Passwortmanager richtig auswählen: 9 Kriterien für mehr Sicherheit
Für jedes Onlinekonto ein eigenes, starkes Passwort zu verwenden, ist sinnvoll – im Alltag aber kaum komfortabel, wenn man sich alle Zugangsdaten selbst merken muss. Ein Passwortmanager nimmt dir diese Arbeit ab: Er speichert Zugangsdaten in einem geschützten Tresor und kann für neue Konten lange, einzigartige Passwörter erzeugen. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt Passwortmanager ausdrücklich als Hilfe für die sichere Passwortverwaltung.
Bei der Auswahl zählt allerdings mehr als eine hübsche Oberfläche. Entscheidend sind unter anderem die Absicherung des Tresors, Zwei-Faktor-Authentisierung, Wiederherstellungs- und Backup-Möglichkeiten, die Unterstützung deiner Geräte sowie ein nachvollziehbarer Umgang mit Daten. Dieser Ratgeber zeigt neun Kriterien, mit denen du verschiedene Lösungen strukturiert prüfen kannst – ohne dich auf Werbeversprechen zu verlassen.
Warum ein Passwortmanager überhaupt sinnvoll ist
Viele Sicherheitsprobleme entstehen nicht deshalb, weil Menschen gar keine Passwörter verwenden, sondern weil dieselben oder sehr ähnliche Passwörter für mehrere Konten genutzt werden. Wird eines davon bekannt, können Angreifer versuchen, dieselben Zugangsdaten auch bei anderen Diensten einzusetzen. Ein Passwortmanager erleichtert es, für jeden Dienst ein eigenes Passwort zu verwenden.
Das BSI beschreibt Passwortmanager als Programme, die Benutzernamen und Passwörter verwalten und die gespeicherten Zugangsdaten verschlüsselt schützen. Auch das US-amerikanische NIST unterstützt die Nutzung von Passwortmanagern und weist darauf hin, dass sie die Verwendung stärkerer und einzigartiger Passwörter erleichtern können.
Wichtig ist trotzdem: Ein Passwortmanager ist kein Ersatz für weitere Schutzmaßnahmen. Besonders wichtige Konten sollten zusätzlich mit einer Zwei-Faktor- oder Mehrfaktor-Authentisierung abgesichert werden.
1. Die Absicherung des Passwort-Tresors prüfen
Im Passwort-Tresor liegen besonders sensible Informationen. Deshalb sollte ein Anbieter verständlich erklären, wie die gespeicherten Daten geschützt werden. Achte darauf, ob die Zugangsdaten verschlüsselt gespeichert werden und wie die Entschlüsselung auf deinen Geräten funktioniert.
- Der Anbieter erklärt sein Sicherheitskonzept nachvollziehbar.
- Der Tresor wird verschlüsselt gespeichert und übertragen.
- Sicherheitsrelevante technische Informationen sind öffentlich dokumentiert.
- Es gibt einen klaren Prozess für Sicherheitslücken und Updates.
Eine einzelne technische Kennzahl reicht für die Bewertung nicht aus. Entscheidend ist das Zusammenspiel aus Verschlüsselung, Schlüsselverwaltung, Softwarequalität, Update-Prozess und sicherer Anmeldung.
2. Das Master-Passwort besonders ernst nehmen
Das Master-Passwort schützt den Zugang zu deinem Passwort-Tresor und sollte deshalb einzigartig und nicht bereits für einen anderen Dienst verwendet werden. Ein Passwortmanager reduziert zwar die Zahl der Passwörter, die du dir merken musst, macht dieses eine zentrale Passwort aber besonders wichtig. Nutze eine lange, gut merkbare Passphrase oder eine andere vom Anbieter unterstützte sichere Anmeldemethode. Das NIST empfiehlt lange Passwörter und nennt Passwortmanager ausdrücklich als sinnvolle Hilfe beim Umgang mit Zugangsdaten.
3. Zwei-Faktor-Authentisierung sollte verfügbar sein
Ein gutes Master-Passwort schützt den Tresor, doch ein zusätzlicher Faktor kann das Risiko weiter reduzieren. Das BSI empfiehlt für besonders schützenswerte Inhalte ergänzend einen zweiten Faktor und weist darauf hin, dass sich die Sicherheit je nach eingesetztem Verfahren unterscheidet.
Prüfe deshalb, welche Verfahren dein Passwortmanager für das eigene Konto unterstützt. Häufig kommen zeitbasierte Einmalcodes, Sicherheitsschlüssel oder andere starke Anmeldeverfahren infrage. Entscheidend ist nicht nur, dass irgendwo „2FA“ steht, sondern welche Optionen tatsächlich verfügbar sind und ob sie zu deinen Geräten passen.
4. Geräte, Browser und Betriebssysteme abgleichen
Ein Passwortmanager bringt nur dann echten Komfort, wenn er dort funktioniert, wo du dich regelmäßig anmeldest. Prüfe deshalb vor dem Wechsel, welche Betriebssysteme, Browser und mobilen Geräte unterstützt werden.
