Was Passwortheld kann: Funktionen im Überblick

Auf allen Geräten: Rechner, Handy, Browser

Ein Tresor, viele Geräte. Ihr Team ruft dieselben Zugänge am Windows-Rechner im Büro ab, am Mac der Geschäftsführung, am Linux-Rechner der IT und am Handy unterwegs. Alle Geräte greifen auf denselben Tresor zu, der auf Ihrem Server unter Ihrer eigenen Adresse läuft, zum Beispiel tresor.ihre-firma.de.

Die Apps sind kostenlos. Es fallen keine Lizenzen pro Gerät an und keine Kosten pro Nutzer. Jeder Mitarbeiter meldet sich auf seinen Geräten mit seinem eigenen Master-Passwort und seinem eigenen zweiten Faktor an.

Ein erfundenes Beispiel: Ein Handwerksbetrieb mit zwölf Mitarbeitern hat im Büro drei Windows-Rechner, die Chefin arbeitet am Mac, die Monteure haben Android-Handys. Nach der Anmeldung sieht jeder auf jedem seiner Geräte genau die Sammlungen, für die er freigeschaltet ist. Ob jemand Mac oder Windows nutzt, spielt dafür keine Rolle. Welche Apps es genau sind, steht in den häufigen Fragen auf der Startseite.

Automatisch ausfüllen und sichere Passwörter erzeugen

Der größte Gewinn im Alltag: Niemand tippt Passwörter mehr ab. Die Erweiterung im Browser erkennt, auf welcher Website Sie sich gerade anmelden, und bietet die passenden Zugänge an. Je nach Einstellung erscheint beim Klick ins Anmeldefeld eine Auswahl, alternativ füllt ein Tastenkürzel Benutzername und Passwort ein.

Eine Einstellung sollten Sie kennen: Das Ausfüllen gleich beim Laden der Seite ist laut Dokumentation der Apps ab Werk ausgeschaltet, weil manipulierte Websites es ausnutzen könnten. Lassen Sie es ausgeschaltet. Auf iPhone, iPad und Android-Handys schlägt die App Zugänge in anderen Apps und im Browser vor, sobald sie in den Einstellungen des Handys als Dienst zum automatischen Ausfüllen eingeschaltet ist.

Der Passwortgenerator

Legt ein Mitarbeiter ein neues Konto an, erzeugt der Generator in der App oder in der Erweiterung ein zufälliges Passwort. Länge und Zeichenarten lassen sich einstellen, alternativ entsteht eine Passphrase aus mehreren Wörtern. Das neue Passwort landet direkt im Eintrag, in der richtigen Sammlung.

Weil sich niemand das Passwort merken muss, kostet Länge nichts. Das BSI hält ein Passwort zum Beispiel dann für sicher, wenn es 20 bis 25 Zeichen lang ist und zwei Zeichenarten nutzt, und rät, jedes Passwort nur für einen Zugang zu verwenden. Wer bisher mit einer Liste gearbeitet hat, findet die Unterschiede im Ratgeber Passwörter in Excel oder im Browser speichern.

Bestätigungscodes für das ganze Team

Viele Dienste verlangen beim Anmelden einen sechsstelligen Code aus einer Authenticator-App. Im Tresor hinterlegen Sie den geheimen Schlüssel dafür direkt beim Zugang. Jeder, der den Zugang sehen darf, ruft den aktuellen Code selbst ab, am Rechner, im Browser und auf dem Handy. Nach dem automatischen Ausfüllen kopiert die Erweiterung den Code laut Dokumentation in der Grundeinstellung gleich in die Zwischenablage.

Ein erfundenes Beispiel: In einem Büro mit acht Mitarbeitern bestellen drei Personen im Großhandel-Portal. Bisher lag der Code auf dem Handy des Einkaufsleiters, und wenn er im Urlaub war, wurde telefoniert. Jetzt liegt der Schlüssel in der Sammlung „Einkauf“, und alle drei kommen ohne Rückfrage ins Portal.

