Ein Passwortmanager verwaltet Zugangsdaten verschlüsselt. Welche Daten besonders geschützt werden müssen und wie Speicherort, Geräte und Funktionen die Auswahl bestimmen.
Inhalt auf einen Blick
Welche Daten müssen im Passwortmanager geschützt werden?
Geschützt werden müssen vor allem die gespeicherten Zugangsdaten: Benutzernamen beziehungsweise E-Mail-Adressen und die dazugehörigen individuellen Passwörter. Bei einem Passwortmanager mit Masterpasswort kommt dieses als besonders wichtiges Geheimnis hinzu. Außerdem zählt, wo der verschlüsselte Passwortbestand liegt: nur auf einem Gerät oder zusätzlich beim Anbieter zur Synchronisierung.
Für den Alltag ergibt sich daraus folgende Priorität:
- Kontopasswörter: Für E-Mail, Online-Banking, soziale Netzwerke und Einkaufskonten jeweils ein eigenes starkes Passwort verwenden.
- Zugehörige Anmeldedaten: Benutzernamen und E-Mail-Adressen zusammen mit dem richtigen Passwort verwalten.
- Masterpasswort: Eine komplexe Kombination wählen und den dauerhaften Zugriff darauf sicherstellen. Bei Verlust können im schlechtesten Fall sämtliche gespeicherten Daten verloren sein.
- Gespeicherter Passwortbestand: Bei der Auswahl klären, ob die Daten lokal oder zusätzlich in der Infrastruktur des Anbieters liegen.
Ein Passwortmanager nimmt die Aufgabe ab, viele unterschiedliche Zugangsdaten im Kopf zu behalten. Er verwahrt sie verschlüsselt. Das BSI erklärt Funktionsweise und Auswahlkriterien. Entscheidend ist damit nicht allein eine möglichst lange Funktionsliste, sondern eine Verwaltung, die zu den eigenen Konten und Geräten passt.
Welche Lösung passt zum eigenen Alltag?
Die Auswahl sollte sich danach richten, auf welchen Geräten Sie Ihre Zugangsdaten brauchen und wer den Speicherbetrieb übernimmt. Die folgenden Unterschiede beruhen auf der jeweiligen Herstellerdokumentation. Sie sind Auswahlkriterien und keine eigene Testrangliste.
| Lösung | Sinnvoller Ausgangspunkt | Dokumentierte Eigenschaft | Grenze für die Auswahl |
|---|---|---|---|
| Google Passwortmanager | Wenn Chrome und Android bereits den Alltag bestimmen | Dort integriert, keine zusätzliche Installation nötig | Geräteübergreifende Nutzung ist laut Google mit der Synchronisierung des Google-Kontos verbunden |
| Bitwarden | Wenn kostenlose Grundfunktionen wichtig sind oder eigener Serverbetrieb geprüft werden soll | Der Hersteller nennt kostenlose Kernfunktionen und dokumentiert den Betrieb auf eigenen Linux- oder Windows-Servern | Ein eigener Server erfordert technische Einrichtung und Betreuung; zusätzliche Premiumfunktionen sind gesondert zu prüfen |
| Keeper | Wenn ein cloudbasierter Abgleich zwischen Geräten gewünscht ist | Laut Hersteller werden Daten vor der Übertragung lokal verschlüsselt und beim Abgleich verschlüsselt übertragen | Die Dokumentation beschreibt das Herstellermodell und ersetzt keinen unabhängigen Sicherheitstest; die benötigten Geräte und Tarifbedingungen separat prüfen |
Bitwarden beschreibt die Unterschiede seiner Tarife; eine eigene Serverinstallation ist in einer separaten Anleitung dokumentiert. Keeper erläutert Verschlüsselung und Cloud-Abgleich. Entscheidend ist damit, ob eine bereits genutzte Umgebung genügt, ein eigenständiger Dienst benötigt wird oder der eigene Serverbetrieb sinnvoll betreut werden kann.
