Für jedes Konto soll ein anderes Passwort verwendet werden.

Nicht zehn Varianten desselben Passworts, sondern tatsächlich unterschiedliche Zugangsdaten.

Das klingt in der Theorie vernünftig und wird von aktuellen Sicherheitsrichtlinien unterstützt, weil Passwort-Wiederverwendung insbesondere Credential-Stuffing-Angriffe ermöglicht. In der Praxis entsteht allerdings schnell ein offensichtliches Problem: Niemand möchte sich dutzende oder hunderte lange zufällige Passwörter merken. NIST beschreibt Passwortmanager genau als Lösung für diesen Konflikt und hebt insbesondere ihre Fähigkeit hervor, für unterschiedliche Dienste einzigartige Passwörter zu erzeugen und geschützt zu speichern. (NIST Pages)

Das Grundprinzip lautet:

Konto A
→ zufälliges Passwort A

Konto B
→ zufälliges Passwort B

Konto C
→ zufälliges Passwort C

Konto D
→ zufälliges Passwort D

Diese Passwörter merkst du dir nicht mehr selbst.

Stattdessen landen sie in einem geschützten Passwort-Tresor.

Passwortmanager
├── Konto A
├── Konto B
├── Konto C
├── Konto D
└── ...

Du musst damit nicht mehr hundert Geheimnisse im Kopf behalten. Du musst vor allem den Zugang zu diesem Tresor schützen.

Genau darin liegt sowohl die große Stärke als auch das zentrale Risiko eines Passwortmanagers.

Ein Passwortmanager löst ein menschliches Skalierungsproblem

Ein Mensch kann sich einige Passwörter merken. Mit steigender Zahl von Konten entstehen jedoch fast zwangsläufig Abkürzungen: Passwörter werden wiederverwendet, ähnliche Varianten gebildet oder einfache Muster gewählt. NIST weist darauf hin, dass Passwortmanager die Verwendung unterschiedlicher Passwörter erleichtern und dadurch gerade das Risiko von Password Stuffing reduzieren können. CISA empfiehlt Passwortmanager ebenfalls als praktische Möglichkeit, lange, zufällige und einzigartige Passwörter zu erzeugen und zu verwalten. (NIST Pages)

Statt:

Shop
→ Reinhard2026!

Mail
→ Reinhard2026!!

Cloud
→ Reinhard2026!!!

kann das System tatsächlich erzeugen:

Shop
→ zufälliges Passwort 1

Mail
→ zufälliges Passwort 2

Cloud
→ zufälliges Passwort 3

Damit verliert ein bei einem einzelnen Dienst kompromittiertes Passwort seinen Wert für die anderen Konten.

Der Passwortmanager ist nicht einfach eine Passwortliste

Eine unverschlüsselte Textdatei mit:

amazon@example
Passwort123

mail@example
Sommer2026!

ist kein sinnvoller Passwortmanager.

Das entscheidende Prinzip eines Passwortmanagers ist der geschützte Tresor. NIST beschreibt Passwortmanager als Anwendungen, die Zugangsdaten in einem verschlüsselten lokalen oder cloudbasierten Vault speichern können. Gleichzeitig warnt NIST ausdrücklich davor, dass solche Tresore wegen der darin enthaltenen Zugangsdaten besonders attraktive Ziele für Angreifer sind. (NIST Pages)

Vereinfacht:

Passwörter
↓
verschlüsselter Tresor
↓
gespeichert

Zum Lesen benötigt der Benutzer eine Berechtigung beziehungsweise einen kryptografischen Schlüssel.

Verschlüsselung ist der Kern des Tresors

Das Ziel lautet:

Ein Angreifer erhält möglicherweise die Tresordatei, soll deren Inhalt aber nicht einfach lesen können.

Tresordatei gestohlen
↓
verschlüsselte Daten
↓
ohne passenden Schlüssel
nicht unmittelbar lesbar

Speicherverschlüsselung schützt Daten grundsätzlich dadurch, dass ihre Nutzung ohne die erforderliche kryptografische Berechtigung verhindert beziehungsweise wesentlich erschwert wird. Welche konkrete Architektur ein Passwortmanager verwendet, unterscheidet sich jedoch zwischen Produkten. (NIST Computer Security Resource Center)

Deshalb sollte man nicht aus dem Begriff „verschlüsselt“ automatisch folgern:

unmöglich anzugreifen

Richtiger ist:

verschlüsselt
+
gute Schlüsselverwaltung
+
sichere Implementierung
+
sicheres Endgerät
=
starker Schutz

Was ist das Master-Passwort?

Viele Passwortmanager verwenden ein zentrales Geheimnis, mit dem der Benutzer den Tresor entsperrt.

Je nach Produkt heißt es beispielsweise:

Master-Passwort,

Hauptpasswort,

Master-Passphrase

oder ähnlich.

Das Konzept lautet:

viele Kontopasswörter
↓
verschlüsselter Tresor
↓
ein zentrales Entsperrgeheimnis

NIST empfiehlt für einen Passwortmanager ausdrücklich eine lange Master-Passphrase und betont, dass dieses Geheimnis besonders vor Diebstahl geschützt werden muss. (NIST Pages)

Warum ist das Master-Passwort so wichtig?

Wird das Passwort eines einzelnen Shops gestohlen, betrifft das im Idealfall nur diesen Shop.

Wird dagegen der Schutz des Passwort-Tresors erfolgreich überwunden, können sehr viele Konten gleichzeitig betroffen sein.

Shop-Passwort gestohlen
↓
ein Konto gefährdet

gegen:

Tresor erfolgreich kompromittiert
↓
möglicherweise viele Konten gefährdet

NIST bezeichnet Passwort-Tresore daher sinngemäß als besonders wertvolle Ziele für Cyberkriminelle und empfiehlt, ihre Absicherung entsprechend ernst zu nehmen. (NIST Pages)

Das Master-Passwort sollte einzigartig sein

Hier ist Passwort-Wiederverwendung besonders gefährlich.

Nicht:

Master-Passwort
=
E-Mail-Passwort
=
Shop-Passwort

Denn wenn einer dieser anderen Dienste kompromittiert wird, könnte der Angreifer das bekannte Passwort gegen den Passwortmanager ausprobieren.

Besser:

Master-Passphrase
→ nur für Passwortmanager

Das ist eine unmittelbare Anwendung des Grundprinzips aus Sichere Passwörter: Jedes wichtige Authentifizierungsgeheimnis sollte nur für genau den vorgesehenen Zweck verwendet werden. NIST empfiehlt für Passwortmanager eine lange Master-Passphrase und getrennte, einzigartige Zugangsdaten für die verwalteten Konten. (NIST Pages)

Wie lang sollte die Master-Passphrase sein?

Es gibt keinen einzelnen magischen Wert, bei dessen Überschreiten ein Tresor unangreifbar wird. Entscheidend sind unter anderem Länge, Vorhersehbarkeit, das verwendete Schlüsselableitungsverfahren und dessen Rechenaufwand. NIST behandelt passwortbasierte Schlüsselableitung als eigenes kryptografisches Problem und beschreibt Verfahren, bei denen aus Passwörtern oder Passphrasen Schlüssel für den Schutz gespeicherter Daten abgeleitet werden. (NIST)

Für den Nutzer ist die praktische Regel einfacher:

Das Master-Passwort gehört zu den wenigen Passwörtern, für die eine lange, einzigartige und gut merkbare Passphrase sinnvoll sein kann.

