Passwort-Manager einrichten: der Umstieg

Die meisten Menschen benutzen dasselbe Passwort für ein Dutzend Konten, und viele davon sind längst irgendwo geleakt. Einen Passwort-Manager einrichten klingt nach großem Projekt, ist aber an einem Nachmittag erledigt. Ein Passwort-Manager übernimmt das Merken, erzeugt für jeden Login ein eigenes langes Zufallspasswort und trägt es beim Anmelden automatisch ein. Du musst dir am Ende nur noch ein einziges Passwort merken. Dieser Text führt dich durch den kompletten Umstieg, inklusive des Teils, den fast alle Anleitungen weglassen: den Umzug deiner alten Passwörter und einen Plan für den Ernstfall.

Warum du einen Passwort-Manager brauchst

Der Kern des Problems ist einfache Mathematik. Kein Mensch kann sich 80 verschiedene, wirklich zufällige Passwörter merken, also greifen wir zu Mustern: der Name des Haustiers plus eine Zahl, dieselbe Kombination leicht abgewandelt, ein „gutes“ Passwort für alles Wichtige. Genau diese Muster knacken Angreifer heute automatisiert.

Der eigentliche Schaden entsteht durch Wiederverwendung. Wird ein einziger Onlineshop gehackt und deine Zugangsdaten landen im Netz, probieren Kriminelle dieselbe Kombination reihenweise bei anderen Diensten durch. Fachleute nennen das Credential Stuffing. Ob dein Passwort schon in einem bekannten Datenleck auftaucht, kannst du bei Have I Been Pwned prüfen. Für viele ist das ein unangenehmer Weckruf.

Ein Passwort-Manager löst das an der Wurzel. Jedes Konto bekommt ein eigenes, langes Passwort, das du nie selbst tippen oder dir merken musst. Ein Leck bei einem Dienst bleibt dann ein Problem bei genau diesem einen Dienst. Auch das BSI empfiehlt Privatnutzern ausdrücklich den Einsatz eines Passwort-Managers.

Im Browser gespeichert: reicht das nicht?

Chrome, Firefox und Safari bieten an, Passwörter zu speichern, und das ist besser als nichts. Für einen sauberen Einstieg reicht es trotzdem nicht ganz.

Die eingebauten Speicher sind an einen Browser und meist an ein Ökosystem gebunden. Wechselst du vom Android-Handy zum iPad oder nutzt du am Rechner einen anderen Browser als am Telefon, wird die Sache holprig. Ein eigenständiger Passwort-Manager funktioniert überall gleich: als App, als Browser-Erweiterung und auf dem Smartphone.

Dazu kommen Funktionen, die ein Browser nicht bietet: sichere Notizen für WLAN-Schlüssel oder Ausweisnummern, ein Warnsystem für schwache und mehrfach genutzte Passwörter, und ein durchdachter Notfallzugriff. Wer seine Zugänge ernsthaft aufräumen will, ist mit einem separaten Manager konsequenter unterwegs.

Den passenden Manager auswählen

Für Einsteiger gibt es eine klare Empfehlung: Bitwarden. Der Dienst ist quelloffen, hat eine kostenlose Version, die auf allen Geräten synchronisiert, und läuft auf Windows, Mac, Linux, Android und iPhone sowie in jedem gängigen Browser. Für die allermeisten Privatnutzer deckt die Gratisversion alles ab, was sie brauchen. Das beantwortet auch die häufige Frage nach dem besten kostenlosen Passwort-Manager.

Zwei sinnvolle Alternativen, je nach Geschmack:

• 1Password: kostenpflichtig, sehr ausgereift und besonders angenehm für Familien. Wer bereit ist, ein paar Euro im Monat zu zahlen, bekommt eine der rundesten Lösungen.
• KeePassXC: komplett offline und kostenlos. Deine Passwörter liegen in einer verschlüsselten Datei auf deinem Rechner, die Synchronisierung organisierst du selbst über deinen Cloud-Speicher. Ideal für alle, die maximale Kontrolle wollen und keine Cloud eines Anbieters nutzen möchten.

Halte dich nicht mit dem Vergleich von zwanzig Anbietern auf. Der beste Passwort-Manager ist der, den du heute einrichtest und dann wirklich benutzt. Für den Rest dieser Anleitung gehe ich beispielhaft von Bitwarden aus, die Schritte sind bei den anderen sehr ähnlich.

Ein starkes Master-Passwort erstellen, das du dir merkst

Das Master-Passwort ist der eine Schlüssel zu allem. Es muss stark sein, und du musst es dir sicher merken können, denn niemand kann es für dich zurücksetzen. Bei den meisten Anbietern gilt: Vergisst du das Master-Passwort, sind die Daten verloren. Das ist gewollt, weil selbst der Anbieter sie nicht entschlüsseln kann.

Die beste Methode ist eine Passphrase aus mehreren zufälligen Wörtern. Vier bis fünf Wörter, die nichts miteinander zu tun haben, ergeben etwas wie „Anker Giraffe Kupfer Vulkan sieben“. Das ist lang genug, um selbst massiven Rateangriffen standzuhalten, und lässt sich als kleine absurde Szene im Kopf viel leichter behalten als ein wildes Zeichenchaos.

Ein paar Regeln dazu:

• Nimm echte Zufallswörter, keinen Satz aus einem Buch oder Lied.
• Verwende dieses Passwort für nichts anderes, wirklich nirgends.
• Schreib es dir am Anfang ruhig auf einen Zettel und leg ihn an einen sicheren Ort, bis es wirklich sitzt.

