Passwort Manager: Schluss mit dem Passwort-Chaos

Was muss ein guter Passwort Manager wirklich können?

Ein hübsches Design, ein bekanntes Logo und das Versprechen „maximaler Schutz“ reichen nicht. Ein Passwort Manager verarbeitet besonders sensible Daten. Deshalb sollten Sie vor der Installation genauer hinsehen als bei einer Wetter-App oder einem Spiel.

Das Programm muss Ihre Zugangsdaten verschlüsseln, starke Passwörter erzeugen und zuverlässig auf den Geräten funktionieren, die Sie täglich verwenden. Es sollte außerdem vor mehrfach genutzten Passwörtern warnen und einen Export ermöglichen. Sonst droht später eine unnötige Abhängigkeit vom Anbieter.

Eine gemeinsame Untersuchung des Bundesamts für Sicherheit in der Informationstechnik und der Verbraucherzentrale Nordrhein-Westfalen zeigte 2025, dass Passwortmanager grundsätzlich sinnvolle Sicherheitswerkzeuge sind, sich einzelne Angebote aber bei Sicherheit, Datenschutz und Transparenz unterscheiden.

Ihr Mindestcheck:

• nachvollziehbare Verschlüsselung
• Apps für alle genutzten Geräte
• zusätzlicher Anmeldeschutz
• Export der gespeicherten Daten
• regelmäßige Updates
• verständliche Wiederherstellung
• transparente Anbieterinformationen

Welche Werbeversprechen sollten Sie misstrauisch machen?

Kein Anbieter kann hundertprozentige Sicherheit garantieren. Ein Passwort Manager kann das Risiko deutlich senken, aber nicht ein unsicheres Gerät, unvorsichtiges Verhalten oder jede Form von Schadsoftware ausgleichen.

Misstrauisch machen sollten Sie Aussagen wie „unknackbar“, „vollständig risikofrei“ oder „einmal installieren und nie wieder an Sicherheit denken“. Seriöse Anbieter erklären vielmehr, wie ihre Verschlüsselung funktioniert, welche Prüfungen stattgefunden haben und was Nutzer selbst beachten müssen.

Verzichten Sie auf ein Programm, wenn:

• der Anbieter kaum identifizierbar ist
• keine klare Datenschutzerklärung existiert
• seit langer Zeit kein Update erschienen ist
• der Download nur über Werbeanzeigen oder fremde Portale angeboten wird
• keine zusätzliche Anmeldebestätigung möglich ist
• Ihre gespeicherten Daten nicht exportiert werden können

Laden Sie Sicherheitssoftware nur über die offizielle Website oder den App-Store Ihres Geräts. Ein gefälschter Passwortmanager wäre besonders gefährlich, weil Sie ihm freiwillig sämtliche Zugangsdaten anvertrauen.

Welche Lösungen kommen grundsätzlich infrage?

Es gibt drei Hauptgruppen: integrierte Passwortverwaltungen, geräteübergreifende Onlinedienste und lokal gespeicherte Lösungen.

Die integrierten Angebote von Apple, Google oder Microsoft sind bequem, wenn Sie überwiegend in einem System bleiben. Das Speichern und Einfüllen funktioniert meist ohne zusätzliche Installation. Bei einem späteren Wechsel auf andere Geräte kann die Bindung an den Hersteller jedoch störend werden.

Plattformübergreifende Dienste wie Bitwarden und 1Password funktionieren auf verschiedenen Betriebssystemen. Bitwarden stellt Informationen zu unabhängigen Prüfungen, quelloffenem Programmcode und seinem Verschlüsselungsmodell bereit. 1Password setzt unter anderem auf ein zusätzliches geheimes Konto-Merkmal neben dem Hauptpasswort.

KeePassXC speichert die Passwortdatenbank lokal. Das kann für technisch versierte Nutzer attraktiv sein, weil sie Speicherort und Sicherung selbst bestimmen. Dafür müssen Backups und die Nutzung auf mehreren Geräten eigenständig organisiert werden. KeePassXC veröffentlicht Berichte zu externen Sicherheitsprüfungen.

Keines dieser Beispiele ist automatisch für jeden die beste Wahl. Entscheidend ist, welche Lösung Sie dauerhaft korrekt und bequem verwenden.

Wie prüfen Sie Verschlüsselung und Sicherheit, ohne Experte zu sein?

Sie müssen keine technischen Fachberichte lesen. Einige klare Angaben sollten auf der Herstellerseite trotzdem leicht auffindbar sein.

Der Anbieter sollte erklären, dass die gespeicherten Daten bereits auf Ihrem Gerät verschlüsselt werden und nicht offen auf einem Server liegen. Begriffe wie Ende-zu-Ende-Verschlüsselung oder Zero-Knowledge-Modell sind gute Hinweise, ersetzen aber keine verständliche Dokumentation.

Suchen Sie außerdem nach:

• unabhängigen Sicherheitsprüfungen
• einem nachvollziehbaren Umgang mit Sicherheitslücken
• Angaben zu regelmäßigen Updates
• einer Funktion für den zweiten Anmeldeschritt
• einer klaren Beschreibung des Datenexports

Eine Empfehlungen nennen Verschlüsselung, Passkeys oder Zwei-Faktor-Authentifizierung als wichtige Auswahlmerkmale.

