Was ist ein Passwort-Manager und wie funktioniert er?

Was ist ein Passwort-Manager?

Ein Passwort-Manager ist eine Software, die Benutzernamen und Passwörter für E-Mail, Online-Banking, Shopping und soziale Netzwerke in einem verschlüsselten „Tresor“ speichert. Zum Öffnen des Tresors verwenden Sie ein einziges Master-Passwort (und optional Face ID, Fingerabdruck oder einen Passkey); alle anderen Passwörter merkt sich die App für Sie.

Heutige Passwort-Manager können weit mehr, als nur Passwörter zu speichern. Die meisten erzeugen starke Passwörter, füllen Formulare im Browser und auf dem Smartphone automatisch aus, speichern Passkeys und Codes für die Zwei-Faktor-Authentifizierung (2FA), bewahren sichere Notizen und Kartendaten auf und synchronisieren alles verschlüsselt zwischen Ihren Geräten.

Warum brauchen Sie einen Passwort-Manager?

Wer im Internet unterwegs ist, hat schnell Dutzende Konten. Für jedes ein eigenes, langes und zufälliges Passwort zu wählen und sich alle zu merken, ist praktisch unmöglich. Deshalb verwenden viele Menschen dasselbe Passwort mehrfach oder wählen Passwörter, die leicht zu erraten sind.

Das eigentliche Risiko ist die Wiederverwendung: Wird die Datenbank einer Website geleakt, werden die dort erbeuteten Kombinationen aus E-Mail-Adresse und Passwort automatisiert bei anderen Diensten ausprobiert. Jedes Konto, bei dem Sie dasselbe Passwort nutzen, ist diesen Versuchen ausgesetzt. Ob ein Passwort bereits in einem Datenleck aufgetaucht ist, verrät Ihnen unsere Datenleck-Prüfung.

Ein Passwort-Manager löst dieses Problem an der Wurzel:

• Er erzeugt für jedes Konto ein einzigartiges, starkes Passwort, das Sie sich nicht merken müssen.
• Er schlägt ein Passwort nur auf der Website vor, für die es gespeichert ist. Weil Autofill auf einer gefälschten Anmeldeseite nicht anspringt, erkennen Sie Phishing-Versuche leichter.
• Er weist auf schwache, mehrfach verwendete oder in Datenlecks aufgetauchte Passwörter hin.
• Er gibt Ihnen auf allen Geräten Zugriff auf denselben Tresor.

Wie funktioniert ein Passwort-Manager?

Die Funktionsweise eines modernen Passwort-Managers lässt sich in drei Schritten zusammenfassen:

• Schlüsselableitung: Ihr Master-Passwort wird auf Ihrem Gerät mit einem absichtlich langsamen und speicherintensiven Verfahren (z. B. Argon2id) in einen Verschlüsselungsschlüssel umgewandelt. Diese Langsamkeit macht es sehr aufwendig, das Master-Passwort durch bloßes Ausprobieren zu erraten.
• Verschlüsselung auf dem Gerät: Die Einträge im Tresor werden mit diesem Schlüssel verschlüsselt, bevor sie Ihr Gerät verlassen. Bei einem gut konzipierten Produkt sieht der Server nur unlesbare Daten. Man spricht von Ende-zu-Ende- oder „Zero-Knowledge“-Verschlüsselung; mehr dazu im Ratgeber zur Ende-zu-Ende-Verschlüsselung.
• Synchronisierung und Ausfüllen: Der verschlüsselte Tresor wird zwischen Ihren Geräten synchronisiert. Sobald Sie eine Anmeldeseite öffnen, schlägt die Browser-Erweiterung oder das Autofill Ihres Smartphones den passenden Eintrag vor und füllt ihn mit einem Klick aus.

Dieses Modell hat eine wichtige Konsequenz: Da Ihr Master-Passwort nicht auf dem Server gespeichert wird, kann der Anbieter es nicht zurücksetzen. Wer sein Master-Passwort vergisst, verliert den Zugriff auf den Tresor. Wählen Sie daher eine lange, aber gut merkbare Passphrase und notieren Sie sie an einem sicheren Ort. Auch Passphrasen können Sie mit dem Passwort-Generator erzeugen.

Ist ein Passwort-Manager sicher?

Die erste Frage lautet meist: „Ist es nicht riskant, alle Passwörter an einem Ort zu speichern?“ Die kurze Antwort: Ein gut konzipierter Passwort-Manager ist deutlich sicherer, als Passwörter mehrfach zu verwenden, in ein Notizbuch zu schreiben oder ungeschützt im Browser liegen zu lassen.

