Sichere Kennwort-Übermittlung

Man hört und liest es immer wieder, dass man keine Kennwörter übermitteln oder weitergeben soll. Dies ist auch richtig so – aber in der Praxis funktioniert dies leider nicht immer. Manchmal muss ein Informatik-Dienstleister Arbeiten an deinem Computer oder in der Server-Umgebung ausführen. Oder du erstellst einen Benutzer-Account / Online Account für jemand anderen und musst ihm seine neuen Zugangsdaten übermitteln.

Wie immer, wenn es um das Thema Datensicherheit geht, gibt es zwar zahlreiche Varianten, die zwar sehr sicher, aber dafür unpraktisch und mühsam sind. Somit werden diese Varianten meistens gar nicht erst genutzt. Daher möchte ich euch ein paar Möglichkeiten aufzeigen und erklären, wie man diese nutzen kann. Ausserdem stelle ich im nachfolgenden Beitrag auch ein paar Varianten vor, die du auf gar keinem Fall nutzen solltest.

Verschiedene Arten von Kennwörtern

Natürlich gibt es verschiedene Arten von Kennwörtern, die man von der Sicherheitsstufe unterschiedlich handhaben kann. So ist z.B. ein Microsoft 365- oder Mail-Zugang eines jener Kennwörter, die man ganz sicher behandeln soll. Genauso wie auch die Bankzugänge, Administratoren-Kennwörter oder der eigene Computer-Login.

Andere wiederum werden lediglich benötigt, um zum Beispiel einen Online-Account zu nutzen, in welchem die Liefer- & Rechnungsadresse sowie die Bestell-Historie hinterlegt sind und somit ein geringeres Risiko darstellen, wenn diese gehackt würden. Entsprechend der jeweiligen Sicherheitsstufe sollte somit immer darauf geachtet werden, dass diese nicht nur sicher verwahrt sind, sondern auch im Falle einer Weitergabe / Übermittlung mit der nötigen Vorsicht gehandhabt werden.

Unsichere Übermittlungsarten von Kennwörtern

Bitte die nachfolgenden Varianten wann immer möglich nicht nutzen!

Unsichere Übermittlungsarten von Passwörtern – bitte nicht nutzen

Versand des Benutzernamens und Kennwort sowie gleich auch noch den Link zum Login-Bereich oder die Erwähnung des Systems / der Webseite zusammen in einem Mail.
=> Dies ist unsicher, da deine Mails abgefangen und mitgelesen werden können.

Versand des Benutzernamens und Kennwort sowie gleich auch noch den Link zum Login-Bereich oder die Erwähnung des Systems / der Webseite zusammen in einem Brief / Umschlag.
=> Dies ist unsicher, da Briefe verloren gehen oder abgefangen werden können.

Versand von allgemein sensiblen Daten via öffentliche (public) WLAN-Netze (Hotel, Café, Postauto, SBB, usw.).
=> Hier weiss man nie, wer dahintersteckt, wer mithört oder wie die Daten abgefangen und ausgewertet werden.

Übermitteln sämtlicher Informationen (also Benutzername, Kennwort, betroffener Dienst) per Telefon.
=> Du weisst nie, wer hinter dir mithört.

Anzeigen / Übermitteln von Kennwörtern z.B. via Notebook im öffentlichen Raum (ÖV, Restaurant, Park, usw.).
=> Man weiss nie, wer sonst noch in den Bildschirm schaut.

Sichere Übermittlungsarten von Kennwörtern

Verschlüsselte Mails – Die Königsvariante

Die beste und praktischste Variante ist natürlich das Versenden von sensiblen Informationen per verschlüsselte E-Mails. Hier bietet Microsoft mit dem Microsoft 365-Maildienst eine elegante und sichere Variante an. Dazu brauchst du z.B. die Microsoft Business Premium Lizenz. Auch das Entschlüsseln funktioniert problemlos – selbst wenn dein Gegenüber kein M365-Mail-Account hat, sondern eine Bluewin-Adresse, Google-Mail, etc.