Zum Prinzip:

ungewöhnliches Wort
+
anderes unabhängiges Wort
+
weiteres Wort
+
weiteres Wort
+
ausreichende Länge

Nicht sinnvoll wäre dagegen ein bekanntes Zitat oder eine leicht erratbare persönliche Phrase.

Das Master-Passwort nicht selbst im selben Tresor „sichern“

Ein Passwortmanager kann dir zwar beliebige Einträge speichern.

Das Hauptgeheimnis ausschließlich innerhalb des Tresors zu hinterlegen, den genau dieses Geheimnis öffnen soll, löst jedoch das Wiederherstellungsproblem nicht.

Master-Passwort vergessen
↓
Tresor geschlossen
↓
Master-Passwort liegt im Tresor

Das ist zirkulär.

Für das zentrale Geheimnis braucht es deshalb einen eigenen Notfallplan.

Wie wird aus einem Passwort ein Schlüssel?

Ein Passwort ist normalerweise nicht direkt der kryptografische Schlüssel, mit dem jede Tresordatei einfach verschlüsselt wird.

Konzeptionell existiert häufig eine Schlüsselableitung.

Master-Passwort
↓
Key Derivation Function
↓
kryptografischer Schlüssel
↓
Tresor entschlüsseln

NIST SP 800-132 beschreibt genau den allgemeinen Ansatz, aus Passwörtern oder Passphrasen Schlüssel zum Schutz gespeicherter Daten beziehungsweise anderer Schlüssel abzuleiten. Solche Verfahren verwenden unter anderem Salt und einen konfigurierbaren Rechenaufwand, damit das systematische Ausprobieren möglicher Passwörter teurer wird. (NIST)

Warum wird die Berechnung absichtlich aufwendig?

Für dich wird das Passwort vielleicht einmal beim Entsperren verarbeitet.

Ein Angreifer mit einer gestohlenen Tresordatei möchte dagegen vielleicht Millionen von Kandidaten ausprobieren.

Benutzer
→ 1 Versuch

gegen:

Angreifer
→ sehr viele Versuche

Wenn jeder Versuch rechnerisch aufwendiger ist, steigen die Kosten eines Offline-Angriffs. Genau dieses Prinzip steckt hinter passwortbasierten Schlüsselableitungsverfahren mit bewusstem Arbeitsfaktor. (NIST)

Ein starkes Master-Passwort bleibt trotzdem entscheidend

Eine gute Schlüsselableitung macht aus:

123456

kein hervorragendes Master-Passwort.

Sie kann Angriffe verlangsamen.

Sie ersetzt keine ausreichende Stärke des ursprünglichen Geheimnisses.

gutes Master-Passwort
+
gute Schlüsselableitung

ist die Kombination, die man erreichen möchte.

Wo liegt der Tresor?

Passwortmanager lassen sich konzeptionell in unterschiedliche Betriebsmodelle einteilen.

Der Tresor kann beispielsweise:

nur lokal,

zwischen Geräten synchronisiert,

über einen Cloudservice gespeichert beziehungsweise synchronisiert

werden.

NIST erwähnt sowohl lokale als auch cloudbasierte verschlüsselte Tresore. Welche Variante sinnvoll ist, hängt vom jeweiligen Sicherheits- und Nutzungskonzept ab. (NIST Pages)

Lokaler Passwort-Tresor

Der Tresor befindet sich beispielsweise ausschließlich auf:

Computer,

Smartphone

oder einem selbst verwalteten Speicherort.

Computer
↓
lokaler Tresor

Der offensichtliche Vorteil lautet:

Es existiert nicht automatisch ein zentraler externer Synchronisationsdienst.

Dafür musst du selbst lösen:

Backup
+
Synchronisierung
+
Wiederherstellung

Cloud-synchronisierter Tresor

Hier werden verschlüsselte Tresordaten über einen Dienst zwischen Geräten synchronisiert.

Notebook
   ↕
Cloud-Synchronisation
   ↕
Smartphone

Der praktische Vorteil ist erheblich:

Neue Zugangsdaten stehen auf mehreren Geräten zur Verfügung.

NIST weist darauf hin, dass viele Passwortmanager lokale oder cloudbasierte verschlüsselte Tresore verwenden und manche cloudbasierten Systeme so entworfen sind, dass der Dienst selbst nicht ohne Weiteres auf den entschlüsselten Tresor zugreifen kann. Das ist jedoch eine Produkteigenschaft, die bei einer konkreten Lösung geprüft werden muss und nicht automatisch für jeden Cloud-Passwortmanager gilt. (NIST Pages)

„Cloud“ bedeutet nicht automatisch, dass der Anbieter alle Passwörter lesen kann

Es gibt Architekturen, bei denen nur verschlüsselte Tresordaten beim Anbieter liegen und die Entschlüsselung auf dem Benutzergerät erfolgt. NIST erwähnt solche Designs ausdrücklich. Daraus darf man aber nicht schließen, dass jeder Anbieter exakt dasselbe Schlüsselmodell verwendet. (NIST Pages)

Die richtige Frage lautet daher nicht:

Cloud
=
unsicher?

sondern:

Wer besitzt welche Schlüssel?

Wo wird entschlüsselt?

Welche Wiederherstellungswege existieren?

Welche Daten sieht der Anbieter?

Synchronisierung und Backup sind nicht dasselbe

Ein synchronisierter Tresor kann Änderungen sofort auf alle Geräte übertragen.

Das ist bequem.

Es bedeutet aber nicht automatisch, dass jede historische Version beliebig wiederherstellbar ist.

Synchronisierung
→ Geräte auf ähnlichem Stand

Backup
→ früheren Zustand wiederherstellen

Diese Aufgaben sollten gedanklich getrennt werden.

Dasselbe Grundprinzip kennen wir bereits aus Backup-Grundlagen.

Was passiert, wenn der Passwortmanager-Anbieter ausfällt?

Diese Frage sollte vor einem Problem beantwortet werden.

Wichtige Punkte sind beispielsweise:

Kann der Tresor offline geöffnet werden?

Existiert eine Exportmöglichkeit?

Welches Format besitzt der Export?

Wie werden Backups erstellt?

Kann auf einen anderen Passwortmanager migriert werden?

NIST betont allgemein, dass Organisationen Passwortmanager vor Empfehlung oder verpflichtendem Einsatz sorgfältig auf ihre sichere Implementierung und Eignung prüfen sollten. (NIST Pages)

Exportfähigkeit ist wichtig

Du solltest deine digitale Identität nicht unnötig an eine einzelne Anwendung ketten.

Ein guter Migrationsplan beantwortet:

Passwortmanager A
↓
Export
↓
sicherer Transfer
↓
Passwortmanager B

Wichtig ist dabei, das konkrete Exportformat zu prüfen. Ein exportierter Tresor kann je nach Produkt und Exportoption wesentlich weniger geschützt sein als der normale verschlüsselte Vault.

Deshalb sollte ein Export als hoch sensibles Datenpaket behandelt werden.

