 Hinweise zur Nutzung des Passwortspeichers im Browser Firefox finden Sie hier |
|---|
Kurzübersicht
| Nützliche Links
|
Inhalt
Warum Passwortmanager?
Sie sollten für jede Anwendung verschiedene und gleichzeitig sichere Passwörter nutzen. Sollte ein Passwort an einer Stelle kompromittiert werden, müssen die Folgen für Logins an anderer Stelle möglichst gering bleiben. Außerdem sollten Passwörter möglichst stark sein - oft führt das zu schlechter zu merkenden Passwörtern. Viele Dienste/Websites haben außerdem unterschiedliche Vorgaben bezüglich Groß/Kleinschreibung, Sonderzeichen und Länge. Schließlich (aber nicht abschließend) bietet die Autotype-Funktion von Passwortmanagern einen gewissen Komfort.
Passwortmanager können die Sicherheit von Zugangsdaten/Passwörtern erhöhen, weil sie es ermöglichen, für verschiedene Dienste und Websites verschiedene und sehr starke Passwörter zu nutzen. Zudem müssen Sie sich auf diese Weise nur noch ein Passwort merken. Ein richtiger Umgang mit Passwortmanagern ist dabei aber Grundvoraussetzung.
Hinweis für Mac
Mit der Schlüsselbundverwaltung bzw. gar der iCloud Keychain stellt Apple den Nutzern mit "Bordmitteln" einen sehr komfortablen Passwortmanager bereit, der allerdings zwei nennenswerte Nachteile hat. Erstens ist es nicht möglich, die dort abgelegten Passwörter mit einem nicht-Apple-System zu synchronisieren oder sie ohne größeren Aufwand dorthin zu portieren, es kommt zu einem Vendor Lock-In. Zweitens werden die Passwörter im Falle der iCloud Keychain auf den Servern von Apple gespeichert, sodass man als Nutzer darauf vertrauen muss, dass Apple mit den Passwörtern korrekt umgeht und sie richtig schützt.
Der KeePass-Standard kann auch innerhalb der Apple-Produktwelt als Alternative zur Keychain sinnvoll und komfortabel genutzt werden. Unter macOS funktioniert KeePassXC zusammen mit Firefox; auf iOS-Geräten Programme wie Keepassium oder Strongbox selbst mit Safari.
Es folgt eine exemplarische Kurzanleitung anhand von KeePassXC, einem Open Source-Passwortmanager. Eine detailliertere, englischsprachige Dokumentation findet sich auf der Projektwebsite: https://keepassxc.org/docs/KeePassXC_GettingStarted.html
Installation von KeePassXC auf einem PC/Mac
KeePassXC darf ausschließlich von der offiziellen Projektwebsite (oder über ein vertrauenswürdiges Repo) bezogen werden: https://keepassxc.org/
Die portable Version eignet sich für Umgebungen, in denen man als Anwender keine Administratorrechte für den genutzten PC hat.
Betriebssystemspezifische Hinweise
- Windows: Es sollte möglichst die 64 bit-Version verwendet werden.
- Mac: Die Nutzung von KeePassXC anstelle der Apple Schlüsselbundverwaltung bietet sich an, wenn Passwörter betriebssystemübergreifend synchronisiert werden sollen.
Hinweis zu Sciebo
Die Info zum Dienst Sciebo ist nur ein Vorschlag, wie die Passwortdatei gesichert werden und PC-übergreifend zu Verfügung gestellt werden kann.
Sciebo ist ein nicht-kommerzieller Cloud-Speicher von Hochschulen für Hochschulen in Nordrhein-Westfalen, bei dem Sie Ihre Daten aus Forschung, Studium und Lehre sicher speichern können.
Der Link zum Dienst Sciebo: https://hochschulcloud.nrw/
Eine Beschreibung finden Sie auch in unserm Wiki: https://wiki.hhu.de/x/wIFkAg
Einrichtung von KeePassXC
Neuerstellung einer Passwortdatei und Ablage im Sciebo-Ordner
An dieser Stelle wird vorausgesetzt, dass Sciebo bereits auf dem PC/Mac eingerichtet ist. (Falls dies nicht der Fall ist, könnte, allerdings nur eingeschränkt empfehlenswert, die Passwortdatei bei einem anderen Cloudanbieter gelagert oder mittels USB-Stick transportiert werden.)
