Hallo,

kann mir jemand einen guten Passwortmanager empfehlen, für mich als Einzelperson mit MBP (Big Sur) und iPhone 12 und iPad Pro? Ich hab schon über Dashlane und 1Password gelesen und bin nun unschlüssig. Muss nicht kostenlos sein, Hauptsache praktisch und zuverlässig. Danke!

Was spricht gegen den Schlüsselbund von OS X und iOS?

KessPassXC + ggf. Keepassium/Strongbox.
https://keepassxc.org/

https://keepassium.com/
https://strongboxsafe.com/

Ein paar Infos: https://www.kuketz-blog.de/keepassxc-auto-type-und-browser-add-on-im-alltag-nutzen-passwoerter-teil1/

Das ist wirklich eine gute Frage. Benutze 1Password und den Schlüsselbund. Zuerst war der Schlüsselbund ein bisschen umständlich. Mittlerweile ist er sehr gut verwendbar. Man kann auch sichere Notizen ablegen (inkl. Fotos). Ich würde mir das umbedingt anschauen, besonders, da Du Dich nur im Appel Universum bewegst.

1Password ist grafisch ansprechender, benutze aber noch eine ältere Version, d. h. die letzte ohne Abonnement. Letzteres stört mich ungemein bei vielen Tools.

"Passwörter" (Monterey) erkennt nicht, dass mein Server über mehrere Wege erreichbar ist: IP und Domain. Passwörter zeigt eine Fehlermeldung "bereits verwendet". In diesem Fall wird nur für die IP das Passwort vorgeschlagen.
In Big Sur lassen sich die Passwörter nicht exportieren, erst ab Monterey.
Die Passwörter können nicht gruppiert werden.
Es können keine weiteren Felder definiert werden.
Keine Integration in andere Browser wie Firefox
Was ist, wenn die Passwörter auch in Windows gebraucht werden?

Es ist nicht so, dass "Passwörter" schlecht wäre, aber es gibt schon Gründe dagegen. Ich lege dort nur die in Safari am häufigsten genutzten Passwörter ab.
Ansonsten nutze ich SafeInCloud und zuvor lange Zeit Bitwarden.

Hi MARM,

keiner der Punkte trifft wohl bei HugoMac zu ...

Ich rate ihm auch nicht von 1Password ab. Mein Kommentar war auf Apple Passwörter gemünzt. Will er nicht Passwörter gruppieren, nutzt er keine anderen Browser? Um das Einzuschätzen kenne ich seine Situation nicht. Du etwa?

1Password empfinde ich noch Jahre später als im Komfort unerreicht. Wenn man ein Familien-Abo mit mehreren Personen nutzt, relativiert sich der Preis auch.

Danke für die schnellen Kommentare! Ich nutze meist Safari und Chrome. War bisher mit "Schlüsselbund" zufrieden, aber ein neuer Geschäftspartner (der mit Windows arbeitet und KeePass nutzt) wünscht sich, dass ich ein noch sichereres Tool nutze, so von wegen Hackerangriff etc. Was für mich selbst noch nie ein Thema war.

Was weiß der Windows-Fritze, was wir nicht wissen? Warum schätzt er Apples Lösung als unsicherer ein als andere? Kann der das erklären?

Mehr Sicherheit hätte er, wenn kein Windows benutzt würde

KeePass wäre in diesem Fall (Zusammenspiel mit Windows) auch ein Tool. Neben 1Password. Auf der Arbeit haben wir auch KeePass. Soll sicher sein.

enpass

Ich werfe mal gerne wieder Enpass in die Runde.


Ist gut bis sehr gut integriert, zuverlässig. Gibt es für Mac, ios und Windows.
Die Passwörter werden da gespeichert, wo du es haben möchtest (lokal, iCloud, eigener Server) und es ist die Möglichkeit gegeben per WiFi ohne Auslagerung der Passwörter auf eine externe Cloud eine Synchronisation zum Beispiel mit dem iPhone zu machen.

👍👍

👍

War das die 6er oder gabs noch höheres ohne Abbonement?

Die 7er ist die letzte ohne Abo..
Ich bin von 1Password 7 auf Enpass umgestiegen...

Ist bei 1Password 7 nicht auch das Problem, das man in deren Cloud sichert?
Nutze aktuell die Version 6.8.9 ohne Abo. Bin sehr zufrieden.

