Passwortmanager: So wählen Sie mit Bedacht

Ein Passwortmanager speichert Zugangsdaten in einem digitalen Tresor und hilft dabei, sie beim Anmelden abzurufen. Statt ein einfaches Passwort wiederzuverwenden oder für jedes Konto ein anderes auswendig zu lernen, können Sie einzigartige Passwörter erstellen und von der App speichern lassen. Dieser Komfort kann bessere Gewohnheiten fördern, macht aber nicht jedes Konto unangreifbar: Die Sicherheit hängt auch davon ab, wie Sie das Managerkonto und Ihre Geräte schützen und wie Sie die Wiederherstellung handhaben.

Überlegen Sie vor dem Vergleich von Marken, was Sie außer Passwörtern speichern möchten. Bei manchen Diensten lassen sich Notizen, Wiederherstellungscodes, Karten oder Dateien hinterlegen; andere konzentrieren sich auf Zugangsdaten. Wer lediglich Anmeldedaten automatisch ausfüllen lassen möchte, kommt womöglich mit einem einfachen Tresor aus. Wenn Sie Dokumente speichern oder Einträge mit der Familie teilen wollen, werden Berechtigungen, Freigabemöglichkeiten und Speichergrenzen wichtiger. Der größte Nutzen liegt nicht darin, möglichst viele Funktionen anzusammeln, sondern Wiederverwendung zu verringern und sicheren Zugriff zu erleichtern.

Ein Passwortmanager bündelt wertvolle Informationen an einem Ort. Deshalb sollten Sie sowohl den Schutz des Tresors als auch das Risiko eines Zugriffsverlusts bewerten. Eine Bildungsressource von Purdue zu Passwortmanagern hebt deren praktischen Nutzen auf verschiedenen Geräten und Plattformen hervor und nennt auch die Mehr-Faktor-Authentifizierung als Teil bewährter Vorgehensweisen. Das ist weder eine Prüfung eines bestimmten Dienstes noch ein Beleg dafür, dass alle Produkte denselben Schutz bieten.

Kompatibilität ist nicht allein dadurch geklärt, dass es eine Smartphone-App gibt. Prüfen Sie, ob der Dienst Apps für Ihre Betriebssysteme, Erweiterungen für Ihre Browser und eine praktikable Möglichkeit zum Zugriff von einem Zweitgerät bietet. Auch das automatische Ausfüllen ist wichtig: Wenn es zuverlässig mit Browser oder Betriebssystem zusammenspielt, ist die Versuchung geringer, Passwörter an einem ungeeigneten Ort abzulegen.

Prüfen Sie Ihre konkreten Geräte. Wenn Sie zwischen Smartphone, privatem Computer und Arbeitsgerät wechseln, stellen Sie fest, ob es Apps für jede Plattform gibt und ob die Synchronisierung im betrachteten Tarif enthalten ist. In einer gemeinsam genutzten oder familiären Umgebung sollten Sie überprüfen, ob Freigabefunktionen verfügbar sind, ohne das Master-Passwort offenzulegen. Die Dokumentation des Anbieters sollte Grenzen nach Betriebssystem, Browser, Gerätezahl oder Kontotyp nennen. Gehen Sie nicht davon aus, dass eine beworbene Funktion in jedem Tarif enthalten ist.

Eine kurze Checkliste hilft, eine ungeeignete Wahl zu vermeiden:

• Die Betriebssysteme und Browser, die Sie derzeit nutzen.
• Verfügbarkeit und Grenzen der Synchronisierung zwischen Geräten.
• Möglichkeiten zum automatischen Ausfüllen und Offline-Zugriff, falls erforderlich.
• Barrierefreiheit, Sprache und Unterstützung Ihrer Anmeldeverfahren.

Kompatibilität kann sich im Lauf der Zeit ändern. Informieren Sie sich vor dem Bezahlen auf den offiziellen Download- und Hilfeseiten und prüfen Sie, ob die Hinweise zu Ihrer Region und der aktuellen Version passen. Ein allgemeiner Artikel zum Thema ersetzt diese Prüfung nicht.

Wenn ein Anbieter einen Tresor als verschlüsselt bezeichnet, ist das ein Ausgangspunkt, aber keine vollständige Bewertung. Fragen Sie, welche Daten verschlüsselt werden, wo und wann die Verschlüsselung erfolgt, wie Schlüssel verwaltet werden und welche Informationen außerhalb des verschlüsselten Tresors bleiben. Der Ausdruck Ende-zu-Ende-Verschlüsselung kann ein Design beschreiben; lesen Sie jedoch die technische Definition des Dienstes, statt nicht veröffentlichte Einzelheiten daraus abzuleiten.

