Passwortmanager –
Schutz oder Schnickschnack?

Matthias Kerk · DI.DAY · 1. November 2026

luise Oranienburg · Oranienwerk, Kreativ Oase

Digital
Independence Day

Jeden ersten Sonntag auf die gute Seite wechseln!

Heute: deine Passwörter

Ein lachendes Smartphone hat seine Kabel abgerissen — Illustration: Florian Biege für di.day

Zu Gast bei luise Oranienburg – lieber unabhängig und informationell selbstbestimmt

Digital
Independence Day

Jeden ersten Sonntag auf die gute Seite wechseln!

Heute: deine Passwörter

Zu Gast bei luise Oranienburg – lieber unabhängig und informationell selbstbestimmt

Das ist Erika.

Hallo, ich binErika Mustermann

E-Mail
Bank
Bahn
Krankenkasse
Chor-Cloud
…
…
…
…
…
…

„Niemand kann sich Dutzende von Zugangsdaten merken.“

10 %

nutzen einen eigenständigen Passwortmanager

Zitat: Bitkom 2025 · Zahl: Cybersicherheitsmonitor 2026 (BSI/ProPK), n = 3.060

Stufe 1

Ein Schlüssel für alle

Platz 6 der meistgeleakten Passwörter in Deutschland 2025

HPI-Liste 2025 (Jan. 2026) · BSI

Folie 5 · 02:28–03:23 (55 s) · 88 Wörter

Zeitmarke: Folie soll bei 02:28 beginnen. Mehr als 20 s hinten? Kürzungen nehmen.

Stufe eins. Stellt euch vor, all diese Schlösser hätten denselben Schlüssel. (Pause) So macht's Erika: ein Passwort für alles. Damit sie nicht überlegen muss, wo sie welches genutzt hat. Und weil wir unter uns sind, verrate ich es euch. (Klick) kaffeetasse. Kleingeschrieben. (Pause) Wer trinkt gerade Kaffee? (Handzeichen) (Klick) Dann aufgepasst: kaffeetasse steht auf Platz sechs der meistgeleakten Passwörter in Deutschland 2025. Hat das Hasso-Plattner-Institut ausgewertet. (Pause) Fair ist: Das ist bequem. Ein Passwort, kein Werkzeug, kostet nichts. Sogar das BSI nennt das „bequem“. Der Satz geht allerdings weiter: „aber dennoch nicht zu empfehlen“.

Ein Leck – alle Türen offen

576.000

Roku-Konten übernommen. Roku selbst: nicht gehackt.

Das Problem ist nicht das schwache Passwort. Sondern das wiederverwendete.

33 % nutzen dasselbe Passwort für mehrere Dienste

Roku 2024 (laut Presse) · Bitkom 2025; andere Umfragen: knapp 30 bis 70 %

Folie 6 · 03:23–04:14 (52 s) · 103 Wörter

Das Problem kommt von woanders. Irgendwann wird ein Online-Shop gehackt, bei dem Erika vor Jahren mal Blumenerde bestellt hat. Und wie bei der Elster eben hat jemand eine Kopie ihres Schlüssels. Kriminelle probieren ihre E-Mail-Adresse und kaffeetasse dann einfach überall aus. Vollautomatisch, Tür für Tür. (Klick) So wurden 2024 bei einem Streaming-Anbieter namens Roku über eine halbe Million Konten übernommen. Roku selbst war gar nicht gehackt. (Pause) Ein superstarkes Passwort hilft da übrigens auch nicht, wenn es überall dasselbe ist. (Klick) Das Problem ist nicht das schwache Passwort. Sondern das wiederverwendete. Und Erika ist damit nicht allein: Ein Drittel der Menschen, die in Deutschland online sind, macht es genauso.

Kürzung 2 (ca. 7 s): „Ein superstarkes Passwort hilft da übrigens auch nicht, wenn es überall dasselbe ist.“ weglassen.

