Die meisten Menschen haben keine zwanzig Passwörter. Sie haben ein Lieblingspasswort in drei Varianten — die Basis, die Basis mit Ausrufezeichen und die Basis mit Jahreszahl — verstreut über zwanzig Dienste. Das funktioniert jahrelang, genau bis zu dem Moment, in dem das Passwort an der schwächsten Stelle abfließt: bei einem kleinen Onlineshop, einem Forum, einem Treueprogramm. Danach probieren es Automaten innerhalb von Stunden bei Ihrem E-Mail-Konto, Ihrer Bank und Ihren sozialen Netzwerken aus.
Ein Passwortmanager durchtrennt diese Kette. Er hält für jeden Dienst ein anderes langes Passwort, Sie merken sich nur eines. Die Frage ist nicht, ob Sie ihn brauchen, sondern welchen Sie wählen und wie Sie den Umstieg zu Ende bringen.
Die Antwort sofort: Für einen Haushalt, der so wenig Aufwand wie möglich will, ist Bitwarden der sinnvollste Start — vollwertige Version kostenlos, Synchronisierung zwischen Handy und Computer, deutschsprachige Oberfläche. Wer seine Passwörter in keiner Cloud haben will, greift zu KeePassXC (der Tresor ist eine gewöhnliche Datei bei Ihnen). Wer die komfortabelsten Apps und Familienfreigabe will und ein Abo nicht scheut, wählt 1Password. Wichtiger als die Marke ist aber der Dreischritt: ein starkes Hauptpasswort in Form einer Passphrase, Zwei-Faktor-Authentifizierung für den Tresor selbst und eine zu Ende geführte Migration — Passwörter aus dem Browser übernehmen, sie dort löschen und das Speichern abschalten.
Warum ein Passwort für alles irgendwann versagt
Angreifer raten heute nicht das Passwort Ihrer Bank. Sie warten, bis irgendein schlecht gesicherter Dienst seine Nutzerdatenbank verliert, und die geleakten Kombinationen aus E-Mail + Passwort probieren Bots dann massenhaft auf großen Websites aus. Man nennt das Credential Stuffing, und es ist der Grund, warum ein „starkes” Passwort, das überall verwendet wird, nicht stark ist — seine Widerstandsfähigkeit entspricht der der am schlechtesten gesicherten Website, auf der Sie es je eingegeben haben.
Varianten helfen nicht. Muster wie eine getauschte Jahreszahl, ein Ausrufezeichen am Ende oder ein durch eine Ziffer ersetzter Buchstabe gehören zur Grundausstattung der Angriffswerkzeuge. Und die E-Mail-Adresse ist dabei der Generalschlüssel: wer sie übernimmt, setzt sich über „Passwort vergessen” den Zugang zu allem anderen zurück. Was zu tun ist, wenn es schon passiert ist, beschreiben wir im Artikel gehacktes E-Mail-Konto: was tun — und ehrlich gesagt ist das eine deutlich mühsamere Lektüre als dieser Text über Vorbeugung.
Der zweite Weg zu Ihren Passwörtern führt über gefälschte Seiten. Auch hier hilft ein Passwortmanager ganz praktisch: er füllt Anmeldedaten nur auf der Domain aus, zu der das Passwort gehört. Auf einer Bank-Nachbildung mit einer Adresse, die sich um einen Buchstaben unterscheidet, lässt er das Formular einfach leer — was oft die erste und einzige Warnung ist, die Sie bekommen. Wie man betrügerische Nachrichten erkennt, behandeln wir im Artikel Phishing: so erkennen Sie es.
Passwörter im Browser: besser als nichts, aber mit Grenzen
Chrome, Edge und Firefox speichern, generieren und synchronisieren Passwörter inzwischen. Für viele Menschen ist das der erste Schritt in die richtige Richtung, und wir verteufeln das keineswegs. Es hat aber Grenzen, über die selten gesprochen wird.
| Passwörter im Browser | Eigenständiger Manager | |
|---|---|---|
| Preis | kostenlos | kostenlos bis Abo |
| Funktioniert | nur im jeweiligen Browser und dessen Ökosystem | in allen Browsern, in Apps und auf dem Handy |
| Sperren | entsperrtes Profil = entsperrte Passwörter | eigenes Hauptpasswort, Tresor sperrt sich selbst |
| Freigabe in der Familie | praktisch nicht | geteilte Ordner, Notfallzugang |
| Was hineinpasst | Anmeldedaten | auch Backup-Codes, PINs, Notizen, Karten, Passkeys |
| Widerstand gegen Malware im Browser | geringer — alles lebt im Browser | höher — der Tresor steht außerhalb |
Die letzte Zeile ist entscheidend. Wer Ihr Browserprofil übernimmt — mit einer schädlichen Erweiterung, mit Malware oder einfach dadurch, dass er sich an den entsperrten Computer setzt — kommt auch an die Passwörter darin. Dass unauffällige Erweiterungen ein realer Weg sind, Passwörter zu verlieren, haben wir im Artikel gefährliche Browser-Erweiterungen beschrieben. Ein eigenständiger Manager sperrt sich mit einem eigenen Passwort und nach einigen Minuten Untätigkeit von selbst — das ist eine weitere Mauer, die ein Angreifer überklettern muss.