Na dann KeePass.
Siehe steve.it
Open Source, sicher und gut (Spende nicht vergessen).
Und laß dich nicht, wie von einigen vorgeschlagen, mit Geschäftspartnern oder Kunden auf Diskussionen über das genutzte Betriebssystem ein.

Export bekomme ich (unter macOS 12.2) nicht hin. Der ist ausgegraut. Wie geht das?

Ich habe ebenfalls 12.2. Du gehst zu Systemeinstellungen/Passwörter. Links ist die Liste der Passwörter. Unten sind 3 Punkte und dort steht "Passwörter exportieren ..."
Das ist bei dir ausgegraut?

@HugoMac

Du hattest ja u.a. auch von Dashlane gesprochen. In der Familie haben wir Dashlane seit ca. 4 Jahren im Einsatz (Windows-PC, Mac, iPad und iPhone) und es funktionier einwandfrei. Die Erkennung der Seiten inkl. autom. Ausfüllen - wenn gewünscht - funktioniert auf fast allen Seiten. Die Einrichtung neuer Geräte inkl. Synchronisation läuft sehr gut. Auch die Webobefläche ist sehr einfach und komfortabel. Das Freigeben und Teilen von Passwörtern war für uns ein sehr wichtiges Thema (dig. Erbe etc.).

Enpass ist seit Jahren meine Wahl, insbes. seit es Wifi-Sync kann. Ein Gerät ist der „Server”, die anderen syncen mit ihm. Funzt exzellent. Auch die Browser Erweiterungen sind sehr praktisch.

Für Schnellentschlossene, bei stacksocial läuft noch ca. 12 Stunden: Enpass Lifetime Subscription für 30.-


Achtung: Angebot gilt nur für Neu-User.

@topic
Ich bin von 1Password7 auf Enpass umgestiegen als bekannt wurde dass man mit der kommenden 1Password-Version nur noch auf deren Server speichern kann.

Was mir auch wichtig war ist der problemlose Import der 1PW Daten, Enpass kann mit dem 1PW-Format umgehen. Erfreulicher Nebeneffekt: auch auf meinem iPad2 läuft Enpass, da ging bei 1PW schon lange nichts mehr.

holy sh*t! ich bin natuerlich auch gleich in die "Keychain Access.app" und da geht es eben nach wie vor nicht. habe mich schon so lange darueber geaergert, dass man quasi nichts aus der Keychain exportieren kann. super tipp, danke!

Synchronisation nur über iCloud.

Es gibt Leute, für die das ein K.O.-Kriterium ist. Ich zähle mich auch dazu.

Wen das nicht stört, für den dürfte es OK sein - die Funktionalität ist nicht schlecht.

Das es OS X schon seit Jahren nicht mehr gibt?

Spaß beiseite. Mittlerweile finde ich den integrierten Passwort Manager garnicht mal schlecht. Nicht den Schlüsselbund, sondern das neue Teil

Jaja, ist untenrum immer noch der Schlüsselbund, ich weiß.

Das war der entscheidende Hinweis! Ich hatte im Schlüsselbund geschaut.

Bin vor Jahren von 1Password auf Bitwarden umgestiegen. Bin sehr zufrieden mit Bitwarden.

Auch meine Empfehlung: Bitwarden

Wenn ich das richtig sehe gibt es immer noch die Möglichkeit 1Password ohne Abo zu nutzen:
Unten auf der 1Password Seite auf Downloads gehen und die passende Version runterladen. Dann müsste man eigentlich beim ersten Start auch auswählen könne, dass man eine Lizenz kaufen möchte. Kann evtl. etwas versteckt sein weil denen ein Abo ja wohl lieber ist. - Kann ich leider so nicht mehr prüfen weil ich es ja schon installiert habe.
Ich synchronisiere nur lokal übers W-LAN - klappt problemlos.

Das ist auch meine Version. Funktioniert tadellos. Mehr brauche ich eigentlich auch nicht.

Nutze iPin. Mittlerweile Abo, aber 4,99€ pro Jahr ist es allemal wert.