Export erstellt
↓
Migration durchführen
↓
überflüssige Exportkopien sicher entfernen

CSV-Dateien sind besonders kritisch

Viele Datenaustauschformate sind grundsätzlich dafür gedacht, Daten leicht lesbar zwischen Anwendungen zu übertragen.

Wenn ein Passwortmanager einen unverschlüsselten Export erzeugt, kann dieser beispielsweise Benutzernamen und Passwörter ohne den ursprünglichen Tresorschutz enthalten.

Das konkrete Verhalten ist produktabhängig. Deshalb gilt:

Vor jedem Export prüfen, ob die Datei verschlüsselt ist und wo sie gespeichert wird.

NIST nennt kopierte elektronische Passwortdateien ausdrücklich als eine mögliche Form der Authenticator-Duplizierung; eine exportierte Klartextdatei sollte daher nicht achtlos als normales Dokument behandelt werden. (NIST Pages)

Backup des Passwortmanagers

Ein Passwortmanager enthält möglicherweise den Zugang zu:

E-Mail,

Cloud,

Hosting,

Domainverwaltung,

Bank,

sozialen Netzwerken

und zahlreichen anderen Diensten.

Ein Datenverlust kann deshalb ebenso problematisch sein wie ein Datendiebstahl.

Der Tresor braucht folglich Schutz gegen zwei unterschiedliche Risiken:

Vertraulichkeit
→ niemand Unbefugtes soll ihn lesen

und:

Verfügbarkeit
→ du selbst musst ihn wiederherstellen können

Sicherheit ohne Wiederherstellung ist kein gutes System

Ein Passwortmanager könnte theoretisch so streng geschützt sein, dass selbst sein rechtmäßiger Besitzer bei einem einzigen Fehler nie wieder Zugriff erhält.

Das wäre zwar gegen bestimmte Angriffe robust, aber praktisch problematisch.

Sicherheit muss deshalb auch berücksichtigen:

Geräteverlust,

vergessenes Geheimnis,

Defekt,

Tod beziehungsweise Notfall,

Anbieterwechsel.

Recovery ist gleichzeitig ein Angriffspfad

Hier entsteht ein grundlegender Zielkonflikt.

Wenn ein Anbieter dein Master-Passwort problemlos zurücksetzen kann, obwohl daraus unmittelbar der Tresorschlüssel entsteht, muss geklärt werden, wie diese Wiederherstellung technisch funktioniert.

einfache Wiederherstellung
→ bequem

kann bedeuten:

zusätzlicher Wiederherstellungsweg
→ zusätzliche Angriffsfläche

NISTs Passwortmanager-FAQ empfiehlt ausdrücklich, das Wiederherstellungsmodell eines Managers kritisch zu betrachten, weil ein schwacher Recovery-Mechanismus letztlich den gesamten Tresor gefährden kann. (NIST Pages)

Es gibt keinen universell richtigen Recovery-Mechanismus

Ein privater Benutzer hat andere Anforderungen als ein Unternehmen.

Im Unternehmen kann beispielsweise notwendig sein:

Ein Mitarbeiter verlässt die Firma.

Geschäftliche Zugangsdaten dürfen nicht unwiederbringlich mit ihm verschwinden.

Dort kann ein administrativer Recovery-Mechanismus gewollt sein.

Für einen persönlichen Tresor könnte man dagegen stärkere individuelle Kontrolle bevorzugen.

Die Frage lautet immer:

Welchen Ausfall
muss ich verhindern?

Welchen Angreifer
muss ich abwehren?

Ein Notfallplan sollte vor dem Notfall entstehen

Ein sinnvoller persönlicher Plan kann beispielsweise berücksichtigen:

Master-Passphrase

MFA-Recovery

Wiederherstellungscode

Zugang zu wichtigen Geräten

Notfallinformationen

Wie genau diese Informationen gesichert werden, hängt vom eingesetzten System ab.

Der entscheidende Punkt ist:

Du solltest wissen, wie du wieder hineinkommst, bevor du draußen stehst.

MFA für den Passwortmanager

NIST empfiehlt für Passwortmanager, die diese Funktion anbieten, zusätzliche Mehrfaktor-Authentifizierung. Der Tresor ist wegen seiner hohen Konzentration wertvoller Zugangsdaten ein besonders sinnvoller Kandidat dafür. (NIST Pages)

Das Modell lautet:

Master-Passwort
+
weiterer Authentifizierungsfaktor

Damit reicht beispielsweise ein allein gestohlenes Master-Passwort für die Anmeldung beim Synchronisationsdienst möglicherweise nicht aus.

MFA schützt nicht jede lokale Situation

Hier muss allerdings genau unterschieden werden.

Ein cloudbasierter Login zum Passwortmanager ist eine andere Situation als ein bereits lokal entsperrter Tresor auf einem kompromittierten Rechner.

Angriff auf Cloud-Login
→ MFA kann helfen

gegen:

Malware auf entsperrtem Gerät
→ anderes Problem

NIST nennt Malware, kopierte Authentifikatoren und Schwachstellen in Passwortmanagern als eigenständige Bedrohungsklassen. (NIST Pages)

Der nächste Artikel über Zwei-Faktor-Authentifizierung und Passkeys behandelt diese Unterschiede ausführlich.

Ein Passwortmanager macht ein kompromittiertes Gerät nicht sicher

Der Tresor ist geöffnet.

Du hast Zugriff auf die darin gespeicherten Passwörter.

Dann kann möglicherweise auch Malware, die bereits ausreichende Kontrolle über das Gerät besitzt, versuchen:

Zwischenablagen auszulesen,

Eingaben mitzuschneiden,

Browserprozesse zu manipulieren,

Sitzungen zu stehlen.

NIST weist ausdrücklich auf Angriffe wie Keylogging und das Kopieren elektronisch gespeicherter Geheimnisse hin. (NIST Pages)

Deshalb gilt:

Passwortmanager
+
sicheres Endgerät

und nicht:

Passwortmanager
→ Endgerätesicherheit egal

Sperrzeit des Tresors

Ein Passwortmanager kann den Tresor nach einer bestimmten Zeit oder einem bestimmten Ereignis wieder sperren.

Beispielsweise:

Computer gesperrt
↓
Tresor ebenfalls sperren

oder:

längere Inaktivität
↓
erneute Authentifizierung

Welche Einstellung sinnvoll ist, hängt vom Gerät und seinem Einsatz ab.

Ein privater Rechner zu Hause besitzt ein anderes Risiko als ein gemeinsam erreichbarer Arbeitsplatz.

Komfort und Sicherheit müssen sinnvoll zusammenpassen

Ein Tresor, der alle zehn Sekunden eine lange Master-Passphrase verlangt, wäre sicherheitstechnisch vielleicht streng, praktisch aber kaum nutzbar.

Menschen suchen bei zu viel Reibung häufig Umwege.

Besser ist ein Modell, bei dem:

starke initiale Authentifizierung
+
sichere Gerätesperre
+
vernünftige Tresorsperre

zusammenwirken.

Biometrie zum Entsperren

Viele Geräte können lokal:

Fingerabdruck,

Gesichtserkennung

oder andere biometrische Verfahren verwenden.

Dabei sollte man konzeptionell unterscheiden:

Biometrie
→ Gerät beziehungsweise lokalen Authenticator aktivieren

und:

Master-Passwort
→ zentrales Geheimnis des Passwortmanager-Systems

Biometrie ersetzt nicht automatisch sämtliche kryptografischen Schlüssel- und Wiederherstellungsmechanismen. Welche Rolle sie tatsächlich spielt, ist vom Produkt und Betriebssystem abhängig.

