Mein Umzug auf einen neuen Passwort-Manager (Open Source)

Apples Schlüsselbund und Googles Passwort-Manager zeigen es mehr als deutlich an: Passwörter wiederholen sich, wurden in Datenlecks gefunden oder sind generell unsicher. Trotz dieser Warnungen lässt sich das Thema leicht ignorieren. Die Auswahl an Passwort-Managern ist groß und der Aufwand, alle Zugänge zu updaten, kann überfordern. c’t 3003 geht das Thema systematisch an und zeigt, welcher Passwort-Manager sich für wen eignet und wie sich das Passwort-Chaos Schritt für Schritt beseitigen lässt.

Transkript des Videos

(Hinweis: Dieses Transkript ist für Menschen gedacht, die das Video oben nicht schauen können oder wollen. Der Text gibt nicht alle Informationen der Bildspur wieder.)

Ich muss eine Beichte ablegen. Ich habe seit Jahren kompromittierte Passwörter, benutze sogar oft dasselbe und habe bisher nichts daran geändert, obwohl ich für einen riesigen Technikverlag arbeite. Ja, man muss das so sagen, ich hab meinen Sicherheitskram absolut nicht im Griff. Ja, ich weiß: Shame. Ja, und das könnte man eigentlich alles auf einen Schlag ändern, indem ich einfach einen Passwort-Manager installiere. Aber es gibt halt Dutzende davon. Welchen davon soll man nehmen? Wie sicher sind die? Und ist das nicht total nervig einzurichten? Alles gute Gründe, das schön immer wegzuignorieren.

Aber damit ist jetzt Schluss. Ich hab das Chaos aufgeräumt und kann jetzt auf vier verschiedenen Betriebssystemen alle meine sicheren Passwörter abrufen, neue anlegen und muss dafür quasi immer nur noch einen Knopf drücken. Und das war gar nicht so nervig, wie ich dachte. In diesem Video klären wir, wie man den für sich richtigen Passwort-Manager aussucht, inklusive einer konkreten Empfehlung, übrigens alles Open Source und europäisch. Bleibt dran.

Liebe Hackerinnen, liebe Internet-Surfer, herzlich willkommen hier bei …

Okay, wie ich schon meinte, meine private Passwort-Situation ist leider eine komplette Vollkatastrophe. Ich bin quasi auf vier Betriebssystemen unterwegs: macOS, Linux, Windows und iOS, und deswegen liegen meine Passwörter verteilt in der Apple Keychain und wegen Chrome teilweise auch im Google Password Manager. Und die Passwörter an sich sind dazu auch überhaupt nicht sicher und ich hab auch total oft das Gleiche, was ich schon sehr lange verwende. Ich muss euch nicht erzählen, dass das sehr, sehr blöd ist.

Okay, aber mal ganz kurz, wenn man mit Chrome oder Apple-Produkten rumhantiert, bekommt man ja eh quasi semiautomatisch da direkt angeboten, seine Passwörter reinzuspeichern. Warum sich dann nicht einfach auf einen der beiden integrierten Passwort-Manager festlegen und den dann benutzen? Die funktionieren ja gut. Ja, aber wie ich schon meinte, ich bin halt nicht nur auf Apple-Hardware unterwegs, sondern auf mehreren Systemen und benutze Brave als Browser und ab und zu mal auch ein Android-Handy.

Und es gibt für viele Sachen auch mittlerweile Integrationen, für Apples Schlüsselbund zum Beispiel. Unter Windows muss man dann iCloud für Windows installieren. Das hat bei mir aber irgendwie nie so richtig funktioniert, hat unregelmäßig synchronisiert und so weiter. Also die Apple Keychain fühlt sich einfach unter Windows so ein bisschen fehl am Platz an. Bei Google ist das ähnlich. Der Passwort-Manager funktioniert natürlich in Chrome, aber beispielsweise nicht in Brave, was ich ja benutze.