Nehme 1Password, gibt es sogar für Family zur Zeit 6 Monate für umme 😉

Bin vor kurzem von 1Password zu Enpass umgestiegen. (Mit dem Stacksocial Angebot für die Lifetime Lizenz)
Mit Version 8 kommt offenbar der Abozwang und die native Mac Anwendung wird durch ne dreckige Electron Crossplattform Anwendung ersetzt.
So gut 1Password war, die sind leider irgendwann falsch abgebogen. Hatte seit Version 3 oder 4 jedes Update gekauft.

Bitwarden. Definitiv Bitwarden. Am besten noch selbst gehostet (Ist halt ein wenig Arbeit und man sollte sich mit Webservern/Linux und Docker ein wenig auskennen).

Die Plugins für die verschiedenen Browser arbeiten wirklich einwandfrei, auch unter Windows. Das war für mich immer ein Manko.

Hatte vorher das Premium Gedöns von Dashlane und war sehr unzufrieden:
- Subdomain Erkennung war eine Katastrophe. Ständig wurden überall die falschen Passwörter vorgeschlagen.
- Passwörter in iOS, egal ob in einer App oder im Browser haben für mich auch nie wirklich funktioniert.

Alle diese Probleme sind mit Biwarden vorbei. Zum Thema Subdomain kann man sogar 4 unterschiedliche Optionen wählen wie die Passörter vorgeschlagen werden sollen. Das ist echt super!

Ich stimme deinem gesamten Post sonst zu. Und ich bin auch sonst ein riesiger Fan von Selfhosting. ABER: Bei Sicherheitsrelevanten Themen sollte man genau eben NICHT selbst hosten. Bitwarden hostet entweder kostenlos oder für sehr kleines Geld und kümmert sich darum, dass der Dienst immer zur Verfügung steht und sicher ist.
Wenn du das selbst machst guckst du früher oder später doof aus der Wäsche, wenn es dann mal nicht funktioniert.

"Ein Passwort-Manager sollte nach meiner Auffassung quelloffen sein, die Passwörter lokal speichern und aktiv weiterentwickelt werden. Von Lösungen, die eure Passwörter in irgendwelchen Clouds ablegen bzw. deren Quellcode nicht einsehbar ist, solltet ihr Abstand nehmen. Sensible Passwörter gehören nicht in fremde Hände, wie uns schwerwiegende Sicherheitslücken bei bekannten Anbietern (LastPass Hack, OneLogin Hack, 1Password Datenleak) immer wieder vor Augen führen. So viele sensible Daten an einem Ort locken unweigerlich böswillige Angreifer an, die sich darauf Zugang verschaffen wollen."

"Wer Bitwarden selbst hostet, der sollte übrigens auch unbedingt die »Schwächen« der Lösung beachten . Mit einer angepassten Content-Security-Policy für das Web-Interface und deaktiviertem Tracking in den mobilen Apps ist Bitwarden für die Passwort-Verwaltung von Teams tragbar. Übrigens: Datenschutzsensible Nutzer können die Android-App auch über F-Droid beziehen – in einem GitHub-Beitrag sind zwei Quellen angegeben ."


Tracker in der Version im Playstore. Wie sieht es bei der iOS-Version aus?
Wenn die sauber ist, kann ich mir vorstellen mit Bitwarden für die weniger wichtigen Passwörter zu verwenden. Bei den richtig wichtigen bleibe ich lieber bei dem bewährten KeePass(XC).

ich habe ja noch Hoffnung das sie es wie Arq machen

Ich kann 1Password < Version 8 aber auch absolut empfehlen. Die Electron Version ist nicht schön ...

So hab ich es auch gemacht - und nicht bereut

Für KeePass gibt es noch: https://macpassapp.org/

https://github.com/MacPass


Habe ich selber noch nicht verwendet.

Ergänzung zu oben:
KessPassXC + ggf. Keepassium/Strongbox.
https://keepassxc.org/

https://keepassium.com/
https://strongboxsafe.com/

Ein paar Infos: https://www.kuketz-blog.de/keepassxc-auto-type-und-browser-add-on-im-alltag-nutzen-passwoerter-teil1/

Hast du da eine Quelle? Mir ist nichts bekannt.

