Passwort-Manager für Windows

[Sizco]

Wenn du das dann noch aus dem Internet abrufen willst, kannst du das über einen reverse Proxy mit MFA sehr sicher tun. Da wäre zum Beispiel Cloudflare geeignet.

Beim Zugriff über Smartphone auf Bitwarden/Vaultwarden braucht man die Verbindung auch nur wenn man Änderungen macht bzw. Änderungen abruft. Die Datenbank selbst wird offline auf dem Smartphone gehalten.

 

[brianmolko]

KeePass

 

[sikarr]

Beim Zugriff über Smartphone auf Bitwarden/Vaultwarden braucht man die Verbindung auch nur wenn man Änderungen macht bzw. Änderungen abruft. Die Datenbank selbst wird offline auf dem Smartphone gehalten.

das ist aber auch bedenklich, so käme man an die Datenbank wenn man das Endgerät in die Finger bekommt. Und hat man die Datenbank dann kann man sich Problemlos und ohne Druck drann austoben.

 

[Sizco]

Ich kenne mich nicht mit aktuellen Android Versionen aus, aber bei IOS sehe ich keine Möglichkeit an die Datenbank zu kommen. Die DB ist auch mit dem Masterkey bzw. Biometrie geschützt, vom Gerät selbst ganz zu schweigen.

 

[Oli_P]

Bitwarden:

• nicht beschränkt auf Browser,
• Sicherheitsvorteile,
• Features wie 2FA, Passkeys oder geteilte Tresore
• Bietet Server in EU statt USA an, oder selbst hosten

Ja, das ist nicht zu ignorieren. Dass der Passwort-Manager nicht nur auf Browser beschränkt sein soll, find ich auch ganz wichtig.

 

[gaym0r]

Also lokal ist definitiv Keepass2 zu empfehlen, die GUI und bedienung ist etwas altbacken und eigen aber es ist die sicherste Version.

Inwiefern ist es sicherer als andere, z.B. KeePassXC?

 

[SSD960]

Wenn man, warum auch immer, nach einer online Variante sucht, ist Bitwarden ganz weit vorne. Kann man selber hosten oder mieten.

Nach langen Überlegungen habe ich bei Bitwarden alles gelöscht und verwende nur noch KeepassXC. War mir nicht mehr geheuer das meine Kennwörter auf Servern in den USA liegen. Und selber Hosten wollte ich nicht.

 

[KitKat::new()]

War mir nicht mehr geheuer das meine Kennwörter auf Servern in den USA liegen.

Ich zitiere mich mal selbst:

Bietet Server in EU statt USA an, oder selbst hosten

 

[Bully49]

Hier eine Hilfe/Information über KeePass XC:

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

 

[SSD960]

Bietet Server in EU statt USA an, oder selbst hosten

Aber nach wie vor eine Amerikanische Firma die den dortigen Gesetzen unterliegt.

 

[Oli_P]

Inwiefern ist es sicherer als andere, z.B. KeePassXC?

Eigentlich haben die Programme denselben Unterbau, sicherheitstechnisch tun die sich nix denk ich. Das einzige was mir einfallen würde, wäre das Browser-Addon von KeePass XC. Wieder eine zusätzliche Schnittstelle, welche Fehler haben könnte. Aber kommt wenigstens vom selben Hersteller. Hat man bei KeePass 2 nicht von Haus aus. Man kann es "out-of-the-box" nutzen und es gibt auch schon einige Features (z.B. Passwort-Generator oder AutoType, Trigger...). Aber eben nicht alles, was sich eben wünschen könnte... Man kann Dinge nachrüsten mittels Plugins. Aber da muss man dann auf die Authoren der Plugins vertrauen. Am besten nicht zuviele Plugins einsetzen, nur die die wirklich gebraucht werden. Bei mir sinds 3 geworden. Hab z.B. 2FA nachgerüstet für den Einsatz mit Yubikeys. Das kann XC übrigens von Haus aus (ohne Plugin).

 

[SavageSkull]

Ich hatte in den letzten Jahren schon diverse namhafte PW-Manager. Letztendlich bin ich bei Bitwarden gelandet und kann ihn uneingeschränkt empfehlen. Kostenpunkt 20,00€ / Jahr.

Gibts keinen fertigen Docker von Vaultwarden für dein NAS?

Wenn es nur um einen einzelnen PC geht, würde ich von so einer gehosteten Online Version, wie Bitwarden erstmal wegbleiben wollen.
Wobei man sich hier durchaus auch die Frage stellen darf, braucht es denn wirklich mehr, als wenn der Browser nicht schon intern alle Passwörter speichert?
Für mich war der Passwortmanager auch ein Thema, wegen mehreren PCs synchron zu halten.

@KitKat::new()
Solange die Firma ihren Sitz in den USA hat, unterliegt die dem Patriot Act und muß Daten rausgeben. Wo die Server stehen, die diese Firma angemietet hat um ihre Dienste anzubieten, spielt dabei keine Rolle.
Spitz gesagt: Eine Firma die aus den USA kommt, kann aufgrund deren Gesetzen bei uns gar kein DSGVO erfüllen.
Der Witz an Bitwarden ist eher, dass man es selbst hosten kann und dann Bitwarden mit mir gar nichts mehr zu tun hat. Das wäre dann "sicher"

 

[KitKat::new()]

Wenn es nur um einen einzelnen PC geht, würde ich von so einer gehosteten Online Version, wie Bitwarden erstmal wegbleiben wollen.

