Zero-Knowledge-Verschlüsselung im Passwortmanager erklärt

Was Zero-Knowledge bei einem Passwortmanager heißt, wie aus deinem Hauptpasswort der Schlüssel wird, was die Hersteller angeben und wogegen Zero-Knowledge nicht schützt.

Das Wichtigste

Zero-Knowledge heißt: Der Hersteller speichert deinen Tresor, kann ihn aber nicht lesen. Der Tresor wird auf deinem Gerät mit einem Schlüssel verschlüsselt, der aus deinem Hauptpasswort entsteht.
Aus demselben Grund kann der Hersteller ein vergessenes Hauptpasswort nicht zurücksetzen.
Zero-Knowledge schützt nicht vor Schadsoftware auf deinem eigenen Gerät, vor einem schwachen Hauptpasswort oder vor Daten, die außerhalb der Verschlüsselung liegen.

Was Zero-Knowledge heißt

Ein Passwortmanager muss eine Kopie deines Tresors auf seinen Servern halten, um sie zwischen deinen Geräten zu synchronisieren. Zero-Knowledge heißt, dass die Kopie dort schon verschlüsselt ankommt und der Schlüssel deine Geräte nie verlässt. Der Hersteller speichert Daten, die er nicht lesen kann.

Alle vier Hersteller auf dieser Seite sagen das mit eigenen Worten:

	Was der Hersteller angibt
1Password	Sein Modell mit zwei Schlüsseln sorge dafür, dass selbst 1Password nicht sehen kann, was du gespeichert hast.
Bitwarden	Bitwarden verschlüssle alle Tresordaten Ende-zu-Ende, und nur dein Masterpasswort könne sie entschlüsseln.
Keeper	Keeper sei ein Anbieter mit Zero-Knowledge-Sicherheit.
Proton Pass	Proton habe nie Zugriff auf deine Daten, und nur du könntest sie mit deinem geheimen Passwort entschlüsseln.

Bitwarden ergänzt, dass die Daten auf deinem Gerät verschlüsselt werden, bevor sie zur Speicherung an den Server gehen.

Wie aus dem Hauptpasswort der Schlüssel wird

Die App nutzt dein Hauptpasswort nicht direkt als Schlüssel. Sie schickt es viele Male durch eine Schlüsselableitung, damit jeder Rateversuch einen Angreifer dieselbe Arbeit kostet:

	Wie der Schlüssel entsteht, laut Hersteller
1Password	PBKDF2 mit 650.000 Runden, dazu ein Secret Key, der nur auf deinen Geräten liegt
Bitwarden	PBKDF2 mit standardmäßig 600.000 Runden, wahlweise Argon2id
Keeper	PBKDF2 mit 1.000.000 Runden
Proton Pass	bcrypt, Zahl der Runden nicht angegeben

Der Secret Key von 1Password ist ein zweites, zufälliges Geheimnis, das mit deinem Hauptpasswort kombiniert wird. Eine gestohlene Kopie des Tresors lässt sich also nicht knacken, indem man nur das Hauptpasswort errät.

Warum niemand dein Hauptpasswort zurücksetzen kann

Könnte der Hersteller dein Hauptpasswort zurücksetzen, hätte er einen Schlüssel zu deinem Tresor, und der Tresor wäre nicht mehr Zero-Knowledge. Deshalb schreibt Bitwarden, es habe keine Möglichkeit, dein Masterpasswort einzusehen, wiederherzustellen oder zurückzusetzen. Jeder Hersteller bietet stattdessen einen eigenen Weg zurück, etwa das Emergency Kit von 1Password oder eine Vertrauensperson für den Notfall.

Wogegen Zero-Knowledge nicht schützt

Schadsoftware auf deinem Gerät: Solange der Tresor auf deinem Computer entsperrt ist, kann Schadsoftware dort mitlesen, was du liest.
Ein schwaches Hauptpasswort: Eine gestohlene Kopie des Tresors lässt sich offline angreifen, ohne Grenze für Rateversuche. Das zeigt der Ratgeber Ist ein Passwortmanager sicher? am LastPass-Einbruch von 2022.
Daten außerhalb der Verschlüsselung: Bei LastPass waren die Adressen der Websites in den gestohlenen Backups nicht verschlüsselt. Die E-Mail-Adresse deines Kontos und deine Rechnungsdaten gehören nie zum Tresor.

Was du tun kannst

Nimm ein langes Hauptpasswort, das du nirgendwo sonst nutzt.
Bewahre deine Wiederherstellungsdaten sicher auf, denn niemand kann das Hauptpasswort für dich zurücksetzen.
Halte deine Geräte frei von Schadsoftware, mit Updates und einem aktuellen System.
Lass den Tresor automatisch sperren, nach ein paar Minuten ohne Nutzung. Such dafür die Einstellung zur automatischen Sperre in deinem Manager.

Nächster Schritt

Was der Tresor sonst noch aufnehmen kann, zeigt der Ratgeber Passkeys und 2FA-Codes im Passwortmanager.

Die Zahlen in diesem Ratgeber stammen aus dem Archiv und ändern sich mit jeder Datenaktualisierung. Stand 13. November 2026.

Zero-Knowledge-Verschlüsselung erklärt: Warum niemand dein Passwort zurücksetzen kann