Beim ersten Start fragt KeePassXC, ob eine neue Datenbank angelegt werden soll. Dies können wir mit einem Klick auf Neue Datenbank erstellen bestätigen
Klicken Sie sich durch das Menü, bis Sie im Fenster Datenbank-Anmeldedaten aufgefordert werden ein Master-Passwort festzulegen. Geben Sie hier zwei Mal ein einzigartiges und sehr starkes Passwort ein. Hinweise zum Erstellen von Passwörtern finden Sie hier: Ein sicheres Passwort setzen / Create a strong password
An dieser Stelle ist es möglich, die Sicherheit der Passwortdatenbank weiter zu erhöhen, indem man sich neben dem Master-Passwort zusätzlich mit einem Zertifikat oder einen Hardware-Token authentifiziert, um die Passwortdatenbank zu öffnen. Dies ist insbesondere dann relevant, wenn Sie in der Passwortdatenbank sowohl Zugangsdaten als auch beispielsweise TOTP-Verfahren für MFA speichern wollen (siehe unten).
Im vorliegenden Fall legen wir die Passwortdatei im Sciebo-Ordner (dort in unserem Unterordner KeePass) ab, um sie PC-übergreifend nutzen zu können.
Hinweis: falls Sie für sich persönlich noch keine Backupstrategie entwickelt haben, so erzeugen Sie zumindest gelegentlich eine Sicherungskopie Ihrer Passwortdatenbank, beispielsweise wöchentlich oder nach (größeren) Änderungen, Beispiel:
|
Feintuning von KeePassXC für größeren Komfort
In den Einstellungen von KeePassXC (im Hauptfenster unter Werkzeuge → Einstellungen) können recht viele Einstellungen vorgenommen werden, die den alltäglichen Komfort bei der Nutzung von KeePassXC verbessern. Das zusätzliche Aktivieren der unten genannten Optionen hat sich bewährt.
KeePassXC-Feintuning unter Windows
Im Menü Einstellungen ...
... ist das Aktivieren folgender, zusätzlicher Einstellungen empfehlenswert:
Programmstart
Dateiverwaltung
Benutzeroberfläche
Browserintegration
|
|
KeePassXC-Symbol in der Statusleiste (links von der Uhr) immer anzeigen lassen:
Rechtsklick auf die Taskleiste unten
Runterscrollen, dann auf "Symbole für die Anzeige auf der Taskleiste auswählen" klicken:
Schalter neben KeePassXC einschalten:
Das Symbol für KeePassXC befindet sich dann neben der Uhr:
KeePassXC-Feintuning unter macOS
KeePassXC-Symbol im Dock behalten:
Im Menü Einstellungen ...
... ist das Aktivieren folgender, zusätzlicher Einstellungen empfehlenswert:
Programmstart
Dateiverwaltung
Benutzeroberfläche
Browserintegration
|
|
KeePassXC verwenden
Eintrag manuell erzeugen
Der zuverlässigere, jedoch etwas umständlichere Weg erfolgt über das Hauptfenster von KeePassXC. Klicken Sie dazu im KeePassXC-Hauptfenster oben links auf das Plus bzw. drücken Sie [Strg]+[N]. Geben Sie im Feld Titel einen für Sie verständlichen Titel und im Feld URL die Web-Adresse ein, auf der in Zukunft die Autotype-Funktion funktionieren soll. Die Felder Benutzername, Passwort und Notizen sind selbsterklärend.
Sollte (siehe vorheriger Abschnitt) die automatische Passwortspeicherung aus technischem Grund nicht erfolgt sein, so können Sie das eben kopierte komplexe Passwort in das Passwortfeld eintragen.
Eintrag manuell aufrufen
Im Hauptfenster können Sie einen Passworteintrag in der Passwortdatenbank anklicken und dann unter Windows mit [Strg]+[C] bzw. unter macOS mit [command]+[C] das Passwort und mit [Strg]+[B] bzw. [command]+[B] den Benutzernamen rauskopieren.
Sie können dann anschließend Benutzername und Passwort im Browser oder an anderer Stelle einfügen. Mit einem Klick auf das stilisierte Auge können Sie das Passwort einblenden lassen.
