Passwörter gelten als begehrtes Handelsgut. Enpass schützt und synchronisiert sie über viele Plattformen.

Passwörter sind ein begehrtes Gut für den Handel auf dem Schwarzmarkt. Kaum ein Tag vergeht ohne Nachricht über einen Diebstahl von oft Millionen Passwörtern und anderen persönlichen Daten. Neben Kriminellen, die die Datensätze gewinnbringend verkaufen, interessieren sich auch Geheimdienste rund um den Globus für die Datensätze. Viele Anwender arbeiten den Dieben dabei sogar in die Hände, mit zu einfachen Passwörtern oder dem mehrfachen Einsatz des gleichen Passworts für mehrere Dienste.

Wer viele verschiedene Passwörter täglich im Einsatz hat, kommt dabei selten um einen Passwortmanager herum. Dieser funktioniert nach Möglichkeit so, dass die automatisierte Eingabe von Passwörtern den Fluss der Arbeit nicht weiter stört (Abbildung 1). Dazu ist es notwendig, dass sowohl Tastatur als auch Maus die Eingabe anstoßen. Enpass [1] gehört zu dieser Art Software und bietet einige smarte Funktionen, die Sie zumindest unter Linux bei der Konkurrenz nicht finden.

Abbildung 1: Die Oberfläche von Enpass erlaubt eine nahtlose Integration in die täglichen Abläufe.

Allerdings handelt es sich bei dem Programm nicht um freie Software, das indische Unternehmen Sinew Software Systems stellt Enpass lediglich kostenfrei bereit. Dieser Tatsache gebührt naturgemäß bei Passwortmanagern mehr Beachtung als bei einem Musikplayer. Das wissen die Entwickler und gehen deshalb auf ihrer Webseite ausführlich auf die Sicherheit ein [2]. Der Quellcode der Software ist nicht öffentlich – es läuft also darauf hinaus, den Entwicklern zu vertrauen.

Sicherheit ernst genommen

Passwörter und sonstige Daten wie etwa Login-Infos und Daten von Kreditkarten verschlüsselt die Software mit dem AES-Algorithmus und einer Schlüssellänge von 256 Bit über das Open-Source-Tool SQLCipher [3]. Den Schlüssel, mit dem das Tool die Passwörter in der Datenbank sichert, generiert es aus Ihrem Master-Passwort, dass Sie niemandem zugänglich machen dürfen (Abbildung 2).

Abbildung 2: Nur das Master-Passwort öffnet den Safe, in dem sich die gesamten Passwörter und Zugangsdaten befinden.

Die Daten verbleiben konsequent auf dem lokalen Rechner – es sei denn, Sie synchronisieren sie über die Cloud mit anderen Geräten. Selbst dann haben die Daten keinerlei Kontakt mit Servern des Unternehmens und bleiben verschlüsselt. Ein Anmelden auf der Webseite entfällt. Es ist also nicht möglich, dass Daten von Anwendern in falsche Hände fallen, wie bei einem Angriff auf die Server von LastPass im Sommer 2015 [4].

Das Programm steht für Linux als DEB und RPM (Abbildung 3), für Mac OS X ab 10.7.5 sowie Windows ab XP SP3 bis Windows 10 bereit (Abbildung 4). Bei den mobilen Plattformen unterstützen die Entwickler Android ab Version 4.0, iOS, Windows Phone sowie Blackberry. Es besteht die Möglichkeit, über verschiedene Cloud-Angebote inklusive Owncloud die Daten auf verschiedenen Geräten zu synchronisieren.

Abbildung 3: Das Programm gibt statistische Informationen zu den Diensten an, für die es Passwörter oder sonstige Informationen gespeichert hat.

Abbildung 4: Unter Windows 10 bietet die Software die gleiche Oberfläche wie unter Linux, sodass der Wechsel kaum Probleme bereitet.

Dank der breiten Unterstützung darf dabei der PC Linux fahren und das Notebook Mac OS X, während das Tablet Android nutzt und man per Windows Phone telefoniert. Das Programm erlaubt dabei den Import der Datenbanken von rund 30 anderen Passwortmanagern. Dazu zählen das unter Linux viel verwendete KeePassX sowie 1Password, Keeper, Onesafe, Password Gorilla, Roboform, Sticky Password und viele andere mehr (Abbildung 5). Zudem versteht sich die Software auf den generischen Import einer Datenbank via CSV-Datei.

Abbildung 5: Enpass importiert auf Wunsch die Daten von rund 30 anderen Passwortmanagern.

Duales System

Das Programm arbeitet auf dem Desktop mit einem dualen System: Ein Browser-Plugin ergänzt die eigentliche Applikation, das für Firefox, Google Chrome, Opera und Safari bereitsteht. Dabei läuft die eigentliche Software ständig im Hintergrund. Das Plugin, das mit einem Icon rechts oben in der Adressleiste des Browsers sitzt, starten Sie mit einem Klick oder einem Tastenkürzel, sobald Sie sich in einer Maske zum Anmelden befinden.

