Dashlane vs Vaultwarden 2026: Wer hält Ihre Passwörter tatsächlich in der Hand?
Der durchschnittliche europäische Büroangestellte jongliert inzwischen mit 80 bis 150 Online-Konten, und für einen wachsenden Teil von ihnen ist die wertvollste Datei, die sie besitzen, weder ein Dokument noch eine Fotosammlung, sondern ein verschlüsselter Passwort-Tresor. Dieser Tresor hat einen physischen Ort. Er liegt auf einem Server, in einem Rechenzentrum, unter den Gesetzen eines bestimmten Landes, betrieben von einem Unternehmen, das bestimmten Gerichten Rechenschaft schuldet. Wer die Passwortmanager-Angebote in einem beliebigen großen Browser-Erweiterungsstore durchsieht, findet Dutzende Produkte, deren Herausgeberseiten weder eine Firmenadresse noch einen Hosting-Anbieter oder überhaupt eine Rechtsordnung nennen, direkt neben etablierten Anbietern mit veröffentlichten Audits. Verbraucher können also beide Arten mit denselben zwei Klicks installieren. Dashlane und Vaultwarden liegen an entgegengesetzten Enden dieser Landkarte. Dashlane ist ein kommerzieller, in Frankreich gegründeter Dienst, der Ihren verschlüsselten Tresor auf eigener Cloud-Infrastruktur speichert. Vaultwarden ist ein schlanker, von der Community gepflegter Server, kompatibel mit den offiziellen Bitwarden-Apps, den Sie selbst auf einer Maschine unter Ihrer Kontrolle betreiben. Beide können für demokratisch bewusste Verbraucher ausgezeichnete Entscheidungen sein. Sie beantworten die Frage, wer Ihre Passwörter verwahrt, nur völlig unterschiedlich, und dieser Unterschied wiegt 2026 schwerer als noch vor fünf Jahren.
Warum die demokratische Herkunft gerade bei Passwortmanagern zählt
Die meisten Produktkategorien bei Democratic Market betreffen physische Lieferketten: Kakaoplantagen, Batteriezellen, Baumwollspinnereien. Auch Passwortmanager haben eine Lieferkette, nur besteht sie aus Code, kryptografischen Bibliotheken, Serverinfrastruktur und Rechtsordnung. Die entscheidende Frage ist nicht, wo das Produkt montiert wurde, sondern welche Regierungen den Betreiber zu etwas zwingen können. In einer vollwertigen oder unvollständigen Demokratie mit unabhängigen Gerichten erfordert eine Herausgabeanordnung in der Regel einen richterlichen Beschluss, kann angefochten werden und taucht oft in Transparenzberichten auf. In einem autoritären Staat hat der Betreiber womöglich keine rechtliche Möglichkeit, sich zu verweigern. Chinas Nachrichtendienstgesetz von 2017 etwa verpflichtet Organisationen, die staatliche Geheimdienstarbeit zu unterstützen, zu fördern und mit ihr zu kooperieren, und Russlands SORM-System verschafft Sicherheitsdiensten ständigen Zugang zur Kommunikationsinfrastruktur. Ein gut konzipierter Passwortmanager setzt auf Zero-Knowledge-Verschlüsselung: Der Betreiber sieht Ihr Master-Passwort nie und kann Ihren Tresor nicht entschlüsseln. Doch Zero-Knowledge ist ein in Software umgesetztes Versprechen, und Software lässt sich aktualisieren. Eine Regierung, die einen Anbieter zwingen kann, einer einzelnen Zielperson eine manipulierte Browser-Erweiterung auszuliefern, umgeht die Kryptografie vollständig. Deshalb behandelt Democratic Market Rechtsordnung, Code-Transparenz und Update-Governance in dieser Kategorie als zentrale Kriterien, neben dem Wert im EIU-Demokratieindex für das Land, in dem der Betreiber rechtlich ansässig ist. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt Verbrauchern Passwortmanager ausdrücklich, rät aber ebenso, auf Herkunft und Transparenz des Anbieters zu achten.
