Wie funktioniert ein Passwort-Manager und wie sicher ist er?

von

Ein Passwort-Manager ist ein verschlüsselter Tresor für Ihre Zugangsdaten: Sie merken sich nur noch ein einziges, starkes Masterpasswort, alle anderen Passwörter erzeugt und speichert das Programm für Sie. Gut gemachte Passwort-Manager verschlüsseln die Daten auf Ihrem Gerät, bevor sie irgendwohin übertragen werden. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) kommt zu dem Schluss, dass sich der Einsatz in der Regel lohnt, weil er deutlich sicherer ist als dasselbe Passwort für viele Konten.

Kurz zusammengefasst

Ein Passwort-Manager speichert Ihre Zugangsdaten verschlüsselt und schließt sie nur mit dem Masterpasswort auf. Achten Sie bei der Auswahl darauf, dass die Verschlüsselung auf Ihrem Gerät stattfindet und der Anbieter Ihre Daten nicht einsehen kann. Eine Untersuchung von BSI und Verbraucherzentrale NRW hat Ende 2025 gezeigt, dass das nicht bei allen Produkten der Fall ist. Schützen Sie den Manager selbst mit Zwei-Faktor-Authentifizierung, legen Sie eine Notfallregelung fest und löschen Sie nach dem Umzug die alten Passwörter aus dem Browser sowie die Exportdatei.

Wie funktioniert ein Passwort-Manager?

Ein Passwort-Manager legt alle Zugangsdaten in einer verschlüsselten Datenbank ab, dem sogenannten Tresor. Das BSI vergleicht ihn mit einem Notizbuch in einer verschlossenen Schublade, zu der nur Sie den Schlüssel haben. Dieser Schlüssel ist das Masterpasswort.

Im Alltag läuft das so: Sie legen ein neues Konto an, der Manager schlägt ein langes Zufallspasswort vor und speichert es. Rufen Sie die Seite später wieder auf, füllt er Benutzername und Passwort automatisch aus. Weil Sie keines dieser Passwörter mehr selbst eintippen oder sich merken müssen, können sie beliebig lang und für jedes Konto verschieden sein. Genau das ist der eigentliche Sicherheitsgewinn. Wird ein einzelner Dienst gehackt und dessen Passwortliste veröffentlicht, ist nur dieses eine Konto betroffen.

Gute Programme leisten noch mehr. Sie markieren schwache oder mehrfach verwendete Passwörter, warnen, wenn Zugangsdaten in bekannten Datenlecks auftauchen, und synchronisieren den Tresor zwischen Smartphone und Computer. Ein oft unterschätzter Vorteil: Der Manager füllt Passwörter nur auf der Adresse aus, für die sie gespeichert wurden. Landen Sie auf einer gefälschten Bank-Seite mit leicht abweichender Adresse, bleibt das Feld leer. Das ist ein brauchbares Warnsignal gegen Phishing, ersetzt aber nicht den eigenen Blick auf die Adresszeile.

Was bedeutet Zero-Knowledge?

Zero-Knowledge heißt, dass der Anbieter Ihre gespeicherten Passwörter nicht lesen kann, weil er den Schlüssel dafür nie zu sehen bekommt. Die Ver- und Entschlüsselung findet ausschließlich auf Ihrem Gerät statt. Auf den Servern des Anbieters liegt nur ein verschlüsselter Datenblock.

Technisch funktioniert das etwa so: Aus Ihrem Masterpasswort berechnet das Programm einen Schlüssel. Diese Berechnung wird absichtlich sehr oft wiederholt, damit Angreifer beim massenhaften Durchprobieren von Passwörtern ausgebremst werden. Der Anbieter Bitwarden etwa beschreibt in seinem Sicherheits-Whitepaper 600.000 Durchläufe des Verfahrens PBKDF2 als Standard, alternativ das neuere Verfahren Argon2id. Mit dem so gewonnenen Schlüssel werden die Einträge mit AES-256 verschlüsselt, bevor sie das Gerät verlassen. Das Masterpasswort selbst wird weder gespeichert noch übertragen.

Die Kehrseite: Vergessen Sie das Masterpasswort, kann Ihnen bei einem echten Zero-Knowledge-Dienst niemand helfen. Auch der Support nicht. Das BSI weist ausdrücklich darauf hin, dass im schlechtesten Fall alle Daten verloren sind.

Wie wichtig dieses Prinzip ist, zeigte der Fall LastPass. Ende 2022 kopierten Angreifer dort eine Sicherung der Kundentresore. Die Passwörter selbst waren mit AES-256 verschlüsselt, die Adressen der gespeicherten Webseiten nach Angaben des Unternehmens allerdings nicht. Wer ein kurzes Masterpasswort verwendet hatte, musste anschließend vorsichtshalber alle gespeicherten Passwörter ändern. Daraus folgen zwei Lehren: Das Masterpasswort muss stark sein, und es ist ein Unterschied, ob ein Anbieter wirklich alle Felder verschlüsselt oder nur die Passwörter.