Die Auswahl des richtigen Passwort-Managers

Alles irgendwie nicht so geil. Deswegen installiere ich mir einen unabhängigen Passwort-Manager, der überall gleich funktioniert. Aber welchen? Davon gibt es super viele. Beispielsweise die proprietären Tools wie 1Password, Keeper oder LastPass. Aber damit wir das Ganze hier mal ein bisschen eingrenzen, beschränke ich mich nur auf Open-Source-Manager. Weil: Open Source finden wir toll und gerade beim Thema Passwort fühlt es sich für mich einfach besser an, wenn ich weiß, dass der Code öffentlich einsehbar ist.

Wie sicher das generell ist, da komme ich später noch zu. Also, gängige Optionen sind: Bitwarden, Passbolt, Password Safe, Psono, KeePass und Proton Pass. Um jetzt den für mich passenden auszuwählen, mache ich mir eine Checkliste, was das Ding so können muss: Ich will einen Dienst, der auf macOS, Windows, Linux, iOS und allen gängigen Browsern easy integrierbar ist und bequem funktioniert.

Also mir bei der Registrierung direkt Passwörter generiert, abspeichert und dann beim Anmelden auch automatisch ausfüllt. Also so, wie das bei Apple und Google auch läuft. Passkeys sollte der natürlich auch können. Falls ihr das, wie ich auch, nie so richtig verstanden habt, dazu hatten wir schon mehrere Videos. Link ist in der Beschreibung. Sowas wie einen Hardware-Schlüssel mit YubiKey brauche ich nicht unbedingt, geht aber mit den meisten auch.

Ja, und wenn ich diese Checkliste durchgehe, bleiben eigentlich nur noch drei Optionen von meiner vorherigen Auswahl übrig: Bitwarden, KeePass und mein persönlicher Favorit: Proton Pass. Die anderen Optionen sind teilweise noch etwas hakelig in der Bedienung oder eher auf Business ausgelegt. Schauen wir uns mal Bitwarden an. Von dem hat man auch schon oft gehört. Das ist ein sehr beliebter Dienst.

Ja, und nicht ohne Grund: Bitwarden hat Desktop-Clients für Windows, macOS, Linux und Erweiterungen für fast alle Browser. Dabei sind eigentlich fast alle wichtigen Funktionen kostenlos verfügbar. Also man kann das Ding auf unbegrenzt vielen Geräten installieren, Passkeys verwenden, sich neue Passwörter generieren lassen und so weiter. Wenn man fürs Premium-Abo 19,80 US-Dollar im Jahr bezahlt, gibt es noch einen integrierten Authenticator, Dateianhänge und so Sicherheitsberichte, die man auch bei Apple und Google regelmäßig bekommt, also ob Passwörter in irgendeinem Datenleck gelandet sind und so weiter.

Ja, das sind nette Funktionen, aber eigentlich alle wichtigen Sachen gibt's komplett kostenlos und das ist schon ziemlich nice. Dabei hat man sogar die Wahl, ob man deren Cloud-Service zur Synchronisation von mehreren Geräten benutzen will oder den Tresor, also da, wo alle Passwörter drin sind, gleich selbst hosten will. Das geht nämlich auch. Mein Kollege Lukas macht das auch schon länger und ist großer Fan von Bitwarden.

Für ihn ist da die Mischung aus dem Tresor selbst auf einem Home-Server hosten und gleichzeitig das ausgereifte Bitwarden-Ökosystem mit den Apps und Plugins für alle Plattformen der Selling Point. Ja, uff, hört sich alles super an, aber ich möchte meinen Tresor nicht selber hosten, sondern wenn, den Cloud-Service nutzen, damit das überall immer synchron ist und ich mir das nicht selber einrichten muss.

Ja, aber Bitwarden ist ein US-Unternehmen und man kann zwar wählen, ob die Passwörter auf US- oder europäischen Servern gespeichert werden sollen, aber die laufen immer über Microsofts Cloud-Hosting Azure. Also 'n richtiger Dealbreaker ist das jetzt für mich nicht unbedingt, weil das Tool ist Open Source und technisch mit den üblichen Mitteln abgesichert, also sowas wie Zero-Knowledge-Architektur, da komme ich später noch zu, aber ich habe trotzdem eher einen anderen Passwort-Manager im Auge, der aus der Schweiz kommt und auch seine Server hier in Europa stehen hat.