TOTP nutzen
Sicherheitshinweis Das Speichern von TOTP-Verfahren und Benutzeranmeldedaten in der gleichen KeePassXC-Datenbank birgt ein Sicherheitsrisiko. Ein Angreifer, der Zugang auf die Datenbank erlangt, erhält somit nicht nur potentiell Zugriff auf das Passwort (erster Faktor). sondern auch auf das Einmalpasswort/TOTP (zweiter Faktor), womit der Zugriff auf das Konto ermöglicht wird. Dies schwächt die Sicherheit des Mehr-Faktor-Authentifizierungsmechanismus. Storing TOTP procedures and user credentials in the same KeePassXC database is a security risk. An attacker who gains access to the database may not only gain access to the password (first factor), but also to the one-time password/TOTP (second factor) which allows access to the account. This weakens the security of the multi-factor authentication mechanism. In KeePassXC-Datenbanken können kurzzeitig gültige Einmal-Passwörter für die Multifaktorauthentifizierung (MFA) generiert werden. TOTP sind in der Regel sechsstellige Zahlen, die alle dreißig Sekunden neu berechnet werden. TOTP-Einträge können dafür an bestehende Passworteinträge angehängt oder in separate, leere Einträge eingefügt werden. KeePassXC databases can be used to generate temporary one-time passwords for multi-factor authentication (MFA). TOTPs are typically six-digit numbers that are recalculated every thirty seconds. TOTP entries can be appended to existing password entries or inserted into separate, empty entries. Bitte beachten Sie, dass es ein Zeitfenster von 5 Minuten gibt, um den TOTP auf der MFA Seite zu konfigurieren. Sie können die Seite aktualisieren, um das Zeitfenster zu verlängern. 1) Anmeldelink https://mfa.hhu.de/ folgen und anmelden 2) Unter "Kurzzeitig gültige Einmal-Passwörter" den Button "Schutz durch Einmal-Passwörter aktivieren" anklicken. Please note that there is a 5 minute window to configure TOTP on the MFA page. You can refresh the page to extend the window. Additionally, the MFA site is not currently translated into English. Check the references for guidance. 1) Follow the link and login at https://mfa.hhu.de/. 2) Under "Temporary one-time passwords" (in German "Kurzzeitig gültige Einmal-Passwörter"), click on the "Enable protection with one-time passwords" (in German "Schutz durch Einmal-Passwörter aktivieren") button. 3) Checkbox anklicken und Namen vergeben (wie HHU-KeePassXC) und auf "diesen Namen festlegen" klicken 3) Tick the checkbox and enter a name (e.g. HHU-KeePassXC) 4) Schlüssel mit Linksklick kopieren 4) Left click to copy the key 1a) TOTP für bestehenden Eintrag in KeepassXC einrichten: Bestehenden Eintrag mit der rechten Maustaste anklicken und dann "TOTP → TOTP einrichten..." auswählen und den bereits generierten Schlüssel von mfa.hhu.de bei "Geheimschlüssel" eingeben oder 1b) TOTP für neuen Eintrag in KeepassXC erstellen: oben auf den Reiter "Einträge → + neuen Eintrag..." anklicken und einen Titel für den Eintrag hinzufügen. Danach mit der rechten Maustaste anklicken und dann "TOTP → TOTP einrichten..." auswählen und den bereits generierten Schlüssel von mfa.hhu.de bei "Geheimschlüssel" eingeben 1a) Set up TOTP for existing entry in KeepassXC: Right-click on the existing entry and then select “TOTP → Set up TOTP...” and enter the already generated key from mfa.hhu.de under “Secret key”or or 1b) Create TOTP for new entry in KeepassXC: click on the “Entries → + new entry...” tab at the top and add a title for the entry. Then right-click and select “TOTP → Set up TOTP...” and enter the already generated key from mfa.hhu.de under “Secret key” 2) TOTP Code von KeePass durch Klick auf das Uhrensymbol kopieren, bei mfa.hhu.de einfügen und mit "Einmal-Passwort überprüfen" bestätigen. 3) Übersicht aller Faktoren enthält jetzt den neuen TOTP-Faktor 2) Copy the TOTP code from KeePass by clicking on the clock symbol, paste it into mfa.hhu.de and confirm with “Verify one-time password (in German "Einmal-Passwort überprüfen"). 3) Overview of all factors now includes the new TOTP factor 1) Nach der Einrichtung eines TOTP-Verfahrens kann das alle 30 Sekunden neu erzeugte TOTP per Klick auf das Uhr-Symbol oder beim auswählen des TOTP Eintrags per Tastenkombination [Strg]+[T] in die Zwischenablage kopiert werden. Per Tastenkombination [Strg]+[Shift]+[T] oder per Rechtsklick → TOTP → TOTP anzeigen kann das TOTP eingeblendet werden. 1) Once a TOTP method has been set up, the new TOTP generated every 30 seconds can be copied to the clipboard by clicking on the clock icon or by selecting the TOTP entry using the [Ctrl]+[T] key combination.TOTP-Verfahren für HHU-Konto einrichten / Set up TOTP procedure for HHU account
TOTP-Eintrag in KeePassXC eintragen / Enter TOTP entry in KeePassXC
Die eingestellte Uhrzeit muss auf dem Computer/Smartphone, auf dem das TOTP eingetragen und aufgerufen wird, sekundengenau stimmen, da sonst nicht das gerade gültige TOTP berechnet wird. Die Nutzung von TOTP auf Smartphones ist ebenfalls im Wiki beschrieben (Android) (iOS).
