Passwortmanagement unter Windows, macOS und Linux: Passwortmanager, MFA und Passkeys

Warum Excel-Listen und mehrfach verwendete Passwörter gefährlich sind

Bei der Betreuung von Kunden begegnen uns nach wie vor lokal abgelegte Excel-Sheets, Word-Dokumente und andere Dateien mit Benutzernamen und Passwörtern. Besonders kritisch ist, dass ein und dasselbe Passwort häufig für mehrere Plattformen, Shops, E-Mail-Konten oder Verwaltungsoberflächen verwendet wird. Eine solche Datei mag übersichtlich erscheinen, ist aber kein Ersatz für einen Passwortmanager mit kontrollierter Verschlüsselung, automatischer Sperre und geeigneten Zugriffsrechten.

Eine unverschlüsselte Passwortliste lässt sich beispielsweise über eine kompromittierte Windows-Anmeldung, ein gestohlenes Notebook, einen ungeschützten Backup-Ordner oder versehentliches Teilen offenlegen. Selbst wenn eine Excel-Datei mit einem Kennwort geschützt wird, fehlen häufig zentrale Funktionen wie das Erkennen mehrfach verwendeter Passwörter, sichere Freigaben, automatische Sperrung oder eine kontrollierte Rechtevergabe. Der Schutz hängt zudem von der tatsächlichen Dateiverschlüsselung, dem verwendeten Kennwort und dem Umgang mit Kopien ab.

Die Wiederverwendung von Passwörtern vergrössert den Schaden eines einzelnen Datenlecks. Werden Anmeldedaten bei einem Dienst gestohlen, können Angreifer dieselbe Kombination aus E-Mail-Adresse und Passwort automatisiert bei anderen Diensten ausprobieren. Diese Methode heisst Credential Stuffing. Wer das Passwort eines wenig wichtigen Forums zugleich für das geschäftliche E-Mail-Konto nutzt, macht aus einem begrenzten Vorfall unter Umständen ein erhebliches Unternehmensrisiko.

Was ein Passwortmanager im Alltag tatsächlich bringt

Ein Passwortmanager speichert Zugangsdaten in einem verschlüsselten Tresor, dem sogenannten Vault. Statt sich dutzende Kennwörter merken zu müssen, schützt man den Tresor mit einer starken, einzigartigen Passphrase beziehungsweise dem vom Anbieter vorgesehenen Anmeldeverfahren. Der integrierte Passwortgenerator erstellt für jedes Konto ein eigenes, langes Zufallspasswort. Dadurch entfällt der Anreiz, ein gut merkbares Kennwort immer wieder zu verwenden.

Passwortmanager erleichtern zudem das Anmelden über Browser-Erweiterungen, das Wiederfinden eines Zugangs, das Aktualisieren kompromittierter Kennwörter und – je nach Produkt und Tarif – die kontrollierte Weitergabe von Zugangsdaten innerhalb eines Teams. Viele Lösungen können auch Passkeys und zeitbasierte Einmalcodes (TOTP) verwalten. Dabei unterscheiden sich die Funktionen zwischen Betriebssystemen, Erweiterungen und Abonnements.

Grundsätzlich gibt es zwei Modelle: Cloud-synchronisierte Tresore stellen verschlüsselte Zugangsdaten auf mehreren Geräten bereit; lokale Tresore speichern die Datenbank zunächst als verschlüsselte Datei. Eine lokale Lösung ist nicht automatisch sicherer: Backups, Synchronisation, Updates und Dateiberechtigungen müssen selbst organisiert werden. Ein Cloud-Dienst benötigt hingegen besondere Aufmerksamkeit für Anbieter, Kontoschutz, Verfügbarkeit und Wiederherstellung.

Passwortmanager für Windows, macOS und Linux im Vergleich

Die folgende Übersicht zeigt verbreitete Lösungen mit Stand 25. Oktober 2026. «Desktop» bezeichnet eine eigenständige Anwendung; «Browser» bedeutet, dass die Nutzung über eine Browser-Erweiterung beziehungsweise Weboberfläche erfolgt. Bei Passkeys, Offline-Zugriff, Teamfunktionen und Synchronisation sind die konkreten Produktversionen und Tarife zu prüfen. Die Tabelle ist keine Sicherheitsrangliste.

