Passwortmanager 2026: Was zwei Sicherheitsvorfälle über Herkunft und Vertrauen lehren
Im Oktober 2023 gab 1Password bekannt, dass ein Angreifer mit einem aus einer Support-Datei abgegriffenen Sitzungstoken in die interne Okta-Verwaltungskonsole des Unternehmens gelangt war. Kein einziger Kundentresor wurde berührt, und die Architektur des Unternehmens hätte selbst bei einer vollständigen Kompromittierung der Server nur verschlüsselte Datenblöcke preisgegeben. Wenige Monate zuvor hatten Forschende gezeigt, dass KeePass 2.x aus einem Speicherabbild den Großteil des Masterpassworts preisgeben konnte – eine Schwachstelle mit der Kennung CVE-2023-32784, die mit Version 2.54 behoben wurde. Zwei Vorfälle, zwei sehr unterschiedliche Produkte und eine Lehre, die wichtiger ist als jede Marketingseite: Ein Passwortmanager ist nicht nur Software. Er ist eine Kette aus Rechtsordnungen, unternehmerischen Anreizen und Code, den irgendjemand irgendwo prüfen können muss. Bei einem Produkt, das die Schlüssel zu Ihrer Bank, Ihrem E-Mail-Konto und den Systemen Ihres Arbeitgebers verwahrt, ist der Verlauf dieser Kette keine abstrakte Frage. Gerade in Deutschland, wo das Bundesamt für Sicherheit in der Informationstechnik (BSI) Verbrauchern ausdrücklich die Nutzung von Passwortmanagern empfiehlt, lohnt sich deshalb der genaue Blick darauf, wer hinter dem Werkzeug steht.
Warum die demokratische Herkunft eines Passwortmanagers 2026 zählt
In den meisten Konsumkategorien ist man geopolitischen Risiken nur indirekt ausgesetzt, über Arbeitsbedingungen oder die Herkunft von Mineralien. Bei Passwortmanagern ist man es direkt. Das Unternehmen, das den Code schreibt, entscheidet, wie Schlüssel abgeleitet werden, welche Telemetriedaten Ihr Gerät verlassen und wie sich der Client aktualisiert. Der Staat, in dem dieses Unternehmen tätig ist, entscheidet, ob es stillschweigend gezwungen werden kann, eine veränderte Version auszuliefern oder Metadaten herauszugeben. In einer vollständigen Demokratie laufen solche Anordnungen über Gerichte, Aufsichtsgremien und zunehmend über Transparenzberichte. In einem autoritären Staat nicht. Deshalb behandelt Democratic Market den rechtlichen Sitz des Entwicklers und seiner Server als Hauptkriterium und nicht als Fußnote. Kanada, Heimat von 1Password, erreicht in unserem Datensatz 8,77 Punkte im EIU-Demokratieindex. Deutschland, wo KeePass entstanden ist und bis heute von seinem ursprünglichen Autor gepflegt wird, kommt auf 8,58. Russland, Heimat des Passwortmanagers von Kaspersky, liegt bei 2,22. Die Kryptografie aller drei Produkte mag solide sein; das institutionelle Umfeld ist nicht vergleichbar, und ein Sicherheitswerkzeug ist nur so vertrauenswürdig wie die schwächste Partei, die es verändern kann.