The time set on the computer/smartphone on where the TOTP is entered and accessed must be accurate to the second, otherwise the current valid TOTP will not be calculated. The use of TOTP on smartphones is also described in the wiki (Android) (iOS).
TOTP Verfahren nutzen / Use the TOTP method
Datenbank und Arbeitsplatz beim Verlassen sperren
Beim Verlassen des Arbeitsplatzes sollten Sie zumindest die Datenbank, besser noch den gesamten Arbeitsplatz immer sperren.
- Das Sperren der Datenbank erfolgt im KeePassXC-Hauptfenster unter Windows mittels [Strg]+[L] und unter macOS mittels [command]+[L].
- Der Arbeitsplatz lässt sich unter Windows mittels [Windows]+[L] und unter macOS mittels [control]+[command]+[Q] sperren.
KeePassXC-Browserintegration mit Autotype
Die Funktion "Autotype" ist eine Komfortfunktion, die es erlaubt, Benutzernamen und Passwörter automatisch im Browser einfügen zu lassen (ohne jedes Mal tippen zu müssen), wenn sie vorher richtig in KeePassXC eingetragen wurden. Dafür muss für jeden Browser, mit dem Autotype genutzt werden soll, jeweils das entsprechende Add-on installiert und jeweils eine KeePassXC-Verbindung eingerichtet werden. Im vorliegenden Fall wird die Einrichtung der Browserintegration anhand von Firefox gezeigt.
Browserintegration aktivieren
Öffnen Sie zunächst KeePassXC und entsperren Sie ggf. die Datenbank mit Ihrem Master-Passwort (und ggf. einem Zertifikat/Token). Damit KeePassXC im Browser funktioniert, muss die Datenbank auch bei der alltäglichen Verwendung entsperrt sein.
Klicken Sie im KeePassXC-Hauptfenster oben auf 1. das Zahnrad, dann links auf 2. Browser-Integration, dann oben auf 3. Browserintegration aktivieren und dann auf 4. Firefox, bestätigen Sie dann mit OK:
Öffnen Sie Firefox, klicken Sie oben rechts auf das Menü mit den drei Strichen ≡, dann auf Add-ons
Geben Sie im Suchfeld oben rechts KeePassXC ein:
Klicken Sie auf KeePassXC-Browser und installieren Sie das Add-on:
und dann
Klicken Sie in Firefox oben rechts auf das 1. neu erschienene KeePassXC-Symbol, dann auf 2. Neu Laden und dann auf 3. Einstellungen:
Klicken Sie in den Einstellungen des Browser Add-ons links auf 1. Verbundene Datenbanken und dann 2. auf Verbinden:
Geben Sie der Verbindung zwischen diesem einen Browser und der KeePass-Datenbank einen für Sie verständlichen Namen:
Dass die Verbindung zwischen Browser und entsperrter Datenbank funktioniert, erkennen Sie im Browser oben rechts am grünen KeePassXC-Symbol.
