Jeder Begriff erklärt
ohne Fachjargon

Eine geheime Zeichenfolge, die Sie verwenden, um zu beweisen, dass Sie es sind, wenn Sie auf einen Dienst zugreifen. Es ist der digitale Schlüssel, der Ihre Konten schützt. Ein starkes Passwort ist lang, einzigartig für jeden Dienst, zufällig und schwer zu erraten.

Der verschlüsselte Container, in dem ein Passwort-Manager alle Ihre Zugangsdaten, sicheren Notizen und sensiblen Daten speichert. Er ist wie ein digitaler Safe: Er kann nur mit Ihrem Master-Passwort geöffnet werden. Alles darin ist verschlüsselt und ohne den richtigen Schlüssel unlesbar.

Das eine Passwort, das Sie sich in einem Passwort-Manager merken müssen. Es fungiert als Hauptschlüssel, der Ihren Tresor entsperrt und den kryptografischen Schlüssel generiert, der alle Ihre Daten entschlüsselt. Es ist das einzige Passwort, das nirgendwo gespeichert wird — es existiert nur in Ihrem Kopf.

Der Prozess, sich bei einem System oder einer Anwendung zu identifizieren, indem Sie Ihre Zugangsdaten (normalerweise Benutzername und Passwort) eingeben, um auf Ihr Konto zuzugreifen. "Login" ist das Substantiv (der Anmeldevorgang) und "log in" ist das Verb (die Aktion des Anmeldens).

Der Prozess, eine aktive Sitzung in einer App oder einem Dienst formell zu beenden. Wenn Sie sich abmelden, werden Sitzungstoken ungültig und Daten aus dem Speicher gelöscht, wodurch verhindert wird, dass andere Benutzer desselben Geräts auf Ihr Konto zugreifen.

Die Datenmenge, die Sie gegenüber einem System identifiziert: normalerweise ein Benutzername (oder E-Mail) plus ein Passwort. Es kann auch digitale Zertifikate, Hardware-Token oder biometrische Daten umfassen.

Alle sensiblen Daten, die privat bleiben müssen: Passwörter, API-Schlüssel, Token, Zertifikate oder jede Information, die Zugang zu Systemen gewährt. Moderne Passwort-Manager ermöglichen das Speichern aller Arten von Geheimnissen, nicht nur Passwörter.

Der Prozess, lesbare Daten mithilfe eines mathematischen Algorithmus und eines Schlüssels in ein unlesbares Format umzuwandeln. Nur jemand mit dem richtigen Schlüssel kann den Prozess umkehren (entschlüsseln) und die ursprünglichen Informationen lesen. Es ist die Grundlage aller Sicherheit in Passwort-Managern.

Der am weitesten verbreitete Verschlüsselungsstandard und derzeit als unknackbar angesehen. Die Zahl "256" bezieht sich auf die Schlüsselgröße in Bits: 2^256 mögliche Kombinationen. Das Knacken per Brute-Force würde länger dauern als das Alter des Universums, selbst mit allen Computern der Welt. Es ist derselbe Standard, den Regierungen für geheime Informationen verwenden.

Ein Algorithmus, der Ihr Master-Passwort (lesbarer Text) in einen 256-Bit kryptografischen Schlüssel umwandelt, der für die Verschlüsselung geeignet ist. Er tut dies, indem er Tausende von wiederholten mathematischen Operationen durchführt, was Brute-Force-Angriffe extrem langsam macht. Wenn ein Hacker versuchen würde, Millionen von Passwörtern zu testen, würde PBKDF2 es Jahre statt Sekunden dauern lassen.

Der Prozess, einen kryptografischen Schlüssel aus einem Geheimnis (normalerweise Ihr Master-Passwort) mithilfe eines spezialisierten Algorithmus wie PBKDF2, Argon2 oder bcrypt zu generieren. Das Ergebnis ist ein binärer Schlüssel mit fester Länge, der deterministisch (dasselbe Passwort erzeugt immer denselben Schlüssel) und irreversibel (Sie können das Passwort nicht aus dem Schlüssel erhalten) ist.

Ein einzigartiger zufälliger Wert, der einem Passwort vor dem Ableiten oder Speichern hinzugefügt wird. Er stellt sicher, dass zwei Benutzer mit demselben Passwort völlig unterschiedliche Schlüssel erhalten. Er schützt vor Wörterbuchangriffen und Rainbow Tables (vorberechnete Listen gängiger Hashes).

