Ich nutze seit einer Weile eine Kombination, die auf den ersten Blick nach halbherzig aussieht: Apple Schlüsselbund für alles, was sich sowieso zwischen iPhone und Mac synchronisiert, und Dashlane für den Rest. Seit ich damals aus dem Zettel-Chaos ausgestiegen bin und später auf 47 Accounts mit sieben Passwörtern zurückblickte, hat sich daran nichts geändert. Funktioniert. Bis ich diese Woche über eine Meldung gestolpert bin, die mich kurz innehalten ließ.

Das Wichtigste in Kürze

• Das BSI hat gemeinsam mit dem FZI Forschungszentrum Informatik zehn verbreitete Passwort-Manager technisch untersucht [1]
• Bei drei der zehn Produkte – Chrome, mSecure und PassSecurium – ist ein Herstellerzugriff auf gespeicherte Passwörter theoretisch möglich [2]
• Trotz der gefundenen Schwächen spricht das BSI keine Warnung aus, sondern hält an seiner Empfehlung fest: Passwort-Manager bleiben die sicherste Wahl [1]
• Acht von zehn Anwendungen verschlüsseln den Passwort-Tresor nach einer Änderung des Master-Passworts nicht vollständig neu [3]
• Ein Wechsel des eigenen Systems birgt eigene Risiken, die kein Testbericht erfasst – sie entstehen erst während der Migration
• Wer sein aktuelles Tool kennt und diszipliniert nutzt, ist damit oft sicherer als mit einem theoretisch besseren, aber gerade erst eingerichteten System

Drei Reaktionen auf eine Schlagzeile

Das BSI hat zehn verbreitete Passwort-Manager technisch durchleuchtet – Verschlüsselung, Cloud-Anbindung, die Frage, ob der Hersteller selbst theoretisch an die Passwörter herankommt [1]. Ergebnis: Bei drei der zehn Kandidaten war ein Herstellerzugriff nicht auszuschließen. Betroffen sind laut Untersuchung der Chrome-Passwortmanager, mSecure und PassSecurium [2].

Erste Reaktion: Moment, ist meins dabei? Zweite Reaktion, nachdem ich mich durch die Berichterstattung gelesen habe: Entspann dich. Das BSI zieht aus den eigenen Ergebnissen keine Warnung, sondern eine Empfehlung – Passwort-Manager bleiben die sicherste Wahl, trotz der gefundenen Schwächen [1]. Dritte Reaktion, und die ist die eigentlich interessante: Selbst wenn eins meiner beiden Tools schlecht abgeschnitten hätte, ich würde trotzdem nicht wechseln. Und das ist kein Bequemlichkeitsargument, das ist Rechnen.

Was die Untersuchung sonst noch zeigt

Neben der Frage nach dem Herstellerzugriff hat die Untersuchung noch eine zweite Schwachstelle offengelegt, die mich mehr überrascht hat als die erste: Acht von zehn getesteten Anwendungen verschlüsseln den Container nach einer Änderung des Master-Passworts nicht vollständig neu [3]. Wer also sein Master-Passwort wechselt, weil er vorsichtig sein will, bekommt in den meisten Fällen keinen wirklich neuen Tresor, sondern denselben mit einem neuen Schloss davor. Einige Programme erlauben zudem das Zurücksetzen des Master-Passworts über biometrische Funktionen, was bei einem gestohlenen Gerät zum Risiko werden kann [3].

Für Cloud-basierte Speicherung gibt das BSI einen konkreten Rat: sich über den Speicherort der Daten und das dortige Schutzniveau beim Hersteller zu informieren, etwa über AGB und Datenschutzhinweise [1]. Auch die Verbraucherzentrale NRW, die an einer ergänzenden datenschutzrechtlichen Prüfung beteiligt war, kommt zu einem ähnlichen Schluss: Bei rund der Hälfte der geprüften Programme sei ein Zugriff durch den Anbieter zumindest theoretisch oder unter bestimmten Bedingungen möglich [4].

Warum ich trotzdem bei Schlüsselbund und Dashlane bleibe

Ein Wechsel bedeutet: hundert-plus Passwörter von Hand oder per Export in ein neues System übertragen. Jeden einzelnen Login danach prüfen, ob die Übertragung sauber war – Bank, E-Mail, jeder Online-Shop, jedes vergessene Abo, das sich seit Jahren nicht mehr gemeldet hat. Irgendwo in diesem Prozess passiert garantiert ein Fehler: ein Passwort wird doppelt vergeben, weil der Export es verschluckt hat. Ein altes Passwort bleibt aktiv, weil der neue Manager den Account gar nicht kannte. Genau in diesem Übergangsfenster, nicht im laufenden Betrieb, entstehen die eigentlichen Sicherheitslücken.

Anders gesagt: Die theoretisch bessere Verschlüsselung eines neuen Tools bringt mir nichts, wenn ich mir den Umzug dorthin selbst zum Risiko mache. Der Wechsel-Aufwand ist kein Argument fürs Bleiben aus Faulheit. Er ist ein Sicherheitsfaktor, nur einer, den kein Testbericht misst, weil er nicht im Produkt steckt, sondern in der Migration.

Weder Apple Schlüsselbund noch Dashlane tauchen in der Liste der drei auffälligen Produkte auf. Das ändert trotzdem nichts an meinem eigentlichen Punkt: Selbst wenn eines der beiden dabei gewesen wäre, hätte ich die Kosten eines Wechsels gegen den Nutzen einer theoretisch saubereren Architektur abgewogen und wäre vermutlich zum gleichen Ergebnis gekommen.

Was das für deine eigene Entscheidung bedeutet

Das BSI selbst gibt dafür eine brauchbare Checkliste an die Hand: für welche Konten du überhaupt einen Passwort-Manager brauchst, ob ein browserbasiertes oder eigenständiges Programm besser zu deinen Gewohnheiten passt, und ob deine Daten lokal oder in der Cloud liegen sollen [1]. Das sind die Fragen, die zählen, nicht die Frage, welches Tool gerade den besten Testbericht hat.

Wenn du neu einsteigst, lohnt sich natürlich ein Blick auf die aktuellen Ergebnisse, bevor du dich für ein System entscheidest. Wenn du wie ich schon seit Jahren in einem eingespielten System unterwegs bist, ist die eigentliche Frage eine andere: Wiegt der Sicherheitsgewinn eines Wechsels den Aufwand und das Fehlerrisiko der Migration auf? Bei mir lautet die Antwort aktuell: nein.

Würdest du wechseln?

Mich interessiert, wie du das siehst: Würdest du dein System wechseln, wenn ein Test wie dieser dein Tool betreffen würde? Oder überwiegt bei dir wie bei mir der Aufwand einer Migration? Ich bin gespannt, ob ich mit dieser Rechnung allein dastehe.

• ↑ BSI: Untersuchung – Verbesserungsbedarf bei Passwortmanagern (Dezember 2025)
• ↑ heise online: BSI prüft Passwort-Manager – einige ermöglichen theoretisch Herstellerzugriff
• ↑ IT-Administrator: BSI nimmt Passwortmanager unter die Lupe
• ↑ Verbraucherzentrale NRW: 10 Passwort-Manager im Vergleich
• stawi.de: Passwort-Sicherheit – Schluss mit dem Zettel-Chaos
• stawi.de: Passwort-Chaos – 47 Accounts, 7 Passwörter