Passwortmanager: Was sie lösen und wo kostenlose Online-Tools versagen
Ein Passwortmanager ist die eine Sicherheitssoftware, deren Nutzen fast alle Fachleute anerkennen. Er macht Sie nicht immun gegen Lecks, aber er beseitigt die zwei Gewohnheiten, die den meisten Schaden anrichten: dasselbe Passwort auf mehreren Seiten zu nutzen und Passwörter an leicht lesbaren Orten aufzubewahren. Für viele Menschen ist ein seriöser Manager sicherer als gar nichts zu tun; für andere ist der falsche schlicht ein weiteres Cloud-Konto, das sie nicht kontrollieren.
Dieser Leitfaden behandelt, wovor ein Manager schützt, wie sich ein Tresor-Leck von einem Klartext-Leck unterscheidet und warum das Hauptpasswort zugleich das stärkste und das schwächste Glied ist. Wir erklären außerdem, wann ein kostenloses Online-Tool der falsche Ort für Zugangsdaten ist und wann eine Tabellenkalkulation, eine native App oder eine Fachperson die sicherere Wahl ist. Siteb.biz ist ein unabhängiges Verzeichnis von Browser-Tools und kein Anbieter; dies ist eine Orientierung, keine Empfehlung.
Was ein Passwortmanager tatsächlich verhindert#
Der wesentliche Schutz richtet sich nicht gegen einen Hack des Tresoranbieters, sondern gegen die Alltagsangriffe, die funktionieren, weil Menschen Passwörter wiederverwenden oder schwache wählen. Hat jedes Konto ein eindeutiges, zufälliges Passwort, lässt sich ein Leck bei einem Dienst nicht nutzen, um sich bei einem anderen anzumelden. Ein Manager füllt Zugangsdaten zudem nur auf der zugehörigen Seite aus, was manche Phishing-Angriffe erschwert, und er nimmt die Versuchung, Passwörter in E-Mail-Entwürfen, Tabellen oder Notizen auf dem Telefon zu halten.
- Credential Stuffing: Angreiferinnen nehmen ein geleaktes Passwort einer Seite und probieren es auf Dutzenden anderen.
- Schwache oder vorhersehbare Passwörter: Der Manager erzeugt Zeichenketten, die Sie sich nie merken würden.
- Phishing über täuschend ähnliche Domains: Die meisten Manager verweigern das Ausfüllen auf der falschen Seite.
- Passwörter in Sichtweite: E-Mail-Entwürfe, Tabellen und Klebezettel.
- Geräteverlust: Ihr Tresor lässt sich auf einem neuen Telefon oder Laptop wiederherstellen, sofern Sie das Hauptpasswort kennen.
Verschlüsselte Tresore und Klartext-Lecks#
Nicht alle Lecks sind gleich. Speichert ein Dienst Ihr Passwort im Klartext, kann jede Person, die die Datenbank stiehlt, es sofort lesen. Speichert er nur einen Hash, muss die Angreiferin ihn knacken, und ein starkes, eindeutiges Passwort überlebt das meist. Ein Passwortmanager fügt eine weitere Schicht hinzu: Ihr Tresor wird auf Ihrem Gerät verschlüsselt, bevor er es verlässt, der Anbieter hält also typischerweise nur den Geheimtext. Selbst wenn dieser Geheimtext gestohlen wird, braucht eine Angreiferin weiterhin Ihr Hauptpasswort, um ihn zu öffnen. Das ist ein bedeutsamer Unterschied, aber keine Unverwundbarkeit.
| Szenario | Was die Angreiferin erhält | Was sie stoppt |
|---|---|---|
| Klartext-Leck | Ihr tatsächliches Passwort, sofort lesbar | Nichts; ändern Sie das Passwort sofort |
| Leck gehashter Passwörter | Ein verwürfelter Hash, der geknackt werden muss | Ein langes zufälliges Passwort und langsames Hashing |
| Diebstahl des verschlüsselten Tresors | Geheimtext ohne Entschlüsselungsschlüssel | Ihr Hauptpasswort und die Einstellungen zur Schlüsselableitung |
| Erratenes Hauptpasswort | Vollzugriff auf den entschlüsselten Tresor | Länge, Zufälligkeit und keine Wiederverwendung anderswo |
Einige Manager wurden für schwache Standard-Iterationszahlen kritisiert; prüfen Sie im Zweifel die Sicherheitseinstellungen.
Das Problem des Hauptpassworts#
Die stärkste Verschlüsselung der Welt wird nutzlos, wenn Ihr Hauptpasswort kurz, persönlich oder wiederverwendet ist. Weil der Tresoranbieter dieses Passwort nicht kennt, kann er es nicht für Sie zurücksetzen. Genau das ist der Punkt: Nur Sie halten den Schlüssel. Es bedeutet zugleich, dass die Daten weg sind, wenn Sie es vergessen. Die besten Hauptpasswörter sind lange Passphrasen – fünf oder sechs zufällige Wörter oder eine lange Zeichenkette, die Sie zuverlässig tippen können. Das richtige kostenlose Online-Tool dafür ist ein Passphrasen-Generator, der vollständig in Ihrem Browser läuft; alles, was Kandidaten an einen Server sendet, lernt Ihr künftiges Hauptpasswort.