* Für Dashlane auf Linux nennt der Hersteller Chrome, Firefox und Edge. Browser- und Betriebssystemunterstützung können sich mit Software-Updates ändern.

Für Personen, die Windows, macOS und Linux parallel nutzen, sind plattformübergreifende Lösungen besonders praktisch. Wer den Tresor bewusst als lokale Datei verwalten will und sich um Backups kümmern kann, findet in KeePassXC eine andere Architektur als bei einem synchronisierten Cloud-Dienst. In Unternehmen sind darüber hinaus Rollen, Berechtigungen, Austrittsprozesse, sichere Freigaben und zentrale Richtlinien wichtig – nicht nur der Preis pro Benutzer.

2FA, MFA und Authenticator-Apps: eine zweite Schutzschicht

Zwei-Faktor-Authentifizierung (2FA) bedeutet, dass für die Anmeldung zwei unterschiedliche Kategorien von Nachweisen verwendet werden, beispielsweise ein Passwort («etwas, das man weiss») und ein Code aus einer Authenticator-App auf dem eigenen Smartphone («etwas, das man besitzt»). Multi-Faktor-Authentifizierung (MFA) ist der übergeordnete Begriff für die Kombination von mindestens zwei Faktoren. Biometrie wie Fingerabdruck oder Gesichtserkennung kann als weiterer Faktor dienen, sofern sie innerhalb eines entsprechend abgesicherten Authentifizierungsverfahrens eingesetzt wird.

Authenticator-Apps wie Microsoft Authenticator oder Google Authenticator erzeugen häufig zeitbasierte Einmalcodes nach dem TOTP-Verfahren. Aktiviert wird TOTP üblicherweise im Sicherheitsbereich des jeweiligen Kontos: Dort scannt man mit der App einen QR-Code, bestätigt einen erzeugten Code und bewahrt die angebotenen Wiederherstellungscodes sicher auf. Anschliessend reicht bei einer erneuten Anmeldung das Passwort allein nicht mehr aus.

MFA ist besonders für E-Mail-Konten, Microsoft- oder Google-Konten, Cloud-Speicher, VPN-Zugänge, Administrationskonten und den Passwortmanager selbst wichtig. Authenticator-Codes bieten einen deutlichen Zusatzschutz, sind aber nicht vollständig phishing-resistent: Auf einer gefälschten Anmeldeseite kann ein Angreifer einen eingegebenen Code in Echtzeit missbrauchen. SMS-Codes sind im Allgemeinen weniger widerstandsfähig als geeignete Authenticator- oder FIDO2-Verfahren. Die amerikanische Sicherheitsbehörde CISA empfiehlt, nach Möglichkeit phishing-resistente MFA einzusetzen.

Passkeys: Anmeldung ohne wiederverwendbares Passwort

Passkeys sind ein auf FIDO2/WebAuthn basierendes Anmeldeverfahren mit asymmetrischer Kryptografie. Der Dienst erhält einen öffentlichen Schlüssel; der zugehörige private Schlüssel verbleibt im Passkey-Speicher des Nutzers. Zur Anmeldung bestätigt das Gerät eine kryptografische Herausforderung, häufig nach Entsperrung mittels PIN oder Biometrie. Auf diese Weise wird kein wiederverwendbares Webseitenpasswort übertragen.

Ein wesentlicher Vorteil ist die Bindung an die legitime Webseite beziehungsweise die sogenannte Relying Party ID. Dadurch schützen korrekt eingesetzte Passkeys wesentlich besser vor klassischen Phishing-Seiten als eingegebene Passwörter oder TOTP-Codes. Passkeys können je nach Verfahren und Benutzerverifikation eine Mehrfaktor-Authentifizierung darstellen; sie sind aber nicht einfach «ein weiterer sechsstelliger MFA-Code». Voraussetzung ist, dass der betreffende Dienst Passkeys unterstützt und die Wiederherstellung der Passkeys verlässlich geregelt ist.