Bei dieser Variante muss kein separates Kennwort zum Entschlüsseln über einen separaten Kanal übergeben werden, sondern die Verschlüsselung läuft unmittelbar im Hintergrunddienst automatisch ab.

Übermitteln per Teamviewer – sicher, aber nicht für jeden machbar

Teamviewer ist eine Fernwartungssoftware, welche hauptsächlich im professionellen IT-Bereich eingesetzt wird, um in der Ferne Remote Support leisten zu können. So kann zum Beispiel ein Passwort, welches für eine andere Person eröffnet wurde, via Teamviewer direkt auf dessen lokalem PC eingetippt werden.

Die Teamviewer Software kann ausserdem auch sehr gut dazu verwendet werden, um eine Text- oder Bilddatei, wie zum Beispiel von einem PrintScreen von einem Computer auf einen anderen zu übertragen oder per Chat-Funktion das Kennwort an den User auf der anderen Seite zu übermitteln. Die Teamviewer-Verbindung ist eine verschlüsselte Direktverbindung und somit zu jeder Zeit sicher.

Kennwort-geschütztes ZIP – sicher, aber umständlich

Um eine Datei als Verschlüsseltes Objekt zu versenden, kann man z.B. auch eine ZIP-Datei erstellen. Mit der Windows-integrieren ZIP-Funktion geht die Verschlüsselung leider nicht – es gibt aber auch Gratis-Programme wie zum Beispiel 7-Zip.

Natürlich darf man das Kennwort für die ZIP-Datei dann nicht im selben Mail senden, sondern man sollte mit einem 2. Übermittlungs-Kanal arbeiten. Dazu aber später mehr.

Aufgetrennte Mails – praktisch, aber nur halbwegs sicher

Eine nicht so sichere Variante ist das Versenden des Benutzernamens in einem normalen Mail – ohne Kennwort. Einige Zeit später sendet man das Kennwort ohne Kommentar separat hinterher. Natürlich muss der Empfänger über das Vorgehen informiert sein. Sonst weiss er nicht, was er damit anfangen soll. Jedoch ist das zeitversetzte Senden der beiden Mails über dieselbe Absender-Adresse nicht wirklich sicher. Denn wenn das Postfach kompromittiert ist, kommt der Angreifer relativ leicht an beide E-Mails und somit ebenfalls an alle benötigten Infos.

Um die vorgehende Variante noch sicherer zu machen, kann man ganz einfach mit zwei unterschiedlichen Absender-Adressen arbeiten. Das heisst, dass man z.B. in einem ersten E-Mail den Benutzernamen von seiner persönlichen E-Mail Adresse aus an den Empfänger sendet. Das zweite E-Mail mit dem zugehörigen Passwort wird dann aber von einer allgemeinen Geschäftsadresse (z.B. Info@absender.ch) aus versandt.

Noch sicherer wird dieses Vorgehen, wenn man gleichzeitig mit der variierenden Absender-Adresse auch noch die Empfänger-Adresse abwechselt. Sprich das erste Mail geht an die direkte User-Adresse des Empfängers und das zweite E-Mail wird an eine allgemeine Empfänger-Adresse geschickt wie eben zum Beispiel an den Info@empfaenger.ch Account. Natürlich muss der Empfänger bei dieser Variante Zugriff auf das Allgemeine Postfach-Konto haben. Dadurch ist die Wahrscheinlichkeit extrem klein, dass die Infos in falsche Hände geraten.

