Das Problem mit Passwörtern
Wer heute regelmäßig das Internet nutzt, hat durchschnittlich mehr als 50 passwortgeschützte Konten — das ergab eine Umfrage der Verbraucherzentrale NRW unter 1.203 Teilnehmerinnen und Teilnehmern von August bis September 2025. E-Mail, Banking, Streaming, Shopping, soziale Netzwerke, Behördenportale — überall eigene Zugangsdaten.
Das theoretische Sicherheitsideal ist bekannt: Für jeden Dienst ein eigenes, langes, zufälliges Passwort. In der Praxis scheitert das an einer einfachen Grenze: dem menschlichen Gedächtnis.
Das Risiko dahinter ist konkret: Wer dasselbe Passwort für mehrere Dienste nutzt, gibt Angreifern nach einem einzigen erfolgreichen Einbruch Zugang zu allem. Diese Methode heißt Credential StuffingCredential StuffingAngriff, bei dem gestohlene Zugangsdaten (E-Mail + Passwort) automatisiert bei tausenden anderen Diensten ausprobiert werden — weil viele Menschen überall dasselbe Passwort nutzen. und ist laut HPI-Sicherheitsexperte Prof. Christian Dörr einer der häufigsten Angriffswege überhaupt: „Wurde ein Dienst gehackt und die Zugangsdaten sind offen — was milliardenfach passiert — probieren Kriminelle diese erbeuteten Zugangsdaten überall aus."
Das BSI nennt kompromittierte, schwache und wiederverwendete Passwörter als einen der häufigsten Einfallstore bei Cyberangriffen. Das Problem ist nicht Böswilligkeit — es ist schlichter Komfort. Wer sich 50 verschiedene starke Passwörter merken soll, wählt irgendwann doch wieder „123456".
Was ist ein Passwort-Manager?
Ein Passwort-Manager ist ein Programm, das alle deine Zugangsdaten verschlüsselt an einem Ort speichert und verwaltet. Statt 50 verschiedener Passwörter musst du dir nur noch eines merken: das Master-PasswortMaster-PasswortDas einzige Passwort, das du dir merken musst. Es entschlüsselt die gesamte Datenbank. Wenn es verloren geht, sind im schlimmsten Fall alle gespeicherten Zugangsdaten nicht mehr erreichbar..
Der Manager übernimmt dann alles andere: Er generiert für jeden neuen Account ein einzigartiges, zufälliges Passwort — lang, komplex, ohne Muster. Wenn du dich auf einer Website anmeldest, füllt er die Felder automatisch aus.
Speichern: Alle Zugangsdaten (Benutzername, Passwort, Website) landen verschlüsselt in einer Datenbank.
Generieren: Beim Erstellen eines neuen Accounts schlägt der Manager ein sicheres Zufallspasswort vor — du musst es dir nicht selbst ausdenken.
Ausfüllen: Auf bekannten Websites erkennt der Manager die Login-Felder und füllt sie automatisch aus.
Warnen: Viele Manager vergleichen deine Passwörter mit bekannten Datenlecks und warnen dich, wenn eines kompromittiert wurde.
Mehr als Passwörter: Die meisten Manager können auch Kreditkarten, EC-Karten, IBAN, Personalausweis-Nummern, Versicherungsnummern und andere sensible Daten verschlüsselt speichern — und bei Online-Einkäufen automatisch ausfüllen. Alles an einem Ort, mit demselben starken Schutz.
Wie funktioniert er technisch?
Die Technik dahinter ist nicht kompliziert zu verstehen, auch ohne IT-Studium. Das Kernprinzip: Deine Passwörter werden mit einem starken Verschlüsselungsverfahren in unlesbaren Datenmüll verwandelt — und nur mit dem richtigen Master-Passwort wieder lesbar gemacht.
AES-256 — der Industriestandard
Gute Passwort-Manager verschlüsseln die gesamte Datenbank mit AES-256AES-256Advanced Encryption Standard mit 256-Bit-Schlüssel. Gilt als praktisch unknackbar mit heutiger Hardware. Wird auch von Regierungen und Militär für geheime Daten eingesetzt.. Das ist derselbe Standard, den Regierungen und Militärbehörden für ihre geheimen Daten nutzen. Ohne das Master-Passwort ist die verschlüsselte Datenbank wertloser Datenmüll — auch für den Anbieter selbst.
Zero-Knowledge — der Anbieter weiß nichts
Seriöse Passwort-Manager arbeiten nach dem sogenannten Zero-Knowledge-PrinzipZero-KnowledgeDer Anbieter speichert deine Daten, kann sie aber nicht lesen — weil die Verschlüsselung auf deinem Gerät stattfindet, bevor die Daten den Server erreichen. Selbst bei einem Servereinbruch landen nur verschlüsselte Datenpakete beim Angreifer.: Die Verschlüsselung findet auf deinem Gerät statt — bevor irgendwelche Daten den Server erreichen. Der Anbieter sieht nur einen unlesbaren Dateiblock. Das ist aber nicht bei allen Managern so — im Vergleichsartikel schauen wir das konkret nach.
