Häufige Fragen
Kurz beantwortet, ausführlich verlinkt. Die Antworten fassen zusammen, was in den Insights und Essays steht — die Details stehen dort.
Reicht ein Passwort-Manager?
Nein, aber er ist die Grundlage. Ein Manager löst das größte Problem: wiederverwendete Passwörter, durch die ein einziger Leak gleich mehrere Konten kostet. Jedes Konto bekommt ein eigenes Zufallspasswort, und die im Browser gespeicherten Passwörter, die ein Infostealer als Erstes kopiert, ziehst du dort raus. Nebenbei ist er ein Phishing-Frühwarner: Schlägt er auf einer Login-Seite nichts vor, stimmt oft die Domain nicht. Was er nicht leistet: Passwörter leaken trotzdem, über Phishing oder fremde Datenbanken. Dann entscheidet der zweite Faktor, ob das Konto hält. Und weder Manager noch 2FA schützen eine bereits laufende Sitzung — gestohlene Session-Cookies umgehen beides. Deshalb: Manager zuerst, 2FA direkt danach.
Mehr dazu: Passwort-Manager: Einstieg ohne Overhead · 2FA: Welche Methode wirklich schützt · Infostealer & Session-Cookies
Welche 2FA-Methode ist genug?
Die stärkste, die dein Dienst anbietet — in dieser Reihenfolge: Passkey oder Hardware-Key, dann Authenticator-App, SMS nur, wenn es nichts anderes gibt. Passkeys sind phishing-resistent: Sie funktionieren nur auf der echten Domain, eine nachgebaute Login-Seite bekommt nichts. TOTP-Codes aus einer App wie Aegis sind solide und unabhängig von deiner Mobilfunknummer, lassen sich aber live abphishen. SMS ist besser als nichts, aber anfällig für SIM-Swapping. Fang beim E-Mail-Hauptkonto an, darüber lassen sich alle anderen Konten zurücksetzen. Und leg die Backup-Codes offline ab, sonst sperrt dich ein verlorenes Handy selbst aus.
Mehr dazu: 2FA: Welche Methode wirklich schützt
Ist ein VPN Pflicht?
Nein. Ein VPN ist kein Grundbaustein, sondern ein Werkzeug für bestimmte Situationen: in fremden WLANs oder wenn ein Dienst deine IP-Adresse nicht sehen soll. Gegen Tracking hilft es kaum — Cookies, Logins und Fingerprinting gehen durch den Tunnel einfach mit. Im eigenen WLAN zu Hause bringt es für die Sicherheit meist wenig. Und die Werbung, ohne VPN sei dein Online-Banking offen wie eine Postkarte, ist seit Jahren falsch: Die Verbindung zur Bank ist längst verschlüsselt. Mehr bringen die unspektakulären Dinge: ein eigenes Passwort pro Konto, 2FA, Updates, ein Blocker im Browser. Wenn du trotzdem eins willst: Welches ich nutze und wann es nicht nötig ist, steht auf der Tools-Seite.
Mehr dazu: Tools & Grenzen · Niemand kommt dich retten · Browser-Tracking-Schutz in 10 Minuten
„Ich habe nichts zu verbergen“ — wozu dann Privatsphäre?
Der Satz beantwortet die falsche Frage. Es geht nicht darum, Schuld zu verstecken, sondern darum, ob es noch einen Raum gibt, in dem du denken, suchen, lesen und irren kannst, ohne dass daraus ein Profil wird. Dieser Raum ist heute digital: Suchanfragen, Chatverläufe, Browserverlauf, Standortdaten. Deine Suchhistorie weiß Dinge über dich, die dein Partner nicht weiß. Überwachung muss nicht einmal böse gemeint sein, um zu wirken — wer sich beobachtet fühlt, denkt vorsichtiger. Die gute Nachricht: Es braucht keine Perfektion. Ein Messenger mit echter Verschlüsselung, ein Browser mit weniger Tracking, weniger App-Berechtigungen — jede dieser kleinen Entscheidungen vergrößert den unbeobachteten Raum ein Stück.
Mehr dazu: Die Gedanken sind frei · Browser-Tracking-Schutz in 10 Minuten
Was zuerst: alte Accounts löschen oder 2FA?
2FA zuerst, auf den Konten, die zählen. Wer die Mail hat, holt sich den Rest nacheinander — deshalb kommen E-Mail-Hauptkonto, Banking und der Passwort-Manager selbst vor allem anderen. Danach verkleinerst du die Angriffsfläche: Alte Shop- und Forenkonten mit wiederverwendeten Passwörtern sind der bequemste Einstieg, und was du nicht mehr brauchst, kann auch nicht mehr übernommen werden. Mit dem Passwort-Manager hast du die Inventur dafür schon halb erledigt. Ein Konto, das du brauchst, aber vernachlässigst, ist kein Fall für Löschen, sondern für Manager und 2FA. Genau diese Reihenfolge geht der Starterpfad: Manager, 2FA, alte Konten, Browser — ein Schritt pro Woche.
Mehr dazu: Starterpfad: 4 Wochen, vier Schritte · 2FA: Welche Methode wirklich schützt · Alte Accounts löschen
Ist Self-Custody nur etwas für Großbeträge?
Nein. Self-Custody heißt: keine Börse, kein Support, keine zweite Chance — du bist das Sicherheitsteam. Das ist machbar, wenn die Basics sitzen, bevor nennenswerte Beträge auf der Wallet liegen: Seed-Phrase nur offline auf Papier oder Metall, kein Foto, kein Cloud-Backup, und nie in eine Website, App oder einen „Support-Chat“ tippen. Niemand Seriöses fragt jemals danach. Mit dem Betrag wächst das Werkzeug: Für kleine Beträge unterwegs ist eine Handy-Wallet praktischer. Alles, dessen Verlust dich schmerzt, gehört auf eine Hardware-Wallet statt in eine Browser-Extension auf dem Alltagsrechner — Infostealer greifen Software-Wallets gezielt ab. Hier geht es um Verwahrung, nicht um Anlageberatung.
Mehr dazu: Seed-Phrase & Hardware-Wallet: OpSec-Basics · Tools & Grenzen