Zwei Grenzen gehören dazu. SMS-Codes kann kein Passwort-Tresor empfangen: Bietet ein Dienst nur SMS an, bleibt der Code an die Rufnummer gebunden. Und liegen Passwort und Code im selben Tresor, hängt der Schutz für dieses Konto am Tresor selbst.

Wie Sie ein Konto Schritt für Schritt umstellen und für welche Konten Sie den zweiten Faktor besser getrennt halten, steht im Ratgeber 2FA-Codes im Team teilen.

Passkeys im Tresor

Immer mehr Dienste bieten Passkeys an, also die Anmeldung ohne Passwort. Dabei entsteht ein Schlüsselpaar: Der geheime Schlüssel bleibt beim Nutzer, der Dienst kennt nur den passenden öffentlichen Schlüssel. Nach Einschätzung des BSI sind Passkeys gegen die breite Masse bekannter Phishing-Angriffe immun, weil der geheime Schlüssel auf einer gefälschten Seite nicht herausgegeben wird.

Der Tresor speichert Passkeys wie Passwörter beim Zugang. Legen Sie auf einer Website einen Passkey an, bietet die Erweiterung im Browser an, ihn im Tresor zu speichern. Beim nächsten Anmelden starten Sie die Anmeldung mit Passkey und wählen den gespeicherten Eintrag aus. Liegt der Zugang in einer gemeinsamen Sammlung, können ihn alle Berechtigten nutzen.

Ein paar Eigenschaften der Apps laut deren Dokumentation:

• Pro Zugang lässt sich ein Passkey speichern.
• Auf dem Handy setzt die Nutzung iOS 17 oder Android 14 voraus.
• Auf Android dient der gespeicherte Passkey nur als eigenständige Anmeldung, nicht als zweiter Schritt nach dem Passwort.

Für die Rechte gilt dasselbe wie beim Passwort: Wer die Sammlung sieht, kann sich anmelden. Ein Vorteil gegenüber einem Passkey auf einem einzelnen Firmenhandy: Geht das Handy verloren, ist der Zugang nicht weg.

Dateianhänge und sichere Notizen

Nicht alles, was geschützt gehört, ist ein Passwort. An jeden Eintrag im Tresor lassen sich Dateien anhängen, und für reine Texte gibt es Notiz-Einträge. Laut Dokumentation werden Anhänge auf dem Gerät ver- und entschlüsselt. Sichtbar sind sie für alle, die den Eintrag sehen dürfen.

Erfundene Beispiele aus einem kleinen Steuerbüro:

• der Lizenzschlüssel des Buchhaltungsprogramms als PDF beim Zugang zum Kundenportal des Herstellers,
• die Wiederherstellungscodes für das Konto beim Domain-Anbieter, in einer Sammlung nur für die Geschäftsführung,
• die Vertragskopie des Internetanschlusses mit Kundennummer, damit bei einer Störung niemand den Ordner suchen muss,
• als Notiz die PIN der Alarmanlage und die Zugangsdaten zum WLAN für Gäste.

Anhänge sind bei jedem Passwortheld-Tresor eingeschaltet. Wie viel Platz zur Verfügung steht, hängt vom gemieteten Server ab, eine feste Größe sagen wir deshalb nicht zu.

Wird der Tresor zum einzigen Ort für solche Dateien, brauchen Sie eine Sicherung. Das Backup-Paket für 7,99 € im Monat inkl. MwSt. sichert täglich die Datenbank des Tresors samt Anhängen an einen zweiten Ort. Ohne Backup-Paket sichern wir den Tresor nicht, auch nicht vor Updates. Sie sichern dann selbst. Laut Dokumentation der Apps enthält der Export der gemeinsamen Sammlungen keine Dateianhänge. Wer selbst sichert, bewahrt die Originale wichtiger Dateien deshalb zusätzlich an einem zweiten Ort auf.

Sichere Links an Externe

Der Steuerberater braucht einmal den Zugang zum Buchhaltungsprogramm, die Agentur das Passwort für die Website. Statt das Passwort per E-Mail zu schicken, erstellen Sie in der App einen sicheren Link. Er enthält einen Text oder eine Datei, verschlüsselt und befristet.

