Passwortmanager: Sicherheit und Datenschutz im digitalen Alltag
Passwörter begleiten VerbraucherInnen täglich und sind für die Nutzung zahlreicher Onlinedienste wie Shopping, Social Media oder E-Mail notwendig. Passwortmanager erleichtern die sichere Verwaltung dieser Zugangsdaten und tragen damit erheblich zur Absicherung von Onlineaccounts bei. Aufgrund der Sensibilität der gespeicherten Daten bestehen hohe Anforderungen an die IT-Sicherheit solcher Anwendungen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat gemeinsam mit dem FZI Forschungszentrum Informatik zehn ausgewählte Passwortmanager auf ihre Sicherheitsmerkmale geprüft. Die Untersuchung zeigt sowohl Stärken als auch Verbesserungsbedarf, bestätigt jedoch klar den Nutzen der Passwortmanager im digitalen Alltag.
Drei der getesteten Produkte speicherten Passwörter so, dass ein theoretischer Zugriff durch den Hersteller möglich wäre. Dies erhöht die Angriffsfläche und erfordert zusätzliche Sicherheitsmaßnahmen, denen NutzerInnen vertrauen müssen. Bei cloudbasierter Speicherung sollten VerbraucherInnen sich über den Ort der Daten und das Schutzniveau informieren, z. B. in den AGB, Datenschutzhinweisen oder auf der Hersteller-Website. Trotz einzelner Mängel überwiegt der Nutzen von Passwortmanagern deutlich, da schwache oder mehrfach genutzte Passwörter größere Sicherheitsrisiken bergen. Regelmäßige Updates seitens der Hersteller sind zudem ein wichtiger Schutzmechanismus.
Der Abschlussbericht „IT-Sicherheit auf dem digitalen Verbrauchermarkt: Fokus Passwortmanager“ bietet detaillierte Informationen zu den Sicherheitsmerkmalen der Produkte und eine tabellarische Übersicht zur Orientierung bei der Auswahl. Transparenz ist entscheidend: Hersteller sollten Sicherheitskonzepte, Architekturdetails, Kryptografie und Entwicklungsprozesse möglichst vollständig dokumentieren. Der kooperative Dialog zwischen Herstellern und BSI hat bereits zur Behebung identifizierter Defizite beigetragen.
Das BSI empfiehlt die Nutzung etablierter kryptographischer Verfahren (BSI TR-02102-1) und den technischen Ausschluss von Herstellerzugriffen auf Passwörter. Alle Daten, einschließlich Metadaten, sollten vollständig verschlüsselt werden, um IT-Sicherheit und Datenschutz zu gewährleisten. Die Verbraucherzentrale Nordrhein-Westfalen (VZ NRW) hat die geprüften Passwortmanager zudem auf datenschutzrechtliche Aspekte untersucht, die Ergebnisse finden sich in der gemeinsamen Veröffentlichung „Passwortmanager im Test: IT-Sicherheit und Datenschutz im Fokus“.