Nach der Eingabe von zwei oder drei Buchstaben in die sich öffnende Eingabezeile findet das Plugin in der Regel den zugehörigen Dienst (Abbildung 6). Ein Doppelklick auf den Eintrag überträgt die notwendigen Daten in die Eingabemaske und öffnet den entsprechenden Dienst. So brauchen Sie nicht immer die Anwendung als solche zu öffnen.

Abbildung 6: Die Browser-Plugins erleichtern den Einsatz der Software in Kombination mit Online-Diensten.

Enpass selbst bekommen Sie hauptsächlich bei zwei Gelegenheiten zu Gesicht: bei der anfänglichen Konfiguration sowie beim Anlegen neuer Passwörter. Wollen Sie sich im Browser bei einem neuen Dienst anmelden, bei dem Sie noch kein Konto haben, startet die Applikation und bietet die Übernahme der Daten in die Datenbank an.

Das Installieren und Einrichten von Enpass erledigen Sie in der Regel in einer halben Stunde. Am Anfang steht das Herunterladen der Software von der Webseite [5]. Anwender DEB-basierter Distributionen haben die Möglichkeit, die Liste der Quellen um einen Eintrag zu erweitern [6] und die Software über das Paketmanagement zu installieren. Neue Versionen gelangen in diesem Fall künftig über die Upgrade-Funktion der Distribution ins System. Nutzer RPM-basierter Distributionen wickeln die Installation über einen Installer ab.

Import einer Datenbank

Nach dem Start des Programms und einem ersten Rundgang durch die im Menü angebotenen Optionen samt Definition des Master-Passworts bietet sich als erste Amtshandlung an, die bestehende Datenbank einer anderen Applikation oder eine CSV-Datei zu importieren.

Dazu wählen Sie Datei | Importieren aus und klicken, so vorhanden, im ersten Schritt auf Ihren bisherigen Passwortmanager. Im zweiten Schritt wählen Sie die entsprechende Datei mit der Datenbank auf der Festplatte aus, um diese im nächsten Schritt zu importieren. Sollte der Import nicht funktionieren, speichern Sie die Datenbank des bisherigen Managers als CSV-Datei und importieren diese. Kontrollieren Sie nach dem Import die Einträge unbedingt: Beim CSV-Import verrutscht leicht ein Eintrag.

Danach ist ein Besuch in Werkzeuge | Einstellungen angesagt: Hier wenden Sie sich zunächst dem Reiter Browser zu und klicken auf Browsererweiterungen installieren. Dort installieren Sie das Plugin in den oder die Browser der Wahl. Damit das Plugin funktioniert, wählen Sie die Checkbox bei Browsererweiterungen aktivieren an. Das Überprüfen der Browser funktioniert unter Linux nicht; Enpass quittiert den Versuch mit einer entsprechenden Nachricht.

Die beiden Optionen darunter sollten Sie anwählen: Sie erhöhen den Komfort, ohne die Sicherheit zu gefährden. Im gleichen Bereich definieren Sie eine Tastenkombination, um per Tastatur das Plugin zu öffnen (Abbildung 7). Die weiteren Optionen in den einzelnen Reitern fallen selbsterklärend aus.

Abbildung 7: Das Browser-Plugin in Chrome unter Windows 10 bietet dieselben Funktionen wie auf anderen Plattformen mit anderen Browsern.

Die Synchronisation verdient etwas mehr Aufmerksamkeit: Das Programm erlaubt es, Geräte wie Desktop-PCs, Notebooks und mobile Geräte unter verschiedenen Betriebssystemen abzugleichen. Zunächst installieren Sie dazu das Programm auf den entsprechenden Geräten. Die Apps für mobile Geräte finden Sie für Android in Google Play [7], für iOS im iTunes-Shop [8] sowie für Windows Phone und Blackberry in den jeweiligen Shops.

Als Optionen für die Synchronisation bietet Enpass die Dienste Dropbox, Google Drive, OneDrive, Box, iCloud, Owncloud oder eine lokale Datei an. Dabei benötigen Sie kaum Vorkenntnisse, solange Sie den vorgegebenen Schritten folgen. Lediglich bei Owncloud hilft das Wissen, dass hier die Synchronisation über die HTTP-Erweiterung WebDAV [9] läuft.

Die im ersten Schritt abgefragte URL finden Sie, indem Sie bei Owncloud im Frontend links unten in der Leiste den Eintrag Settings wählen und die URL kopieren, die Sie unter WebDav finden. Diese fügen Sie bei Enpass ins URL-Feld ein. Danach verbindet sich der Passwortmanager mit Owncloud und führt eine erste Synchronisation durch.

Synchronisation

Wollen Sie eine Synchronisation mit mobilen Geräten vornehmen, fällt einmalig eine “lebenslang” geltende Gebühr von 9,90 Euro pro Software-Plattform an. Wenn Sie bereits einen Zugang haben, besteht die Möglichkeit, nach der Installation der kostenlosen App zunächst entweder ein Master-Passwort anzulegen oder nach Eingabe des vorhandenen Passworts die bisherige Datenbank über den PC oder eine SD-Karte auf den letzten Stand zu bringen.

