Einen Passwortmanager auswählen: Was Sie vor der Entscheidung vergleichen sollten

Ein Passwortmanager speichert Zugangsdaten und hilft Ihnen dabei, für jeden Dienst ein anderes Passwort zu verwenden. Im Alltag müssen Sie dadurch nicht alle Passwörter auswendig lernen oder dasselbe Passwort wiederverwenden. Die Electronic Frontier Foundation (EFF) erklärt, dass solche Programme Passwörter erzeugen, in einem Tresor speichern und Anmeldedaten automatisch eintragen können; viele synchronisieren Informationen auch zwischen Geräten. Das Ziel ist nicht, die App mit den meisten Funktionen zu finden, sondern eine, die Sie regelmäßig verwenden können und auf die Sie dauerhaft zugreifen können. (EFF)

Notieren Sie zunächst, bei welchen Diensten Sie sich anmelden und welche Geräte Sie verwenden, bevor Sie sich Marken ansehen: zum Beispiel ein Smartphone und einen Computer, mehrere Browser oder gemeinsam genutzte Geräte zu Hause. Stellen Sie sich außerdem zwei Fragen: Müssen Sie Zugangsdaten mit einer anderen Person teilen? Speichern Sie nur Passwörter oder auch Notizen und andere Daten? Ihre Antworten verändern, welche Funktionen wichtig sind. Für eine einfache private Nutzung sind nicht unbedingt dieselben Optionen nötig wie für eine Familie oder ein Arbeitsteam; das ist eine praktische Unterscheidung und keine Sicherheitsklassifizierung.

Bedenken Sie auch den Zielkonflikt, der entsteht, wenn Zugangsdaten an einem Ort zusammengeführt werden. Ein Tresor erleichtert die Verwendung unterschiedlicher Passwörter, bündelt aber sensible Informationen in einem Konto und einer App. Die EFF weist darauf hin, dass dadurch ein zentraler Ausfallpunkt entstehen kann, und empfiehlt, auf ein starkes Master-Passwort und die Zwei-Faktor-Authentifizierung zu achten. Bequemlichkeit und Risiko sollten nicht getrennt bewertet werden: Je stärker Ihr Zugriff von einem einzigen Konto abhängt, desto wichtiger ist es zu verstehen, wie Sie dieses schützen und was Sie tun können, wenn Sie sich nicht anmelden können. (EFF)

Eine allgemeine Liste von Betriebssystemen reicht nicht aus, um die Kompatibilität zu beurteilen. Prüfen Sie die Dokumentation des Dienstes für jedes Gerät und jeden Browser, den Sie verwenden, und stellen Sie fest, ob es eine App, eine Browser-Erweiterung oder beides gibt. Vergewissern Sie sich anschließend, dass die wichtigen Funktionen – etwa neue Zugangsdaten zu speichern, Anmeldedaten auszufüllen und Änderungen zu synchronisieren – in genau dieser Kombination verfügbar sind. Die Verfügbarkeit kann sich je nach Plattform unterscheiden; nehmen Sie nicht an, dass jede auf der Startseite beschriebene Funktion in allen Versionen vorhanden ist.

Testen Sie Ihren üblichen Ablauf: Öffnen Sie ein Konto auf dem Smartphone, prüfen Sie, ob die Zugangsdaten auf Ihrem Computer erscheinen, und probieren Sie die Anmeldung mit dem Browser aus, den Sie tatsächlich verwenden. Wenn Sie zwischen Browsern wechseln, stellen Sie sicher, dass der Manager sie unterstützt, ohne Sie auf einen umständlichen Ablauf festzulegen. Denken Sie auch an geliehene oder gemeinsam genutzte Geräte: Vielleicht möchten Sie dort keine Sitzung geöffnet lassen und das automatische Ausfüllen nicht in einem Profil aktivieren, das Sie nicht kontrollieren. Diese Nutzungsdetails sollten Sie in der Dokumentation überprüfen, statt sie aus dem Namen einer Funktion abzuleiten.

Synchronisierung ist praktisch. Fragen Sie aber, wie sie sich verhält, wenn ein Gerät offline ist oder wenn Sie ein Passwort an zwei Stellen gleichzeitig ändern. Wenn der Anbieter den Offlinebetrieb und die Konfliktlösung dokumentiert, lesen Sie diese Angaben. Ist die Erklärung unklar, notieren Sie die offene Frage und klären Sie sie, bevor Sie einen wichtigen Tresor übertragen. Tatsächliche Kompatibilität ist das, was Sie mit Ihrer Gerätekombination überprüfen können, nicht das, was sich aus einem allgemeinen Versprechen zur Verfügbarkeit auf mehreren Geräten ergibt.

