Warum das bei Krypto besonders zählt
Ein typischer Bestand verteilt sich auf drei bis fünf Börsen, dazu kommen Steuertool, Portfolio-Tracker und je nach Nutzung ein paar DeFi-Anwendungen. Jedes dieser Konten braucht ein eigenes, langes Passwort, und genau das ist ohne Hilfsmittel nicht durchzuhalten.
Die Folge sind die immer gleichen drei Fehler: dasselbe Passwort auf mehreren Börsen, zu kurze Passwörter, alles im Browser gespeichert. Taucht dann eine dieser Adressen in einem Datenleck auf, probieren Angreifer die Kombination automatisiert bei allen bekannten Diensten durch. Bei einem Forum ist das ärgerlich, bei einer Börse ist es der Bestand.
Warum der Browser dafür nicht reicht
Chrome, Firefox und Safari speichern Passwörter mit, und für ein Zeitungs-Abo ist das in Ordnung. Für Konten, hinter denen Geld liegt, fehlen fünf Dinge.
Geräte
An einen Browser gebunden
Im Chrome gespeicherte Passwörter stehen im Firefox nicht zur Verfügung, und auf dem Handy nur mit demselben Konto. Sobald du zwei Geräte nutzt, fängst du an, Passwörter zu wiederholen.
Infostealer
Ein bekanntes Ziel
Schadsoftware dieser Art liest Browser-Profile gezielt aus, weil dort so oft etwas zu holen ist. Ein separater Tresor mit eigenem Master-Passwort ist genau deshalb ein anderes Ziel.
Notizen
Kein Platz für den Rest
Backup-Codes, API-Schlüssel und der Anti-Phishing-Code haben im Browser kein Feld. Sie landen dann in einer Notiz-App, und damit an der falschesten möglichen Stelle.
Warnungen
Kein Hinweis auf Datenlecks
Dedizierte Manager gleichen deine Adressen mit bekannten Lecks ab und melden, welches Passwort du jetzt ändern solltest. Der Browser sagt dazu nichts.
Drei Manager, drei Situationen
Bitwarden
Für die meisten die richtige Wahl
Quelloffen und extern geprüft, die kostenlose Version reicht für Privatnutzung. Premium kostet rund zehn Dollar im Jahr und bringt Notfallzugang. Wer will, betreibt es selbst.
1Password
Wenn die Bedienung zählt
Die rundeste Oberfläche im Feld und eine gute Leck-Überwachung, dafür ein Abo im Bereich von rund 36 Dollar im Jahr. Kein Selbstbetrieb.
KeePassXC
Wenn nichts in eine Cloud soll
Quelloffen, kostenlos und komplett offline: Der Tresor ist eine Datei auf deiner Platte. Den Abgleich zwischen Geräten organisierst du selbst, was Aufwand ist und zugleich der Punkt.
Alle drei verschlüsseln lokal, bevor irgendetwas das Gerät verlässt. Der Anbieter sieht deine Einträge also auch dann nicht, wenn er es wollte, und ein Einbruch bei ihm liefert Angreifern nur unlesbare Daten. Das gilt allerdings nur so lange, wie dein Master-Passwort taugt.
Das Master-Passwort nach Diceware
Dieses eine Passwort musst du dir merken, und es schützt alle anderen. Es muss deshalb beides sein: stark und merkbar. Ausgedachte Zeichenfolgen sind das eine nicht, ausgedachte Wörter das andere. Diceware löst das, indem es die Zufälligkeit an Würfel abgibt.
Fünf Mal fünf würfeln
Einen echten Würfel nehmen und fünf Mal hintereinander werfen. Die fünf Augenzahlen ergeben eine fünfstellige Zahl, etwa 43126. Das wiederholst du, bis du fünf oder sechs Zahlen hast.
AchtungKein Zufallsgenerator aus dem Netz und nichts Ausgedachtes. Der ganze Sinn des Verfahrens ist, dass der Zufall nachweislich echt ist.
