Passwort-Manager Vergleich 2026: KeePass, Bitwarden & Co.

Passwort-Manager im Vergleich 2026: KeePassXC, Bitwarden & Co. – welcher schützt dich am besten?

Lesezeit: ca. 14 Minuten

Ein einziges wiederverwendetes Passwort reicht, damit ein geleakter Zugang zum Einfallstor für dein halbes digitales Leben wird. Genau darauf zielt Credential Stuffing: Angreifer:innen nehmen Millionen bei früheren Datenlecks erbeuteter Login-Kombinationen und probieren sie automatisiert bei anderen Diensten durch. Wer überall dasselbe oder nur leicht abgewandelte Passwort nutzt, ist damit angreifbar — und das ist nicht die Ausnahme, sondern der Normalfall.

Ein Passwort-Manager setzt an der Wurzel an: Er erzeugt und verwaltet für jeden Dienst ein eigenes, langes Zufallspasswort, das du dir nie merken musst. Die gute Nachricht im August 2026: Dafür brauchst du kein teures Abo. Der F.A.Z. Kaufkompass brachte es im Juni 2026 auf den Punkt — mit dem quelloffenen Bitwarden habe niemand mehr eine Ausrede, weil die Grundversion dauerhaft kostenlos bleibt.

Gleichzeitig hat sich 2026 einiges bewegt, und zwar mehr, als in älteren Vergleichen steht: Mehrere Anbieter haben die Preise erhöht, Passkeys sind vom Sonderfeature zur Grundausstattung geworden, und ein Forschungsteam hat im Februar Schwächen in einer der meistempfohlenen Implementierungen gefunden. Dieser Ratgeber wertet öffentlich verfügbare Fachtests und technische Rahmenbedingungen aus — wir prüfen die Manager auf test-und-preis.de nicht selbst im Labor.

Warum 2026 kaum ein Account ohne Passwort-Manager auskommt

Die Zahl der Online-Konten pro Person wächst seit Jahren, die Zahl der gemerkten, wirklich sicheren Passwörter bleibt bei den meisten im einstelligen Bereich. Diese Lücke füllen wir mit den immer gleichen Tricks: Name plus Geburtsjahr, ein Sonderzeichen dran, dasselbe Muster überall. Für automatisierte Angriffe ist das kein Hindernis.

Ein Passwort-Manager verschiebt die Aufgabe: Du merkst dir genau ein starkes Master-Passwort, der Rest wird verschlüsselt abgelegt. Damit wird klar, was ein guter Manager leisten muss:

• Starke Verschlüsselung des Tresors, damit die Daten selbst bei einem Server-Leak wertlos bleiben. Standard ist AES-256; moderner ist die Schlüsselableitung per Argon2 statt des älteren PBKDF2.
• Autofill in Browser und Apps, denn ein Manager, der im Alltag nervt, wird nicht benutzt.
• Geräte-Sync oder eine saubere manuelle Übertragung, damit deine Zugänge auf Laptop und Smartphone gleich sind.
• Passkey-Unterstützung mit plattformübergreifender Synchronisation — dazu unten mehr, denn hier hat sich der Maßstab verschoben.

Dass die Wahl kein Nebenthema ist, zeigt ein Blick zurück: Beim Datenleck von LastPass Ende 2022 erbeuteten Angreifer verschlüsselte Tresor-Kopien. Wer damals ein schwaches Master-Passwort hatte, war real gefährdet — und viele Nutzer:innen wechselten daraufhin den Anbieter. Sicherheits-Fachleute wie der Kuketz-Blog beschreiben den Manager als die zentrale Stelle, an der alle wichtigen Zugänge zusammenlaufen, bis hin zur Frage des digitalen Nachlasses. Dieselbe Logik gilt für die Absicherung des Zuhauses, wie unser Ratgeber zu Smart-Home-Sicherheitssystemen 2026 zeigt: Eine Kette ist so stark wie ihr schwächstes Glied.

Die Kandidaten im Überblick

Bitwarden: der Open-Source-Favorit mit Cloud-Sync

Bitwarden ist quelloffen, wird regelmäßig extern geprüft und synchronisiert über die eigene Cloud auf alle Geräte. Die kostenlose Version deckt den Alltag der meisten Privatnutzer:innen komplett ab: unbegrenzt viele Passwörter, Sync über beliebig viele Geräte. Wer will, kann Bitwarden per Vaultwarden auf dem eigenen Server betreiben — auch auf einem Raspberry Pi.

