Bitwarden: Passwortmanager erlaubt jetzt auch Entsperrung mit Windows Hello

[DrWindows]

Wenn es um die Wahl eines guten Passwortmanagers geht, dürfte besonders Bitwarden für die Microsoft-Community eine durchaus attraktive Wahl sein. Das Projekt wird nicht nur als freie Software vollständig unter den Bedingungen der GPLv3 auf GitHub entwickelt, sondern bietet auch...

Klicke hier, um den Artikel zu lesen

 

[Lextor]

Moin, Was ich mich schon immer gefragt habe bei diesen Managern(egal jetzt welcher)...ich habe für jeden Dienst ein anderes Passwort >8 Stellen und alle Gruppen vertreten aus den möglichen 94 Zeichen. Jedes Passwort ist mit Stift in meinem Buch aus Papier aufgeschrieben, mit Bleistift, damit man beim regelmäßigen ändern ausradieren kann...ist dieses Buch nicht das Heiligtum, was nicht mit einer Software überlistet werden kann? Im Gegensatz zu einem Manager? Bin gerne bereit mich belehren zu lassen...Vielen Dank!

 

[tias4]

Warum hast du KeePass den Rücken gekehrt? Was unterscheidet die Passwort Manager so stark voneinander? Ich nutze KeePass auf den verschiedensten Geräten und bin glücklich.

 

[Simulato]

Ich habe KeePass ausprobiert und anschliessend bitwarden.
Ich bin da völlig auf der Seite von Kevin und sehr zufrieden. Es ist nicht nur sehr einfach zu bedienen, sondern funktioniert extrem gut. Auch ich kann das Programm jedem empfehlen.

Lextor, ich bewundere dich mit dem Buch, das du immer schön von Hand nachführst, insbesondere mit Passwörtern von über 8 Stellen. Allerdings ist dies extrem aufwendig und so für die meisten nicht zu gebrauchen. Normalerweise will man sich schnell und einfach einloggen ohne zuerst im Buch nach dem richtigen Passwort zu suchen und dann noch selber eintippen.
Deshalb sind solche Softwares erfunden worden.

 

[Kevin Kozuszek]

Warum hast du KeePass den Rücken gekehrt? Was unterscheidet die Passwort Manager so stark voneinander?

KeePass ist kein schlechter Passwortmanager, aber für mich ist gerade KeePass 2 mit seinem Konzept irgendwann einfach aus der Zeit gefallen. Wer das Original von Dominik Reichl kennt, der weiß auch, dass er sehr stark auf eine Plugin-Infrastruktur setzt, um die Funktionalität der Software zu erweitern. Genau das mag ich nicht. Mit Plugins ist das in gewisser Weise wie mit Addons in Webbrowsern: Jedes einzelne davon kann ein neues Einfallstor für Malware sein und du hast wie bei vielen FOSS-Projekten das Problem, dass die Entwicklung solcher Erweiterungen mitmal einschlafen kann. Das wollte ich nicht, deswegen habe ich auch ganz allgemein angefangen, die Zahl zusätzlicher Plugins/Erweiterungen zu begrenzen.

Ich bin dann eine Zeit lang bei KeePassXC gewesen, weil die deutliche Modernisierungen vorgenommen haben, ohne die Grundidee von KeePass in Frage zu stellen. Letztlich ging es aber auch irgendwann darum, dass ich alles auf plattformübergreifende Verfügbarkeit ausrichten wollte. Das geht mit KeePass auch, aber du hast gleichzeitig immer das Problem, dass alle Clients für .kdbx-Datenbanken immer Unterschiede aufweisen und es zumindest zu Inkompatibilitäten kommen kann. Das wollte ich vermeiden.