Ein Modell, bei dem Daten auf dem Ursprungsgerät verschlüsselt und nur auf dem Zielgerät entschlüsselt werden. Kein Zwischenhändler (weder der Dienstanbieter noch der Server) kann die Daten während der Übertragung lesen. Es ist die Grundlage von WhatsApp, Signal und Zero-Knowledge-Managern wie Cleverpass.

Ein Sicherheitssystem, das zwei unabhängige Identitätsnachweise zum Zugriff erfordert: etwas, das Sie <em>wissen</em> (Passwort) und etwas, das Sie <em>haben</em> (Ihr Telefon, ein temporärer Code) oder etwas, das Sie <em>sind</em> (Biometrie). Selbst wenn Ihr Passwort gestohlen wird, können sie ohne den zweiten Faktor nicht eindringen.

Ein 6-stelliger numerischer Code, der sich alle 30 Sekunden ändert und als zweiter Authentifizierungsfaktor verwendet wird. Ihre Authenticator-App (Google Authenticator, Authy…) generiert ihn mithilfe eines mathematischen Algorithmus, der einen geheimen Schlüssel mit der aktuellen Zeit kombiniert. Ohne Ihr Gerät ist der Code unmöglich zu erraten.

Die Möglichkeit, den Passwort-Manager mit einzigartigen physischen Daten Ihres Körpers zu entsperren: Fingerabdruck (Touch ID), Gesichtserkennung (Face ID) oder Iris. Es ist schneller und bequemer als das Eintippen Ihres Master-Passworts, obwohl es regelmäßig oder bei der Neuinstallation der App weiterhin erforderlich ist.

Ein System, das es Ihnen ermöglicht, sich einmal zu authentifizieren, um auf mehrere Dienste zuzugreifen, ohne Zugangsdaten erneut eingeben zu müssen. Das häufigste Beispiel ist "Mit Google anmelden" oder "Mit Apple fortfahren". Eine zentrale Identität verwaltet den Zugang zu allen verbundenen Diensten.

Eine kryptografische Anmeldedaten, die Passwörter vollständig ersetzt. Sie verwendet ein öffentliches/privates Schlüsselpaar: Die Website speichert den öffentlichen Schlüssel und Sie behalten den privaten Schlüssel auf Ihrem Gerät. Zur Authentifizierung beweisen Sie, dass Sie den privaten Schlüssel besitzen, indem Sie lokale Biometrie oder PIN verwenden. Es ist resistent gegen Phishing, weil der private Schlüssel niemals geteilt wird.

Die Funktion, die automatisch Benutzername- und Passwortfelder in Apps und Browsern erkennt und sie mit Ihren gespeicherten Zugangsdaten mit einem Tippen ausfüllt. Sie beseitigt die Notwendigkeit, lange, komplexe Passwörter manuell einzugeben.

Ein Maß dafür, wie schwer es wäre, ein Passwort mit automatisierten Angriffen zu erraten oder zu knacken. Sie wird basierend auf Länge, Zeichenvielfalt (Groß-, Kleinbuchstaben, Zahlen, Symbole) und Zufälligkeit berechnet. Sie wird oft in Bits Entropie oder als schwach/mittel/stark/sehr stark-Bewertung ausgedrückt.

Ein Tool, das automatisch zufällige, sichere Passwörter basierend auf den von Ihnen festgelegten Parametern erstellt: Länge, Zeichentypen, Wörter vs. Symbole. Es beseitigt die menschliche Gewohnheit, vorhersehbare Passwörter zu erstellen oder dieselben wiederzuverwenden.

Der Prozess, den Tresor auf allen Ihren Geräten (Telefon, Tablet, Computer) aktuell und konsistent zu halten. Wenn Sie auf einem Gerät Zugangsdaten hinzufügen oder ändern, werden die Änderungen automatisch über Cloud-Speicher auf die anderen übertragen.

Eine Datenzeichenfolge, die eine Identität oder verifizierte Zugriffsberechtigung darstellt. Anstatt Ihr Passwort mit jeder Anfrage an einen Server zu senden, gibt das System bei der Authentifizierung ein Token aus. Spätere Anfragen verwenden dieses Token. Wenn das Token abläuft oder widerrufen wird, müssen Sie sich erneut authentifizieren.

