Thinking Thinking

Answer

Sind Passwortmanager sicher?

Ja, und die ehrliche Antwort benennt die Gefahren, die sie nicht abdecken: Schadsoftware auf dem Gerät, selbst eingetipptes Phishing, Sitzungsdiebstahl und der Verlust des Hauptpassworts.

Von Thinking Desk Aktualisiert 3 Min. Lesezeit

Das Wichtigste

  • Ein seriöser Passwortmanager ist sicher genug und sicherer als Wiederverwendung, eine Handynotiz oder eine geteilte Tabelle.
  • Er schützt gegen Passwort-Wiederverwendung, schwache Passwörter und einen Einbruch beim Anbieter, weil der Tresor vor dem Upload auf dem Gerät verschlüsselt wird.
  • Er schützt nicht gegen Schadsoftware auf Ihrem Rechner, in eine Phishing-Seite eingefügte Daten, gestohlene Sitzungscookies oder den Verlust Ihres Hauptpassworts.
  • Die LastPass-Tresore wurden 2022 aus einem Server-Backup kopiert, deshalb entscheiden Schlüsselableitung und unverschlüsselte Metadaten, wie schlimm ein Einbruch wird.
  • Passkeys sind die eine Verbesserung, die Phishing aus der Rechnung nimmt, weil sie an den Ursprung der Website gebunden sind.
Auf dieser Seite
  1. Kurze Antwort
  2. Wogegen er schützt
  3. Was der LastPass-Vorfall gezeigt hat
  4. Wogegen er nicht schützt
  5. Wie man einen sicher nutzt

Kurze Antwort

Ja, ein seriöser Passwortmanager ist sicher genug und sicherer als alles, was Sie realistisch stattdessen nutzen würden. Die ehrliche Fassung hat eine Grenze. Er schützt ein gespeichertes Geheimnis gegen einen Einbruch beim Anbieter und gegen Passwort-Wiederverwendung.

Er schützt nicht gegen Schadsoftware auf Ihrem Rechner, gegen eine Phishing-Seite, in die Sie tippen, gegen ein gestohlenes Sitzungscookie oder gegen den Verlust Ihres eigenen Hauptpassworts.

Wogegen er schützt

Gegen Passwort-Wiederverwendung, den Angriff, der tatsächlich Konten leert: eine geleakte Liste, abgespielt gegen hundert Seiten. Ein Manager macht jedes Passwort einzigartig, ein Einbruch bleibt also ein Problem.

Gegen schwache Passwörter, denn eine generierte 20-Zeichen-Kette ist nicht erratbar.

Und gegen einen Einbruch beim Anbieter selbst, wenn der Entwurf Zero-Knowledge ist. Ihr Tresor wird vor dem Upload auf dem Gerät verschlüsselt, der Anbieter speichert Chiffrat, das er nicht lesen kann. Wie lange dieses Chiffrat hält, entscheidet die Schlüsselableitung: Bitwarden nutzt standardmäßig PBKDF2-SHA256 mit 600.000 Iterationen oder Argon2id mit 32 MiB, Keeper PBKDF2 mit 1.000.000 Iterationen, und 1Password ergänzt einen 128-Bit-Secret-Key, der Ihre Geräte nie verlässt, womit eine gestohlene Datenbank offline nichts zum Angreifen bietet.

Wöchentlich, Donnerstagvormittag, mitteleuropäische Zeit.

Das Thinking-Briefing

Eine E-Mail pro Woche: was sich bei europäischer Unternehmenssoftware geändert hat, welche Preise sich bewegt haben und welchen Vergleich wir veröffentlicht haben. Keine Werbepost.

Wir speichern Ihre Adresse, um das Briefing zu verschicken. Ein Klick beendet das Abo, weitergegeben wird sie nie.

Was der LastPass-Vorfall gezeigt hat

Im August 2022 nahmen Angreifer Quellcode und interne Geheimnisse von einem LastPass-Entwickler mit. In einem zweiten, verbundenen Einbruch bis Oktober 2022 nutzten sie Schlüssel vom Heimrechner eines DevOps-Mitarbeiters, um Backups von Kundentresoren zu kopieren. Am 22. Dezember 2022 teilte LastPass mit, dass Tresordaten kopiert wurden, darunter unverschlüsselte Felder wie Website-Adressen.

Gezeigt hat das nicht, dass Manager unsicher sind. Gezeigt hat es, dass die realistische Bedrohung eine Kopie des verschlüsselten Tresors ist und nicht ein erratenes Hauptpasswort, dass unverschlüsselte Metadaten Angreifern verraten, welche Tresore die Rechenzeit wert sind, und dass ein Anbieter, der datierte Audits nach Firma und Jahr veröffentlicht, eine prüfbare Aussage macht.

Wogegen er nicht schützt

Schadsoftware auf dem Gerät. Code, der in Ihrem Namen läuft, kann den Tresor nach dem Entsperren lesen oder das Hauptpasswort beim Tippen mitschneiden. Nichts in einem Tresor ist sicherer als die Maschine, die ihn entsperrt.