Passwortgenerator

Einer der größten Vorteile eines Passwortmanagers besteht darin, dass du Passwörter nicht mehr selbst erfinden musst.

Neues Konto
↓
Generator
↓
langes zufälliges Passwort
↓
speichern

CISA und NIST nennen die Erzeugung langer, zufälliger und einzigartiger Passwörter als zentralen Nutzen von Passwortmanagern. (cisa.gov)

Du brauchst das generierte Passwort nicht zu kennen

Das ist ein wichtiger Mentalitätswechsel.

Früher:

Passwort
→ muss merkbar sein

Mit Passwortmanager:

Passwort
→ muss sicher verwaltbar sein

Es darf also aussehen wie eine vollkommen unmerkbare Zeichenfolge.

Das ist kein Nachteil.

Es ist gerade der Zweck des Systems.

Welche Länge soll der Generator verwenden?

Der jeweilige Dienst setzt möglicherweise eine maximale Länge oder erlaubte Zeichenauswahl voraus.

Innerhalb dieser Grenzen sollte der Manager ein ausreichend langes zufälliges Kennwort erzeugen.

Das Prinzip lautet:

so lang wie sinnvoll und unterstützt
+
zufällig
+
nur für diesen Dienst

Nicht:

so kompliziert wie möglich aussehen

Webseiten sollten Passwortmanager nicht behindern

Die aktuelle NIST SP 800-63B-4 verlangt von Passwort-Verifiern ausdrücklich, Passwortmanager und Autofill zuzulassen. Wenn Autofill-APIs nicht verfügbar sind, soll auch Paste unterstützt werden. OWASP empfiehlt ebenfalls, Standard-Loginformulare zu verwenden und das Einfügen in Passwort- und MFA-Felder nicht zu blockieren. (NIST Pages)

Ein modernes Login sollte also nicht verlangen:

Bitte tippen Sie
dieses 30-stellige Zufallspasswort
von Hand ab.

Der Passwortmanager soll diese Arbeit übernehmen.

Autofill

Beim Autofill erkennt der Passwortmanager eine Anmeldeseite und kann die zugehörigen Zugangsdaten in die passenden Felder eintragen.

Website geöffnet
↓
Passwortmanager erkennt Eintrag
↓
Benutzer bestätigt
↓
Loginfelder werden gefüllt

Das erhöht zunächst den Komfort und macht lange Zufallspasswörter praktisch nutzbar. NIST nennt Autofill ausdrücklich als wichtige Usability-Funktion von Passwortmanagern. (NIST Pages)

Autofill ist kein unfehlbares Sicherheitssystem

Die genaue Erkennung von Websites und Loginfeldern hängt von der Implementierung ab. Passwortmanager sind normale Software und können wie andere Software Fehler oder Sicherheitslücken enthalten; NIST führt Schwachstellen in unzureichend gesicherten Passwortmanagern ausdrücklich als mögliches Bedrohungsszenario auf. (NIST Pages)

Deshalb sollte die Regel nicht lauten:

Passwortmanager bietet Autofill an
→ Website garantiert echt

Sondern:

Autofill
→ Komfort- und möglicherweise zusätzlicher Plausibilitätscheck

aber:
Domain und Situation weiterhin beachten

Passwortmanager schützt nicht vollständig vor Phishing

Das Passwort selbst bleibt ein Geheimnis, das auf einer gefälschten Website preisgegeben werden kann, wenn der Nutzer es dort manuell einträgt oder eine Anwendung einen falschen Kontext akzeptiert. NIST klassifiziert Passwörter grundsätzlich als nicht phishing-resistente Authentifikatoren. (NIST Pages)

Phishing-resistente Verfahren wie bestimmte Passkey- und FIDO/WebAuthn-Varianten lösen dieses Problem auf einer fundamentaleren Ebene.

Darum folgt nach diesem Artikel:

/wissen/zwei-faktor-authentifizierung-passkeys/

Passwortmanager und Passkeys

Passwortmanager entwickeln sich zunehmend zu allgemeineren Credential Managern.

Statt ausschließlich:

Benutzername
+
Passwort

zu speichern, können entsprechende Systeme je nach Produkt auch andere Anmeldeinformationen verwalten.

Der grundsätzliche Trend ist wichtig: Der Tresor wird nicht zwingend verschwinden, wenn klassische Passwörter teilweise durch kryptografische Zugangsdaten ersetzt werden. Seine Rolle verändert sich vielmehr von einer reinen Passwortliste zu einer Verwaltung digitaler Anmeldeinformationen.

Die konkreten Passkey-Architekturen behandeln wir separat.

Browser-Passwortmanager oder eigene Anwendung?

Passwortverwaltung kann heute in unterschiedlichen Formen auftreten:

Browser integriert

Betriebssystem integriert

eigenständiger Passwortmanager

Unternehmenslösung

Keine dieser Kategorien ist allein aufgrund ihres Namens automatisch die beste oder sicherste.

NIST empfiehlt Organisationen ausdrücklich, konkrete Passwortmanager sorgfältig zu evaluieren, bevor sie vorgeschrieben oder empfohlen werden. (NIST Pages)

Was ist bei der Auswahl wichtiger als der Markenname?

Ein Passwortmanager sollte als Sicherheitsprodukt betrachtet werden.

Wichtige Fragen sind beispielsweise:

Wie wird der Tresor verschlüsselt?

Wie funktioniert die Schlüsselableitung?

Wie funktioniert Synchronisierung?

Welche MFA-Möglichkeiten gibt es?

Wie funktioniert Recovery?

Kann ich meine Daten exportieren?

Welche Geräte werden unterstützt?

Wie schnell werden Sicherheitsupdates geliefert?

Nicht jede dieser Eigenschaften ist für jeden Nutzer gleich wichtig.

Die Architektur verstehen

Besonders interessant ist:

Kann der Betreiber
meinen Tresor entschlüsseln?

Wenn nein:

Wie funktioniert Recovery?

Wenn ja:

Unter welchen Bedingungen?

Wer besitzt welche Schlüssel?

NIST weist darauf hin, dass manche Cloud-Passwortmanager so aufgebaut sind, dass der Dienst den Tresor selbst nicht entschlüsseln kann. Das ist ein wertvolles Architekturmerkmal, muss aber für ein konkretes Produkt überprüft werden. (NIST Pages)

Open Source oder proprietär?

Auch diese Frage lässt sich nicht sinnvoll mit:

Open Source
=
automatisch sicher

beziehungsweise:

proprietär
=
automatisch unsicher

beantworten.

Quelloffenheit kann unabhängige Prüfung erleichtern. Sie garantiert aber weder, dass jemand den Code tatsächlich sorgfältig geprüft hat, noch dass die ausgelieferte Installation fehlerfrei ist.

Bei proprietärer Software fehlt möglicherweise vollständige öffentliche Einsicht, sie kann trotzdem intensive Sicherheitsprüfungen durchlaufen.