Wörter nachschlagen
Jede fünfstellige Zahl steht in der Diceware-Wortliste für genau ein Wort. Es gibt deutsche Listen, die Wörter sind kurz und alltäglich.
Die Wörter verbinden
Fünf oder sechs Wörter hintereinander, durch Bindestriche getrennt, ergeben dein Master-Passwort. Ein zusammenhangloser Satz merkt sich erstaunlich gut, gerade weil er sinnlos ist.
Einmal auf Papier sichern
Notiere es einmal und lege es dorthin, wo auch dein Seed-Phrase-Backup liegt. Ein vergessenes Master-Passwort bedeutet den Verlust des gesamten Tresors, denn dafür gibt es keine Wiederherstellung.
AchtungNicht auf demselben Zettel wie die Seed Phrase. Wer den findet, hätte sonst beides auf einmal.
Fünf zufällige Wörter ergeben rund 65 Bit Entropie, sechs Wörter etwa 77. Das ist mit heutiger Technik nicht durchprobierbar, und du musst dir trotzdem nur einen Satz merken. Entscheidend ist, dass die Wörter wirklich gewürfelt sind: Selbst ausgesuchte Wörter folgen Mustern, und genau nach denen wird gesucht.
Gehören 2FA-Codes in den Manager?
Bitwarden Premium und 1Password können auch die zeitbasierten 2FA-Codes erzeugen. Das ist bequem, und es ist der eine Punkt in diesem Guide, bei dem Bequemlichkeit und Sicherheit tatsächlich gegeneinander stehen.
Dafür
Alles an einer Stelle
Kein Wechsel zwischen Apps, automatisches Ausfüllen, und beim Gerätewechsel ist der zweite Faktor automatisch mit dabei. Für unkritische Konten ein echter Gewinn.
Dagegen
Beide Faktoren, ein Schloss
Wer den Tresor öffnet, hat Passwort und Code zugleich. Der Sinn von zwei Faktoren ist, dass sie an zwei verschiedenen Dingen hängen, und das ist dann nicht mehr der Fall.
Empfehlung
Bei Börsen trennen
Für Konten mit Guthaben die Codes in einer eigenen Authenticator-App halten. Deren Wiederherstellungscodes dürfen dann wieder in den Passwort-Manager, das ist der sinnvolle Mittelweg.
Für Börsenkonten würde ich die Codes trennen und in einer eigenen App halten. Wie du die einrichtest, steht im 2FA-Guide, dort findest du auch, wann sich ein Hardware-Key zusätzlich lohnt.
Was in einen Börsen-Eintrag gehört
Ein Passwort-Manager ist mehr als ein Passwortspeicher. Wer je im Ernstfall nach dem Anti-Phishing-Code gesucht hat, weiß warum. Lege für Krypto einen eigenen Ordner an und fülle je Börse diese Felder.
Zugang
Adresse und Passwort
Idealerweise eine E-Mail-Adresse, die nur für Börsen existiert, und ein vom Manager erzeugtes Passwort mit mindestens 20 Zeichen.
Notfall
2FA-Wiederherstellungscodes
Ins sichere Notizfeld des Eintrags. Sie sind der Weg zurück ins Konto, wenn das Handy weg ist, und im Manager besser aufgehoben als auf einem losen Zettel.
Erkennung
Anti-Phishing-Code
Notiere, welches Wort du bei dieser Börse gesetzt hast. Im Verdachtsfall willst du in drei Sekunden nachsehen können, nicht in den Einstellungen suchen.
Technik
API-Schlüssel und ihre Rechte
Falls du welche vergeben hast: welcher Schlüssel für welches Tool, mit welchem Recht und seit wann. Ohne diese Notiz weiß nach einem Jahr niemand mehr, was man löschen darf.
Eine Sache gehört ausdrücklich nicht hinein: die Seed Phrase deines Wallets. Sie ist der einzige Zugang zu deinen Beständen und darf in keiner digitalen Form existieren, auch nicht in einem verschlüsselten Tresor. Wohin sie stattdessen gehört, steht im Seed-Phrase-Guide.