Ich hatte mir dann unterschiedliche Vertreter angeschaut, wohlwissend, dass sowas wie LastPass oder Dashlane nicht in Frage kommt. Buttercup, ein anderer FOSS-Passwortmanager, hatte einige Mängel, und Firefox Lockwise von Mozilla ist und bleibt auf den Firefox Browser am Desktop begrenzt, andere will Mozilla da auch nicht unterstützen. Nachdem ich alle Konkurrenten wie z.B. auch 1Password etc. abgewogen habe, blieben mit Enpass und Bitwarden zwei Kandidaten übrig, und von den beiden hat Bitwarden das für mich klar bessere Gesamtpaket.

 

[IntreppIT]

Dürfte ich Fragen wieso LastPass rausgefallen ist?

 

[Kevin Kozuszek]

@IntreppIT
Weil LastPass in der jüngeren Vergangenheit relativ oft mit Sicherheitsproblemen zu kämpfen hatte und unter anderem mal elementare Fehler bei der 2FA-Implementierung vorweisen konnte. Abgesehen davon war mir auch wichtig, dass ich zusätzlich zu den Browser-Addons einen echten Desktop-Client bekomme. LastPass hat zwar eine App, die aus der Zeit von Windows 8 irgendwie rüber gerettet wurde, aber ich war von der Aufmachung her nie wirklich ein Freund davon. Enpass und Bitwarden gefielen mir da immer deutlich besser.

Bevor gefragt wird...
Firefox Lockwise hat natürlich auch keinen Desktop-Client für den Passwortmanager, sondern ist direkt in Firefox integriert. Der Punkt war hier aber, dass ich Mozilla sehr viel Vertrauen entgegen bringe und hier deswegen großzügiger war. Aber wie gesagt, Lockwise ist und bleibt auf Firefox beschränkt, Mozilla will keine anderen Browser unterstützen. Damit war er für mich dann auch relativ schnell uninteressant.

 

[IntreppIT]

Alles klar, danke dir für die Infos. Das mit den Sicherheitsproblemen wusste ich nicht, danke dafür. Was bringt dir der Desktop Client? Die LastPass Browser Extension funktioniert komplett offline und fungiert indem Sinne als App. Habe sie mir entsprechend eingerichtet mit z.B. einem Shortcut aus einem Chromiumbrowser heraus.
Firefox Lockwise kommt für mich vor allem deshalb nicht in Frage, da es eigentlich nur die Auflistung der Browserpasswörter ist die ich nicht gruppieren oder gar einen Titel geben kann. Somit ist er mir viel zu rudimentär. Leider.

 

[tk69]

Wieso wird sowas nicht systemweit angeboten? Das ist doch eine essentielle Funktion...

 

[Kevin Kozuszek]

Was bringt dir der Desktop Client? Die LastPass Browser Extension funktioniert komplett offline und fungiert indem Sinne als App. Habe sie mir entsprechend eingerichtet mit z.B. einem Shortcut aus einem Chromiumbrowser heraus.

Für mich hat das auch viel mit Gewohnheit zu tun, dass ich gerne noch eine richtige Integration in Windows habe, und sei es nur über eine Progressive Web App. Bitwarden bietet halt einen Desktop-Client an, aber wirklich Unterschiede zur Web Vault gibt es nicht. Ich kann im Browser genauso mit Bitwarden arbeiten wie mit der Desktop-Version.

Am Ende ist es auch so, dass Bitwarden gegenüber KeePass ein riesiger Fortschritt ist. Man kann auch mit KeePass mit einiger Mehrarbeit ein plattformübergreifendes Setup aufbauen, aber die Apps auf den mobilen Plattformen und - in meinem Fall - zuletzt KeePassXC stammen alle von unterschiedlichen Entwicklern, die keinen gemeinsamen Nenner haben und komplett eigenständig entwickeln. Das schreit förmlich nach möglichen Inkompatibilitäten und die wollte ich mir gerne ersparen, weil ich auch keine Lust auf irgendwelches Frickelwerk in der Hinsicht hatte.

