Passwortmanager für Familien sicher einrichten

Ein Passwortmanager hilft Familien, für jedes wichtige Konto ein eigenes starkes Passwort zu verwenden. Besonders E-Mail-, Banking- und Behördenkonten sollten zusätzlich mit Zwei-Faktor-Authentifizierung geschützt werden. Entscheidend ist ein gemeinsamer Notfallplan: Alle berechtigten Personen müssen wissen, wie sie im Ernstfall Zugang erhalten, ohne dass Wiederherstellungscodes offen herumliegen.

Prioritäten: Diese Konten zuerst absichern

Beginnen Sie nicht mit sämtlichen Online-Diensten gleichzeitig. Sichern Sie zuerst die Konten, über die sich weitere Zugänge zurücksetzen lassen oder sensible Daten enthalten:

• das zentrale E-Mail-Konto
• Online-Banking und Bezahldienste
• BundID, Steuerkonto oder andere Behördenzugänge
• Mobilfunkkonto und Cloud-Speicher
• Konten, die für Familienverträge oder Versicherungen genutzt werden

Das E-Mail-Konto steht meist an erster Stelle. Wer darauf zugreifen kann, kann bei vielen Diensten neue Passwörter anfordern. Verwenden Sie dafür ein langes, einzigartiges Passwort und aktivieren Sie eine zusätzliche Anmeldebestätigung, sofern der Anbieter sie anbietet.

Beim Online-Banking gelten die Sicherheitsverfahren der jeweiligen Bank. Ein Passwortmanager kann das Login sicher verwalten, ersetzt aber weder die Freigabe über die Banking-App noch ein separates Sicherheitsverfahren der Bank.

Passwortmanager auswählen und ein Hauptpasswort festlegen

Ein Passwortmanager speichert Zugangsdaten verschlüsselt und erzeugt auf Wunsch neue Passwörter. Für Familien ist wichtig, dass sich einzelne Einträge sicher teilen lassen, während private Konten getrennt bleiben. Prüfen Sie außerdem, ob der Dienst eine Wiederherstellung, Notfallkontakte und eine Export- oder Sicherungsfunktion anbietet.

Das Hauptpasswort schützt den Tresor und muss deshalb besonders stark sein. Es sollte lang, einzigartig und nicht aus persönlichen Angaben zusammengesetzt sein. Eine einprägsame Passphrase aus mehreren voneinander unabhängigen Wörtern ist häufig praktischer als eine kurze Kombination aus Buchstaben und Zahlen.

Verwenden Sie das Hauptpasswort niemals bei einem anderen Dienst. Schreiben Sie es nicht auf einen Zettel am Bildschirm und speichern Sie es nicht ungeschützt in einer gewöhnlichen Notiz-App. Wenn Sie es dauerhaft vergessen, kann der Anbieter den Tresor je nach Dienst möglicherweise nicht wiederherstellen.

Familienzugänge sinnvoll trennen

Richten Sie für jedes Familienmitglied ein eigenes Konto ein, falls der Passwortmanager dies unterstützt. Gemeinsame Zugangsdaten können in einem geteilten Bereich liegen. Private E-Mail-, Gesundheits- oder Arbeitskonten bleiben dagegen im persönlichen Bereich.

Legen Sie nur die Zugriffsrechte fest, die tatsächlich benötigt werden. Kinder können beispielsweise Zugangsdaten für bestimmte Familiengeräte erhalten, ohne Zugriff auf Banking- oder Behördenkonten zu bekommen. Prüfen Sie geteilte Einträge regelmäßig und entfernen Sie alte oder nicht mehr benötigte Berechtigungen.

Einrichtung: Konten Schritt für Schritt umstellen

Gehen Sie Konto für Konto vor und ändern Sie nicht alles an einem einzigen Abend. Für jeden Dienst empfiehlt sich folgende Reihenfolge:

1. Öffnen Sie die Sicherheitseinstellungen des Kontos direkt über die bekannte App oder selbst eingegebene Internetadresse.
2. Ersetzen Sie das bisherige Passwort durch ein vom Passwortmanager erzeugtes, einzigartiges Passwort.
3. Speichern Sie den neuen Zugang im Tresor und prüfen Sie die automatische Anmeldung.
4. Aktivieren Sie die Zwei-Faktor-Authentifizierung.
5. Speichern Sie die angebotenen Wiederherstellungscodes sicher.
6. Melden Sie alte Geräte und unbekannte Sitzungen ab.

Bei der Zwei-Faktor-Authentifizierung kommt neben dem Passwort ein zweiter Nachweis hinzu. Das kann eine Bestätigung in einer App, ein zeitlich begrenzter Code, ein Sicherheitsschlüssel oder je nach Dienst eine andere Methode sein. Eine App oder ein Sicherheitsschlüssel ist oft robuster als ein Code per SMS, weil SMS vom Mobilfunknetz und von der Erreichbarkeit des Telefons abhängen.

Aktivieren Sie den zweiten Faktor zuerst beim E-Mail-Konto. Danach können Sie weitere Konten absichern. Bewahren Sie mindestens eine alternative, sichere Anmeldemöglichkeit auf, damit ein verlorenes Smartphone nicht automatisch zum vollständigen Aussperren führt.

