heise Security hat nach eigener Darstellung den Papier-Passwortmanager eesy auseinandergenommen und das Verfahren geknackt. Das Produkt gehört zu einer kleinen, aber beharrlichen Nische: Statt Zugangsdaten in einer App zu speichern, bekommen Nutzerinnen und Nutzer ein gedrucktes Heft, aus dem sie ihre Passwörter von Hand ableiten. Der Reiz liegt auf der Hand — nichts liegt elektronisch auf einem Server, es gibt also auch nichts, was aus der Ferne abgegriffen werden könnte.
Die Kehrseite ist strukturell und nicht auf einen einzelnen Hersteller beschränkt. Ein gedrucktes Heft enthält das Verfahren selbst, also den Schlüssel zu allen daraus erzeugten Passwörtern. Wer das Heft versteht oder es nur vollständig abfotografiert, kann die Zugangsdaten ableiten, ohne je Zugriff auf ein Konto gehabt zu haben. Anders als bei einer Software gibt es keinen Patch — ein offengelegtes Verfahren lässt sich nicht nachträglich reparieren, und Passwörter lassen sich für die Betroffenen nicht zentral rotieren. Der Verlust oder die Entwendung des Hefts ist deshalb kein Zwischenfall, sondern ein Totalverlust.
Für Nutzerinnen und Nutzer heißt das: Wer ein Papierverfahren einsetzt, sollte alle abgeleiteten Passwörter als potenziell bekannt behandeln und sie nach einem Verlust oder einer Veröffentlichung des Hefts einzeln ersetzen. heise+ Abonnenten können die vollständige Analyse samt Angriffsmethode nachlesen; sie ist hinter der Bezahlschranke und war für diese Zusammenfassung nicht abrufbar.