Der Passwortgenerator — echter Zufall statt KI
Passwort-Manager nutzen für die Passwortgenerierung sogenannte CSPRNGCSPRNGCryptographically Secure Pseudo-Random Number Generator — liefert Zufallszahlen, die für Angreifer nicht vorhersagbar sind. Grundlage jedes sicheren Passwortgenerators. — kryptografisch sichere Zufallszahlengeneratoren. Das Ergebnis: Passwörter ohne Muster, ohne Wiederholungen, ohne erkennbare Struktur. Genau das Gegenteil von dem, was KI-Sprachmodelle liefern.
Lokal, Cloud oder Browser — drei Typen
Nicht alle Passwort-Manager funktionieren gleich. Es gibt drei grundlegende Varianten, die sich in Komfort und Sicherheitsprofil unterscheiden:
Das BSI weist ausdrücklich darauf hin, dass Browser komplexe Programme sind, bei denen Passwortverwaltung nicht die oberste Priorität ist. Gespeicherte Passwörter können dadurch leichter von Schadsoftware ausgelesen werden als bei einem dedizierten Passwort-Manager. Wer dennoch den Browser nutzt, sollte unbedingt ein starkes Master-Passwort setzen und den Browser immer aktuell halten.
Mehr als Passwörter — Karten & Dokumente
Ein Passwort-Manager ist kein reines Passwort-Tool. Er ist ein verschlüsselter digitaler Tresor — und in den passt weit mehr als nur Login-Daten. Viele Menschen wissen nicht, dass sie dort auch ihre Kreditkarten, EC-Karten, IBAN oder Ausweisdaten sicher ablegen können.
Kreditkarten & EC-Karten: Kartennummer, Ablaufdatum, CVV, PIN — verschlüsselt gespeichert. Viele Manager füllen die Daten bei Online-Einkäufen automatisch aus.
Banking: IBAN, BIC, Kontonummern — praktisch wenn man sie schnell griffbereit braucht, ohne das Portemonnaie zu zücken.
Ausweisdokumente: Personalausweis- und Reisepassnummern, Ablaufdaten — nützlich für Online-Formulare oder Reisebuchungen.
Versicherungen: Krankenkassen- und Versicherungsnummern, Policennummern — statt im E-Mail-Archiv suchen.
Sonstiges: WLAN-Passwörter, Software-Lizenzen, Steuer-ID, Sicherheitsfragen-Antworten, Mitgliedsnummern.
Der Vorteil gegenüber Zetteln, Fotos im Kameraarchiv oder unverschlüsselten Notizen: Im Passwort-Manager sind diese Daten mit AES-256 geschützt — demselben Standard, den Banken und Behörden nutzen. Wer die Kartendaten im Tresor hat, muss sie nicht mehr abtippen oder fotografieren. Wie das konkret in KeePassXC, Proton Pass und 1Password funktioniert, zeigt Artikel 3.
Häufige Fragen & Missverständnisse
Was das BSI empfiehlt
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt die Nutzung von Passwort-Managern ausdrücklich. Auf seiner Website hält das BSI fest: „Ja, in der Regel lohnt sich der Einsatz eines Passwort-Managers. Es ist in jedem Fall besser, als gängige Passwörter wiederholt zu benutzen."
Im ersten Halbjahr 2025 hat das BSI gemeinsam mit der Verbraucherzentrale NRW und dem FZI Forschungszentrum Informatik zehn Passwort-Manager untersucht. Das Ergebnis ist als gemeinsame Veröffentlichung beim BSI abrufbar. Trotz Mängeln bei einzelnen Anbietern bleibt die Gesamtempfehlung klar: Passwort-Manager nutzen — und dabei auf Sicherheit und Datenschutz achten. Was das konkret bedeutet, zeigt der Vergleichsartikel.
Starkes Master-Passwort: Mindestens 20 Zeichen, am besten eine Passphrase aus mehreren zufälligen Wörtern. Das Master-Passwort ist das einzige, das du dir wirklich merken musst.
Zwei-Faktor-Authentifizierung aktivieren: Zusätzlicher Schutz für das Manager-Konto selbst — falls das Master-Passwort kompromittiert wird.
Regelmäßige Backups: Bei lokalen Managern: Datenbank an mehreren Orten sichern. Bei Cloud-Managern: Notfall-Export der Passwörter aufbewahren.
Manager aktuell halten: Updates schließen Sicherheitslücken. Gilt besonders für Browser-Manager.
Ein Passwort-Manager ist keine Luxuslösung für Technik-Enthusiasten — er ist die einzig realistische Antwort auf das Problem, das wir alle haben: zu viele Konten, zu wenig Gedächtnis. Wer sich 50 starke, einzigartige Passwörter merken kann, braucht ihn nicht. Alle anderen schon.
Die Frage ist nicht ob, sondern welchen. Wer maximale Kontrolle möchte und kein Cloud-Abo will: KeePassXC — kostenlos, quelloffen, lokal, vom BSI/VZ-Test 2025 als einer der datenschutzfreundlichsten ausgewiesen. Wer Sync zwischen Geräten braucht: Bitwarden — Open-Source, kostenlos nutzbar, Zero-Knowledge. Beide kommen ohne monatliche Gebühr aus.
Was wir ausdrücklich abraten: Passwörter per KI generieren lassen — aus den oben genannten technischen Gründen. Und: Passwörter im Browser speichern ohne Master-Passwort — das ist der Komfort, der Sicherheit kostet.