbst 2026 in den einzelnen Apps funktioniert:** Nicht systematisch geprüft. Bei 1Password gibt es nur Berichte aus der Community, teils mit Fehlern.
- **LastPass-Krypto-Diebstähle als bewiesen darstellen:** Es gibt kein Gerichtsurteil. Die ICO fand keine Hinweise auf entschlüsselte Passwörter. Die Zuordnung stützt sich auf On-Chain-Analysen (TRM) und den Secret Service, LastPass selbst sieht „no conclusive evidence“.

### B. Von den Prüfern korrigiert: so nicht sagen, sondern so

| So nicht | Sondern so |
|---|---|
| „Prinz William, der Thronfolger“ (2012) | „Prinz William“ bzw. „damals Zweiter der Thronfolge“, Thronfolger war Charles |
| „Der LastPass-Einbruch begann im Wohnzimmer“ | Er begann mit dem Firmen-Laptop eines Entwicklers. Der entscheidende Schritt war ein privater PC im Homeoffice mit veraltetem Plex (laut ICO). |
| „Palant nannte die ‚Millionen Jahre‘ irreführend“ | Er nannte sie eine „straight-out lie“. Kern: Von Menschen gewählte Passwörter fallen schnell, die wenigen Iterationen machen es nur schlimmer. |
| „LastPass ermutigte Führungskräfte, dasselbe Master-Passwort zu nutzen“ | „Mitarbeitende“ allgemein (ICO, Ziffer 97), verboten erst am 22.05.2023 |
| „S-Trust fiel im BSI-Test durch und wurde deshalb eingestellt“ | Das BSI vergibt kein Bestanden oder Durchgefallen. Die Einstellung hatte der Betreiber schon vorher angekündigt, laut Netzwelt aus wirtschaftlichen Gründen. Ein Zusammenhang ist nicht belegt. |
| „Das BSI rät von vier kommerziellen Produkten ab“ | Ausdrücklich nur von PassSecurium. Bei mSecure, SecureSafe und S-Trust sollen Nutzer:innen prüfen, ob sie dem Hersteller vertrauen. heise schreibt „eher ab“. |
| „187 Passwortbücher bei Hugendubel“ | 187 *Treffer*, davon viele fachfremd (Grundschulreihe „PASSWORT LUPE“, eBooks). Besser: „Dutzende“. |
| „Doppelt so viele notieren auf Papier wie einen Manager nutzen“ (für 2023) | Das gilt nur für 2022 (43 % gegen 20 %). 2023 rund 1,5-fach (38 % gegen 25 %). |
| „Wiederverwendung: ein bis zwei Drittel“ | Knapp 30 % (Bitkom) bis 70 % (Google/Walnut 2019, nicht repräsentativ für DE) |
| „Das BSI hat LastPass, Bitwarden und Dashlane getestet“ / „Dashlane stand in der Vorauswahl“ | Nicht getestet. LastPass und Bitwarden standen nur in der Vorauswahl, Dashlane und Proton Pass nicht einmal dort. Die Prüfversionen stammen teils aus 2024. |
| „NordPass zählte 168 Passwörter“ | Selbstauskunft in einer Umfrage unter NordPass-Kund:innen, Herstellerinteresse |
| „Bei 1Password ist ohne Secret Key alles weg, 1Password kann nicht helfen“ | Entschlüsseln kann 1Password nichts. Es gibt aber vorab einzurichtende Wiederherstellungscodes und die Wiederherstellung im Familienkonto. |
| „Laut TRM lagen die Seed-Phrasen in den Secure Notes“ | Das sagen die Forscher Bax und Monahan (via Krebs), nicht TRM. |
| BSI-Zitat „Dieser Ansatz ist bequem.“ mit Punkt | Im Original weiter: „…, aber dennoch nicht zu empfehlen“ |
| „Das BSI nennt das Credential Stuffing“ | Der Begriff ist unsere Zuschreibung, das BSI schreibt „automatisiert durchtesten“. |
| „Edge-Passwortmanager nur mit persönlichem Microsoft-Konto“ | Die Microsoft-Seiten widersprechen sich. Den Password Monitor gibt es auch mit Geschäfts- oder Schulkonto, aber nur unter Windows/macOS. |
| „Ein Mitarbeiter hat Bijlevelds Foto versehentlich getwittert“ | Die Ministerin machte das Foto selbst, ein Mitarbeiter stellte es auf ihren Account. Sie sprach von „een slordige fout“. |
| „Super Bowl: Stadionzentrale“ | „Sicherheitszentrale des Super Bowl“, die Daten standen auf einem Bildschirm, nicht auf einem Zettel. |
| „Weißes Haus: E-Mail-Passwort“ | „ProtonMail-Passwörter und Adresse“ (Plural). Keinen Namen nennen. |
| „23andMe: 6,9 Mio. Konten gehackt“ | 14.000 übernommene Konten (Angabe von 23andMe, der Klägeranwalt sprach von „only a few thousand“), 6,9 Mio. *Betroffene* über DNA Relatives |
| „Dashlane prophezeite 400 Konten für 2024“ | „In the next five years“ (2019), das Zieljahr 2024 ist abgeleitet. |
| „Apple nutzt CXP/CXF“ | Apple nennt FIDO-Spezifikationen, dass es CXP/CXF sind, schätzt heise. |
| „Bei SecureSafe liegen die Passwörter kurz unverschlüsselt auf dem Server“ | Das sagt test.de nach Angaben von DSwiss. Das BSI spricht nur von Schlüsseln im Hauptspeicher. |
| „Microsoft hat 2.300 Lumma-Domains abgeschaltet“ | „taken down, suspended, and blocked“ |