Verschlüsselter OTP-Link – praktisch und sicher

OTP bedeutet ausgeschrieben «One Time Password» und steht für das einmalige Versenden von Nachrichten. Solche Dienste gibt es von verschiedenen Anbietern im Internet. Das Prinzip funktioniert folgendermassen: Man öffnet die Webseite des entsprechenden Anbieters. Dort hat man ein Textfeld, in dem man z.B. das Kennwort (oder sonst eine geheime Information) als Klartext eingibt. Anschliessend kann man über einen Button einen Link erstellen lassen, welchen man rauskopiert und via E-Mail oder sonstiges Message-Tool an den Empfänger sendet. Ich empfehle bei diesem Vorgang aber nach wie vor, die Infos des Benutzernamens in einem separaten Mail zu senden, sprich nicht zusammen mit dem OTP-Link.

Die Verbindung zu diesem OneTime-Link-Anbieter sowie der Inhalt der geheimen Nachricht sind verschlüsselt. Zudem ist der Link nur ein einziges Mal abrufbar.

Wenn also der Empfänger den Link zum allerersten Mal öffnet und eine Meldung erscheinen würde, dass dieser Link nicht mehr gültig ist, weiss man, dass zwingend das vorhin übermittelte Kennwort zurückgesetzt und nochmals per OneTime Link versendet werden muss. Nur so kann sichergestellt werden, dass niemand den Link vorher abgefangen und die geheime Botschaft nutzen kann.

Diese Variante ist einer der praktischsten und sicherersten. Man muss einfach in den jeweiligen Dienst-Anbieter der OPT-Plattform Vertrauen haben. Zudem sollte dieser in der Schweiz angesiedelt sein, weil jedes Land seine eigenen Regularien in Bezug auf die Datensicherheit hat.

Auch die Firma Turnkey Services AG bietet als IT-Dienstleister deines Vertrauens einen eigenen OPT-Dienst an, welchen du auch privat oder in deinem Büro jederzeit kostenlos nutzen darfst. Den Service sowie die dazugehörigen Informationen im Umgang mit dem Tool findest Du unter folgendem Link: https://otp.turnkey.ch/

Der Trick mit den verschiedenen Kanälen

So kann z.B. der User-Name via E-Mail und das dazugehörige Kennwort als zweite Kanal-Variante per Telefon übermittelt werden. Wichtig ist, dass du am Telefon nicht offen mitteilst, dass es sich hierbei um das Kennwort für den Benutzer «XY» handelt, da jemand im Hintergrund mithören könnte und somit das Zwei-Kanal-System wieder hinfällig wird.

Weitere Varianten sind z.B. den oben beschriebenen OneTime-Link in einem separaten, neutralen Mail und dann ein zweites Mail mit dem Login-Namen zu versenden.

Zudem ist es eine Option als Zweit-Kanal eine der beiden Informationen via Smartphone über einen SMS-Dienst zu senden (WhatsApp empfehle ich hierfür jedoch eher weniger, da diese Daten auf Servern in den USA landen.)

Der Versand via Brief funktioniert natürlich als zweite Kanal-Wahl ebenfalls – ist aber langsam.

Nutzung Multifaktor-Authentifizierung

Dies hat zwar nicht direkt mit der Kennwort-Übermittlung zu tun, ist aber trotzdem ein nützlicher Zusatz-Hinweis für sichere Kennwörter. Denn nutzt man zusätzlich zum Passwort noch eine MFA-Funktion – so ist ein geleaktes Kennwort zwar nach wie vor schlecht, jedoch kein Weltuntergang mehr. Viele Dienste haben die Möglichkeit, MFA einzurichten. Gerne beraten wir dich von der Turnkey dazu und vielem mehr.

Gerne möchte ich euch zum Schluss noch auf weitere Blog-Einträge im Bereich IT-Sicherheit / Kennwörter usw. hinweisen:

Browser Lesezeichen & Kennwörter: https://www.turnkey.ch/browser-daten/
Passwort Manager: https://www.turnkey.ch/passwort-manager/
Wiederherstellung MFA-geschützte Logins: https://www.turnkey.ch/mfa/

Ich hoffe, dass ich euch zu dem Thema einen hilfreichen Input mit auf den Weg geben konnte.