Bei einem Produkt mit Ende-zu-Ende-Verschlüsselung erhält ein Angreifer selbst bei einem kompromittierten Server nur verschlüsselte Daten; um sie zu entschlüsseln, müsste er Ihr Master-Passwort kennen. Der größte Teil des Risikos liegt auf Ihrer Seite und lässt sich gut beherrschen:

• Wählen Sie ein langes Master-Passwort, das Sie nirgendwo sonst verwenden. Wie stark es ist, zeigt Ihnen der Passwort-Stärke-Test.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung für Ihr Konto beim Passwort-Manager (siehe 2FA-Ratgeber).
• Halten Sie Ihre Geräte aktuell: Auf einem mit Schadsoftware infizierten Gerät kann keine App vollständigen Schutz bieten.

Achten Sie bei der Bewertung eines Produkts darauf, wie offen der Anbieter sein Verschlüsselungsdesign beschreibt: welche Algorithmen zum Einsatz kommen, was der Server sieht und was nicht und wie viel vom Quellcode sich prüfen lässt. KeyZula legt das auf den Seiten So funktioniert’s und Sicherheit offen.

Reicht es nicht, Passwörter im Browser zu speichern?

Die integrierten Passwortspeicher von Chrome, Safari, Edge und Firefox sind besser als gar nichts und haben sich in den letzten Jahren deutlich verbessert. Ein eigenständiger Passwort-Manager bietet trotzdem einige Vorteile:

• Plattformunabhängigkeit: Sie nutzen denselben Tresor über verschiedene Browser und Betriebssysteme hinweg (z. B. auf dem iPhone und in Chrome unter Windows).
• Mehr Eintragstypen: 2FA-Codes, sichere Notizen, Kartendaten, Dokumente und SSH-Schlüssel liegen am selben Ort.
• Teilen: Sie können ausgewählte Einträge mit Familie oder Team teilen und dabei Berechtigungen vergeben.
• Notfallzugriff und Export: Sie können festlegen, dass eine Vertrauensperson im Notfall auf Ihren Tresor zugreifen kann, und Ihre Daten jederzeit zu einem anderen Produkt mitnehmen.

Worauf sollten Sie bei der Wahl eines Passwort-Managers achten?

Welches Produkt passt, hängt von Ihren Gewohnheiten ab. Einige Kriterien sind aber fast immer wichtig:

• Ende-zu-Ende-Verschlüsselung: Die Verschlüsselung sollte auf Ihrem Gerät stattfinden, Ihr Master-Passwort darf nicht an den Server gehen.
• Transparenz: Ist das Sicherheitsdesign dokumentiert, lässt sich der Verschlüsselungscode prüfen, gab es ein unabhängiges Audit?
• Plattformen: Gibt es Apps für die Smartphones, Computer und Browser, die Sie nutzen?
• Passkeys und 2FA: Kann das Produkt Passkeys speichern und 2FA-Codes erzeugen?
• Grenzen des kostenlosen Tarifs: Gibt es Einschränkungen bei der Anzahl der Geräte, beim Gerätetyp oder bei den Funktionen?
• Einfacher Umstieg: Lassen sich Daten aus Ihrem Browser oder bisherigen Passwort-Manager importieren und bei Bedarf wieder exportieren?

Einen Überblick über beliebte Produkte finden Sie in unserer Vergleichstabelle und in unseren Artikeln zu Alternativen.

Wie starten Sie mit KeyZula?

KeyZula ist ein Ende-zu-Ende-verschlüsselter Passwort-Manager, bei dem alle Funktionen kostenlos sind. Der Einstieg dauert nur wenige Minuten:

• Erstellen Sie ein kostenloses Konto und legen Sie ein langes Master-Passwort fest.
• Installieren Sie die Apps auf Ihren Geräten: Web-Tresor, iPhone, iPad und Mac, Android sowie die Browser-Erweiterung für Chrome, Edge, Brave, Firefox und Safari.
• Importieren Sie die Passwörter aus Ihrem Browser oder Ihrem bisherigen Passwort-Manager. Die Datei wird nicht an den Server gesendet, sondern in Ihrem Browser gelesen und verschlüsselt.
• Ändern Sie die schwachen und mehrfach verwendeten Passwörter aus dem Sicherheitsbericht, beginnend mit Ihren wichtigsten Konten.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung für Ihr Konto und nutzen Sie Passkeys überall dort, wo Websites sie unterstützen.

Häufige Fragen