Passwort-Manager: Tipps & Tools für die Passwort-Verwaltung

Wer heutzutage im Netz unterwegs ist, dürfte schnell über die zahllosen Accounts fluchen, die sich mit der Zeit ansammeln. Jeder davon braucht ein eigenes Passwort, das noch dazu sicher sein sollte. Das Problem dabei: Irgendwann kann sich niemand mehr merken, welches Passwort er für welchen Dienst verwendet hat und es kommt zwangsläufig zu Dopplungen und ständigen Passwort-Rücksetzungen. Zwar erlauben viele Webbrowser das Abspeichern von Passwörtern – sicher ist das jedoch je nach Browser nicht unbedingt. Außerdem sind die Zugangsdaten so nur innerhalb dieses einen Browsers verfügbar. Wer sich also über ein anderes Gerät oder einen anderen Browser einloggen möchte, steht dann im Zweifel ohne seine Zugangsdaten da. Kurzum: Wer viel mit Passwörtern hantiert, sollte zu einem Passwort-Manager greifen.

So steigern Passwort-Manager die Sicherheit

Bei Passwort-Managern handelt es sich um externe Dienste, die sich über kleine Tools und Plug-Ins im Browser und Betriebssystem einklinken. Diese speichern Passwörter sicher ab und synchronisieren sie auf Wunsch auch verschlüsselt über die Cloud. Das ist vor allem dann praktisch, wenn mehrere Computer, Smartphones und Tablets zum Einsatz kommen: Passwort-Manager sorgen nämlich dafür, dass auf jedem System immer alle Passwörter vorhanden sind. Als Anwender muss man sich so nur das Master-Passwort für den Passwort-Manager selbst merken, um sich in seine Accounts einzuloggen. Und wenn man sich einen neuen Account für eine Webseite anlegt, übernimmt der Passwort-Manager auch gleich die Passwort-Generierung: Da diese Passwörter nicht von Menschen gemerkt werden müssen, sind diese besonders kompliziert und damit sicher.

Passwort-Manager für Unternehmen

Privates Passwort-Management ist relativ einfach: Der Anwender bucht einen Dienst seiner Wahl, legt seine Passwörter hier ab und kann von den zahlreichen Vorteilen des Passwort-Managers profitieren. Bei Unternehmen sieht das ein wenig anders aus: Hier kommt es nicht nur auf die Sicherheit an, sondern auch darauf, dass sich Passwörter einfach verwalten, vergeben und zurückziehen lassen. Zudem müssen gleiche Passwörter auf mehreren Rechnern des Unternehmens zum Einsatz kommen. Der Vorteil von Business-Passwort-Managern liegt dadurch auf der Hand: Alle Passwörter werden zentral verwaltet, die Übermittlung auf unsicheren Wegen wie Chat, E-Mail oder Papier entfällt vollständig.

Alle Passwörter auf allen Geräten

Gerade Unternehmen, die viel mit Drittanbieter-Diensten wie Google, Facebook oder Instagram arbeiten, sollten daher über einen Passwort-Manager für Unternehmen nachdenken. Es gibt mehrere Passwort-Manager, die entsprechende Tarife für den Business-Einsatz anbieten, darunter NordPass*, Dashlane* und LastPass*. Achtung: Hier müssen gegebenenfalls die Compliance-Regeln angepasst werden, auch der Datenschutz sollte im Auge behalten werden, wenn die Daten bei einem Drittanbieter hinterlegt werden. Unternehmen, die das umgehen wollen, können ihren Passwort-Manager auch selber hosten, etwa mit Passwork.

Vergleich: Passwort-Manager für Privat und Unternehmen

Im Folgenden stellen wir einige kommerzielle Passwort-Manager vor, die sich an Privatnutzer und teils auch Unternehmen richten. Im Anschluss gehen wir gesondert auf Passwort-Verwaltung am Mac sowie kostenlose Passwort-Manager ein.