Für wichtige Konten empfiehlt sich, einen Passkey oder einen FIDO2-Sicherheitsschlüssel zu aktivieren, sofern der Anbieter dies unterstützt. Es ist sinnvoll, vorab eine zweite zulässige Anmeldemöglichkeit oder einen Wiederherstellungsweg zu hinterlegen. So führt ein verlorenes Smartphone oder Notebook nicht zwangsläufig zum Kontoverlust.

Sind Passwortmanager sicher? Ja, mit klaren Grenzen

Seriöse Passwortmanager können das Sicherheitsniveau deutlich erhöhen, weil sie starke, einmalige Kennwörter ermöglichen und verschlüsselt speichern. Das US-amerikanische National Institute of Standards and Technology (NIST) beschreibt diesen Nutzen ausdrücklich, weist aber auch darauf hin, dass Passwort-Tresore attraktive Angriffsziele sind. Ein Passwortmanager beseitigt Risiken nicht vollständig, sondern konzentriert besonders wertvolle Zugangsdaten in einer Anwendung.

Kritisch wird es beispielsweise bei einem gestohlenen Master-Passwort, Schadsoftware mit Zugriff auf einen entsperrten Tresor, manipulierten Browser-Erweiterungen, unsicheren Freigaben oder veralteter Software. Ein Cloud-Dienst kann ausfallen; bei lokalen Tresoren kann eine beschädigte oder verlorene Datenbank ohne Backup ebenfalls den Zugang verhindern. Ein starkes Master-Passwort und MFA für das Manager-Konto helfen, schützen aber nicht gegen jede Form lokaler Kompromittierung.

Konkreter Sicherheitsvorfall 2026: KeePassXC und CVE-2026-4158

Im März 2026 wurde für KeePassXC eine konkrete Schwachstelle in der Windows-Version offengelegt: CVE-2026-4158. Durch einen unsicheren Suchpfad für eine OpenSSL-Konfigurationsdatei konnte ein Angreifer, der bereits mit geringen Rechten Code auf dem betroffenen Windows-Rechner ausführen konnte, unter bestimmten Bedingungen eine manipulierte Bibliothek im Kontext von KeePassXC laden lassen. Ausgelöst werden konnte das Szenario beim Prüfen auf Updates. Das bedroht besonders die Geheimnisse eines betroffenen Tresors; es war jedoch kein nachgewiesener Angriff, der beliebige entfernte Tresore ohne weitere Voraussetzungen öffnen konnte.

Laut Sicherheitsmitteilung des KeePassXC-Projekts waren Versionen bis einschliesslich 2.7.11 betroffen. KeePassXC 2.7.12 vom 10. März 2026 enthielt die Korrektur. Seit dem 21. Oktober 2026 steht zudem KeePassXC 2.8.0 als stabile Version zur Verfügung. Der Fall zeigt, weshalb ein lokaler, verschlüsselter Passworttresor nicht auf regelmässige Sicherheitsupdates verzichten kann.

Angriff auf Browser-Erweiterungen 2025: DOM-basiertes Clickjacking

Im August 2025 wurde auf der DEF CON eine weitere Angriffstechnik gegen Browser-Erweiterungen von Passwortmanagern demonstriert: DOM-basiertes Extension-Clickjacking. Eine bösartige oder kompromittierte Webseite kann eingefügte Bedienelemente einer Erweiterung optisch manipulieren und dadurch Nutzer zu unbeabsichtigten Klicks verleiten. Je nach Passwortmanager und Situation können so etwa sensible Angaben oder Anmeldedaten unerwartet automatisch ausgefüllt werden.

Das CERT Coordination Center dokumentierte die Problematik am 17. Oktober 2025 unter VU#516608. Die Untersuchung belegt eine Angriffsmethode, bedeutet aber nicht, dass alle Produkte bis heute in gleicher Weise verwundbar sind oder jeder Angriff tatsächlich durchgeführt wurde. Hersteller haben unterschiedliche Gegenmassnahmen eingeführt; der Schutz ist deshalb versions- und produktabhängig.