In Zeiten von Smartphones dürfte es äußerst unwahrscheinlich sein, dass es nur um einen einzelnen PC geht.

Wobei man sich hier durchaus auch die Frage stellen darf, braucht es denn wirklich mehr, als wenn der Browser nicht schon intern alle Passwörter speichert?

Angenommen hier meint das Szenario wenn man mehr als 1 Gerät benutzt: Und die Serverbetreiber der Browser sind nicht online oder in den USA?

Der Witz an Bitwarden ist eher, dass man es selbst hosten kann und dann Bitwarden mit mir gar nichts mehr zu tun hat. Das wäre dann "sicher"

Wenn die Sicherheit vom Serverbetreiber abhängt, hat man den falschen Passwortmanager.

 

[sikarr]

Wenn die Sicherheit vom Serverbetreiber abhängt

Sicherheit hängt auch immer mit vom Serverbetreiber ab, auch wenn man das selber macht nur kann man dann schlecht mit dem Finger auf andere Zeigen.

Onlinepasswortmanager sind per se schon ein Widerspruch in sich. Man bietet Kriminellen einen Dienst an wo Leute ihre Zugangsdaten für quasi alles hinterlegen können und jeder rankommt. Die müssen also nur Abwarten bis bis irgendwo im System eine Schwachstelle auftaucht und können die Daten abfischen.

Dazu kommen dann noch User die aus Bequemlichkeit Sicherheitsempfehlungen ignorieren, komplexe Passwörter, nur eins pro Dienst, oft wechseln etc.

 

[KitKat::new()]

Sicherheit hängt auch immer mit vom Serverbetreiber ab, auch wenn man das selber macht nur kann man dann schlecht mit dem Finger auf andere Zeigen.

Nein, da der Serverbetreiber gar keinen Zugriff auf die Daten bekommen kann.

 

[RedPanda05]

bedenklich, so käme man an die Datenbank wenn man das Endgerät in die Finger bekommt. Und hat man die Datenbank dann kann man sich Problemlos und ohne Druck drann austoben.

Eigentlich ist das überhaupt nicht bedenklich. Das Passwort sollte so komplex und lang gewählt werden, dass es niemals erraten werden kann. Zusätzlich sollte ein guter 2. Faktor gewählt werden. Bei einem Online PM liegt die Datei ja auch in fremden Händen, ist für diese aber vollkommen wertlos.

Ergänzung (2. Juli 2026)

Sicherheitsempfehlungen ignorieren, komplexe Passwörter, nur eins pro Dienst, oft wechseln etc.

Wenn man sich schon darüber aufregt, dass gängige Sicherheitsempfehlungen nicht eingehalten werden, sollte man sich vielleicht selbst an die Nase fassen und sich bei diesen auf dem aktuellen Stand befinden
https://www.bsi.bund.de/DE/Service-...se2025/250131_Passwortwechsel_next-level.html

 

[SavageSkull]

Bei einem Online PM liegt die Datei ja auch in fremden Händen, ist für diese aber vollkommen wertlos.

Jein, die verschlüsselte Datenbank "kann" man schon mit immens hohem Aufwand knacken.
Besser ist es immer, wenn der Tresor erst gar nicht bei jemandem liegt. Aktuell ist das bei einem guten Passwort und 2FA aber sehr unwahrscheinlich.

Ich fand es auch sehr bezeichnend, bei dem Thema wie zb bei ProtonMail, über MetaDaten dann doch die Anonymisierung flöten gegangen ist.

Die Frage ist allerdings ob das in dieser Form für den Themenersteller wichtig ist, oder die Sicherheit "reicht".

 

[RedPanda05]

Jein, die verschlüsselte Datenbank "kann" man schon mit immens hohem Aufwand knacken.
Besser ist es immer, wenn der Tresor erst gar nicht bei jemandem liegt. Aktuell ist das bei einem guten Passwort und 2FA aber sehr unwahrscheinlich.

Bei state of the Art Verschlüsslung? Halte ich für fast unmöglich.
Fraglich ist bei den closed Source Lösungen eher, ob das richtig umgesetzt wurde. Da sehe ich tatsächlich eine mögliche Schwachstelle.

 

[KitKat::new()]

Jein, die verschlüsselte Datenbank "kann" man schon mit immens hohem Aufwand knacken.

Einen Aufwand den niemand erbringen kann

 

[SavageSkull]

Bei state of the Art Verschlüsslung? Halte ich für fast unmöglich.

Das ist doch wie mit jedem Schutz nur eine Frage der Zeit und je mehr Randinformationen hat, desto leichter wird es.
Man darf halt auch nicht vergessen, dass gerade im großen Stil Leistung in Rechenzentren ausgebaut wird und die Entwicklung von KI durchaus auch eine Gefahr für Verschlüsselung ist.