Vorher aber noch eine Honorable Mention: KeePass. Von dem habt ihr vielleicht auch schon mal gehört. Der kommt sogar aus Deutschland und ist, na ja, ich nenn's mal, die Nerd-Option. Keno benutzt den übrigens auch. Ja, und das Ding ist: KeePass sieht irgendwie so modern aus wie der Windows-Geräte-Manager. Das kann ja auch seinen Charme haben, I guess. Den nativen KeePass-Client gibt's für Windows, aber auf macOS oder Linux läuft der nur mit Mono oder Wine, alles ein bisschen krampfig.

Es gibt aber noch KeePassXC, was direkt auf allen Desktop-Betriebssystemen läuft, und für Android gibt es KeePassDX oder KeePass2Android und auf iOS KeePassium. Ja, das klingt ein bisschen kompliziert, aber das sind einfach alles eigenständige Tools, die Zugriff auf die Tresordatei von KeePass haben. Die bekommt man, wenn man einen neuen Tresor anlegt und kann lokal abgespeichert werden. Man kann die dann auch selbst hosten oder bei Dropbox hochladen und so weiter.

Einen eigenen Cloud-Dienst gibt es nicht. Also ja, man hat die maximale Kontrolle und kann sich das alles genauso einrichten, wie man das haben will, was ja cool ist, aber die Bedienung ist alleine durch die verschiedenen Tools auf mehreren Systemen, naja, für meinen Geschmack irgendwie ein bisschen zu fummelig. Ja, und ich will eh 'nen Cloud-Dienst nutzen und erstmal gar nichts selber hosten.

Ihr fragt euch vielleicht: Ja, warum denn eigentlich nicht? Wir lieben doch Selbsthosten. Ja, das Problem bei mir ist, dass mein Server, den ich hier zu Hause habe, eher eine Maschine für einen Minecraft-Server und für Plex ist. Da hängen ein paar USB-Festplatten ohne richtig vernünftige Backup-Struktur dran. Also man könnte auch Dropbox oder sowas verwenden, aber ja, ich hätte gern diese ganze Passwort-Nummer in einem Tool gebündelt, in dem alles synchron läuft. Ich glaub, das geht nicht nur mir so.

Also, wenn ich jetzt noch mal die Checkliste durchgehe, also: smoothe geräteübergreifende Bedienung, sinnvolle Grundfunktionen kostenlos, Cloud-Dienst mit Servern in Europa, dann komme ich immer bei Proton Pass raus. Das ist wirklich der einzige Dienst, der diese drei Voraussetzungen erfüllt, und deshalb ist es auch meine konkrete Empfehlung. Proton Pass kommt aus der Schweiz, hat seine Server in Europa stehen, sieht super aus und lässt sich über alle Devices und Betriebssysteme einfach bedienen, also quasi eine europäische Alternative zu Bitwarden. Und ich benutze ihn jetzt auch schon seit einer Woche und bin bisher sehr zufrieden.

Ja, und wie ich schon meinte: Im Free-Plan ist eigentlich schon alles enthalten, was man braucht. Man kann unendlich viele Geräte mit Proton Pass synchron halten. Es gibt für jedes meiner Geräte einen Client und Erweiterungen für fast alle gängigen Browser. Für 4,99 Euro im Monat oder 2,99 Euro, falls man jährlich bezahlt, gibt es noch ein paar Zusatzfunktionen, die aber teilweise eher Schnickschnack sind. Komme ich gleich noch zu.

Wie sicher sind Passwort-Manager?

Okay, also der Manager ist ausgewählt, und bevor ich den jetzt einrichte und alle meine Passwörter umziehe, einmal die Frage: Wie sicher sind solche Passwort-Manager eigentlich? Also, ich meine, viel heikler als mit Passwörtern kann's ja eigentlich nicht werden. Also, was viele der gängigen Passwort-Manager und auch Proton Pass gemeinsam haben, ist, dass sie Ende-zu-Ende-verschlüsselt sind. Verkürzt gesagt kann nur der jeweilige User mit seinem berechtigten Schlüssel die Einträge sehen.