Konsequenz: Nicht nur die Hauptanwendung aktualisieren, sondern ausdrücklich auch Browser, Passwortmanager-Erweiterung und Betriebssystem. Automatisches Ausfüllen sensibler Daten sollte bewusst konfiguriert werden; bei unerwarteten Anmeldefenstern ist die tatsächliche Domain zu prüfen. Niemals einer unbekannten Webseite Zugriff auf Tresorinhalte gewähren.

Passwortmanagement sicher einführen: ein praktikabler Ablauf

1. Bestandsaufnahme: Vorhandene Passwortlisten, Browser-Speicher und gemeinsam verwendete Firmenkonten erfassen; besonders kritische Zugänge identifizieren.
2. Passwortmanager auswählen: Geräteunterstützung, Updates, Datenhaltung, Export, Wiederherstellung, Teamrechte und gewünschte MFA-/Passkey-Funktionen prüfen.
3. Tresor schützen: Eine lange, einzigartige Master-Passphrase wählen, MFA für das Konto aktivieren und Wiederherstellungscodes getrennt vom Tresor sichern.
4. Bestehende Konten absichern: Zuerst E-Mail- und Administrationskonten, danach weitere Konten auf jeweils eindeutige, generierte Passwörter umstellen und wo möglich Passkeys einrichten.
5. Importdateien beseitigen: Temporäre CSV- oder Excel-Exporte nach erfolgreichem Import und Kontrolle sicher aus aktiven Ordnern und Synchronisationsbereichen entfernen; auch Backups und Dateiversionen berücksichtigen.
6. Betrieb sicherstellen: Automatische Sperre, Updates, kontrollierte Backups und einen dokumentierten Notfallzugang einrichten. Für Mitarbeitende personenbezogene Konten statt gemeinsamer Master-Zugänge vorsehen.

Wichtig ist die Reihenfolge: Eine Passwortliste einfach in einen Tresor zu importieren behebt die Wiederverwendung alter Kennwörter noch nicht. Erst das Ändern mehrfach genutzter oder bereits kompromittierter Passwörter reduziert das eigentliche Risiko. Bei Unternehmenszugängen sollte dieser Wechsel durch klare Verantwortlichkeiten und Zugriffsrichtlinien begleitet werden.

Häufige Fragen zum Passwortmanagement

1. Was ist der Unterschied zwischen 2FA und MFA?

2FA nutzt zwei unterschiedliche Authentifizierungsfaktoren, beispielsweise Passwort und Authenticator-App. MFA bezeichnet allgemein eine Anmeldung mit mindestens zwei Faktoren. 2FA ist damit eine Form von MFA. Zwei unterschiedliche Passwörter allein sind keine echte Zwei-Faktor-Authentifizierung.

2. Wie richte ich eine Authenticator-App ein?

Im betreffenden Online-Konto den Sicherheitsbereich öffnen, «Zwei-Faktor-Authentifizierung» auswählen und die Methode «Authenticator-App» aktivieren. Danach den angezeigten QR-Code mit einer vertrauenswürdigen Authenticator-App scannen und den generierten Code bestätigen. Anschliessend Wiederherstellungscodes sicher und separat aufbewahren. Die genaue Menüführung hängt vom Dienst ab.

3. Sind Passwortmanager sicherer als eine Excel-Datei?

Bei sachgemässer Einrichtung in der Regel ja. Ein Passwortmanager bietet üblicherweise einen speziell geschützten Tresor, eindeutige Passwortgenerierung und praktische Sicherheitsfunktionen. Eine Excel-Datei kann zwar verschlüsselt werden, ist aber keine umfassende Lösung für das Verwalten, Teilen und Erneuern von Zugangsdaten.

4. Ist ein Cloud-Passwortmanager unsicherer als ein lokaler Tresor?

Nicht pauschal. Ein Cloud-Tresor bringt Synchronisation und oft zentral verwaltete Sicherungen, erhöht aber die Abhängigkeit vom Anbieter und dessen Kontoschutz. Ein lokaler Tresor wie KeePassXC bietet direkte Kontrolle über die Datenbank, verlangt jedoch ein zuverlässiges Backup- und gegebenenfalls Synchronisationskonzept. Die korrekte Einrichtung ist wichtiger als das Schlagwort «Cloud» oder «lokal».