1Password: kanadisches SaaS rund um den Secret Key
1Password wird von AgileBits entwickelt, 2005 in Toronto von Dave Teare und Roustem Karimov gegründet. Den größten Teil seiner Geschichte kam das Unternehmen ohne externes Kapital aus; 2022 sammelte es in einer Finanzierungsrunde 620 Millionen US-Dollar bei einer Bewertung von 6,8 Milliarden ein und verkauft heute vor allem Abonnements an Privatpersonen, Familien und Unternehmen. Das zentrale Sicherheitskonzept ist tatsächlich eigenständig. Jedes Konto kombiniert das Masterpasswort mit einem 128-Bit-Secret-Key, der auf dem Gerät des Nutzers erzeugt und nie an das Unternehmen übertragen wird. Beide fließen in ein Verfahren ein, das 1Password Two-Secret Key Derivation nennt; eine gestohlene Kopie der Serverdatenbank lässt sich daher nicht allein auf Basis des Masterpassworts per Brute Force angreifen. Das ist der strukturelle Grund, warum der Okta-Vorfall 2023 nicht zu einem Tresor-Leck wurde, und es unterscheidet sich deutlich vom LastPass-Vorfall 2022, bei dem verschlüsselte Tresore, die nur durch Nutzerpasswörter geschützt waren, abgeflossen sind und später mit Kryptowährungsdiebstählen in Verbindung gebracht wurden. 1Password veröffentlicht ein ausführliches Sicherheits-Whitepaper, verfügt über eine SOC-2-Typ-2-Bescheinigung und betreibt ein öffentliches Bug-Bounty-Programm. Kunden können Datenregionen wählen, darunter eine kanadische und eine europäische unter der Domain 1password.eu – relevant für jede Organisation, die an die DSGVO gebunden ist. Für Kanada besteht zudem ein Angemessenheitsbeschluss der Europäischen Kommission für kommerzielle Organisationen, was Übermittlungen vereinfacht. Die Kehrseiten sind die jedes Closed-Source-SaaS: Sie können den Client-Code nicht selbst prüfen, Sie hängen von der Zahlungsfähigkeit und Preispolitik des Unternehmens ab, und Ihr Tresor liegt auf Infrastruktur, die Sie nicht kontrollieren und die in der Praxis von großen US-Cloud-Anbietern betrieben wird. Einzelpläne kosten bei jährlicher Abrechnung rund drei US-Dollar im Monat, Business-Pläne etwa acht Dollar pro Nutzer.
KeePass: deutsches Open Source, lokal aus Prinzip
KeePass steht am anderen Ende des Spektrums. Es wurde 2003 von Dominik Reichl veröffentlicht, einem deutschen Entwickler, der es bis heute pflegt, und steht unter der GNU General Public License. Es gibt kein Unternehmen, kein Abonnement und keinen Server: Das Programm speichert alles in einer einzigen verschlüsselten KDBX-Datei, die Sie aufbewahren, wo Sie wollen – auf dem Laptop, einem USB-Stick oder in einem selbst verwalteten Synchronisationsordner. Das aktuelle Format KDBX 4 unterstützt AES-256 und ChaCha20 mit Argon2 als Schlüsselableitung, und der Code wird seit zwei Jahrzehnten öffentlich begutachtet. 2016 finanzierte das EU-FOSSA-Projekt der Europäischen Kommission ein unabhängiges Audit von KeePass, das keine kritischen Schwachstellen fand – ein seltenes Beispiel dafür, dass eine öffentliche Institution für die Überprüfung von Software bezahlt, auf die sich Millionen Bürger und Beamte verlassen. Auch die französische Cybersicherheitsbehörde ANSSI hat frühere KeePass-Versionen im Rahmen ihres CSPN-Verfahrens zertifiziert. In der deutschen Verwaltung ist KeePass seit Jahren verbreitet, und viele IT-Abteilungen von Behörden und Hochschulen stellen es ihren Beschäftigten zur Verfügung. Das Ökosystem ist breit: KeePassXC, eine von der Community gepflegte plattformübergreifende Neuentwicklung, bietet native Clients für Linux und macOS sowie Browserintegration, während kompatible Apps wie KeePassDX unter Android dasselbe Dateiformat lesen. Die Schwächen sind ebenso klar. KeePass setzt voraus, dass der Nutzer sich um Synchronisation, Sicherungen und Gerätehygiene kümmert; die Speicherabbild-Lücke von 2023 zeigte, dass lokale Software nur so sicher ist wie der Rechner, auf dem sie läuft; und es gibt keinen Anbieter, den man anrufen kann, wenn ein Mitarbeiter sein Masterpasswort vergisst. Für Menschen, die diese Verantwortung tragen wollen, bietet KeePass aber etwas, das kein SaaS leisten kann: einen Tresor, der eine selbst gewählte demokratische Rechtsordnung nie verlassen muss.
