Werkzeuge

Ein Passwortmanager hält die Schlüssel zu Ihrem gesamten digitalen Leben: Ob Sie ihm vertrauen können, zählt daher weit mehr als bei fast jeder anderen App, die Sie installieren. Anders als eine Notiz-App oder ein Kalender ist ein Tresor ein einziger, katastrophaler Single Point of Failure: Wird er kompromittiert, sind alle Konten, die er schützt, auf einen Schlag offengelegt. Das macht die Sicherheitsversprechen eines Anbieters und Ihre Fähigkeit, sie zu überprüfen, umso wichtiger.

Open-Source-Software beantwortet einen Teil dieser Frage. Wenn der Quellcode öffentlich ist, können unabhängige Forscher genau nachlesen, wie Ihre Geheimnisse gespeichert werden, wie sie verschlüsselt sind und was Ihr Gerät verlässt. Sie glauben einer Marketingseite nicht mehr aufs Wort: Die Umsetzung steht zur Prüfung offen. Offener Code ist keine Garantie für Perfektion, aber er verkleinert erheblich den Raum, in dem eine versteckte Schwäche oder eine heimliche Hintertür unbemerkt überleben könnte.

Drei Open-Source-Tresore, die man kennen sollte

Bitwarden ist die bekannteste Open-Source-Option. Seine Client-Anwendungen und sein Server werden unter offenen Lizenzen veröffentlicht, und das Unternehmen hat unabhängige Sicherheitsaudits in Auftrag gegeben, deren Ergebnisse öffentlich sind. Ein entscheidendes Merkmal ist, dass Sie das Backend selbst hosten können, wenn Sie volle Kontrolle darüber wollen, wo Ihre verschlüsselten Daten liegen, und dabei dieselben ausgefeilten Apps nutzen. Für die meisten Menschen ist das gehostete Gratisangebot großzügig: Es deckt unbegrenzt viele Passwörter auf unbegrenzt vielen Geräten ab, was einen häufigen Grund beseitigt, bei der Sicherheit Kompromisse zu machen.

KeePassXC verfolgt einen grundlegend anderen, vollständig lokalen Ansatz. Es gibt keine Cloud-Komponente: Ihr Tresor ist eine einzige verschlüsselte Datenbankdatei, die Sie selbst speichern und synchronisieren, mit dem Speicher, dem Sie ohnehin vertrauen. Das spricht Menschen an, die keinerlei Beteiligung Dritter wünschen und sich mit der Verwaltung eigener Backups und Synchronisierungen wohlfühlen. Der Kompromiss ist die Bequemlichkeit – die Synchronisierung zwischen Telefon und Laptop richten Sie manuell ein, statt dass sie von selbst geschieht.

Für alle, die Open-Source-Kryptografie wollen, ohne eigene Infrastruktur zu betreiben, ist Proton Pass eine solide verwaltete Option. Es wird vom Team hinter Proton Mail entwickelt, nutzt Ende-zu-Ende-Verschlüsselung, und seine Apps sind quelloffen: So erhalten Sie überprüfbare Sicherheit mit der Bequemlichkeit einer gehosteten Synchronisierung zwischen Ihren Geräten. Es bietet außerdem Funktionen wie Hide-my-email-Aliase, die sich für ohnehin datenschutzbewusste Menschen ganz natürlich neben die Passwortspeicherung einfügen.

Den eigenen Platz im Spektrum wählen

Diese Werkzeuge veranschaulichen ein nützliches Spektrum statt einer einzigen Antwort. An einem Ende steht die vollständig lokale Kontrolle mit KeePassXC; in der Mitte die gehostet-oder-selbstgehostet-Flexibilität von Bitwarden; und am verwalteten Pol Proton Pass mit seinen datenschutzfreundlichen Standardeinstellungen und gehosteter Bequemlichkeit. Wo Sie sich einordnen, hängt davon ab, wie viel operative Arbeit Sie im Tausch gegen Kontrolle auf sich nehmen wollen und wie sehr Sie eine reibungslose Synchronisierung zwischen Geräten schätzen.

• Bitwarden – Open Source, unabhängig auditiert, optionales Selbsthosting, großzügiges Gratisangebot
• KeePassXC – vollständig lokale, verschlüsselte Tresordatei, ohne Cloud, Synchronisierung und Backups verwalten Sie selbst
• Proton Pass – quelloffene Apps, gehostete Ende-zu-Ende-verschlüsselte Synchronisierung, integrierte E-Mail-Aliase

Fallstricke und die Grenzen von offenem Code

Welche Wahl Sie auch treffen, hüten Sie sich vor einigen verbreiteten Fallstricken. Der erste ist die Wiederverwendung eines schwachen Master-Passworts, was selbst die robusteste Verschlüsselung untergräbt. Der zweite ist das Auslassen von Export oder Backup, was Sie aussperrt, wenn ein Gerät ausfällt. Der dritte ist, die im Browser integrierte Passwortspeicherung als gleichwertig zu betrachten – sie ist praktisch, aber ihr fehlen meist das dedizierte Sicherheitsmodell, die plattformübergreifende Reichweite und die Alias-Funktionen eines echten Managers.

Es lohnt sich auch, ehrlich zu sein, was Open Source Ihnen bringt und was nicht. Öffentlicher Code macht ein Audit möglich, aber das Audit muss tatsächlich stattfinden, und die Apps, die Sie herunterladen, müssen wirklich dem veröffentlichten Quellcode entsprechen. Deshalb zählen Reputation, eine Historie beauftragter Audits und eine aktive Community ebenso viel wie die Lizenz selbst. Bitwarden, KeePassXC und Proton Pass überspringen diese Hürde alle, jeder auf seine Weise.

Gewohnheiten, die mehr zählen als die Marke

Was immer Sie wählen, die Grundlagen sind bei allen Optionen dieselben. Verwenden Sie ein langes, einzigartiges Master-Passwort, das Sie nie anderswo benutzt haben, aktivieren Sie die Zwei-Faktor-Authentifizierung für den Tresor selbst, und lassen Sie den Manager für jede Website ein einzigartiges Zufallspasswort erzeugen. Diese drei Gewohnheiten zählen mehr als die genaue Marke auf dem Symbol.

Das richtige Werkzeug ist letztlich das, das Sie tatsächlich regelmäßig verwenden. Eine theoretisch perfekte Konfiguration, die Sie nach einer Woche aufgeben, schützt nichts, während ein etwas weniger ideale Manager, den Sie täglich öffnen, alles schützt. Wählen Sie die Option, deren Kompromisse Sie akzeptieren können, richten Sie sie einmal richtig ein, und lassen Sie sie von da an still ihre Arbeit tun.