Sieben Handgriffe, die Ihren Tresor wirklich schützen
Ein Passwortmanager schützt nur, wenn einige Einstellungen stimmen. Hier sind sie, das Wichtigste zuerst. Eine halbe Stunde, ein für alle Mal.
-
Ein langes Master-Passwort, nirgends wiederverwendet
Es ist der einzige Schlüssel zu Ihrem Tresor, und niemand kann es zurücksetzen. Nehmen Sie vier oder fünf zusammenhanglose Wörter: „Schubkarre-Tastatur-Gewitter-42-Linde“ hält weit besser stand als ein kurzes „P@ssw0rt!“. Verwenden Sie es sonst nirgends und schreiben Sie es auf Papier an einem sicheren Ort, bis Sie es auswendig können.
-
Stellen Sie die Verschlüsselung auf Argon2id um
Im Web-Tresor unter Einstellungen, Sicherheit, Schlüssel: Argon2id statt PBKDF2 wählen und die Standardwerte belassen. PBKDF2 widersteht nur roher Rechenleistung, die Grafikkarten reichlich liefern; Argon2id verlangt zusätzlich Speicher und macht Spezialhardware damit wirkungslos. Zwei Minuten Aufwand für Jahre an Vorsprung.
-
Aktivieren Sie die Zwei-Schritt-Anmeldung
Einstellungen, Sicherheit, Zwei-Schritt-Anmeldung, mit einer Authenticator-App. Selbst wenn Ihr Master-Passwort durchsickerte, genügte es nicht mehr, um den Tresor zu öffnen. Bewahren Sie die Wiederherstellungscodes außerhalb des Tresors auf: auf Papier oder bei einer Vertrauensperson.
-
Exportieren Sie Ihren Tresor gelegentlich
Werkzeuge, Tresor exportieren, im verschlüsselten, passwortgeschützten Format. Ein Server kann ausfallen, ein Konto verloren gehen. Bewahren Sie diese Kopie offline auf einem weggelegten USB-Stick auf und erneuern Sie sie zwei- bis dreimal im Jahr.
-
Sperren Sie Ihre Geräte
Ein gut geschützter Tresor auf einem entsperrten Telefon schützt nichts. Code auf dem Telefon, gesperrte Sitzung am Rechner, und in der Bitwarden-App die automatische Sperre auf einige Minuten stellen statt auf „nie“.
-
Misstrauen Sie allem, was drängt
Keine seriöse E-Mail fragt nach Ihrem Master-Passwort, und wir werden es nie tun. Die Bitwarden-Erweiterung bietet das Ausfüllen nur auf der gespeicherten Domain an: Bleibt sie auf einer vermeintlich bekannten Seite stumm, sehen Sie sich die Adresse zweimal an, bevor Sie etwas eintippen.
-
Ändern Sie bereits kompromittierte Passwörter
Der Tresor erkennt schwache, mehrfach genutzte und in bekannten Datenlecks aufgetauchte Passwörter. Beginnen Sie beim E-Mail-Konto: Darüber lässt sich alles andere zurücksetzen, also verdient es das stärkste Passwort und die Zwei-Schritt-Anmeldung.
Diese Einstellungen finden Sie im Web-Tresor Ihrer Instanz, sobald das Konto angelegt ist.