Zwei Dinge, die in älteren Empfehlungen fehlen. Erstens hat Bitwarden im Januar 2026 den Premium-Tarif von 5 auf 10 US-Dollar im Jahr verdoppelt — die erste Preiserhöhung seit rund zehn Jahren, Bestandskunden bekamen einen Rabatt auf die erste Verlängerung. Der Gratis-Tarif blieb davon unberührt und voll funktionsfähig.

Zweitens: Im Februar 2026 veröffentlichten Forschende der ETH Zürich eine Untersuchung von Bitwardens Zero-Knowledge-Implementierung und meldeten mehrere Schwachstellen. Bitwarden hat den Großteil davon behoben, einige als bewusste Design-Kompromisse eingestuft. Die nüchterne Einordnung: Alle beschriebenen Angriffe setzen eine vollständige Kompromittierung der Bitwarden-Server voraus, eine reale Ausnutzung ist nicht bekannt, und einen Datendiebstahl hat Bitwarden bis heute nicht erlitten. Das entwertet die Empfehlung nicht — es zeigt aber, dass „Zero-Knowledge“ ein Architekturversprechen ist und keine Garantie.

KeePassXC: lokale Datenhoheit ohne Cloud-Zwang

Ein Hinweis zur Namensverwirrung: Gemeint ist heute meist KeePassXC, der aktiv gepflegte, plattformübergreifende Nachfolger des ursprünglichen KeePass für Windows. Deine Passwörter liegen in einer verschlüsselten Datei lokal auf deinem Gerät, ohne dass ein Anbieter-Server im Spiel ist.

Das bedeutet volle Kontrolle — und volle Eigenverantwortung. Sync, Backup und die Nutzung auf dem Smartphone musst du selbst organisieren, etwa über einen Cloud-Speicher deiner Wahl und eine kompatible App. KeePassXC ist kostenlos, quelloffen und die erste Wahl für alle, die keiner fremden Cloud vertrauen wollen. Die Backup-Verantwortung übernimmst du dabei mit.

Proton Pass: Schweizer Alternative mit offenem Code

In vielen deutschen Vergleichen fehlt Proton Pass, obwohl er für datenschutzbewusste Nutzer:innen die interessanteste Kombination bietet: quelloffener Code, Sitz in der Schweiz und Argon2 als Schlüsselableitung. Wer die Bequemlichkeit einer Cloud-Lösung will, aber mit der US-Jurisdiktion fremdelt, sollte ihn in die engere Auswahl nehmen.

1Password: polierter Komfort, deutlich teurer

1Password ist ein reines Kommerzprodukt mit Abo und punktet mit sehr polierter Bedienung, Familien- und Team-Funktionen und einer Besonderheit beim Login: Neben dem Master-Passwort kommt ein lokal erzeugter Secret Key zum Einsatz, der die Absicherung zusätzlich stärkt.

Der Preis ist der Haken. Im Februar 2026 kündigte der Anbieter eine Erhöhung an, die im März wirksam wurde: Der Einzeltarif stieg von 35,88 auf 47,88 US-Dollar im Jahr, also um rund ein Drittel. Der Familientarif blieb weitgehend stabil. Prüf die aktuellen Konditionen vor Vertragsschluss direkt beim Anbieter — die Preise haben sich zuletzt mehrfach bewegt.

Dashlane und NordPass: Komfort mit Zusatzdiensten

Beide spielen in der Liga der kommerziellen Abo-Anbieter: automatischer Sync, komfortables Autofill und Zusatzfunktionen über den Tresor hinaus. Genau hier lohnt der kritische Blick. Laut Netzwelt bündeln einzelne Anbieter zusätzlich einen VPN-Dienst mit ein — bei NordPass aus dem eigenen Konzern, bei einer weiteren Anwendung ExpressVPN. Solche Bundles treiben den Preis, lösen aber nicht das Kernproblem, für das du einen Passwort-Manager anschaffst.

Sicherheit im Detail: Verschlüsselung und Zero-Knowledge

AES-256 und das Master-Passwort-Prinzip

Alle Kandidaten verschlüsseln ihren Tresor mit AES-256, dem gleichen Standard, den auch Behörden für sensible Daten einsetzen. Der Schlüssel dazu wird aus deinem Master-Passwort abgeleitet, und das hat eine unbequeme Konsequenz: Die Verschlüsselung ist nur so stark wie dieses eine Passwort. Ein kurzes, erratbares Master-Passwort macht auch den besten Algorithmus nutzlos.