Dashlane: französische Ingenieurskunst, Zero-Knowledge-Cloud, ausgereifte Bedienung
Dashlane wurde 2009 in Paris gegründet und betreibt einen großen Teil seiner Entwicklung nach wie vor in Frankreich, während der Unternehmenssitz in New York liegt. Daraus ergibt sich ein doppeltes demokratisches Profil: Frankreich erreicht 7,99 Punkte im EIU-Demokratieindex, die Vereinigten Staaten 7,85; beide gelten als unvollständige Demokratien, verfügen aber über robuste gerichtliche Kontrolle, Datenschutzbehörden und eine freie Presse. Technisch gehört Dashlane zu den konservativeren Konstruktionen am Markt. Tresore werden lokal mit AES-256 verschlüsselt, und der Schlüssel wird mit Argon2d aus Ihrem Master-Passwort abgeleitet, einer speicherintensiven Funktion, die Offline-Brute-Force-Angriffe teuer macht. Das Unternehmen veröffentlicht ein ausführliches Sicherheits-Whitepaper, betreibt ein öffentliches Bug-Bounty-Programm und unterstützt Passkeys seit 2023 in seinen Apps. 2022 stellte es seine nativen Desktop-Anwendungen für Windows und macOS ein und wechselte zu einem Modell, das primär auf die Browser-Erweiterung setzt. Das verkleinerte die Angriffsfläche, bündelte aber zugleich das Vertrauen im Update-Kanal der Erweiterung. Für Privatpersonen liegt der Premium-Preis bei rund fünf Euro pro Monat bei jährlicher Abrechnung, Familien- und Business-Tarife darüber. Der Reiz ist offensichtlich: Überwachung des Darknets, in manchen Tarifen ein integriertes VPN, sicheres Teilen, Verwaltungskonsolen für Unternehmen und nahezu kein Wartungsaufwand. Der Preis dafür ist, dass Sie einem Unternehmen, seinem Cloud-Anbieter und zwei Rechtsordnungen den Geheimtext Ihres gesamten digitalen Lebens anvertrauen.
Vaultwarden: selbst gehostet, quelloffen und nur so stark wie Ihre Einrichtung
Vaultwarden entstand 2018 als bitwarden_rs, eine in Rust geschriebene Neuimplementierung der Bitwarden-Server-API durch den Entwickler Daniel García, und wurde 2021 umbenannt, um Verwechslungen mit dem offiziellen Produkt zu vermeiden. Es steht unter der AGPL-3.0, sein Quellcode ist also vollständig öffentlich, und jede als Netzwerkdienst verbreitete Änderung muss offengelegt werden. Sein Hauptvorteil ist Effizienz: Während der offizielle Bitwarden-Server historisch einen Stapel aus .NET-Diensten und Microsoft SQL Server benötigte, läuft Vaultwarden als einzelner Docker-Container mit SQLite, MySQL oder PostgreSQL und versorgt eine Familie oder ein kleines Unternehmen problemlos von einem Raspberry Pi oder einem virtuellen Server für fünf Euro aus. Die Nutzer verbinden sich mit den offiziellen Bitwarden-Clients, die ebenfalls quelloffen sind und von Bitwarden Inc. mit Sitz in Kalifornien entwickelt werden. Die Verschlüsselung findet weiterhin auf dem Client statt, standardmäßig mit PBKDF2-SHA256 und 600.000 Iterationen oder auf Wunsch mit Argon2id, sodass der Server nie Klartext sieht. Unter dem Gesichtspunkt demokratischer Souveränität kommt Vaultwarden dem Ideal nahe: Hosten Sie es auf Hardware in Deutschland (EIU 8,80), Finnland (9,30) oder Norwegen (9,81), unterliegt Ihr Tresor dem Recht dieses Landes und keinem anderen. Es gibt jedoch einen wichtigen Vorbehalt. Vaultwarden ist ein Freiwilligenprojekt ohne kommerzielle Gesellschaft dahinter, hat keine formelle Prüfung durch Dritte durchlaufen, wie sie der eigene Server von Bitwarden erhalten hat, und seine Sicherheit hängt stark davon ab, wie sorgfältig Sie HTTPS, Backups, Admin-Token und Updates konfigurieren. Souveränität überträgt Verantwortung auf Sie.
