Einen Passwortmanager auswählen: Sicherheit, Wiederherstellung und Übertragbarkeit

Ein Passwortmanager speichert Zugangsdaten und ermöglicht es, sie bei Bedarf abzurufen, statt sich für jede Website ein anderes Passwort merken zu müssen. Je nach Dienst kann er Formulare ausfüllen, Daten zwischen Geräten synchronisieren und weitere Elemente wie sichere Notizen oder Passkeys speichern. Praktisch ist vor allem, dass sich die Wiederverwendung von Passwörtern reduzieren lässt und lange, unterschiedliche Passwörter leichter nutzbar werden. Das Tool hilft bei der Verwaltung von Zugangsdaten; es macht ein Konto nicht unangreifbar und ersetzt nicht die Sicherheitsmaßnahmen der Websites, bei denen Sie sich anmelden.

Ein Manager bündelt außerdem wertvolle Informationen. Kann jemand den Tresor entsperren, könnte diese Person auf viele Konten zugreifen. Deshalb sind sowohl der Schutz des Managerkontos als auch die Gestaltung der Wiederherstellung wichtig. Ein Versprechen von „Ende-zu-Ende-Verschlüsselung“ reicht nicht aus: Finden Sie heraus, welche Daten verschlüsselt werden, wo die Verschlüsselung stattfindet, was der Anbieter sehen kann und was passiert, wenn Sie das Masterpasswort verlieren. OWASPs Leitfaden zur kryptografischen Speicherung bietet Grundsätze, anhand derer sich der Schutz gespeicherter Daten beurteilen lässt, zertifiziert oder prüft aber nicht selbst ein bestimmtes Produkt.

Die Wahl sollte nicht auf eine allgemeingültige Rangliste der „sichersten“ Dienste hinauslaufen. Eine Funktion kann nützlich sein und trotzdem schlecht zu Ihren Geräten oder Ihrer Fähigkeit passen, eine Notfallkopie aufzubewahren. Ziel ist es, überprüfbare Belege zu sammeln und zu entscheiden, ob der Dienst zu Ihrer Nutzung passt. Aussagen des Anbieters beschreiben, was dieser dokumentiert; sie sind nicht automatisch eine unabhängige Bewertung der Umsetzung.

Erstellen Sie vor dem Vergleich von Tarifen eine Übersicht darüber, wo Sie den Manager nutzen müssen: auf dem Mobiltelefon, Computer, Tablet, in Browsern und gegebenenfalls auf gemeinsam genutzten Geräten. Prüfen Sie, ob kompatible Apps oder Erweiterungen für Ihre Systeme verfügbar sind und ob die Synchronisierung mit der Gerätekombination funktioniert, die Sie tatsächlich verwenden. Eine lange Plattformliste hilft nicht, wenn die Plattform fehlt, die Sie täglich benötigen. Prüfen Sie außerdem, ob Sie Zugangsdaten auch ohne Internetverbindung abrufen können und welche Bedingungen der Anbieter dafür festlegt.

Denken Sie auch an die gemeinsame Nutzung. Vielleicht möchten Sie bestimmte Passwörter mit Familienangehörigen oder Kollegen teilen, Haushaltskonten verwalten oder einer Vertrauensperson im Notfall Zugriff ermöglichen. Prüfen Sie, ob der Dienst diese Optionen bietet, welche Kontrollmöglichkeiten verfügbar sind – etwa die Beschränkung, wer einen Eintrag ansehen oder ändern darf – und ob sie im Tarif enthalten sind, den Sie bezahlen würden. Verwechseln Sie einen gemeinsamen Ordner nicht mit einem Notfallverfahren: Sie erfüllen unterschiedliche Zwecke und können verschiedenen Anforderungen unterliegen.