Warum ist die Wiederherstellung so wichtig?

Das sicherste Programm nützt wenig, wenn Sie nach einem Handyverlust oder einem vergessenen Hauptpasswort nicht mehr an Ihre Daten kommen. Prüfen Sie deshalb vor der Entscheidung, wie der Anbieter mit solchen Fällen umgeht.

Manche Dienste ermöglichen eine Kontowiederherstellung, andere setzen bewusst auf ein Modell, bei dem der Anbieter Ihr Hauptpasswort nicht zurücksetzen kann. Das erhöht den Datenschutz, verlangt aber eine saubere eigene Notfallplanung.

Klären Sie vorab:

• Gibt es Wiederherstellungscodes?
• Kann eine Vertrauensperson als Notfallkontakt eingerichtet werden?
• Funktioniert der Zugang auf einem Ersatzgerät?
• Lassen sich verschlüsselte Sicherungen erstellen?
• Was passiert, wenn der zweite Faktor verloren geht?

Drucken Sie Wiederherstellungscodes aus und bewahren Sie sie sicher auf. Ein Screenshot im ungesperrten Fotoordner ist keine belastbare Lösung.

Welche Konten müssen als Erste abgesichert werden?

Die wichtigste Adresse ist häufig das E-Mail-Konto. Wer darauf zugreifen kann, kann bei zahlreichen Diensten eine Passwort-Rücksetzung auslösen. Danach folgen die Hauptkonten Ihrer Geräte, Finanzzugänge und Shops mit hinterlegten Karten.

Priorität haben:

• E-Mail
• Online-Banking und Bezahldienste
• Apple-, Google- oder Microsoft-Konto
• Mobilfunkvertrag
• soziale Netzwerke
• Kundenkonten mit Zahlungsdaten

Lassen Sie für jeden Dienst ein eigenes Zufallspasswort erzeugen. Ein Wechsel von „Urlaub2025!“ zu „Urlaub2026!“ ist keine echte Verbesserung.

Online-Banking – wie sicher ist das? zeigt, weshalb außerdem aktuelle Geräte, geprüfte Internetadressen und ein vorsichtiger Umgang mit Freigabecodes wichtig bleiben. Cybercrime trifft Menschen jeden Alters. Erfahren Sie in unserem Beitrag, wie Sie Betrug, Phishing und Fake-Shops erkennen und sich online besser schützen. Cybercrime erkennen: Sind Sie online wirklich sicher?

Was bedeutet Zwei-Faktor-Authentifizierung konkret?

Zusätzlich zum Hauptpasswort wird ein zweiter Nachweis verlangt. Das kann eine Bestätigung in einer App, ein Sicherheitsschlüssel oder ein Passkey sein. Erfährt jemand Ihr Hauptpasswort, fehlt ihm damit weiterhin der zweite Schritt.

Aktivieren Sie diese Funktion mindestens für:

• den Passwort Manager
• das E-Mail-Konto
• Banking und Bezahldienste
• wichtige soziale Netzwerke
• zentrale Gerätekonten

Bewahren Sie den zweiten Faktor nicht ausschließlich auf einem einzigen ungesicherten Smartphone auf. Planen Sie einen Ersatzweg ein.

Wie erkennen Sie eine gefälschte Anmeldeseite?

Ein Passwort Manager kann dabei helfen. Er ordnet gespeicherte Zugangsdaten einer bestimmten Internetadresse zu. Auf einer ähnlich aussehenden Fälschung wird das Passwort oft nicht automatisch eingefügt.

Das ist ein Warnsignal. Öffnen Sie den Dienst in diesem Fall über die offizielle App oder eine selbst eingetippte Adresse. Kopieren Sie das Passwort nicht reflexartig in das leere Feld.

Besonders verdächtig sind:

• unerwartete Aufforderungen zur Anmeldung
• Drohungen mit einer sofortigen Kontosperre
• angebliche Rückzahlungen oder Gewinne
• ungewöhnliche Absenderadressen
• Anfragen nach Passwörtern oder Bestätigungscodes

Digitale Sicherheit: So schützen Sie sich vor Betrug erklärt, wie Phishing und manipulierte Zahlungsaufforderungen funktionieren.

Wie wechseln Sie ohne Chaos?

Importieren Sie vorhandene Passwörter nur, wenn Sie der bisherigen Quelle und dem Importverfahren vertrauen. Danach bearbeiten Sie nicht alle Zugänge gleichzeitig, sondern nach Risiko.

Ein sinnvoller Ablauf:

• Hauptpasswort und zweiten Faktor einrichten
• E-Mail-Zugang austauschen
• Finanz- und Gerätekonten absichern
• doppelte Passwörter schrittweise ersetzen
• ungenutzte Konten löschen
• Datenexport einmal testweise durchführen

Kontrollieren Sie nach einigen Wochen, ob Sie das Programm auf Computer und Smartphone tatsächlich nutzen. Ein theoretisch perfektes System, das Ihnen im Alltag zu umständlich ist, bringt weniger als eine solide Lösung, die zuverlässig verwendet wird.

Passwort Sicherheit hängt deshalb nicht an einem Produktnamen. Entscheidend sind Verschlüsselung, ein starker Hauptzugang, ein zweiter Faktor und die Bereitschaft, jedes Konto mit einem eigenen Passwort zu schützen.