Falls Avira bereits auf der persönlichen Auswahlliste steht, bietet der Beitrag zum Avira Password Manager einen ergänzenden Einstieg zu diesem Produkt.
Kostenlos oder kostenpflichtig: Wofür lohnt sich ein Aufpreis?
Ein kostenpflichtiger Tarif lohnt sich nur, wenn er eine tatsächlich benötigte Zusatzfunktion bietet. Bitwarden führt beispielsweise den integrierten TOTP-Authenticator, verschlüsselte Dateianhänge und einen Notfallzugang als Premiumfunktionen auf. Das ist eine Herstellerangabe zum Funktionsumfang und kein Beleg dafür, dass ein höherer Preis automatisch mehr Sicherheit für jeden Anwendungsfall bedeutet.
Vor einem Abschluss helfen drei Fragen:
- Welche benötigten Funktionen sind im gewählten Tarif tatsächlich enthalten?
- Ist ein Zusatzpaket nötig oder reicht der Grundtarif?
- Was kostet das Angebot über die gewünschte Laufzeit und bei einer Verlängerung?
Wer vor allem auf das Budget achtet, kann die Vorauswahl mit der Übersicht zu günstigen Passwortmanagern ergänzen. Maßstab sollte bleiben, ob das Angebot die eigenen Anforderungen erfüllt.
Lokaler Tresor oder Cloud: Worauf kommt es beim Datenschutz an?
Ein Passwortmanager kann den Passwortbestand lokal speichern oder für die Nutzung auf mehreren Geräten zusätzlich die Infrastruktur eines Anbieters verwenden. Wer regelmäßig zwischen Computer und Smartphone wechselt, sollte die Synchronisierung deshalb ausdrücklich in die Auswahl einbeziehen.
Speicherort und Zugriffsschutz sind dabei zwei getrennte Fragen. Die Angabe, dass Passwörter verschlüsselt werden, beantwortet für sich genommen noch nicht, ob ein Anbieter technisch auf sie zugreifen könnte. Verbraucherzentrale NRW und BSI untersuchten im ersten Halbjahr 2025 zehn Passwort-Speicher. Die Verbraucherzentrale NRW berichtet dazu, dass bei einigen untersuchten Lösungen ein Anbieterzugriff theoretisch möglich war und etwa die Hälfte datensparsam arbeitete. Das sind Befunde zur damaligen Untersuchung, keine pauschale Bewertung aller heutigen Passwortmanager.
Für die eigene Entscheidung sollten daher diese Punkte geklärt werden:
- Liegt der Passwortbestand nur lokal oder zusätzlich beim Anbieter?
- Wie funktioniert die gewünschte Synchronisierung?
- Welche Aussage macht die Dokumentation zum möglichen Zugriff des Anbieters?
- Gibt es eine unabhängige Untersuchung, die genau diese Fragen für das Produkt behandelt?
Der Vergleich der Verbraucherzentrale NRW hilft dabei, Datenschutz und Bedienkomfort getrennt zu betrachten. Aus einem Serverstandort allein sollte keine Sicherheitsbewertung abgeleitet werden.
So richten Sie die Passwortverwaltung systematisch ein
Aus den Auswahlkriterien des BSI lässt sich ein praktischer Ablauf ableiten:
- Konten zusammenstellen. Notieren Sie, welche Zugänge verwaltet werden sollen, etwa E-Mail, Banking, Einkaufskonten und soziale Netzwerke.
- Geräte und Browser festlegen. Prüfen Sie vor der Auswahl, ob die Lösung die tatsächlich genutzten Umgebungen abdeckt.
- Speicherart auswählen. Entscheiden Sie, ob lokale Speicherung genügt oder der Passwortbestand auf mehreren Geräten synchronisiert werden soll.