Laut Dokumentation gilt für diese Links:

• Der Inhalt wird beim Erstellen verschlüsselt und erst entschlüsselt, wenn der Empfänger den Link öffnet.
• Der Empfänger braucht kein eigenes Konto, er öffnet den Link im Browser.
• Nach spätestens 31 Tagen wird der Link gelöscht. Sie können ihn kürzer befristen.
• Auf Wunsch schützen Sie den Link mit einem Passwort und begrenzen, wie oft er geöffnet werden kann.

Ein erfundenes Beispiel: Die Agentur soll das Kontaktformular der Website ändern. Die Büroleiterin schickt den Zugang als Link, der zwei Tage gilt und sich einmal öffnen lässt. Das Passwort für den Link sagt sie am Telefon durch. Ist die Arbeit erledigt, ändert sie das Passwort der Website im Tresor.

Sichere Links ersetzen nicht den gemeinsamen Tresor für das eigene Team. Wann Sie teilen und wie Sie die Sammlungen schneiden, steht im Ratgeber Passwörter im Team teilen.

Passwort-Berichte und Datenleck-Prüfung

In der Weboberfläche des Tresors gibt es Berichte, die zeigen, wo nachgebessert werden sollte:

• Schwache Passwörter: Einträge mit Passwörtern, die leicht zu erraten sind.
• Mehrfach verwendete Passwörter: Einträge, die dasselbe Passwort nutzen.
• Datenlecks: Abgleich der gespeicherten Passwörter mit bekannten Datenlecks.

Beim Abgleich verlässt das Passwort laut Dokumentation nicht das Gerät. Angefragt wird nur der Anfang eines daraus errechneten Prüfwerts, der Vergleich findet auf dem Gerät statt.

Ein erfundenes Beispiel: Nach dem Einzug der alten Passwörter zeigt der Bericht bei einem Betrieb mit zehn Mitarbeitern elf Einträge mit demselben Passwort. Die Verantwortliche ersetzt sie an einem Nachmittag durch neue aus dem Generator, die wichtigsten Konten zuerst.

Sammlungen, Rechte und Notfallzugang

Die Zugänge liegen in Sammlungen, üblich ist eine je Abteilung: Einkauf, Buchhaltung, Geschäftsführung, IT. Für jede Sammlung legen Sie fest, wer sie sieht, zum Beispiel nur ansehen oder auch bearbeiten. Ein Verantwortlicher in Ihrer Firma lädt neue Mitarbeiter per E-Mail ein.

Verlässt jemand die Firma, sperrt der Verantwortliche das Konto im Tresor. Die Zugänge bleiben bei der Firma. Was danach zu tun ist, steht in der Checkliste, wenn ein Mitarbeiter die Firma verlässt.

Für die Geschäftsführung richten wir einen Notfallzugang ein. Wie er im Einzelnen abläuft, legen wir bei der Einrichtung mit Ihnen fest. Worauf es dabei ankommt, erklärt der Ratgeber zum Notfallzugriff auf Firmenpasswörter.

Was im Preis ist und was nicht

Alle Funktionen auf dieser Seite gehören zum Tresor, für keine zahlen Sie extra pro Nutzer. Die Wartung kostet 16,99 € im Monat inkl. MwSt., fest und ohne Nutzergrenze, bei 12 Monaten Mindestlaufzeit. Dazu kommt die Servermiete bei netcup ab 3,69 € im Monat inkl. MwSt. Das Angebot gilt nur für Unternehmer.

Ohne Backup-Paket sichern wir den Tresor nicht. Nicht im Preis sind außerdem die Übernahme Ihrer bisherigen Passwörter und Schulungen für das Team. Die Rechnung für verschiedene Teamgrößen steht im Ratgeber Was ein Passwort-Manager für Unternehmen kostet.

Ob die Funktionen zu Ihrem Alltag passen, klären wir am Telefon: Kostenloses Erstgespräch (15 Minuten).