Passwort-Manager – Sichere Alternativen
Am 6. November ging es beim ersten Termin von Digital Dabei in der Stadtbibliothek Lesum um Passwort-Manager. Hier steht das Wichtigste zum Nachlesen, für alle, die dabei waren, und für alle, die keinen Platz mehr bekommen haben. Die Folien und das Handout von dem Vormittag können Sie unten herunterladen.
Wie Betrüger an Passwörter kommen
Meistens auf einem von drei Wegen. Eine Firma wird gehackt, und die gespeicherten Passwörter tauchen später im Internet auf (ein sogenanntes Datenleck). Oder eine gefälschte E-Mail lockt auf eine nachgemachte Internetseite, und man tippt sein Passwort dort selbst ein (Phishing). Oder ein Programm probiert einfach in kurzer Zeit sehr viele einfache Passwörter durch.
Richtig gefährlich wird es, wenn man ein Passwort für mehrere Konten benutzt. Dann reicht ein einziges Datenleck, und die Betrüger kommen auch ins E-Mail-Postfach oder ins Kundenkonto beim Versandhändler.
Was ein gutes Passwort ausmacht
Im Vortrag haben wir per Handzeichen abgestimmt, welches dieser vier Passwörter am sichersten ist: „Schatz1958“, „12345678“, „Bello!Bello!“ oder „Mein Hund Bello frisst gern Käse im Garten“. Richtig ist das letzte. Ein gutes Passwort ist vor allem lang, ein ganzer Satz ist besser als ein kurzes Wort mit Sonderzeichen. Es gilt nur für ein einziges Konto, damit ein gestohlenes Passwort nur eine Tür öffnet. Und es lässt sich nicht erraten, also kein Vorname, kein Geburtsjahr, keine Zahlenreihe.
So ein Passwort für jedes Konto einzeln zu erfinden und sich zu merken, schafft niemand. Dafür gibt es Passwort-Manager.
Was ein Passwort-Manager macht
Man kann ihn sich wie einen Tresor vorstellen, in dem alle Passwörter liegen. Den Schlüssel dazu, das Master-Passwort, merken Sie sich selbst. Alles andere übernimmt das Programm: Es erfindet für jede Seite ein starkes Passwort, speichert alle Zugangsdaten verschlüsselt und trägt sie beim Anmelden ein. Das tut es nur auf der echten Internetseite und nicht auf einer Fälschung, was nebenbei auch vor Phishing schützt. Außerdem warnt es, wenn ein Passwort zu schwach ist oder doppelt benutzt wird.
Ist das sicher? Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt Passwort-Manager. In einer Untersuchung von zehn Programmen, die das BSI mit dem Forschungszentrum Informatik (FZI) im Dezember 2025 veröffentlicht hat, kommt es zu dem Ergebnis, dass der Nutzen deutlich größer ist als die Risiken. Worauf man achten sollte: Der Anbieter sollte Ihre Daten selbst nicht lesen können. Wenn die Daten im Internet gespeichert werden, sollte klar sein, wo und wie sie geschützt sind. Und das Master-Passwort muss stark sein, Updates sollte man zeitnah einspielen.
Welche Programme es gibt
Wir haben im Vortrag vor allem europäische Anbieter vorgestellt. Für sie gilt die europäische Datenschutz-Grundverordnung (DSGVO), die Schweiz hat ein eigenes Datenschutzgesetz. Die Daten liegen entweder nur auf Ihrem Gerät oder auf Servern in Europa. Viele dieser Programme sind außerdem Open Source, das heißt, jeder kann nachprüfen, was sie tun.
| Name | Herkunft | Kosten |
|---|---|---|
| KeePassXC | Gemeinschaftsprojekt (Open Source) | kostenlos, Daten nur auf Ihrem Gerät |
| Proton Pass | Schweiz | kostenlos, Plus ab ca. 3 $ im Monat |
| Bitwarden | Firma in den USA, Server in der EU wählbar | kostenlos, Premium ca. 20 $ im Jahr |
| Padloc | Deutschland | Open Source, Tarife bitte vorab prüfen |
| Bitdefender SecurePass | Rumänien | nur kostenpflichtig |
Stand: November 2026, Preise können sich ändern. Die Schweiz gehört nicht zur EU, ist aber ein europäisches Land. Bei Bitwarden wählen Sie bei der Anmeldung den EU-Server.