Passwortmanager mit demokratischem Risiko: Kaspersky und undurchsichtige Klone
Nicht jeder Passwortmanager in europäischen Regalen stammt aus einer Demokratie. Der deutlichste Fall ist Kaspersky Password Manager, entwickelt von Kaspersky Lab mit Hauptsitz in Moskau. Russland erreicht 2,28 Punkte im EIU-Demokratieindex und liegt klar in der autoritären Kategorie. Im März 2022 sprach das BSI nach Paragraf 7 BSI-Gesetz eine förmliche Warnung vor dem Einsatz von Kaspersky-Sicherheitssoftware aus und verwies auf das Risiko, dass ein russischer Hersteller zu offensiven Operationen gezwungen werden könnte. 2024 ging das US-Handelsministerium weiter und verbot den Verkauf von Kaspersky-Produkten; Updates wurden ab September jenes Jahres eingestellt. Auch der Passwortmanager selbst hat eine technische Vorgeschichte: 2021 legten Forschende von Ledger Donjon offen, dass sein Passwortgenerator jahrelang die Systemzeit als Zufallsquelle genutzt hatte, wodurch erzeugte Passwörter weit vorhersagbarer waren, als Nutzer annahmen. Eine zweite Risikokategorie ist schwerer zu erkennen: kostenlose, markenlose Passwortmanager-Erweiterungen und Mobil-Apps, deren Herausgeberadresse, Hosting-Anbieter und Eigentümer sich nicht überprüfen lassen. Mehrere davon leiten die Tresor-Synchronisierung über Server in China (EIU 1,94) oder über anonymes Hosting. Die Position von Democratic Market ist eindeutig: Wenn Sie nicht feststellen können, wer den Update-Kanal kontrolliert und unter welchem Recht er arbeitet, können Sie das Risiko nicht sinnvoll bewerten, und das Produkt sollte Ihre Zugangsdaten nicht verwahren.
Dashlane vs Vaultwarden: Funktionen, Preis und demokratisches Profil im direkten Vergleich
Bei den Funktionen ist Dashlane das vollständigere Verbraucherprodukt. Es bietet automatisches Ausfüllen in den gängigen Browsern, Passkey-Speicherung, sichere Notizen, verschlüsselte Dateianhänge, Phishing-Warnungen, wenn das Ausfüllen auf einer Doppelgänger-Domain versucht wird, Überwachung von Datenlecks im Darknet und eine Business-Verwaltungskonsole mit SSO-Anbindung. Vaultwarden deckt über die Bitwarden-Clients den Großteil des Kerns ab: automatisches Ausfüllen, Passkeys, sichere Notizen, Anhänge, Organisationen zum Teilen, Zwei-Faktor-Authentifizierung einschließlich FIDO2-Hardwareschlüsseln und die Funktion Bitwarden Send zum flüchtigen verschlüsselten Teilen. Zudem schaltet es mehrere Funktionen frei, die Bitwarden zahlenden Kunden vorbehält, etwa TOTP-Generierung im Tresor und das Teilen in Organisationen, ohne Abonnement. Beim Preis kostet Dashlane für eine Einzelperson rund 60 Euro im Jahr, für Familien oder Teams mehr. Vaultwarden ist freie Software, realistisch zahlen Sie aber 40 bis 80 Euro im Jahr für einen kleinen virtuellen Server oder für Strom und Hardware eines Heimservers, dazu Ihre eigene Zeit. Beim demokratischen Profil schneidet Dashlane gut ab: ein in Frankreich gegründetes Unternehmen, US-Hauptsitz, Cloud-Infrastruktur in etablierten Demokratien, veröffentlichte Sicherheitsdokumentation. Vaultwarden erzielt bei der Souveränität noch höhere Werte, weil Sie die Rechtsordnung wählen, und bei der Transparenz, weil jede Zeile Servercode öffentlich ist. Bei der institutionellen Rechenschaft liegt es niedriger: Es gibt kein Unternehmen, das man verklagen könnte, keine Service-Level-Vereinbarung und kein formelles Audit. In der Bewertung von Democratic Market bestehen beide komfortabel; der Unterschied liegt darin, ob Sie ausgelagerte Zuverlässigkeit oder direkte Kontrolle höher gewichten. Wer einen Mittelweg sucht, findet ihn im offiziellen Bitwarden-Cloud-Dienst mit EU-Datenregion: dieselben quelloffenen Clients, aber ein Unternehmen mit formellen Audits, das den Server betreibt.