Nimm daher eine lange Passphrase aus mehreren zufälligen Wörtern — Länge schlägt Komplexität. Und schau nach, welches Verfahren dein Manager zur Schlüsselableitung nutzt: Argon2 gilt als widerstandsfähiger gegen Angriffe mit spezialisierter Hardware als das ältere PBKDF2. Bei mehreren Anbietern lässt sich das in den Einstellungen umstellen.

Zero-Knowledge: Wer kann deine Daten wirklich sehen?

Bei den Cloud-Anbietern ist das entscheidende Stichwort Zero-Knowledge. Die Ver- und Entschlüsselung passiert lokal auf deinem Gerät, bevor irgendetwas den Server erreicht. Der Anbieter speichert also nur einen verschlüsselten Datenblock und kennt weder dein Master-Passwort noch deine Zugänge. Der Preis dafür: Vergisst du dein Master-Passwort, kann dir auch der Anbieter nicht helfen — ein Zurücksetzen wie beim normalen Konto gibt es nicht.

Der ETH-Befund vom Februar zeigt allerdings, worauf es dabei ankommt: Zero-Knowledge ist ein Versprechen über die Architektur, und ob es hält, hängt an der konkreten Implementierung. Deshalb sind zwei Dinge härtere Argumente als jedes Marketing-Wort: regelmäßige, veröffentlichte Sicherheitsaudits und — bei den Open-Source-Produkten — der einsehbare Quellcode, an dem unabhängige Forschende überhaupt erst arbeiten können. Dass die Bitwarden-Schwächen gefunden und größtenteils behoben wurden, ist genau dieser Mechanismus bei der Arbeit.

Bei KeePassXC stellt sich die Vertrauensfrage gegenüber einem Anbieter gar nicht erst, weil die Datei dein Gerät nie zwingend verlässt.

Bedienung und Alltagstauglichkeit

Einrichtung auf Desktop, Smartphone und im Browser

Hier trennen sich die Wege am deutlichsten. Bitwarden, Proton Pass, 1Password und Dashlane installierst du als App plus Browser-Erweiterung, meldest dich an, und der Sync läuft von allein — auch für weniger technikaffine Menschen in einer Viertelstunde erledigt. KeePassXC verlangt mehr Handarbeit: Datenbank anlegen, Sync-Weg wählen, auf dem Smartphone eine kompatible App installieren. Kein Hexenwerk, aber ein spürbarer einmaliger Mehraufwand.

Passkeys: Der Maßstab hat sich verschoben

Hier ist der wichtigste Unterschied zu Vergleichen aus dem Vorjahr. Die Frage „unterstützt der Manager Passkeys?“ ist 2026 überholt — alle relevanten Anbieter tun das. Passkey-Unterstützung ist Grundausstattung, kein Unterscheidungsmerkmal mehr.

Was jetzt zählt, sind zwei andere Fragen. Erstens: Wie gut synchronisiert der Manager Passkeys über Ökosystemgrenzen hinweg? Wer einen Passkey nur in der Apple-Welt anlegt, kommt damit nicht auf ein Windows-Gerät — ein unabhängiger Manager löst genau das. Zweitens: Beherrscht er das Credential Exchange Protocol für Import und Export? Davon hängt ab, ob du deine Passkeys später zu einem anderen Anbieter mitnehmen kannst, ohne bei null anzufangen. Bitwarden war hier unter den Drittanbietern früh dabei, 1Password, Dashlane und Proton Pass ziehen mit.

Und die Frage, die viele umtreibt: Machen Passkeys den Manager überflüssig? Auf absehbare Zeit nicht. Sie lösen das Problem nur dort, wo sie angeboten werden, und das sind längst nicht alle Dienste. Bis dahin verwaltet derselbe Manager beides.

Autofill und Sharing

Das Autofill entscheidet im Alltag über Wohl und Wehe. Bei den Cloud-Anbietern funktioniert es plattformübergreifend sehr flüssig, bei KeePassXC hängt die Qualität von App und Browser-Plugin ab. Beim Teilen in Familie oder Team bist du mit Bitwarden-Organisationen und den Abo-Anbietern gut bedient; bei KeePassXC ist gemeinsames Nutzen umständlicher.