Wollen Sie die Synchronisation weiterhin aktuell halten, fällt wiederum der genannte Betrag an. Um das Bedienen mit Android komfortabler zu gestalten, aktivieren Sie in den Einstellungen die Enpass-Tastatur sowie den entsprechenden Dienst. Das ermöglicht das automatische Eintragen von Passwörtern und Login-Informationen in Google Chrome sowie dem Enpass-Browser.

Voraussetzung ist hier mindestens Android 4.1. Sowohl unter Android als auch unter iOS besteht die Möglichkeit, die App über einen Fingerabdrucksensor zu öffnen, sodass das Eintippen des Master-Passworts bei solcherart ausgestatteten Geräten entfällt.

Saubere Oberfläche

Die Enpass-Oberfläche bietet in der linken Leiste bereits zehn Kategorien an, die das Programm jeweils nochmals unterteilt, wenn Sie in Datei | Neues Element einen neuen Eintrag anlegen. Was sonst nirgends hineinpasst, landet im Ordner Sonstiges; darüber hinaus dürfen Sie eigene Ordner anlegen.

Im unteren Teil der linken Leiste gibt es einige nützliche Funktionen, die sich eröffnen, sobald Sie auf Passwort kontrollieren klicken. Sie sehen hier auf einen Blick, ob Passwörter als schwach anzusehen oder mehrfach vergeben sind. Die Applikation zeigt außerdem das Alter der Passwörter, nach Monaten gestaffelt.

Neue Passwörter erstellen Sie im Menü unter Werkzeuge | Passwort generieren. Dabei gibt es die Option, statt des üblicherweise kryptischen Passworts ein lesbares Pendant zu generieren. In jedem Fall dürfen Sie die Länge des neuen Passworts vorgeben. Bleibt es bei kryptisch, so bestimmen Sie bei Bedarf außerdem die Anzahl von Großbuchstaben, Ziffern und Sonderzeichen und kopieren anschließend das Ergebnis in die Zwischenablage.

Sobald Sie neue Einträge anlegen, hier Elemente genannt, ändert sich je nach Kategorie in der Vorlage die Anzahl der angebotenen Felder zum Eintragen von Informationen (Abbildung 8). So bietet etwa das Eingabefeld für die Daten eines Servers Felder für DNS, CPU, Hoster und weitere, die bei einem Eintrag zu einem Bankkonto keinen Sinn machen.

Abbildung 8: Beim Anlegen eines neuen Eintrags haben Sie die Möglichkeit, die Kategorie zu wählen, sodass die Applikation entsprechende Eingabefelder anbietet.

Oft sind hier mehr Felder vorgegeben als Sie benötigen. Die Applikation erlaubt es nicht, diese zu löschen. Damit Sie aber trotzdem einen guten Überblick haben, ohne zu scrollen, ordnen Sie die einzelnen Felder neu an, indem Sie die gewünschten nach oben ziehen. Die Dokumentation, die Sie auf der Webseite unter der Rubrik Support finden, fällt recht ausführlich aus. Allerdings steht Sie nur in Englisch bereit (Abbildung 9).

Abbildung 9: Die Dokumentation zum Passwortmanager ist ausführlich, steht allerdings nur in Englisch bereit.

Fazit

Enpass versetzt Sie in die Lage, nur noch ein Passwort – das Master-Passwort – außerhalb des Managers zu verwalten. Sie sollten es allerdings gut sichern, denn wenn es verloren geht, gibt es keinen Weg, mit vertretbaren Mitteln wieder an die Passwörter zu kommen. Andererseits vermag auch kein Angreifer bei vertretbarem finanziellem und zeitlichem Aufwand mit der Datenbank etwas anzufangen. Das gilt hoffentlich für alle Anbieter am Markt. Pro und Kontra der am weitesten verbreiteten Passwortmanager lesen Sie im Internet in einem Vergleich nach [10].

Enpass verfügt bei vertretbaren einmaligen Kosten über eine intuitive Oberfläche. Angebote, die ähnlich gute Bedienbarkeit und eine Synchronisation bieten, verlangen monatliche Gebühren. Gänzlich kostenlose Angebote wie KeePassX fallen in beiden Disziplinen hinter Enpass zurück. Alle angebotenen Enpass-Versionen haben die Entwickler exakt auf die jeweiligen Plattformen zugeschnitten.

Der größte Vorteil liegt sicher in der Synchronisation über alle erdenklichen Geräte hinweg. So haben Sie eine stets aktuelle Version der Datenbank dabei, selbst unterwegs. Darüber hinaus entwickelt das Unternehmen die Linux-Version aktiv weiter. Sie entspricht dabei funktionell der für Windows.

Ein Wunsch an die Entwickler wäre, mehrere Datenbanken zu ermöglichen: So könnte man beruflich genutzte Passwörter getrennt von privaten Daten aufbewahren. Der einzig ersichtliche gravierende Nachteil von Enpass liegt in der Tatsache, dass es sich nicht um freie Software handelt.