Warum ein Passwort-Manager unverzichtbar ist
Bitwarden verschlüsselt mit AES-256 und kostet null Euro, trotzdem trauen sich viele nicht an einen Passwort-Manager. Dabei zeigt eine Studie des Hasso-Plattner-Instituts von 2024, dass über 60 Prozent aller Deutschen dasselbe Passwort für mehrere Dienste verwenden. Ein einziger Leak genügt, und Angreifer haben Zugriff auf dein E-Mail-Konto, dein Banking und deine Social-Media-Profile gleichzeitig. Ein Passwort-Manager erzeugt für jeden Dienst ein einzigartiges, kryptisch langes Passwort, du merkst dir nur noch ein einziges Master-Passwort.
Der Aufwand zur Einrichtung liegt bei etwa zehn Minuten. Du installierst die App, legst ein starkes Master-Passwort fest und importierst deine gespeicherten Zugangsdaten aus dem Browser. Danach füllt die App Logins automatisch aus, auf dem Smartphone genauso wie am Laptop. Die meisten Manager synchronisieren über verschlüsselte Cloud-Server, sodass du auf jedem Gerät Zugriff hast. Selbst wenn der Server gehackt wird, sind deine Daten ohne Master-Passwort wertlos.
Ein guter Manager warnt dich zusätzlich bei bekannten Datenlecks. Du erfährst sofort, wenn ein Dienst gehackt wurde und kannst das betroffene Passwort mit einem Klick ändern. Viele Apps bieten auch einen Passwort-Generator, der zufällige Kombinationen aus Buchstaben, Zahlen und Sonderzeichen erstellt. So brauchst du dir nie wieder Gedanken machen, ob dein Passwort stark genug ist.
Die 5 sichersten Apps im Überblick
Nicht jeder Passwort-Manager bietet dieselbe Sicherheitsarchitektur. Entscheidend sind die Verschlüsselungsmethode, die Frage ob der Anbieter dein Master-Passwort kennt (Zero-Knowledge-Prinzip), und ob der Quellcode öffentlich einsehbar ist. Open-Source-Manager wie Bitwarden lassen sich von unabhängigen Sicherheitsforschern prüfen. Proprietäre Anbieter wie 1Password kompensieren das durch regelmäßige externe Audits.
Alle fünf Apps in dieser Übersicht verwenden AES-256-Bit-Verschlüsselung oder vergleichbare Algorithmen, denselben Standard, den auch Banken und Regierungen nutzen. Der Unterschied liegt in Zusatzfunktionen wie Dark-Web-Monitoring, sicherer Notizenspeicher oder Familien-Sharing. Für die reine Passwort-Verwaltung auf dem Smartphone reicht die kostenlose Version bei drei der fünf Anbieter vollständig aus. Erst wenn du Funktionen wie Notfall-Zugriff oder erweiterte Zwei-Faktor-Optionen brauchst, lohnt sich ein Premium-Abo.
| App | Verschlüsselung | Open Source | Kostenlos nutzbar | Preis Premium |
|---|---|---|---|---|
| Bitwarden | AES-256 | Ja | Ja (vollwertig) | 10 EUR/Jahr |
| 1Password | AES-256 + Secret Key | Nein (Audit) | 14 Tage Test | 36 EUR/Jahr |
| Proton Pass | AES-256 + E2EE | Ja | Ja (unbegrenzt) | 24 EUR/Jahr |
| NordPass | XChaCha20 | Nein (Audit) | Ja (1 Gerät) | 18 EUR/Jahr |
| KeePass (+ KeePassDX) | AES-256 / ChaCha20 | Ja | Ja (komplett) | Kostenlos |
Bitwarden und Proton Pass sind die einzigen beiden, die vollständig Open Source und kostenlos nutzbar sind. 1Password überzeugt durch den zusätzlichen Secret Key, der neben dem Master-Passwort als zweite Sicherheitsebene dient. NordPass setzt als einziger auf XChaCha20 statt AES, ein modernerer Algorithmus, der in der Praxis aber keinen spürbaren Sicherheitsvorteil bringt. KeePass speichert die Datenbank komplett lokal auf deinem Gerät, was Cloud-Angriffe ausschließt, aber die Synchronisation zwischen Geräten umständlicher macht.
Bitwarden und Proton Pass: Die Open-Source-Favoriten
Bitwarden gilt als Goldstandard unter den kostenlosen Passwort-Managern. Die App ist für Android und iOS verfügbar, synchronisiert unbegrenzt viele Einträge zwischen beliebig vielen Geräten und bietet einen integrierten TOTP-Generator für Zwei-Faktor-Authentifizierung, allerdings erst im Premium-Tarif für 10 Euro pro Jahr. Die kostenlose Version reicht für die meisten Nutzer vollständig aus: unbegrenzte Passwörter, Autofill im Browser und auf dem Smartphone, sowie ein Passwort-Generator.
Proton Pass kommt vom Schweizer Unternehmen hinter ProtonMail und ProtonVPN. Der Vorteil: Alle Proton-Dienste lassen sich unter einem Konto bündeln. Die App verschlüsselt nicht nur Passwörter, sondern auch Notizen und E-Mail-Aliase. Du kannst für jede Registrierung eine eigene Wegwerf-Adresse erstellen, die an dein echtes Postfach weiterleitet. So bleibt deine Haupt-E-Mail-Adresse vor Spam und Datenlecks geschützt.
