Password Safe – Test Passwort-Manager

Password Safe: Datenbank öffnen
Passwortmanager: Password Safe

Mit einem Test von Password Safe, einem Passwort-Manager, möchte ich eine Reihe von Test zum Thema Kennwortverwaltung per Software beginnen. Wer sich jetzt fragt: Passwort-Manager: warum und wozu?, der lese den verlinkten Beitrag.

Den Anfang mache ich nicht mit dem verbreiteten KeePass, sondern mit … Password Safe. Warum?

  • Mit gefällt’s: Obwohl es nicht viel kann, gefällt mir das Tool ausgesprochen gut. Weil es sich auf das Wesentliche konzentriert.
  • Gratis: Es ist kostenlos. Und OpenSource.
  • Leicht: Es braucht keine Browser-Plugins.
  • Außerdem ist es weniger populär als KeePass, also wahrscheinlich weniger Angriffen ausgesetzt.

Technische Eckdaten:

  • Passwort-Manager mit lokaler Datenbank, Kennwortverwaltung und Passwort-Generator.
  • Unterstützte Browser (ohne Plugin!): Internet Explorer, Chrome, Firefox (ausprobiert, gewiss auch andere).
  • Verschlüsselung der Passwortdatenbankdatei mit Twofish (SHA-256, 2048 Bit).
  • Englisch, Deutsch installierbar.
  • Für Windows XP, Vista, 7 (getestet) und 8.
  • Portierungen für Mac/iOS/iPhone/iPad und Android, auch Linux (Java) und andere (->Liste); portable als PasswortSafe2go / PasswordSafe for U3

Installieren, Sprache wählen

Download hier:

Bei der Installation wichtig: Die Sprache Deutsch, die man eingangs wählen kann, ist die Sprache des Installers! Daher unbedingt an folgender Stelle

Password-Safe: Installation in deutscher Sprache
Password-Safe: Installation in deutscher Sprache

ebenfalls (!) das Häkchen bei Deutsch aktivieren, sonst läuft das Tool später in Englisch!

Test: Password Safe

Passwort Safe ist, ich sage das ganz deutlich, eine schäbige und hässliche Software ohne jede Eleganz. Man merkt dem Tool an, dass es seit 2002 existiert (History) und seitdem nur von Freiwilligen weiterentwickelt wird. Und doch gefällt es mir ausnehmend gut. Weil es einfach bocksimpel ist, nie im Weg steht, ohne Plugins auskommt. Weniger ist hier einfach mehr. Ja, es könnte hie und da noch etwas besser sein, aber hey: es ist free und nützlich.

Password Safe: Datenbank öffnen
Password Safe: Datenbank öffnen

Können wir dieser Software trauen? Mit hoher Wahrscheinlichkeit: Entwickelt hat das Tool ursprünglich Krypto-Guru Bruce Scheier, der es noch immer empfiehlt – das flößt mir Vertrauen ein. Wäre dort absichtlich eine Hintertür größerer Natur eingebaut, stünde auch sein Name auf dem Spiel.

Passwort-Paranoia!Das ändert aber natürlich nichts daran, dass ein solches Tool unterwandert werden kann, theoretisch, auf vielfache Weise. (Aber wenn man aber diesem Passwort-Manager nicht traut, dann braucht man eigentlich gar keinem zu trauen.) Er kann auch Fehler haben. Und natürlich ist ein komplexes Masterpassword wichtig, vor allem, wenn Sie die Passwortdatenbank in Cloudspeichern wie Dropbox ablegen.

Die Funktionen von Password Safe

Das Tool bietet nur das nötigste. Nach dem Starten öffnet es die zuletzt genutzte Passwortdatenbankdabei (falls Sie das manuell machen müssen, überprüfen Sie den Eintrag im Startmenü: “C:Program Files (x86)Password Safepwsafe.exe” –s sorgt dafür, dass das Tool „silent“ startet – aber eben auch ohne Öffnen der PW-Datenbank). Sie öffnen die Passwortdatenbank mit einem Masterkennwort und haben dann Zugriff auf die Einträge und die Menüs.

Password Safe verwalten
Password Safe verwalten

Die einzelnen Einträge legt man über Bearbeiten, Eintrag einfügen manuell an. Dabei kann man den Eintrag einer Gruppe (Ordner) zuordnen und mit einem Titel versehen. Jeder Eintrag kann einen Benutzernamen und ein Passwort haben – diese werden später an den Browser übergeben. Das Passwortfeld verbirgt das Passwort, kann es aber auf Wunsch auch anzeigen. Das Kennwortfeld hat außerdem einen Generieren-Button, der ein Passwort aus dem vereinfachten Passwortgenerator erzeugt. Außerdem lässt sich eine URL festlegen – hier gibt man natürlich die URL ein, in der die Zugangsdaten einzugeben sind. Der Rest ist funktional eher zweitrangig.