- Nutzen Sie mindestens 16 Zeichen; 20 oder mehr sind besser, wenn Sie sie verlässlich tippen.
- Verwenden Sie Ihr Hauptpasswort nirgendwo sonst, auch nicht als Antwort auf eine Sicherheitsfrage.
- Meiden Sie Namen, Geburtstage, Haustiernamen und Lieblingszitate, die online auffindbar sind.
- Erzeugen Sie es mit einem browserbasierten Passphrasen-Tool, das das Ergebnis nicht hochlädt.
- Üben Sie das Tippen einige Tage lang, bevor Sie sich darauf verlassen; Muskelgedächtnis zählt.
Der Wiederherstellungsplan, den Sie aufschreiben sollten, bevor Sie ihn brauchen#
Die meisten Menschen denken erst an Wiederherstellung, wenn sie ausgesperrt sind. Schreiben Sie den Plan auf Papier, bevor das passiert. Bewahren Sie das Papier sicher auf: in einer abschließbaren Schublade, einem Safe oder bei einer Vertrauensperson, je nach Ihrem Bedrohungsmodell. Legen Sie die einzige Kopie nicht neben den Computer. Das Blatt sollte Ihr Hauptpasswort nicht enthalten, sofern Sie nicht bewusst entschieden haben, dass das Risiko des Vergessens schwerer wiegt als das Risiko, dass es jemand findet. Für die meisten Menschen genügt ein guter Hinweis.
| Zu notierender Punkt | Warum er zählt | Wo aufbewahren |
|---|---|---|
| Name des Tresoranbieters und Anmelde-E-Mail | Sie können nicht wiederherstellen, was Sie nicht finden | Auf Papier und in einem Zweit-E-Mail-Konto |
| Methode der Zweifaktor-Authentifizierung | Den Authenticator zu verlieren kann Sie aussperren | Backup-Codes in einem versiegelten Umschlag |
| Notfall- oder Nachlasskontakt | Sind Sie handlungsunfähig, muss jemand auf Konten zugreifen können | Bei Ihrem Testament oder einer vertrauten Person |
| Hinweis auf das Hauptpasswort | Hilft der Erinnerung, ohne die Phrase zu verraten | Auf Papier, getrennt vom Gerät |
| Wiederherstellungsschlüssel oder Exportdatei | Erlaubt den Wechsel zu einem anderen Manager oder die Rückgewinnung des Zugangs | Verschlüsselter USB-Stick oder Bankschließfach |
Eine Papieraufzeichnung ist nicht altmodisch; sie ist offline, haltbar und aus der Ferne schwerer zu stehlen als eine Cloud-Notiz.
Wann ein Passwortmanager die falsche Wahl ist#
Es gibt Situationen, in denen ein Manager Reibung ohne Sicherheit hinzufügt. Können Sie sich kein starkes Hauptpasswort merken und haben keinen sicheren Ort für einen Hinweis, werden Sie sich irgendwann aussperren. Müssen Angehörige auf Konten zugreifen, wenn Sie es nicht können, ist eine geteilte Tabelle an einem sicheren Ort womöglich praktischer – wenn auch in anderer Hinsicht weniger sicher. Regulierte Betriebe brauchen bisweilen Prüfspuren und zentrale Steuerung, die Consumer-Manager nicht bieten. In diesen Fällen ist ein kostenloses Online-Tool der falsche Ort für Ihren Tresor; die richtige Antwort kann ein Unternehmensprodukt, ein Schlüsselbund des Betriebssystems oder eine Fachperson sein.
- Sie haben keinen Wiederherstellungsplan und keine Vertrauensperson für eine Sicherung.
- Sie teilen Zugangsdaten mit Angehörigen, die dieselbe App nicht nutzen werden.
- Ihr Arbeitgeber oder Ihre Aufsicht verlangt Protokollierung, Hinterlegung oder zentrale Verwaltung.
- Sie brauchen Zugriff auf Geräten, die den Manager oder seinen Sync-Dienst nicht ausführen können.
- Sie können sich ein langes Hauptpasswort weder merken noch zuverlässig tippen.