Wenn Sie Passwörter bisher im Browser speichern, prüfen Sie die Migrationsmöglichkeiten, bevor Sie beginnen. Die Anleitungen von Google Chrome und Microsoft Authenticator dokumentieren Import- oder Exportoptionen; Apple beschreibt ebenfalls den Export vom iPhone. Diese Verfahren und ihre Bedingungen können sich je nach Gerät und Version unterscheiden. Bevor Sie sich auf einen bestimmten Weg verlassen, lesen Sie die aktuelle Dokumentation für Ihre Plattform und prüfen Sie, ob sie auch andere Daten wie Notizen, Benutzernamen oder Passkeys umfasst. Entscheidend ist die Kompatibilität Ihres gesamten Ablaufs für Ein- und Ausstieg, nicht die Zahl der Marken auf einer Marketingseite.

Suchen Sie nach konkreten Erläuterungen zur Verschlüsselung des Tresors, zum Schutz des Masterpassworts und zum Umgang mit Daten auf Servern und Ihren Geräten. Trennen Sie klar, was der Anbieter erklärt und was er offenlässt. Ein bekannter Algorithmus allein beweist nicht, dass eine App gut umgesetzt ist: Auch seine Verwendung, Schlüsselverwaltung, Aktualisierungen, Kontosicherheit und Fehlerbehandlung sind wichtig. Beschränkt sich eine Erklärung auf allgemeine Begriffe wie „militärischer Standard“, suchen Sie in technischer oder sicherheitsbezogener Dokumentation nach überprüfbaren Einzelheiten.

Die Multi-Faktor-Authentifizierung ergänzt das Passwort um eine weitere Prüfung. Prüfen Sie, welche Methoden der Anbieter unterstützt und welche Alternativen es gibt, wenn Sie Ihr Telefon oder Authentifizierungsgerät verlieren. Die Methoden haben nicht alle dieselben Eigenschaften, und aktivierte Multi-Faktor-Authentifizierung beseitigt weder die Risiken durch Phishing und schwache Wiederherstellung noch die durch kompromittierte Geräte. Die Tableau-Dokumentation beschreibt beispielsweise Multi-Faktor-Authentifizierung für den eigenen Dienst; sie belegt nicht, dass ein anderer Manager gleichwertige Kontrollen bietet. Bewerten Sie die Dokumentation des Produkts, das Sie tatsächlich in Betracht ziehen.

Suchen Sie außerdem nach Informationen zu Audits oder externen Prüfungen: Wer hat sie durchgeführt, welchen Umfang hatten sie, wann wurden sie veröffentlicht und decken sie das Produkt und die Apps ab, die Sie nutzen werden? „Geprüft“ ohne Datum und Umfang ist eine unvollständige Beschreibung. Ein Bericht kann nur einen Teil des Systems oder eine ältere Version betreffen. Betrachten Sie angegebene Audits als einen Beleg unter mehreren, nicht als dauerhafte Garantie. OWASP und die NIST-Leitlinien zu Identität können dabei helfen, Fragen zu Speicherung und Authentifizierung zu formulieren, sollten aber nicht als Zertifizierungen eines bestimmten Managers dargestellt werden.

Die unbequeme Frage ist einfach: Was geschieht, wenn Sie das Masterpasswort vergessen, Ihr Mobiltelefon verlieren oder keinen Zugriff mehr auf den zweiten Faktor haben? Lesen Sie das offizielle Verfahren, bevor Sie alle Informationen im Tresor speichern. Finden Sie heraus, ob die Wiederherstellung von einem Wiederherstellungsschlüssel, einem bereits autorisierten Gerät, einer anderen Person oder einem Backup abhängt, ob für die einzelnen Methoden Vorbereitungen nötig sind und ob der Zugriff möglicherweise nur um den Preis verschlüsselter Daten wiederhergestellt werden kann. Die Einzelheiten unterscheiden sich je nach Dienst und Kontoart. Gehen Sie also nicht davon aus, dass „Konto wiederherstellen“ bedeutet, auch dessen Inhalte wiederherzustellen.