### C. Mythen und Fallstricke

**Stufen 1 bis 3**

- **„Ein starkes Passwort kann ich ruhig überall nutzen.“** Falsch. Das BSI rät ab, „selbst wenn das gewählte Passwort den oben genannten Kriterien entspricht“. (L1-07)
- **„Mich hackt doch keiner, ich bin uninteressant.“** Credential Stuffing ist automatisiert und wahllos (BSI „automatisiert durchtesten“, Verizon im Median 19 %). (L1-07, L1-08)
- **„Aufschreiben ist immer verboten.“** BSI, NCSC und Verbraucherzentrale halten es für vertretbar, wenn der Zettel sicher verwahrt wird. Am Arbeitsplatz gelten strengere Regeln (CSBW: „Niemals Passwörter notieren“), deshalb privat und Büro getrennt ansprechen. (L1-20, L1-22, L1-28)
- **„Passwörter regelmäßig ändern“ als Trost für Stufe 1:** Überholt. Das BSI rät seit 2025 von anlasslosen Wechseln ab, ändern nur bei Hinweisen auf ein Leck. Quellen: https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/250131_Passwortwechsel_next-level.html, https://www.bitkom.org/Presse/Presseinformation/Jeder-Vierte-nutzt-einfache-Passwoerter
- **„Ein Passwortbuch ist immun gegen Cyberangriffe“** (Werbung bei GIGA): Nur halb wahr. Gegen Phishing schützt es nicht, das BSI verlangt eine eigene Prüfung der Webseite. (L1-25)
- **Banking-PIN im Passwortbuch neben Smartphone oder TAN-Generator:** Verstößt gegen die Sonderbedingungen und kann Folgen für die Haftung haben. (L1-29)
- **Schneiers Brieftaschen-Tipp (2005) als aktuellen Rat darstellen:** Nicht tun. Die Verbraucherzentrale rät heute „nicht in Ihrer Brieftasche“. (L1-21, L1-28)

**Fälle richtig erzählen**

- **Hawaii:** Der abgebildete Mitarbeiter Jeffrey Wong hat den Fehlalarm **nicht** ausgelöst und wurde nach irreführender Verwendung des Fotos bedroht. Weder sein Gesicht noch das Passwort zeigen. Das Passwort gehörte laut Behörde zu einer internen, vermutlich stillgelegten Anwendung. (L1-14)
- **Super Bowl 2014 und Bijleveld 2020:** Kein Post-it, die Daten standen auf Bildschirmen. Als „Kameras sehen alles“ erzählen. (L1-16, L1-19)
- **Waterloo 2015:** Laut Nachtrag von The Register war der Login für Außenstehende wohl nutzlos („of absolutely no use to anyone sitting at home“). Nicht als Beinahe-Katastrophe verkaufen. (L1-17)