Passwortmanager mit demokratischem Risiko: Kaspersky und undurchsichtige Gratis-Apps
Der eindeutigste Hochrisikofall in dieser Kategorie ist der Kaspersky Password Manager, entwickelt von dem Moskauer Sicherheitsunternehmen. Russland erreicht im EIU-Index 2,22 und gilt als autoritär. Kaspersky argumentiert seit Langem, die Datenverarbeitung für europäische Nutzer finde in der Schweiz statt und der Code könne in Transparenzzentren eingesehen werden, doch Regierungen haben ihre eigenen Schlüsse gezogen. Das deutsche BSI warnte im März 2022 nach § 7 BSI-Gesetz vor dem Einsatz von Kaspersky-Virenschutzprodukten, und im Juni 2024 untersagte das US-Handelsministerium den Verkauf von Kaspersky-Software, wobei die Updates für bestehende US-Kunden im September desselben Jahres endeten. Ein Passwortmanager, der automatische Updates von einem Unternehmen erhält, das nach russischem Recht zur Mitwirkung gezwungen werden könnte, ist ein Risiko, das keine noch so gute Verschlüsselung auf dem Papier beseitigt. Die zweite Risikogruppe ist schwerer genau zu benennen: kostenlose Passwort-Apps in mobilen App-Stores, deren Entwickleridentität, Eigentümer und Serverstandort unklar sind. Bei unseren Prüfungen finden wir regelmäßig Apps, die eine Briefkastenfirma in einem Land, Server in einem anderen und Entwicklungsteams in einem dritten angeben, teils in Staaten mit EIU-Werten unter 4. Wenn sich nicht feststellen lässt, wer den Code schreibt und welche Gerichte diese Personen zur Mitwirkung zwingen können, behandelt Democratic Market das Produkt als undurchsichtiger Herkunft – und undurchsichtige Herkunft bei einem Zugangsdatentresor bedeutet automatischen Ausschluss.
1Password vs. KeePass vs. Alternativen: Funktionen, Preis und demokratisches Profil
Funktional ist 1Password das ausgereiftere Produkt. Es bietet nahtlose Synchronisation zwischen Windows, macOS, Linux, iOS, Android und Browsern, Speicherung von Passkeys, geteilte Tresore mit feingranularen Berechtigungen, Watchtower-Warnungen bei Datenlecks, SSH-Schlüsselverwaltung und eine Admin-Konsole mit SCIM-Provisionierung für Unternehmen. KeePass bietet starke Verschlüsselung, Plugins, Auto-Type und vollständige lokale Kontrolle, doch Synchronisation, Teilen und Passkeys hängen von Plugins oder Abspaltungen Dritter ab, und die Oberfläche wirkt in die Jahre gekommen. Bei den Kosten ist KeePass dauerhaft kostenlos; 1Password kostet für Einzelpersonen etwa 36 Dollar im Jahr und für einen Business-Arbeitsplatz rund 96 Dollar pro Nutzer und Jahr. Beim demokratischen Profil schneiden beide gut ab: Kanada mit 8,77 und Deutschland mit 8,58 sind vollständige Demokratien mit unabhängigen Gerichten und starkem Datenschutzrecht. Der eigentliche Unterschied liegt darin, wo die Kontrolle sitzt. Bei 1Password wird Vertrauen an ein kanadisches Unternehmen und seine Cloud-Anbieter delegiert; bei KeePass bleibt es beim Nutzer, der die Datei in Deutschland, in Schweden (9,39) oder zu Hause aufbewahren kann. Zwei weitere Optionen gehören in jeden Vergleich. Bitwarden mit Sitz in den Vereinigten Staaten (7,85) ist quelloffen, unabhängig auditiert und lässt sich selbst hosten, auch über den Community-Server Vaultwarden in Rust. Proton Pass von der Genfer Proton AG bringt Schweizer Rechtsordnung (9,15) und Ende-zu-Ende-Verschlüsselung in ein Freemium-Modell. Keines der beiden ersetzt die Produkte dieses Vergleichs, aber beide zeigen, dass Komfort und Transparenz sich nicht mehr ausschließen.