5. Was ist ein Passkey, und ersetzt er das Passwort und die 2FA?

Ein Passkey meldet den Nutzer mittels kryptografischem Schlüsselpaar an und kann auf unterstützten Webseiten das herkömmliche Passwort ersetzen. Mit geeigneter Benutzerverifikation kann die Passkey-Anmeldung mehrere Faktoren in einem Verfahren vereinen. Ob noch zusätzliche MFA erforderlich ist, bestimmt der jeweilige Dienst und sein Sicherheitskonzept.

6. Was passiert, wenn ich mein Master-Passwort vergesse?

Bei Ende-zu-Ende-verschlüsselten Tresoren kann der Anbieter das Master-Passwort häufig nicht einfach zurücksetzen und dadurch sämtliche alten Einträge entschlüsseln. Einige Produkte bieten Wiederherstellungscodes, vertrauenswürdige Geräte oder organisatorische Notfallverfahren. Diese Optionen sollten vor dem Ernstfall eingerichtet und getestet werden.

7. Sollte ich die MFA-Codes im gleichen Passwortmanager speichern?

Das ist ein Abwägen zwischen Komfort und Trennung der Faktoren. TOTP im gleichen Tresor vereinfacht den Alltag, führt aber dazu, dass ein vollständig kompromittierter, entsperrter Tresor sowohl Passwort als auch TOTP-Geheimnis enthalten kann. Für besonders wichtige Konten ist eine separate Authenticator-App oder ein FIDO2-Sicherheitsschlüssel oft die bessere Wahl.

8. Kann ich meine bisherigen Passwörter aus Excel importieren?

Viele Passwortmanager unterstützen CSV-Importe oder den Import aus anderen Anwendungen. Die Zuordnung der Spalten muss stimmen, und eine exportierte CSV-Datei ist typischerweise unverschlüsselt. Deshalb nur auf einem vertrauenswürdigen Gerät importieren, die Einträge kontrollieren und Importdateien sowie unnötige Kopien danach entfernen. Wiederverwendete Kennwörter müssen zusätzlich geändert werden.

9. Warum sind Updates bei Passwortmanagern so wichtig?

Sicherheitslücken können die Desktop-App, ihre kryptografischen Bibliotheken oder die Browser-Erweiterung betreffen. Die Fälle CVE-2026-4158 und Extension-Clickjacking 2025 zeigen unterschiedliche Angriffsflächen. Automatische Sicherheitsupdates aktivieren und regelmässig kontrollieren, ob Betriebssystem, Browser und Erweiterungen tatsächlich auf dem aktuellen, vom Hersteller unterstützten Stand sind.

Fazit: weniger Kennwörter merken, deutlich konsequenter absichern

Die grössten Fortschritte entstehen nicht durch einen bestimmten Produktnamen, sondern durch konsequente Regeln: keine Passwortlisten in frei zugänglichen Dateien, keine wiederverwendeten Passwörter, ein geschützter Tresor sowie MFA oder Passkeys für wichtige Konten. Ein geeigneter Passwortmanager macht diese Regeln im Alltag überhaupt erst praktikabel – unter Windows, macOS und Linux.

Auch Passwortmanager bleiben komplexe Software. Sicherheitslücken aus den Jahren 2025 und 2026 machen deutlich, dass ein gutes Schutzkonzept aktuelle Versionen, sichere Geräte, vorsichtiges Autofill und einen Notfallplan umfasst. Die Quellcode 360 GmbH unterstützt Unternehmen bei der Auswahl, Einführung und sicheren Organisation von Passwortmanagement und Multi-Faktor-Authentifizierung.

Von Johannes Puschnig, 25. Oktober 2026

Wie können wir helfen?

Ihr Name *

Bitte geben Sie Ihren Namen ein.

E-Mail *

Bitte geben Sie Ihre E-Mail ein.

Telefon Nachricht *

Bitte geben Sie Ihre Nachricht ein.

Webseite

Nachricht senden