Passwörter verwalten, ohne sie alle auswendig zu lernen

Der Passwortmanager ist dein geschütztes Adressbuch für Zugänge.

Eine Passwortverwaltung ordnet Zugangsdaten den jeweiligen Diensten zu und kann unterschiedliche Passwörter erzeugen. Du musst nicht mehr dasselbe Wort mit wechselnden Jahreszahlen verwenden. Achte bei der Auswahl darauf, welche deiner Geräte unterstützt werden, wie der Tresor geschützt wird und wie Sicherung beziehungsweise Wiederherstellung funktionieren.

Verwende die offizielle Website oder den vorgesehenen App-Store und prüfe den Herausgeber. Ein angeblicher Downloadlink in einer unerwarteten Mail ist kein geeigneter Startpunkt. Je nach Lösung gibt es ein Hauptpasswort, Gerätefreigaben oder andere Anmeldewege. Der Wiederherstellungsprozess muss vor dem Umzug deiner wichtigen Konten verständlich sein.

Zum Nachlesen: BSI: Basistipps für Konten und Geräte

Beginne mit einem überschaubaren Konto.

1. Richte die gewählte Verwaltung nach ihrer offiziellen Anleitung ein. Sichere den zentralen Zugang mit einem starken, eigenständigen Geheimnis beziehungsweise dem vorgesehenen Schutzverfahren.
2. Speichere erforderliche Wiederherstellungsinformationen geschützt und getrennt. Vermeide einen Kreislauf, bei dem du für jeden Notfall erst Zugriff auf das bereits gesperrte Konto brauchst.
3. Wähle ein wenig kritisches bestehendes Konto als ersten Versuch. Öffne dessen bekannte Adresse selbst und prüfe zunächst die hinterlegte Wiederherstellungsadresse.
4. Lass ein neues, eindeutiges Passwort erzeugen und speichere den vorbereiteten Eintrag. Ändere danach das Passwort beim Dienst und kontrolliere, dass der gespeicherte Wert dem neuen entspricht.
5. Teste die Anmeldung in einer zusätzlichen Browsersitzung, bevor du die bisherige Sitzung schließt. Gehe bei Abweichungen gezielt zum gespeicherten Eintrag zurück, statt mehrere unkontrollierte Änderungen durchzuführen.

Der zweite Faktor ist eine zusätzliche Türsicherung.

Viele Dienste bieten neben dem Passwort einen weiteren Nachweis, beispielsweise eine Bestätigung in einer Authenticator-App oder einen Sicherheitsschlüssel. Das erschwert den Zugriff mit einem gestohlenen Passwort. Die genaue Einrichtung und die verfügbaren Wiederherstellungswege hängen vom Dienst ab.

Aktiviere den zusätzlichen Schutz über die selbst geöffnete Kontoverwaltung, sichere die Notfallcodes und teste die Anmeldung. Bestätige niemals eine Anmeldeanfrage, die du nicht selbst ausgelöst hast. Einmalcodes und Wiederherstellungscodes werden nicht an vermeintlichen Support weitergegeben. Auch zusätzlicher Schutz macht eine gefälschte Website nicht automatisch harmlos.

Zum Nachlesen: BSI: Zwei-Faktor-Authentisierung

Gehe anschließend nach Bedeutung vor.

Das E-Mail-Konto ist besonders wichtig, weil darüber oft andere Zugänge zurückgesetzt werden. Sichere es nach dem gelungenen ersten Test gezielt ab. Danach folgen weitere wichtige Konten. Schreibe eine Liste aus Dienst, geprüftem Anmeldeweg und Datum – ohne die Passwörter selbst ungeschützt in diese Liste zu kopieren.

Passkeys können bei unterstützten Diensten eine Alternative zur Passwortanmeldung sein. Das ist ein anderes Verfahren mit eigenem Geräte- und Wiederherstellungsmodell. Du musst nicht gleichzeitig alle Konten umstellen. Entscheidend ist, dass der tatsächlich eingerichtete Zugang auf deinen benötigten Geräten funktioniert.

Was passiert, wenn das Handy weg ist?

Spiele die Situation gedanklich durch, ohne produktive Geräte zurückzusetzen: Welche zweite Möglichkeit hast du, wo liegen Notfallcodes und welche Adresse erhält Wiederherstellungsmails? Prüfe die Anleitung des Anbieters und übe nur deren vorgesehene, nicht destruktive Schritte. Ein improvisierter Selbst-Ausschluss ist kein sinnvoller Sicherheitstest.

Halte alte Sitzungen und Geräte nicht unbegrenzt offen, aber entferne sie erst nach erfolgreicher Kontrolle des neuen Zugangs. Wenn du den Verdacht hast, dass ein Konto bereits übernommen wurde, ist das kein normaler Umzug: Nutze den offiziellen Wiederherstellungs- und Sicherheitsprozess des betroffenen Dienstes.