Wichtiger ist die Gesamtheit aus:

Architektur
+
Implementierungsqualität
+
Updateprozess
+
Prüfbarkeit
+
Reaktionsfähigkeit bei Schwachstellen

Sicherheitsupdates sind besonders wichtig

Ein Passwortmanager verarbeitet äußerst sensible Informationen und läuft häufig als:

Desktopanwendung,

Browsererweiterung,

mobile App.

Fehler in diesen Komponenten können entsprechend wertvoll für Angreifer sein. NIST führt die Ausnutzung einer Schwachstelle in einem unzureichend gesicherten Passwortmanager ausdrücklich als mögliches Angriffsszenario auf Authentifikatoren auf. (NIST Pages)

Deshalb:

Passwortmanager
→ aktuell halten

und ebenso:

Browser
Betriebssystem
Erweiterung
→ aktuell halten

Browsererweiterungen sind praktisch – und sicherheitsrelevant

Eine Erweiterung muss mit Webseiten interagieren, damit sie Zugangsdaten eintragen kann.

Das ist ihre Funktion.

Genau deshalb sollte eine Passwortmanager-Erweiterung wie andere sicherheitskritische Software nur aus vertrauenswürdiger Quelle installiert und aktuell gehalten werden.

Mehrere Erweiterungen mit denselben Aufgaben gleichzeitig zu betreiben kann außerdem unnötige Komplexität erzeugen.

Passwortmanager auf dem Smartphone

Das Smartphone ist für Passwortverwaltung besonders praktisch, weil dort häufig Apps und Webseiten gleichzeitig verwendet werden.

Ein systemweit integrierter Credential- beziehungsweise Autofill-Mechanismus kann Zugangsdaten an geeignete Apps und Websites übergeben.

Auch hier gilt jedoch:

Passwortmanager-Sicherheit
+
Gerätesicherheit

gehören zusammen.

Ein entsperrtes kompromittiertes Smartphone ist ein anderes Risiko als ein verschlüsselter Tresor auf einem ausgeschalteten Gerät.

Gerätesperre

Ein starkes Passwortmanager-Mastergeheimnis nützt weniger, wenn das Gerät:

dauerhaft entsperrt,

ohne Bildschirmsperre,

leicht zugänglich

ist.

Eine lokale Gerätesperre bildet deshalb eine zusätzliche Sicherheitsebene.

Geräteschutz
↓
Passwortmanager
↓
Konten

Passwortmanager im Unternehmen

Bei mehreren Mitarbeitern ändern sich die Anforderungen deutlich.

Es geht nicht mehr nur darum:

Wie speichere ich mein Passwort?

Sondern auch:

Wem gehört der Zugang?

Wer darf ihn verwenden?

Was passiert beim Mitarbeiterwechsel?

Wie werden gemeinsame Geheimnisse verwaltet?

Wie werden Rechte entzogen?

Ein gemeinsames Passwort in einem privaten Mitarbeiter-Tresor kann organisatorisch problematisch sein, selbst wenn es technisch gut geschützt ist.

Gemeinsame Passwörter

Idealerweise besitzt jeder Nutzer einen eigenen Account.

Anna
→ eigenes Konto

Ben
→ eigenes Konto

ist normalerweise besser als:

team@example
→ ein Passwort für zehn Personen

Denn individuelle Accounts ermöglichen:

Berechtigungen,

Nachvollziehbarkeit,

gezielten Entzug.

Manche Systeme lassen gemeinsame Accounts allerdings nicht vermeiden. Dann kann ein Team-Passwortmanager kontrollierter sein als:

Passwort per E-Mail

oder:

Passwort im Gruppenchat

Offboarding

Ein Mitarbeiter verlässt das Unternehmen.

Ein sauberer Prozess sollte beantworten:

Welche Konten hatte die Person?

Welche gemeinsamen Zugangsdaten kannte sie?

Welche Zugänge müssen entzogen werden?

Welche Passwörter müssen gegebenenfalls ersetzt werden?

Mitarbeiter verlässt Firma
↓
Accounts deaktivieren
↓
Berechtigungen entziehen
↓
gemeinsame Geheimnisse prüfen

Ein zentral verwalteter Credential-Prozess erleichtert diese Aufgabe erheblich.

Passwortmanager ist kein Berechtigungsmanagement

Nur weil ein Passwort in einem Tresor geteilt werden kann, bedeutet das nicht, dass ein geteilter Login die beste Architektur ist.

Wo möglich:

ein Benutzer
→ ein Konto
→ eigene Berechtigung

Das Passwortmanagement löst die sichere Speicherung von Credentials.

Es ersetzt kein sauberes Rollen- und Rechtekonzept.

Notfallzugang

Ein besonderes Problem entsteht bei Privatpersonen und kleinen Unternehmen:

Was passiert, wenn die einzige Person mit Zugang plötzlich nicht verfügbar ist?

Ein vernünftiger Notfallplan kann verhindern, dass wichtige Geschäfts- oder Familiendaten dauerhaft unerreichbar werden.

Dabei können je nach System eine Rolle spielen:

Notfallkontakte,

Recovery-Dokumentation,

administrative Unternehmensmechanismen,

sicher hinterlegte Wiederherstellungsinformationen.

Die konkrete Lösung muss zum Bedrohungsmodell passen.

Ein Notfallumschlag kann sinnvoller sein als gar kein Plan

Digitale Sicherheit wird manchmal so gedacht:

Niemals irgendetwas
physisch aufschreiben.

Das ist zu pauschal.

Eine sicher verwahrte physische Notfallinformation kann gegen bestimmte digitale Risiken sogar sehr robust sein.

Entscheidend ist:

Wo liegt sie?

Wer kann darauf zugreifen?

Was enthält sie?

Wie wird Missbrauch erkannt beziehungsweise verhindert?

Recovery-Codes nicht im selben Fehlerbereich speichern

Angenommen, ein Passwortmanager verlangt MFA.

Du speicherst den einzigen MFA-Wiederherstellungscode ausschließlich:

im Passwortmanager

Nun verlierst du:

Gerät

und:

MFA-Zugang.

Dann könnte der Recovery-Code gerade dort liegen, wo du nicht mehr hinkommst.

Ein robustes System vermeidet solche gegenseitigen Abhängigkeiten.

Tresor
+
separater Notfallweg

ist häufig sinnvoller als:

alle Wiederherstellungswege
nur im Tresor

Passwortmanager einführen: nicht alles auf einmal umstellen

Wer sehr viele Konten besitzt, muss nicht an einem Abend sämtliche Zugangsdaten ändern.

Eine pragmatische Migration kann schrittweise erfolgen.

Schritt 1: Passwortmanager einrichten

Tresor erstellen.

Master-Passphrase festlegen.

Recovery verstehen.

MFA einrichten, sofern vorgesehen.

Schritt 2: Kritische Konten zuerst

Zum Beispiel:

zentrale E-Mail,

Cloudkonto,

Domainverwaltung,

Hosting,

Bank beziehungsweise Finanzzugänge,

wichtige Administratorkonten.

Schritt 3: Wiederverwendete Passwörter beseitigen

Besonders solche, die auf vielen Diensten identisch sind.

Schritt 4: Neue Konten nur noch über den Manager

neues Konto
↓
Passwortgenerator
↓
einzigartiges Passwort
↓
Tresor

Damit verbessert sich der Bestand automatisch über die Zeit.

Schritt 5: Alte Konten nachziehen

Bei normaler Nutzung tauchen sie nach und nach auf.