• Der VPN-Anbieter NordVPN (Test) hat mit NordPass* auch einen Passwort-Manager im Angebot. Der liefert eine schlanke und handliche Verwaltung für Passwörter, persönliche Daten und Kreditkarten. Passwörter werden über die sichere NordPass-Infrastruktur synchronisiert. Bei Bedarf können Passwörter sicher mit Dritten geteilt werden. Mit einem Recovery-Code kann man sich Notzugang zu seinen Passwörtern verschaffen, wenn man das Master-Passwort vergessen hat. NordPass setzt nicht auf den AES-, sondern auf den XChaCha20-Algorithmus zum Ver- und Entschlüsseln von Daten. Dieser unterstützt Schlüssel in zwei verschiedenen Längen, wobei die 256-Bit-Verschlüsselung am sichersten ist. NordPass bietet neben den Privattarifen für Einzelnutzer und Familien auch Business-Tarife* für Firmen an. Es gibt Optionen sowohl für kleine und mittlere Unternehmen als auch für größere Konzerne.
  
  Spartipp: Aktuell gibt es den Passwort-Manager zum halben Preis*. Für das 2-Jahresabonnement zahlen Sie heruntergerechnet nur 1,77 € pro Monat. (Stand: 01.02.2024)
  
  
• 1Password* gehört zu den dienstältesten Passwortmanagern, sodass man sich auf die jahrelange Erfahrung des Anbieters verlassen kann. Mit einem Gigabyte sicherem Cloud-Speicher gibt es zudem die Möglichkeit, vertrauliche Daten sicher abzulegen. Interessant ist der Reisemodus, der beim Grenzübertritt in nicht ganz so demokratische Länder hilft: Hierbei werden vertrauliche Daten gelöscht, bevor die Grenze überschritten wird und anschließend wiederhergestellt. Zusätzlich prüft 1Password Passwörter auf bereits vorhandene Cyberattacken und schlägt sichere Passwörter vor.
  
  
• Dashlane* ist ein Passwort-Safe, der viele Preise gewonnen hat. Das liegt einerseits an der unkomplizierten Bedienung und andererseits an der breiten Unterstützung aller Betriebssysteme. Neben dem Passwortspeicher gibt es die Möglichkeit, Adressen und Formulare mit einem Klick auszufüllen und Zahlungsdaten zu hinterlegen. Dashlane besitzt außerdem einen Darknet-Monitor, der in Passwortlisten auftauchende Passwörter meldet. Zusätzlich gibt es eine Business-Version, die Unternehmen dabei hilft, Passwörter effektiv zu verwalten und Mitarbeitern weiterzugeben.
  
  
• Ein Tipp für Unternehmen ist Passwork. Neben einer Cloud-Variante gibt es den Passwort-Manager auch als selbst-gehostete Lösung: sowohl die Software als auch alle Daten werden dann auf den eigenen Firmen-Servern gespeichert. Passwork erlaubt ein umfangreiches Rechte- und Rollenmanagement, sodass verschiedene Tresore angelegt und für Teams, Abteilungen oder Einzelpersonen freigegeben werden können. Der Quellcode der Software lässt sich einsehen und eine Active-Directory-Unterstützung ist ebenfalls inklusive. Eine auf fünf Benutzer begrenzte Version lässt sich kostenlos testen.
  
  
• Avira hat neben seiner Antiviren-Software auch den Avira Passwort-Manager* im Angebot. Der klinkt sich in allen bekannten Browsern auf allen Geräten – Chrome, Firefox, Edge, Safari und Opera – ein und kann hier nicht nur Passwörter speichern und synchronisieren, sondern auch sichere Passwörter vorschlagen. Ab der Pro-Version bietet auch Avira einen Sicherheits-Check, der automatisch prüft, ob Zugangsdaten im Rahmen einer Cyberattacke gestohlen wurden. Bereits bestehende Passwörter werden zudem laufend auf ihre Sicherheit geprüft.
  

