Seit dem 11. August 2015 spe­ichere ich meine Pass­wörter bere­its in ein­er auf meinem Com­put­er ver­schlüs­sel­ten Daten­bank, deren Sicher­heit und Ver­füg­barkeit nicht vom Wohlwollen eines Drit­ten abhängt. Mit gopass schickt sich derzeit — in abse­hbar­er Zeit, betra­chtet man die geplanten Funk­tio­nen — eine Alter­na­tive an, von mir emp­fohlen zu wer­den, aber an ver­füg­baren Pro­gram­men für diesen Zweck man­gelt es schon jet­zt nicht.

Dieser Tage unter­hielt ich mich mit einem Kun­den von Last­Pass, einem “Dienst”, dessen Geschäftsmod­ell es ist, die Pass­wörter ander­er Leute auf den Com­put­ern des Anbi­eters zu spe­ich­ern. Das sei, wurde mir mit­geteilt, kein Prob­lem, denn man habe ja einen Ver­trag abgeschlossen, der besage, dass das Unternehmen dafür hafte, wenn jemand mit den Dat­en Schaden anrichtet. (Das ste­ht in diesem Ver­trag übri­gens aus­drück­lich nicht drin, vgl. etwa Punkt 8.1.) Warum ich das jet­zt erwähne? Nun, bei Last­Pass haben sie die Pass­wörter der Kun­den beziehungsweise jeden­falls deren Streuw­ert (“Hash”) in Kopie raus­ge­tra­gen. Angesichts der beliebtesten Pass­wörter der Deutschen ist der Hin­weis, dass man für eine Entschlüs­selung der gespe­icherten Pass­wörter ja das “Mas­ter­pass­wort” (darf man das eigentlich noch so nen­nen?) brauche, ein eher schwach­er Trost für die Betrof­fe­nen.

Aber sie haben ja einen Ver­trag. Dann ist ja alles in Ord­nung.