Was haben BSI und Verbraucherzentrale bei Passwort-Managern gefunden?

Die Untersuchung hat gezeigt, dass Zero-Knowledge kein selbstverständlicher Standard ist. Das BSI hat im ersten Halbjahr 2025 zusammen mit der Verbraucherzentrale NRW zehn verbreitete Passwort-Manager geprüft, die Ergebnisse wurden im Dezember 2025 veröffentlicht.

Drei der zehn Produkte speichern Passwörter so, dass der Hersteller theoretisch darauf zugreifen könnte, teilweise nur unter bestimmten Bedingungen. Bei zwei weiteren war keine Bewertung möglich. Nur drei Programme verschlüsselten den gesamten Inhalt des Tresors, bei den übrigen lagen Angaben wie Benutzernamen oder Webadressen zumindest teilweise unverschlüsselt vor. Etwa die Hälfte der Anbieter erhebt nur die Daten, die für den Dienst nötig sind. Einige erfassen zusätzlich, welche Webseiten gespeichert sind und wie oft Sie auf Einträge zugreifen.

Für Sie heißt das: Ein bekannter Name oder ein Sicherheitssiegel auf der Produktseite reicht nicht. Lesen Sie in der Dokumentation nach, wo verschlüsselt wird und ob der Anbieter Zugriff auf Ihre Daten haben kann. Die Verbraucherzentrale NRW hat die Einzelergebnisse online gestellt.

Lokal, Cloud oder im Browser: Welche Arten gibt es?

Es gibt drei Grundtypen, die sich vor allem darin unterscheiden, wo der Tresor liegt und wer sich um die Synchronisation kümmert.

Lokale Passwort-Manager speichern den Tresor als Datei auf Ihrem Rechner. Ein bekanntes Beispiel ist das quelloffene KeePass mit seinen Ablegern. Kein Anbieter hat die Datei in der Hand, dafür sind Sie selbst für Sicherungskopien und den Abgleich zwischen Geräten verantwortlich. Wer die Datei über einen Cloud-Speicher synchronisiert, sollte wissen, dass die Datei dann zwar verschlüsselt, aber trotzdem in einer Cloud liegt.

Cloud-basierte Passwort-Manager synchronisieren den verschlüsselten Tresor über die Server des Anbieters. Das ist bequem, wenn Sie Smartphone, Tablet und PC nutzen. Hier kommt es entscheidend auf Zero-Knowledge an, außerdem empfiehlt das BSI, AGB, Datenschutzerklärung und Serverstandort zu prüfen.

Integrierte Passwort-Manager stecken im Browser oder im Betriebssystem, etwa der Google Passwortmanager in Chrome und Android oder die Passwörter-App von Apple ab iOS 18 und macOS Sequoia. Sie sind ohne Zusatzinstallation sofort da. Das BSI ist bei reinen Browser-Speichern zurückhaltend: Browser seien komplexe Programme, die das Thema nicht mit oberster Priorität behandeln, Schadsoftware könne gespeicherte Zugangsdaten dort leichter auslesen. Bei Chrome stellte die Untersuchung von 2025 fest, dass Benutzernamen im Klartext gespeichert werden. Google bietet für den Passwortmanager eine zusätzliche Verschlüsselung auf dem Gerät an, die Sie in den Einstellungen aktivieren können.

Für viele Menschen, die nur Apple-Geräte nutzen, ist die Passwörter-App eine vernünftige Lösung, weil der iCloud-Schlüsselbund mit Schlüsseln verschlüsselt ist, die Apple nach eigenen Angaben nicht kennt. Sobald Sie aber zwischen Systemen wechseln, etwa iPhone und Windows-PC mit Firefox, stößt ein integrierter Manager schnell an Grenzen.

Worauf sollten Sie bei der Auswahl achten?

Entscheidend sind Verschlüsselung, Schutz des Zugangs und ein funktionierender Plan für den Notfall. Die folgende Checkliste fasst die Kriterien von BSI und Verbraucherzentrale zusammen. Sie ersetzt keinen Testsieger, hilft aber, Herstellerangaben gezielt zu prüfen.

