Wie sicher sind Passwort-Manager?

Die kurze Antwort

Ein seriöser Passwort-Manager speichert Ihre Zugangsdaten in einer stark verschlüsselten Datenbank, die nur mit Ihrem Master-Passwort geöffnet werden kann. Das löst das eigentliche Problem: Ohne Passwort-Manager verwenden Menschen schwache oder identische Passwörter – und genau darüber laufen die meisten erfolgreichen Angriffe. Deshalb empfehlen sowohl das BSI als auch das britische NCSC den Einsatz von Passwort-Managern ausdrücklich.

Die richtige Frage ist also nicht, ob ein Passwort-Manager sicher genug ist – sondern welcher die Sicherheitskriterien erfüllt.

Wie ein Passwort-Manager Ihre Daten schützt

• Verschlüsselung nach Industriestandard: Die Datenbank wird mit AES-256 verschlüsselt – standardisiert in FIPS 197 und von der NSA in der CNSA-2.0-Suite für besonders schützenswerte Systeme geführt. Neue lokale Datenbanken nutzen dabei den authentifizierten AES-GCM-Modus (über Windows CNG), der Manipulationen an den verschlüsselten Daten erkennbar macht; der klassische AES-CBC-Modus bleibt verfügbar. Wie der Algorithmus arbeitet, erklärt unser Artikel Rijndael/AES.
• Master-Passwort als einziger Schlüssel: Das Master-Passwort wird nicht im Klartext gespeichert; aus ihm wird der Schlüssel kryptografisch abgeleitet. Moderne Leitlinien wie NIST SP 800-63B fordern dafür u. a. speicherharte Ableitungsverfahren und Salt.
• Schutz im Betrieb: Sperrfunktion bei Inaktivität, kontrollierte Zwischenablage und Auto-Ausfüllen reduzieren die Angriffsfläche am Arbeitsplatz – auch gegen Mitlesen und Phishing-Tippfehler.
• Transportverschlüsselung: Beim Zugriff auf zentrale Datenbanken ist die Verbindung per TLS 1.3 geschützt.
• Leak-Früherkennung: Gespeicherte Kennwörter lassen sich gegen die öffentliche Datenbank Have I Been Pwned prüfen – per k-Anonymität, ohne dass Passwörter den Rechner im Klartext verlassen.

Was sagen BSI, NIST und NCSC?

• BSI: Empfiehlt Passwort-Manager, um für jeden Dienst ein eigenes, starkes Passwort zu nutzen – und rät seit 2025 vom anlasslosen, regelmäßigen Passwortwechsel ab. Beides setzt einen Passwort-Manager praktisch voraus.
• NIST: SP 800-63B verlangt, dass Dienste das Einfügen von Passwörtern zulassen – ausdrücklich, damit Passwort-Manager genutzt werden können – und empfiehlt den Abgleich gegen kompromittierte Passwortlisten.
• NCSC (UK): Empfiehlt Passwort-Manager als zentralen Baustein moderner Passwort-Strategien in Organisationen.

Die Behördenlage ist damit einheitlich: Der Passwort-Manager ist nicht das Risiko – er ist die empfohlene Gegenmaßnahme.

Restrisiken ehrlich betrachtet

Kein System ist risikofrei. Vier Punkte sollten Sie kennen – und gezielt absichern:

• Das Master-Passwort ist der zentrale Schlüssel: Es muss lang und einzigartig sein (eine Passphrase) und darf nirgendwo sonst verwendet werden. Zusätzlich absichern lässt sich der Zugang mit 2FA – etwa TOTP oder FIDO2-Hardware-Token.
• Kompromittierte Endgeräte: Ein Rechner mit Schadsoftware kann jede Eingabe mitlesen – das gilt für Passwort-Manager wie für jede andere Anwendung. Endpoint-Schutz und aktuelle Systeme bleiben Pflicht.
• Die Anbieter-Cloud als Angriffsziel: Zentrale Cloud-Tresore vieler Nutzer sind ein hochattraktives Ziel. Dieses Risiko lässt sich architektonisch begrenzen: Beim On-Premises-Betrieb liegen die verschlüsselten Datenbanken in Ihrer eigenen Infrastruktur – es gibt keinen zentralen Hersteller-Tresor, der für alle Kunden zugleich interessant wäre.
• Vergessenes Master-Passwort: Ohne Master-Passwort sind die Daten nicht wiederherstellbar – das ist die Kehrseite echter Verschlüsselung. Für Unternehmen lösen zentrale Server-Datenbanken mit Rollen und Backups dieses Problem organisatorisch.

Woran Sie einen sicheren Passwort-Manager erkennen

Für Unternehmen kommen Anforderungen wie Rollen, zentrale Richtlinien und Audit-Logs hinzu – eine vollständige Checkliste enthält der Artikel Passwort Manager für Unternehmen.