**Zahlen**

- **Wiederverwendung:** Keine Einzelzahl als „die Wahrheit“ zeigen. Bitkom 33 % mit Quelle nennen und die Spanne erwähnen. (L1-01, L1-03)
- **Herstellerzahlen:** NordPass, Dashlane, Bitdefender und 3M verkaufen Sicherheits- oder Blickschutzprodukte. Ihre Zahlen sind nicht repräsentativ und sollten als Herstellerangaben gekennzeichnet werden. (L1-04, L1-05, L1-23)
- **Nutzung von Browser-Passwortspeichern:** 15 % (CyMon, als Schutzmaßnahme) und 84,1 % (VZ NRW, Speichern im Browser) messen Verschiedenes, deshalb immer Quelle und Fragestellung nennen. (L2-12)
- **Preise:** 1Password-Preise sind nur in USD belegt. Euro-Preise nicht ungeprüft auf die Folie bringen, Neukunden-Rabatte verzerren den Vergleich. (L2-16)

**Stufen 4 und 5**

- **„Browser-Passwortspeicher sind unsicher.“** Nicht sagen. Firefox (mit Hauptpasswort) hat keine BSI-Bedenken, Apple verschlüsselt Ende-zu-Ende, Chrome ohne Sync oder mit Passphrase erlaubt keinen Herstellerzugriff. Die echten Punkte sind Voreinstellungen, Infostealer und Lock-in. (L2-02, L2-03, L2-06)
- **„Google kann deine Passwörter nicht sehen.“** Im Standard-Sync-Modus laut BSI „jederzeit“. Ende-zu-Ende gibt es nur als Opt-in. (L2-02, L2-04)
- **Chrome-Schutz „App-Bound Encryption“:** Dass Infostealer ihn umgehen, ist in der Presse für Cookies belegt. Für gestohlene *Passwörter* die Microsoft-Quelle zu Lumma nehmen. (L2-11)
- **„Bei LastPass wurden Passwörter im Klartext gestohlen.“** Falsch. Gestohlen wurden verschlüsselte Tresore plus unverschlüsselte Metadaten wie URLs. Geknackt wurden offline nur Tresore mit schwachem Master-Passwort oder wenigen Iterationen. (L2-19, L2-21)
- **„2FA hätte die LastPass-Kund:innen geschützt“ / „Nach dem Leak reicht ein neues Master-Passwort“:** Beides falsch, denn 2FA schützt nur den Login. Helfen würde nur, alle im Tresor gespeicherten Passwörter zu ändern. (L2-19)
- **„Kommerziell heißt außerhalb der EU.“** Nicht verallgemeinern. Dashlane hat EU-Kund:innen über die Dashlane SAS in Paris unter Vertrag. Rechtsraum, Offenheit und Lock-in getrennt betrachten. (L2-24)
- **„Open Source ist automatisch sicherer.“** Die ETH Zürich fand 12 Angriffe auf Bitwarden für den Fall eines bösartigen Servers. Offenheit erleichtert Prüfungen, ersetzt sie aber nicht. (L2-26)
- **CLOUD Act dramatisieren:** Bei echter Ende-zu-Ende-Verschlüsselung gibt der Anbieter nur verschlüsselte Daten und Metadaten heraus. Das Problem ist die rechtliche Abhängigkeit, nicht das Mitlesen. (L2-27)
- **Microsoft Authenticator als Datenverlust erzählen:** Falsch. Die Passwörter gingen ins Microsoft-Konto bzw. nach Edge. Die Geschichte handelt von Abhängigkeit. (L2-08)
- **Testergebnisse als Gesamturteil lesen:** Tests bewerten den Stand zum Prüfzeitpunkt, also Komfort und Funktionen, nicht Vorgeschichte oder Abhängigkeit. Dass KeePassXC am Tabellenende landete, offen ansprechen. (L2-25)

**Bilder**

- **Bildrechte:** Pressefotos von AP, Königshaus oder TV-Sendern (Hawaii, RAF, TV5Monde) sind urheberrechtlich geschützt und kommen nicht auf die Folien. Fälle nur erzählen oder mit eigenen bzw. frei lizenzierten Fotos bebildern. Nie ein echtes oder noch genutztes Passwort zeigen.

### D. Quellenpflege vor Veröffentlichung (Stand 25.10.2026)

- **Sophos zu Hawaii** (`news.sophos.com/en-us/2018/01/18/...`): Leitet auf eine 404-Seite um. Ersatz ist Vice (siehe Quellen Stufe 2).
- **Sparda-West** (Sonderbedingungen Online-Banking): HTTP 404. Ersatz sind die Sonderbedingungen der Steyler Bank (siehe Quellen Stufe 3).
- **Help Net Security zu Prinz William:** Blockiert den automatischen Abruf mit einem Captcha. Belegt ist der Fall über Hello Magazine und The Register.
- **CNBC (1Password-Finanzierung)** und **lastpasssettlement.com:** HTTP 403. Ersatz sind Dark Reading bzw. ClaimDepot.
- **Microsoft-Supportseite zum Authenticator:** Wurde umgeschrieben, der Zeitplan steht dort nicht mehr. Belegt ist er über die Fachpresse.
- **Mozilla-Supportseite zum Hauptpasswort:** Ließ sich nicht direkt abrufen, belegt ist sie über Suchauszüge.