Kriterium Worauf Sie achten sollten Wo Sie es finden
Verschlüsselung auf dem Gerät Ver- und Entschlüsselung nur lokal, Anbieter kann nicht mitlesen (Zero-Knowledge) Sicherheits-Whitepaper oder Hilfeseiten des Herstellers
Umfang der Verschlüsselung Nicht nur Passwörter, auch Benutzernamen, Webadressen und Notizen Whitepaper, Ergebnisse der BSI-Untersuchung
Zwei-Faktor-Schutz Anmeldung am Konto mit App-Code oder Sicherheitsschlüssel, nicht nur per SMS Kontoeinstellungen
Automatische Sperre Tresor schließt sich nach einstellbarer Zeit ohne Nutzung Programmeinstellungen
Datensparsamkeit Keine Weitergabe an Werbepartner, keine unnötige Nutzungsanalyse Datenschutzerklärung
Serverstandort Bei Cloud-Diensten: wo die Daten liegen und welches Recht gilt AGB, Datenschutzerklärung
Plattformen Läuft auf allen Ihren Geräten und Browsern Download-Seite
Export und Backup Tresor lässt sich sichern und zu einem anderen Programm mitnehmen Hilfeseiten
Notfallzugang Vertrauensperson kann im Ernstfall nach Wartezeit zugreifen Funktionsübersicht, oft nur in Bezahlversionen

Laden Sie das Programm nur aus dem offiziellen App-Store oder von der Webseite des Herstellers. Auch das gehörte zu den Prüfkriterien des BSI, weil gefälschte Passwort-Apps ein naheliegendes Lockmittel für Kriminelle sind.

Wie sicher ist das Masterpasswort, und wie schützen Sie den Manager selbst?

Der Passwort-Manager ist so sicher wie sein Masterpasswort und das Gerät, auf dem er läuft. Wählen Sie eine lange Passphrase aus mehreren zufälligen Wörtern, die Sie nirgendwo sonst verwenden. Wie Sie dabei vorgehen, erklären wir im Ratgeber Wie erstelle ich ein sicheres Passwort?.

Aktivieren Sie zusätzlich die Zwei-Faktor-Authentifizierung für das Konto beim Anbieter. Selbst wenn jemand das Masterpasswort erfährt, fehlt ihm dann der zweite Faktor. Das BSI empfiehlt hier eine Authenticator-App oder einen Hardware-Schlüssel statt SMS.

Gegen eine Sache hilft kein Passwort-Manager: Schadsoftware auf einem bereits entsperrten Gerät. Läuft auf Ihrem Rechner ein Trojaner, der Tastatureingaben mitschneidet, kann er auch das Masterpasswort abgreifen. Halten Sie Betriebssystem und Programme deshalb aktuell, mehr dazu im Beitrag Warum sind Software-Updates so wichtig?.

Wichtig

Bewahren Sie das Masterpasswort und die Wiederherstellungscodes Ihres Passwort-Managers zusätzlich offline auf, etwa auf Papier in einem verschlossenen Umschlag zu Hause. Speichern Sie diese Angaben nicht im Passwort-Manager selbst, sonst sperren Sie sich im Ernstfall aus.

So ziehen Sie Ihre Passwörter aus dem Browser um

Der Umzug gelingt fast immer über eine Exportdatei im CSV-Format, die der neue Passwort-Manager einliest. In Chrome finden Sie den Export unter Menü (drei Punkte) › Passwörter und Autofill › Google Passwortmanager › Einstellungen › Passwörter exportieren. In Firefox und Edge gibt es eine vergleichbare Funktion in der Passwortverwaltung. Danach öffnen Sie im neuen Programm die Importfunktion und wählen die Quelle aus.

Die Exportdatei ist ein kritischer Moment. Sie enthält alle Passwörter in Klartext, lesbar für jeden, der Zugriff auf den Rechner hat. Gehen Sie deshalb in dieser Reihenfolge vor:

  1. Exportieren Sie die Datei, wenn möglich, auf einen Rechner, den nur Sie nutzen, und speichern Sie sie nicht in einem synchronisierten Cloud-Ordner.
  2. Importieren Sie sie sofort in den neuen Passwort-Manager und prüfen Sie stichprobenartig einige Einträge.
  3. Löschen Sie die CSV-Datei und leeren Sie anschließend den Papierkorb.
  4. Löschen Sie die gespeicherten Passwörter im Browser. In Chrome geht das unter Einstellungen des Google Passwortmanagers mit „Alle Google Passwortmanager-Daten löschen“. Achtung: Dabei werden auch dort gespeicherte Passkeys entfernt.
  5. Schalten Sie im Browser das Angebot zum Speichern von Passwörtern ab, damit nicht wieder ein zweiter, ungeschützter Bestand entsteht.

Importieren Sie dieselbe Datei nicht zweimal. Viele Programme erkennen keine Duplikate, und Sie haben danach jeden Eintrag doppelt.

Notfallzugang: Was passiert mit den Passwörtern, wenn Ihnen etwas zustößt?

Ohne Vorsorge kommen Angehörige an einen gut gesicherten Passwort-Tresor nicht heran. Das ist gewollt, kann im Todesfall oder bei schwerer Krankheit aber zum Problem werden, etwa wenn Verträge gekündigt oder Konten aufgelöst werden müssen.