Und die jeweiligen Einträge liegen auch nicht im Klartext beim Anbieter und sind nur mit dem jeweiligen Schlüssel einsehbar, also der vom User. Also auch Proton Pass selbst hat keine Möglichkeit, die gespeicherten Passwörter zu sehen. Zero-Knowledge-Architektur nennt sich das. Ja, klingt doch sicher. Ist es auch, eigentlich. Proton Pass hat selbst vor drei Jahren einen Audit von Cure53 in Auftrag gegeben, bei dem mehrere Sicherheitslücken entdeckt wurden, die schwerwiegendsten davon wurden behoben.

Außerdem simulierte 2025 der Sicherheitsforscher, ich hoffe, ich spreche seinen Namen richtig aus, Marek Tóth Clickjacking-Angriffe auf Browser-Erweiterungen von verschiedenen Passwort-Managern. Da wurden dann in vermeintlich harmlosen Buttons, wie beispielsweise Cookie-Bannern, Bedienelemente für Passwort-Manager versteckt, die dann Zugangsdaten automatisch ausgefüllt hatten. Ja, aber das betraf mehrere untersuchte Browser-Erweiterungen und auch diese Lücke ist bei Proton Pass mittlerweile behoben. Also 'ne 100-prozentige Sicherheit gibt es leider nicht. Wenn ich meine Daten alle auf 'n Blatt Papier schreibe, könnte das ja auch jemand lesen. Man muss halt schauen, welche Risiken man mit der eigenen Lösung minimiert und welche bleiben.

Einrichtung von Proton Pass

Jetzt Proton Pass einrichten und die Passwörter umziehen. Dafür muss man sich erstmal registrieren, und das Passwort, was man hier vergibt, ist das Master-Passwort für euren Tresor. Also das sollte wirklich sehr stark sein. Dafür gibt's auch ein paar Tricks, wie man sich lange und sichere Passwörter ausdenkt und die sich trotzdem merken kann. Proton Pass hat dafür selbst einen Artikel, der ganz hilfreich ist. Link ist in der Beschreibung.

Wenn man sich dann angemeldet hat, bekommt man auch direkt eine Wiederherstellungsphrase. Mit der kann man das Passwort zurücksetzen und die Daten wiederherstellen, falls man sein Master-Passwort vergisst. Also das Ding wirklich sehr gut aufbewahren, am besten auch noch ausdrucken und irgendwo abheften. Es gibt noch andere Wiederherstellungsmethoden, die man sich einrichten kann, um sein Passwort wiederherzustellen, also beispielsweise per SMS, aber damit wird auch nur das Passwort für den Zugang zurückgesetzt.

Den Tresor kann man damit nicht mehr entschlüsseln. Dafür bräuchte man noch was Zusätzliches, womit man die Daten wiederherstellt, beispielsweise eine Schlüsseldatei, die man irgendwo abspeichert. Mit dieser Wiederherstellungsphrase kann man immer beides wiederherstellen. Also ja, die am besten nicht verlieren.

Okay, hat man sich registriert, wird man direkt dazu ermutigt, die Browser-Erweiterung zu installieren. Hier steht auch direkt „für Brave“. Nice. Ja, wenn das installiert ist, kann man sich einfach einloggen und fertig. Und das Gute ist: Ich muss jetzt nicht händisch hingehen und meine Passwörter aus Apple oder Google copy-pasten, sondern ich kann hier direkt aus verschiedenen Managern die Passwörter importieren. Das kennt man auch, wenn man sich zum Beispiel 'nen neuen Browser installiert.

Dafür exportiert man jeweils in Apple oder Chrome die Passwörter als CSV-Datei. Die kann man dann hier easy in Proton Pass importieren. Fertig. Aber wenn man das macht: diese Datei bitte sofort wieder löschen. Da stehen nämlich alle Passwörter im Klartext drin. Na ja, hat man das einmal gemacht, läuft das alles. Wenn ich mich jetzt irgendwo einloggen will, erscheint hier ein Proton-Pass-Fenster und bietet mir direkt den Login an.

