Sie klicken zum dritten Mal in diesem Monat auf „Passwort vergessen?“, und die Website lehnt das neue Passwort ab, weil Sie es schon einmal verwendet haben. Oder Sie nutzen ein einziges Passwort für Ihr E-Mail-Konto, Ihre Bank und einen Onlineshop, aus dem im vergangenen Jahr die Kundenliste durchgesickert ist. Ein Passwortmanager löst beide Probleme: Er bewahrt für jedes Konto ein anderes starkes Passwort auf, sodass Sie sich nur noch merken müssen, wie Sie ihn entsperren.
Dieser Beitrag erklärt, was ein Passwortmanager ist, wie er Passwörter verschlüsselt und ausfüllt, welche drei Arten es gibt und wie sicher sie sind. Außerdem zeigt er, wo Google und Apple die Passwörter aufbewahren, die Ihr Smartphone oder Ihr Browser bereits gespeichert hat. Die integrierten Manager werden genannt, weil Sie wahrscheinlich schon einen haben; eine Rangliste von Apps gibt es hier nicht.
Was ist ein Passwortmanager?
Ein Passwortmanager ist Software, die Ihre Benutzernamen und Passwörter an einem verschlüsselten Ort aufbewahrt, meist Tresor genannt, und sie bei der Anmeldung für Sie eingibt. Sie müssen sich kein einzelnes Passwort mehr merken, deshalb kann jedes lang und zufällig sein und nur für eine einzige Website gelten.
Der Tresor öffnet sich auf eine von zwei Arten. Eine eigenständige App verlangt ein Master-Passwort, ein langes Passwort, das jetzt das einzige ist, das Sie kennen müssen; das britische National Cyber Security Centre (NCSC) nennt es das primäre Passwort. Ein integrierter Manager stützt sich auf Konten, die Sie schon haben: Sie melden sich einmal bei Google oder Apple an, und von da an entsperren die Displaysperre, der Fingerabdruck oder das Gesicht die Passwörter.
Der Sinn ist, die Wiederverwendung von Passwörtern zu beenden. Schützt ein Passwort mehrere Konten, legt ein Datenleck auf einer dieser Websites alle offen, weil Angreifer erbeutete Paare aus E-Mail-Adresse und Passwort automatisch an anderen Anmeldeseiten ausprobieren. Was ist Credential Stuffing? beschreibt, wie diese Angriffe ablaufen.
Wie funktioniert ein Passwortmanager?
Ein Passwortmanager arbeitet in sechs Schritten, vom Entsperren des Tresors bis zur Prüfung seines Inhalts:
- Sie entsperren ihn. Mit dem Master-Passwort oder mit der Displaysperre, dem Fingerabdruck oder dem Gesicht eines Geräts, das bei Ihrem Konto angemeldet ist.
- Er hält den Tresor verschlüsselt. Verschlüsselung macht die Daten mit einem Schlüssel unkenntlich, und ohne diesen Schlüssel ist die gespeicherte Kopie unlesbar. Wer den Schlüssel hält, entscheidet darüber, wie privat der Tresor ist.
- Er synchronisiert. Eine verschlüsselte Kopie geht auf die Server des Anbieters, sodass dieselben Passwörter auf Ihrem Smartphone und Ihrem Computer erscheinen, wenn beide mit demselben Konto angemeldet sind.
- Er erstellt Passwörter. In einem Registrierungsformular bietet er ein langes Zufallspasswort an und speichert es sofort; Chrome nennt die Option am Computer Starkes Passwort verwenden und unter Android Starkes Passwort vorschlagen.
- Er füllt sie nur auf der richtigen Website aus. Jedes Passwort ist an die Webadresse gebunden, auf der es gespeichert wurde. Eine Kopie der Anmeldeseite Ihrer Bank unter einer ähnlich aussehenden Adresse bekommt kein Angebot zum Ausfüllen; deshalb führt das NCSC das automatische Ausfüllen als Schutz vor Phishing auf.
- Er prüft sie. Er vergleicht Ihre gespeicherten Passwörter mit Passwörtern, die aus bekannten Datenlecks veröffentlicht wurden, und markiert schwache und mehrfach verwendete.
Wenn Sie ein gespeichertes Passwort im Manager bearbeiten, ändert sich das Passwort auf der Website nicht: Sie ändern es auf der Website und lassen den Manager das neue speichern.
Welche Arten von Passwortmanagern gibt es?