Dann jeweils:

Passwort ändern,

generiertes Passwort verwenden,

im Tresor speichern.

Der Passwortmanager wird zur zentralen Inventarliste

Nach einiger Zeit entsteht ein interessanter Nebeneffekt.

Du siehst überhaupt erst:

wie viele Konten existieren.

Passwort-Tresor
↓
Liste digitaler Accounts

Das kann helfen, alte nicht mehr benötigte Accounts zu identifizieren und zu löschen.

Duplikate finden

Viele Passwortmanager können anzeigen, wenn dasselbe Passwort mehrfach verwendet wird.

Die Funktion hilft, eine typische Altlast zu entdecken:

Passwort X
→ 17 Konten

Dann kann man diese Konten schrittweise auf einzigartige Geheimnisse umstellen.

Kompromittierte Passwörter erkennen

Manche Passwortmanager können außerdem bekannte Leaks beziehungsweise kompromittierte Zugangsdaten erkennen oder entsprechende Warnungen integrieren.

Die konkrete Methode ist produktabhängig.

Wichtig ist das Prinzip:

Passwort möglicherweise kompromittiert
↓
betroffenes Konto prüfen
↓
Passwort ersetzen

Nicht sämtliche Passwörter vorsorglich ständig ändern – sondern bei konkretem Risiko handeln. Die aktuelle NIST-Leitlinie empfiehlt ebenfalls einen anlassbezogenen statt willkürlich periodischen Passwortwechsel. (NIST Pages)

Sicherheitsfragen können ebenfalls in den Tresor

Ein Dienst fragt:

Wie hieß dein erstes Haustier?

Die naheliegende Antwort wäre eine tatsächliche persönliche Information.

Das ist als Geheimnis problematisch.

NISTs FAQ empfiehlt für Dienste, die noch solche Sicherheitsfragen nutzen, zufällige Antworten zu erzeugen und diese wie andere Geheimnisse im Passwortmanager zu speichern. (NIST Pages)

Zum Beispiel:

Frage:
Name des ersten Haustiers?

gespeicherte Antwort:
zufällige Zeichenfolge

Die Antwort muss nicht wahr sein.

Sie muss lediglich beim späteren Wiederherstellungsprozess verfügbar sein.

Zahlungsdaten im Passwortmanager?

Viele Passwortmanager können zusätzlich speichern:

Kreditkartendaten,

Adressen,

Notizen,

Dokumentinformationen.

NIST erwähnt solche zusätzlichen Tresorfunktionen ebenfalls. (NIST Pages)

Je mehr sensible Informationen gespeichert werden, desto größer wird allerdings der Wert des Tresors.

Deshalb sollte man nicht automatisch alles hineinlegen, nur weil ein Eingabefeld dafür vorhanden ist.

Frage:

Brauche ich diese Information
wirklich im Tresor?

Sichere Notizen

Für bestimmte Geheimnisse können sichere Notizen praktisch sein.

Zum Beispiel:

Recovery-Codes,

technische Zugangsinformationen,

Lizenzschlüssel.

Aber auch hier gilt:

Nicht alle Wiederherstellungswege ausschließlich in denselben Tresor legen, wenn dadurch ein einzelner Ausfallpunkt entsteht.

Der Passwortmanager wird zum Single Point of Convenience

Er macht das digitale Leben wesentlich einfacher.

Das bedeutet aber nicht zwangsläufig:

Single Point of Failure.

Ob er tatsächlich ein einzelner vollständiger Ausfallpunkt wird, hängt von:

Backup,

Recovery,

Gerätezugang,

MFA,

Exportmöglichkeiten

ab.

Genau deshalb gehört Wiederherstellung zum Design.

Was passiert bei Verlust des Smartphones?

Diese Frage sollte im Voraus beantwortbar sein.

Ideal wäre sinngemäß:

Smartphone verloren
↓
neues Gerät
↓
Passwortmanager installieren
↓
sicher authentifizieren
↓
Tresor wieder verfügbar

Nicht:

Smartphone verloren
↓
alle Passwörter verloren

Welche Schritte tatsächlich notwendig sind, hängt vom gewählten Manager ab.

Was passiert bei Verlust des Computers?

Dasselbe.

Ein synchronisierter Tresor kann hier einen erheblichen Verfügbarkeitsvorteil haben.

Bei einem ausschließlich lokalen Tresor ist dagegen ein funktionierendes Backup besonders wichtig.

Was passiert bei vergessener Master-Passphrase?

Hier trennt sich die Architektur verschiedener Systeme besonders deutlich.

Mögliche Modelle reichen von:

keiner Wiederherstellung des Tresorinhalts ohne Geheimnis

bis zu:

organisatorischen oder technischen Recovery-Prozessen.

Man sollte diese Frage vor der Auswahl des Managers beantworten können.

NISTs Passwortmanager-FAQ weist ausdrücklich auf den Zielkonflikt hin und empfiehlt, die Sicherheit von Master-Passwort-Recovery kritisch zu berücksichtigen. (NIST Pages)

Kann der Anbieter gehackt werden?

Ja, grundsätzlich kann jeder Onlinedienst angegriffen werden.

Die wichtigere Frage lautet:

Was bekommt ein erfolgreicher Angreifer dann?

Im günstigen Architekturfall:

verschlüsselte Tresordaten

statt:

alle Klartextpasswörter

Doch auch verschlüsselte Tresore können interessant sein, weil sie Offline-Angriffe auf schwache Master-Passwörter ermöglichen können. Deshalb sind Master-Passphrase, Schlüsselableitung und Implementierung gemeinsam relevant. NIST betont sowohl den hohen Zielwert von Passwortmanagern als auch die Bedeutung ihrer sicheren Architektur. (NIST Pages)

Deshalb bedeutet ein Serverbreach nicht automatisch, dass alle Passwörter offenliegen

Aber ebenso falsch wäre:

Tresor ist verschlüsselt
→ Breach egal

Ein Sicherheitsvorfall muss immer anhand der konkreten Architektur bewertet werden:

Welche Daten wurden kopiert?

Welche Schlüssel?

Welche Metadaten?

Welche Benutzerinformationen?

Welche Schutzparameter?

Sind Änderungen erforderlich?

Was tun bei einem Sicherheitsvorfall des Passwortmanagers?

Nicht sofort panisch alle hundert Passwörter ändern, nur weil irgendwo das Wort „Breach“ auftaucht.

Zuerst klären:

Was ist tatsächlich betroffen?

Wenn beispielsweise lediglich öffentliche Websiteinformationen betroffen wären, wäre die Situation anders als bei kopierten Tresordaten oder Authentifizierungsinformationen.

Die angemessene Reaktion hängt vom Vorfall ab.

Bei Hinweisen auf eine tatsächliche Kompromittierung des Master-Geheimnisses beziehungsweise entschlüsselbarer Tresordaten müssen die darin gespeicherten Zugangsdaten dagegen als potentiell gefährdet betrachtet werden. NIST weist ausdrücklich darauf hin, dass eine Kompromittierung des Master-Geheimnisses die Neuerstellung der Tresorpasswörter erforderlich machen kann. (NIST Pages)

Passwortmanager sind kein Grund, Passwörter für immer zu behalten

Wenn ein Dienst kompromittiert wurde:

Passwort ändern.