Phishing, nur teilweise. Das Ausfüllen greift auf einer falschen Domain nicht, es hält Sie aber nicht davon ab, ein Passwort in eine überzeugende Fälschung zu kopieren. Passkeys lösen das, weil sie an den Ursprung gebunden sind.

Ihr eigenes Hauptpasswort. Zero Knowledge heißt, der Anbieter kann es wirklich nicht wiederherstellen. Kein Notfallkit, keine Daten.

Sitzungsdiebstahl. Die meisten modernen Kontoübernahmen berühren Ihr Passwort nie. So wurde im Oktober 2023 der Okta-Mandant von 1Password kompromittiert, über ein gestohlenes Sitzungscookie eines IT-Mitarbeiters, laut Untersuchung ohne Zugriff auf Nutzerdaten.

Ein Anbieter, den Sie nicht prüfen können. Keine veröffentlichten Audits, keine dokumentierte Schlüsselableitung und keine lesbaren Preise ist eine Bitte um unverdientes Vertrauen.

Wie man einen sicher nutzt

  1. Geben Sie dem Manager eine lange, einzigartige Passphrase, auf Papier und digital nirgends.
  2. Schalten Sie Zwei-Faktor ein, Hardware-Schlüssel oder Passkey statt SMS.
  3. Stellen Sie E-Mail, Bank, Registrar und Cloud auf Passkeys um, wo angeboten.
  4. Richten Sie die Wiederherstellung vorher ein, per Notfallzugang, Emergency Kit oder Familienorganisator.
  5. Halten Sie das Gerät gepatcht, denn der Endpunkt ist die Schwachstelle.

Die Alternative zu einem Passwortmanager ist nicht perfekte Sicherheit, sondern ein wiederverwendetes Passwort oder eine Tabelle. Die Produkte haben wir nach Audits, Hosting und Preis in den besten Passwortmanagern 2026 bewertet, und die beiden meistverglichenen Optionen treffen sich in 1Password vs Bitwarden.

Fragen und Antworten

Kann ein Passwortmanager gehackt werden?
Der Anbieter kann kompromittiert werden, und das ist passiert: 2022 wurden Backups von LastPass-Kundentresoren kopiert. In einem Zero-Knowledge-Produkt bekommt der Angreifer Chiffrat, die Frage lautet also, wie lange dieses Chiffrat hält. Das entscheidet die Schlüsselableitung, etwa 600.000 PBKDF2-Iterationen bei Bitwarden, 1.000.000 bei Keeper oder der 128-Bit-Secret-Key von 1Password, der Ihre Geräte nie verlässt.
Was passiert, wenn ich mein Hauptpasswort vergesse?
In einem echten Zero-Knowledge-Produkt kann der Anbieter es nicht wiederherstellen, und Ihre Daten bleiben unlesbar. Deshalb richtet man die Wiederherstellung ein, bevor man sie braucht: Notfallzugang bei Bitwarden mit Vertrauensperson und Wartezeit, das druckbare Emergency Kit bei 1Password, oder einen Familienorganisator, der ein Konto wiederherstellen kann.
Ist der Passwortmanager im Browser sicher genug?
Besser als ein Passwort überall, schlechter als jedes dedizierte Produkt. Browser-Tresore hängen an einem Browserprofil, veröffentlichen selten datierte externe Audits und können Zugangsdaten meist nicht nach Richtlinie mit Kollegen teilen. Apples Passwörter-App ist die Ausnahme, die man erwägen sollte, weil es ein Systemspeicher mit geteilten Gruppen ist.
Ersetzen Passkeys einen Passwortmanager?
Noch nicht, sie ändern, was er speichert. Passkeys sind an den Ursprung einer Website gebunden, Phishing funktioniert bei solchen Konten also nicht mehr, und das ist eine echte Verbesserung gegenüber jedem Passwort. Die meisten Dienste verlangen aber weiter ein Passwort, Sie brauchen also einen Ort für beides. Jeder große Manager speichert inzwischen Passkeys neben Passwörtern.

Quellen

Jeder Preis und jede Angabe oben wurde am genannten Datum gegen diese Seiten geprüft.

  1. [1] 2022 LastPass data breach, timeline and December 2022 disclosure abgerufen 2026-11-11
  2. [2] Bitwarden KDF algorithms, PBKDF2 600,000 iterations default and Argon2id parameters abgerufen 2026-11-11
  3. [3] About 1Password security, two-secret key derivation and AES-GCM-256 abgerufen 2026-11-11
  4. [4] Is Bitwarden audited? Audit list by firm and year abgerufen 2026-11-11
  5. [5] 1Password discloses security incident linked to Okta breach, BleepingComputer, October 2023 abgerufen 2026-11-11
  6. [6] Keeper security model, PBKDF2 1,000,000 iterations and zero-knowledge architecture abgerufen 2026-11-11
Themen password-managersecuritythreat-modelpasskeys