- Desktop: zum Beispiel Windows, macOS oder Linux
- Mobil: Android und iOS beziehungsweise iPadOS
- Browser: Erweiterungen für deine tatsächlich verwendeten Browser
- Synchronisierung: Zugriff auf denselben Tresor auf mehreren Geräten
- Autofill: zuverlässiges Ausfüllen von Anmeldedaten in Websites und Apps
Wer mehrere Geräte nutzt, sollte zusätzlich prüfen, ob Synchronisierung zum gewünschten Tarif gehört oder nur eingeschränkt angeboten wird.
5. Import und Export nicht unterschätzen
Beim Einstieg möchtest du vorhandene Zugangsdaten möglichst ohne aufwendige Handarbeit übernehmen. Genauso wichtig ist der umgekehrte Weg: Du solltest deine Daten wieder exportieren können, wenn du später zu einer anderen Lösung wechseln möchtest.
Prüfe daher, aus welchen Browsern und Passwortmanagern ein Import möglich ist und in welchem Format ein Export bereitgestellt wird. Achte beim Export besonders darauf, wie die Datei geschützt ist. Unverschlüsselte Exportdateien können sämtliche Zugangsdaten im Klartext enthalten und sollten nur kurzzeitig, kontrolliert und sicher verarbeitet werden.
6. Backup und Kontowiederherstellung vorher verstehen
Ein vergessenes Master-Passwort oder ein verlorenes Gerät kann zum ernsten Problem werden. Deshalb solltest du vor der Entscheidung verstehen, welche Wiederherstellungsoptionen angeboten werden und welche Sicherheitsfolgen sie haben.
Das BSI empfiehlt unter anderem, sich mit Backup-Möglichkeiten für verschlüsselte Passwortbestände zu beschäftigen. Manche Lösungen setzen bewusst auf sehr eingeschränkte Wiederherstellung, damit auch der Anbieter den Tresor nicht einfach entsperren kann. Das kann sicherheitstechnisch sinnvoll sein, verlangt aber eine gute eigene Vorsorge.
Notiere Wiederherstellungscodes oder andere Notfallinformationen an einem sicheren Ort, sofern der gewählte Dienst solche Verfahren vorsieht. Verlasse dich nicht darauf, dass sich jeder Verlust später durch den Support beheben lässt.
7. Datenschutz und Datensparsamkeit vergleichen
Passwortmanager verarbeiten besonders sensible Nutzungsdaten. Deshalb lohnt sich ein Blick über die reine Verschlüsselung hinaus. Prüfe, welche personenbezogenen Daten für Konto, Abrechnung, Telemetrie oder Marketing verarbeitet werden und welche Einstellungen du selbst beeinflussen kannst.
Eine gemeinsame Untersuchung des BSI und der Verbraucherzentrale NRW aus dem Jahr 2025 hat bei untersuchten Passwortmanagern Unterschiede bei IT-Sicherheit und Datenschutz festgestellt und Verbesserungsbedarf aufgezeigt. Das zeigt, warum ein bekannter Produktname allein kein ausreichendes Qualitätsmerkmal ist.
Achte auf verständliche Datenschutzhinweise, möglichst sparsame Datenerhebung und transparente Angaben dazu, welche Daten der Anbieter überhaupt sehen kann.
8. Sicherheitsupdates und Anbieterpflege bewerten
Sicherheitssoftware muss dauerhaft gepflegt werden. Prüfe deshalb, ob Apps und Browser-Erweiterungen regelmäßig aktualisiert werden und ob der Anbieter Sicherheitsmeldungen transparent behandelt.
Ein Passwortmanager, der lange keine Updates erhält oder dessen Browser-Erweiterung nicht mehr zuverlässig unterstützt wird, kann unabhängig von früheren Bewertungen an Attraktivität verlieren. Für die Auswahl ist daher nicht nur der heutige Funktionsumfang wichtig, sondern auch die erkennbare laufende Pflege.
9. Komfortfunktionen erst nach der Sicherheit bewerten
Passwortgenerator, Autofill, Teilen von Zugangsdaten, Passkey-Unterstützung oder Familien- und Teamfunktionen können im Alltag sehr nützlich sein. Sie sollten aber nicht die grundlegenden Sicherheits- und Datenschutzkriterien überdecken.
Überlege zuerst, welche Funktionen du wirklich brauchst. Eine Einzelperson benötigt möglicherweise nur einen zuverlässigen Tresor auf wenigen Geräten. In einem kleinen Team können dagegen getrennte private und gemeinsame Bereiche, Rollen, Freigaben und ein kontrollierter Entzug von Zugriffsrechten wichtig werden.
Je klarer dein Nutzungsszenario ist, desto leichter lässt sich vermeiden, für viele Funktionen zu zahlen, die du später gar nicht verwendest.
Browser-Passwortmanager oder eigenständige App?