Zu 1Password: in der Version 7 ist es noch möglich ohne Abo zu arbeiten. Ich würde das trotzdem niemandem empfehlen, der ein Abo nicht möchte. Version 8 steht vor der Tür (für Windows schon erschienen) und man würde auf ein totes Pferd setzen. 1Password ist auf Bequemlichkeit und Zusammenarbeit ausgerichtet. Wenn ich am Mac ein Passwort erstelle und das Haus verlasse, nütz mir am iPhone eine lokal Synchronisierung nichts. Im Team oder Familie schon zweimal nichts. Selfhosting ist eine trügerische Sicherheit (wurde ja schon erwähnt) und das Gefasel von OpenSource und quelloffene kann ich nicht mehr hören. Wenn teilweise ein oder zwei Entwickler in Nebenbeschäftigung quelloffene Apps entwickeln, ist die Chance, dass böse Buben da munter mitentwickeln oder Lücken ausnutzen, bevor sie entdeckt werden, relativ hoch. Bei 1Password arbeitet inzwischen ein großes Team rund um die Uhr am Programm und das geht auch nur mit entsprechenden Mitteln (Abo). Das Programm ist mit Sicherheit nicht für jeden was aber die eigenen Anforderungen sind ja kein Minuspunkt beim Programm; es passt dann halt einfach nicht.
Wir arbeiten in der Firma mit der Business Version. Zugriffslogs und Änderungslogs sind da essentielle Sicherheitsfunktionen, neben vielen anderen. Dazu kommt eine kostenlose Familienversion.

Schau in den Link.

Wenn ich mich richtig erinnere, gab es da noch das ein oder andere aber lange zurück. War glaube ich nicht grundsätzlich bei 1Password, sondern allgemeine Schwächen/Designfehler bei Passwortmanagern (damals) - die man heute hoffentlich nicht mehr macht (ich glaube KeePass war damals davon nicht betroffen). Dazu müsste man alte Heise-Artikel mal raussuchen vor vielleicht 10 Jahren oder so (oder evtl. im Blog von Bruce Schneier lange zurückschauen https://www.schneier.com/ )

Sorry, aber welcher?

Edit: ak okay, der ganz am Schluss und von dort ein Link auf heise: Dort wiederum ist zu lesen, ein gab ein allgemeines Leck in der Serverstruktur (cloudflare). Da die 1Password Daten aber verschlüsselt sind, ist das relativ egal. Ein 1Password-Leck gab es nicht.

War offenbar ohne gravierende Folgen und eher als Hinweis/Beispiel für solche Schwachstellen gemeint, die so passieren können (insbesondere wenn ein "Cloud-Betreiber" Fehler macht).

Edit:
"Relativ egal..." ja und nein. Finde ich unglücklich ausgedrückt, auch wenn ich weiss was du sagen möchtest.
Und irgendwann kommen die Quanten-Computer Ohne Post-Quantum-Kryptographie sieht das dann ggf. anders aus.

Was mir dann auch egal ist, denn in einer alten, geklauten Datei sind keine aktuellen Passwörter von mir: ein Passwortmanager wie 1Password ist darauf ausgelegt die Passwörter regelmäßig zu ändern. Das sollte man natürlich auch tun.

Soweit die Theorie, absolut korrekt.

Tatsache dürfte sein, daß die meisten User sich bei ein paar hundert (verschiedenen!) Paßwörtern im Safe genau die Arbeit eben nicht mehr machen. Zumal es ja leider auch keine Standardverfahren für "Otto Normalverbraucher" gibt, mit denen das automatisiert zu bewerkstelligen wäre. Auf meinen Systemen nutze ich Ansible zum regelmäßigen Paßwort- und Schlüsselwechsel, aber bei Accounts auf fremden Systemen ist es halt Handfrickelei, die man sich eher ungern und meist anlaßbezogen antut.

Auf der positiven Seite sei angemerkt, daß der Shore-Algorithmus hauptsächlich zum Brechen von asymmetrischen Schlüsseln zu gebrauchen ist (public/private key-Verfahren).

Symmetrische Verfahren (wie sie bei der Verschlüsselung von z.B. Paßwortsafes zum Einsatz kommen) sind zwar per Quantenangriff zu schwächen, aber nicht in desaströsem Maße - mit AES256 verschlüsselte Daten bleiben grob vergleichbar mit AES128 geschützt, längere Schlüssel sind gegen diese Art von Angriff auch längerfristig hinreichend sicher (entsprechendes gilt aber nicht für alle symmetrischen Algorithmen). Meines Wissens nutzt 1Password AES256, sollte also erst einmal auf der sicheren Seite sein.

