crackthe.net
Ist ein Passwortmanager sicher? Was deinen Tresor schützt
Wie Passwortmanager deinen Tresor schützen, was der LastPass-Einbruch von 2022 zeigte, die CVE-Einträge der Manager hier und was du selbst tun kannst.
Das Wichtigste
- Die Hersteller aller sechs Passwortmanager hier sagen, dass der Tresor auf deinem Gerät verschlüsselt wird, bevor er synchronisiert wird.
- Stiehlt jemand die synchronisierte Kopie, entscheidet dein Hauptpasswort, wie lange sie standhält. 2022 kopierten Angreifer die Tresor-Backups der LastPass-Kunden.
- Nimm ein langes Hauptpasswort, das du nirgends sonst verwendest. Die Zwei-Faktor-Anmeldung verhindert Anmeldungen mit einem gestohlenen Hauptpasswort. Eine bereits gestohlene Kopie schützt sie nicht.
So ist der Tresor geschützt
Ein Passwortmanager bewahrt deine Passwörter in einem verschlüsselten Tresor auf. Den Schlüssel dazu bildet er aus deinem Hauptpasswort. Damit Raten lange dauert, schickt die App das Hauptpasswort durch viele Runden einer Schlüsselableitung, bevor der Schlüssel entsteht. Jeder Rateversuch kostet einen Angreifer dieselbe Arbeit.
Alle sechs Hersteller sagen: Der Tresor wird auf deinem Gerät verschlüsselt, bevor er synchronisiert wird. Die fünf, die ihn über eigene Server synchronisieren, sagen, dass sie ihn nicht lesen können. KeePassXC legt den Tresor in einer Datei ab, die du selbst synchronisierst, wenn überhaupt. Wo der verschlüsselte Tresor liegt, ist verschieden:
| Wo der verschlüsselte Tresor liegt | Wie aus dem Hauptpasswort der Schlüssel wird | |
|---|---|---|
| 1Password | Server von 1Password, synchronisiert auf deine Geräte | PBKDF2 mit 650.000 Runden, dazu ein Secret Key, der nur auf deinen Geräten liegt |
| Bitwarden | Microsoft Azure in den USA oder der EU oder ein eigener Server | PBKDF2 mit standardmäßig 600.000 Runden, wahlweise Argon2id |
| KeePassXC | eine Datei auf deinem Gerät; wohin du sie synchronisierst, bestimmst du | Argon2id empfohlen, kein fester Standardwert |
| Keeper | Amazon Web Services in mehreren Regionen, darunter USA und EU | PBKDF2 mit 1.000.000 Runden |
| Passpack | Rechenzentren in den USA und der EU | PBKDF2 mit 1.000.000 Runden |
| Proton Pass | Server von Proton in der Schweiz, in Deutschland oder Norwegen | bcrypt, Zahl der Runden nicht angegeben |
Die Tabelle zeigt, was die Hersteller auf ihren eigenen Seiten angeben. Diese Seite hat die Apps nicht getestet.
Was der LastPass-Einbruch zeigte
LastPass steht nicht auf der Liste dieser Seite. Sein Einbruch ist aber der am besten dokumentierte Fall gestohlener Tresore. So hat LastPass selbst ihn beschrieben:
- August 2022: Ein Angreifer kam über das Konto eines Entwicklers in die Entwicklungsumgebung von LastPass und nahm Quellcode mit. Einen Zugriff auf Kundentresore sah LastPass damals nicht.
- Später im Jahr 2022: Mit Informationen aus diesem Einbruch griff er über fehlerhafte Software eines Drittanbieters einen leitenden DevOps-Ingenieur an. Mit den dort erbeuteten Schlüsseln öffnete er den Cloud-Speicher für Backups.
- Dezember 2022: LastPass meldete, dass der Angreifer ein Backup der Tresordaten kopiert hatte. Benutzernamen, Passwörter und Notizen darin waren verschlüsselt. Die Adressen der Websites waren es nicht.
- März 2023: Laut LastPass enthielt der Speicher Backups aller Kundentresore.
LastPass sagt, dass es das Hauptpasswort nie kennt. Die Angreifer konnten es also nur erraten. Das geht offline, wo keine Sperre nach Fehlversuchen bremst. Voreingestellt waren damals 100.100 Runden PBKDF2. Seit 2018 verlangte LastPass Hauptpasswörter mit mindestens zwölf Zeichen. Kunden mit schwächerem Hauptpasswort riet LastPass, die im Tresor gespeicherten Passwörter zu ändern.
Die Lehre: Ein gestohlener Tresor ist nur so stark wie sein Hauptpasswort. Unverschlüsselte Felder wie die Liste der Websites verraten trotzdem, welche Dienste du nutzt.
CVE-Einträge der Manager hier
Ein CVE-Eintrag ist ein öffentlicher Datensatz zu einer Sicherheitslücke. Dieses Archiv hat die Einträge in der US-Schwachstellendatenbank NVD gezählt, die den jeweiligen Manager selbst betreffen und seit 2021 veröffentlicht wurden:
| Tool | Eigene CVE-Einträge seit 2021 | Neuester Eintrag |
|---|---|---|
| 1Password | 8 | August 2024 |
| Bitwarden | 16 | Oktober 2026 |
| KeePassXC | 7 | Oktober 2026 |
| Keeper | 1 | Juli 2023 |
| Passpack | 0 | – |
| Proton Pass | 0 | – |
Mehr Einträge heißen nicht einfach weniger Sicherheit, denn verbreitete Apps werden genauer geprüft. Entscheidend ist, wie schnell der Hersteller eine Lücke schließt und ob du das Update einspielst.
Was du tun kannst
- Wähle ein langes Hauptpasswort, das du nirgends sonst verwendest. Mehrere zufällige Wörter merkst du dir leichter als ein kurzes Passwort voller Sonderzeichen. Erraten lassen sie sich schwerer.
- Schalte die Zwei-Faktor-Anmeldung ein. Sie verhindert, dass sich jemand mit deinem Hauptpasswort anmeldet. Eine bereits gestohlene Kopie des Tresors schützt sie nicht.
- Spiel Updates ein, für die App und die Browser-Erweiterung. So erreichen dich die Fixes.
- Gib dein Hauptpasswort nie über einen Link ein, der per E-Mail oder SMS kommt. Nach dem Einbruch stellte LastPass klar: Es fordert Kunden nie per Anruf, E-Mail oder SMS auf, über einen Link ihre Daten zu bestätigen.
Nächster Schritt
Die Seite Passwortmanager im Vergleich zeigt die sechs Manager mit Gratis-Version, Open Source, Geräten und CVE-Einträgen.
Die Zahlen in diesem Ratgeber stammen aus dem Archiv und ändern sich mit jeder Datenaktualisierung. Stand 8. November 2026.
Mit den Daten des Archivs prüfen
Weiterlesen: Was ist ein VPN? Bedeutung und Funktion einfach erklärtAlle Ratgeber