EU-Recht 2026, das Passwortmanager betrifft
Mehrere europäische Gesetze prägen diese Kategorie inzwischen unmittelbar. Die Datenschutz-Grundverordnung setzt weiterhin den Rahmen: Ein Cloud-Passwortmanager, der Daten von EU-Bürgern verarbeitet, braucht eine Rechtsgrundlage, muss Geschäftskunden Auftragsverarbeitungsverträge anbieten und die Beschränkungen internationaler Übermittlungen beachten, die der Europäische Gerichtshof 2020 im Urteil Schrems II präzisiert hat. Übermittlungen personenbezogener Daten in die Vereinigten Staaten stützen sich derzeit auf das im Juli 2023 angenommene EU-US Data Privacy Framework, das das Gericht der Europäischen Union im September 2025 gegen eine Klage des französischen Abgeordneten Philippe Latombe bestätigt hat, wobei weitere Rechtsmittel möglich bleiben. Für Unternehmen verlangt die NIS2-Richtlinie, in Deutschland über das NIS2-Umsetzungsgesetz und das novellierte BSI-Gesetz verankert, dass wesentliche und wichtige Einrichtungen Cybersicherheitsrisiken in der Lieferkette steuern, was in der Praxis bedeutet, zu prüfen, welche Werkzeuge zur Verwaltung von Zugangsdaten sie verwenden und wo diese gehostet werden. Am bedeutsamsten für 2026 ist der Cyber Resilience Act: Seine Meldepflichten für Schwachstellen greifen ab September 2026, die vollständige Anwendung folgt im Dezember 2027. Hersteller von Software mit digitalen Elementen, die in der EU verkauft wird, Passwortmanager eingeschlossen, müssen aktiv ausgenutzte Schwachstellen binnen 24 Stunden an die ENISA melden und während eines definierten Supportzeitraums Sicherheitsupdates liefern. Open-Source-Projekte, die außerhalb kommerzieller Tätigkeit entwickelt werden, wie Vaultwarden in seiner derzeitigen Form, sind weitgehend ausgenommen; wer jedoch einen gehosteten Vaultwarden-Dienst kommerziell verkauft, fällt in den Anwendungsbereich.
Wie Democratic Market Passwortmanager bewertet
Für Softwarekategorien übersetzt Democratic Market seine Lieferkettenmethodik in fünf gewichtete Fragen. Erstens die Rechtsordnung des Betreibers: Wo ist das Unternehmen eingetragen, wo liegt die kontrollierende Beteiligung, und welchen EIU-Wert hat jedes beteiligte Land? Betreiber, die aus einem Land unter 6,0 kontrolliert werden, sind ausgeschlossen. Zweitens der Datenstandort: Wo werden verschlüsselte Tresore physisch gespeichert, und können Kunden eine EU-Region wählen? Drittens die kryptografische Transparenz: Ist das Verschlüsselungsmodell in einem öffentlichen Whitepaper dokumentiert, sind die Clients quelloffen, und hat ein unabhängiges Unternehmen den Code in den vergangenen drei Jahren geprüft? Viertens die Update-Governance: Wer kann neuen Code auf Ihr Gerät bringen, wie werden Builds signiert, und gibt es reproduzierbare Builds, mit denen Außenstehende prüfen können, ob die veröffentlichte App dem veröffentlichten Quellcode entspricht? Fünftens Vorfallhistorie und Offenlegung: Hat der Anbieter Sicherheitsvorfälle erlitten, und wie schnell und ehrlich hat er sie gemeldet? In diesem Rahmen erhält Dashlane hohe Noten für Rechtsordnung, Dokumentation und Offenlegungskultur und mittlere Noten für Code-Transparenz, weil seine Clients nicht vollständig quelloffen sind. Vaultwarden erhält Bestnoten für Code-Transparenz und Datenstandort, doch seine Werte für Audit und Governance hängen von der jeweiligen Installation ab. Kaspersky Password Manager scheitert bereits an der ersten Frage.