Es gibt drei Arten, und der Unterschied liegt vor allem darin, auf welche Geräte und in welche Browser sie Ihnen folgen:
| Art | Beispiele | Passt zu | Darauf achten |
|---|---|---|---|
| Im Browser integriert | Google Passwortmanager in Chrome, Microsoft Kennwort-Manager in Edge | Ein Browser auf allen Geräten | An das Konto dieses Browsers gebunden |
| Im System integriert | Passwörter-App von Apple, Google Passwortmanager unter Android | Geräte einer Plattform | Zusätzliche Schritte auf Geräten anderer Marken |
| Eigenständige App | Apps von Drittanbietern für jedes System | Gemischte Geräte, Teilen mit Familie oder Team | Ein eigenes Master-Passwort, das Schutz braucht |
Das NCSC sagt, dass es auf Ihren eigenen Geräten sicher und am einfachsten ist, Passwörter vom Browser oder vom Gerät speichern zu lassen. Manager von Drittanbietern helfen, wenn Sie Browser und Geräte mischen, weil der eigene Manager eines Browsers Ihnen dorthin womöglich nicht folgt.
Die integrierten reichen weiter, als ihre Namen vermuten lassen: Die Passwörter bei Google öffnen sich in jedem Browser unter passwords.google.com, und Apple bietet für Windows-PCs die App iCloud-Passwörter an. Prüfen Sie vor der Wahl einer eigenständigen App in ihrer Dokumentation, wer den Schlüssel hält, ob sie Zwei-Faktor-Authentifizierung unterstützt und ob Sie Ihre Daten exportieren können, wenn Sie wechseln.
Ist ein Passwortmanager sicher?
Für die meisten Menschen ja: Ein Passwortmanager ist weit sicherer, als Passwörter mehrfach zu verwenden oder sie in einer Notiz-App aufzubewahren, aber er legt alles hinter eine einzige Tür, und diese Tür muss stark sein.
Der Tresor ist nur so stark wie das, was ihn entsperrt. Machen Sie das Master-Passwort lang, neu und nirgendwo sonst verwendet; ein paar zufällige Wörter funktionieren gut. Aktivieren Sie die Zwei-Faktor-Authentifizierung, also eine zweite Prüfung wie einen Code oder eine Bestätigung auf Ihrem Smartphone, für das Konto hinter dem Tresor: Ihr Google-Konto, Ihren Apple Account oder das eigene Konto der App. Dann kommt, wie das NCSC es formuliert, selbst ein Krimineller, der das primäre Passwort kennt, nicht hinein.
Es kommt darauf an, wer den Schlüssel hält. Apple gibt an, dass Passwörter im iCloud-Schlüsselbund auch beim standardmäßigen Datenschutz Ende-zu-Ende-verschlüsselt sind: Apple hat die Schlüssel nicht und kann Ihnen nicht bei der Wiederherstellung helfen, wenn Sie den Zugriff auf Ihren Account verlieren.
Der Google Passwortmanager verschlüsselt Passwörter bei der Übertragung und auf seinen Servern, standardmäßig liegt der Schlüssel aber in Ihrem Google-Konto, und so kann Google die Passwörter für passwords.google.com und den Passwortcheck öffnen. Die optionale On-Device-Verschlüsselung lässt den Schlüssel stattdessen bei Ihnen; Google warnt, dass sie sich nach der Einrichtung nicht mehr entfernen lässt und dass der Verlust des Schlüssels den Verlust der Passwörter bedeuten kann. Viele eigenständige Apps geben an, dass sie den Tresor mit einem aus Ihrem Master-Passwort abgeleiteten Schlüssel verschlüsseln, sodass das Unternehmen ihn nicht lesen kann.
Ein Einbruch beim Anbieter ist nicht das Ende des Tresors. Wird in die Server des Unternehmens eingebrochen, erbeutet der Angreifer verschlüsselte Tresore. Ein langes Master-Passwort hält sie verschlossen; ein kurzes lässt sich auf den eigenen Computern des Angreifers erraten, wo keine Begrenzung der Anmeldeversuche das Raten bremst. Meldet Ihr Anbieter eine Datenpanne, ändern Sie zuerst das Master-Passwort und dann Ihre wichtigsten Passwörter.
Ein infiziertes Gerät schlägt jeden Tresor. Malware auf einem entsperrten Computer oder Smartphone kann lesen, was Sie tippen und was der Manager ausfüllt. Das NCSC weist darauf hin, dass im Browser gespeicherte Passwörter nur so sicher sind wie Ihre Geräte und Konten; lassen Sie automatische Updates deshalb eingeschaltet und speichern Sie nie Passwörter auf einem geteilten oder öffentlichen Computer.