Browser-Passwörter sind als Übergangslösung für eine einzelne Person mit unkritischen Konten sinnvoll. Sobald es um die Bank, Firmenzugänge oder das Teilen im Haushalt geht, lohnt sich der nächste Schritt.
Bitwarden, KeePassXC, 1Password: drei Charaktere
Es hat keinen Sinn, zwanzig Produkte zu vergleichen. Für Haushalte und Selbstständige schrumpft die Auswahl in der Praxis auf drei Namen mit drei unterschiedlichen Charakteren.
Bitwarden ist die sinnvollste erste Wahl. Die Gratisversion ist keine Kostprobe — sie kann unbegrenzt viele Passwörter und die Synchronisierung zwischen Computer, Handy und Tablet. Es ist Open Source, spricht Deutsch, und die kostenpflichtige Familienvariante ergänzt geteilte Sammlungen (WLAN zu Hause, Streamingdienste, Zugang zum Energiekonto) und den Notfallzugang für eine Vertrauensperson. Wenn Sie unsicher sind, fangen Sie hier an.
KeePassXC ist die Wahl für alle, die ihre Passwörter in keiner Cloud haben wollen. Der Tresor ist eine einzige verschlüsselte Datei auf Ihrer Festplatte, das Programm ist kostenlos und läuft völlig offline. Der Preis für die Unabhängigkeit: die Synchronisierung zwischen Geräten organisieren Sie selbst (Sie übertragen die Datei oder legen sie auf Ihren eigenen Speicher) und der Komfort ist merklich geringer. Prima für technisch Versierte, frustrierend für den Rest der Familie.
1Password ist das ausgefeilteste, aber nur kostenpflichtig. Für das Abo bekommen Sie die angenehmsten Apps, eine durchdachte Familienfreigabe für mehrere Mitglieder und eine Überwachung geleakter Passwörter. Wenn der Manager vom ganzen Haushalt genutzt werden soll, auch von denen, die „mit Computern nichts am Hut haben”, entscheidet der Komfort von 1Password tatsächlich darüber, ob sie dabeibleiben.
Alle drei speichern heute neben Passwörtern auch Passkeys — die Anmeldung ohne Passwort, die große Dienste allmählich einführen. Ein dieses Jahr eingerichteter Manager schafft diesen Übergang mit Ihnen, Sie fangen nicht in einem Jahr wieder von vorn an.
Das Hauptpasswort: das einzige, das Sie lernen müssen
Das ganze System steht auf einem einzigen Passwort, es verdient also mehr als eine Minute Nachdenken. Am besten funktioniert eine Passphrase aus vier bis fünf zusammenhanglosen Wörtern — lang und dabei merkbar und auch auf dem Handy tippbar. Es darf kein Zitat sein, nicht die Namen der Kinder und nichts, was Sie schon irgendwo verwendet haben.
Dazu zwei Absicherungen:
- Zwei-Faktor-Authentifizierung für den Tresor selbst über eine App auf dem Handy. Selbst wenn jemand das Hauptpasswort abschaut, kommt er ohne den zweiten Faktor nicht in den Tresor.
- Notfallzettel auf Papier: Hauptpasswort und Backup-Codes ausgedruckt und zu Hause außerhalb des Computers aufbewahrt — und idealerweise eine zweite Kopie an einem anderen Ort, bei den Eltern oder in der Arbeit in einer abgeschlossenen Schublade. Dieselbe Logik wie beim Backup nach der 3-2-1-Regel: eine Kopie ist keine Kopie.
Papier ist keine Schwachstelle, sondern eine Absicherung. Der Anbieter kennt Ihr Hauptpasswort nicht und stellt es nicht wieder her — genau deshalb können Sie ihm den Tresor überlassen. Als Angreifer 2022 die Tresor-Backups der Firma LastPass stahlen, stand zwischen ihnen und dem Inhalt bei jedem Nutzer nur eines: die Stärke seines Hauptpassworts. Schwache Passwörter fielen, starke Passphrasen hielten. Das ist die ganze Lektion in einem Satz.
Passwörter übertragen: ein Plan für einen Nachmittag
Der häufigste Grund, warum der Umstieg scheitert, ist nicht die Technik, sondern das Nicht-zu-Ende-Führen. Ein „zum Ausprobieren” installierter Manager neben dem aktiven Speichern im Browser erzeugt eine doppelte Ablage, und nach einem Monat fällt man in die alten Gewohnheiten zurück. Das richtige Vorgehen:
- Legen Sie den Tresor an und richten Sie Hauptpasswort + Zwei-Faktor-Authentifizierung ein. Schreiben Sie den Notfallzettel jetzt sofort, nicht „später”.
