Passwort-Manager: Alternative zu 1password auf allen Mac-Geräten

[noodyn]

Ich bin ehrlich gesagt regelrecht Entsetzt, wie die Firma 1Password so ein sensibles Thema so dummdreist angehen können.

Was genau soll daran "dummdreist" sein? Dass der Tresor in der Cloud liegt? Nunja, aber er ist halt auch stark verschlüsselt... Traust du deinem Schlüssel nicht?

 

[lunchbreak]

Zu Keypass hätte ich noch eine Frage. ...
...

...
Die Datenbank bei keypass kannst du nach einem Diebstahl
...

... aber diese Keypass-Hörigkeit hier ist mir auch ein wenig suspekt ...
...
... Das ist sicher wesentlich sicherer als irgendwo eine Keypass-Datei rumfliegen zu haben.

...
Keypass ist hier leider total in der Vergangenheit...

Kann das schlechte Urteil über keypass der Stiftung Warentest verstehen. Das ist nicht sicher.

Die Schlüsseldatei bei Keypass ist übrigens ein zweiter Faktor.
...

Es heißt KeePass.

 

[BalthasarBux]

Es heißt KeePass.

Es hat mich auch schon mehrfach in den Fingern gekribbelt, das zu kommentieren

Was genau soll daran "dummdreist" sein? Dass der Tresor in der Cloud liegt? Nunja, aber er ist halt auch stark verschlüsselt... Traust du deinem Schlüssel nicht?

Seinem Schlüssel muss man nicht trauen, den kann man prüfen. Er schließt zuverlässig und darum geht es nicht. Es ist eine closed source cloud, also liegt dein Tresor in den USA. Teil 1: closed source: Du musst dem Tresor trauen, dass es keine Zweitschlüssel gibt. Dieser Part lässt sich nicht prüfen, deswegen ist Vertrauen nötig. Teil 2: Alle sensiblen Daten aller Kunden in einer Cloud versammelt, das weckt Begehrlichkeiten (siehe Lastpass Ende 2021).Teil 3: In den USA gilt der CloudAct, der amerikanischen Sicherheitsbehörden den Zugriff auf Daten von Cloud-Unternehmen gibt. Diese müssen beim Zugriff helfen, dürfen aber Öffentlichkeit und Kunden nicht informieren.
Ich persönlich gehe jetzt nicht davon aus, dass amerikanische Behörden sich dort jedes PW anschauen können, aber man sollte sich des Risikos bewusst sein.

Zu Keypass hätte ich noch eine Frage. Die entsprechenden Container liegen ja einfach "nur" mit Masterpassword gesichert entweder auf dem Gerät oder der Cloud rum. Was soll daran sicherer sein, als es z.B. Passwörter bei Dashlane oder 1password, die zusätzlich noch - also der Tresor - mit Extra-Key und 2FA abgesichert sind?

Es ist erstmal nicht per se sicherer, aber du kannst es sicherer machen. Du kannst selbst einstellen nach welchem Algorithmus deine Datenbank verschlüsselt sein soll, und wie stark. Du kannst, wie jemand letzte Seite erwähnt hat, zusätzlich ein Keyfile verwenden. Du musst keine Cloud verwenden, kannst aber. Der Speicher, in der die KDBX liegt, kann wiederrum verschlüsselt sein. Du hast selbst die Kontrolle, ob dein Tresor auf einem Speicher außerhalb der USA liegt und ob er auf einem zentralen Speicher gelagert ist, auf dem ausschließlich Passwort-Datenbanken tausender Nutzer liegen, oder auf deinem privaten abgesicherten, der erstmal nicht gezielt angegriffen wird, auch nicht durch die Hintertür eines Cloud Act. Fairerweise muss man sagen, dass deine KeePass-Datenbank unsicherer sein kann, je nach deinen persönlichen Einstellungen/Vorkehrungen. KeePass fehlen aber gewisse elementare Kritikpunkte, die bei Nutzung von Cloud-Passwortspeichern existent sind.

Kann mir jemand sagen, wo ich das bei KeePassCX v2.7.1 einstelle? Ich finde da nichts zu Touch ID.

Settings / Security / "Enable Database Quick Unlock (TouchID / Windows Hello)"

 

[Scum]

"Ein Passwort-Manager sollte nach meiner Auffassung quelloffen sein, die Passwörter lokal speichern und aktiv weiterentwickelt werden. Von Lösungen, die eure Passwörter in irgendwelchen Clouds ablegen bzw. deren Quellcode nicht einsehbar ist, solltet ihr Abstand nehmen. Sensible Passwörter gehören nicht in fremde Hände, wie uns schwerwiegende Sicherheitslücken bei bekannten Anbietern (LastPass Hack, OneLogin Hack, 1Password Datenleak) immer wieder vor Augen führen. So viele sensible Daten an einem Ort locken unweigerlich böswillige Angreifer an, die sich darauf Zugang verschaffen wollen."

