Ein Passwortmanager nimmt Ihnen das Merken vieler unterschiedlicher Kennwörter ab. Damit wird es leichter, für jedes Konto ein eigenes starkes Passwort zu verwenden. Die Einrichtung allein erledigt jedoch nicht alle Aufgaben. Kontoeinträge müssen zur richtigen Website passen, Änderungen gespeichert werden und der Zugang zum Passwortmanager selbst muss geschützt sowie im Notfall wiederherstellbar bleiben.
Einträge verständlich anlegen
Verwenden Sie klare Bezeichnungen und die richtige Anmeldeadresse. Wenn Sie private und berufliche Konten beim selben Dienst haben, unterscheiden Sie sie im Titel und Benutzernamen. Sonst kann die automatische Ausfüllfunktion den falschen Eintrag vorschlagen. Prüfen Sie beim ersten Speichern, ob das tatsächlich verwendete Kennwort erfasst wurde.
Lassen Sie für neue oder geänderte Konten ein eigenes starkes Passwort erzeugen. Verwenden Sie es nicht zusätzlich bei anderen Diensten. CISA empfiehlt lange, zufällige und einzigartige Passwörter sowie eine geeignete Verwaltung. Die Stärke des Passworts hilft jedoch nur, wenn es nicht auf einer nachgeahmten Anmeldeseite preisgegeben wird.
Doppelte Einträge geordnet zusammenführen
Nach einem Import können mehrere Einträge für denselben Dienst entstehen. Löschen Sie nicht einfach den älteren Namen. Prüfen Sie Kontoadresse, Benutzername, gespeicherte Notizen und den tatsächlich funktionierenden Zugang. Zwei ähnlich benannte Einträge können zu unterschiedlichen Kundenkonten oder Regionen gehören und müssen dann getrennt bleiben.
Wenn tatsächlich dieselbe Anmeldung doppelt vorhanden ist, übernehmen Sie benötigte Informationen in den maßgeblichen Eintrag und testen Sie ihn. Entfernen Sie überholte Kopien erst danach. Eine klare Bezeichnung wie Arbeit oder Privat ist hilfreicher als fortlaufende Zusätze wie neu2. Prüfen Sie bei einer Passwortänderung außerdem, ob weitere verwendete Geräte die aktualisierte Fassung des Managers erhalten haben.
Beim Ausfüllen aufmerksam bleiben
Rufen Sie wichtige Konten über bekannte Adressen oder gespeicherte Einträge auf. Wenn der Manager auf einer vermeintlich bekannten Seite plötzlich keinen passenden Eintrag erkennt, prüfen Sie die Domain sorgfältig. Erzwingen Sie das Ausfüllen nicht reflexartig. Eine veränderte legitime Adresse ist möglich, aber ebenso ein irreführender Link.
Speichern Sie ein neues Passwort erst nach einer tatsächlich abgeschlossenen Änderung und testen Sie die Anmeldung. Achten Sie bei mehreren geöffneten Konten darauf, welchen Eintrag Sie aktualisieren. Ein kurzzeitiger Rückweg zum alten Eintrag kann bei einer unvollständigen Änderung hilfreich sein; verwalten Sie ihn geschützt und ohne dauerhafte unklare Dubletten.
Den Tresor selbst absichern
Schützen Sie den Passwortmanager mit dem vorgesehenen starken Hauptzugang und zusätzlichen Faktoren, soweit verfügbar. Prüfen Sie die Sperre auf gemeinsam zugänglichen Geräten. Ein entsperrter Tresor darf nicht unbeaufsichtigt offen bleiben, nur weil seine gespeicherten Passwörter kompliziert sind.
Richten Sie den vom Anbieter vorgesehenen Wiederherstellungsweg ein und bewahren Sie notwendige Informationen passend geschützt auf. Prüfen Sie, ob Sie ohne das aktuelle Telefon oder den bisherigen Computer wieder Zugang erhalten würden. Ein Export kann je nach Format unverschlüsselte Geheimnisse enthalten; erzeugen und lagern Sie ihn daher nicht unbedacht als gewöhnliche Tabellen- oder Textdatei.