VPN oder Passwortmanager: Was den Diebstahl von Zugangsdaten stoppt

Ein VPN und ein Passwortmanager tauchen beide in Gesprächen über Kontosicherheit auf, schützen aber unterschiedliche Dinge. Der Tunnel trägt die Anfrage und verbirgt den Weg; der Manager entscheidet, welche Zugangsdaten angeboten werden, hält sie im Ruhezustand verschlüsselt und merkt sie sich für Sie. Keines ersetzt das andere, und die Fehlermodi überschneiden sich kaum. Ein Vergleich Aufgabe für Aufgabe zeigt, zu welcher Kontrolle man greifen sollte, wenn etwas schiefgeht.

Zwei Aufgaben in einer Anmeldung

Wenn Sie sich anmelden, beantwortet das VPN eine Transportfrage: Welchen Weg nehmen diese Pakete, und was sieht die Gegenseite. Der Passwortmanager beantwortet eine Frage zu Zugangsdaten: Welches Geheimnis gehört zu dieser Seite, wo ist es gespeichert, und was schützt es im Tresor. Das Erste ist eine Netzwerkeigenschaft, das Zweite eine Speicher- und Zuordnungseigenschaft.

Darum ändert ein perfekt funktionierender Tunnel nichts an der Wiederverwendung von Passwörtern. Er kann kein eindeutiges Geheimnis erzeugen, nicht bemerken, dass zwei Konten eines teilen, und Sie nicht daran hindern, den falschen Eintrag in eine überzeugende Nachbildung einer Anmeldeseite einzufügen. Das sind Aufgaben des Managers und der Kontoeinrichtung.

Das Umgekehrte gilt ebenso. Ein Tresor voller starker, eindeutiger Passwörter ändert nichts an einem feindlichen Netzwerk, das eine unverschlüsselte Sitzung mitliest, und nichts an einem Dienst, der Verbindungen aus Ihrer Region ablehnt. Zwei Werkzeuge, zwei Fehlermengen, und ein Bericht, der dem falschen die Schuld gibt, kostet allen Zeit.

Was der Tunnel schützen kann und was nicht

Der Tunnel schützt Datenverkehr unterwegs zwischen Client und VPN-Gateway und, je nach Entwurf, zwischen Gateway und Ziel. Dieser Umfang ist enger, als die meisten beim Kauf annehmen. Er schützt nicht, was nach dem Eintreffen der Zugangsdaten geschieht, und nicht eine Sitzung, die über eine Route abgeht, die der Tunnel nie getragen hat.

Phishing ist der klarste Fall. Ein verschlüsselter Weg zu einer täuschenden Seite liefert das Passwort trotzdem an den falschen Empfänger, und der Tunnel hat seine Aufgabe einwandfrei erfüllt, während das Konto verloren ist. Schadsoftware auf dem Endgerät ist der zweite Fall: Software mit ausreichendem Zugriff auf den Browser kann Zugangsdaten lesen, während sie verwendet werden, welcher Cipher die Leitung auch schützt.

Das Ändern der Ausgangsadresse hat eine Nebenwirkung, die man einplanen sollte. Ein Dienst kann eine zusätzliche Prüfung verlangen, wenn eine Anmeldung aus einem neuen Netz kommt, was eine legitime Reaktion und kein Fehler eines der Werkzeuge ist. Unterscheiden Sie eine von Ihnen ausgelöste Aufforderung von einer unabhängigen Anfrage nach einem Code.

Wie ein Manager entscheidet, welches Passwort angeboten wird

Manager verknüpfen eine gespeicherte Anmeldung mit Webadressen und wenden Zuordnungsregeln an. Diese Regeln sind der sicherheitsrelevante Teil, und sie sind konfigurierbar. Eine exakte Host-Übereinstimmung ist am strengsten; eine Regel für die Basisdomäne oder „beginnt mit“ ist bequemer und deckt mehr Subdomänen ab, auch solche, die Sie nicht beabsichtigt haben.

Wenn die erwartete Anmeldung auf einer unbekannten Seite fehlt, lesen Sie die Adresse, bevor Sie das Passwort von Hand kopieren. Eine Abweichung kann eine harmlose Erklärung haben, etwa eine andere Subdomäne nach einem Redesign, und sie kann auch das erste Zeichen dafür sein, dass die Seite nicht das ist, was sie behauptet. Manuelles Kopieren ist genau der Schritt, den der Manager verhindern sollte.

Auch erfolgreiches Autofill ist keine Garantie. Die Zuordnungsregel, der Browser und die Geräteumgebung entscheiden gemeinsam, was geschieht, ein ausgefülltes Feld beweist also, dass die Regel passte, nicht dass die Seite echt ist.

Tresorsicherheit, Wiederherstellung und Export

Der Schutz des Tresors liegt beim Manager. Produkte unterscheiden sich darin, wie sie den Schlüssel ableiten, den Tresor verschlüsseln, ihn synchronisieren und den Zugriff wiederherstellen, und die Dokumentation des Anbieters selbst ist die einzige verlässliche Beschreibung für die Version, die Sie einsetzen. Bitwarden dokumentiert zum Beispiel die clientseitige Verschlüsselung als Teil seiner Architektur, was bedeutet, dass der Server Geheimtext statt der Geheimnisse selbst speichert.

Verstehen Sie die Wiederherstellung vor dem Notfall. Ein vergessenes Master-Passwort ohne Wiederherstellungsmethode ist ein dauerhafter Verlust, und eine zu einfache Wiederherstellungsmethode ist ein zweiter Weg hinein. Entscheiden Sie, welchen Tausch Sie eingegangen sind, und schreiben Sie ihn auf.

Der Export ist der Teil, den man vergisst. Ein Klartext-Export in einem Download-Ordner ist eine Kopie jeder Zugangsdaten, und eine VPN-Verbindung schützt ihn überhaupt nicht. Wenn ein Export wirklich nötig ist, verschlüsseln Sie ihn und beweisen Sie, dass das Archiv sich öffnet, bevor Sie den Klartext löschen.

gpg --symmetric --cipher-algo AES256 -o vault-export.json.gpg vault-export.json
gpg -d vault-export.json.gpg > /dev/null && echo decrypt-ok

Halten Sie den Manager, den Browser und das Betriebssystem unterstützt. Ein veralteter Client mit Zugriff auf das Endgerät ist ein größeres Risiko für gespeicherte Zugangsdaten, als ein unverschlüsseltes Wi-Fi-Netz für eine ordnungsgemäß authentifizierte Sitzung ist.

Wo sich die beiden tatsächlich treffen

Sie treffen sich am Anmeldeformular und nirgendwo sonst. Alles davor gehört zum Netzwerk, alles danach zum Dienst. Der Manager liefert ein Geheimnis, das Netzwerk trägt es, und der Dienst entscheidet, ob er es annimmt. Eindeutige Zugangsdaten, passende zusätzliche Authentifizierung und ein Wiederherstellungsplan bleiben mit oder ohne Tunnel nützlich, und ein Tunnel bleibt für die Netzwerkeigenschaft nützlich, die Sie tatsächlich brauchen.

Wählen Sie jede Kontrolle für das Problem, das sie tatsächlich löst, und hören Sie auf zu erwarten, dass eine die andere abdeckt. Ein Tunnel ist kein Tresor, und ein Tresor ist keine Route.