Viele Passwort-Manager bieten deshalb einen Notfallzugang. Bei Bitwarden zum Beispiel laden Sie eine Vertrauensperson ein. Stellt diese im Ernstfall einen Antrag, erhält sie nach einer von Ihnen festgelegten Wartezeit Zugriff, entweder nur zum Lesen oder mit voller Übernahme des Kontos. Solange Sie handlungsfähig sind, können Sie den Antrag in dieser Frist ablehnen. Bei diesem Anbieter ist die Funktion Teil der Bezahlversion.

Auf die Nachlass-Funktionen der großen Plattformen sollten Sie sich dabei nicht verlassen. Apple erlaubt zwar einen Nachlasskontakt, der nach dem Tod mit Zugriffsschlüssel und Sterbeurkunde Fotos, Nachrichten und Dateien abrufen kann. Passwörter und Passkeys aus dem iCloud-Schlüsselbund gehören laut Apple aber ausdrücklich nicht dazu.

Bei lokalen Passwort-Managern ohne Notfallfunktion bleibt der klassische Weg: Masterpasswort und Speicherort der Tresordatei auf Papier notieren und bei Ihren Unterlagen für den Ernstfall hinterlegen, etwa zusammen mit der Vorsorgevollmacht.

Was tun, wenn der Passwort-Manager gehackt wurde?

Meldet Ihr Anbieter einen Sicherheitsvorfall, handeln Sie zuerst nach dessen Hinweisen und ändern dann gestaffelt Ihre wichtigsten Passwörter. Bei einem echten Zero-Knowledge-Dienst sind die Tresorinhalte auch nach einem Diebstahl nur mit Ihrem Masterpasswort lesbar. Je kürzer dieses war, desto eher sollten Sie handeln.

  1. Ändern Sie das Masterpasswort und prüfen Sie, ob die Zwei-Faktor-Anmeldung noch aktiv ist.
  2. Ändern Sie die Passwörter der zentralen Konten: E-Mail-Postfach zuerst, weil darüber alle anderen Konten zurückgesetzt werden können, danach Online-Banking, Bezahldienste, Online-Shops und soziale Netzwerke.
  3. Prüfen Sie Konten mit gespeicherten Zahlungsdaten auf ungewöhnliche Aktivitäten.
  4. Rechnen Sie mit gezielten Phishing-Mails, die sich auf den Vorfall beziehen. Wenn Webadressen unverschlüsselt abgeflossen sind, wissen Angreifer, bei welchen Diensten Sie Kunde sind.

Haben Sie den Verdacht, dass jemand Ihr Masterpasswort kennt, etwa nach einer Schadsoftware-Infektion, wechseln Sie es von einem sauberen Gerät aus. Hinweise dazu finden Sie im Ratgeber Identitätsdiebstahl: Was tun?.

Häufige Fragen

Ist es nicht riskant, alle Passwörter an einem Ort zu speichern?

Ein Restrisiko besteht, das BSI nennt es ausdrücklich: Gelingt ein Angriff auf den Manager, sind alle Passwörter auf einmal betroffen. Die Alternative ist für die meisten Menschen aber, dass sie wenige Passwörter mehrfach verwenden. Dann genügt schon ein Datenleck bei einem beliebigen Online-Shop, um mehrere Konten zu übernehmen.

Reicht der Passwortspeicher im Browser aus?

Er ist besser als mehrfach verwendete Passwörter, bietet laut BSI aber nur ein Mindestmaß an Schutz. Wenn Sie ihn nutzen, sichern Sie das Gerät mit PIN oder Passwort, halten Sie den Browser aktuell und aktivieren Sie, sofern angeboten, die zusätzliche Verschlüsselung mit einer eigenen Passphrase.

Sind kostenlose Passwort-Manager unsicherer?

Nicht automatisch. Es gibt quelloffene, kostenlose Programme, die gut dokumentiert und mehrfach geprüft sind. Bei kostenlosen Angeboten lohnt aber ein genauer Blick in die Datenschutzerklärung, weil sich manche Anbieter über die Auswertung von Nutzungsdaten finanzieren.

Kann ein Passwort-Manager auch Passkeys speichern?

Viele aktuelle Passwort-Manager können das, ebenso Apples Passwörter-App und der Google Passwortmanager. Was Passkeys sind und warum sie Phishing erschweren, erklären wir in Was sind Passkeys und sollten Sie sie nutzen?.

Was passiert, wenn der Anbieter seinen Dienst einstellt?

Das kommt vor. Exportieren Sie in so einem Fall rechtzeitig Ihre Daten und importieren Sie sie in ein anderes Programm. Prüfen Sie deshalb schon bei der Auswahl, ob ein vollständiger Export möglich ist.

Quellen

Weiterlesen auf Safety-IT

Das könnte dich auch interessieren