Passwortmanager richtig einsetzen

Wie ein Passwortmanager funktioniert, welche Bauarten es gibt, worauf bei der Auswahl zu achten ist – mit Vergleichstabelle und Schritt-für-Schritt-Einstieg.

Herausgegeben von Chiron Services GmbHVeröffentlicht: 19. August 2026Fachlich geprüft: 19. August 2026

Warum ein Passwortmanager die Voraussetzung ist

Einzigartige Zufallspasswörter für Dutzende Konten kann sich niemand merken. Ein Passwortmanager löst genau dieses Problem: Er speichert alle Zugangsdaten in einem verschlüsselten Tresor, den ein einziges Master-Passwort öffnet. Dadurch wird die Empfehlung „für jeden Dienst ein eigenes langes Passwort“ überhaupt erst alltagstauglich. Zusätzlich schützt das automatische Ausfüllen vor Phishing: Der Manager trägt Zugangsdaten nur auf der gespeicherten Domain ein, während ein Mensch eine getarnte Adresse leicht übersieht.

Bauarten im Vergleich

Typische Bauarten von Passwortmanagern
Bauart	Speicherort	Stärken	Zu beachten
Lokale Datei	eigenes Gerät	keine Cloud-Abhängigkeit, volle Kontrolle	Synchronisation und Backups müssen selbst organisiert werden
Cloud-Dienst des Anbieters	Server des Anbieters, Ende-zu-Ende-verschlüsselt	Synchronisation über alle Geräte, Freigaben, Wiederherstellung	Vertrauen in Anbieter und dessen Sicherheitsprozesse nötig
Selbst gehostete Synchronisation	eigener Server	Datenhoheit und Synchronisation kombiniert	Betrieb, Updates und Backups liegen bei Ihnen
In Browser oder Betriebssystem integriert	Konto des Plattformanbieters	keine zusätzliche Installation, sehr bequem	Bindung an eine Plattform, Funktionsumfang teils eingeschränkt

Alle vier Bauarten sind einem wiederverwendeten Passwort deutlich überlegen. Die Wahl ist vor allem eine Frage von Bequemlichkeit, Plattformvielfalt und der Frage, wer den Betrieb übernimmt.

Auswahlkriterien

Ende-zu-Ende-Verschlüsselung: Der Anbieter darf den Tresorinhalt technisch nicht lesen können.
Modernes Schlüsselableitungsverfahren für das Master-Passwort (z. B. Argon2 oder PBKDF2 mit hoher Iterationszahl).
Unterstützung eines zweiten Faktors für das Manager-Konto selbst.
Export in ein offenes Format – damit bleiben Sie wechselfähig.
Unabhängige Sicherheitsprüfungen und ein nachvollziehbarer Umgang mit gemeldeten Schwachstellen.
Apps für alle Geräte, die Sie tatsächlich verwenden, inklusive Browser-Integration.
Klare Aussage, welche Metadaten (z. B. Domainnamen, Zeitstempel) beim Anbieter anfallen.

Entscheidungshilfe: welche Bauart passt?

Brauchen Sie Zugriff von mehreren Geräten?
├─ Nein  -> lokale Datei mit verschlüsseltem Backup
└─ Ja    -> Wollen Sie den Betrieb selbst übernehmen?
            ├─ Ja   -> selbst gehostete Synchronisation
            └─ Nein -> Cloud-Dienst mit Ende-zu-Ende-Verschlüsselung
                        └─ Nur eine Plattform im Einsatz?
                           └─ Ja -> integrierte Lösung von Browser/Betriebssystem ist vertretbar

Einrichtung in sechs Schritten

Master-Passwort als zufällige Passphrase mit mindestens sechs Wörtern festlegen und auswendig lernen.
Zweiten Faktor für das Manager-Konto aktivieren und die Wiederherstellungscodes offline aufbewahren.
Bestehende Zugangsdaten importieren – aus dem Browser oder per CSV-Export – und die Importdatei danach sicher löschen.
Konten nach Priorität auf neue Zufallspasswörter umstellen: E-Mail zuerst, dann Banking, Cloud, Shops. Passwörter mit dem Generator erzeugen.
Integrierte Prüfung auf schwache, doppelte und geleakte Passwörter laufen lassen und die Treffer abarbeiten.
Notfallzugriff regeln: verschlüsseltes Backup an einem zweiten Ort, Zugriffsweg für Angehörige dokumentieren.

Das Master-Passwort ist der Einzelpunkt des Versagens

Wer es verliert, verliert in der Regel den gesamten Tresor – seriöse Anbieter können es nicht zurücksetzen. Wer es preisgibt, gibt alle Konten preis. Deshalb: lang, zufällig gezogen, nirgends sonst verwendet, und niemals auf Aufforderung per E-Mail oder Telefon weitergeben.

Was zu tun ist, wenn ein Dienst kompromittiert wurde, steht unter Datenleck – was jetzt zu tun ist.

Quellen

Die Auswahlkriterien für Quellen sind auf der Seite Redaktionelle Richtlinien & Quellen dokumentiert.