---

## Bildnachweise

Alle drei Bilder liegen in `assets/img/`. Die Lizenzen haben die Bildrecherchen auf den Fotoseiten selbst geprüft. Keines der Bilder zeigt ein echtes Passwort, erkennbare Personen oder dominante Logos.

### Stufe 1: `assets/img/stufe1-ein-schluessel.jpg`

| Feld | Angabe |
|---|---|
| Motiv | Fußweg der Kölner Hohenzollernbrücke (13.03.2016). Rechts eine grüne Gitterwand mit Tausenden bunten Liebesschlössern, links eine helle graue Gehwegfläche. Ganz hinten zwei winzige, nicht erkennbare Personen. Bildidee: viele Schlösser = viele Konten, „alle mit demselben Schlüssel?“ |
| Autor:in | Frank Schwichtenberg (User:Huhu Uet) |
| Quelle | Wikimedia Commons |
| Lizenz | CC BY-SA 4.0 (Namensnennung – Weitergabe unter gleichen Bedingungen 4.0 International), https://creativecommons.org/licenses/by-sa/4.0/ |
| Link | https://commons.wikimedia.org/wiki/File:K%C3%B6ln_%E2%80%93_Liebesschl%C3%B6sser_-_Hohenzollernbr%C3%BCcke_2016_01.jpg |
| Bildnachweis-Zeile | „Foto: Frank Schwichtenberg, CC BY-SA 4.0 (creativecommons.org/licenses/by-sa/4.0), via Wikimedia Commons, verkleinert“ |
| Namensnennung Pflicht? | **Ja** (laut Commons-API AttributionRequired = true) |
| Technik | 1920 × 1280 px, JPEG (Qualität 72), Metadaten entfernt, ca. 564 KB. Original 4608 × 3072 px, die SHA-1-Prüfsumme stimmt mit Commons überein. |
| Layout | Vollbild 16:9, `object-fit: cover`, `object-position: center 70%`. Überschrift links unten auf dem hellen Gehweg in dunkler Schrift, Bildnachweis klein unten links. |
| Hinweise | Share-alike gilt nur für das Bild selbst. Das Einbetten macht die Folie nicht zur CC-BY-SA-Folie. Wird die Bilddatei bearbeitet (zuschneiden, einfärben, freistellen), steht die bearbeitete Datei unter CC BY-SA 4.0, und die Änderung gehört in den Nachweis, z. B. „verkleinert und zugeschnitten“. Ein Zuschnitt nur per CSS (`object-fit`) verändert die Datei nicht. |

Optionale Ergänzung, nicht heruntergeladen: Matt Artz, einzelner Schlüssel auf Schwarz, Unsplash-Lizenz, keine Namensnennung nötig. Link: https://unsplash.com/photos/photo-of-key-against-black-background-pY_AZJfdbHQ. Passt als zweiter Animationsschritt: „Wer diesen einen Schlüssel findet …“