Wo sind meine gespeicherten Passwörter? Google und Apple
Passwörter, die Chrome oder ein Android-Smartphone gespeichert hat, liegen im Google Passwortmanager, und Passwörter, die auf einem iPhone, iPad oder Mac gespeichert wurden, in der Passwörter-App von Apple; die folgenden Wege öffnen jeden davon.
Chrome am Computer
Öffnen Sie Chrome und wählen Sie rechts oben das Dreipunkt-Menü > Passwörter und Autofill > Google Passwortmanager. Wählen Sie unter Passwörter eine Website und dann das Augensymbol Passwort anzeigen, um es zu sehen. Passwörter, die Sie gespeichert haben, während Sie nicht in Chrome angemeldet waren, bleiben nur auf diesem Computer; die Chrome-Hilfe von Google erklärt den Unterschied.
Android-Smartphone
Tippen Sie in Chrome auf das Dreipunkt-Menü > Einstellungen > Autofill und Passwörter > Google Passwortmanager. Ohne Chrome öffnen Sie die App Einstellungen und suchen nach Passwortmanager. Die App Google Passwortmanager ist, falls Sie sie installiert haben, nur eine Verknüpfung zur selben Liste in Ihrem Google-Konto.
Jeder Browser: passwords.google.com
Rufen Sie passwords.google.com auf und melden Sie sich mit Ihrem Google-Konto an. Sie sehen die Passwörter und Passkeys, die in diesem Konto gespeichert sind, in jedem Browser, auch in Safari auf einem iPhone.
iPhone und iPad
Öffnen Sie ab iOS 18 die App Passwörter, entsperren Sie sie mit Face ID, Touch ID oder Ihrem Code, wählen Sie Alle und tippen Sie auf die Website oder App. Unter iOS 17 oder älter gehen Sie zu Einstellungen > Passwörter. Fehlt ein Eintrag, empfiehlt die Anleitung von Apple, unter Gelöscht nachzusehen und zu prüfen, ob der iCloud-Schlüsselbund aktiviert ist.
Mac
Öffnen Sie unter macOS Sequoia die App Passwörter und melden Sie sich mit Touch ID oder dem Passwort Ihres Benutzeraccounts an. Unter macOS Sonoma oder älter wählen Sie das Apple-Menü > Systemeinstellungen > Passwörter oder in Safari Einstellungen > Passwörter.
Microsoft Edge
Wählen Sie die drei Punkte > Einstellungen > Kennwörter und automatisches Ausfüllen > Microsoft Kennwort-Manager, dann den Pfeil neben einem Passwort und das Augensymbol. Das funktioniert mit dem Profil eines persönlichen Microsoft-Kontos, und Windows fragt eventuell zuerst nach der PIN oder dem Kennwort Ihres Geräts.
Welche Rolle spielen Passkeys?
Passkeys liegen im selben Passwortmanager wie Ihre Passwörter. Ein Passkey ist ein Anmeldeschlüssel, der das Passwort ersetzt: Ihr Gerät behält die geheime Hälfte und bietet sie nur der Website an, für die er erstellt wurde, es gibt also nichts, was sich in eine gefälschte Seite eintippen ließe. Der Google Passwortmanager, die Passwörter-App von Apple und der Microsoft Kennwort-Manager speichern alle Passkeys und synchronisieren sie zwischen Ihren Geräten.
Das NCSC empfiehlt inzwischen einen Passkey als erste Wahl, wo immer eine Website ihn anbietet, und überall sonst ein starkes, einzigartiges Passwort mit Zwei-Faktor-Authentifizierung. Was ist Phishing? erklärt, warum sich ein Passkey nicht an eine kopierte Anmeldeseite übergeben lässt.
Wie funktionieren Passwortprüfungen und Warnungen vor Datenpannen?
Eine Passwortprüfung vergleicht Ihre gespeicherten Passwörter mit Passwörtern, die aus bekannten Datenlecks veröffentlicht wurden, und markiert schwache und mehrfach verwendete; danach ändern Sie jedes markierte Passwort auf der jeweiligen Website.
- Chrome: Dreipunkt-Menü > Passwörter und Autofill > Google Passwortmanager > Passwortcheck. Chrome kann Sie auch beim Surfen warnen; die Einstellung heißt Warnen, wenn ein Passwort durch eine Datenpanne gehackt wurde und liegt unter Einstellungen > Datenschutz und Sicherheit > Sicherheit > Standardschutz.