- Zugang zum Passwortmanager absichern. Vergeben Sie bei einer Lösung mit Masterpasswort eine komplexe Kombination. Prüfen Sie außerdem, welche zusätzliche Absicherung durch einen zweiten Faktor angeboten wird.
- Zugangsdaten übernehmen. Speichern Sie Benutzernamen und Passwörter beim jeweils zugehörigen Konto. Nutzen Sie eine Importfunktion nur entsprechend der Anleitung des gewählten Produkts.
- Wiederverwendete und schwache Passwörter ersetzen. Nutzen Sie dafür, soweit vorhanden, den Passwortgenerator. Ändern Sie das Passwort auch beim jeweiligen Online-Dienst; ein neuer Eintrag im Passwortmanager allein ist nicht das Ziel.
- Den vorgesehenen Alltag ausprobieren. Prüfen Sie mit einem Konto, ob Anmeldung und gegebenenfalls Synchronisierung auf den benötigten Geräten wie gewünscht funktionieren.
Die zentrale Regel bleibt: Jedes Konto bekommt ein eigenes starkes Passwort. Ein besonders starkes, aber mehrfach verwendetes Passwort löst das Problem der Wiederverwendung nicht.
Konkretes Beispiel: Google Passwortmanager in Chrome und Android
Für Menschen, die Chrome und Android verwenden möchten, beschreibt Google folgenden Einrichtungsweg. Autofill bezeichnet das automatische Ausfüllen von Anmeldedaten.
- Aktivieren Sie in Chrome die Synchronisierung mit dem gewünschten Google-Konto.
- Öffnen Sie auf dem Android-Gerät die Einstellungen und suchen Sie nach Autofill-Service.
- Wählen Sie Google als Dienst für das automatische Ausfüllen aus.
- Nutzen Sie anschließend den Passwortcheck, um die von Google erkannten Sicherheitsprobleme bei gespeicherten Passwörtern zu prüfen und betroffene Zugangsdaten zu ändern.
Nach Herstellerangaben werden die gespeicherten Passwörter verschlüsselt. Die Produktseite des Google Passwortmanagers erläutert Einrichtung und Funktionen. Ob diese Form der Kontosynchronisierung zum eigenen Datenschutzbedarf passt, sollte vor der Nutzung entschieden werden.
Welche Grenzen bleiben bei der täglichen Nutzung?
Passwortmanager können beim Erkennen verdächtiger Anmeldeseiten helfen. Das BSI nennt als Beispiel eine Warnung, wenn die aufgerufene Webadresse von der gespeicherten abweicht. Daraus folgt keine Garantie, dass jede betrügerische Seite erkannt wird. Bei einer Warnung sollte deshalb zuerst die Webadresse geprüft werden, bevor Zugangsdaten eingegeben werden.
Ebenso wichtig bleibt der Zugang zum eigenen Passwortbestand. Bei einer Lösung mit Masterpasswort sollte vor dem vollständigen Umstieg geklärt werden, welche Wiederherstellungsmöglichkeiten das konkrete Produkt vorsieht. Ein verlorenes Masterpasswort kann im schlechtesten Fall den Verlust aller gespeicherten Daten bedeuten.
Für die Auswahl ergibt sich eine klare Reihenfolge: zuerst passende Geräte und Speicherart, dann nachvollziehbarer Zugriffsschutz und eine praktikable Bedienung, danach zusätzliche Funktionen. Verbraucherzentrale NRW und BSI sehen trotz festgestellter Defizite einzelner untersuchter Produkte einen überwiegenden Nutzen von Passwortmanagern.
Bei Verlust des Masterpassworts können im schlechtesten Fall alle gespeicherten Daten verloren sein. Verschlüsselung allein belegt nicht, dass ein Anbieter technisch keinen Zugriff auf gespeicherte Passwörter haben kann. Die genannten Befunde der Verbraucherzentrale NRW und des BSI beziehen sich auf eine Untersuchung aus dem ersten Halbjahr 2025.
