Schluss mit Passwort-Zetteln: Warum ein Passwort-Manager Ihren Alltag sicherer und einfacher macht

Nutzen Sie für mehrere Zugänge im Internet dasselbe Passwort? Oder steht auf einem Zettel neben dem Monitor eine Liste mit Ihren Zugangsdaten? Dann sind Sie nicht allein. Dutzende komplexe Kombinationen merkt sich schlicht niemand – also greifen viele zu einfachen oder wiederkehrenden Passwörtern.

Genau hier entsteht eine der größten Sicherheitslücken im privaten Bereich. Ein Passwort-Manager nimmt Ihnen diese Last ab – und macht das Anmelden nebenbei bequemer.

Warum dasselbe Passwort für mehrere Konten gefährlich ist

Wird ein Dienst gehackt und landen Zugangsdaten bei Kriminellen, werden diese Kombinationen aus Benutzername und Passwort automatisiert auf anderen Webseiten ausprobiert. Das nennt man Credential Stuffing. Es funktioniert, weil viele Menschen dasselbe Passwort mehrfach verwenden (S1).

Das BSI formuliert es so: Ein starkes Passwort, das für mehrere Konten gleichzeitig verwendet wird, birgt ebenfalls Risiken – ist es einmal geknackt, können Kriminelle auf alle diese Konten zugreifen (S2). Am sichersten ist deshalb für jedes Konto ein eigenes, starkes Passwort.

Bei der Frage, was „stark“ heißt, hat sich der Blick verschoben. Der US-Standard NIST SP 800-63B verlangt für Passwörter, die allein zur Anmeldung dienen, mindestens 15 Zeichen. Wird das Passwort nur zusammen mit einem weiteren Faktor genutzt, genügen dort mindestens 8 Zeichen. Starre Mischregeln wie „Großbuchstabe + Zahl + Sonderzeichen“ sollen Dienste ausdrücklich nicht vorschreiben (S3). Der Grund: Menschen reagieren darauf vorhersehbar – aus „password“ wird „Password1“ (S3). Zum NIST-Standard: Er richtet sich an Betreiber von Anmeldesystemen, nicht an Privatpersonen. Als Orientierung ist er dennoch brauchbar.

• Lang: Länge zählt mehr als Sonderzeichen-Pflichten (S3).
• Einzigartig: Jedes Konto bekommt ein eigenes Passwort, damit ein Datenleck nicht weitere Konten öffnet (S1, S2).
• Mit einem zweiten Faktor ergänzen: Wo es angeboten wird, lohnt sich Mehrfaktor-Authentisierung. Passwörter allein sind nicht phishing-resistent (S3).

Wie funktioniert ein Passwort-Manager?

Das BSI vergleicht einen Passwort-Manager mit einem Notizbuch, das in einer Schublade eingeschlossen ist: Die Passwörter werden verschlüsselt verwahrt und sind nur für Sie einsehbar. Geöffnet wird der Tresor mit einem Masterpasswort (S2).

• Nur noch ein Passwort merken: das Masterpasswort. Es sollte komplex und sicher sein (S2).
• Starke Passwörter auf Knopfdruck: Der Manager erzeugt starke Kombinationen und kennzeichnet bereits verwendete oder schwache (S2).
• Bequemes Ausfüllen mit Warnfunktion: Er trägt Zugangsdaten für Sie ein und kann warnen, wenn die aufgerufene Adresse von der gespeicherten abweicht – ein Hinweis auf Phishing (S2).
• Speicherort: Je nach Programm liegen die Daten nur auf Ihrem Gerät oder, damit sie sich synchronisieren lassen, in der Infrastruktur des Anbieters (S2). Bei Cloud-Diensten vertrauen Sie dem Unternehmen Ihre Zugangsdaten an; ein Blick in AGB, Datenschutzerklärung und Serverstandort lohnt sich (S2).

Was Sie wissen sollten: die Nachteile

Ganz ohne Haken ist es nicht, und das BSI benennt sie offen: Verlieren Sie das Masterpasswort, sind im schlechtesten Fall alle Daten weg. Außerdem liegt alles an einem Ort – gelingt ein Angriff auf den Passwort-Manager, können alle Passwörter auf einmal gestohlen werden (S2). Das BSI kommt trotzdem zum Ergebnis: In der Regel lohnt sich ein Passwort-Manager, denn es ist in jedem Fall besser, als gängige Passwörter wiederholt zu benutzen (S2).

Welche Lösungen gibt es?

• Bitwarden und 1Password: Beide bieten laut Herstellerseiten Apps für Windows, macOS und Linux sowie für iOS und Android, dazu Browser-Erweiterungen (S4, S5).
• KeePass und KeePassXC: Beide speichern die Daten lokal. KeePass selbst ist für Windows gedacht und läuft auf anderen Systemen über Mono; Apps für Android und iOS stammen von Dritten (S6). KeePassXC gibt es für macOS, Windows und Linux (S7).
• Im Browser eingebaute Passwort-Manager: Sie sind einfach zu nutzen. Das BSI weist aber darauf hin, dass Browser komplexe Programme sind und gespeicherte Zugangsdaten sich relativ einfach durch Schadsoftware auslesen lassen. Halten Sie sie aktuell und sichern Sie den Zugang zum Gerät mit PIN oder Passwort (S2).

Welches Programm zu Ihnen passt, hängt von Ihren Geräten ab und davon, ob Ihre Daten bei einem Anbieter oder nur bei Ihnen liegen sollen. Die BSI-Checkliste zur Auswahl hilft dabei (S2).

Fazit: Mehr Sicherheit mit weniger Aufwand

Ein Passwort-Manager erleichtert es, für jedes Konto ein eigenes, starkes Passwort zu verwenden, und spart im Alltag Zeit beim Anmelden. Wichtig ist ein gutes Masterpasswort, das Sie nicht verlieren. Für wichtige Konten sollten Sie zusätzlich einen zweiten Faktor aktivieren, wenn der Dienst ihn anbietet.

Quellen (abgerufen am 31.10.2026)

• (S1) OWASP: Credential stuffing
• (S2) BSI: Passwörter verwalten mit einem Passwort-Manager
• (S3) NIST: SP 800-63B-4, Authenticators (Abschnitt Passwörter) und Anhang Passwörter
• (S4) Bitwarden: Download
• (S5) 1Password: Downloads
• (S6) KeePass: Download
• (S7) KeePassXC: Download

Sie möchten Ihre digitalen Zugänge absichern?

Die Wahl des richtigen Passwort-Managers und das einmalige Aufräumen bestehender Zugänge wirft oft Fragen auf.

Ich unterstütze Sie gerne dabei: Ich helfe Ihnen bei der Auswahl einer passenden, datenschutzkonformen Lösung, richte den Passwort-Manager gemeinsam mit Ihnen ein und erkläre Ihnen die Nutzung Schritt für Schritt auf allen Ihren Geräten.

Nehmen Sie einfach Kontakt mit DGH-IT auf – für mehr Sicherheit ohne Passwort-Chaos.

Weiterführend: Im Bereich Werkzeuge finden Sie außerdem ausgewählte Programme und Dienste für den IT-Alltag.