Unterscheiden Sie zwischen der Wiederherstellung des Kontozugriffs und der Wiederherstellung des Tresors. Ein Anbieter kann beim Zurücksetzen der Anmeldedaten helfen, ohne die Daten entschlüsseln zu können, oder einen Wiederherstellungsmechanismus anbieten, der vorab eingerichtet werden muss. Die Anleitung zur Übertragung von Microsoft Authenticator zeigt, warum die Bedingungen für den Umzug eines Authentifizierungsprogramms geprüft werden sollten, statt davon auszugehen, dass Konten automatisch auf einem neuen Telefon wiederhergestellt werden. Sie ist keine Anleitung für alle Passwortmanager, verdeutlicht aber, wie wichtig das spezifische Verfahren des genutzten Dienstes ist.

Erstellen Sie einen Plan, den Sie auch dann umsetzen können, wenn Sie nicht auf das möglicherweise verlorene Gerät angewiesen sind. Dazu kann gehören, Wiederherstellungsinformationen an einem geschützten, separaten Ort aufzubewahren, ein vertrauenswürdiges Gerät aktuell zu halten oder – sofern der Dienst es ermöglicht – mit einer autorisierten Person ein Notfallverfahren zu vereinbaren. Vergewissern Sie sich, dass Sie wissen, was jedes Backup enthält und wie es geschützt ist. Hinterlegen Sie keine lesbare Kopie sämtlicher Passwörter in einem gemeinsamen Ordner oder auf demselben Gerät, auf dem sich der Tresor befindet. Die beste Wiederherstellung ist die, die Sie verstanden und vorbereitet haben, bevor Sie sie brauchen.

Übertragbarkeit ist auch dann wichtig, wenn Sie voraussichtlich beim Dienst bleiben. Prüfen Sie, ob der Tresor exportiert werden kann, aus welcher App, in welchem Format und mit welchen Einschränkungen. Ein Export kann die Migration erleichtern, aber vorübergehend auch eine lesbare Datei mit Zugangsdaten erzeugen. Legen Sie fest, wo Sie die Datei während der Übertragung aufbewahren, und löschen Sie sie sicher, sobald Sie sie nicht mehr benötigen. Den Papierkorb zu leeren oder eine Datei zu löschen garantiert nicht immer, dass sie aus allen Kopien oder Synchronisierungen verschwunden ist.

Nehmen Sie nicht an, dass alle Daten exportiert werden. Prüfen Sie, ob das Format Benutzernamen, Webadressen, Notizen, Anhänge, freigegebene Einträge und andere für Sie wichtige Datensätze umfasst. Prüfen Sie anschließend, ob der Zieldienst dieses Format importieren kann und welche Elemente er unterstützt. Bitwardens Anweisungen zum Import aus Password Safe sowie die Exportanleitungen von Apple und Google sind Beispiele für produktspezifische Dokumentation: Sie helfen bei der Bewertung dieser Wege, belegen aber nicht, dass jede Kombination aus Quelle und Ziel kompatibel ist.

Ein sinnvoller Ausstiegsplan ist überschaubar und überprüfbar: Lesen Sie die offizielle Anleitung, bestätigen Sie, was exportiert wird, bestimmen Sie ein kompatibles Ziel und schützen Sie die Datei während des Vorgangs. Erklärt der Anbieter weder das Format noch den Exportweg, fragen Sie beim Support nach, bevor Sie alle Zugangsdaten dort speichern. Exportbeschränkungen beweisen für sich genommen keine schlechten Sicherheitspraktiken, beeinflussen aber Ihre Abhängigkeit vom Dienst. Den Dienst verlassen zu können, ohne Informationen zu verlieren, ist ein Auswahlkriterium und kein Detail für den Schluss.

