Passwort-Manager: welcher passt und wie du sauber umsteigst

Die meisten Menschen haben kein Passwort-Problem, sondern ein Gedächtnis-Problem. Bei 100 bis 200 Konten, und das ist eine realistische Zahl für jemanden, der seit zehn Jahren online einkauft, kann sich niemand 150 verschiedene, zufällige Passwörter merken. Also werden sie wiederverwendet. Und genau davon leben Angriffe nach einem Datenleck.

Warum ein Passwort-Manager mehr bringt als „starke Passwörter“

Ein starkes Passwort, das du bei zehn Diensten nutzt, ist nach dem ersten Leak bei allen zehn bekannt. Angreifer probieren geleakte Kombinationen aus Mail und Passwort automatisiert bei hunderten anderen Diensten aus. Das nennt sich Credential Stuffing, und es funktioniert, weil Wiederverwendung so verbreitet ist.

Ein Passwort-Manager löst das, indem er für jedes Konto ein eigenes, zufälliges Passwort erzeugt und es beim Login einträgt. Du merkst dir nur noch eins: das Master-Passwort. Wird dann ein Dienst gehackt, betrifft das nur genau dieses Konto. Was in so einem Fall zu tun ist, steht in E-Mail in Datenleck: was tun.

Ein zweiter, oft unterschätzter Vorteil: Der Manager füllt Passwörter nur auf der richtigen Domain aus. Auf paypal.com.konto-sicherheit.example bietet er nichts an. Das ist ein brauchbarer Phishing-Alarm.

Die drei Arten von Passwort-Managern

Eine echte Empfehlung hängt von deinem Alltag ab. Wer iPhone, iPad und Mac nutzt, fährt mit Apples App gut. Wer Windows-Laptop und Android-Handy hat und Passwörter mit dem Partner teilt, ist bei Bitwarden oder 1Password besser aufgehoben. Bitwarden und KeePassXC sind Open Source, was unabhängige Prüfungen erleichtert.

Cloud-Tresore sind nicht automatisch unsicher, aber sie sind ein Ziel. Ende 2022 wurde bekannt, dass Angreifer bei LastPass Sicherungskopien verschlüsselter Kundentresore kopiert hatten. Geschützt waren die Daten danach nur noch durch die Stärke der jeweiligen Master-Passwörter. Daraus folgt die wichtigste Regel dieses Artikels.

Wie stark das Master-Passwort sein muss

Das Master-Passwort ist das Einzige, was zwischen einem gestohlenen Tresor und deinen Konten steht. Es muss also auch einem Offline-Angriff mit viel Rechenleistung standhalten. Am einfachsten geht das mit einer Passphrase aus zufällig gewählten Wörtern, etwa per Würfel aus einer Wortliste mit 7.776 Einträgen (5 Würfe pro Wort).

Jedes Wort aus 7.776 Möglichkeiten bringt log2(7776) ≈ 12,9 Bit. Entscheidend ist, dass die Wörter wirklich zufällig sind. Ein Liedtext oder ein Satz, den du dir „ausgedacht“ hast, hat viel weniger Entropie, als die Länge vermuten lässt.

Die NIST-Richtlinie SP 800-63B in der Revision 4 verlangt für Passwörter, die allein schützen, mindestens 15 Zeichen und rät von Kompositionsregeln wie „ein Sonderzeichen, eine Zahl“ ab. Eine Passphrase aus sechs Wörtern liegt locker darüber.

Schreib das Master-Passwort auf Papier und lege es zu Hause an einen sicheren Ort. Das klingt altmodisch, aber ein Einbrecher in deiner Wohnung ist nicht das Risiko, gegen das du dich hier schützt.

Den Tresor zusätzlich absichern

• Zwei-Faktor-Anmeldung für das Konto beim Anbieter. Damit reicht das Master-Passwort allein nicht, um von einem neuen Gerät aus auf den Cloud-Tresor zuzugreifen.
• Notfallzugang: Bitwarden bietet einen Notfallzugriff, bei dem eine Vertrauensperson nach einer Wartezeit Zugang bekommt, 1Password ein ausdruckbares Emergency Kit und Wiederherstellung über Familienkonten. Für Erben ist das wichtiger, als man denkt.
• Starke Schlüsselableitung: Bitwarden und KeePassXC können Argon2id nutzen, das Rate-Angriffe deutlich verlangsamt. Bei älteren Konten lohnt ein Blick in die Einstellungen, ob noch ein schwacher Standard aktiv ist.

Was der Manager mit Passkeys und Mail-Adressen zu tun hat

Moderne Passwort-Manager speichern auch Passkeys, also die Nachfolger von Passwörtern, die sich nicht phishen lassen. Wo ein Dienst Passkeys anbietet, lohnt der Umstieg.

Wer mit eigener Domain pro Dienst eine eigene Adresse vergibt (siehe Catch-all-E-Mail), trägt die Adresse im Manager beim jeweiligen Eintrag ein. Dann findest du sie wieder, und bei einem Datenleck siehst du sofort, welches Konto betroffen ist.

Welche Konten zuerst drankommen

Nach dem Import fang nicht alphabetisch an, sondern nach Schaden:

1. E-Mail-Konto, weil darüber jedes andere Passwort zurückgesetzt werden kann
2. Registrar-Konto, falls du eine eigene Domain hast
3. Bank, PayPal, Kreditkarte
4. Cloud-Speicher mit Fotos und Dokumenten
5. Shops mit hinterlegter Zahlungsart
6. Der Rest, nach den Warnungen des Managers

Punkt 2 vergessen viele. Wer das Registrar-Konto übernimmt, kontrolliert deine Domain und damit alle Mails an sie. Bei betadomain ist das Konto der Ort, an dem auch die DNS-Verwaltung deiner Domain liegt, ein eigenes Passwort ist dort Pflicht. Wenn du gerade erst eine Domain für deine E-Mail-Adressen suchst, wähle eine, die du langfristig behältst, denn an ihr hängen später deine Logins. Die Jahrespreise aller Endungen gelten auch für jede Verlängerung.

Schritt für Schritt

1. Manager auswählenEntscheide nach Geräten und Bedarf: eingebauter Manager bei nur einem Ökosystem, Bitwarden oder 1Password bei gemischten Geräten oder Familien, KeePassXC für eine lokale Datei.
2. Master-Passwort festlegenWähle eine Passphrase aus mindestens sechs zufälligen Wörtern, schreib sie auf Papier und bewahre sie zu Hause sicher auf.
3. Tresor absichernAktiviere Zwei-Faktor-Anmeldung für das Konto des Managers und lege Wiederherstellungscode oder Notfallzugang fest.
4. Bestehende Passwörter importierenExportiere die Passwörter aus dem Browser als CSV, importiere sie und lösche die CSV-Datei danach sofort.
5. Wichtigste Konten zuerst erneuernErsetze die Passwörter von Mail, Bank, Registrar und Cloud-Speicher durch neu generierte, danach alle mit Wiederverwendungs-Warnung.
6. Browser-Speicher abschaltenDeaktiviere das Speichern im Browser, wenn du einen separaten Manager nutzt, damit keine zweite, ungepflegte Kopie entsteht.