Unterscheiden Sie zwischen dem Master-Passwort, das den Tresor schützt, und einer zusätzlichen Methode, mit der Sie sich beim Dienstkonto anmelden. Es handelt sich nicht zwingend um dasselbe. Prüfen Sie, ob der Anbieter Mehr-Faktor-Authentifizierung unterstützt, welche Methoden angeboten werden und welche Schritte für die Aktivierung erforderlich sind. CISA empfiehlt, Mehr-Faktor-Authentifizierung in Betracht zu ziehen, weil sie eine zusätzliche Prüfung neben dem Passwort bietet; ob eine bestimmte Methode wie ein Sicherheitsschlüssel verfügbar ist, müssen Sie in der Dokumentation des Managers nachsehen. (CISA)

Lesen Sie die Angaben zur Wiederherstellung besonders sorgfältig. Finden Sie heraus, welche Möglichkeiten es gibt, wenn Sie das Master-Passwort vergessen, Ihr Smartphone verlieren oder den zweiten Faktor nicht mehr verwenden können. Die Wiederherstellung des Zugriffs kann Sicherheitsfolgen haben: Ein Verfahren, das die Wiederherstellung eines Kontos erleichtert, sollte auch erklären, was der Anbieter wiederherstellen kann und was von Ihnen abhängt. Verstehen Sie das Wort „Wiederherstellung“ nicht als Garantie, dass sich immer alle Inhalte zurückholen lassen; suchen Sie nach dem dokumentierten Verfahren und den dafür geltenden Anforderungen.

NIST hat Empfehlungen zur digitalen Authentifizierung veröffentlicht. SP 800-63-3, auf die in manchen Dokumentationen noch verwiesen wird, wurde jedoch am 1. August 2025 durch SP 800-63-4 ersetzt. Die frühere Ausgabe sollte daher nicht als aktuelle Leitlinie dargestellt werden. Bevorzugen Sie beim Produktvergleich die aktuelle Dokumentation des Anbieters und aktuelle NIST-Referenzen; eine Zertifizierung oder ein Werbesatz allein beweist nicht, dass eine bestimmte Konfiguration alle Ihre Anforderungen erfüllt. (NIST, Hinweis zur Ablösung) Die Wiederherstellung verdient dieselbe Prüfung wie die Anmeldung: Ein sicherer Tresor, auf den Sie nicht mehr zugreifen können, kann zu einem ernsten betrieblichen Problem werden.

Informieren Sie sich vor dem Übertragen der Zugangsdaten darüber, wie sich der Tresor exportieren lässt und welches Format der Dienst anbietet. Prüfen Sie, ob der Export alle Elemente enthält, die Sie tatsächlich speichern – etwa Notizen oder benutzerdefinierte Felder – und ob ein möglicher alternativer Manager ein kompatibles Importwerkzeug bereitstellt. Ein Exportknopf allein beweist nicht, dass eine spätere Migration einfach sein wird: Strukturen und Felder können sich von Dienst zu Dienst unterscheiden.

Fragen Sie außerdem, ob der Export verschlüsselt ist oder eine ungeschützte, lesbare Datei erzeugt, und prüfen Sie die offiziellen Anweisungen zum Speichern und Löschen. Ein Klartext-Export kann zahlreiche Zugangsdaten offenlegen, wenn er in einem synchronisierten Ordner, auf einem gemeinsam genutzten Computer oder in einer ungeplanten Sicherungskopie zurückbleibt. Bewahren Sie keine unnötigen Kopien auf: Wenn Sie die Migration überprüft haben, folgen Sie den Anweisungen des Anbieters, um temporäre Dateien sicher zu entfernen. Behaupten Sie nicht, ein bestimmtes Format sei universell, ohne dies in der Dokumentation beider Dienste überprüft zu haben.

Übertragbarkeit ist ein Test Ihrer Kontrolle über die Daten und nicht nur eine Komfortfunktion. Behalten Sie vor einem Wechsel den Zugriff auf den ursprünglichen Dienst, bis Sie geprüft haben, dass wichtige Einträge korrekt importiert wurden und Sie sich damit anmelden können. Vergleichen Sie verschiedene Arten von Konten und nicht nur ein einfaches Passwort. So verringern Sie das Risiko, später festzustellen, dass Notizen, Webadressen oder von Ihnen verwendete Felder fehlen. Erklärt die Dokumentation nicht genau, was exportiert wird, sollten Sie diese Unklarheit als praktischen Nachteil der Wahl betrachten.