Ein kurzlebiges Token (Minuten oder Stunden), das den Zugriff auf bestimmte Ressourcen autorisiert. Es wird mit jeder Anfrage gesendet, um zu beweisen, dass Sie die Berechtigung haben. Da es kurzlebig ist, ist das Angriffsfenster klein, wenn jemand es abfängt. Es ist üblich in APIs und OAuth-Systemen.

Ein langlebiges Token (Tage oder Monate), das nur verwendet wird, um neue Zugriffstoken zu erhalten, wenn diese ablaufen, ohne dass der Benutzer erneut Zugangsdaten eingeben muss. Es wird nur an den Authentifizierungsserver gesendet, nicht mit jeder Anfrage, was seine Exposition gegenüber Diebstahl reduziert.

Ein Systemdesignmodell, bei dem der Dienstanbieter keinen technischen Zugang zu den sensiblen Daten des Benutzers hat. Daten werden auf dem Gerät des Benutzers verschlüsselt, bevor sie es verlassen, und der Anbieter speichert (oder überträgt) nur Daten, die bereits verschlüsselt sind und nicht entschlüsselt werden können. Selbst auf gerichtliche Anordnung kann er keine Passwörter preisgeben, weil er mathematisch nicht darauf zugreifen kann.

Ein Standardprotokoll, das einer App erlaubt, in Ihrem Namen auf Ressourcen einer anderen zuzugreifen, ohne Ihr Passwort zu teilen. Wenn eine App Sie auffordert, "Mit Google verbinden", verwendet sie OAuth. Sie geben dieser App die Erlaubnis, auf bestimmte Google-Daten zuzugreifen (z.B. Ihr Drive), aber Google teilt niemals Ihr Passwort mit der App.

Ein Maß für die Zufälligkeit und Unvorhersehbarkeit eines Passworts oder kryptografischen Schlüssels, ausgedrückt in Bits. Mehr Bits Entropie bedeuten mehr mögliche Kombinationen und schwerer zu erraten. Ein Passwort mit 128 Bits Entropie hat 2^128 mögliche Kombinationen — praktisch unmöglich zu knacken.

Ein Sicherheitsvorfall, bei dem vertrauliche Daten ohne Genehmigung zugegriffen, kopiert oder gestohlen werden. Es kann Millionen von Benutzern gleichzeitig betreffen, wenn ein Unternehmen gehackt wird. Passwörter, die bei Datenlecks durchgesickert sind, erscheinen oft im Darknet und werden bei Folgeangriffen verwendet.

Ein Passwort, das bei einem Datenleck offengelegt wurde oder Angreifern bekannt ist. Ein kompromittiertes Passwort sollte sofort bei jedem Dienst geändert werden, bei dem es verwendet wird. Moderne Passwort-Manager vergleichen Ihre Passwörter mit Datenleck-Datenbanken und warnen Sie.

Ein Social-Engineering-Angriff, bei dem ein Angreifer eine vertrauenswürdige Entität (Bank, soziales Netzwerk, Unternehmen) imitiert, um Sie dazu zu bringen, Ihre Zugangsdaten auf einer gefälschten Seite einzugeben. Er kommt normalerweise per E-Mail, SMS oder Instant Message mit einem Link zu einer Kopie der legitimen Seite.

Eine Angriffstechnik, bei der systematisch alle möglichen Passwortkombinationen ausprobiert werden, bis die richtige gefunden wird. Mit modernen Computern kann ein einfaches 8-Zeichen-Passwort in Stunden geknackt werden. Deshalb ist Länge wichtig und warum PBKDF2 jeden Versuch verlangsamt.

Ein automatisierter Angriff, bei dem Benutzername/Passwort-Kombinationen, die bei früheren Datenlecks durchgesickert sind, bei anderen Diensten ausprobiert werden. Es funktioniert, weil viele Menschen dasselbe Passwort auf mehreren Seiten wiederverwenden. Wenn Ihr Passwort von einem Forum durchsickert, testen Angreifer dasselbe bei Ihrer Bank oder E-Mail.

Ein Angriff, bei dem eine dritte Partei die Kommunikation zwischen zwei Parteien abfängt (z.B. Sie und eine Website), ohne dass eine von beiden es weiß. Der Angreifer kann Daten lesen, ändern oder einschleusen. Ende-zu-Ende-Verschlüsselung macht das Abfangen der Daten nutzlos: Selbst wenn sie erfasst werden, sind sie verschlüsselt.