Von allen Maßnahmen, die man für die eigene digitale Sicherheit ergreifen kann, hat der Passwortmanager das beste Verhältnis von Aufwand zu Wirkung. Er löst ein Problem, das sich anders nicht lösen lässt: Niemand kann sich für hunderte Konten jeweils ein eigenes, langes und zufälliges Passwort merken. Genau deshalb verwenden viele Menschen dasselbe Passwort mehrfach, und genau daran hängt der Großteil der Kontoübernahmen, die im Alltag passieren.
Wie ein Passwortmanager funktioniert
Der Manager legt eine verschlüsselte Datei an, den Tresor. Darin liegen deine Zugangsdaten. Geöffnet wird der Tresor mit einem einzigen Master-Passwort, aus dem der Schlüssel abgeleitet wird. Solange dieses Master-Passwort stark und nur dir bekannt ist, ist der Inhalt für andere unbrauchbar, selbst wenn sie die Datei in die Hände bekommen.
Der praktische Nutzen kommt aus drei Funktionen: Der Manager erzeugt lange Zufallspasswörter, er füllt sie beim Anmelden automatisch ein, und er tut das nur auf der passenden Domain. Der letzte Punkt ist ein unterschätzter Schutz gegen Phishing. Eine nachgebaute Anmeldeseite auf einer ähnlich aussehenden Adresse bekommt vom Manager schlicht nichts eingetragen, weil die Domain nicht übereinstimmt. Das fällt schneller auf als jede optische Prüfung.
Lokaler Tresor oder Cloud-Synchronisation
Die grundlegende Entscheidung betrifft den Speicherort. Rein lokale Manager halten die Tresordatei auf deinem Gerät, die Synchronisation zwischen Geräten organisierst du selbst, etwa über einen eigenen Cloud-Speicher oder einen Netzwerkspeicher zu Hause. Cloud-Dienste übernehmen diese Aufgabe und legen den verschlüsselten Tresor auf ihren Servern ab.
| Kriterium | Lokaler Tresor | Cloud-Dienst |
|---|---|---|
| Speicherort der Daten | ausschließlich bei dir | verschlüsselt beim Anbieter |
| Synchronisation | selbst einzurichten | automatisch über alle Geräte |
| Abhängigkeit vom Anbieter | keine | Dienstverfügbarkeit nötig |
| Angriffsfläche | dein Gerät und dein Sync-Weg | zusätzlich die Anbieterinfrastruktur |
| Freigabe an Familie oder Team | umständlich | eingebaut |
| Kosten | meist kostenlos, oft quelloffen | Jahresabo üblich |
| Wiederherstellung nach Geräteverlust | nur aus eigenem Backup | über das Konto möglich |
Beide Wege sind vertretbar. Der lokale Tresor ist die konsequentere Lösung, wenn du technisch sicher unterwegs bist und ein zuverlässiges eigenes Backup hast. Der Cloud-Dienst ist die realistischere Lösung für Haushalte, in denen mehrere Personen Zugänge teilen und niemand Lust hat, Synchronisation manuell zu betreuen. Ein schlecht gepflegter lokaler Tresor ohne Sicherung ist gefährlicher als ein ordentlich geführter Cloud-Tresor.
Zero-Knowledge: das entscheidende Prinzip
Bei einem Cloud-Anbieter ist die zentrale Frage, ob er selbst in deinen Tresor sehen kann. Das Zero-Knowledge-Prinzip bedeutet: Die Ver- und Entschlüsselung passiert ausschließlich auf deinem Gerät, der Anbieter erhält nur den bereits verschlüsselten Datenblock und niemals dein Master-Passwort.
Woran du das erkennst:
- Der Anbieter beschreibt offen, dass er dein Master-Passwort nicht kennt und einen vergessenen Zugang nicht zurücksetzen kann.
- Es gibt eine technische Dokumentation zum Verschlüsselungsverfahren, nicht nur ein Werbeversprechen.
- Unabhängige Sicherheitsprüfungen des Verfahrens werden veröffentlicht.
- Der Quellcode der Clients ist einsehbar, zumindest bei einem Teil der Anbieter.
Ein Anbieter, der dir per E-Mail-Link ein neues Master-Passwort setzen kann, ist per Definition kein Zero-Knowledge-Dienst. Dann kann er auch in den Tresor sehen.
Master-Passwort und Wiederherstellung
Das Master-Passwort ist der einzige Punkt, an dem alles hängt. Es sollte lang sein, nicht komplex im Sinne von Sonderzeichen: Eine Folge aus vier bis sechs zufälligen, nicht zusammenhängenden Wörtern ist besser zu merken und schwerer zu knacken als ein achtstelliges Kryptogramm. Wichtig ist, dass es an keiner anderen Stelle verwendet wird.
Weil der Anbieter bei konsequenter Zero-Knowledge-Umsetzung nicht helfen kann, gehört die Wiederherstellung vor den ersten Einsatz. Übliche Verfahren sind ein einmalig erzeugter Wiederherstellungsschlüssel, ein hinterlegter Notfallkontakt mit Wartefrist oder schlicht ein verschlüsseltes Backup der Tresordatei. Der Wiederherstellungsschlüssel gehört ausgedruckt an einen physisch sicheren Ort, sinnvollerweise dorthin, wo auch Ausweise und Urkunden liegen. Wer einen Dokumententresor besitzt, hat den passenden Platz bereits im Haus.
Zwei-Faktor-Authentifizierung
Der Tresor selbst sollte durch einen zweiten Faktor geschützt sein, üblicherweise eine Authenticator-App oder ein Hardware-Sicherheitsschlüssel. Damit reicht ein abgegriffenes Master-Passwort allein nicht mehr aus.