Kosten und Datenschutz im Vergleich

Kostenlos oder Premium — was du wirklich brauchst

Für Einzelpersonen gilt: Bitwarden und KeePassXC kosten dauerhaft nichts und decken die Kernaufgabe vollständig ab. Bitwarden Premium liegt trotz der Verdopplung bei rund zehn US-Dollar im Jahr und damit weit unter der Abo-Konkurrenz — die Extras dort sind vor allem erweiterte Zwei-Faktor-Optionen. Die Abo-Anbieter verlangen von Beginn an eine laufende Gebühr. Frag dich vor jedem Abo, welche Zusatzfunktion du tatsächlich nutzt.

Bestnoten aus Vergleichsportalen solltest du mit Vorsicht einordnen. Wenn eine Seite einen Anbieter mit der Note 1,3 knapp vor Bitwarden führt, ohne offenzulegen, nach welcher Methode geprüft wurde, sagt das wenig. Viele solcher Seiten testen nicht selbst und sind affiliate-finanziert. Dasselbe Muster kennst du aus unserem Beitrag dazu, warum du Amazon-Bewertungen nicht vertrauen solltest.

Serverstandort, DSGVO und Audits

Beim Datenschutz ist die Jurisdiktion für viele ein Kriterium: Bitwarden und Dashlane sitzen in den USA, 1Password in Kanada, Proton Pass in der Schweiz. Durch die Zero-Knowledge-Architektur landet auf den Servern zwar nur verschlüsselter Datensalat, doch wer maximale rechtliche Klarheit will, fährt mit einer lokalen KeePassXC-Datenbank, einer selbst gehosteten Bitwarden-Instanz oder einem Schweizer Anbieter am eindeutigsten.

Praktische Handlungsempfehlungen August 2026

• Fang mit dem Master-Passwort an, nicht mit der Anbieterwahl. Eine lange Passphrase aus vier bis fünf zufälligen Wörtern ist wichtiger als jede Feature-Liste — sie ist der Schlüssel zu allem anderen.
• Aktivier Zwei-Faktor-Authentifizierung für den Manager selbst. Ohne zweiten Faktor genügt ein abgefangenes Master-Passwort für den Vollzugriff auf alles.
• Prüf die Schlüsselableitung in den Einstellungen. Wenn dein Manager Argon2 anbietet und noch auf PBKDF2 steht, ist das ein Häkchen, das zwei Minuten kostet.
• Ersetz die alten Passwörter tatsächlich. Ein Manager, in den du nur die wiederverwendeten Passwörter importierst, ändert nichts. Fang bei E-Mail, Bank und den Konten mit Zahlungsdaten an.
• Bei KeePassXC das Backup vor dem produktiven Einsatz einrichten. Ohne Kopie der Datenbank sind bei einem Geräteschaden alle Zugänge weg — und niemand kann dir helfen.
• Regel den Notfallzugang. Überleg, wer im Ernstfall an deine Konten kommen soll, und halte das schriftlich fest. Bei Zero-Knowledge gibt es keine Hintertür.
• Achte bei Passkeys auf Exportierbarkeit. Ein Anbieter, der dich später nicht mit deinen Passkeys ziehen lässt, bindet dich fester, als dir lieb ist.

Häufige Fehler vermeiden

Fazit: Welcher Passwort-Manager passt zu dir?

Einen einzigen Sieger für alle gibt es nicht, wohl aber die passende Lösung je nach Profil. Für Einsteiger:innen ist Bitwarden die naheliegende Wahl: gratis, geprüft, plattformübergreifend, mit automatischem Sync. Dass im Februar Schwächen gefunden wurden, spricht nicht gegen die Empfehlung — es zeigt, dass bei offenem Code überhaupt jemand nachschauen kann.

Für technikaffine Nutzer:innen mit klarem Kontrollwunsch führt kaum ein Weg an KeePassXC vorbei, mit der Backup-Verantwortung als Preis. Wer Datenschutz und Bequemlichkeit verbinden will, ohne sich selbst um Sync zu kümmern, findet in Proton Pass die Schweizer Zwischenlösung — oder hostet Bitwarden per Vaultwarden selbst.

Für Familien und Teams, die Komfort über den Nulltarif stellen, bleiben 1Password und Dashlane im Rennen. Nach der Erhöhung um ein Drittel sollte der Mehrwert allerdings konkret benennbar sein.