Wenn ein Konto nicht mehr benötigt wird:

Konto löschen beziehungsweise schließen, soweit sinnvoll möglich.

Wenn ein Mitarbeiter keinen Zugang mehr braucht:

Rechte entfernen.

Der Manager verwaltet Geheimnisse.

Er entscheidet nicht, ob diese Geheimnisse weiterhin benötigt werden.

Passwortmanager und Backup-Systeme

Ein Backup des kompletten Rechners kann möglicherweise auch Passwortmanager-Daten enthalten.

Das bedeutet:

Backup-Sicherheit wird gleichzeitig Passwort-Sicherheit.

Computer
↓
Backup
↓
enthält möglicherweise Tresordaten

Sind diese Daten zusätzlich durch einen starken Tresor geschützt, existiert eine weitere Schutzebene. Trotzdem sollte das Backup selbst angemessen geschützt werden.

Ein Passwortmanager ersetzt kein Backup

Und ein Backup ersetzt keinen Passwortmanager.

Passwortmanager
→ Geheimnisse organisieren und schützen

Backup
→ Datenverlust abfangen

Beide Systeme lösen unterschiedliche Probleme.

Passwortmanager und Familien

Auch in Familien entstehen gemeinsame Zugänge:

Streaming,

Haushaltsdienste,

Versicherungsportale,

gemeinsame Einkäufe.

Passwörter per Messenger hin- und herzuschicken ist langfristig unübersichtlich.

Ein Passwortmanager mit kontrollierter Freigabe kann – sofern der konkrete Dienst entsprechende Funktionen bietet – strukturierter sein.

Wichtig bleibt:

Persönliche Accounts möglichst nicht unnötig teilen.

Wer darf welches Passwort sehen?

Ein gutes gemeinsames System sollte nicht nach dem Prinzip funktionieren:

Alle Familienmitglieder
sehen alles.

Sondern:

gemeinsamer Zugang
→ gemeinsam

persönlicher Zugang
→ persönlich

Dasselbe Prinzip gilt in Teams und Unternehmen.

Häufige Irrtümer über Passwortmanager

„Wenn ein Passwortmanager gehackt wird, sind automatisch alle Passwörter offen“

Nicht zwingend. Entscheidend ist, welche Daten kompromittiert wurden und wie der Tresor verschlüsselt sowie seine Schlüssel geschützt wurden. NIST weist gerade deshalb auf verschlüsselte lokale und cloudbasierte Vault-Architekturen hin. (NIST Pages)

„Es ist sicherer, ein einziges gutes Passwort selbst zu merken“

Nur solange du tatsächlich nur ein Konto besitzt. Bei vielen Accounts führt Passwort-Wiederverwendung zu Credential-Stuffing-Risiken. Passwortmanager ermöglichen unterschiedliche Passwörter für jeden Dienst. (NIST Pages)

„Der Passwortmanager ist zu gefährlich, weil dort alles liegt“

Der Tresor ist tatsächlich ein hochwertiges Angriffsziel. Genau deshalb muss er besonders geschützt werden. Gleichzeitig löst er das kaum anders beherrschbare Problem, sehr viele unterschiedliche starke Passwörter zu verwalten. NIST beschreibt beide Seiten ausdrücklich. (NIST Pages)

„Ich muss mir trotzdem alle Passwörter merken“

Nein. Genau das soll der Manager übernehmen.

Die wichtigsten Dinge, die du weiterhin selbst beherrschen musst, sind vielmehr:

Zugang zum Manager,

Recovery,

Gerätesicherheit.

„Browser-Autofill macht jede Website automatisch vertrauenswürdig“

Nein. Autofill ist eine Komfortfunktion und kann Sicherheitsvorteile bringen, ist aber selbst Teil einer Softwareimplementierung. Passwortmanager können Sicherheitslücken besitzen. (NIST Pages)

„Copy & Paste sollte bei Passwörtern verboten sein“

Aktuelle NIST- und OWASP-Empfehlungen sagen das Gegenteil: Loginformulare sollen Passwortmanager, Autofill und gegebenenfalls Paste unterstützen. (NIST Pages)

„Wenn ich MFA für den Passwortmanager aktiviert habe, brauche ich kein starkes Master-Passwort“

Falsch. MFA und Master-Passwort schützen unterschiedliche Angriffswege. NIST empfiehlt bei Passwortmanagern sowohl eine lange Master-Passphrase als auch MFA, wenn diese angeboten wird. (NIST Pages)

„Ein Cloud-Passwortmanager bedeutet automatisch, dass der Anbieter meine Passwörter lesen kann“

Nicht zwangsläufig. Es existieren Architekturen, bei denen nur verschlüsselte Tresordaten synchronisiert werden. Das konkrete Produktdesign muss allerdings geprüft werden. (NIST Pages)

„Ein lokaler Passwortmanager ist automatisch sicherer“

Ebenfalls nicht. Du übernimmst dann unter anderem selbst mehr Verantwortung für Backup und Wiederherstellung. Sicherheit hängt von Architektur, Implementierung und deinem Bedrohungsmodell ab.

„Ein Passwortmanager schützt mich vollständig vor Phishing“

Nein. Klassische Passwörter sind laut NIST nicht phishing-resistent. Passwortmanager ändern dieses grundlegende Merkmal nicht vollständig. (NIST Pages)

„Wenn ich mein Master-Passwort vergessen habe, muss der Anbieter es mir eben zuschicken“

Gerade das würde Fragen zur Schutzarchitektur aufwerfen. NIST empfiehlt, das Recovery-Modell von Passwortmanagern besonders kritisch zu betrachten. (NIST Pages)

Worauf sollte man bei der Auswahl eines Passwortmanagers achten?

Statt nur nach:

kostenlos

oder:

schönste Oberfläche

zu entscheiden, sollte man das gesamte System betrachten.

Ein vernünftiger Kriterienkatalog umfasst insbesondere:

verschlüsselter Tresor

starke Master-Passphrase möglich

MFA-Unterstützung

klarer Recovery-Prozess

gute Geräteunterstützung

Autofill

Passwortgenerator

Export und Migration

verlässliche Updates

NIST empfiehlt ausdrücklich, Passwortmanager vor einer Empfehlung oder verpflichtenden Einführung sorgfältig auf sichere Implementierung zu prüfen. (NIST Pages)

Die wichtigste Auswahlfrage lautet nicht „Welcher ist der sicherste?“

Ein Passwortmanager, den du nicht zuverlässig verwendest, bringt wenig.

Das System muss zu deinem Alltag passen.

Wenn du regelmäßig zwischen:

Notebook,

Desktop,

Smartphone

wechselst, ist Synchronisierung wahrscheinlich wesentlich.

Wenn du bewusst vollständig lokal arbeiten willst, ist möglicherweise ein anderes Modell sinnvoll.

Wenn ein Team Zugänge verwaltet, kommen:

Berechtigungen,

Offboarding,

Auditierbarkeit

hinzu.

Ein sinnvoller persönlicher Einführungsplan

Der gesamte Prozess lässt sich relativ einfach gestalten.