- Jeder Browser: passwords.google.com > Zum Passwortcheck > Passwörter prüfen.
- iPhone: der Bereich Sicherheit der Passwörter-App. Warnungen vor geleakten Passwörtern schalten Sie unter Einstellungen > Apps > Passwörter > Kompromittierte Passwörter erkennen ein.
Ändern Sie ein markiertes Passwort zuerst auf der echten Website, dann überall, wo Sie es wiederverwendet haben. Nennt die Warnung einen Dienst, bei dem Ihre Daten abgeflossen sind, behandelt Was ist eine Datenpanne? die weiteren Schritte, von Kontoauszügen bis zu Phishing-Nachrichten, die danach folgen.
Wohin gehören Proxy- und API-Passwörter?
Auch berufliche Zugangsdaten gehören in den Tresor, und gerade sie liegen am häufigsten offen herum. Benutzername und Passwort eines Proxys landen in einer gemeinsamen Tabelle, einer Chatnachricht oder im Quellcode eines Skripts, wo jeder, der die Datei öffnen kann, sie kopieren kann. Bewahren Sie sie im Passwortmanager Ihres Teams auf und lassen Sie Skripte sie aus einer Umgebungsvariable lesen, einer Einstellung, die außerhalb des Codes liegt. Wo ein Werkzeug überhaupt kein Passwort speichern kann, macht die Authentifizierung per IP-Whitelist eines überflüssig: Jedes Proxynet-Produkt, auch der ISP-Proxy, akzeptiert entweder username:password oder eine Whitelist mit bis zu 10 IP-Adressen.
Wo Ihnen Passwortmanager begegnen
In der Abfrage „Passwort speichern?“, die Ihr Browser nach der Anmeldung zeigt. In der Vorschlagsleiste über der Tastatur Ihres Smartphones auf einem Anmeldebildschirm. In einem Registrierungsformular, als Angebot, ein starkes Passwort zu verwenden. In einer Warnung, dass ein gespeichertes Passwort in einem Datenleck aufgetaucht ist. Am Arbeitsplatz in einem Firmentresor, den die IT verwaltet. Zu Hause, wenn Sie eine gemeinsame Anmeldung, etwa für die Website des Energieversorgers, über die Familiengruppe von Google oder die geteilten Gruppen von Apple mit der Familie teilen.
Häufige Fehler
- Ein altes Passwort als Master-Passwort wiederverwenden. Wurde es einmal geleakt, öffnet es jetzt alles.
- Keine Zwei-Faktor-Authentifizierung für das Konto hinter dem Tresor. Bei integrierten Managern ist das Ihr Google-Konto oder Ihr Apple Account.
- Passwörter auf einem geteilten oder öffentlichen Computer speichern. Die nächste Person, die sich davorsetzt, erbt sie.
- Eine exportierte Passwortdatei auf dem Datenträger liegen lassen. Die Importhilfe von Google warnt, dass jeder, der das Gerät nutzt, diese Datei öffnen und die Passwörter lesen kann; löschen Sie sie, sobald der Import abgeschlossen ist.
- Warnungen der Passwortprüfung ignorieren. Ein als geleakt markiertes Passwort steht bereits auf Listen, die Angreifer verwenden.
- Ein Passwort von Hand eintippen, wenn der Manager es nicht anbietet. Auf einer Seite, die Sie zu kennen glaubten, ist dieses Schweigen ein Warnzeichen: Prüfen Sie die Adresse, bevor Sie tippen.
- Wiederherstellungscodes nur im Tresor aufbewahren. Verlieren Sie den Zugang zum Tresor, verlieren Sie die Codes mit.
Entscheidungshilfe
| Ihre Situation | Was Sie tun sollten |
|---|---|
| Sie nutzen Chrome auf jedem Gerät | Google Passwortmanager, mit 2-Faktor-Authentifizierung im Google-Konto |
| Sie nutzen nur Apple-Geräte | Die Passwörter-App mit aktiviertem iCloud-Schlüsselbund |
| Sie mischen Windows-, Android- und Apple-Geräte | Google Passwortmanager oder eine eigenständige App |
| Sie teilen Anmeldungen mit der Familie | Familiengruppe von Google oder geteilte Gruppen von Apple |
| Nur Sie sollen den Schlüssel halten | iCloud-Schlüsselbund, On-Device-Verschlüsselung von Google oder eine eigenständige App |
| Ein Team teilt Proxy- oder API-Zugänge | Ein gemeinsamer Arbeitstresor; IP-Whitelist für Werkzeuge, die kein Passwort speichern können |
Häufige Fragen
Was passiert, wenn ich mein Master-Passwort vergesse?