Was 'n bisschen nervig ist: Brave zeigt auch weiterhin die eigene Autofill-Funktion und man hat dann so komisch zwei Fenster. Das kann man aber einfach hier in den Einstellungen abstellen, also direkt bei Brave. Im Browser läuft's. Jetzt brauche ich das Ding nur noch hier direkt auf macOS. Einfach den Client runterladen, einloggen und fertig.

Ja, und jetzt benutze ich das genauso wie Apples Schlüsselbund vorher auch. Wenn ich irgendeinen Login brauche, öffne ich Proton Pass, logge mich ein und schaue einfach nach. Genauso unter Windows und Linux, läuft wunderbar. Nice. Übrigens, ganz am Rande: Passkeys funktionieren auch wunderbar. Wenn das 'ne Seite anbietet, kann ich den Passkey direkt in Proton Pass abspeichern. Geht super einfach. Aber, ne, hier geht's primär um Passwörter. Falls ihr mehr zu Passkeys wissen wollt, checkt unsere Videos dazu aus.

Eine irgendwie komische Einschränkung gibt es aber im Free Pass doch: Diese Autofill-Funktion, also dass ich beispielsweise im Browser direkt meine Login-Daten eintragen kann, funktioniert auf dem Desktop nur mit Pass Plus. Also im Browser und auf dem Handy geht das, aber wenn ich beispielsweise auf dem Mac ein Programm installiere, dann geht das da nicht. Also nur da, also nur bei Programmen, die auf dem Rechner installiert sind. Find ich ein bisschen seltsam, aber das braucht man eh eher selten und das kann man dann auch einfach copy-pasten. Also dafür extra den Pass Plus zu holen, lohnt sich meiner Meinung nach einfach nicht.

Ja, apropos Handy: Auf iOS ist das alles genauso einfach eingerichtet: Proton Pass runterladen, anmelden, mit Face ID verbinden und jetzt läuft das. Dann kann man in den Einstellungen unter „Automatisch ausfüllen und Passwörter“ Proton Pass als primäres Tool zum Einloggen festlegen. Dann tauchen in Apps und im Browser hier unten direkt die richtigen Vorschläge aus Proton Pass auf, genau wie vorher mit Apples Passwort-Tool. Und ja, jetzt läuft das einfach alles, ist immer synchron und für alles, was ich brauche, komplett kostenlos. Also inklusive Passkey-Funktion und unbegrenzt vielen Einträgen und Geräten.

Im Pass Plus für 4,99 Euro im Monat gäbe es noch die eben angesprochene Autofill-Funktion für Desktop-Clients und einen integrierten 2FA-Authenticator. Das ist ein bisschen verwirrend. Also man kann dann in Proton Pass direkt einen Authenticator-Schlüssel hinterlegen, der dann diese ständig wechselnden sechsstelligen Codes generiert, die man beispielsweise auch vom Google Authenticator kennt: Time-based One-Time Passwords oder kurz TOTP, so ja, so nennt man die. Die sind dann direkt im jeweiligen Eintrag hinterlegt und das kann auch schon sehr praktisch sein, weil Proton Pass die beim Einloggen dann auch automatisch ausfüllt.

Aber gut, das Ding ist: Wenn jetzt eine unbefugte Person Zugang zu Proton Pass haben sollte, hat derjenige auch direkt den zweiten Faktor. Ja, hm. Also praktisch ist das auf jeden Fall, aber sicherer wäre das in einem separaten Authenticator. Und so 'n richtiges, revolutionäres Killer-Feature ist das jetzt nicht, weil in Apples Passwort-App geht das zum Beispiel auch.

Außerdem bekommt man in den Bezahl-Abos mehr Cloud-Speicher und die Möglichkeit, bei einzelnen Einträgen Dateien reinzuhängen. Ja, dann vielleicht für wichtige Dokumente, die irgendwie mit den Login-Daten zu tun haben oder so, aber ja, ich brauche die Funktion nicht unbedingt, aber die gibt's halt auch noch. Zusätzlich gibt's die Funktion, Login-Daten via sicheren Link zu teilen. Damit kann man für einen begrenzten Zeitraum irgendwelche Login-Daten an jemanden schicken, der sich die dann auf so einer Seite abrufen kann. Ja gut, man könnte die auch einfach kopieren und einfach so verschicken, aber was weiß ich schon? Es gibt auch noch den Unlimited-Plan mit bis zu 500 GByte Cloud-Speicher und noch extra Mail-Adressen, einen VPN-Dienst und weiteren Schnickschnack. Also alles Funktionen, die ich jetzt nicht unbedingt brauche.