Das Problem dabei ist natürlich, daß es ziemlich viel Forschung auf beiden Seiten gibt, und PQC steht genau so am Anfang wie die Entwicklung der Quantencomputer. Was da kurz- bzw. mittelfristig herauskommt, weiß man nicht - für mich genug Grund, auch derzeit noch sichere Verfahren nicht für die Speicherung von Paßwörtern und anderen sensiblen Daten auf fremden Rechnern (nichts anderes ist die "Cloud") zu nutzen.

Ja, genauso wie Tatsache ist, dass Passwörter insgesamt immer noch stiefmütterlich behandelt werden. 1Password (und vielleicht auch andere Passwortmanager) helfen aber dabei, durch Schwachstellenerkennung, Hinweis auf Doppelungen oder zu einfache Passwörter und Vorschlägen. Durch die Historie kann man auch Passwörter erneuern und erst im Nachgang auf dem eigentlichen System abändern. Durch die Manager-Funktionen in der Business Variante (vielleicht auch schon in der Team Variante) lassen sich auch viele Schritte vorgeben.
Ich verstehe deine Bedenken aber wie regelst du das dann im Team? Wie gesagt, selfhosting finde ich bedenklicher und die Passwörter den Partnern mal kurz zuzuschicken ...

Ich überlege durchaus, ob ich wieder vermehrt wie zu alten Zeiten eine Excel/Numbers-Tabelle nutze.

Ich habe nun lange Bitwarden genutzt und bin derzeit bei einer Kombination aus Apple Passwörter und SafeInCloud. In Passwörter ist nur eine Handvoll Passwörter, die ich sehr viel in Safari benötige.

Ich möchte meine Passwörter nicht in der Cloud. Also sind sie auf meinem Server.
Bitwarden bietet dafür Docker an. Was meistens gut klappt. Da Bitwarden aber keine Fehlermeldung ausgibt, wenn der Sync nicht klappt, steht man unterwegs auch mit veralteten Daten da. Daher bin ich nun bei SafeInCloud, da der Sync über WebDav erfolgt.

In allen Passwortmanager wird das Passwort verborgen. Manchmal möchte ich aber nach Passwörtern suchen. Oder ich möchte die Passwörter sortieren, um Dateileichen zu entfernen. Durch diese typischen Benutzeroberflächen der Passwort Manager ist das alles sehr umständlich.

Nicht alle Passwörter sind so wichtig. Passwörter zu Einkaufsportalen kann ich auch auslagern, so dass nur die wichtigsten Passwörter im Passwort Manager sind. Was ich im verschlüsselten Image habe, ist auch geschützt.

Das Problem ist eher, daß Paßwörter ein Konzept sind, das nicht skaliert. Aber so bald werden wir das, fürchte ich, nicht los.
Absolut, da bin ich ganz bei Dir. Ohne Paßwortmanager geht es eigentlich gar nicht. Aber es ist immer noch eine Krücke für ein veraltetes Konzept.
Das Team-Problem habe ich als Einzelkämpger erfreulicherweise nicht so oft. Wo es notwendig ist und geht, arbeite ich für die Authentifizierung mit SSH und public keys, ansonsten auch oft mit Client-Zertifikaten. Selfhosting ist nichts, das ich einem nicht fachkundigen User empfehlen würde - wenn ich die Daten auf meiner Synology mit einem zusammengeklickten DAV-Server hoste und im Internet bereitstelle, dann kann ich sie auch gleich in die
"Cloud" legen.

Meine eigenen Sync-Server liegen in einem separaten LAN und sind nur intern bzw. per VPN (Wireguard übrigens, sehr vielversprechende Technologie) erreichbar. Das ist natürlich weniger komfortabel, aber dafür kann ich damit leben. Und es läuft darauf auch nichts anderes als der DAV-Server.

Also das zumindest funktioniert in 1Password. Egal ob verborgen oder entschlüsselt, nach Passwörter kann man suchen, wenn man die Suche auf alle Felder ausdehnt und Dateileichen oder andere Kriterien zu Passwörtern kann man auch suchen.
Deine anderen Ansprüche (keine Cloud) kann 1Password allerdings nicht erfüllen.

Danke für den Tipp!