Passwortmanager

Ein Passwortmanager ist ein Programm, das deine Benutzernamen und Passwörter verschlüsselt speichert und sie beim Anmelden ausfüllt. Du merkst dir nur noch ein einziges, starkes Masterpasswort. Das BSI kommt in seinen Hinweisen zu Passwortmanagern zu dem Schluss, dass sich ein Passwortmanager in der Regel lohnt und in jedem Fall besser ist, als dieselben Passwörter mehrfach zu verwenden.

Wie ein Passwortmanager funktioniert

Alle Zugangsdaten liegen in einem verschlüsselten Tresor. Den Schlüssel dazu bildet dein Masterpasswort. Laut BSI helfen Passwortmanager außerdem dabei,

• starke, zufällige Passwörter zu erzeugen,
• schwache oder mehrfach genutzte Passwörter zu markieren,
• vor gefälschten Seiten zu warnen, etwa wenn die Adresse einer Seite nicht zur gespeicherten passt.

Der letzte Punkt ist ein unterschätzter Schutz vor Phishing: Wenn der Manager auf einer Seite nichts ausfüllen will, obwohl du dort angeblich ein Konto hast, solltest du genau hinsehen.

Ende-zu-Ende-Verschlüsselung

Bei Bitwarden, 1Password und Proton Pass wird der Tresor laut Anbieter auf deinem Gerät ver- und entschlüsselt. Der Anbieter speichert nur verschlüsselte Daten und kennt dein Masterpasswort nicht. Das nennt man Ende-zu-Ende-Verschlüsselung, manche Anbieter sprechen auch von Zero Knowledge. Die Kehrseite: Vergisst du das Masterpasswort, kann dir der Anbieter nicht helfen.

Cloud oder lokal?

Das BSI unterscheidet zwei Arten der Speicherung:

Laut BSI ist eine Synchronisation sinnvoll, wenn du Dienste auf mehreren Geräten mit unterschiedlichen Betriebssystemen nutzt. Bei Cloud-Diensten vertraust du dem Anbieter deine sensiblen Daten an, und der Serverstandort bestimmt, welches Datenschutzrecht gilt.

Kriterien für die Auswahl

Das BSI nennt diese Fragen für die Auswahl. Wir haben sie um zwei praktische Punkte ergänzt:

1. Welche Konten willst du verwalten? Nur private Konten oder auch die deiner Familie oder deines Betriebs?
2. Browserbasiert oder eigenständig? Passt der Manager zu deinen Gewohnheiten und Browsern?
3. Cloud oder lokal? Siehe Tabelle oben.
4. Brauchst du einen zweiten Faktor für den Manager selbst?
5. Wie sicher ist dein Masterpasswort?
6. Unterstützt der Manager Passkeys? Dann kannst du nach und nach auf Passkeys umsteigen.
7. Gibt es Notfallzugang und Teilen? Wichtig für Familien und kleine Teams.

Bekannte Passwortmanager im Überblick

Die folgende Übersicht nennt nur Eigenschaften, die die Anbieter auf ihren offiziellen Seiten selbst angeben. Sie ist keine Rangliste.

Quellen: Bitwarden Security Whitepaper, 1Password-Hilfe zum Secret Key, keepassxc.org, proton.me, Apple-Support zur App „Passwörter“ und zur iCloud-Datensicherheit, Google-Kontohilfe.

Wann welcher Typ passt

Beispiel: Eine Familie mit iPhones und einem Mac kommt mit Apples Passwörter-App weit, weil sie ohnehin auf allen Geräten dabei ist. Sobald ein Android-Tablet oder ein Windows-Rechner mit Firefox dazukommt, wird es unpraktisch. Dann spricht mehr für einen plattformübergreifenden Manager.

Beispiel: Ein Handwerksbetrieb mit drei Leuten braucht gemeinsame Zugänge zu Hosting, Bank und Lieferantenportalen. Hier zählen geteilte Tresore und die Möglichkeit, einer ausscheidenden Person den Zugriff zu entziehen. Prüfe vor der Auswahl in der Hilfe des Anbieters, ob und wie das Teilen funktioniert.

Beispiel: Wer nur einen Linux-Rechner hat und keinem Anbieter vertrauen will, nimmt eine lokale Lösung wie KeePassXC und kümmert sich selbst um das Backup der Datei.

Notfall: Wer kommt an deine Passwörter?

Ein Punkt, an den kaum jemand beim Einrichten denkt: Was passiert, wenn du selbst nicht mehr an deinen Passwortmanager kommst, etwa nach einem Unfall oder wenn du das Masterpasswort vergisst? Das BSI warnt, dass im schlechtesten Fall alle Daten verloren sind und jedes Konto einzeln wiederhergestellt werden muss.

Plane deshalb einen Notfallweg:

• Masterpasswort hinterlegen: auf Papier, in einem verschlossenen Umschlag an einem sicheren Ort, etwa bei wichtigen Unterlagen oder einer Vertrauensperson.
• Notfallzugang prüfen: Schau in der Hilfe deines Anbieters nach, ob es einen Notfallzugang für Vertrauenspersonen gibt und wie er funktioniert.
• Bei 1Password den Secret Key mitdenken: Ohne ihn lässt sich der Tresor nicht entschlüsseln, er gehört also mit in den Umschlag.
• Lokale Datei sichern: Bei KeePassXC liegt alles in einer Datei. Fehlt ein Backup, ist bei einem Festplattenschaden alles weg.

Browser-Passwortspeicher

Fast jeder Browser bietet an, Passwörter zu speichern. Das BSI nennt das bequem, weist aber darauf hin, dass Browser den Passwortschutz nicht mit oberster Priorität behandeln und Schadsoftware Zugangsdaten deshalb leichter auslesen kann. Wenn du bisher alles im Browser gespeichert hast, kannst du die Passwörter bei den meisten Managern importieren und den Browserspeicher danach leeren.

So steigst du um

1. Manager auswählen anhand der Kriterien oben.
2. Masterpasswort festlegen: eine Passphrase aus mindestens sechs zufälligen Wörtern, erzeugt mit dem Passwort-Generator. Nur im Kopf und auf einem Notfallzettel an einem sicheren Ort.
3. Gerät absichern: Das BSI weist darauf hin, dass ein Masterpasswort nur ein Mindestmaß an Schutz bietet. Installiere Updates zeitnah und schütze das Gerät mit PIN oder Passwort.
4. Wichtigste Konten zuerst: E-Mail, Bank, Apple- oder Google-Konto, Shopping. Für jedes ein neues, zufälliges Passwort.
5. Zweiten Faktor einrichten: Das BSI empfiehlt für wichtige Konten zusätzlich einen zweiten Faktor, besonders für E-Mail-Konten, weil Angreifer darüber andere Passwörter zurücksetzen können. Mehr dazu unter Zwei-Faktor-Authentifizierung.
6. Den Rest nach und nach: Bei jeder Anmeldung bei einem älteren Konto das Passwort ersetzen.

Den Stand deiner Konten prüfst du anschließend mit dem Sicherheits-Check im Bereich Sicherheit.