1. Passwortmanager auswählen

2. Recovery verstehen

3. lange einzigartige Master-Passphrase setzen

4. MFA aktivieren

5. zentrale E-Mail absichern

6. kritische Konten migrieren

7. Passwort-Wiederverwendung beseitigen

8. neue Konten nur noch mit Generator anlegen

9. Backup-/Notfallplan testen

Damit entsteht nicht nur ein Passwortspeicher, sondern eine strukturierte Authentifizierungsstrategie.

Schritt 1: Recovery wirklich ausprobieren

Nicht unbedingt bis zum kompletten Zurücksetzen.

Aber du solltest wissen:

Wo befinden sich Recovery-Codes?

Welche Geräte sind registriert?

Welche Schritte wären nach Geräteverlust notwendig?

Schritt 2: Master-Passphrase bewusst festlegen

Sie sollte:

lang,

einzigartig,

nicht offensichtlich,

merkbar

sein.

Nicht in anderen Diensten verwenden.

Schritt 3: Zusätzliche Authentifizierung aktivieren

Sofern vom System unterstützt und passend eingerichtet.

Recovery dabei gleichzeitig mitdenken.

Schritt 4: E-Mail-Konto zuerst migrieren

Das zentrale Mailkonto ist häufig besonders kritisch, weil darüber andere Konten zurückgesetzt werden können.

Daher:

E-Mail
→ einzigartiges Passwort
→ zusätzliche Authentifizierung

Schritt 5: Infrastrukturkonten

Danach beispielsweise:

Hosting,

Domains,

Cloud,

Administratorzugänge.

Der mögliche Schaden ist dort besonders groß.

Schritt 6: Finanz- und wichtige persönliche Konten

Auch hier:

eigene Passwörter,

starke zusätzliche Authentifizierung,

Recovery prüfen.

Schritt 7: Rest nach und nach

Der Wechsel muss nicht an einem Wochenende abgeschlossen sein.

Jedes Mal, wenn ein altes Konto verwendet wird:

altes Passwort
↓
ändern
↓
Zufallspasswort
↓
Tresor

Nach einigen Monaten ist ein großer Teil des Bestands automatisch bereinigt.

Passwortmanager für Websitebetreiber

Wer selbst Logins entwickelt, hat ebenfalls eine Aufgabe.

Die Website sollte Passwortmanager nicht bekämpfen.

Aktuelle NIST-Vorgaben verlangen die Unterstützung von Passwortmanagern und Autofill; OWASP empfiehlt Standard-HTML-Formulare sowie Paste in Benutzername-, Passwort- und MFA-Feldern. (NIST Pages)

Das bedeutet:

normales Passwortfeld
+
korrekte Browserintegration
+
Autofill zulassen
+
Paste zulassen

statt:

JavaScript verhindert Einfügen
+
eigenwilliges Login-Widget
+
Passwortmanager funktioniert nicht

Gute UX verbessert hier die Sicherheit

Ein Nutzer, der problemlos ein 30-stelliges Zufallspasswort einfügen kann, braucht kein bequem tippbares:

Firmenname2026!

Sicherheit und Usability arbeiten hier also in dieselbe Richtung.

Ein Passwortmanager ist Teil einer größeren Authentifizierungsstrategie

Der Weg lässt sich so darstellen:

ein Passwort für alles
↓
viele einzigartige Passwörter
↓
Passwortmanager
↓
MFA
↓
phishing-resistente Authentifizierung

Jede Stufe löst andere Probleme.

Der Passwortmanager beseitigt insbesondere das Skalierungsproblem unterschiedlicher Passwörter.

Er löst nicht automatisch:

Phishing,

Malware,

Session-Diebstahl,

schlechte Recovery-Prozesse,

unsichere Endgeräte.

Was du dir über Passwortmanager merken solltest

Ein Passwortmanager hat eine erstaunlich einfache Hauptaufgabe:

Er ermöglicht dir, für jedes Konto ein eigenes starkes Passwort zu verwenden, ohne diese Passwörter selbst auswendig lernen zu müssen.

100 Konten
↓
100 unterschiedliche Passwörter
↓
1 geschützter Tresor

NIST und CISA heben genau diesen Nutzen hervor: Passwortmanager können lange, zufällige und einzigartige Zugangsdaten erzeugen und geschützt verwalten. (NIST Pages)

Der Tresor selbst ist deshalb besonders wertvoll.

viele Geheimnisse
↓
ein Tresor
↓
hoher Schutzbedarf

Das zentrale Master-Geheimnis muss:

lang,

einzigartig

und besonders gut geschützt sein. NIST empfiehlt zusätzlich MFA für Passwortmanager, sofern diese Funktion verfügbar ist. (NIST Pages)

Der Tresor sollte verschlüsselt gespeichert werden. Bei passwortbasierten Schutzsystemen kann aus einer Passphrase über eine Schlüsselableitungsfunktion ein kryptografischer Schlüssel gewonnen werden; NIST beschreibt solche Verfahren speziell für den Schutz gespeicherter Daten. (NIST)

Master-Passphrase
↓
Schlüsselableitung
↓
Schlüssel
↓
verschlüsselter Tresor

Ein Passwortmanager kann lokal oder synchronisiert betrieben werden. NIST erwähnt beide Modelle ausdrücklich. Die entscheidende Frage lautet nicht pauschal:

lokal oder Cloud?

sondern:

Wie ist das konkrete System aufgebaut?

Insbesondere sollte geklärt werden:

Wer kann den Tresor entschlüsseln?

Wie funktioniert Recovery?

Wie werden Daten synchronisiert?

Wie funktionieren Export und Backup?

Der Passwortmanager darf außerdem nicht als Sicherheitsinsel betrachtet werden.

sicherer Tresor
+
kompromittiertes Gerät

ist keine ideale Kombination.

Malware, Keylogger und Schwachstellen im Passwortmanager selbst bleiben eigene Angriffsszenarien. (NIST Pages)

Darum gehören zusammen:

Passwortmanager
+
Gerätesicherheit
+
Updates
+
MFA
+
Recovery

Autofill ist dabei kein unnötiger Luxus. Es macht lange Zufallspasswörter praktisch benutzbar. Aktuelle NIST-Richtlinien verlangen sogar, dass Authentifizierungssysteme Passwortmanager und Autofill unterstützen; auch Paste soll ermöglicht werden, wenn Autofill nicht zur Verfügung steht. (NIST Pages)

Ein Passwortmanager macht klassische Passwörter allerdings nicht grundsätzlich phishing-resistent. NIST stellt weiterhin ausdrücklich fest:

Passwörter sind nicht phishing-resistent. (NIST Pages)

Deshalb ist der Passwortmanager nicht das Ende der Entwicklung.

Er ist vielmehr die Brücke von:

schlecht verwalteten Passwörtern

zu:

einzigartigen Zugangsdaten
+
stärkerer Authentifizierung

Der zentrale Merksatz lautet:

Ein Passwortmanager bündelt zwar viele wertvolle Zugangsdaten an einem Ort, aber genau dadurch ermöglicht er erstmals eine Sicherheitsregel, die Menschen bei dutzenden oder hunderten Konten sonst kaum konsequent einhalten können: Jedes Konto bekommt ein eigenes, langes und zufälliges Passwort. Der Tresor selbst wird dafür zu einem besonders schützenswerten System, dessen Master-Passphrase, MFA, Recovery, Backup und Gerätesicherheit genauso sorgfältig geplant werden müssen wie die Passwörter darin.