Verschlüsselung ist nicht mit umfassender Sicherheit gleichzusetzen. Eine starke Verschlüsselung schützt für sich genommen weder ein infiziertes Gerät noch ein schwaches Master-Passwort, eine auf dem Rechner einer anderen Person offen gelassene Sitzung oder ein durch Täuschung übernommenes Konto. OWASP empfiehlt, bei Systemen zur Speicherung sensibler Daten auf Auswahl und Verwaltung kryptografischer Verfahren zu achten; diese Hinweise zertifizieren keine einzelnen Produkte. Entscheidend ist, ob der Anbieter seine Schutzmaßnahmen so genau erläutert, dass Sie deren Wirkung und Grenzen verstehen können.

Achten Sie auf Dokumentation zum Verschlüsselungsmodell, zum Umgang mit dem Master-Passwort, zur Synchronisierung, zu Sicherungskopien und zu den Folgen verlorener Zugangsdaten. Falls der Dienst externe Audits, Sicherheitsberichte oder Informationen zu Schwachstellen und Aktualisierungen veröffentlicht, betrachten Sie diese als ergänzende Belege: Ein Audit hat einen bestimmten Umfang und Zeitpunkt und beweist nicht, dass es künftig keine Fehler geben wird. Technische Transparenz ist hilfreicher als ein allgemeines Versprechen von „Sicherheit auf Militärniveau“.

Bei der Mehr-Faktor-Authentifizierung (MFA) müssen Sie sich mit mehr als einer Art von Nachweis anmelden, etwa mit einem Passwort und einem zeitlich begrenzten Code. Sie soll das Risiko senken, dass ein gestohlenes Passwort allein genügt, um Zugang zu erhalten. Sie behebt weder ein wiederverwendetes Master-Passwort noch macht sie ein kompromittiertes Gerät sicher. Prüfen Sie, welche Verfahren der Manager unterstützt, ob MFA optional oder vorgeschrieben ist und welche Alternativen es gibt, falls Sie Ihr Telefon oder Authentifizierungsgerät verlieren.

Die Verfahren sind nicht in jeder Situation austauschbar. Codes aus einer Authentifizierungs-App, Sicherheitsschlüssel und Wiederherstellungsverfahren haben unterschiedliche Anforderungen und Risiken. NIST SP 800-63B-4 behandelt Authentifizierung und den Umgang mit Authentifizierungsmerkmalen im Kontext digitaler Identität. Die Publikation ist eine Normreferenz, aber keine Zertifizierung von Passwortmanagern. Für die praktische Auswahl ist wichtig, dass der Dienst unterstützte Methoden sowie das Hinzufügen, Ersetzen und Widerrufen eines Authentifizierungsmerkmals dokumentiert.

Bevor Sie MFA aktivieren, bewahren Sie Wiederherstellungscodes, sofern angeboten, an einem separaten und sicheren Ort auf. Legen Sie sie nicht ausschließlich im selben Tresor ab, zu dessen Wiederherstellung sie möglicherweise benötigt werden. Prüfen Sie außerdem, ob es eine alternative Methode gibt und welche Nachweise dabei verlangt werden. MFA verbessert den Schutz gegen bestimmte Angriffe, doch eine schwache Wiederherstellung kann zur Abkürzung werden, mit der sich dieser Schutz umgehen lässt.

Die Wiederherstellung verdient besondere Aufmerksamkeit, weil sie darüber entscheiden kann, wer nach Verlust des Master-Passworts oder eines zweiten Faktors wieder Zugriff erhält. Dienste verwenden unterschiedliche Modelle: Manche ermöglichen unter bestimmten Bedingungen eine Kontowiederherstellung; bei anderen lassen sich verschlüsselte Inhalte möglicherweise nicht wiederherstellen, wenn erforderliche Zugangsdaten verloren gehen. Lesen Sie die offiziellen Informationen und unterscheiden Sie zwischen dem Wiedererlangen des Kontozugriffs, dem Zurücksetzen eines Passworts und der Wiederherstellung von Tresordaten. Das sind nicht zwingend dieselben Vorgänge.

Gehen Sie nicht davon aus, dass der technische Support den Tresor entschlüsseln kann. Wenn der Anbieter aufgrund des Designs nicht über die erforderlichen Schlüssel verfügt, kann dies die Wiederherstellung einschränken, auch wenn dadurch bestimmte Zugriffsmöglichkeiten des Anbieters verringert werden. Der Zielkonflikt ist konkret: Mehr Wiederherstellungswege können berechtigten Nutzern helfen, schaffen aber Verfahren, die gegen Identitätsbetrug geschützt werden müssen. Die OWASP-Empfehlungen zum Zurücksetzen von Passwörtern betonen die sorgfältige Gestaltung solcher Abläufe. Sie sind allgemeine Kriterien und beschreiben nicht die Regeln eines bestimmten Dienstes.