Falsch liegt am Ende nur, wer nach dem Lesen bei drei Varianten desselben Lieblingspassworts bleibt.

Quellen und weiterführende Informationen

• F.A.Z. Kaufkompass (faz.net) — Vergleich der Passwort-Manager, Stand Juni 2026, mit der Einordnung von Bitwarden als kostenlose Standardempfehlung.
• Kuketz-Blog (kuketz-blog.de) — Rolle des Passwort-Managers als zentrale Stelle für Zugänge, inklusive digitalem Nachlass.
• Caschys Blog (stadt-bremerhaven.de) — Bericht zur angekündigten Preiserhöhung bei 1Password, Februar 2026.
• Netzwelt (netzwelt.de) — Vergleich der Anbieter, Februar 2026, inklusive der VPN-Bündelungen bei einzelnen Diensten.
• ETH Zürich — Untersuchung der Zero-Knowledge-Implementierung von Bitwarden, veröffentlicht im Februar 2026, sowie die Reaktion des Anbieters.
• Bitwarden und 1Password (Anbieterquellen) — offizielle Tarifübersichten und Angaben zur Preisanpassung; für aktuelle Konditionen maßgeblich.
• Bundesamt für Sicherheit in der Informationstechnik (BSI) (bsi.bund.de) — Empfehlungen zu sicheren Passwörtern, Passwort-Managern und Zwei-Faktor-Authentifizierung.
• Verbraucherzentrale (verbraucherzentrale.de) — Informationen zu Widerrufsrecht und Kündigung bei digitalen Abonnements.

Haftungsausschluss

Allgemeiner Hinweis: Dieser Artikel auf test-und-preis.de dient der allgemeinen Information und stellt keine individuelle Sicherheits- oder IT-Beratung dar. Er beruht auf der Auswertung veröffentlichter Fachtests, Anbieterangaben und technischer Rahmenbedingungen, nicht auf eigenen Labormessungen. Welcher Passwort-Manager für dein Nutzungsszenario, dein Sicherheitsniveau und deine technischen Kenntnisse geeignet ist, solltest du im Zweifel mit einer fachkundigen Person klären.

Zum Stand der Angaben: Funktionsbeschreibungen und Preisangaben entsprechen dem Recherchestand zum Zeitpunkt der Veröffentlichung. Software entwickelt sich fortlaufend weiter, Anbieter passen ihre Preismodelle an, und Sicherheitsforschende können jederzeit neue Schwachstellen finden — mehrere der hier genannten Preise haben sich allein im ersten Halbjahr 2026 verändert. Prüfe vor einer Entscheidung die offiziellen Anbieterseiten. Angaben zu Schwachstellen geben den öffentlich dokumentierten Stand wieder und sind keine Bewertung der aktuellen Sicherheitslage eines Produkts.

Verbraucherrechte: Schließt du ein Abonnement im Fernabsatz ab, steht dir nach § 312g BGB ein vierzehntägiges Widerrufsrecht zu, das bei digitalen Inhalten erlöschen kann, wenn du der sofortigen Bereitstellung ausdrücklich zustimmst; seit dem 19. Juni 2026 müssen Unternehmen dafür nach § 356a BGB eine elektronische Widerrufsfunktion bereitstellen. § 312k BGB verpflichtet Anbieter digitaler Abonnements zu einer leicht erreichbaren Kündigungsschaltfläche. Bei Mängeln greifen §§ 437 und 438 BGB mit zweijähriger Sachmangelfrist, § 477 BGB kehrt in den ersten zwölf Monaten die Beweislast um, und die Verbrauchsgüterkauf-Richtlinie (EU) 2019/771 sichert unionsweit vergleichbare Mindeststandards. Für beworbene Rabatte gilt § 11 PAngV mit dem 30-Tage-Tiefstpreis, für Werbeaussagen und Testergebnisse gelten §§ 5, 5a und 5b UWG.

Affiliate und Marken: Einige Links in diesem Artikel sind Affiliate-Links im Rahmen der Partnerprogramme von Amazon und Awin. Kaufst du über einen solchen gekennzeichneten Link, erhält test-und-preis.de eine kleine Provision, ohne dass sich dein Preis erhöht; auf die inhaltliche Einordnung hat das keinen Einfluss. Alle genannten Markennamen sind eingetragene Warenzeichen der jeweiligen Inhaber und werden ausschließlich zur sachlichen Information verwendet.