Ein geteiltes Browser-Profil auf dem Familien-Tablet ist der schnellste Weg, das eigene WinHero-Passwort an alle im Haushalt zu verteilen – meist ohne Absicht. Wer sich einmal im Safari auf dem iPad der Kinder anmeldet und “Passwort sichern” antippt, findet die Zugangsdaten später in der Autofill-Liste jedes Nutzers, der dieses Profil öffnet. Die folgende Anleitung zeigt, wie Sie Autofill so einrichten, dass die Anmeldedaten für die WinHero Web-App nur dort landen, wo sie hingehören: im Hauptprofil und im Passwort-Manager, nicht im gemeinsam genutzten Browser.
Warum Autofill im geteilten Profil zum Sicherheitsproblem wird
Die WinHero App ist eine Web-App für iOS, die über den Safari-Browser läuft. Wer sie über winhero-online.de auf dem Startbildschirm installiert, bekommt eine Kachel, die sich fast wie eine native Anwendung anfühlt. Genau diese Nähe ist das Problem: Safari behandelt die Web-App wie jede andere Website und bietet beim Login die automatische Vervollständigung an. Auf einem Gerät, das mehrere Personen nutzen, ist das ein Datenleck mit Ansage.
Hinzu kommt die Struktur des Angebots. Die App ist nicht verfügbar in App Store und Google Play, betrieben wird das mobile Portfolio von der GEFATA CORPORATION S.R.L. mit Sitz in Costa Rica. Es gibt also keinen Store-Eintrag, über den sich Profile oder Familienfreigaben sauber trennen ließen. Der Zugang läuft ausschließlich über die Website und den Browser – und damit über die Passwortverwaltung des Geräts, die oft großzügiger synchronisiert, als den Nutzern bewusst ist.
Der praktische Effekt: Ein im Familienprofil gespeichertes Passwort taucht nicht nur beim nächsten Besuch auf, sondern auch im Inkognito-Fenster, sobald Safari die Autofill-Vorschläge einblendet. Wer glaubt, das private Fenster sei ein Schutz, irrt. Die Vorschlagsliste bleibt aktiv, solange die Anmeldedaten im Profil liegen.
So trennen Sie die Passwörter zwischen Hauptprofil und Familien-Tablet
Die sauberste Lösung ist eine konsequente Trennung der Profile. Legen Sie für das Familien-Tablet ein eigenes Benutzerkonto an, das nicht mit Ihrer Apple-ID verknüpft ist, und richten Sie dort keinen iCloud-Schlüsselbund ein. Auf dem iPhone oder iPad, das Sie selbst nutzen, bleibt der Schlüsselbund aktiv – dort darf das WinHero-Passwort liegen, weil nur Sie Zugriff haben.
Für die Einrichtung der Web-App heißt das: iOS-Nutzer installieren die Web-App über Zum Startbildschirm im eigenen Safari-Profil, nicht im Profil des Tablets. Android-Nutzer laden eine Installationsdatei direkt vom Anbieter herunter, der einen Android-Download bereitstellt; die offizielle Bezugsquelle dafür ist https://winhero-online.de/app/. Diese APK gehört ebenfalls nicht auf ein Gerät, das Kinder oder Partner ohne Absprache in die Hand nehmen. Fremde APK-Seiten stellen dagegen ein echtes Risiko für die Gerätesicherheit dar – die Datei sollte ausschließlich aus der offiziellen Quelle stammen.
Die richtige Reihenfolge beim Einrichten
Wer die Schritte in der falschen Reihenfolge geht, speichert das Passwort oft genau dort, wo es nicht hingehört. Arbeiten Sie deshalb von der Trennung zur Anmeldung, nicht umgekehrt.
- Prüfen Sie zuerst unter Einstellungen > Passwörter, ob im Familienprofil bereits Einträge für winhero-online.de liegen. Löschen Sie diese Einträge, bevor Sie irgendetwas anderes tun.
- Legen Sie auf dem Tablet ein separates Benutzerkonto ohne iCloud-Schlüsselbund an. Ohne diese Trennung synchronisiert Safari die Anmeldedaten automatisch zwischen den Geräten.
- Installieren Sie die Web-App im Hauptprofil über Zum Startbildschirm und melden Sie sich dort einmal an. Bestätigen Sie die Passwortspeicherung nur in diesem Profil.
- Öffnen Sie auf dem Tablet die Website im privaten Fenster und kontrollieren Sie, ob Autofill noch Vorschläge macht. Wenn ja, ist der alte Eintrag nicht vollständig entfernt.
- Richten Sie den mobilen Zugang über winhero-online.de so ein, dass die Sitzungsverwaltung nach dem Schließen des Browsers abläuft. So bleibt keine aktive Anmeldung zurück.
Autofill-Regeln, die auch nach dem nächsten Update noch greifen
Apple ändert die Passwort-Einstellungen mit fast jedem iOS-Update, und die Voreinstellungen sind dabei selten datenschutzfreundlich. Verlassen Sie sich deshalb nicht auf einmalige Klicks, sondern auf Regeln, die unabhängig von der Menüführung funktionieren. Die wichtigste: Das WinHero-Passwort existiert nur im Passwort-Manager des Hauptprofils, niemals im geteilten Browser-Profil. Diese eine Entscheidung verhindert die meisten unbeabsichtigten Offenlegungen.
Für die Web-App bedeutet das konkret, die automatische Vervollständigung auf dem Familien-Tablet ganz abzuschalten, statt einzelne Einträge zu löschen. Ein deaktivierter Autofill verhindert, dass sich beim nächsten Login neue Daten unbemerkt einnisten. Auf dem eigenen iPhone bleibt Autofill aktiv, idealerweise kombiniert mit einem Passwort-Manager, der einen eigenen Master-Passwort-Schutz hat.
Ein zweiter Punkt betrifft die Sitzungsverwaltung. Wer sich auf dem Tablet anmeldet und den Browser nur zuklappt, lässt die Sitzung offen. Die Web-App läuft über den Safari-Browser und übernimmt dessen Sitzungsverhalten – ein aktiver Login bleibt bestehen, bis er aktiv beendet oder durch ein Timeout geschlossen wird. Melden Sie sich deshalb nach jeder Nutzung auf gemeinsam verwendeten Geräten ab und prüfen Sie gelegentlich in den Kontoeinstellungen, welche Geräte aktuell angemeldet sind.
Wer sein Spielverhalten im Blick behalten will, findet bei der Bundeszentrale für gesundheitliche Aufklärung unter Check-dein-Spiel neutrale Einschätzungsangebote. Das gehört nicht zur technischen Absicherung, wohl aber zu einem verantwortungsvollen Umgang mit dem Zugang, den man auf einem Familiengerät teilt.
Prüfen Sie zum Abschluss die Passwortliste auf jedem Gerät, das Zugriff auf winhero-online.de hat: iPhone, iPad, Familien-Tablet und jedes Android-Smartphone mit der Installationsdatei. Löschen Sie Einträge, die dort nicht hingehören, deaktivieren Sie Autofill im geteilten Profil und behalten Sie das WinHero-Passwort ausschließlich im Passwort-Manager Ihres eigenen Hauptprofils. Diese drei Schritte kosten zehn Minuten und schließen die Lücke, die ein einziges angetipptes “Passwort sichern” auf dem falschen Gerät sonst öffnet.
