Ein Passwort-Manager speichert Zugangsdaten verschlüsselt, erzeugt starke Kennwörter und füllt sie bei der Anmeldung ein. Statt sich Dutzende Kombinationen zu merken, schützen Sie den ganzen Tresor mit einem einzigen Masterpasswort. Genau darin liegen Komfort und Verantwortung: Wer den Tresor richtig einrichtet, beendet Passwort-Wiederverwendung; wer das Masterpasswort verliert, kann im schlimmsten Fall auch den Zugriff auf alle gespeicherten Daten verlieren.
So funktioniert ein Passwort-Manager als verschlüsselter Tresor
Im Tresor liegen Benutzernamen und Passwörter verschlüsselt. Das Masterpasswort ist der Schlüssel zu diesem Bestand und sollte deshalb stark, einzigartig und merkbar sein. Es ist nicht einfach ein weiteres Konto-Passwort: Geht es verloren, müssen Konten nach Angaben des BSI oft einzeln wiederhergestellt werden.
Beim Anlegen eines neuen Kontos kann der Manager ein langes, zufälliges Passwort erzeugen und dauerhaft ablegen. Gute Werkzeuge warnen außerdem vor schwachen oder mehrfach verwendeten Kennwörtern. Ein weiterer Schutz greift beim Ausfüllen: Weicht die aufgerufene Adresse von der zum Eintrag gespeicherten URL ab, kann der Manager vor möglichem Phishing warnen.
Entscheidend ist die Verschlüsselungsarchitektur. Die Verbraucherzentrale riet im Dezember 2025, auf eine Zero-Knowledge-Architektur zu achten. Gemeint ist: Der Anbieter hat keinen Zugriff auf die Kundendaten. Das ist wichtiger als eine lange Liste an Zusatzfunktionen, denn im Tresor steckt häufig der Zugang zum E-Mail-Postfach, zu Shops und zu Finanzdiensten.
Lokaler oder Cloud-Tresor: Der Unterschied entscheidet über den Alltag
Bei lokaler Speicherung bleibt der Tresor auf dem Gerät. Sie behalten die Datei selbst in der Hand, haben auf weiteren Geräten aber keinen automatischen Zugriff. Wechseln Sie zwischen PC und Smartphone, müssen Sie die Synchronisation selbst organisieren und Backups besonders sorgfältig behandeln.
Ein Cloud-Tresor legt die Daten verschlüsselt auf Servern des Anbieters ab und synchronisiert sie. Der praktische Gewinn zeigt sich etwa, wenn Sie ein auf dem Notebook neu erzeugtes Passwort später auf Android benötigen. Vor der Wahl sollten Sie trotzdem Serverstandort, Allgemeine Geschäftsbedingungen und Datenschutzerklärung prüfen: Der Standort bestimmt laut BSI mit, welches Datenschutzrecht gilt.
| Modell | Stärke | Worauf Sie achten müssen |
|---|---|---|
| Lokal | Daten bleiben auf dem Gerät | Kein automatischer Mehrgerätezugriff, Backups selbst anlegen |
| Cloud | Verschlüsselte Synchronisation zwischen Geräten | Verschlüsselungsmodell, Serverstandort, AGB und Datenschutz prüfen |
Die Wahl ist kein Glaubenskrieg. Wer überwiegend an einem Rechner arbeitet und eine Sicherung beherrscht, kann lokal gut zurechtkommen. Wer mehrere Geräte täglich nutzt, wird Cloud-Synchronisation schätzen. In beiden Fällen ist das Masterpasswort der Punkt, an dem der gesamte Schutz zusammenläuft.
Passwort-Manager kostenlos: Diese Optionen decken verschiedene Geräte ab
Ein kostenloser Passwort-Manager muss kein bloßes Schaufenster für ein Abo sein. Bei Bitwarden Free sind im Oktober 2026 unbegrenzt viele Passwörter und Geräte, ein Passwortgenerator, Passkey-Verwaltung und das Teilen mit einer weiteren Person enthalten. Notfallzugriff, integrierter Authenticator, Dateianhänge und Tresor-Gesundheitsberichte gehören dort allerdings erst zu Premium.
Proton Pass Free bietet ebenfalls unbegrenzt viele Logins und Geräte, dazu zehn Hide-my-email-Aliase, zwei Tresore und Passkey-Unterstützung ohne Kreditkarte. KeePass ist kostenlos; Version 2.61.1 erschien am 1. Mai 2026. Die stabile Version von KeePassXC ist 2.7.12 vom 10. März 2026; am 23. September 2026 folgte die Testversion 2.8.0 Beta 1. KeePassXC und KeePass2Android bringen keinen Cloud-Speicher mit, weshalb test.de im Januar 2026 zu regelmäßigen Backups riet.