Vergleichen Sie nur Tarife, die zu Ihrer Nutzung passen könnten. Notieren Sie den aktuellen Preis und Abrechnungszeitraum für Ihr Land, welche Funktionen kostenlos sind, wie viele Nutzer oder Geräte enthalten sind und welche Optionen einen höheren Tarif erfordern. Denken Sie auch an die Kontinuität: Kann sich der Preis ändern? Beeinflusst eine Kündigung den Zugriff auf den Tresor oder gemeinsame Funktionen? Was geschieht mit Ihren Daten, wenn Sie nicht mehr zahlen? Verwenden Sie weder einen Preis aus einer anderen Region noch ein zeitlich begrenztes Angebot als angeblich regulären Preis für Ihr Konto.

Der Preis ist kein Maß für Sicherheit. Ein kostenloser Tarif kann für eine Person und deren Geräte ausreichen, während eine Familie oder ein Team Berechtigungen, gemeinsame Wiederherstellung oder Verwaltungsfunktionen benötigen kann. Sinnvoll ist der Vergleich der Kosten mit konkreten Anforderungen, nicht mit der bloßen Anzahl der Funktionen. Ist eine Funktion nur in einem Tarif verfügbar, den Sie nicht nutzen würden, sollte sie Ihre Entscheidung nicht beeinflussen. Halten Sie außerdem Bedingungen fest, die Export oder Zugriff nach einer Kündigung betreffen könnten.

Bevor Sie den gesamten Tresor übertragen, können Sie mit einer begrenzten Menge nicht kritischer Daten eine vorsichtige Erprobung durchführen. Vergewissern Sie sich, dass die Apps vom Anbieter stammen, richten Sie den verfügbaren zweiten Faktor ein, prüfen Sie die automatische Sperre und testen Sie den Export, ohne eine Datei mit Zugangsdaten an einem gemeinsam genutzten Ort offenzulegen. Das ersetzt kein technisches Audit und beweist nicht, dass der Dienst sicher ist; so können Sie aber prüfen, ob Sie den alltäglichen Ablauf und die Ausstiegsbedingungen verstehen.

Nutzen Sie diese Fragen, um zwei oder drei Optionen einheitlich zu vergleichen. Finden Sie eine Antwort nicht in der Dokumentation, kennzeichnen Sie sie als offen, statt die Lücke mit einer Annahme zu füllen. Klarheit und überprüfbare Verfahren gehören zum praktischen Nutzen eines Produkts.

• Funktioniert der Dienst auf all meinen Geräten und in meinen Browsern, und weiß ich, was offline geschieht?
• Erklärt er, wie der Tresor verschlüsselt wird und welche Informationen der Anbieter kennen kann?
• Welche Methoden der Multi-Faktor-Authentifizierung bietet er, und wie stelle ich den Zugriff wieder her, wenn ich den zweiten Faktor verliere?
• Kann ich die benötigten Daten in ein Format exportieren, das ein anderer Dienst akzeptiert?
• Habe ich einen Wiederherstellungsweg vorbereitet, und weiß ich, was dabei verloren gehen könnte?
• Deckt der Tarif meinen Bedarf an gemeinsamer Nutzung ab, und kenne ich Kosten und Kündigungsbedingungen?
• Nennen die Sicherheits- und Auditunterlagen Umfang und Datum der Prüfungen?

Eine gute Wahl setzt keinen perfekten Dienst voraus. Sie bedeutet, erklären zu können, warum der Dienst zu Ihren Geräten passt, wie Sie den Zugriff wiederherstellen würden, welche Belege Ihr Vertrauen stützen und wie Sie den Anbieter wechseln könnten. Können Sie diese Fragen noch nicht beantworten, unterbrechen Sie die Migration und klären Sie sie, bevor Sie Ihre Zugangsdaten an einem Ort bündeln. Setzen Sie auf dokumentierte Sicherheit, praktikable Wiederherstellung und einen gangbaren Ausstieg; vergleichen Sie danach Komfort und Preis.