Wiederherstellungscodes sicher aufbewahren

Wiederherstellungscodes sind Ersatzschlüssel für den Fall, dass das übliche Zweitgerät nicht verfügbar ist. Sie gehören deshalb nicht in einen frei zugänglichen Chat, in eine unverschlüsselte Cloud-Notiz oder als Foto in die allgemeine Familiengalerie.

Bewahren Sie die Codes an einem geschützten Ort auf, zum Beispiel in einem dafür vorgesehenen Bereich des Passwortmanagers und zusätzlich in einer getrennten, verschlossenen Papierablage. Ob eine doppelte Sicherung sinnvoll ist, hängt von Ihrem Familien- und Gerätealltag ab. Wichtig ist, dass nicht alle Kopien am selben Ort liegen.

Achten Sie bei neuen Codes darauf, alte Codes zu ersetzen oder zu entwerten, falls der Dienst dies vorsieht. Teilen Sie einen Wiederherstellungscode nur mit der Person, die ihn im Notfall tatsächlich benötigt. Ein Code ist kein normales Passwort und sollte nicht routinemäßig weitergegeben werden.

Notfallplan für Krankheit, Verlust oder Abwesenheit

Ein Passwortmanager schützt den Alltag nur dann zuverlässig, wenn die Familie auch einen Ausfall einplant. Besprechen Sie deshalb, wer im Notfall auf welche Informationen zugreifen darf. Das kann bei einem verlorenen Telefon, einer längeren Abwesenheit oder einer schweren Erkrankung wichtig werden.

Ein einfacher Notfallplan enthält:

• die Bezeichnung des Passwortmanagers und den Weg zum eigenen Konto
• eine vertrauenswürdige Notfallperson
• den Aufbewahrungsort des Hauptpassworts oder einer verschlossenen Notfallinformation
• die sicheren Ablagen für Wiederherstellungscodes
• die Konten, die im Notfall besonders wichtig sind
• eine Information darüber, welche Geräte als vertrauenswürdig registriert sind

Viele Passwortmanager bieten einen Notfallzugang mit Wartefrist an. Dabei kann eine vorher bestimmte Person einen Antrag stellen, während der Kontoinhaber innerhalb einer Frist widersprechen kann. Prüfen Sie die Einstellungen gemeinsam und wählen Sie die Wartezeit so, dass sie zum Risiko und zur familiären Situation passt.

Der Notfallplan sollte nicht alle Geheimnisse auf einer einzigen Liste versammeln. Notieren Sie nur, was zum Auffinden und Wiederherstellen der Zugänge erforderlich ist. Kontrollieren Sie außerdem einmal im Jahr, ob die hinterlegte Notfallperson, Telefonnummern und Geräte noch aktuell sind.

E-Mail, Banking und Behörden besonders sorgfältig schützen

Beim E-Mail-Konto sollten Wiederherstellungsadresse und Telefonnummer aktuell sein. Prüfen Sie auch, ob Weiterleitungen oder unbekannte angemeldete Geräte eingerichtet wurden. Eine fremde Weiterleitung kann dazu führen, dass Angreifer weiterhin Nachrichten mit Zurücksetzungscodes erhalten.

Beim Online-Banking dürfen Zugangsdaten niemals über Links aus unerwarteten Nachrichten eingegeben werden. Öffnen Sie die Banking-App selbst oder verwenden Sie die bekannte Adresse. Kontrollieren Sie nach der Umstellung, ob Benachrichtigungen für Anmeldungen und Überweisungen aktiviert sind.

Bei Behördenkonten sollten Familien festhalten, wer welche Vollmachten besitzt und welche E-Mail-Adresse hinterlegt ist. Ein Passwortmanager verwaltet die Zugangsdaten, ersetzt aber keine rechtliche Vollmacht. Prüfen Sie daher getrennt, ob Vertretungsregelungen und Kontaktdaten bei der jeweiligen Behörde noch stimmen.

Regelmäßige Sicherheitsprüfung ohne Technikstress

Ein kurzer Sicherheitscheck alle drei bis sechs Monate reicht für viele Familien als feste Routine. Entfernen Sie ungenutzte Konten, aktualisieren Sie veraltete Wiederherstellungsdaten und prüfen Sie, ob neue Geräte hinzugekommen sind.

Achten Sie besonders auf doppelt verwendete Passwörter, deaktivierte Zwei-Faktor-Authentifizierung und unklare Freigaben im Familienbereich. Bei einem vermuteten Angriff ändern Sie zuerst das E-Mail-Passwort, sichern das E-Mail-Konto mit einem zweiten Faktor und melden unbekannte Sitzungen ab. Danach folgen die wichtigsten verknüpften Dienste.

Das BSI bietet zusätzliche Informationen zum sicheren Umgang mit Passwörtern. Für konkrete Einstellungen, Fristen und Wiederherstellungsverfahren bleiben jedoch die Sicherheitshinweise des jeweiligen Dienstes maßgeblich.

Quelle: Bsi