EU-Recht 2026: DSGVO, NIS2 und Cyber Resilience Act
Der regulatorische Rahmen für Passwortmanager in Europa ist deutlich strenger geworden. Die DSGVO gilt weiterhin für jeden Tresor mit personenbezogenen Daten, also praktisch für alle, und macht den Standort von Servern und Unterauftragsverarbeitern zu einer Compliance-Frage für jedes Unternehmen, das einen SaaS-Manager nutzt. Die NIS-2-Richtlinie, die die Mitgliedstaaten bis Oktober 2024 umsetzen mussten, verpflichtet wesentliche und wichtige Einrichtungen zu Richtlinien für Zugriffskontrolle und Authentifizierung; in Deutschland ist das NIS-2-Umsetzungsgesetz nach längerer Verzögerung verabschiedet worden, und das BSI rechnet mit rund 30.000 betroffenen Unternehmen. Prüfer fragen zunehmend, welcher Passwortmanager eingesetzt wird und wo seine Daten liegen. Die bedeutendste Neuerung ist der Cyber Resilience Act, seit Dezember 2024 in Kraft. Seine Meldepflichten für Schwachstellen und Vorfälle gelten ab September 2026, die vollständigen Anforderungen an Security by Design ab Dezember 2027. Passwortmanager, die auf dem EU-Markt verkauft werden, brauchen dann ein dokumentiertes Schwachstellenmanagement, Sicherheitsupdates für die erwartete Lebensdauer des Produkts und eine Software-Stückliste. Der Rechtsakt nimmt Open-Source-Software aus, die außerhalb einer kommerziellen Tätigkeit entwickelt wird, und führt ein leichteres Regime für Open-Source-Verwalter ein, was für KeePass relevant ist. Kommerzielle Anbieter wie 1Password müssen die Einhaltung direkt nachweisen. Für Käufer ist der praktische Effekt positiv: Ab 2027 muss jeder in der EU verkaufte Passwortmanager offenlegen, wie er mit Schwachstellen umgeht, und wer das nicht kann, wird vom Markt verschwinden.
Wie Democratic Market Passwortmanager bewertet
Unsere Methodik für diese Kategorie gewichtet fünf Faktoren. Erstens die Rechtsordnung der beherrschenden Gesellschaft des Entwicklers, gemessen am EIU-Index; alles unter 6,0 wird ausgeschlossen, und unklare Eigentumsverhältnisse gelten bis zum Beweis des Gegenteils als Ausschlussgrund. Zweitens der Standort von Servern und Unterauftragsverarbeitern für synchronisierte Daten, einschließlich der Frage, ob Nutzer eine EU-Region wählen können. Drittens die Überprüfbarkeit: ob der Client-Code offen ist, ob unabhängige Audits veröffentlicht werden und wie aktuell sie sind und ob es ein Bug-Bounty-Programm gibt. Viertens die kryptografische Architektur, konkret die Frage, ob eine Kompromittierung des Servers allein Tresore offenlegen könnte. Fünftens die Portabilität, also ob Nutzer ihren Tresor in einem offenen Format exportieren und den Anbieter wechseln können. Nach diesem Raster erzielt KeePass die besten Werte bei Überprüfbarkeit und Portabilität, 1Password die besten bei Architektur und Bedienbarkeit, verliert aber Punkte wegen des geschlossenen Codes. Beide bestehen deutlich. Der Kaspersky Password Manager scheitert unabhängig von seinen technischen Qualitäten bereits am ersten Schritt. Wir aktualisieren diese Bewertungen, wenn die EIU ihren jährlichen Index veröffentlicht, wenn ein Produkt den Eigentümer wechselt oder wenn ein bedeutender Vorfall bekannt wird, wie 2023 bei beiden Produkten.