Google Passwort Manager und Android ohne Extra-App
Der Google Passwort Manager speichert Passwörter und Passkeys im Google-Konto. Verwalten lassen sie sich auf Android, in Chrome und über passwords.google.com. Für Passkeys ist Android 9 oder neuer beziehungsweise ChromeOS nötig; die Schlüssel liegen Ende-zu-Ende-verschlüsselt in Googles Cloud. Chrome kann bei einer Anmeldung mit gespeichertem Passwort automatisch einen Passkey anlegen. Wer das nicht möchte, schaltet die Funktion in den Einstellungen des Google Passwort Managers ab.
KeePass2Android ist im Vergleich von BSI und Verbraucherzentrale NRW vom Dezember 2025 eine besonders datensparsame Android-Option: Die App arbeitet lokal, verschlüsselt den gesamten Inhalt und stellt eine deutsche Datenschutzerklärung bereit.
Apple bündelt Passwörter, Passkeys und Bestätigungscodes
Apples Passwörter-App gibt es ab iOS 18, iPadOS 18, macOS Sequoia und visionOS 2. Sie synchronisiert über den iCloud-Schlüsselbund, kann Bestätigungscodes für die Zwei-Faktor-Anmeldung erzeugen und ausfüllen und erlaubt geteilte Gruppen etwa für Familien. WLAN-Passwörter lassen sich dabei weitergeben, ohne den Klartext preiszugeben. Unter Windows existiert keine Passwörter-App; iCloud-Passwörter funktionieren dort über iCloud für Windows in Chrome oder Edge.
Passkeys ersetzen Kennwörter nicht überall, aber sie ändern die Anmeldung
Passkeys ersetzen das Passwort bei unterstützten Diensten durch Fingerabdruck, Gesichtsscan oder PIN. Technisch bleibt der private Schlüssel beim Nutzer; der Dienst sieht ihn nicht. Das verschiebt die Anmeldung vom Abtippen eines Geheimnisses zu einer Bestätigung auf dem Gerät.
Für die Wiederherstellung macht der Speicherort einen Unterschied. Windows Hello speichert Passkeys lokal im TPM-Chip und synchronisiert sie nicht. Geht das Gerät verloren, sind diese Passkeys weg. Ein FIDO2-Sicherheitsschlüssel fasst typischerweise bis zu 30 Passkeys; registrieren Sie deshalb bei jedem Dienst auch einen Ersatzstick.
Den Tresor müssen Sie wegen Passkeys nicht über Bord werfen. Viele Konten setzen weiter auf Passwörter, und der Manager bewahrt diese zusammen mit den neuen Schlüsseln auf. Laut einer Umfrage im Auftrag der FIDO Alliance hatten 2024 bereits 53 Prozent der Befragten bei mindestens einem Konto Passkeys aktiviert. Das markiert einen Übergang, keine vollständige Ablösung.
Den Tresor in sieben Schritten sicher einrichten
-
Speicherart festlegen: Entscheiden Sie zuerst, ob Sie einen lokalen oder Cloud-Tresor brauchen. Prüfen Sie beim Cloud-Anbieter Verschlüsselung, Serverstandort, AGB und Datenschutzerklärung.
-
Ein Masterpasswort erstellen: Verwenden Sie ein starkes, einzigartiges Masterpasswort, das nur diesen Tresor schützt. Notieren Sie es nicht als gewöhnlichen Login im selben Tresor.
-
Zwei-Faktor-Authentisierung aktivieren: Für wichtige Konten wie das E-Mail-Postfach ergänzt 2FA den Passwort-Manager. Sie ersetzt ihn nicht, schafft aber eine zusätzliche Hürde.
-
Bestehende Logins übernehmen: Importieren Sie Einträge oder legen Sie sie nacheinander an. Ändern Sie dabei zuerst wiederverwendete und schwache Passwörter mit dem Generator.
-
Automatische Sperre einstellen: Der Tresor soll sich nach Inaktivität sperren. Auch das Gerät selbst braucht PIN oder Biometrie.
-
Backups planen: Bei lokalen Lösungen sind regelmäßige Backups Pflicht; bei jedem Tresor helfen sie, einen Verlustfall vorzubereiten.
-
Updates und Autofill prüfen: Halten Sie Manager, Browser und Betriebssystem aktuell. Lösen Sie Autofill möglichst per Klick aus, statt Einträge ungefragt füllen zu lassen.
Die Reihenfolge ist bewusst praktisch: Erst der Zugang, dann die Sicherung, dann der Komfort. So bleibt ein neu eingerichteter Tresor nicht tagelang mit einem schwachen Masterpasswort oder ohne Sperre in Betrieb.
Diese Fehler machen aus dem Tresor ein unnötiges Risiko
Ein verbreiteter Denkfehler lautet: Ein Passwort-Manager mache ein schwaches Masterpasswort nebensächlich. Das Gegenteil stimmt. Zwar reduziert der Manager die Zahl der Kennwörter, die Sie kennen müssen, doch er erhöht die Bedeutung des einen verbleibenden.