Das hängt davon ab, wer den Schlüssel hält. Wo nur Sie ihn haben, wie beim iCloud-Schlüsselbund oder bei der On-Device-Verschlüsselung von Google, kann das Unternehmen den Tresor nicht für Sie zurücksetzen; richten Sie Wiederherstellungsoptionen also ein, bevor Sie sie brauchen: Bei Apple stellen Sie den Zugriff mit dem Gerätecode, einem Wiederherstellungskontakt oder einem Wiederherstellungsschlüssel wieder her. Bei integrierten Managern ohne diese zusätzliche Schicht bringt die Wiederherstellung Ihres Google-Kontos die Passwörter zurück, und laut NCSC bieten viele eigenständige Apps Passwort-Hinweise oder einen Notfallzugang über eine Vertrauensperson an.
Reicht der Passwortmanager des Browsers aus?
Für viele Menschen ja, solange er auf Ihren eigenen Geräten läuft und das Konto dahinter mit Zwei-Faktor-Authentifizierung geschützt ist. Eine eigenständige App lohnt sich, wenn Sie oft zwischen Browsern und Systemen wechseln oder Passwörter mit einem Team teilen müssen.
Kann ein Passwortmanager gehackt werden?
Wie jede Software kann er angegriffen werden, aber wer die Server des Anbieters erreicht, erbeutet verschlüsselte Tresore, die ein langes Master-Passwort verschlossen hält. Das größere Risiko ist Ihr eigenes Gerät, auf dem Malware Passwörter beim Ausfüllen mitlesen kann; halten Sie es also aktuell und reagieren Sie auf Meldungen über Datenpannen.
Was ist die PIN für den Google Passwortmanager?
Es ist eine PIN, die der Google Passwortmanager erstellt, wenn Sie zum ersten Mal einen Passkey auf einem Computer, iPhone oder iPad anlegen. Sie geben sie ein, um Ihre Passkeys auf einem neuen Gerät zu verwenden, und laut Google sorgt sie dafür, dass niemand, auch nicht Google, auf Ihre verschlüsselten Daten zugreifen kann. Zum Ändern oder Zurücksetzen gehen Sie in Chrome zu Google Passwortmanager > Einstellungen > PIN für Google Passwortmanager ändern.
Ist ein Passwortmanager besser, als Passwörter aufzuschreiben?
Meistens. Das NCSC akzeptiert ein Notizbuch in manchen Fällen, etwa wenn ein Angehöriger Ihnen bei der Verwaltung Ihrer Konten hilft, solange die Passwörter stark sind und das Notizbuch an einem Ort liegt, den nur vertrauenswürdige Personen erreichen. Ein Notizbuch kann vor dem Tippen keine Adresse prüfen, nicht vor geleakten Passwörtern warnen und kein Passwort mit 20 Zeichen ohne Tippfehler ausfüllen.
Brauche ich noch einen Passwortmanager, wenn ich Passkeys nutze?
Ja. Passkeys werden in einem Passwortmanager gespeichert, und viele Websites verlangen weiterhin ein Passwort oder behalten eines als Ausweichlösung neben dem Passkey. Der Manager hält beides an einem Ort und synchronisiert es mit Ihren anderen Geräten.
Fazit
Ein Passwortmanager bewahrt für jedes Konto ein starkes, eigenes Passwort in einem verschlüsselten Tresor auf und füllt es nur auf der Website aus, zu der es gehört. Er ist sicher, wenn die Tür zu ihm stark ist: ein langes Master-Passwort oder ein gut geschütztes Google-Konto oder Apple Account, Zwei-Faktor-Authentifizierung und ein aktuelles Gerät. Wahrscheinlich haben Sie schon einen: den Google Passwortmanager in Chrome, unter Android und unter passwords.google.com oder die Passwörter-App auf einem iPhone oder Mac. Starten Sie heute seine Passwortprüfung und ersetzen Sie die Passwörter, die sie markiert. Betreut Ihr Team auch Proxy-Zugänge, vergleicht unsere Seite Proxy-Dienste die Produkte, für die diese Zugänge gedacht sind.