Die Vorteile von Bitwarden sprechen für sich. Er funktioniert zuverlässig, er ist sogar freie Software, die Daten liegen beim normalen Sync bei Microsoft Azure, und selbst wenn Bitwarden in der klassischen Konstellation irgendwas machen würde, was mir nicht gefällt, müsste ich nicht zwangsläufig das Rad neu erfinden. Ich könnte jederzeit eine selbstgehostete Lösung aufziehen, die gleichen Anwendungen weiter verwenden und das grundlegende Setup bliebe trotzdem gleich. Das sind so die wichtigsten Vorteile, weswegen sich Bitwarden einfach durchgesetzt hat. Zur Not hätte ich ja zum Beispiel immer noch Enpass in der Hinterhand.

 

[vampire1984]

Also ich nutze auch bitwarden. Vorher war ich auch bei keepass, aber ich habe ebenso etwas übergreifendes, einheitliches, gesucht. Das Programm ist simpel aufgebaut und macht seinen Job.
Was mir ein wenig Unbehagen bereitet ist die Speicherung in der cloud. In wiefern ist denn da die Speicherung in Microsoft Azure ein Vorteil? Grad in Bezug der Datensicherheit?

 

[mh0001]

Machen die es denn auch richtig, d.h. mit permanentem Windows Hello auch nach einem Neustart des PCs/des Managers?
Enpass z.B. hat es ja leider bis heute nicht hinbekommen, den angekündigten vollständigen Hello-Support zu liefern, sodass man dort nach jedem Neustart erst mindestens einmal das Masterpasswort eingeben muss und nur alle darauffolgenden Entsperrungen mittels Hello möglich sind.
Enpass möchte dabei eine Lösung implementieren, bei der das Masterpasswort mithilfe eines TPM-Keys stark verschlüsselt hinterlegt wird. Man sieht dabei Systeme ohne TPM als zu unsicher an um das Masterpasswort permanent vorzuhalten, weil dabei angeblich nicht sicher gestellt ist, dass jemand selbiges nicht im Klartext auslesen kann.
Angeblich ist es ist aber nicht so trivial, das wirklich sicher zu implementieren. Ich habe bislang auch keinen anderen Manager gefunden, der nicht dieselbe Einschränkung hinsichtlich Neustarts hat.

 

[ag_82]

Hmm also mein keepass funktioniert ohne Probleme oder Inkompatibilität zwischen Desktop, iPad, Surface, iPhone, Android und das per Cloud Ablage der kdbx


Bei Bitwarden geht nur Azure als Service und eigen gehostet mit kompletter Software oder? Oder geht auch einfach das file sicher ablegen und Sync der Apps auf die Datenbank, wie bei keepass?

 

[SkyOpti]

Nutze Bitwarden auf einer eigenen Nextcloud-Instanz und bin sehr zufrieden.
Esxi-Nextcloud-Bitwarden auf einem HP Microserver Gen8 im Keller.
Mit 2FA abgesichert erzeugt das ein gutes und sicheres Gefühl, meine Passwörter im eigenen Keller zu haben.

 

[kukn]

dann muss ich es noch mal testen. wegen des fehlenden 'Hello' bei Bitwarden, bin ich doch bei Keepass geblieben...

 

[dtp]

Der Thread ist zwar schon ein bisschen älter, aber auch ich bin mittlerweile bei Bitwarden gelandet. Habe mir dazu auf meiner Synology DiskStation einen Docker-Container für Vaultwarden eingerichtet und nutze den als Server. Läuft bisher alles sehr rund. Nur die Portierung meiner alten Daten aus iPIN 2 war etwas aufwändiger. Dazu musst ich die Daten erst in eine CSV-Datei schreiben und dann manuell für Bitwarden umeditieren. Hat mich für meine insgesamt knapp 200 Einträge ca. 2 Stunden gekostet. Aber dann ließ sich alles gut in Bitwarden importieren.

Ich nutze Bitwarden auf meinem iPhone und auf meinem Surface Pro 8 unter Windows 11 (sowohl als App als auch als Plugin für Firefox). Schade, dass es keine Client App für watchOS gibt.