Ein Password-Safe-Kennworteintrag
Ein Password-Safe-Kennworteintrag

Mit einem Klick auf OK speichert man einen Eintrag. Er ist jetzt mit der rechten Maustaste anklickbar: Das Kontextmenü erlaubt es dann, entweder Benutzername oder Passwort zu übernehmen, oder die URL aufzurufen oder die URL aufzurufen und die Zugangsdaten einzugeben und so weiter.

Password-Safe-Kontextmenü
Password-Safe-Kontextmenü

Automatische Eingabe überarbeiten

Natürlich kann man den Beitrag auch bearbeiten. Wenn etwa die Übergabe der Parameter an den Browser, die hier ganz ohne jedes Plugin stattfindet, nicht funktioniert, muss man im Register Zusätzlich – wo auch die Aktionen bei Doppelklick des Eintrags, Tastenkürzel und individuelle Passworthistorie einstellbar sind – ein bisschen tricksen – im Feld Autom. Eingabe:

Password Safe: automatisches Ausfüllen
Password Safe: automatisches Ausfüllen

Das ist nicht völlig trivial, man muss zum Beispiel schon irgendwie verstehen, dass die Zeichenkette \u\t\p\n bedeutet „Übergib Benutzername, drücke [Tab], übergib Passwort, drücke [Enter]“, und dass man dieses manchmal zum Beispiel zu \u\t\p\t\n ändern muss, damit es funktioniert.

Der Trick ist, die betreffende URL mal von Hand aufzurufen und sich genau zu merken, was für eine gelungene „automatische Eingabe“ zu tun ist – und zwar ganz ohne Maus.

  • Aufruf der Seite
  • Nutzername
  • [Tab]
  • Password
  • Enter

übersetzt sich mit Hilfe der Kürzel

  • \u für den Benutzernamen aus dem Eintrag
  • \p für das Passwort aus dem Eintrag
  • \t für die Tabulator-Taste
  • \n für die Eingabetaste

in \u\t\p\n. Bei GMX zum Beispiel ist der Eingabefokus (der virtuelle Ort, an den Eingabe im Moment der Eingabe hingeschickt werden) direkt nach dem Aufruf (ohne Mausbedienung!) *nicht* im Benutzername-Feld. Aber einmal [Tab] drücken reicht, um da hinzukommen; ergo ist bei GMX ein t\ vorweg nötig. Das t ist auch nützlich, um Kontrollkästchen wie „Anmeldung merken“ zu überspringen.

Zeichen für automatische Eingabe

Die vollständige Liste der Zeichen, die man verwenden kann:

  • \u für den Benutzernamen aus dem Eintrag
  • \p für das Passwort aus dem Eintrag
  • \t für die Tabulator-Taste
  • \n oder r für die Eingabetaste
  • \g Name der Gruppe
  • \i Name des Titels
  • \o Inhalt des Feldes Notizen
  • \oNNN Inhalt der Zeile NNN im Feld Notizen, also o123 für Zeile 123
  • \b für die Backspace-Taste.
  • \\ wird zu Backslash „\“
  • \w100 für zb. 100 Millisekunden warten
  • \W10 für zb. 10 Sekunden warten
  • \dNNN setzt Verzögerung zwischen Zeichen auf NNN Millisekunden (Standard: 10, was d10 entspräche)

Sie sehen hier sicher das Potential: Mit der Option \oNNN können Sie praktisch beliebig komplexe Formulare ausfüllen!

Die Sicherungsfunktionen

Passwort Safe verschwindet nach der Benutzung im Systray rechts unten und bietet auch eine automatische Sperrung. Nach wählbaren 1 bis 120 Minuten (Vorgabe: 60) sperrt Password Safe die Datenbank automatisch wieder ab (abschaltbar), ebenso, wenn Windows den PC sperrt (Bildschirmschoner/Energiesparmodus/Ruhezustand mit Passwortanforderung). Das kann man über Verwalten, Optionen, Sicherheit ändern.

Password Safe: automatisches Sperren
Password Safe: automatisches Sperren

Obwohl ziemlich simpel, bietet Passwort Safe einige Sicherheitsfunktionen, etwa einen Passwortverlauf (global plus je Eintrag). Über Verwalten, Optionen, Passworthistorie legen Sie zum Beispiel fest, dass stets auch einige vergangene Einträge aufbewahrt werden (Vorgabe: 3). Diese Passworthistorie ist wirklich wichtig, denn einige Dienste fragen bei Problemen auch mal nach einem früheren Passwort.

Noch wichtiger: Wenn Sie ihre Passwortdatenbank verlieren, sind alle Ihre Passwörter weg. Über Verwalten, Optionen, Sicherungen können Sie daher festlegen, wann die Datenbank gespeichert wird. Es lassen sich dabei bis zu 99 Sicherheitskopien der jeweils letzten Version anlegen. Im Bereich Verzeichnis der Sicherung legen Sie außerdem fest, dass die Sicherung in einem anderen Verzeichnis, etwa auf einer anderen Platte, gesichert werden soll. So legt Password Safe ständig neue Backups an.

