Was ist ein
Passwort-Manager?

// 01Das Problem mit Passwörtern

Wer heute regelmäßig das Internet nutzt, hat durchschnittlich mehr als 50 passwortgeschützte Konten, das ergab eine Umfrage der Verbraucherzentrale NRW unter 1.203 Teilnehmerinnen und Teilnehmern von August bis September 2025. E-Mail, Banking, Streaming, Shopping, soziale Netzwerke, Behördenportale: überall eigene Zugangsdaten.

Das theoretische Sicherheitsideal ist bekannt: Für jeden Dienst ein eigenes, langes, zufälliges Passwort. In der Praxis scheitert das an einer einfachen Grenze: dem menschlichen Gedächtnis.

Das Risiko dahinter ist konkret: Wer dasselbe Passwort für mehrere Dienste nutzt, gibt Angreifern nach einem einzigen erfolgreichen Einbruch Zugang zu allem. Diese Methode heißt Credential StuffingCredential StuffingAngriff, bei dem gestohlene Zugangsdaten (E-Mail + Passwort) automatisiert bei tausenden anderen Diensten ausprobiert werden, weil viele Menschen überall dasselbe Passwort nutzen. und ist laut HPI-Sicherheitsexperte Prof. Christian Dörr einer der häufigsten Angriffswege überhaupt: „Wurde ein Dienst gehackt und die Zugangsdaten sind offen — was milliardenfach passiert — probieren Kriminelle diese erbeuteten Zugangsdaten überall aus."

// 02Was ist ein Passwort-Manager?

Ein Passwort-Manager ist ein Programm, das alle deine Zugangsdaten verschlüsselt an einem Ort speichert und verwaltet. Statt 50 verschiedener Passwörter musst du dir nur noch eines merken: das Master-PasswortMaster-PasswortDas einzige Passwort, das du dir merken musst. Es entschlüsselt die gesamte Datenbank. Wenn es verloren geht, sind im schlimmsten Fall alle gespeicherten Zugangsdaten nicht mehr erreichbar..

Der Manager übernimmt dann alles andere: Er generiert für jeden neuen Account ein einzigartiges, zufälliges Passwort: lang, komplex, ohne Muster. Wenn du dich auf einer Website anmeldest, füllt er die Felder automatisch aus.

// 03Wie funktioniert er technisch?

Die Technik dahinter ist nicht kompliziert zu verstehen, auch ohne IT-Studium. Das Kernprinzip: Deine Passwörter werden mit einem starken Verschlüsselungsverfahren in unlesbaren Datenmüll verwandelt und nur mit dem richtigen Master-Passwort wieder lesbar gemacht.

AES-256 — der Industriestandard

Gute Passwort-Manager verschlüsseln die gesamte Datenbank mit AES-256AES-256Advanced Encryption Standard mit 256-Bit-Schlüssel. Gilt als praktisch unknackbar mit heutiger Hardware. Wird auch von Regierungen und Militär für geheime Daten eingesetzt.. Das ist derselbe Standard, den Regierungen und Militärbehörden für ihre geheimen Daten nutzen. Ohne das Master-Passwort ist die verschlüsselte Datenbank wertloser Datenmüll, auch für den Anbieter selbst.

Zero-Knowledge — der Anbieter weiß nichts

Seriöse Passwort-Manager arbeiten nach dem sogenannten Zero-Knowledge-PrinzipZero-KnowledgeDer Anbieter speichert deine Daten, kann sie aber nicht lesen, weil die Verschlüsselung auf deinem Gerät stattfindet, bevor die Daten den Server erreichen. Selbst bei einem Servereinbruch landen nur verschlüsselte Datenpakete beim Angreifer.: Die Verschlüsselung findet auf deinem Gerät statt, bevor irgendwelche Daten den Server erreichen. Der Anbieter sieht nur einen unlesbaren Dateiblock. Das ist aber nicht bei allen Managern so. Im Vergleichsartikel schauen wir das konkret nach.

Der Passwortgenerator — echter Zufall statt KI

Passwort-Manager nutzen für die Passwortgenerierung sogenannte CSPRNGCSPRNGCryptographically Secure Pseudo-Random Number Generator, liefert Zufallszahlen, die für Angreifer nicht vorhersagbar sind. Grundlage jedes sicheren Passwortgenerators., kryptografisch sichere Zufallszahlengeneratoren. Das Ergebnis: Passwörter ohne Muster, ohne Wiederholungen, ohne erkennbare Struktur. Genau das Gegenteil von dem, was KI-Sprachmodelle liefern.

// 04Lokal, Cloud oder Browser — drei Typen

Nicht alle Passwort-Manager funktionieren gleich. Es gibt drei grundlegende Varianten, die sich in Komfort und Sicherheitsprofil unterscheiden:

// 05Mehr als Passwörter — Karten & Dokumente

Ein Passwort-Manager speichert mehr als Passwörter. Er ist ein verschlüsselter digitaler Tresor, und in den passt weit mehr als nur Login-Daten. Viele Menschen wissen nicht, dass sie dort auch ihre Kreditkarten, EC-Karten, IBAN oder Ausweisdaten sicher ablegen können.

Der Vorteil gegenüber Zetteln, Fotos im Kameraarchiv oder unverschlüsselten Notizen: Im Passwort-Manager sind diese Daten mit AES-256 geschützt, demselben Standard, den Banken und Behörden nutzen. Wer die Kartendaten im Tresor hat, muss sie nicht mehr abtippen oder fotografieren. Wie das konkret in KeePassXC, Proton Pass und 1Password funktioniert, zeigt Artikel 3.

// 06Häufige Fragen & Missverständnisse

// 07Was das BSI empfiehlt

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt die Nutzung von Passwort-Managern ausdrücklich. Auf seiner Website hält das BSI fest: „Ja, in der Regel lohnt sich der Einsatz eines Passwort-Managers. Es ist in jedem Fall besser, als gängige Passwörter wiederholt zu benutzen."

Im ersten Halbjahr 2025 hat das BSI gemeinsam mit der Verbraucherzentrale NRW und dem FZI Forschungszentrum Informatik zehn Passwort-Manager untersucht. Das Ergebnis ist als gemeinsame Veröffentlichung beim BSI abrufbar. Trotz Mängeln bei einzelnen Anbietern bleibt die Gesamtempfehlung klar: Passwort-Manager nutzen und dabei auf Sicherheit und Datenschutz achten. Was das konkret bedeutet, zeigt der Vergleichsartikel.