Passwort-Manager: Warum du einen brauchst und wie der Umstieg klappt

Die meisten Menschen haben mehr als hundert Online-Konten: Mail, Shops, Spiele-Launcher, Foren, Streaming, Bank. Niemand kann sich dafür hundert gute, unterschiedliche Passwörter merken. Also wird ein Passwort leicht abgewandelt oder gleich überall benutzt. Ein Passwort-Manager löst dieses Problem. Dieser Ratgeber erklärt, wie er funktioniert, welche Art zu dir passt und wie du umsteigst, ohne dich irgendwo auszusperren.

Warum ein gutes Passwort allein nicht reicht

Es kommt regelmäßig vor, dass Dienste gehackt und Zugangsdaten veröffentlicht werden. Angreifer probieren diese Kombinationen aus E-Mail-Adresse und Passwort dann automatisiert bei hunderten anderen Diensten aus. Das nennt sich Credential Stuffing. Wenn du dasselbe Passwort beim gehackten Forum und bei deinem Mail-Konto benutzt, ist auch dein Mail-Konto offen, und damit oft alles andere, weil sich darüber Passwörter zurücksetzen lassen.

Das beste Passwort hilft deshalb nichts, wenn es mehrfach verwendet wird. Jedes Konto braucht ein eigenes. Genau dafür ist ein Passwort-Manager da: Er erzeugt für jedes Konto ein langes Zufallspasswort, speichert es verschlüsselt und füllt es beim Anmelden automatisch aus.

So funktioniert ein Passwort-Manager

Alle Passwörter liegen in einem verschlüsselten Tresor. Den öffnest du mit einem einzigen Masterpasswort, auf dem Handy oft auch per Fingerabdruck oder Gesichtserkennung. Bei seriösen Anbietern passiert die Verschlüsselung auf deinem Gerät. Auf den Servern liegt nur der verschlüsselte Tresor, der Anbieter selbst kann deine Passwörter nicht lesen. Das nennt sich Ende-zu-Ende-Verschlüsselung oder Zero Knowledge.

Die Kehrseite: Wenn du das Masterpasswort vergisst, kann dir auch der Anbieter nicht helfen. Darum geht es weiter unten noch einmal.

Welche Art passt zu dir?

Wer nur Apple-Geräte nutzt, ist mit der Passwörter-App von Apple gut versorgt. Sobald ein Windows-PC oder ein Android-Handy dazukommt, sind eigenständige Manager bequemer. Bitwarden ist quelloffen, in der Grundversion kostenlos und kann sogar auf dem eigenen Server betrieben werden, zum Beispiel mit Vaultwarden im Homelab. KeePassXC ist die Wahl für alle, die ihre Passwörter in keiner fremden Cloud haben wollen.

Wichtiger als die Wahl des Programms ist, dass du überhaupt eines benutzt. Jeder seriöse Passwort-Manager ist viel sicherer als ein Passwort für alles.

Ein gutes Masterpasswort

Das Masterpasswort ist das einzige, das du dir noch merken musst. Es soll lang sein, nirgendwo sonst verwendet werden und trotzdem gut zu tippen sein. Bewährt hat sich eine Passphrase aus vier bis sechs zufälligen Wörtern, zum Beispiel:

Lampe-Kiesel-Drucker-Sonntag-Wolke

Wichtig ist der Zufall. Ein Satz aus einem Lied oder Film ist leichter zu erraten. Viele Passwort-Manager haben einen Generator für Passphrasen. Ganz analog geht es mit Würfeln und einer Wortliste nach dem Diceware-Verfahren.

Schreib das Masterpasswort am Anfang auf einen Zettel und bewahre ihn an einem sicheren Ort zu Hause auf, bis du es sicher im Kopf hast. Danach gehört der Zettel ins Notfallblatt (siehe unten).

Umstieg in sieben Schritten

1. Passwort-Manager auswählen und installieren, die App auf dem Handy und die Erweiterung im Browser.
2. Masterpasswort festlegen und gleich die Zwei-Faktor-Anmeldung für den Passwort-Manager selbst einschalten, sofern er Cloud-Sync nutzt.
3. Gespeicherte Passwörter importieren: Chrome, Edge, Firefox und Safari können ihre gespeicherten Passwörter als CSV-Datei exportieren. Der Passwort-Manager liest sie ein.
4. Die CSV-Datei sofort löschen. Sie enthält alle Passwörter im Klartext. Leere auch den Papierkorb.
5. Passwort-Speicherung im Browser abschalten, damit nicht zwei Programme gleichzeitig ausfüllen wollen.
6. Die wichtigsten Konten zuerst umstellen: E-Mail, Apple- bzw. Google-Konto, Bank, PayPal, Amazon, Steam und andere Konten mit Zahlungsdaten. Für jedes ein neues Zufallspasswort mit mindestens 16 Zeichen erzeugen lassen.
7. Den Rest nach und nach: Jedes Mal, wenn du dich irgendwo anmeldest, änderst du dort das Passwort. Der Sicherheitsbericht im Passwort-Manager zeigt doppelte und schwache Passwörter an.

Nach ein paar Wochen sind die meisten Konten umgestellt, ohne dass du einen ganzen Abend dafür opfern musstest.

Passkeys: der Nachfolger von Passwörtern

Immer mehr Dienste bieten Passkeys an. Statt eines Passworts erzeugt dein Gerät ein Schlüsselpaar. Der geheime Teil bleibt auf deinem Gerät oder in deinem Passwort-Manager, der Dienst kennt nur den öffentlichen. Beim Anmelden bestätigst du per Fingerabdruck, Gesicht oder PIN.

Passkeys haben zwei große Vorteile: Es gibt nichts, was bei einem Datenleck gestohlen werden kann, und sie funktionieren nur auf der echten Seite. Eine gefälschte Phishing-Seite bekommt damit nichts. Aktuelle Passwort-Manager speichern Passkeys und synchronisieren sie zwischen deinen Geräten. Wo ein Dienst Passkeys anbietet, lohnt es sich, sie einzurichten.

Für den Notfall vorsorgen

Was passiert, wenn du das Masterpasswort vergisst oder dir etwas zustößt? Leg ein Notfallblatt an und bewahre es sicher auf, etwa bei wichtigen Unterlagen oder in einem verschlossenen Umschlag bei einer Vertrauensperson. Darauf gehören:

• Name des Passwort-Managers und die Anmelde-E-Mail
• das Masterpasswort
• der Wiederherstellungscode bzw. das Emergency Kit des Anbieters
• die Wiederherstellungscodes der Zwei-Faktor-Anmeldung

Einige Anbieter haben außerdem einen Notfallzugang: Eine Vertrauensperson kann Zugriff anfordern und bekommt ihn nach einer Wartezeit, wenn du nicht widersprichst. Bei lokalen Lösungen wie KeePassXC denkst du zusätzlich an ein Backup der Tresordatei.