Passwort-Tresor

Ein Passwort-Manager ist nur so vertrauenswürdig wie seine Architektur. Deshalb ist der Passwort-Tresor konsequent zero-knowledge gebaut: Jeder Eintrag wird auf deinem Gerät verschlüsselt, bevor er irgendwo gespeichert wird. Die Verschlüsselung läuft über die Web Crypto API deines Browsers mit AES-256-GCM, der Schlüssel wird per PBKDF2 mit 1.000.000 Iterationen aus deinem Master-Passwort abgeleitet. Im Klartext existieren deine Passwörter nur in dem Moment, in dem du sie ansiehst.

Das Master-Passwort verlässt dein Gerät nie. Es wird nicht gespeichert, nicht übertragen, nicht gehasht irgendwo abgelegt - daraus wird ausschließlich lokal der Schlüssel abgeleitet. Die ehrliche Kehrseite: Wenn du es vergisst, kann es niemand zurücksetzen. Kein Support, kein Reset-Link, wir selbst auch nicht. Genau das ist der Punkt der Architektur: Was wir nicht wissen, können wir auch nicht verlieren oder herausgeben.

Im Alltag verhält sich der Tresor wie ein aufgeräumter Schreibtisch. Einträge haben Titel, Benutzername, Passwort, URL und Notizen, lassen sich in Kategorien sortieren, als Favoriten markieren und durchsuchen. Der eingebaute Generator erzeugt starke Passwörter direkt beim Anlegen eines Eintrags, damit die Ausrede "mir fällt gerade nichts ein" wegfällt.

Das Sicherheits-Audit zeigt dir, wo es brennt: schwache Passwörter, mehrfach verwendete Passwörter und Einträge, die seit Ewigkeiten nicht geändert wurden. So arbeitest du die Altlasten aus der Zeit ab, in der überall dasselbe Passwort mit Ausrufezeichen am Ende im Einsatz war.

Wo der Tresor liegt, sagen wir dir ehrlich: Verschlüsselt wird in deinem Browser, und genau dieser verschlüsselte Tresor liegt in deinem Konto. So ist er in jedem Browser und auf jedem Gerät da, auf dem du dich anmeldest, und auch nach dem Löschen der Website-Daten. Dein Master-Passwort und die Schlüssel gehen dabei nie an uns. Ein regelmäßiges verschlüsseltes Backup schadet trotzdem nie.

Beim Umstieg musst du nicht bei null anfangen: CSV-Exporte aus LastPass, Bitwarden, KeePass und KeePassXC werden direkt importiert, auch mit mehrzeiligen Notizen. In die andere Richtung erzeugst du einen verschlüsselten JSON-Export als Backup. Mit "Backup wiederherstellen" spielst du ihn wieder ein, auch in einem anderen Browser: Datei wählen, Master-Passwort des Backups eingeben, dann ersetzen oder zusammenführen. Legst du das Backup im Aktenschrank ab, liegt dort ebenfalls nur die verschlüsselte Datei.

Für den Alltag gibt es die Schutzmechanismen, die man erst vermisst, wenn sie fehlen: automatische Sperre nach einstellbarer Inaktivität (5 bis 60 Minuten oder nie), und kopierte Passwörter werden nach 30 Sekunden automatisch wieder aus der Zwischenablage entfernt. Ein offener Tresor auf einem unbeaufsichtigten Rechner bleibt trotzdem ein Risiko - auch die beste Verschlüsselung schützt nicht vor dem Kollegen, der an deinem entsperrten Bildschirm vorbeikommt.