Browser und Betriebssysteme bringen heute häufig eigene Passwortverwaltungen mit. Für Nutzer, die überwiegend in einem einzigen Ökosystem arbeiten, kann das sehr bequem sein. Eigenständige Passwortmanager sind dagegen häufig stärker darauf ausgelegt, mehrere Browser, Betriebssysteme oder Teams unter einer Oberfläche zu verbinden.
Es gibt deshalb keine pauschal richtige Wahl. Entscheidend sind dein Geräte-Mix, gewünschte Funktionen, Wiederherstellungsoptionen, Sicherheitsmodell und Datenschutz. Die BSI-Untersuchung von 2025 bezog sowohl browserintegrierte als auch eigenständige Lösungen ein – ein Hinweis darauf, dass beide Ansätze anhand derselben grundlegenden Qualitätskriterien geprüft werden sollten.
So gehst du beim Wechsel praktisch vor
Ein sauberer Wechsel muss nicht an einem Tag abgeschlossen sein. Sinnvoll ist ein kontrolliertes Vorgehen, bei dem du zunächst den neuen Passwortmanager einrichtest und absicherst, bevor du alte Zugangsdaten entfernst.
- Neuen Passwortmanager installieren und Konto absichern.
- Ein einzigartiges Master-Passwort festlegen und 2FA aktivieren.
- Vorhandene Zugangsdaten kontrolliert importieren.
- Wichtige Konten prüfen und doppelte Passwörter nach und nach ersetzen.
- Wiederherstellungsoptionen und Notfallinformationen sicher hinterlegen.
- Alte Exportdateien nach erfolgreichem Umzug sicher löschen.
Du musst nicht sofort jedes Passwort ändern. Priorisiere besonders wichtige Konten wie E-Mail, Banking, Cloud-Speicher und zentrale Arbeitskonten und arbeite dich anschließend durch die übrigen Zugänge.
Die passende Lösung hängt von deinem Alltag ab
Ein guter Passwortmanager soll dir ermöglichen, für verschiedene Dienste einzigartige Zugangsdaten zu verwenden, ohne dass Sicherheit im Alltag unpraktisch wird. Bei der Auswahl sollten Verschlüsselung, sichere Anmeldung, 2FA, Geräte-Unterstützung, Import und Export, Wiederherstellung, Datenschutz und laufende Pflege Vorrang vor Komfortextras haben. Prüfe außerdem regelmäßig, ob dein gewählter Dienst noch zu deinen Geräten und Anforderungen passt. Sicherheitssoftware ist keine einmalige Kaufentscheidung, sondern Teil deiner laufenden digitalen Grundausstattung.
Häufige Fragen
Ist ein Passwortmanager wirklich sicherer als Passwörter im Kopf zu behalten?
Ein Passwortmanager erleichtert es, für jeden Dienst ein eigenes, starkes Passwort zu verwenden. Das BSI und das NIST empfehlen Passwortmanager als sinnvolle Hilfe. Entscheidend bleibt, den Tresor selbst gut abzusichern und wichtige Konten zusätzlich mit einem zweiten Faktor zu schützen.
Was passiert, wenn ich mein Master-Passwort vergesse?
Das hängt vom Sicherheitsmodell des Anbieters ab. Manche Dienste bieten Wiederherstellungsverfahren oder Notfallcodes, bei anderen kann ein vergessenes Master-Passwort dazu führen, dass der Tresor nicht mehr entschlüsselt werden kann. Die Wiederherstellung solltest du deshalb vor der Nutzung prüfen.
Sollte ich für meinen Passwortmanager 2FA aktivieren?
Ja, wenn der Dienst eine geeignete Zwei-Faktor-Authentisierung anbietet, ist sie eine sinnvolle zusätzliche Schutzschicht. Das BSI empfiehlt für besonders schützenswerte Inhalte ergänzenden Schutz durch einen zweiten Faktor.
Sind kostenlose Passwortmanager automatisch schlechter?
Nein. Der Preis allein sagt wenig über Sicherheit oder Eignung aus. Prüfe stattdessen Sicherheitsmodell, Datenschutz, Geräte-Unterstützung, Update-Pflege, Wiederherstellung sowie die konkreten Einschränkungen des kostenlosen Tarifs.
Kann ich von einem Passwortmanager zu einem anderen wechseln?
Bei vielen Lösungen ist ein Wechsel über Import- und Exportfunktionen möglich. Vorher solltest du prüfen, welche Formate unterstützt werden. Exportdateien können sensible Daten unverschlüsselt enthalten und sollten deshalb besonders vorsichtig behandelt und anschließend sicher gelöscht werden.
Brauche ich trotz Passwortmanager noch Passkeys?
Passkeys und Passwortmanager schließen sich nicht gegenseitig aus. Viele Konten werden weiterhin mit Passwörtern genutzt, während Passkeys bei unterstützten Diensten eine zusätzliche oder alternative Anmeldemethode sein können. Entscheidend ist, welche Verfahren deine Konten und Geräte tatsächlich unterstützen.