Funktionslisten können zentrale Merkmale und Ergänzungen vermischen, die Sie womöglich nie verwenden. Trennen Sie das Notwendige – etwa Unterstützung für Ihre Geräte, Synchronisierung und Export – vom Wünschenswerten, zum Beispiel dem Teilen von Einträgen oder dem Speichern anderer Informationsarten. Vergleichen Sie die aktuellen Bedingungen auf der offiziellen Website: Was umfasst der kostenlose Tarif? Gibt es eine Grenze für Geräte oder Einträge? Welche Funktionen setzen ein Abonnement voraus und wie wird die Verlängerung abgerechnet? Preise können sich je nach Land, Währung, Aktion und Zeitpunkt ändern. Ohne eine aktuelle Quelle des Anbieters sollte man daher keine Zahl als allgemein gültig darstellen.

Eine eigene Vergleichstabelle hilft dabei, dass eine auffällige Funktion keinen wichtigen Mangel überdeckt. Bewerten Sie nur Punkte, die Sie bestätigt haben, und kennzeichnen Sie etwas als „nicht dokumentiert“, wenn Sie in den offiziellen Angaben keine Antwort finden. Machen Sie aus fehlenden Informationen nicht die Behauptung, der Dienst biete die Funktion nicht an: Es handelt sich um eine offene Frage, die geklärt werden sollte. Entscheidend sind die Kosten des Tarifs, der Ihre tatsächlichen Anforderungen erfüllt, nicht allein der Einstiegspreis oder der vermeintliche Wert einer langen Liste zusätzlicher Funktionen.

Suchen Sie beim Vergleich von Datenschutz und Sicherheit nach konkreten Erläuterungen zu Verschlüsselung, Zugriff des Anbieters auf Daten, Kontoschutz und Aktualisierungen. Die EFF erinnert daran, dass Passwortmanager nicht alle Risiken beseitigen und dass Konfiguration und Nutzungsgewohnheiten ebenfalls eine Rolle spielen. Behandeln Sie eine Bezeichnung wie „Ende-zu-Ende-Verschlüsselung“ nicht als vollständige Antwort, ohne zu verstehen, auf welche Daten und Abläufe sie sich bezieht. Sind die technischen Angaben unklar, fragen Sie den Anbieter oder schließen Sie die Option aus, wenn diese Information für Ihre Entscheidung ausschlaggebend ist. (EFF)

Prüfen Sie vor der Entscheidung die folgenden Punkte in der aktuellen Dokumentation des Dienstes und in den Bedingungen für Ihren Markt:

• Geräte: Smartphone, Computer und die Browser, die Sie normalerweise verwenden, werden unterstützt.
• Zugriff: Sie verstehen, wie das Konto geschützt wird und welche zusätzlichen Authentifizierungsmethoden verfügbar sind.
• Wiederherstellung: Sie kennen die Möglichkeiten, wenn Sie ein Gerät verlieren oder das Master-Passwort vergessen.
• Übertragbarkeit: Sie wissen, wie Sie die Daten exportieren, was die Datei enthält und wie Sie sie schützen.
• Kosten und Beschränkungen: Die benötigten Funktionen sind im Tarif und in dem Land verfügbar, in dem Sie ihn nutzen.
• Teilen: Die Regeln für Zugriff und Widerruf passen zu den Personen, mit denen Sie gegebenenfalls Informationen teilen würden.

Wenn Sie den Dienst ausprobieren können, ohne sofort alle Informationen zu übertragen, beginnen Sie mit einigen wenigen Konten mit geringem Risiko. Prüfen Sie, ob der Manager Zugangsdaten auf den vorgesehenen Geräten speichert und ausfüllt, und testen Sie den Export anhand der offiziellen Anleitung, bevor Sie ihm Ihren gesamten Tresor anvertrauen. Verwenden Sie keine echten Zugangsdaten in Testwerkzeugen von Drittanbietern und lassen Sie exportierte Dateien nicht ungeschützt. Ein begrenzter Test kann Nutzungshürden sichtbar machen; er ist kein unabhängiges Sicherheitsaudit und beweist nicht, dass der Dienst unangreifbar ist. Planen Sie den Übergang: Behalten Sie vorübergehend Zugriff auf den bisherigen Manager, bis Sie geprüft haben, dass die wichtigen Einträge im neuen System funktionieren und Sie wissen, wie Sie das Konto wiederherstellen können.