Passwortdatei automatisch sichern
Passwortdatei automatisch sichern

Passwortrichtlinie

Eine Passwortrichtlinie
Eine Passwortrichtlinie

Die meisten Passwortmanager kennen eine sogenannte Kennwortrichtlinie, hier im Bereich Verwalten, Passwortrichtlinien. Im Fall von Password Safe wird diese leider nicht zum Überprüfen der Passwörter verwendet, sondern nur beim Erzeugen durch den Passwortgenerator. Die Passwortrichtlinie gilt global, man kann aber mehrere definieren und natürlich kann jeder Passworteintrag eine andere Richtlinie verwenden.

Bei Password Safe legt eine Passwortrichtlinie zum Beispiel fest, dass ein Passwort 16 Zeichen Mindestlänge haben soll (Vorgabe: 12) und sich aus kleinen, großen Buchstaben, Sonderzeichen und Ziffern zusammensetzen soll. Man kann Passwort Safe anweisen, „leicht lesbare Zeichen“ zu verwenden – das schließt dann Buchstaben wie 1 und I aus. Man kann aussprechbare Passwörter festlegen oder dass Passwörter stets Hexadezimal sein sollen (0-9, a-f).

Wichtig: Wenn Sie Optionen wie Benutze leicht zu lesende Zeichen oder Generiere aussprechbare Passwörter verwenden, macht das ihr Passwort etwas unsicherer (weil die Teilmenge aller aussprechbaren Passwörter natürlich kleiner ist als die Gesamtmenge aller Passwörter). Das können Sie aber durch eine höhere Länge wieder etwas ausgleichen.

Passwortgenerator

Passwortgenerator
Passwortgenerator

Den starten Sie mit [Strg]+[P] direkt aus dem Programm oder über Verwalten, Generiere Passwort. Sieht fast genauso aus wie eine Passwortrichtlinie. Man kann auch hier die gegebene Passwortrichtlinie(n) nutzen oder was individuelles zusammenklicken. Generieren erzeugt dann das Passwort.

Diverses

Natürlich lassen sich über das Datei-Menü Passwortdateien aus anderen Programmen importieren und exportieren. Es gibt auch eine Funktion zum Zusammenführen oder Synchronisieren von Passwortdateien; Dropbox-sicher ist das wohl eher nicht, für Notfälle reicht es aber gewiss. Password Safe unterstützt außerdem Yubikey für eine Zwei-Faktor-Authentifizierung, die aber einen eigenen Post wert ist.

Fazit

Passwort Safe
Passwort Safe

Der Passwortmanager Passwort Safe ist altbacken und ohne jede Eleganz, bei einer großen Zahl von Einträgen wird er etwas unübersichtlich (und die Suchfunktion ist … nun: „vorhanden“).

Dem steht eine ansonsten einfache, simple Bedienung und die für leicht fortgeschrittene Nutzer auch sehr detailreiche Konfiguration der automatischen Eingaben gegenüber. Wer etwas Mühe investiert, kriegt auch ohne Plugin ein automatisches Login bei vielen Webseiten hin.

Ist Password Safe das richtige Tool?

  • Ja: Wenn Sie kein Geld ausgeben wollen, dafür ohne Luxus auskommen können, Sync nicht unbedingt brauchen (obschon mit etwas Bastelei möglich), und sich mit Doppelklick auf Einträge bei praktisch jeder beliebigen Website anmelden wollen, dann ist Passwort Safe (m)eine persönliche Null-Budget-Empfehlung.
  • Nein: Wenn Sie sich als völliger Einsteiger sehen und viele Luxusfeatures wie automatische Aufzeichnung wünschen, dann ist Passwort Safe eher nichts für Sie. Auch wenn Sie eine Passwortdatenbank auf verschiedenen Plattformen nutzen wollen. Luxuriöser ist zum Beispiel Acebit Passwort Depot, plattformübergreifende Sync-Funktionen (Win/Mac/iOS/Android) findet man etwa bei 1Password besser, KeePass gibt es free auf vielen Plattformen.

Alternativen zu Password Safe

  • KeePass
    Verbreiteter Klassiker. Ebenfalls Free. Ebenfalls OpenSource (GPL). Für Windows, Portierungen auf alle wichtigen Systeme vorhanden, dort meistens mindestens eine free zu haben.
  • AceBit Passwort Depot
    Windows, ioS/Android. Kommerziell, ca. 30 Euro. Deutlich ausgereifter, deutlich mehr Funktionen für alles mögliche, bis hin zur lokalen Dateiverschlüsselung (mit Passwort im Depot). Benötigt aber Browser-Erweiterungen. Meine Empfehlung für Windows-Nutzer mit höheren Ansprüchen.
  • Agilebits 1Password
    Mac/Windows, iOS/Android. Kommerziell, ziemlich teuer: ca. 50 Euro. Jeden Cent wert. Hübsch gestaltet, meist einfach nutzbar. Auf Mac (und iOS) die Passwortsoftware und dort sehr ausgereift. Auf Windows (und Android) relativ neu, aber schon recht brauchbar, wenngleich noch lange nicht perfekt. Meine Empfehlung für Windows-Mac-Parallel-Nutzer. Benötigt aber Browser-Erweiterungen.