Kaufberatung Schritt für Schritt: So wählen Sie einen demokratischen Passwortmanager
Entscheiden Sie zuerst, wer die Schlüssel verwahren soll. Wenn Sie Passwörter für eine Familie oder ein kleines Team verwalten und Komfort schätzen, ist ein SaaS-Modell vernünftig, sofern der Anbieter in einer vollständigen Demokratie sitzt und eine EU- oder kanadische Datenregion anbietet. Sind Sie ein einzelner technisch versierter Nutzer oder arbeiten Sie im Journalismus, im Aktivismus oder in einer Rolle, in der staatlicher Zugriff eine reale Bedrohung ist, behält ein lokaler Tresor wie KeePass oder KeePassXC die Entscheidung in Ihrer Hand. Zweitens: Prüfen Sie vor jedem Download den rechtlichen Sitz des Entwicklers und den EIU-Wert des Landes, und ignorieren Sie Apps, deren Store-Eintrag kein reales Unternehmen mit Anschrift nennt. Drittens: Achten Sie auf ein veröffentlichtes unabhängiges Audit aus den letzten drei Jahren. Viertens: Legen Sie ein langes, einzigartiges Masterpasswort fest, idealerweise eine Passphrase aus fünf oder mehr zufälligen Wörtern, und aktivieren Sie bei jedem Cloud-Konto die Zwei-Faktor-Authentifizierung. Fünftens: Testen Sie die Exportfunktion am ersten Tag, damit Sie wissen, dass Sie wechseln können. Sechstens: Wenn Sie sich für KeePass entscheiden, legen Sie sofort eine Sicherungsroutine fest – mindestens eine verschlüsselte Kopie offline und eine in einem Synchronisationsordner, der in einer demokratischen Rechtsordnung gehostet wird, etwa bei einem deutschen Cloud-Anbieter. Migrieren Sie schließlich schrittweise, beginnend mit E-Mail und Onlinebanking, und löschen Sie alte Passwörter aus dem Browser, sobald der neue Tresor funktioniert.
Fazit: Welchen Passwortmanager sollte der demokratische Verbraucher wählen?
Zwischen 1Password und KeePass gibt es keine falsche Antwort – und genau das ist der Kern dieses Vergleichs. Beide werden in vollständigen Demokratien entwickelt, beide haben die öffentliche Prüfung realer Vorfälle überstanden, und beide schützen Tresore mit starker, gut dokumentierter Kryptografie. Die Wahl hängt davon ab, wem Sie vertrauen wollen. Bevorzugen Sie einen verwalteten Dienst mit hervorragender Synchronisation, Freigaben und Passkey-Unterstützung, ist 1Password das stärkere Produkt; sein kanadischer Sitz und die EU-Datenregion verschaffen ihm ein solides demokratisches Profil, und Sie sollten rund 36 Dollar im Jahr einplanen. Wollen Sie keine laufenden Kosten, offenen und mit öffentlichem Geld auditierten Code und einen Tresor, der die von Ihnen gewählte Rechtsordnung nie verlässt, passen KeePass oder KeePassXC besser, sofern Sie die Verantwortung für Sicherungen und Gerätesicherheit übernehmen. Abraten möchten wir von jedem Passwortmanager, dessen Entwickler einem autoritären Staat untersteht oder sich gar nicht identifizieren lässt. In dieser Kategorie ist die Herkunft mehr als in fast jeder anderen keine Wertaussage, die über das Produkt gelegt wird. Sie ist Teil des Sicherheitsmodells.