Was ist ein Passwortmanager?

Einfach erklärt

Ein Passwortmanager ist ein verschlossener Tresor für Zugangsdaten. Darin liegt für jedes Konto ein eigenes, langes Passwort, das sich niemand merken muss. Sie merken sich nur noch ein einziges starkes Hauptpasswort, das den Tresor öffnet. Beim Anmelden füllt der Passwortmanager die Felder aus, auf Wunsch auch auf dem Smartphone.

Warum das für Ihren Betrieb wichtig ist

Wer dasselbe Passwort für mehrere Dienste nutzt, verliert bei einem einzigen Datenleck gleich mehrere Konten. Mit einem eigenen Passwort je Konto bleibt der Schaden auf dieses eine Konto begrenzt. Ein Passwortmanager für das Team hat einen weiteren Vorteil: Gemeinsam genutzte Zugänge, etwa zum Kundenkonto beim Paketdienst oder zur Website, liegen an einer Stelle statt auf Zetteln und in Mails. Verlässt jemand den Betrieb, sehen Sie, welche Passwörter er kannte und welche Sie deshalb ändern sollten.

Was Sie tun können

• Einen Passwortmanager für das Team wählen, bei dem jede Person einen eigenen Zugang hat und Sammlungen gezielt freigegeben werden.
• Das Hauptpasswort lang wählen und den Tresor zusätzlich mit Zwei-Faktor-Anmeldung schützen.
• Für den Notfall festlegen, wer an den Tresor kommt, wenn die zuständige Person ausfällt.

Bei Auswahl und Einrichtung hilft Ihr IT-Dienstleister. Auch die Selbstauskunft im IT-Sicherheitscheck fragt danach.

Gut zu wissen: Das BSI empfiehlt Passwortmanager ausdrücklich. Alle Passwörter regelmäßig zu wechseln ist dagegen nicht nötig. Ändern sollten Sie ein Passwort, wenn es in fremde Hände geraten sein könnte.

Was ein Passwortmanager nicht kann

Er schützt nicht vor einer gefälschten Anmeldeseite, auf der jemand sein Passwort von Hand eintippt. Ein Passwortmanager ordnet Zugangsdaten der Adresse zu, für die sie gespeichert wurden. Bietet er auf einer Anmeldeseite nichts an, ist das ein Warnsignal. Außerdem gilt: Wer das Hauptpasswort kennt, kommt an alles. Deshalb gehört der zweite Faktor dazu.

Aufbau und Verschlüsselung

Ein Passwortmanager speichert Zugangsdaten in einem verschlüsselten Container (Vault). Den Schlüssel leitet eine Funktion wie PBKDF2 (RFC 8018) oder Argon2 (RFC 9106) aus dem Hauptpasswort ab. Bei Cloud-Diensten sollte die Entschlüsselung nur auf dem Endgerät stattfinden, der Anbieter speichert dann nur Chiffretext.

Selbstverständlich ist das nicht. Das BSI hat 2025 zusammen mit dem FZI zehn Passwortmanager untersucht. Drei davon speicherten Passwörter so, dass der Hersteller theoretisch darauf zugreifen kann. Das BSI empfiehlt Passwortmanager trotzdem, weil wiederverwendete und schwache Passwörter das größere Risiko sind.

Drei Bauformen sind verbreitet:

• Im Browser eingebaut: bequem, nach Einschätzung des BSI aber leichter von Schadsoftware auszulesen.
• Eigenständiges Programm mit lokaler Datei: kein Anbieter dazwischen, Synchronisierung und Backup liegen bei Ihnen.
• Team- oder Cloud-Dienst: persönliche Konten, Freigaben je Sammlung, Protokoll. Teils auch selbst zu betreiben.

Vorgaben im IT-Grundschutz

Baustein ORP.4 (Edition 2023) verlangt in Anforderung A8 ein eigenes Passwort je System und verbietet Passwörter aus gängigen Passwortlisten. Der Einsatz eines Passwortmanagers soll geprüft werden. Funktionen, die Passwörter über Onlinedienste Dritter synchronisieren, sind nach A8 zu deaktivieren. A23 rät von rein zeitgesteuerten Passwortwechseln ab und verlangt stattdessen Maßnahmen, um kompromittierte Passwörter zu erkennen.

Typische Fehler

• Ein Tresor, ein Hauptpasswort für alle. Ein Austritt lässt sich so nicht sauber abbilden. Besser sind persönliche Konten mit Freigaben.
• Kein zweiter Faktor am Tresor. Das Hauptpasswort ist dann der einzige Schutz für alle Zugänge.
• Kein Notfallzugang. ORP.4.A8 erlaubt für den Notfall eine schriftliche Hinterlegung, die sicher verwahrt wird.
• Export als CSV. Unverschlüsselte Exporte bleiben in Download-Ordnern und Backups liegen.
• Austritt ohne Passwortwechsel. Alle Passwörter, die die Person kannte, gehören geändert.

Prüfen

Ob ein Passwort in bekannten Datenlecks vorkommt, prüft die Schnittstelle Pwned Passwords. Übertragen werden nur die ersten fünf Zeichen des SHA-1-Hashwerts (k-Anonymität), das Passwort verlässt das Gerät nicht.

read -rs pw; h=$(printf %s "$pw" | shasum -a 1 | awk '{print toupper($1)}')
curl -s "https://api.pwnedpasswords.com/range/${h:0:5}" | grep "${h:5}"

Kommt eine Zeile zurück, nennt die Zahl nach dem Doppelpunkt die Fundstellen in bekannten Leaks.