### Stufe 2: `assets/img/stufe2-postit.jpg`

| Feld | Angabe |
|---|---|
| Motiv | Draufsicht auf einen hellen Holzschreibtisch. Zwei leere, knallgelbe Haftzettel liegen schräg übereinander, daneben eine weiße Tastatur und weiße Kabel-Ohrhörer. Keine Personen, keine Logos, kein Fremdtext. Laut Fotoseite ein echtes Foto (Nikon D5100, 03.02.2017), nicht als KI-Bild gekennzeichnet. |
| Autor:in | Lukas Blazek (@goumbik, https://www.pexels.com/@goumbik/) |
| Quelle | Pexels |
| Lizenz | Pexels License, auf der Fotoseite als „Free“ ausgewiesen: kostenlos, auch kommerziell, Bearbeitung erlaubt, Namensnennung erwünscht. https://www.pexels.com/license/ |
| Link | https://www.pexels.com/photo/close-up-of-computer-keyboard-on-table-317353/ |
| Bildnachweis-Zeile | „Foto: Lukas Blazek / Pexels“ |
| Namensnennung Pflicht? | **Nein** (aber erwünscht, wir nennen ihn trotzdem) |
| Technik | 2400 × 1589 px, JPEG (Qualität 72), Metadaten entfernt, ca. 621 KB. Original 6144 × 4069 px. |
| Layout | Vollbild, `object-fit: cover`, Fokus etwa bei 30 % / 55 %. **Pflicht-Overlay für die Pointe** auf dem unteren Zettel: Mittelpunkt etwa bei 26 % / 66 % der Bildfläche, um +24° gedreht. Text „Passwort: Sommer2026!“ in Handschrift-Schrift (z. B. „Caveat“ oder „Indie Flower“), Kugelschreiber-Blau #1d2a6b, etwa 3 % der Bildbreite. Optional auf dem oberen Zettel (etwa 34 % / 39 %, −24°) „PIN: 1234“. Überschrift unten rechts auf dem Holz (x 45–95 %, y 68–95 %) in dunkler Schrift. Ein Probelauf mit dem Overlay (nicht im Repo): `/home/matthias/.cache/claude-tmp/claude-1000/-home-matthias-GIT-merlina-minds-di-day-passwort-manager/1866b7a0-a53a-4598-9f57-8669b2a9b894/scratchpad/photos/stufe2-postit/test-overlay.jpg` |
| Hinweise | Ein frei lizenziertes Foto mit lesbarem Passwort auf einem Post-it gibt es nicht. Die Bilder bei Adobe Stock sind kostenpflichtig und teils KI-generiert, deshalb ausgeschlossen. Das Overlay-Passwort ist ausdrücklich ein Fantasie-Passwort. „Sommer2026!“ ist zugleich ein typisch schwaches Muster, das ist ein Gag mit Lerneffekt. |

### Stufe 3: `assets/img/stufe3-passwortbuch.jpg`

| Feld | Angabe |
|---|---|
| Motiv | Ein aufgeschlagenes, leeres Buch mit linierten Seiten liegt schräg auf weißem Grund. Am rechten Rand ein Daumenregister A–Z mit cremefarbenen Reitern, die Buchstaben abwechselnd schwarz und rot. Pixabay-Titel: „Open address book with alphabet tabs“. Am A–Z-Register erkennt man sofort ein Eintragebuch wie aus dem Buchhandel. Keine Personen, Marken oder Logos, kein KI-Hinweis. |
| Autor:in | BRRT (https://pixabay.com/users/brrt-122519/) |
| Quelle | Pixabay |
| Lizenz | Pixabay Content License („Free for use under the Pixabay Content License“). Keine Namensnennung nötig, verboten ist der unveränderte Weiterverkauf. https://pixabay.com/service/license-summary/ |
| Link | https://pixabay.com/photos/open-notebook-book-notebook-spread-2542526/ |
| Bildnachweis-Zeile | „Foto: BRRT / Pixabay“ |
| Namensnennung Pflicht? | **Nein** (wir nennen ihn trotzdem) |
| Technik | **Nur 1280 × 848 px**, ca. 56 KB, Metadaten entfernt. Öffentlich erreichbar ist nur die 1280er-Fassung. Das Original (4928 × 3264 px) gibt es über den Download-Button auf Pixabay, eventuell mit kostenlosem Konto. Für maximale Schärfe von Hand herunterladen und neu skalieren. Auf einem Full-HD-Beamer wirkt die jetzige Datei etwas weich. |
| Layout | Vollbild, `object-fit: cover`, Fokus etwa bei 45 % / 45 %, sodass das A–Z-Register ganz sichtbar bleibt. Überschrift „Stufe 3: Das Passwortbuch“ oben rechts auf Weiß in dunkler Schrift. Optional zwei bis drei Fantasie-Einträge in Handschrift-Schrift, etwa um −28° gedreht, parallel zu den Linien. |
| Hinweise | Ein frei lizenziertes Foto eines echten, beschrifteten „Passwortbuchs“ gibt es nicht. Durchsucht wurden Unsplash, Pexels, Commons und Openverse. Rückfalloption bei Bedarf an höherer Auflösung: Commons „Address_book_2.jpg“ (Mx. Granger, CC0, 2592 px). Es liest sich allerdings klar als Adressbuch. |

**Nicht verwenden:** Pressefotos der Fälle aus Stufe 2 (AP-Foto Hawaii, RAF-PR-Fotos, TV5Monde-Sendung, Bijleveld-Tweet). Sie sind urheberrechtlich geschützt, und beim Hawaii-Foto käme der Schutz des abgebildeten Mitarbeiters dazu.