Sind Passwortmanager sicher?

Es ist zum verzweifeln. Kaum habe ich mich über den erläuternden Beitrag zum Thema KeePass von Aries in einem anderen Thread gefreut und beschlossen, endlich auch einen Passwordmanager anzuwenden, versetzt mir die Zeitschrift „Chip“ einen Schuss vor den Bug.
In dem Beitrag geht es um das häufig benutzte „LastPass“, bei dem Angreifer die komplette Kennwortdatenbank der User auslesen können. Das soll über „Cross-Site-Request-Forgery-Attacken“ (ich habe keine Ahnung was das ist) funktionieren. Dabei können beliebige Seiten den User abmelden und einen gefakten Log-In-Screen anzeigen. Sobald der User jetzt seine Log-In-Daten eingibt, erhält nicht nur LastPass die Daten sondern auch der Hacker. Vermutlich ist das aber nicht nur auf LastPass begrenzt.

In der gleichen Ausgabe der Zeitschrift wird auch die „2-Faktor-Authentifizierung“ (2FA) beschrieben. Damit scheint eine gewisse Sicherheit wieder herstellbar zu sein. Für LastPass gibt es z.B. eine App, die einen QR-Code generiert, der eingescannt werden muss. Eine Android-App dafür gibt es unter dem Namen „Authy“. Für Google gibt es die Möglichkeit, sich eine SMS mit einem Einmalcode zusenden zu lassen. Auch für Facebook, Amazon, Twitter, PayPal usw. ist 2FA möglich.
Allerdings habe ich keinerlei Erfahrung mit diesen Anwendungen und freue mich über Kommentare zu diesem Thema.

Meine Suche im Forum ergab eine sehr umfangreiche Übersicht der erhältlichen Passwordmanager und ansonsten nur ältere Beiträge die evtl. nicht mehr aktuell sind.

Wolfgang OW

@ Ludy (Mod)
Danke, ich wußte nicht, wo dieses Thema am Besten hineinpasst.

@ Henrik Martens
Mittlerweile haben sich bei mir eine Menge Anwendungen angesammelt, die ein Passwort erfordern. Ich habe das so gestaltet, dass besonders sensible Anwendungen mit besonders schwierig zu ermittelnden, damit leider auch schwierig zu merkenden Passworten versehen sind. Forenzugänge haben simplere Passworte. Alles wurde schön aufgeschrieben und diese Notizen zu Hause sicher untergebracht. Für den gelegentlichen Gebrauch unterwegs mit dem Smartphone muß ich allerdings einen Zettel bei mir tragen oder alles auf dem Phone speichern. Wie Aries bemerkt, kann über diese „Sicherheit“ durchaus diskutiert werden. Leider hat die reine Anzahl der Zugänge zwischenzeitlich so stark zugenommen, dass ich nicht für jeden einzelnen Zugang ein separates Passwort habe sondern Einige mehrfach verwende. Damit ist die Sicherheit vermindert. Zusätzlich ist bei den vielen Passworten der Anreiz gering, routinemäßig einen Wechsel vorzunehmen. Eine weitere Unsicherheit. Deshalb scheint die Anwendung eines Passwortmanagers mit einem komplizierten Masterpasswort eine gute Lösung zu sein. Wie groß die Gefahr des Zugriffs auf diesen Master per Hack ist, kann ich noch nicht einschätzen, deshalb ja dieser Thread.

@Stefan Z.
In „Chip“ wurde vielleicht übertrieben, was die Leichtigkeit des Zuganges (Hack) betrifft. Das kann ich nicht einschätzen, weil ich zu unerfahren bin. Angeblich wurde von der Sicherheitsfirma Praesidio eine „Proof-of-Concept-Attacke“ entwickelt, mit der sie auf die User-Master-Kennworte zugreifen können. Vom Passwortdienst gäbe es dazu bisher keine Stellungnahme.

@Aries
Das Passwort kann nicht geknackt werden, soweit ich es verstanden habe. Durch den Hack wird allerdings der Zugang zum Passwortmanager manipuliert. Irgendwie ist das anscheinend eine besonders geschickte Art von Phishing. Das würde bedeuten, dass auch bei Anwendung größter Sorgfalt bei der Auswahl eines Anbieters und Verwendung von originalen und nicht infizierten Dateien die Gefahr des Fremdzugriffs besteht. Chip hat wie erwähnt diese „2-Faktor-Authentifizierung“ beschrieben, die es mittlerweile für einige Webdienste gibt. In den meisten Fällen müsste ein Hacker Zugriff auf zwei Geräte haben, was mir deutlich komplizierter erscheint. Darauf ist leider bisher noch niemand eingegangen. Ist das nicht die Lösung?

@Matze
So ähnlich wie du die Verwendung weniger Passworte beschreibst, hatte ich es mir auch überlegt. Bei der Umsetzung habe ich immer wieder neue Bedenken entwickelt und bin deshalb noch zu keinem vernünftigen Resultat gekommen. Ich werde mir deine Gedanken aber noch einmal zu Gemüte führen.
Was den Vergleich der Chip mit der Bild-Zeitung betrifft, muss ich passen. Als Lesematerial standen mir nur drei Zeitschriften am Kiosk zur Verfügung und so hatte ich diese gewählt. Die zwei angesprochenen Artikel haben mich aber direkt aufmerksam gemacht, mich erneut mit dem Thema Sicherheit meiner Passworte zu beschäftigen. Das sehe ich als positiv für Chip an.