Alte Passwörter aufräumen und absichern

Okay, ja, alles ist synchron in einem Passwort-Manager vereint und wenn ich jetzt einen neuen Account irgendwo anlege, kann ich jedes Mal ein supersicheres Passwort automatisch von Proton Pass generieren lassen und direkt abspeichern. Sehr gut. Aber was ist denn mit meinen ganzen alten Passwörtern? Tja, die wiederholen sich ja leider oft und sind schon in Datenlecks aufgetaucht und müssen dringend geupdatet werden.

Die Frage ist: Wie geht man das jetzt an bzw. woher weiß man denn überhaupt, welche Passwörter und Mail-Adressen und so schon geleakt sind? Das kann man beispielsweise über die Seite haveibeenpwned.com auschecken. Da kann man jeweils entweder die Mail oder das Passwort einzeln eintippen und dann wird angezeigt, ob was geleakt wurde. Das ist 'n bisschen nervig, da jetzt alles einzeln einzutippen und geht theoretisch auch praktischer.

Denn sowohl Google als auch Apple geben mittlerweile Sicherheitswarnungen raus, wenn Login-Daten in einem Datenleck aufgetaucht sind, Passwörter sich wiederholen oder zu schwach sind. Hier bei macOS findet man das in der Passwort-App unter „Sicherheit“. Bei mir sind da 128 Einträge. Ja, uff, uh. An denen steht jeweils dran, ob das Passwort bereits verwendet wird oder sogar kompromittiert ist, genauso bei Google auch. Und daran habe ich mich dann einfach orientiert.

Proton Pass bietet in seinem Plus-Plan mit diesem Darknet-Monitor auch 'ne Möglichkeit, Leaks zu checken. Das ist ganz nett und zeigt auch schwache und sich wiederholende Passwörter an. Damit er auch nach Leaks scannt, muss man seine Mail-Adressen händisch noch einmal eintragen. Falls man Adressen von Protons eigenem Mail-Dienst hat, sind die hier automatisch hinterlegt und das können auch unendlich viele sein. Von anderen Anbietern kann man maximal zehn Stück eintragen.

Ja, und das funktioniert alles: Datenleaks werden angezeigt und man sieht, welche Daten da genau geleakt wurden. Aber es werden nicht wie bei Apple auch einzelne Passwörter überwacht, sondern immer nur in Verbindung mit der Mail-Adresse. Okay, hat man einmal rausgefunden, welche Passwörter geändert werden müssen, dann führt leider kein Weg mehr dran vorbei.

Denn die bittere Wahrheit ist: Man muss sich leider in jeden Account einmal einloggen, das Passwort mit einem generierten aus dem Manager austauschen und dann auch abspeichern, also in Proton Pass abspeichern. Das ist leider super nervig, aber anders geht's leider nicht. Das hat bei mir jetzt so lockere drei, vier Stunden gedauert und Spaß gemacht hat das nicht, aber na ja, ja, kriegt man schon hin.

Aber generell muss ich sagen: Ich schlafe jetzt auf jeden Fall deutlich besser, seit ich das gemacht habe. Ich muss mir nur noch ein Passwort merken für den Tresor in Proton Pass und sonst nichts. Wie macht ihr das? Lebt ihr auch mit diesem dunklen Geheimnis oder ist bei euch eh alles so Fort-Knox-mäßig safe und secure? Schreibt's gern mal in die Kommentare. Bis zum nächsten Mal. Tschüss.

c't 3003 ist der YouTube-Channel von c't. Die Videos auf c't 3003 sind eigenständige Inhalte und unabhängig von den Artikeln im c't Magazin. Die Redakteure Jan-Keno Janssen, Lukas Rumpler, Sahin Erengil und Pascal Schewe veröffentlichen jede Woche ein Video.