Beantworten Sie vor einem Wechsel oder Kauf anhand der Produktdokumentation folgende Fragen:

• Was geschieht, wenn Sie das Master-Passwort vergessen?
• Welche Verfahren ermöglichen die Wiederherstellung oder Freigabe des Zugriffs?
• Wer kann eine Wiederherstellung einleiten und welche Nachweise sind erforderlich?
• Wird das Konto, der Tresor oder beides wiederhergestellt?
• Welche Daten gehen verloren, wenn Sie notwendige Schlüssel oder Codes nicht aufbewahren?

Ist eine Antwort unklar, fragen Sie den Anbieter, bevor Sie unersetzliche Informationen speichern. Es geht nicht darum, den bequemsten Wiederherstellungsweg auszuwählen, sondern die Risiken jeder Alternative zu verstehen.

Die Möglichkeit, Daten zu exportieren, verringert die Abhängigkeit von einem Dienst und erleichtert den Wechsel zu einem anderen Manager. Prüfen Sie unterstützte Exportformate, die erhaltenen Felder und die Verfügbarkeit des Vorgangs auf Ihren Plattformen. Gehen Sie nicht davon aus, dass beim Import Notizen, Dateien, Ordner, geteilte Einträge oder Codes automatisch übernommen werden: Die Kompatibilität hängt von den Formaten und Funktionen der Quelle und des Ziels ab.

Je nach Format und Ablauf kann eine exportierte Datei im Klartext lesbar sein. Behandeln Sie sie als sensible Kopie: Bewahren Sie sie nur so lange wie nötig auf, versenden Sie sie nicht per E-Mail und lassen Sie sie nicht ungeschützt in einem synchronisierten Ordner liegen. Löschen Sie sie nach Abschluss sicher. Wenn der Manager einen verschlüsselten Export anbietet, prüfen Sie, wie er geschützt wird und welche Schlüssel für den erneuten Import erforderlich sind. Die OWASP-Anleitung zur kryptografischen Speicherung liefert allgemeine Kriterien zum Schutz sensibler Daten, garantiert aber nicht das Verhalten einer bestimmten Exportfunktion.

Ein sorgfältiger Umzug verringert Fehler und Risiken:

1. Lesen Sie die Exportdokumentation des bisherigen und die Importdokumentation des neuen Dienstes.
2. Exportieren Sie nur Notwendiges und bewahren Sie die Datei in einer kontrollierten Umgebung auf.
3. Prüfen Sie, ob wichtige Konten im Ziel vorhanden sind.
4. Löschen Sie temporäre Dateien und überprüfen Sie synchronisierte oder heruntergeladene Kopien.
5. Behalten Sie den Zugriff auf den alten Manager, bis Sie bestätigt haben, dass nichts fehlt.

Wenn der Dienst keinen klaren Ausstieg ermöglicht, berücksichtigen Sie diese Kosten, bevor Sie beginnen. Portabilität ist kein nebensächliches technisches Detail, sondern gehört auch zur Möglichkeit, den Anbieter zu wechseln.

Ein kostenloser Tarif kann für eine Person ausreichen, wenn er deren Geräte, Synchronisierung und Anmeldeverfahren abdeckt. Ein kostenpflichtiger Tarif kann Funktionen wie Freigabe, zusätzlichen Speicher, Support oder Kontrollen für mehrere Personen ergänzen. Das Angebot unterscheidet sich jedoch je nach Dienst und kann sich ändern. Eine kostenpflichtige Option ist nicht allein deshalb sicherer, und eine kostenlose ist nicht grundsätzlich unzureichend.

Vergleichen Sie den konkreten Tarif mit Ihren Anforderungen und nicht nur mit einer einzelnen Werbetabelle. Prüfen Sie die Zahl der Geräte, Grenzen für Einträge oder Dateien, MFA-Funktionen, Wiederherstellung, Exportmöglichkeiten und Kündigungsbedingungen. Gibt es eine wichtige Funktion nur in einer höheren Tarifstufe, überlegen Sie, ob Sie sie tatsächlich nutzen. Aktuelle Preise und Grenzen sollten Sie in der offiziellen Dokumentation und den Bedingungen des Anbieters überprüfen. Dieser Leitfaden nennt keine Beträge, weil Preise nicht nach Markt und Zeitpunkt verifiziert wurden.

Bildungsorientierte Untersuchungen zu Passwortmanagern beschreiben, dass sie praktisch sein und auf verschiedenen Geräten kostenlos zur Verfügung stehen können. Sie vergleichen jedoch keine aktuellen kommerziellen Tarife und prüfen nicht die Sicherheit bestimmter Marken. Diese Unterscheidung ist wichtig: Eine allgemeine Quelle hilft, die Produktkategorie zu verstehen; Kaufbedingungen müssen auf der Website des Anbieters geprüft werden. Wählen Sie den einfachsten Tarif, der Ihre bestätigten Anforderungen erfüllt und einen Ausstieg ohne Datenverlust ermöglicht.