Passwort-Manager für den Mac: Sinnvoll oder nicht?

Anders als viele andere Betriebssysteme hat MacOS – und mit ihm auch iOS – schon seit geraumer Zeit einen leistungsstarken integrierten Passwort-Manager über die sogenannte Schlüsselbundverwaltung. Hier werden alle Passwörter zentral abgelegt und auf Wunsch automatisch über Apples iCloud-Service zwischen Mac, iPhone und iPad übermittelt. Die entsprechende Funktion lässt sich in den iCloud-Einstellungen aller Geräte setzen. Ein großer Vorteil des iCloud-Schlüsselbunds ist übrigens, dass er auch sichere Passwörter vorschlägt und direkt abspeichert, ohne dass Drittanbieter-Lösungen zum Einsatz kommen.

Das Problem dabei: So einfach der Manager innerhalb des Apple-Ökosystems zu nutzen ist, so nutzlos ist er, wenn zusätzlich Windows oder gar Linux und Android zum Einsatz kommen. Zwar besitzt die iCloud für Windows inzwischen eine Möglichkeit, auch iPhone/iPad und einen Chrome-Browser unter Windows synchron zu halten, allerdings nutzt diese Funktion nichts, wenn andere Browser verwendet werden oder gar Linux- und Android-Geräte im Spiel sind. Auch bei Nutzung von Safari-Alternativen unter MacOS und iOS ist der Schlüsselbund keine Hilfe. In all diesen Fällen wird also nach wie vor ein externer Passwort-Manager am Mac benötigt. Anwender sollten dann darauf achten, ein Tool zu verwenden, das alle möglichen Browser unterstützt. Das ist aber inzwischen bei den allermeisten Diensten der Fall.

Kostenlose Passwort-Manager

Neben den kommerziellen Passwort-Managern gibt es eine ganze Reihe von kostenlosen Tools. So besitzt inzwischen jeder Browser einen eigenen Passwort-Speicher, den er auch über das jeweilige Benutzerkonto bei Apple, Microsoft, Google oder Mozilla synchronisieren kann. Das ist praktisch für Anwender, die nur diesen einen Browser auf allen Systemen verwenden. Allerdings hat der Komfort einen gewissen Haken: So sind die Browser-Passwortmanager einerseits auf den jeweiligen Browser beschränkt – und andererseits auch bei weitem nicht so flexibel, leistungsstark und sicher wie ein kommerzieller Passwortmanager.

Kostenlose Passwortspeicher ohne Browser-Bindung

Aber natürlich gibt es auch Gratis-Passwortmanager, die ohne Browser-Bindung auskommen. So sind viele kommerzielle Manager auch gratis nutzbar, allerdings mit eingeschränktem Funktionsumfang: Dashlane etwa bietet ein Gratis-Konto an, das aber auf 50 Passwörter und ein Gerät beschränkt ist, auch andere Dienste wie RoboForm oder LastPass schränken die Verwendung auf diese Weise ein. Vollen Funktionsumfang gibt es kostenlos aber auch, etwa mit dem Open-Source-Passwortsafe KeePassXC, das für viele Betriebssysteme erhältlich ist. Allerdings hat dieses Tool keine eingebaute Cloud-Synchronisation – Anwender müssen die Datenbank also selbstständig in einem Cloudspeicher hosten oder per USB-Stick übertragen.

Passwort-Manager: Darauf sollten sie achten

Passwort-Manager enthalten naturgemäß sehr viele sehr wichtige Daten, weshalb es ausgesprochen wichtig ist, auf die Sicherheit zu achten: Alle großen Passwort-Speicher-Anbieter setzen deshalb auf eine ausgesprochen solide AES-256-Verschlüsselung, die auch militärischen Standards genügt. Sollte ein Anbieter diese hochwertige Verschlüsselung nicht anbieten, ist es sinnvoll, lieber auf einen anderen Passwort-Manager zu setzen. Unter diesem Aspekt sind auch die Passwort-Manager von Microsoft und Google mit Vorsicht zu genießen. Apples iCloud-Schlüsselbund ist diesbezüglich hingegen ohne Tadel, da Apples iCloud-Infrastruktur enormen Wert auf Sicherheit legt.