Kaufberatung Schritt für Schritt: den richtigen Passwortmanager 2026 wählen
Entscheiden Sie zuerst, wer das System pflegen wird. Wenn sich in Ihrem Haushalt oder Unternehmen niemand zutraut, einen Linux-Server aktuell zu halten, wählen Sie einen gehosteten Dienst und belassen es dabei; ein ungepflegter selbst gehosteter Tresor ist gefährlicher als eine gut betriebene kommerzielle Cloud. Wählen Sie einen gehosteten Dienst, prüfen Sie das Gründungsland des Betreibers und den EIU-Wert und suchen Sie nach einem aktuellen Sicherheits-Whitepaper sowie einem unabhängigen Prüfbericht, der nicht älter als drei Jahre ist. Vergewissern Sie sich, dass der Anbieter Passkeys und Hardware-Sicherheitsschlüssel unterstützt, denn phishingresistente Authentifizierung ist heute das wichtigste Upgrade, das Sie vornehmen können. Entscheiden Sie sich für selbst gehostetes Vaultwarden, wählen Sie einen Hosting-Anbieter mit Hauptsitz in einer vollwertigen Demokratie, etwa Hetzner in Deutschland oder einen gleichwertigen Anbieter in den nordischen Ländern, und halten Sie das Rechenzentrum in derselben Rechtsordnung. Stellen Sie den Dienst hinter HTTPS mit gültigem Zertifikat, deaktivieren Sie die offene Registrierung, sobald Ihre Konten existieren, schützen Sie das Admin-Panel mit einem langen Token oder schalten Sie es ganz ab, und planen Sie automatische verschlüsselte Backups an einen zweiten Ort. Abonnieren Sie die Release-Benachrichtigungen des Projekts und aktualisieren Sie innerhalb weniger Tage nach einer Sicherheitsveröffentlichung. Gleich welchen Weg Sie wählen: Legen Sie ein langes, einzigartiges Master-Passwort aus mindestens fünf zufälligen Wörtern fest, aktivieren Sie die Zwei-Faktor-Authentifizierung für den Tresor selbst und exportieren Sie eine verschlüsselte Notfallkopie, die Sie offline aufbewahren. Die Verbraucherzentralen empfehlen zusätzlich, eine Vertrauensperson für den digitalen Nachlass zu benennen.
Fazit: Welchen Passwortmanager sollten demokratisch bewusste Verbraucher wählen?
Für die meisten Privatpersonen und Familien in Europa ist Dashlane eine solide demokratische Wahl: ein in Frankreich verwurzeltes Unternehmen mit transparentem Sicherheitsmodell, das unter zwei Demokratien mit unabhängigen Gerichten und aktiven Datenschutzaufsichten arbeitet und kaum technischen Aufwand erfordert. Wenn Sie maximale Souveränität wollen und Sie selbst oder jemand Ihres Vertrauens einen Server verantwortungsvoll betreiben kann, ist Vaultwarden, gehostet in Deutschland, Finnland oder einer anderen vollwertigen Demokratie, die stärkste verfügbare Option: offener Code, lokale Rechtsordnung und keine Bindung an ein Abonnement. Kleine Unternehmen, die unter NIS2 fallen, sollten den Prüfpfad sorgfältig abwägen: Ein kommerzieller Anbieter mit formellen Zertifizierungen erleichtert die Compliance oft, während eine selbst gehostete Vaultwarden-Instanz dokumentierte Verfahren braucht, um einen Prüfer zu überzeugen. Ohne Zögern abraten müssen wir von jedem Passwortmanager, dessen Betreiber in einem autoritären Staat sitzt oder sich gar nicht identifizieren lässt. Ihr Tresor ist der Generalschlüssel zu Ihrer Bank, Ihrem Postfach und Ihrer Identität. Zu entscheiden, wer ihn bewacht, ist eine der folgenreichsten digitalen Kaufentscheidungen dieses Jahres, und sie verdient dieselbe Sorgfalt, die Sie der Herkunft der Lebensmittel auf Ihrem Tisch widmen.