Schalte direkt danach die Zwei-Faktor-Authentifizierung für deinen Passwort-Manager ein. Dann reicht das Master-Passwort allein nicht mehr aus, um in deinen Tresor zu kommen.

Alte Passwörter importieren und aufräumen

Diesen Schritt überspringen viele, dabei entscheidet er über den Erfolg. Ein leerer Manager bringt nichts, solange deine alten Passwörter weiter im Browser liegen.

Zuerst der Import. Alle gängigen Browser können ihre gespeicherten Passwörter als Datei exportieren, meist im CSV-Format. Diese Datei liest dein Passwort-Manager beim Einrichten ein, und mit einem Schlag sind deine bekannten Logins drin. Zwei Dinge sind wichtig: Lösche die exportierte CSV-Datei danach sofort, denn darin stehen alle Passwörter im Klartext. Und schalte das Speichern von Passwörtern im Browser anschließend ab, damit nicht zwei Systeme parallel laufen.

Dann das Aufräumen, und hier liegt der eigentliche Gewinn. Viele Manager zeigen dir in einem Sicherheitsbericht, welche Passwörter schwach sind, welche du mehrfach nutzt und welche in bekannten Datenlecks auftauchen. Bei Bitwarden steckt dieser ausführliche Bericht in der kostenpflichtigen Premium-Version (rund 10 US-Dollar im Jahr). Nutzt du die Gratisversion, prüfst du bekannte Lecks weiterhin von Hand über Have I Been Pwned und gehst deine Einträge einmal selbst durch. Arbeite die Liste nach Priorität ab, nicht auf einen Schlag:

1. E-Mail-Postfach zuerst, denn darüber lassen sich fast alle anderen Konten zurücksetzen.
2. Onlinebanking und Bezahldienste.
3. Alles mit hinterlegter Zahlungsmethode, also große Shops und Marktplätze.
4. Der lange Rest, den du nach und nach erledigst, wann immer du dich irgendwo einloggst.

Für jedes wichtige Konto rufst du die Passwort-ändern-Seite auf, lässt den Manager ein neues Zufallspasswort erzeugen und speicherst es. Nach zwei, drei Sitzungen ist das Gröbste erledigt. Wie du dein zentrales E-Mail-Konto zusätzlich absicherst, ist einen eigenen Blick wert, weil es der Generalschlüssel zu allem anderen ist.

Auf allen Geräten synchron nutzen

Ein Passwort-Manager entfaltet seinen Nutzen erst, wenn er überall dabei ist. Installiere ihn deshalb an allen Stellen, an denen du dich anmeldest.

Auf dem Computer ist die Browser-Erweiterung das zentrale Werkzeug. Sie erkennt Login-Felder und bietet mit einem Klick das passende Passwort an, oft direkt im Feld. Auf dem Smartphone richtest du den Manager in den Systemeinstellungen als Dienst zum automatischen Ausfüllen ein, unter iOS wie unter Android. Danach schlägt dir das Handy in jeder App das gespeicherte Passwort vor.

Die Synchronisierung läuft im Hintergrund verschlüsselt über den Anbieter. Änderst du ein Passwort auf dem Laptop, steht es Sekunden später auf dem Handy bereit. Wichtig für den Kopf: Gespeichert wird alles verschlüsselt, und der Schlüssel dazu ist dein Master-Passwort, das der Anbieter nicht kennt. Für ergänzende Verfahren ohne Passwort lohnt ein Blick auf Passkeys, die viele Manager inzwischen ebenfalls speichern.

Notfallplan: Zugriff für den Ernstfall

Ein Punkt, den fast niemand bedenkt: Was passiert, wenn dir etwas zustößt oder du im Urlaub ohne Zugang zu deinem Manager dastehst? Ein Tresor, an den nur du herankommst, kann im falschen Moment zur Falle werden.

Drei Vorkehrungen machen dich krisenfest:

• Rettungscode deines Managers sichern. Was hier zu sichern ist, hängt vom Anbieter ab. 1Password gibt dir ein Emergency Kit mit deinem geheimen Schlüssel, das du ausdruckst und zu deinen wichtigen Papieren legst, etwa ins Ordnerfach mit Ausweis und Versicherungsunterlagen. Bitwarden kennt keinen solchen Code für ein vergessenes Master-Passwort. Dort gibt es bewusst keine Hintertür, weshalb dein aufgeschriebenes Master-Passwort und die folgenden Punkte umso wichtiger sind.
• Notfallkontakt einrichten. Manche Manager erlauben es, einer Vertrauensperson zeitverzögerten Notzugriff zu geben. Fordert sie Zugang an, bekommst du eine Frist zum Widerspruch, und erst danach wird der Zugriff freigegeben. Bei Bitwarden ist dieser Notzugriff allerdings der Premium-Version vorbehalten und in der empfohlenen Gratisversion nicht dabei.
• Zweiten Faktor absichern. Wenn dein zweiter Faktor an einem einzigen Handy hängt und das Handy verloren geht, wird es eng. Hinterlege die Wiederherstellungscodes deiner Zwei-Faktor-Methode getrennt und sicher.

Damit ist der Umstieg vollständig. Du hast einen Manager, ein starkes Master-Passwort, deine alten Zugänge aufgeräumt und einen Plan für den Fall der Fälle. Der größte Schritt für deine digitale Sicherheit kostet dich einen Nachmittag, danach ist er einfach da und arbeitet leise im Hintergrund. Wer noch einen Schritt weitergehen will, verbindet das Ganze mit einem durchdacht genutzten VPN in unsicheren Netzen.