- Installieren Sie die Erweiterung im Browser und die App auf dem Handy. Einen Manager, der nicht selbst ausfüllt, wird niemand nutzen.
- Exportieren Sie die bestehenden Passwörter. In Chrome über Einstellungen → Automatisches Ausfüllen und Passwörter → Google Passwortmanager → Einstellungen → Passwörter exportieren, in Edge über Einstellungen → Profile → Passwörter, in Firefox über Passwörter → Zugangsdaten exportieren.
- Importieren Sie die Datei in den Manager und löschen Sie sie sofort — auch aus dem Papierkorb. Der Export ist lesbarer Text; ihn im Download-Ordner liegen zu lassen heißt, alle Passwörter in einer ungeschützten Datei zu haben.
- Schalten Sie das Speichern von Passwörtern im Browser ab und räumen Sie die dort gespeicherten Passwörter weg. Von diesem Moment an gibt es nur eine Quelle der Wahrheit.
- Wechseln Sie die Passwörter der fünf wichtigsten Konten — E-Mail, Bank, Google- oder Microsoft-Konto, soziale Netzwerke. Lassen Sie den Manager lange Zufallspasswörter generieren; Sie müssen sie nicht sehen, geschweige denn sich merken. Den Rest wechseln Sie laufend, sobald Sie die Konten wieder nutzen.
Rechnen Sie mit zwei bis drei Stunden ruhiger Arbeit. Und wenn das genau die Aufgabe ist, die Sie seit einem halben Jahr vor sich herschieben, oder Sie befürchten, sich bei der Übertragung selbst auszuschließen — bestellen Sie es als Dienstleistung: wir gehen es mit Ihnen bei Ihnen zu Hause oder aus der Ferne durch, inklusive Passwortübertragung, Einrichtung des Handys und Ausdruck des Notfallzettels. Wir rechnen in halben Stunden ab, orientierungsweise 1 200 Kč pro Arbeitsstunde; die kompletten Sätze finden Sie in der Preisliste. Die meisten Haushalte haben es in einer Sitzung erledigt.
Die häufigsten Bedenken — und was daran stimmt
„Alle Eier in einem Korb.” Nur ist dieser Korb verschlüsselt, verschlossen und von einem zweiten Faktor bewacht — während ein Passwort für alles zwanzig Körbe ohne Deckel bedeutet. Das Risiko summiert sich nicht, es verschiebt sich von Orten, die Sie nicht kontrollieren (Datenbanken fremder Websites), an einen Ort, den Sie kontrollieren.
„Ich vergesse das Hauptpasswort.” Dafür gibt es den Notfallzettel und bei Bitwarden oder 1Password den Notfallzugang: Sie bestimmen vorab eine Vertrauensperson, die den Zugang anfordern darf, und wenn Sie die Anfrage nicht innerhalb der gesetzten Frist ablehnen, öffnet sich ihr der Tresor. Übrigens auch eine Lösung für die Situation, an die niemand denken will — was mit den Zugängen passiert, falls Ihnen etwas zustößt.
„Was, wenn das Internet oder der Dienst ausfällt?” Die App hält eine verschlüsselte Kopie des Tresors auf dem Gerät, an die Passwörter kommen Sie auch offline. Bei KeePassXC ist der Offline-Betrieb geradezu das Wesen der Lösung.
„Meine Eltern schaffen das nicht.” Das Gegenteil ist der Fall: Ausfüllen mit einem Klick ist einfacher als Erinnern und Abtippen. Am schwersten ist der erste Nachmittag — deshalb bieten wir ihn als Dienstleistung an.
Für Selbstständige und kleine Firmen: Passwörter sind keine Privatsache
In einer kleinen Firma ist die Passwortlage meist noch brenzliger: eine Tabelle hesla.xlsx auf dem gemeinsamen Laufwerk, ein Passwort für E-Mail, Bank und Buchhaltungssystem, und ein ehemaliger Aushilfskraft, die es immer noch kennt. Ein Passwortmanager mit Team-Freigabe löst das systematisch — jeder hat seinen eigenen Tresor, geteilte Zugänge leben in einer gemeinsamen Sammlung, und beim Ausscheiden einer Person entzieht man deren Konto, statt dreißig Passwörter einzeln zu ändern.
Die Einführung eines Managers ist einer von sieben Schritten, die wir im Artikel Computer einer kleinen Firma absichern beschreiben. Und wenn Sie zuerst wissen wollen, wo genau Sie stehen, machen wir ein IT-Audit — wir prüfen Konten, Passwörter, Backups und Verschlüsselung, und Sie bekommen ein schriftliches Ergebnis mit Prioritäten; bei einer kleinen Firma mit bis zu etwa zehn Geräten orientierungsweise ab 3 600 Kč.
Ein Passwort für alles ist eine Gewohnheit, keine Entscheidung. Die Entscheidung ist dieser Nachmittag — und es ist eine der wenigen Dinge in der IT-Sicherheit, die Sie einmal machen und die dann jahrelang hält.