Quelle https://www.kuketz-blog.de/empfehlungsecke/#passwort-manager

Sehe ich genauso!

 

[Dextera]

Seh ich anders Da fehlt Kontext.

Dieses Thema ist nichts für Amateure im Allgemeinen. Denn wenn ich mir das "Sicherheitskonzept" so mancher Privatperson ansehe, wärs sicherer, derjenige würde seine Passwörter im Klartext in so einer pösen Cloud ablegen

Generell: Es ist eigentlich erschreckend, welch wichtiger Teil unseres Lebens mittlerweile digital und verwundbar ist - und wie wenig da jeder an Interesse und Zeit reinsteckt. Von sensiblen Login-Daten - bis hin zu den Familienfotos ... welche halt gerne mal alle weg sind sobald die einzige HDD ihren Geist aufgibt.
Mittlerweile sollten die wichtigsten Dinge echt unterrichtet werden. Verpflichtend.

 

[geWAPpnet]

Von Lösungen, die eure Passwörter in irgendwelchen Clouds ablegen bzw. deren Quellcode nicht einsehbar ist, solltet ihr Abstand nehmen. Sensible Passwörter gehören nicht in fremde Hände, wie uns schwerwiegende Sicherheitslücken bei bekannten Anbietern (LastPass Hack, OneLogin Hack, 1Password Datenleak) immer wieder vor Augen führen.

Lies doch mal Deinen Link zu 1Password selbst. Da wird doch gerade deutlich, wie erfolgreich das Verschlüsselungskonzept schon damals (2017, seitdem hat es sich nochmal verschärft) war. Warum glaubst Du denn, dass die "fremden Hände" sehr viel unsicherer Deine "sensiblen" Daten verwalten könnten als Du selbst? Hast Du ein Bankkonto? Solltest Du eigentlich nicht, denn das sind ja auch "fremde Hände". Du hast hoffentlich Dein ganzes Vermögen in Geldscheinen unter dem Bett liegen, wo es von Dir selbst gesichert wird.

 

[Scum]

Mein vermögen liegt nicht bei ner Bank

Es ist immer eine Frage der Zeit bis etwas geknackt wird...aber es wird geknackt früher oder später. Da ist die Wahrscheinlichkeit doch viel höher das es Online geklaut wird.

Der Link sagt das die Daten im Netz liegen...zwar verteilt aber vorhanden sind

 

[lunchbreak]

...
Settings / Security / "Enable Database Quick Unlock (TouchID / Windows Hello)"

Tatsache. Danke!

 

[geWAPpnet]

Es ist immer eine Frage der Zeit bis etwas geknackt wird...aber es wird geknackt früher oder später. Da ist die Wahrscheinlichkeit doch viel höher das es Online geklaut wird.

Solange Deine eigene Datenspeicherung irgendwie Kontakt mit dem Internet hat, ist diese ganz genauso online.

 

[Schlenk]

ass das 1Password Fenster zum entsperren des Tresors mich mehr nervt als die beiden anderen

Ja, genau das hat mich unglaublich genervt.

z.b. die Passwort Historie (das man auch die zuletzt verwendeten Passwörter und das Änderungsdatum sehen kann)

Das kann Strongbox auch. Rechte Maustaste => Verlauf anzeigen.

 

[MarcNRW]

Es heißt KeePass.

Sorry....

Ist trotzdem nicht sehr sicher einfach so auf nem Gerät oder einer Cloud ohne 2FA so nen Tresor liegen zu haben. ihr könnt euch das mit KEEPASS ja schön reden wie ihr wollt, aber das ist nicht sehr sicher. Sieht auch optisch aus wie aus den 90ern...

 

[BalthasarBux]

Ich habe Argumente geliefert. Andere haben Argumente geliefert, z.B. ein Keyfile lässt sich bei KeePass einrichten und das ist per Definition 2FA.
Und du kommst jetzt mit "es sieht alt aus, also kann es nicht gut sein"? Wow.

 

[gishmo]

Ich bin ehrlich gesagt regelrecht Entsetzt, wie die Firma 1Password so ein sensibles Thema so dummdreist angehen können.