Nicht europäisch sind zum Beispiel 1Password (Kanada) sowie LastPass, Keeper, Norton und McAfee (USA). Auch Google, Apple und Microsoft haben eigene Passwort-Speicher im Chrome-Browser, im Apple-Schlüsselbund und im Edge-Browser. Das ist bequem, man bindet sich damit aber an einen großen Konzern. Deshalb standen sie im Vortrag nicht im Mittelpunkt.
Nach meiner Recherche gefällt mir Proton Pass am besten. Der Anbieter sitzt in der Schweiz, die kostenlose Version erlaubt unbegrenzt viele Passwörter und Geräte, das Programm läuft auf Computer und Handy und warnt vor schwachen und doppelten Passwörtern. Für Zusatzfunktionen wie das Teilen von Passwörtern muss man bezahlen, für den Alltag reicht die Gratis-Version. Eine Alternative ist KeePassXC. Dort bleibt alles auf Ihrem eigenen Computer, die Einrichtung braucht aber etwas mehr Technik.
Das ist mein persönlicher Eindruck nach eigener Recherche, keine Empfehlung oder Zusicherung. Angaben ohne Gewähr.
So fangen Sie an
Im Vortrag habe ich die Einrichtung von Proton Pass live gezeigt. Zu Hause sind es diese fünf Schritte:
- Ein kostenloses Konto bei Proton Pass anlegen.
- Ein Master-Passwort als langen Satz ausdenken.
- Die Wiederherstellungsdaten ausdrucken und gut verwahren.
- Die Erweiterung für den Browser oder die App fürs Handy installieren.
- Das erste Passwort speichern und beim nächsten Anmelden automatisch einfügen lassen.
Das Master-Passwort
Das Master-Passwort ist der eine Schlüssel zum Tresor, deshalb lohnt es sich, hier etwas Mühe hineinzustecken. Es sollte mindestens 25 Zeichen lang sein, am besten ohne Umlaute und ß, weil die auf fremden Tastaturen Ärger machen können. Im Vortrag haben wir drei Wege gezeigt:
- Fünf bis sechs zufällige Wörter, die nichts miteinander zu tun haben, zum Beispiel „Tisch Lampe Wolke Kaffee Bremen Fenster“.
- Ein Zitat mit Zahlen und Zeichen mitten im Satz, etwa „Wer-rastet,-der-rostet!-2026-in-Lesum“ oder „Wage es, weise zu sein (Horaz, um 20 v. Chr.) auch mit 70!“.
- Ein schönes Erlebnis mit Datum und Uhrzeit: „Am 14.6.2009 um 17:30 Uhr gab es Eis am Weserdeich!“
Diese Beispiele stehen jetzt im Internet, bitte übernehmen Sie keins davon, sondern denken Sie sich Ihr eigenes aus. Schreiben Sie das Master-Passwort einmal auf ein Blatt Papier und bewahren Sie es zu Hause in einem Umschlag auf, nicht im Portemonnaie und nicht auf dem Handout. Geben Sie es niemals weiter. Niemand darf Sie am Telefon oder per E-Mail nach einem Passwort fragen, auch nicht die Bank und kein angeblicher Mitarbeiter von Microsoft.
Zwei-Faktor: das zweite Schloss
Das Prinzip kennen Sie vom Geldautomaten: Sie brauchen die Karte und die PIN. Bei der Zwei-Faktor-Anmeldung geben Sie erst Ihr Passwort ein, dann kommt ein Code auf Ihr Handy, per SMS oder aus einer App. Erst wenn Sie auch den eingetippt haben, sind Sie angemeldet. Wer nur Ihr Passwort gestohlen hat, kommt damit nicht weiter. Schalten Sie das ein, wo es geht, vor allem beim E-Mail-Konto und beim Online-Banking.
Zum Herunterladen
- Folien vom Vortrag (PDF, 19 Seiten)
- Handout mit den wichtigsten Regeln und den fünf Schritten (PDF, 2 Seiten)
Wer vorher schon gelesen hat, warum Passwörter in unseren Sprechstunden so oft Thema sind, findet das in Ein Passwort für alles? . Weitere Tipps gibt das BSI auf bsi.bund.de . Fragen beantworten wir gern per E-Mail an hallo@dia-bremen.de .
Der nächste Termin von Digital Dabei ist am Freitag, 4. Dezember, von 10:30 bis 12:00 Uhr in der Stadtbibliothek Lesum.
Haben Sie noch Fragen dazu? Kommen Sie einfach zu einer Sprechstunde in Ihrer Nähe.