Wie man einen zuverlässigen Passwort-Manager wählt
Ein Passwort-Manager ist eines der wenigen Tools der digitalen Hygiene, das das Risiko von Account-Übernahmen tatsächlich senkt — allerdings sind nicht alle Apps gleich vertrauenswürdig. Hier sind die technischen Kriterien, auf die Sie achten sollten, bevor Sie einem Dienst Ihre Passwörter anvertrauen.
Wozu überhaupt ein Passwort-Manager
Die häufigste Ursache für gehackte persönliche Konten ist nicht ein raffinierter Hacker, sondern das gute alte wiederverwendete Passwort. Wenn dasselbe Passwort für E-Mail, ein soziales Netzwerk und einen Onlineshop gilt, öffnet ein Datenleck bei einem dieser Dienste automatisch die Tür zu allen anderen. Ein Passwort-Manager löst das denkbar einfach: Er erzeugt für jede Website ein einzigartiges, komplexes Passwort und speichert diese verschlüsselt — sodass Sie sich nur ein einziges Master-Passwort merken müssen.
Das wichtigste Kriterium: die „Zero-Knowledge“-Architektur
Bevor Sie Oberflächen und Preise vergleichen, sollten Sie verstehen, wie die Datenspeicherung innerhalb des Dienstes funktioniert. Zuverlässige Passwort-Manager verwenden ein Zero-Knowledge-Modell: Die gesamte Verschlüsselung erfolgt lokal auf Ihrem Gerät, bevor die Daten überhaupt an den Server des Anbieters gesendet werden. Der Verschlüsselungsschlüssel wird aus dem Master-Passwort abgeleitet und nie an den Dienstanbieter übertragen oder bei ihm gespeichert — selbst bei einem Einbruch in die Server des Unternehmens bleiben die gestohlenen Daten also ein nutzloser verschlüsselter Datenblock.
Für die Verschlüsselung des Tresors selbst ist AES-256 der Industriestandard, und der aus dem Master-Passwort abgeleitete Schlüssel sollte über einen brute-force-resistenten Algorithmus wie Argon2id oder PBKDF2 mit hoher Iterationszahl erzeugt werden — genau diese Algorithmen empfiehlt auch die OWASP Password Storage Cheat Sheet zur Speicherung von Geheimnissen. Wenn ein Hersteller nicht offenlegt, welchen Algorithmus er verwendet, ist das ein Grund zur Vorsicht.
Fünf weitere praktische Kriterien
- Unabhängige Audits. Achten Sie auf Pentest-Berichte oder offenen Quellcode der Client-Apps — bloße Eigenaussagen wie „wir sind sicher“ beweisen nichts.
- Zwei-Faktor-Authentifizierung für den Zugang zum Manager selbst — ein separater Code oder Sicherheitsschlüssel schützt den Tresor auch dann, wenn das Master-Passwort abgeschaut oder abgefangen wurde.
- Plattformübergreifend nutzbar und offline verfügbar. Passwörter sollten auf Telefon und Computer auch ohne Internet zugänglich sein — sonst stehen Sie im entscheidenden Moment ohne Zugriff auf Ihre eigenen Konten da.
- Datenexport. Die Möglichkeit, Passwörter in einem Standardformat zu exportieren, schützt davor, sich für immer an einen einzigen Anbieter zu binden.
- Transparente Vorfallhistorie. Achten Sie nicht auf die Behauptung „wir wurden nie gehackt“, sondern darauf, wie das Unternehmen im Ernstfall über Vorfälle informiert hat und was es danach an der Architektur geändert hat.
Das Master-Passwort — das verwundbarste Glied im gesamten System
Wie stark die Verschlüsselung auch sein mag — alles hängt an einem einzigen Master-Passwort. Die aktuellen NIST-SP-800-63B-Empfehlungen verlagern den Fokus von der Komplexität hin zur Länge: Organisationen wird davon abgeraten, eine verpflichtende Mischung aus Zeichentypen oder einen planmäßig erzwungenen Passwortwechsel zu verlangen — stattdessen liegt der Schwerpunkt auf ausreichender Länge und dem Abgleich mit Listen bereits kompromittierter Passwörter. Für das Master-Passwort bedeutet das in der Praxis Folgendes.
- Bilden Sie eine Phrase aus vier oder fünf zufälligen, inhaltlich nicht zusammenhängenden Wörtern — ab fünfzehn Zeichen Länge ist sie deutlich schwerer per Brute-Force zu knacken als ein kurzes Passwort mit ein paar Sonderzeichen.
- Verwenden Sie dieses Passwort nirgendwo sonst — bei keinem anderen Dienst.
- Aktivieren Sie die Anmeldung per Code aus einer separaten App und nicht nur per Passwort — mehr dazu im Beitrag zur Zwei-Faktor-Authentifizierung.
- Bewahren Sie den offiziellen Wiederherstellungscode offline auf — auf Papier in einem Safe oder in einem anderen Manager — nicht in E-Mails oder in den Notizen des Telefons.
- Ändern Sie das Master-Passwort nicht „vorsichtshalber einmal im Quartal“, sondern bei Verdacht auf eine Kompromittierung: eine erzwungene Rotation ohne Anlass führt in der Regel zu schwächeren, vorhersehbareren Passwörtern.
Schnelle Checkliste vor der Registrierung
Diese Punkte können Sie in wenigen Minuten auf der Website des Dienstes prüfen, bevor Sie dort einen Tresor anlegen.
- Es gibt eine öffentliche Beschreibung des Verschlüsselungsmodells: Zero-Knowledge, AES-256, der Algorithmus zur Schlüsselableitung aus dem Master-Passwort.
- Es gibt Berichte unabhängiger Audits oder offenen Quellcode der Client-Apps.
- 2FA oder ein Passkey wird für die Anmeldung am Manager-Konto selbst unterstützt.
- Es gibt Apps für alle Ihre Geräte und einen Offline-Modus.
- Es gibt einen verständlichen Datenexport in einem Standardformat.
Und wenn die Anmeldung am Passwort-Manager über öffentliches WLAN erfolgt
Der Zugriff auf den Passwort-Tresor aus einem Café, Flughafen oder Hotel ist ein Sonderfall. Die Verschlüsselung des Tresors schützt die Daten selbst dann, wenn das Netzwerk unsicher ist, aber ein zusätzliches Schutzniveau für die Verbindung selbst senkt das Risiko, dass gleichzeitig auch andere Daten abgefangen werden, die über dasselbe Netzwerk laufen — mehr dazu im Beitrag zum Schutz Ihrer Daten in öffentlichem WLAN. Die HamikVPN-App verschlüsselt beispielsweise die Internetverbindung auf Telefon und Computer, was in genau solchen Situationen mit fremden Netzwerken praktisch sein kann.