Eine oft diskutierte Frage ist, ob man die Zwei-Faktor-Codes für andere Dienste ebenfalls im Passwortmanager ablegen soll. Dafür spricht der Komfort, dagegen, dass beide Faktoren dann am selben Ort liegen und der zweite Faktor seinen Zweck teilweise verliert. Ein pragmatischer Mittelweg: Codes für unkritische Dienste im Manager, Codes für E-Mail-Postfach, Bank und den Manager selbst in einer getrennten App oder auf einem Hardware-Schlüssel.
Passkeys als nächster Schritt
Passkeys ersetzen das Passwort durch ein kryptografisches Schlüsselpaar. Der private Teil verlässt dein Gerät nicht, der Dienst kennt nur den öffentlichen Teil. Damit gibt es kein Passwort mehr, das aus einem Datenleck abfließen könnte, und Phishing wird strukturell schwerer, weil der Schlüssel an die Domain gebunden ist.
Für den Alltag ist die Umstellung noch nicht abgeschlossen: Nicht jeder Dienst unterstützt Passkeys, und du wirst auf absehbare Zeit beides parallel führen. Genau deshalb bleibt der Passwortmanager relevant, denn er verwaltet inzwischen Passwörter und Passkeys nebeneinander und macht sie geräteübergreifend verfügbar. Wer einen Manager einrichtet, arbeitet also nicht gegen die Entwicklung, sondern legt die Grundlage dafür.
Umstieg vom Browser-Passwortspeicher
Der Wechsel ist einfacher, als viele erwarten:
- Master-Passwort festlegen und den Wiederherstellungsschlüssel sichern.
- Import aus dem Browser starten, alle gängigen Manager haben dafür eine Funktion.
- Browserspeicher leeren und das automatische Speichern dort abschalten, sonst laufen zwei Quellen parallel und divergieren.
- Wichtigste Konten zuerst ändern: E-Mail-Postfach, Bank, Konten mit hinterlegter Zahlungsmethode. Das E-Mail-Konto ist der Schlüssel zu allen anderen, weil dort die Zurücksetzen-Links landen.
- Mehrfach verwendete Passwörter abarbeiten, die Manager zeigen sie in einer eigenen Übersicht an.
Das Ändern aller Passwörter auf einmal ist unnötig. Sinnvoller ist, die kritischen Konten sofort zu erledigen und den Rest nach und nach beim jeweils nächsten Anmelden.
Was das für die Kaufentscheidung bedeutet
Achte bei der Auswahl auf diese Punkte:
- Zero-Knowledge nachvollziehbar dokumentiert, kein Zurücksetzen des Master-Passworts durch den Anbieter
- Export in einem offenen Format, damit du den Anbieter jederzeit wechseln kannst
- Apps für alle deine Systeme samt Browser-Erweiterung
- Zwei-Faktor-Schutz für den Tresor, idealerweise mit Hardware-Schlüssel
- Freigabefunktion, wenn im Haushalt Zugänge geteilt werden
- Passkey-Unterstützung, wenn du perspektivisch umstellen willst
Der Manager ist Teil eines größeren Ganzen. Passend dazu gehören ein aktueller Virenschutz und ein sauber konfigurierter Router, denn beide sichern die Umgebung ab, in der du den Tresor öffnest. Wichtiger als die Wahl des Produkts ist am Ende, dass du überhaupt einen einsetzt und dann konsequent bleibst.
Häufige Fragen
Ist es nicht riskant, alle Passwörter an einem Ort zu speichern?
Der Tresor ist verschlüsselt und nur mit dem Master-Passwort zu öffnen, das Risiko konzentriert sich also auf diesen einen Punkt. Dem steht die Alternative gegenüber, dass dasselbe Passwort bei dutzenden Diensten liegt und ein einziges Datenleck alle Konten öffnet. In der Abwägung ist der Manager klar die sicherere Variante.
Was kostet ein Passwortmanager?
Rein lokale Lösungen sind meist quelloffen und kostenlos. Cloud-Dienste liegen für Einzelnutzer üblicherweise zwischen 10 und 40 Euro im Jahr, Familientarife für mehrere Personen darüber. Viele Anbieter haben kostenlose Einstiegsversionen, die aber häufig die Synchronisation zwischen verschiedenen Gerätetypen einschränken.
Was passiert, wenn ich mein Master-Passwort vergesse?
Bei einem konsequenten Zero-Knowledge-Dienst kann der Anbieter den Tresor nicht öffnen und dir folglich nicht helfen. Manche Dienste bieten einen Wiederherstellungsschlüssel oder eine Notfallkontakt-Funktion, beides musst du vorher einrichten. Ohne Vorsorge sind die Daten verloren, deshalb gehört der Wiederherstellungsschlüssel ausgedruckt an einen sicheren Ort.
Reicht der Passwortspeicher im Browser nicht aus?
Er ist besser als überall dasselbe Passwort zu verwenden, aber schwächer als ein eigener Manager. Der Browserspeicher bindet dich an ein Ökosystem, bietet meist keine sichere Freigabe und schützt die Daten oft nur so gut wie dein Betriebssystemkonto. Für Bank- und E-Mail-Zugänge ist ein eigener Tresor die deutlich robustere Lösung.
Machen Passkeys den Passwortmanager überflüssig?
Nein, sie verlagern seine Aufgabe. Passkeys ersetzen das Passwort durch ein Schlüsselpaar, das irgendwo sicher gespeichert und zwischen Geräten verfügbar gehalten werden muss. Genau das übernehmen die Manager inzwischen, sodass der Tresor auch in einer Passkey-Welt der zentrale Ort bleibt.