Zero-Knowledge bietet zusätzlichen Schutz

Ein weiterer wichtiger Faktor, der zur Sicherheit beiträgt, ist die sogenannte Zero-Knowledge-Policy: Damit werden Passwort-Daten zwar per Cloud synchronisiert, können jedoch aufgrund der Client-seitigen Verschlüsselung nicht vom Anbieter eingesehen werden. Erst dies macht einen Passwort-Safe wirklich sicher. Denn wird der Anbieter kompromittiert, etwa durch Cyberangriffe oder die Gesetzgebung, so haben weder der Anbieter selbst noch eventuelle Dritte die Möglichkeit, die sensiblen Daten einzusehen oder weiterzugeben. Stattdessen finden diese nur eine verschlüsselte, nicht verwertbare Datenmasse vor.

Regeln für ein sicheres Master-Passwort

Damit derart verschlüsselte Daten auch im Fehlerfall nicht geknackt werden können, ist es zudem wichtig, ein absolut sicheres Master-Passwort für den Passwort-Manager zu wählen. Das Passwort sollte also möglichst komplex, lang und inhaltlich sinnfrei sein. Leider lassen sich solche Passwörter schlecht merken – und wer das Master-Passwort vergisst, der verliert in der Regel jeden Zugriff auf die im Manager gespeicherten Passwörter. Wer Schwierigkeiten hat, ein sicheres Passwort zu finden oder es sich zu merken, kann sich mit folgender Methode helfen:

Was passiert, wenn ich das Master-Passwort vergesse?

Dass das Master-Passwort leicht merkbar und gleichzeitig komplex sein muss, ist natürlich ein Problem. Dummerweise haben die Passwort-Manager mit Zero-Knowledge-Policy selbst keinen Zugriff auf die Daten und können dementsprechend das Master-Passwort meist nicht zurücksetzen. Deshalb geben Lösungen wie NordPass* einen Recovery-Code aus: Dieser sollte an einem sicheren Ort – aber natürlich nicht im Passwort-Manager – gespeichert werden. Mit diesem kann das Master-Passwort dann zurückgesetzt werden.

Werden meine Computer und Browser unterstützt?

Natürlich geht es bei bei der Wahl eines Passwort-Managers auch darum, ob die gewünschten Browser und Betriebssysteme unterstützt werden. Hier ist der beliebte Open-Source-Passwort-Manager KeePass für Windows leider deutlich im Nachteil: Die offizielle Version unterstützt „ab Werk“ nur Windows, wer mehr möchte, muss zu KeePass XC oder einem der zahllosen KeePass-Tools für alle möglichen Betriebssysteme greifen. Auch die browserbasierten Passwort-Manager sind eben nur für ein bestimmtes Browser-System erhältlich.

Die kommerziellen Drittanbieter sind hier zumeist deutlich besser aufgestellt: Sie bieten ihre Software in Form von Plug-Ins, Add-Ons und kleinen Tool-Suiten in aller Regel für alle wichtigen Betriebssysteme an. Linux wird leider oft stiefkindlich behandelt: Anwender, die mit Linux-Systemen produktiv arbeiten, sollten deshalb genau prüfen, ob der Passwort-Manager nicht nur den entsprechenden Browser unterstützt, sondern ob er auch in der genutzten Konfiguration tatsächlich funktioniert.

Sonderfunktionen oder nicht?