Da liegen nur die Hashs ... bei Engpass, Dashlane & Co, ist das genauso.
Mit Password, 2FA & einen Token ist man da sehr sicher unterwegs.

 

[agrajag]

Sorry....

Ist trotzdem nicht sehr sicher einfach so auf nem Gerät oder einer Cloud ohne 2FA so nen Tresor liegen zu haben. ihr könnt euch das mit KEEPASS ja schön reden wie ihr wollt, aber das ist nicht sehr sicher. Sieht auch optisch aus wie aus den 90ern...

Du verstehst es wirklich nicht, oder? Du KANNST einen zweiten Faktor benutzen. Das ist das Key-File. Nur weil es kein TOTP ist, ist es nicht schlechter.

Und was die Optik angeht: Du scheinst auch nicht zu verstehen, daß es zum einen Keepass, den Container gibt UND eine App namens Keepass. Und da der Container offen für alle ist, kann auch jeder einen eigenen Keepass-Client schreiben. Und davon gibt es jede Menge. Du müsstest nun schon ganz konkret sagen, WELCHER dieser Clients "wie aus den 90ern" ausschaut.

Keine Ahnung, warum du dich so an Keepass verbeisst. Aber von es wird schon mal definitiv nicht mit der passenden Kompetenz unterfüttert. ICH halte mich da lieber an unabhängige Experten. Und DIE bescheinigen Keepass (dem Container) ein sehr hohes Maß an Sicherheit.

 

[apfelcash]

Ich frage mich gerade, weshalb Bitwarden hier so gut wie keine Erwähnung findet. Bitwarden ist Open Source, bei einer privaten Nutzung kostenfrei, plattformübergreifend verfügbar (macOS, iOS, Windows, Linux), AES-256 Verschlüsselung, 2-Faktor-Anmeldung....

Gibt es Gründe, was gegen Bitwarden spricht?

Ich nutze die App sehr gerne!

 

[loopi]

Bitwarden hat sogar wie 1Password auch regelmäßige Audits. Wenn man das im Netz so verfolgt auch eine sehr große Community. Family möglich und wirklich eine sehr faire Bepreisung. Die 10€ für Premium im Jahr…
2FA, Yubikey etc.

Aktuell bevorzuge ich in meiner Testphase sogar Bitwarden weil es einfach geschmeidiger (wie 1Password) ist wenn man es nicht nur in der Apple Umgebung sondern auch unter Windows und Android parallel betreibt.

Habe mir Vaultwarden installiert auf meinem NAS, aber überlege es in die Bitwarden Cloud zu legen. Zero Knowledge Encryption. 2FA sollte kein Problem sein.

Als Mac / iOS Einzelnutzer würde ich aber Keepass mit Strongbox den Vorzug geben. Schlüsseldatei als 2FA und Yubikey möglich. Gefällt mir richtig gut.

 

[Nutzloser]

Bitwarden und Nix anderes …..

ich kann dir sagen warum darüber so wenig berichtet wird! Weil die andern die man bezahlen muss richtig Geld für Werbung in die Hand nehmen und das halt eher bei den Leuten in den Köpfen hängen bleibt.

Bitwarden hat genau die selbe Klasse wie 1Password
und Audits….. und eine Riesen community… ich benutze das geräteübergreifend nicht nur bei Apple sondern auch auf allen möglichen Dingen die ich habe. Und seit Jahren null Probleme

 

[lunchbreak]

Bitwarden ist kein open source, richtig? Wo ist es denn "made in", also wo wird es entwickelt?

edit:
Es ist lt. #855 doch open source.

PS:
Was spricht denn dann so landläufig gegen Bitwarden? Sieht doch gut aus, ... Preis vielleicht?

 

[Nutzloser]

Was spricht denn dann so landläufig gegen Bitwarden? Sieht doch gut aus, ... Preis vielleicht?

Absolut nichts spricht gegen Bitwarden die anderen sind nur gehyped durch Berichterstattung und viel Werbebudget von den anderen Passwort Dingsbums Dingern….
welcher Preis? Zehn Euro im Jahr schaffst du auch noch! Zwei Starbucks Kaffee im Jahr weniger! Flat White 4.99€ !!

und das grandiose ist musst du nicht mal bezahlen! Kannst du auch frei verwenden! Gut sind ein paar Funktionen weniger, aber wen juckt das?

 

[MarcNRW]

PS:

Was spricht denn dann so landläufig gegen Bitwarden? Sieht doch gut aus, ... Preis vielleicht?

Spricht gar nix gegen. Ordentlicher Manager.