Nicht automatisch gleichwertig ist ein Browser-Speicher. Laut BSI lassen sich Browser-Passwortspeicher leichter durch Schadsoftware auslesen; ein Masterpasswort ist bei Browsern ab Werk oft nicht aktiviert. In der Untersuchung von BSI und Verbraucherzentrale NRW aus dem ersten Halbjahr 2025 verschlüsselten nur 1Password, KeePassXC und KeePass2Android den gesamten Inhalt. Veröffentlicht wurden die Ergebnisse am 9. Dezember 2025. Bei Google Chrome, mSecure und PassSecurium kann der Hersteller laut BSI zumindest theoretisch auf gespeicherte Passwörter zugreifen.
Nutzlos wird ein Passwort-Manager dadurch nicht. Das BSI empfiehlt ihn trotz dieser Mängel weiter, weil einfache und wiederverwendete Passwörter das größere Risiko darstellen. Eine Auswertung von test.de vom 6. Januar 2026 nannte KeePassXC, KeePass2Android und den Firefox-Passwortmanager ohne Bedenken nutzbar.
Vorsicht verdient außerdem unbedachtes Autofill. Auf der DEF CON 33 im August 2025 zeigte ein Forscher Clickjacking-Schwachstellen bei allen 11 getesteten Passwort-Manager-Erweiterungen, darunter 1Password, Bitwarden und iCloud Passwords. Bitwarden schloss die Lücke mit Version 2025.8.0. Das Prinzip für alle Erweiterungen bleibt sinnvoll: Erst die Adresse prüfen, dann per Klick ausfüllen.
Eine weitere Grenze zeigt das LastPass-Leck von 2022: Im August erbeuteten Angreifer Quellcode, im November Kundendaten und verschlüsselte Tresore; offengelegt wurde der zweite Angriff am 30. November 2022. Ein Passwort-Manager nimmt Verantwortung nicht ab. Zu einem belastbaren Schutz gehören weiterhin Backups, Updates, Gerätesperre und 2FA.
Für Unternehmen zählt Verwaltung mehr als nur der Einzelpreis
Im Team reichen einzelne geteilte Logins nicht. Wichtig werden Rechte, Richtlinien und die Anbindung an die vorhandene Anmeldung. Bitwarden Teams kostet im Oktober 2026 bei jährlicher Abrechnung 4 US-Dollar pro Nutzer und Monat, Enterprise 6 US-Dollar. Enterprise enthält SSO-Integration, Unternehmensrichtlinien und einen kostenlosen Families-Tarif für Mitarbeitende; die Lösung lässt sich auch selbst hosten und 14 Tage testen.
Bitwarden ist Open Source und wird jährlich extern geprüft. Genannt werden Prüfungen durch Cure53 sowie eine kryptografische Prüfung der ETH Zürich im Jahr 2025 unter der Annahme eines bösartigen Servers. Für Privatnutzer kostet Bitwarden Premium im Oktober 2026 19,80 US-Dollar jährlich. 1Password bietet dagegen keine kostenlose Version, aber eine 14-tägige Testphase ohne Kreditkarte.
Beim Blick auf Vergleichslisten sollten Sie Veröffentlichungsdaten prüfen. Der letzte eigene Passwort-Manager-Test der Stiftung Warentest erschien am 22. Juni 2022 mit 16 Produkten. Ein Kommentar vom 28. Mai 2026 hielt fest, dass bis zu diesem Datum kein neuer eigener Test vorlag. S-Trust gehört außerdem auf keine neue Auswahlliste: Der technisch mit SecureSafe identische Sparkassen-Manager wurde zum 31. März 2026 eingestellt.
Häufige Fragen
Gibt es einen guten Passwort-Manager kostenlos?
Ja. Bitwarden Free bietet unbegrenzt viele Passwörter und Geräte; Proton Pass Free unbegrenzt viele Logins und Geräte, zehn Aliase und zwei Tresore. KeePass ist ebenfalls kostenlos, benötigt für mehrere Geräte aber eine eigene Backup- und Synchronisationsstrategie.
Welcher Passwort-Manager eignet sich kostenlos für Android?
Der Google Passwort Manager ist auf Android integriert und verwaltet auch Passkeys. KeePass2Android arbeitet lokal, verschlüsselt im BSI/VZ-NRW-Vergleich den gesamten Inhalt und hat eine deutsche Datenschutzerklärung.
Was sagt der Passwort-Manager-Test der Stiftung Warentest?
Der letzte eigene Test datiert vom 22. Juni 2022 und umfasste 16 Produkte. Laut Kommentar vom 28. Mai 2026 gab es noch keinen neuen eigenen Test.
Kann ein Passwort-Manager Passkeys verwalten?
Ja. Bitwarden Free und Proton Pass Free unterstützen Passkeys; der Google Passwort Manager speichert sie im Google-Konto. Im Tresor liegen Passkeys dann neben den klassischen Passwörtern, die viele Dienste weiterhin verlangen.
Welcher Passwort-Manager passt zu Unternehmen?
Unternehmen brauchen neben dem Tresor Verwaltung. Bei Bitwarden Enterprise gehören SSO-Integration, Unternehmensrichtlinien und Selbsthosting zu den genannten Funktionen; der Preis liegt im Oktober 2026 bei 6 US-Dollar pro Nutzer und Monat bei jährlicher Abrechnung.
