Passwort-Manager im Vergleich: Cloud, lokal oder Browser?

Die meisten Vergleiche von Passwort-Managern beginnen mit Anbieternamen. Das ist die zweite Frage. Die erste lautet, wo der Tresor liegt – denn daran hängen Sicherungsstrategie, Geräteabgleich und der Aufwand bei einem späteren Wechsel.

Drei Bauarten

Cloud-Tresor beim Anbieter

Der verschlüsselte Tresor liegt beim Dienst und wird auf alle Geräte abgeglichen. Entschlüsselt wird ausschließlich lokal, der Anbieter kennt das Master-Passwort nicht und kann die Daten nicht lesen. Das ist der bequemste Weg und für die meisten der richtige.

Der Preis dafür: Sie vertrauen darauf, dass die Anwendung sauber umgesetzt ist. Ein Einbruch beim Anbieter liefert Angreifern verschlüsselte Tresore – die bei einem schwachen Master-Passwort mit genug Zeit angreifbar sind.

Lokale Tresordatei

Der Tresor ist eine Datei auf dem eigenen Rechner. Kein Anbieterkonto, keine Serverkomponente, kleinste Angriffsfläche. Der Abgleich zwischen Geräten läuft über einen selbst gewählten Weg, etwa einen Cloud-Speicher oder ein Netzlaufwerk.

Die Verantwortung liegt vollständig bei Ihnen. Ohne Sicherung ist ein defekter Datenträger gleichbedeutend mit dem Verlust aller Zugangsdaten. Diese Bauart ist sicherer, aber nur für Leute, die Sicherungen tatsächlich anlegen und prüfen.

Browser-Speicher

Eingebaut, kostenlos, ohne Einrichtung. Für Gelegenheitszugänge in Ordnung. Die Grenzen zeigen sich schnell: Zugangsdaten außerhalb des Browsers, sichere Notizen, kontrollierte Weitergabe an eine zweite Person oder ein Wechsel des Browsers sind entweder umständlich oder nicht vorgesehen.

Worauf es bei der Auswahl ankommt

1. Nachvollziehbare Verschlüsselung. Der Anbieter sollte offenlegen, welches Verfahren und welche Schlüsselableitung verwendet werden, und regelmäßig extern prüfen lassen. Ein Prüfbericht mit Datum ist mehr wert als jedes Werbeversprechen.
2. Vollständiger Export. Prüfen Sie vor dem Einzug, ob sich alle Einträge samt Notizen und Einmalcode-Geheimnissen exportieren lassen. Ohne diesen Weg sind Sie gebunden.
3. Zweiter Faktor für den Tresor. Am besten über einen FIDO2-Sicherheitsschlüssel. Damit reicht ein erbeutetes Master-Passwort allein nicht aus.
4. Notfallzugang. Eine dokumentierte Möglichkeit, dass eine zweite Person nach einer Wartefrist Zugriff erhält. Ohne diese Regelung ist der Tresor im Ernstfall für alle verschlossen, auch für die, die ihn brauchen.
5. Alle benötigten Plattformen. Ein Manager, der auf einem Ihrer Geräte fehlt, führt dazu, dass dort wieder auf Notizen ausgewichen wird.

Merksatz: Das Master-Passwort ist die einzige Stelle, an der Länge wirklich zählt. Vier zufällige Wörter sind besser als acht Zeichen mit Sonderzeichen und leichter zu behalten.

Einführung ohne großen Kraftakt

Alle Passwörter auf einmal zu ändern, scheitert regelmäßig an der Menge. Der Weg, der funktioniert:

1. Manager einrichten, Master-Passwort setzen, zweiten Faktor aktivieren.
2. Bestehende Zugangsdaten aus dem Browser importieren. Ja, auch die schlechten – erst danach lässt sich aufräumen.
3. E-Mail-Konto zuerst umstellen. Darüber laufen alle Zurücksetzungen, es ist das wichtigste Konto überhaupt.
4. Danach alles mit Zahlungsdaten oder Adressen, anschließend den Rest.
5. Ab jetzt bei jeder Anmeldung ein neues Passwort erzeugen lassen. Nach einigen Wochen ist der Bestand ohne Kraftakt umgestellt.

Sicherheitshinweis: Legen Sie die Einmalcodes für die Zwei-Faktor-Anmeldung nicht ausschließlich im selben Tresor ab, mit dem Sie sich auch anmelden. Wer den Tresor öffnet, hat sonst beide Faktoren. Für die wichtigsten Konten gehört der zweite Faktor auf ein getrenntes Gerät oder auf einen Sicherheitsschlüssel.

Wenn Sie zusätzlich den Rechner selbst absichern wollen, führen die nächsten Schritte über die Windows-Anmeldung und die Laufwerksverschlüsselung.