Wie Password Depot diese Kriterien erfüllt

• Kryptografie: AES-256 (FIPS 197) für Datenbanken, TLS 1.3 mit Perfect Forward Secrecy für Client-Server-Verbindungen; serverseitige Benutzerpasswörter werden mit Argon2id gehasht.
• Extern geprüft: Im 10-tägigen Penetrationstest der SySS GmbH (12/2025) wurden keine kritischen oder hochschweren Schwachstellen festgestellt – der Bericht ist im Trust Center dokumentiert.
• Zertifizierte Sicherheitsprozesse: Das Informationssicherheits-Managementsystem des Herstellers AceBIT ist nach ISO/IEC 27001:2022 zertifiziert (TÜV NORD). Transparenzhinweis: Die Zertifizierung bezieht sich auf das ISMS des Herstellers – Entwicklung, Vertrieb und Support –, nicht auf das Produkt selbst.
• 2FA und passwortlose Verfahren: TOTP, FIDO2/WebAuthn und Windows Hello sichern den Zugang zusätzlich ab.
• Datenhoheit: Datenbanken liegen lokal, auf dem eigenen Enterprise Server oder im eigenen Azure-Tenant – ohne Hersteller-Cloud in der Vertrauenskette.
• Planbare Sicherheit: Kostenlose Security-Updates mit dokumentiertem Supportzeitraum (Version 19: mindestens Dezember 2030).
• Leak-Abgleich eingebaut: Extras → Sicherheitscheck → In Pwned-Kennwörter prüfen gleicht Bestandskennwörter gegen bekannte Datenlecks ab.

Für Unternehmen: Sicherheit zentral durchsetzen

Privat genügt ein gut konfigurierter Client. In Organisationen entscheidet die zentrale Durchsetzung: Der Password Depot Enterprise Server gibt Passwortrichtlinien serverseitig vor, steuert Zugriffe über Rollen und Gruppen aus Active Directory oder Entra ID und protokolliert jeden Zugriff in einem manipulationssicheren Audit-Trail – die Grundlage für Audits und die DSGVO-Rechenschaftspflicht. So wird aus der sicheren Einzelanwendung ein nachweisbarer Sicherheitsstandard für das ganze Unternehmen.

Fazit: Sicher ist, was Kriterien erfüllt – nicht, was bequem ist

Passwort-Manager sind nach übereinstimmender Einschätzung von BSI, NIST und NCSC der richtige Weg zu einzigartigen, starken Passwörtern. Entscheidend ist die Auswahl: starke, dokumentierte Kryptografie, unabhängige Prüfungen, 2FA und ein Speicherort, den Sie kontrollieren. Wer zusätzlich die Anbieter-Cloud aus der Vertrauenskette nimmt, reduziert auch das letzte strukturelle Restrisiko.

Häufige Fragen zur Sicherheit von Passwort-Managern

Können Passwort-Manager gehackt werden?

Angriffe richten sich in der Praxis gegen schwache Master-Passwörter, kompromittierte Endgeräte oder zentrale Cloud-Tresore von Anbietern – nicht gegen die AES-256-Verschlüsselung selbst. Ein langes, einzigartiges Master-Passwort, 2FA und eine Lösung mit selbstbestimmtem Speicherort minimieren diese Angriffsflächen.

Ist es nicht riskant, alle Passwörter an einem Ort zu speichern?

Das Risiko der verschlüsselten Sammlung ist deutlich kleiner als das der Alternative: schwache oder wiederverwendete Passwörter über Dutzende Dienste. Genau deshalb empfehlen BSI und NCSC Passwort-Manager ausdrücklich – wichtig sind ein starkes Master-Passwort und 2FA.

Kennt der Hersteller meine Passwörter?

Bei Password Depot nein: Das Master-Passwort wird nicht im Klartext gespeichert, die Datenbank ist mit AES-256 verschlüsselt, und beim On-Premises-Betrieb liegen die Daten ausschließlich in Ihrer eigenen Infrastruktur.

Ist der Passwort-Speicher im Browser genauso sicher?

Browser-Speicher sind an das Browser-Profil gekoppelt, bieten kein eigenständiges Master-Passwort-Konzept auf allen Plattformen, keine zentralen Richtlinien und keine Rollen oder Protokolle für Teams. Für privat genutzte Einzelkonten besser als nichts – für Unternehmen ungeeignet.

Was passiert, wenn ich mein Master-Passwort vergesse?

Ohne Master-Passwort lassen sich die verschlüsselten Daten nicht wiederherstellen – das ist die Konsequenz echter Verschlüsselung ohne Hintertür. Im Unternehmenseinsatz federn zentrale Server-Datenbanken, Rollen und automatisierte Backups dieses Risiko organisatorisch ab.

Sind Cloud-Passwort-Manager unsicher?

Seriöse Cloud-Anbieter verschlüsseln ebenfalls stark. Strukturell bleibt ihr zentraler Tresor jedoch ein hochattraktives Angriffsziel, und Speicherort sowie Verfügbarkeit liegen beim Anbieter. Wer das ausschließen muss – etwa aus Compliance-Gründen – betreibt die Passwortverwaltung On-Premises oder im eigenen Cloud-Tenant.