Beide Apps wurden 2024 von unabhängigen Sicherheitsfirmen auditiert und haben den Quellcode auf GitHub veröffentlicht. Das bedeutet: Tausende Entwickler weltweit können den Code prüfen und Schwachstellen melden. Für datenschutzbewusste Nutzer ist das ein entscheidender Vertrauensvorteil gegenüber geschlossenen Systemen, bei denen du dem Anbieter blind vertrauen musst.
1Password und NordPass: Premium mit Extras
1Password kostet 36 Euro pro Jahr und bietet dafür Funktionen, die kostenlose Manager nicht haben. Der Watchtower warnt dich aktiv, wenn Passwörter in bekannten Datenlecks aufgetaucht sind, zu schwach sind oder seit über einem Jahr nicht geändert wurden. Die Travel-Mode-Funktion löscht beim Grenzübertritt ausgewählte Tresore vom Gerät, praktisch, wenn du in Länder reist, in denen Behörden Zugriff auf dein Smartphone verlangen können.
NordPass nutzt XChaCha20 statt AES-256. Dieser Algorithmus gilt als zukunftssicherer, weil er gegen bestimmte Angriffsmethoden robuster ist, die bei AES theoretisch möglich wären. In der Praxis merkst du davon nichts, beide Verschlüsselungen sind aktuell unknackbar. Der eigentliche Vorteil von NordPass liegt im Paket: Zusammen mit NordVPN und NordLocker bekommst du Passwort-Manager, VPN und verschlüsselten Cloud-Speicher für unter 60 Euro pro Jahr.
Beide Apps bieten Familien-Tarife, bei denen bis zu sechs Personen eigene Tresore bekommen. Gemeinsame Ordner erlauben es, WLAN-Passwörter oder Streaming-Zugänge sicher zu teilen, ohne sie per Messenger zu verschicken. Der Familien-Tarif bei 1Password kostet 60 Euro pro Jahr, bei NordPass 36 Euro, jeweils für bis zu sechs Nutzer.
Einrichtung auf dem Smartphone in 5 Schritten
Die Einrichtung dauert bei allen fünf Apps unter zehn Minuten. Du lädst die App aus dem App Store oder Google Play Store herunter und erstellst ein Konto mit deiner E-Mail-Adresse. Beim Master-Passwort gilt: mindestens 14 Zeichen, eine Mischung aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. Ein Passphrase-Satz ist sicherer als ein zufälliges Achtzeichen-Passwort und deutlich leichter zu merken.
- App installieren, Bitwarden, 1Password, Proton Pass, NordPass oder KeePassDX aus dem jeweiligen Store herunterladen.
- Konto erstellen und Master-Passwort festlegen, Mindestens 14 Zeichen. Auf Papier notieren und sicher aufbewahren.
- Browser-Passwörter importieren, In Chrome unter Einstellungen > Passwörter > Exportieren als CSV speichern, dann in der Passwort-App importieren.
- Autofill aktivieren, Unter Android: Einstellungen > System > Sprache und Eingabe > Autofill-Dienst. Unter iOS: Einstellungen > Passwörter > Automatisch ausfüllen.
- Zwei-Faktor-Authentifizierung einrichten, In der App unter Sicherheit eine zusätzliche Bestätigung per Authenticator-App oder Fingerabdruck aktivieren.
Nach dem Import solltest du doppelte Einträge bereinigen und schwache Passwörter durch generierte ersetzen. Die meisten Apps markieren unsichere Passwörter automatisch. Geh die Liste einmal durch und aktualisiere mindestens die Zugänge für E-Mail, Banking und Social Media. Für selten genutzte Dienste reicht es, das Passwort beim nächsten Login zu erneuern.
Auf dem Smartphone empfiehlt sich die Entsperrung per Fingerabdruck oder Face ID. So musst du das Master-Passwort nicht jedes Mal eintippen, behältst aber die volle Sicherheit. Die biometrische Entsperrung ersetzt das Master-Passwort nicht, sondern gibt nur den lokalen Tresor frei, bei einer Neuinstallation brauchst du das Master-Passwort weiterhin.
Häufige Fehler und wie du sie vermeidest
Der häufigste Fehler ist ein schwaches Master-Passwort. Wenn du ein simples Wort als Master-Passwort wählst, ist der gesamte Tresor wertlos. Nutze einen Passphrase-Generator: Vier bis fünf zufällige Wörter, verbunden mit Sonderzeichen, ergeben ein Passwort mit über 80 Bit Entropie. Das reicht auch gegen Brute-Force-Angriffe mit aktueller Hardware für Jahrzehnte.
Fehler Nummer zwei: Die Backup-Codes für Zwei-Faktor-Authentifizierung nicht speichern. Wenn du dein Smartphone verlierst und keinen Backup-Code hast, sperrst du dich aus deinem eigenen Tresor aus. Bitwarden und 1Password bieten Recovery-Codes bei der 2FA-Einrichtung an, drucke sie aus oder lege sie in einen physischen Safe. Dieser Schritt wird fast immer übersprungen und ist der Hauptgrund für dauerhafte Aussperrungen.
Dritter typischer Fehler: Die Browser-Passwortspeicherung bleibt aktiv, obwohl der Passwort-Manager installiert ist. Chrome, Safari und Firefox bieten eigene Passwort-Speicher an, die weniger sicher sind als dedizierte Manager. Deaktiviere die Browser-Speicherung nach dem Import, damit du nicht versehentlich Passwörter an zwei Stellen gleichzeitig verwaltest. Das führt zu Verwirrung und im schlimmsten Fall zu veralteten Zugangsdaten.