Die Wahl zwischen vier gängigen Arten#
Consumer-Passwortwerkzeuge fallen in vier Kategorien, und die beste hängt davon ab, wie viel Kontrolle Sie wollen und wie viel Sie ausgeben möchten. In Browser eingebaute Manager sind bequem, aber an ein Ökosystem gebunden. Schlüsselbunde des Betriebssystems sind besser integriert und verschlüsselt, bleiben aber begrenzt. Cloud-Manager synchronisieren über Geräte hinweg und ergänzen Freigabefunktionen, um den Preis, einer dritten Partei zu vertrauen. Selbst gehostete Lösungen geben volle Kontrolle, aber auch die volle Verantwortung für Sicherungen und Aktualisierungen.
| Art | Typische Kosten | Abwägung |
|---|---|---|
| In den Browser eingebaut | 0 € | Bequem, aber an ein Browserkonto gebunden und schwerer zu exportieren |
| Schlüsselbund des Betriebssystems | 0 € (im Gerät enthalten) | Eng integriert, doch begrenzte Freigabe- und Wiederherstellungsoptionen |
| Cloud-Passwortmanager | 0–60 €/Jahr (kostenlose Stufe oder bezahlte Funktionen) | Geräteübergreifende Synchronisierung und Freigabe, aber Sie vertrauen der Sicherheit des Anbieters |
| Selbst gehosteter Tresor | 0–200 €/Jahr (Hardware, Hosting und Ihre Zeit) | Volle Kontrolle, doch Sicherungen und Aktualisierungen liegen allein bei Ihnen |
Dies ist eine allgemeine Orientierung und keine rechtliche, finanzielle oder regulierte Sicherheitsberatung; ziehen Sie bei sensiblen Organisationsdaten eine Fachperson hinzu.
Eine kurze Einrichtungs-Checkliste#
- Wählen Sie die Tresorart, die zu Ihren Wiederherstellungsbedürfnissen und Ihrem Budget passt.
- Erzeugen Sie eine lange Hauptpassphrase mit einem browserbasierten Tool, das lokal läuft.
- Aktivieren Sie Zweifaktor-Authentifizierung für das Tresorkonto und sichern Sie die Backup-Codes.
- Fügen Sie zuerst einige risikoarme Konten hinzu und übertragen Sie den Rest schrittweise.
- Schreiben Sie das Wiederherstellungsblatt und lagern Sie es offline, bevor Sie alte Passwortlisten löschen.
Behandeln Sie die Einrichtung nicht als einmaliges Ereignis; prüfen Sie Ihr Wiederherstellungspaket mindestens einmal im Jahr.
Häufig gestellte Fragen
Kann der Anbieter des Passwortmanagers meine Passwörter sehen?
Bei einem gut gebauten Dienst lautet die Antwort nein. Der Anbieter speichert nur verschlüsselte Daten und erhält Ihr Hauptpasswort nie in nutzbarer Form; die Entschlüsselung geschieht auf Ihrem eigenen Gerät. Man nennt das oft Zero-Knowledge-Architektur. Magie ist es dennoch nicht. Sie vertrauen weiterhin darauf, dass Code, Aktualisierungsmechanismus und Kryptografie korrekt umgesetzt sind. Ein unehrlicher oder kompromittierter Anbieter könnte theoretisch ein bösartiges Update ausliefern, das Ihr Hauptpasswort beim Tippen abgreift. Deshalb bevorzugen viele Menschen quelloffene oder unabhängig auditierte Manager, und deshalb sollten Sie die App aktuell halten.
Was tue ich, wenn mein Passwortmanager ein Leck meldet?
Klären Sie zuerst, ob die gestohlenen Daten verschlüsselte Tresordateien oder Klartext-Kontoinformationen waren. Wurde nur Geheimtext entwendet, ändern Sie vorsorglich Ihr Hauptpasswort und prüfen Sie Ihre Zweifaktor-Einstellungen; die alten Tresordateien bleiben durch das bisherige Hauptpasswort geschützt, sofern es nicht schwach war. Wurden Klartextdaten wie E-Mail-Adressen oder URLs offengelegt, achten Sie auf gezieltes Phishing und erwägen Sie, die Passwörter der sensibelsten Konten zu wechseln. Haben Sie Ihr Hauptpasswort anderswo wiederverwendet, ändern Sie diese Kopien sofort, denn diese Wiederverwendung ist nun die eigentliche Gefahr.
Ist ein kostenloser Online-Passwortgenerator sicher?
Das hängt davon ab, was er mit den Daten tut. Ein Generator, der vollständig in Ihrem Browser läuft und das Ergebnis nie hochlädt, kann für einmalige Passwörter völlig sicher sein. Das Risiko entsteht, wenn ein Tool Ihr erzeugtes Passwort an einen Server sendet, es in Analytics speichert oder auf einer Seite läuft, der Sie nicht trauen. Für Alltagspasswörter ist ein lokaler browserbasierter Generator vertretbar. Für Ihr Hauptpasswort nutzen Sie einen dedizierten Passphrasen-Generator, der ebenfalls lokal bleibt, und fügen Sie das Ergebnis niemals in ein Onlineformular ein, nur um es zu testen. Erzeugen Sie Passwörter im Zweifel offline.
kostenlose Online-ToolsPasswortmanager Vor- und NachteileLeck eines verschlüsselten Tresors erklärtwie wähle ich ein HauptpasswortPasswortmanager WiederherstellungsplanPassphrasen-Generator und Passwortgenerator
