Was ist ein Passwort-Manager?

Passwort-Manager einfach erklärt

Wer im Beruf mit E-Mail, Branchensoftware, Lieferantenportalen, Bankzugang und einer Handvoll Webdiensten arbeitet, kommt schnell auf Dutzende Zugänge. Kaum jemand kann sich so viele starke und verschiedene Passwörter merken. Die Folge sind Zettel am Monitor, eine Tabelle auf dem Desktop oder ein und dasselbe Passwort für alles.

Ein Passwort-Manager löst dieses Problem. Er legt alle Zugangsdaten in einem Tresor ab, der mit Verschlüsselung geschützt ist und sich nur mit dem Hauptpasswort öffnen lässt, idealerweise ergänzt um Multi-Faktor-Authentifizierung. Neue Passwörter erzeugt der eingebaute Generator nach Zufall, etwa zwanzig Zeichen oder eine Folge mehrerer Wörter. Beim Anmelden füllt das Programm die Felder aus, sodass niemand die Zeichenketten abtippen muss.

Das BSI kommt zu dem Schluss, dass sich der Einsatz eines Passwort-Managers in der Regel lohnt. Noch weiter geht die US-Richtlinie NIST SP 800-63B-4 (Fassung Juli 2025): Anmeldeverfahren der US-Bundesverwaltung müssen Passwort-Manager und automatisches Ausfüllen zulassen.

Schutz vor gefälschten Anmeldeseiten

Ein Vorteil, der leicht übersehen wird: Der Passwort-Manager ordnet jeden Eintrag einer Internetadresse zu. Auf einer täuschend echten Kopie unter einer anderen Domain bietet er die Zugangsdaten deshalb in der Regel nicht zum Ausfüllen an; manche Programme warnen zusätzlich, wenn die Adresse abweicht. Wer dort trotzdem von Hand ein Passwort eintippen will, sollte stutzig werden. Damit ist ein Passwort-Manager ein zusätzlicher Baustein gegen Phishing, auch wenn er das Nachdenken nicht ersetzt.

Bauformen und Funktionen für Unternehmen

Grundsätzlich gibt es drei Varianten:

Im Browser oder Betriebssystem: bequem für einzelne Personen, aber schwer zentral zu steuern und kaum geeignet, um Zugänge im Team zu teilen.
Lokale Programme: Der Tresor liegt als Datei auf dem Gerät oder einem Server im Haus; Synchronisation und Sicherung müssen selbst organisiert werden.
Cloudbasierte Dienste: Der Tresor wird verschlüsselt beim Anbieter gespeichert und steht auf mehreren Geräten bereit.

Lösungen für Unternehmen bieten zusätzlich gemeinsame Tresore mit Rechten je Abteilung, Protokolle über Zugriffe, einen Notfallzugang für die Geschäftsführung und eine zentrale Verwaltung neuer und ausscheidender Mitarbeitender. Manche können neben Passwörtern auch Passkeys verwalten.

Welche Variante passt, hängt vom Schutzbedarf ab. Im Baustein ORP.4 seines Grundschutz-Kompendiums (Edition 2023) rät das BSI, einen Passwort-Manager in Betracht zu ziehen, und fordert zugleich, Funktionen abzuschalten, die Passwörter über Onlinedienste Dritter synchronisieren. Wer sich am IT-Grundschutz ausrichtet, wählt deshalb eher eine Lösung, die im eigenen Haus betrieben wird. Kommt ein Clouddienst infrage, sind drei Punkte wichtig: Datenhaltung in der EU, eine Verschlüsselung, bei der nur die Nutzenden den Schlüssel kennen, und ein zweiter Faktor für den Tresor.

Risiken und wie man sie begrenzt

Ein Passwort-Manager bündelt alle Zugänge an einer Stelle. Das BSI nennt deshalb zwei Risiken: Gelingt ein Angriff auf den Tresor, sind alle Passwörter auf einmal betroffen, und wer das Hauptpasswort vergisst, kann den Zugriff auf alle Daten verlieren. Daraus ergeben sich klare Regeln:

Das Hauptpasswort ist lang, wird nirgends sonst verwendet und mit einem zweiten Faktor kombiniert.
Für den Notfall gibt es einen geregelten Wiederherstellungsweg, etwa einen versiegelt hinterlegten Notfallschlüssel.
Geräte, auf denen der Tresor geöffnet wird, sind aktuell und gesperrt, wenn niemand davorsitzt.
Der Tresor wird gesichert, bei lokalen Lösungen ebenso wie bei einem Export aus dem Clouddienst.

Angenommen, eine Eventagentur mit 14 Mitarbeitenden verwaltet ihre Zugänge in einer Tabelle im gemeinsamen Ordner: Firmenkonten in sozialen Netzwerken, Ticketplattform, Domainverwaltung, Mietportal für Veranstaltungstechnik. Als die Kollegin geht, die sich um die Kanäle gekümmert hat, weiß niemand genau, welche Zugänge sie kannte und welche Passwörter sie zwischendurch geändert hat.

Mit einem Passwort-Manager für das Team liegen diese Zugänge in einem gemeinsamen Tresor „Marketing“. Beim Austritt wird ihr Konto deaktiviert, und je nach Lösung zeigt eine Übersicht, auf welche Einträge sie Zugriff hatte. Diese Passwörter werden der Reihe nach geändert, die Tabelle verschwindet aus dem Ordner.

Einordnung im Unternehmen

Ein Passwort-Manager ist kein Ersatz für einen zweiten Anmeldefaktor, sondern seine Ergänzung. Wo Zugangsdaten heute liegen, ist eine der Fragen, die ein IT-Sicherheitscheck beim Thema Zugänge aufgreift. Welche weiteren Bausteine den Schutz im laufenden Betrieb ausmachen, zeigt unsere Übersicht IT-Sicherheit für Unternehmen.