Grundsätzlich ist die Basis-Funktionalität von Passwort-Managern – Passwörter speichern und mit dem Rest des Geräteparks austauschen sowie sichere Passwörter vorschlagen – bei allen kommerziellen Passwort-Managern gegeben. Unterscheidbar werden die Dienste vor allem anhand der Zusatzfunktionen, die sie anbieten: Manche speichern etwa auch Systemkennwörter, etwa WLAN-Passwörter oder Zugangscodes für Apps. Ein zusätzlicher sicherer Dokumentspeicher ist hilfreich, wenn sensible Dokumente von A nach B transportiert werden müssen. Die sichere Passwort-Cloud schützt dann auch Dateien und/oder gescannte Ausweispapiere gegen Verlust oder übergriffige Zollbeamte.

Ihren Höhepunkt findet diese Möglichkeit im Reise-Feature von 1Password: Das erlaubt unter anderem, sensible Dokumente vor einem Grenzübertritt komplett vom Smartphone oder Laptop zu entfernen und in der Cloud abzulegen. Dadurch wird der Dienst zum Beispiel auch für Dienstreisende interessant, die Betriebsinterna bei einer möglichen Überprüfung des Smartphones schützen möchten. Auch das Speichern von Kreditkartendaten und Ausweisdokumenten kann im Fall der Fälle hilfreich sein: Etwa, wenn die Karten gestohlen werden und gesperrt werden müssen, aber natürlich auch, um online zu shoppen. Da alle Daten immer auch in der Cloud des Anbieters liegen, können sie bei Bedarf mit jedem Browser abgerufen werden.

Achtung: Web-Interface birgt Risiken!

Genau hier gibt es allerdings ein gewisses Risiko, egal wie sicher der Passwort-Manager selbst ist: Ist der Browser kompromittiert, besteht auch die Gefahr, dass das Passwort zur Passwort-Manager-Cloud ausgelesen wird. Wer also ohne Rechner oder Smartphone unterwegs ist und mal eben schnell den Rechner des Hotels oder eines Internet-Cafés nutzen möchte, sollte die Füße besser still halten. Das Web-Interface der Passwort-Manager sollte immer nur auf wirklich vertrauenswürdigen PCs und Smartphones genutzt werden, denn die Eingabe des Passworts selbst birgt immer das Risiko, dass eine Schadsoftware, Kamera oder in der Nähe befindliche Person mitliest.

Fazit: Passwort-Manager sind ein Muss – sollten aber mit Vorsicht genutzt werden

Insgesamt sind Passwort-Manager eine ausgesprochen praktische Angelegenheit. Allerdings sind sie immer nur so nützlich wie sie Betriebssysteme unterstützen. Und sie sind immer nur so sicher, wie das mit ihnen eingerichtete Master-Passwort für den Passwort-Safe. Werden diese beiden Dinge beherzigt, sind Passwort-Manager eine echte Bereicherung für die Arbeit am Computer und Smartphone. Die Wahl zwischen den einzelnen Produkten ist dabei weitestgehend frei: Die Basis-Funktionalität haben alle Produkte an Bord, manchmal sogar schon in der kostenlosen Version.

➤ Zurück zur Liste: Passwort-Manager im Vergleich

FAQ - Fragen und Antworten zu Passwort-Managern

Im Folgenden beantworten wir einige Fragen, die besonders häufig zum Thema Passwort-Manager gestellt werden.

Wie sicher sind Passwort-Manager?

Entspricht ein Passwort-Manager dem aktuellen Stand der Technik und nutzt sichere Verschlüsselungsalgorithmen, so sollten die eigenen Passwörter sicher aufgehoben sein. Ob dies der Fall ist, muss bei jedem Passwort-Manager einzeln geprüft werden, was eigentlich nur bei Open-Source-Projekten möglich ist. Ansonsten hilft zur Bewertung ein Blick auf die Downloadseite, um zu sehen, ob das Projekt gepflegt wird und auch regelmäßige Updates erhält. Ein eventuell vorhandenes Änderungsprotokoll verrät zudem, ob Fehler beseitigt oder aktuelle Verschlüsselungstechniken wie AES-256 eingesetzt werden. Auch Benutzerkommentare und -bewertungen können hilfreich sein, um die Vertrauenswürdigkeit des Herstellers einzuschätzen.