Sollte das Symbol grau sein und ein rotes Kreuzchen zeigen, dann bedeutet das in der Regel, dass die Datenbank gesperrt ist. In dem Fall entsperren Sie die Datenbank über das KeePassXC-Hauptfenster und klicken Sie anschließend (im Browserfenster) in der KeePassXC-Erweiterung auf Neu Laden:
KeePassXC mit Browser-Add-on verwenden
Im folgenden wird angenommen, dass Sie an dieser Stelle die Browserintegration von KeePassXC bereits eingerichtet haben und die Datenbank entsperrt ist. Neben dem oben beschriebenen Weg zur Eintragung von Zugangsdaten zur KeePassXC-Datenbank bietet die KeePassXC-Browsererweiterung Komfortfunktionen. Sollten diese auf einigen Websites versagen, so können Sie stets den oben beschriebenen Weg nutzen.
Eintrag mittels Browsererweiterung automatisch erzeugen
Bei entsperrter Datenbank können Sie sich auf einer Website wie gewohnt einloggen oder neu erzeugen. Füllen Sie Benutzername, Mailadresse und ggf. andere Pflichtfelder bis auf das Passwortfeld aus. Klicken Sie mit der rechten Maustaste ins Passwortfeld, dann auf KeePassXC und dann auf Passwortgenerator.
Das hier generierte Passwort ist einzigartig und sicher. 1. kopieren Sie das Passwort in die Zwischenablage (vgl. nächster Unterabschnitt) und 2. klicken Sie auf Passwort ausfüllen:
Bestätigen Sie dann die Registrierung auf der Website. Es erscheint dann am oberen Rand des Browsers ein Streifen ("Banner"), der die Speicherung der Zugangsdaten in die Passwortdatenbank über den Button Neu anbietet, den Sie für die Speicherung der neu erzeugten Zugangsdaten klicken müssen.
Im KeePassXC-Hauptfenster unter der Rubrik KeePassXC-Browser (mit Weltkugelsymbol) muss nun ein neuer Eintrag mit den neuen Zugangsdaten erscheinen.
Sollten die Zugangsdaten nicht gespeichert worden sein, so können Sie die Zugangsdaten noch wie oben beschrieben manuell ablegen:
Eintrag aufrufen
Bei entsperrter Datenbank erlaubt die Autotype-Funktion im Browser in der Regel das automatische Einfügen passender Zugangsdaten. KeePassXC erkennt in der Regel auf Websites die Felder, in denen Benutzername bzw. Mailadresse und Passwort eingegeben werden müssen und zeigt im Feld ein grünes Symbol.
Bei der erstmaligen Verwendung von KeePassXC auf einer Website muss die Autotype-Funktion für diese Website genehmigt werden:
Danach können die Zugangsdaten automatisch eingetragen werden, wobei ggf. ein Klick auf das grüne Symbol im Feld für Benutzername/Passwort erforderlich ist:
Sollte dies aus irgendeinem Grund nicht funktionieren oder sollten Sie die Browserintegration nicht eingeschaltet haben, so können Sie KeePassXC, wie oben beschrieben, auch manuell nutzen.
Mobilgeräte
Stand 2021 empfiehlt das Entwicklerteam von KeePassXC für Smartphones und Tablets folgende Apps:
- Für Android: KeePassDX und KeePass2Android
- Für iOS: Strongbox und KeePassium
Der Verfasser hat KeePassium erfolgreich im Einsatz mit Sciebo als Speicher für die Passwortdatenbank. Damit kann eine Passwortdatenbank auf mehreren Geräten genutzt werden.
Als Verbindungsmethode hat sich WebDAV bewährt. Unter iOS ist die Usability aufgrund der Integration in das Betriebssystem etwas schlechter als die von iCloud Keychain, aber auch für den täglichen Gebrauch ausreichend.
Support bei Rückfragen
Bei Fragen bezüglich der Verwendung von KeePassXC wenden Sie sich jederzeit an:
- helpdesk@hhu.de bzw. +49 211 81 10111
- it-support-zuv@hhu.de
2 Kommentare
Dorniak, Alexander sagt:
Jan. 30, 2026Vielen Dank für die detaillierte Anleitung, ganz am Anfang kann man noch erwähnen, daß keepass selber beim Download (win) auf das Zertifikat von droidmpnkey apps hinweist:
LG.
Dorniak, Alexander sagt:
Jan. 30, 2026Der Link "Anleitung der TU Braunschweig: https://doku.rz.tu-bs.de/doku.php?id=software:keepassxc", oben rechts im grauen Kasten schlug bei mir fehl,
alternativ evtl. diese Seite:https://www.uni-giessen.de/de/fbz/svc/hrz/svc/sicherheit/user/anleitung-passwort-manager-keepassxc-1