Erklärer · Sicherheits-Grundlagen
Sind Passwort-Manager sicher?
Das ist die richtige Frage, bevor du einem einzigen Tool die Schlüssel zu deinem ganzen Online-Leben anvertraust. Die kurze Antwort: Ja, ein seriöser ist weit sicherer als das, was die meisten heute tun, aber das LastPass-Datenleck zeigte, warum es darauf ankommt, welchen du wählst. Hier liest du, wie sie funktionieren und worauf du achten musst.
Zuletzt aktualisiert: July 10, 2026 · Geschrieben vom Privacy-Intact-Team; siehe unsere Methode.
Wie ein Passwort-Manager dich tatsächlich schützt
Ein Manager speichert all deine Logins in einem verschlüsselten „Tresor“. Der entscheidende Teil ist die Zero-Knowledge-Verschlüsselung: Dein Tresor wird auf deinem eigenen Gerät mit deinem Master-Passwort ge- und entsperrt, und das Unternehmen besitzt immer nur die verschlüsselte Version. Es kann deine Passwörter nicht lesen, und, was entscheidend ist, auch ein Angreifer nicht, der in die Server einbricht, denn was er erbeuten würde, ist ohne dein Master-Passwort unlesbar.
Das ist das ganze Sicherheitsmodell in einem Satz: Das Unternehmen speichert deine Daten, kann sie aber nie sehen. Deshalb ist ein guter Manager vertrauenswürdig, obwohl er so viel hält.
„Ist ein einziger Tresor nicht ein einzelner Schwachpunkt?“
Es ist die häufigste Sorge, und sie dreht das Risiko um. Für fast jeden ist die echte Gefahr kein geknackter Tresor, sondern die Wiederverwendung von Passwörtern. Nutze dasselbe Passwort an zehn Stellen, und ein einziger Leak liefert einem Angreifer alle zehn. So werden die meisten Menschen tatsächlich kompromittiert.
Die ganze Aufgabe eines Managers ist es, die Wiederverwendung zu beenden: Jedes Konto bekommt sein eigenes langes, zufälliges Passwort, das du dir nie merken musst. Ja, du bündelst das Risiko in einem Tresor, aber in einem mit Zero-Knowledge-Verschlüsselung, der (mit einem starken Master-Passwort) weit schwerer zu knacken ist als die schwachen, wiederholten Passwörter, die er ersetzt. Der Tausch fällt überwältigend zu deinen Gunsten aus.
Die LastPass-Lehre: welcher Manager zählt
Hier kommt der wichtige Vorbehalt, LastPass, lange eine Standardwahl: es erlitt 2022–2023 ein schweres Datenleck, bei dem Angreifer verschlüsselte Kopien der Passwort-Tresore von über 25 Millionen Nutzern erbeuteten; und weil viele ältere Tresore schwache Einstellungen zur Passwort-Härtung nutzten und Website-Adressen unverschlüsselt speicherten, haben Sicherheitsforscher die gestohlenen Daten seither mit groß angelegtem Kryptodiebstahl in Verbindung gebracht. Die Verschlüsselung sorgte dafür, dass starke Master-Passwörter weitgehend hielten, aber schwächere waren dem Durchprobieren ausgesetzt, und das schiere Ausmaß war ein Weckruf.
Die Erkenntnis ist nicht, allen Managern zu misstrauen, sondern dass die Technik und die Bilanz eines Managers Teil seiner Sicherheit sind. Wähle einen, der solide Verschlüsselungs-Voreinstellungen nutzt und die Tresore seiner Nutzer nicht an Angreifer ausgeliefert hat. Unsere Empfehlungen nehmen diese Hürde alle; LastPass ist der eine, von dem wir die Leute weglenken.
Die echten Risiken (und wie du sie ausschaltest)
- Ein schwaches Master-Passwort. Alles hängt daran. Nutze eine lange Passphrase aus mehreren zufälligen Wörtern, einzigartig für deinen Manager, und schreib sie nie in eine E-Mail oder Notiz.
- Kein zweiter Faktor. Schalte die Zwei-Faktor-Authentifizierung für deinen Manager ein, damit ein geleaktes Master-Passwort allein deinen Tresor nicht öffnen kann.
- Phishing. Ein Manager füllt auf einer gefälschten Domain nicht automatisch aus (eine stille Superkraft), aber wenn du dein Master-Passwort von Hand auf einer überzeugenden Fälschung eintippst, ist es offengelegt. Werde bei dringlichen „Jetzt anmelden“-Nachrichten langsamer.
- Ein infiziertes Gerät. Der Manager kann dich nicht schützen, wenn Schadsoftware schon deine Tastenanschläge mitliest, weshalb grundlegende Geräte-Hygiene und Updates weiter zählen.
Das Fazit
Ein seriöser Passwort-Manager ist eines der wirkungsvollsten Upgrades mit dem geringsten Aufwand, das du für deine Sicherheit machen kannst, und du musst nicht dafür zahlen. Die einzige echte Hausaufgabe ist, einen vertrauenswürdigen zu wählen und dein Master-Passwort zu schützen.
FAQ
Sicherheit von Passwort-Managern, klar beantwortet
Sind Passwort-Manager sicher in der Nutzung?
Ja, für die große Mehrheit der Menschen ist ein seriöser Passwort-Manager weit sicherer als die Alternative, Passwörter wiederzuverwenden oder sich zu merken. Sie nutzen Zero-Knowledge-Verschlüsselung, das heißt: Das Unternehmen selbst kann deinen Tresor nicht lesen, und ein Angreifer, der die Server erbeutet, auch nicht. Die Daten sind ohne dein Master-Passwort wertlos. Sorgfältig wählen musst du, welchen, anhand seiner Technik und seiner Bilanz.
Ist es nicht riskant, alle Passwörter an einem Ort zu haben?
Es fühlt sich so an, aber das Gegenteil stimmt. Die realistische Bedrohung ist für die meisten kein geknackter Tresor, sondern die Wiederverwendung von Passwörtern, bei der ein geleaktes Passwort zehn Konten öffnet. Ein Manager behebt genau das, indem er jedem Konto ein starkes, einzigartiges Passwort gibt, das du dir nicht merken musst. Mit Zero-Knowledge-Verschlüsselung und einem starken Master-Passwort ist „alles in einem Korb“ ein sehr gut verschlossener Korb.
Was ist mit LastPass passiert?
LastPass war einst eine Top-Empfehlung, und genau deshalb zählt das hier: es erlitt 2022–2023 ein schweres Datenleck, bei dem Angreifer verschlüsselte Kopien der Passwort-Tresore von über 25 Millionen Nutzern erbeuteten; und weil viele ältere Tresore schwache Einstellungen zur Passwort-Härtung nutzten und Website-Adressen unverschlüsselt speicherten, haben Sicherheitsforscher die gestohlenen Daten seither mit groß angelegtem Kryptodiebstahl in Verbindung gebracht. Die Lehre ist nicht „Passwort-Manager sind unsicher“; sie lautet, dass Technik und Bilanz zählen und dass du einen Manager wählen solltest, der die Tresore seiner Nutzer nicht offengelegt hat. Viele haben das nicht.
Was ist das eine Wichtigste, das ich richtig machen muss?
Dein Master-Passwort. Es ist der eine Schlüssel zu allem, also muss es lang und einzigartig sein und nie irgendwo sonst wiederverwendet werden. Eine Passphrase aus mehreren zufälligen Wörtern funktioniert gut. Kombiniere es mit Zwei-Faktor-Authentifizierung für deinen Manager, und selbst ein entschlossener Angreifer bleibt ausgesperrt.