Passwortmanager sollen den digitalen Alltag sicherer machen. Doch eine Studie des Bundesamts für Sicherheit in der Informationstechnik (BSI) gemeinsam mit dem FZI Forschungszentrum Informatik zeigt: Es gibt noch deutlichen Verbesserungsbedarf. Analysiert wurden zehn gängige Programme – mit teils bedenklichen Ergebnissen.
Herstellerzugriff bleibt ein Risiko
Besonders kritisch fällt die Bewertung dort aus, wo Passwortmanager Passwörter so speichern, dass ein theoretischer Zugriff durch den Hersteller möglich bleibt. Drei der getesteten Programme wiesen genau dieses Manko auf. Das bedeutet, dass zusätzliche Maßnahmen notwendig sind, um diese potenzielle Angriffsfläche abzusichern – Vertrauen der Nutzer in die Schutzmaßnahmen der Anbieter ist dabei unerlässlich. Insbesondere bei cloudbasierten Lösungen rät das BSI, genau auf Speicherort und Schutzmaßnahmen zu achten, die in Datenschutzhinweisen oder AGBs dokumentiert sein sollten.
Trotz solcher Schwächen bleibt das BSI bei seiner Empfehlung: Passwortmanager sind unverzichtbar. Die Risiken durch Wiederverwendung oder einfache Passwörter seien weitaus größer als die Defizite einzelner Tools. Der Abschlussbericht zur Untersuchung enthält detaillierte Angaben zu den untersuchten Produkten.
Gewinnen in der Plattform-Ökonomie
Branche reagiert – mehr Transparenz gefordert
Erfreulich: Die Mehrheit der Anbieter zeigte sich offen gegenüber den Ergebnissen und initiierte bereits Verbesserungen. Im Rahmen eines kooperativen Dialogs mit dem BSI wurden Defizite besprochen und Maßnahmen eingeleitet. Das stärkt nicht nur die IT-Sicherheit, sondern auch das Vertrauen der Verbraucher.
Besonders betont wird die Bedeutung von Transparenz. Hersteller sollten ihre Sicherheitskonzepte, eingesetzte Kryptografie, Systemarchitektur sowie Schutzmechanismen im Entwicklungsprozess offenlegen. Nur so sind unabhängige Prüfungen wirklich effektiv.
Auch die Verbraucherzentrale Nordrhein-Westfalen (VZ NRW) hat sich beteiligt und die Passwortmanager zusätzlich unter datenschutzrechtlichen Gesichtspunkten geprüft. Neben den Datenschutzhinweisen wurde auch die Datenerhebung bei der Registrierung analysiert. Die kombinierten Ergebnisse wurden in der Veröffentlichung „Passwortmanager im Test: IT-Sicherheit und Datenschutz im Fokus“ zusammengeführt.
Abschließend gibt das BSI klare Empfehlungen: Herstellerzugriffe technisch ausschließen, etablierte kryptografische Verfahren nutzen und sämtliche Daten – auch Metadaten – verschlüsseln. Die TR-02102-1 des BSI liefert hierzu passende Vorgaben.
Updates sind Pflicht
Verbraucher sollten beim Einsatz von Passwortmanagern darauf achten, Software regelmäßig zu aktualisieren. Sicherheitslücken lassen sich nur durch konsequentes Patch-Management schließen. Ergänzende Hinweise und Tipps stellt das BSI auf seiner Website bereit – ein weiterer Schritt hin zu einem sichereren digitalen Alltag.