Was passiert, wenn ich mein Master-Passwort vergesse?

Wer einen Cloud-Passwort-Manager nutzt, kann gegebenenfalls über eine Passwort-Vergessen-Funktion oder einen Recovery-Code Zugang erlangen. Speichert der Dienst hingegen Passwörter lokal, mag man versucht sein, die Passwortdatei zu hacken – was aber bei guten Passwort-Managern nicht gelingen wird. Hilfreich ist es daher, einen Zettel mit dem Haupt-Passwort, Recovery-Code oder den Zugangsdaten an einem sicheren, aber dennoch wieder auffindbaren Ort zu verwahren.

Warum sollte man einen Passwort-Manager nutzen?

Sicherheitshalber sollte man auf jeder Website stets ein anderes Passwort nutzen, denn wenn Hacker erst einmal das Passwort erraten haben, mit dem man sich überall gleichermaßen anmeldet, bietet man ihnen all seine Dienste auf dem Präsentierteller. Doch in der Regel kann man sich einfach nicht alle genutzten Passwörter merken, da diese ja zudem lang und komplex sein müssen, um wirklich einbruchsicher zu sein. Deswegen enthalten Passwort-Manager einen Passwort-Generator, der sichere Passwörter automatisch erzeugt. Darüber hinaus verschlüsseln Passwort-Manager die gespeicherten Passwort-Daten, damit bei Verlust oder Diebstahl der Inhalt geheim bleibt.

Warum ist ein Passwort-Manager sinnvoll?

Nutzt man mehrere Online-Dienste, dann erleichtert ein Passwort-Manager die Verwaltung der Zugangsdaten ungemein: er generiert sichere Passwörter und führt die Anmeldung mit unterstützten Browsern und Programmen automatisch durch.

Wie funktioniert ein Passwort-Manager?

Ein Passwort-Manager speichert die eigenen Passwörter verschlüsselt in der Cloud oder lokal auf dem Computer. Er kümmert sich zudem um die Synchronisation der Passwörter, damit die Daten geräteübergreifend aktuell sind. Weiterhin erleichtern Passwort-Manager bei vielen Online-Diensten den Login und ersparen das manuelle Eintippen von Zugangsdaten.

Gibt es einen Passwort-Manager ohne Anmeldung?

Passwörter, Zugangscodes und Bankdaten sind sicherheitsrelevant. Deswegen muss sichergestellt sein, dass nur Berechtigte an diese Daten gelangen. Entsprechend ist ein Haupt-Passwort als Schutz einer Passwort-Datei oder eine Anmeldung beim Cloud-Dienst essenziell wichtig. Diese Zugangsdaten sollten auf einem Zettel notiert werden, der an einem sicheren Platz liegt und im Fall des Vergessens weiterhilft.

Gibt es einen Passwort-Manager ohne Installation?

Installieren muss man einen Passwortmanager nicht zwingend. So gibt es zum Beispiel KeePass auch in einer portablen Version, die man vom USB-Stick aus starten kann. Alternativ lässt sich auch die Passwort-Datei auf einem USB-Stick speichern.

Gibt es einen geräteübergreifenden Passwort-Manager?

Geräteübergreifende Passwort-Manager synchronisieren Passwörter auf den genutzten Geräten oder speichern diese gleich verschlüsselt in der Cloud. Wer die Cloud-Lösung nicht mag, findet mit der Open-Source-Software KeePass einen Passwort-Manager, dessen Passwort-Datei sich auch mit anderen Passwort-Managern auf dem Computer oder Mobilgerät nutzen lässt.

➤ Zurück zur Liste: Passwort-Manager im Vergleich

* Mit einem Stern markierte Links sind Affiliate-Links, für die wir unter Umständen eine Provision erhalten. Der Kaufpreis erhöht sich dadurch nicht!

Redaktion & Aktualisierung: heise Download-Team