Stufe 2

Der Zettel am Bildschirm

TV5Monde, 2015: „dasPasswortfürYouTube“

Folie 7 · 04:14–05:06 (51 s) · 96 Wörter

Stufe zwei. Erika hat dazugelernt: Jedes Konto kriegt sein eigenes Passwort. Nur: Wer soll sich die alle merken? Also gelbe Zettel. Am Bildschirm und unter der Tastatur. Und ja, die kaffeetasse hat überlebt. Für den Rechner selbst. (Pause) Fair ist: Ein Zettel ist aus dem Internet nicht erreichbar, keine Schadsoftware kann ihn auslesen. Aber alle, die vorbeikommen, können ihn lesen. (Klick) Und dann ist Chorprobe per Videocall. Im Bild, gestochen scharf: der gelbe Zettel. (Pause) Passiert sogar Profis. Beim französischen Sender TV5Monde waren 2015 im Hintergrund eines Fernsehinterviews Zugangsdaten zu sehen. Jemand vor dem Fernseher las das YouTube-Passwort ab. Übersetzt: (Klick) „dasPasswortfürYouTube“. (Pause)

Kürzung 8 (ca. 15 s): TV5Monde-Episode samt zweitem Klick weglassen, Folie endet auf „der gelbe Zettel“.

Stufe 3

Das Passwortbuch

„ähnlich wie ein Notizbuch, das in einer Schublade eingeschlossen ist“ – BSI über Passwortmanager

Folie 8 · 05:06–06:10 (64 s) · 125 Wörter

Stufe drei. Zu Weihnachten bekommt Erika ein Passwortbuch. Davon gibt's im Buchhandel Dutzende. Eins heißt „Meine Passwörter“, ein Eintragebuch, „das Sie einfach in Ihrem Bücherregal verstecken können“. (Pause) Ein Versteck mit Titel. (Klick) Und wer genau hinschaut: WLAN, kaffeetasse. Wir arbeiten dran. (Pause) Aber ehrlich: So ein Buch ist besser als sein Ruf. Das BSI nennt die Papierliste „die Offline-Lösung“. Es kommt nur auf den Ort an: abschließbare Schublade statt Schreibtisch. (Klick) Dann zieht Erika um. Das Buch landet im Karton „Küche“. Den sucht sie bis heute. Kein Backup. (Pause) Und auf einer gefälschten Bankseite tippt sie ihr Passwort brav selbst ein. Das Buch warnt nicht. (Klick) Dieselbe Behörde hat dafür ein schönes Bild: Ein Passwortmanager funktioniert „ähnlich wie ein Notizbuch, das in einer Schublade eingeschlossen ist“. Also: Passwortbuch, nur digital.

Stufe 4

Der Browser merkt sich’s

Chrome · Safari · Edge · Firefox

84 %

sagen: Ich speichere Passwörter im Browser

Online-Umfrage VZ NRW, Aug./Sept. 2025, n = 1.203, Mehrfachnennungen · andere Frage als bei den 10 %: Im Cybersicherheitsmonitor 2026 nennen 15 % den Browser-Speicher als Schutzmaßnahme

Folie 9 · 06:10–07:02 (52 s) · 104 Wörter

Zeitmarke: Folie soll bei 06:10 beginnen. Mehr als 20 s hinten? Kürzungen nehmen.

Stufe vier. Neue Wohnung, neuer Laptop. Der Browser fragt freundlich: „Passwort speichern?“ Erika klickt „Ja“. (Klick) In einer Online-Umfrage der Verbraucherzentrale NRW sagten 84 Prozent: Machen wir auch. (Pause) Das ist erst mal gut: kostenlos, eingebaut, warnt oft sogar bei geleakten Passwörtern. Gegen Firefox hatte das BSI keine Bedenken. Es rät aber, nachzuschärfen: in Firefox ein Hauptpasswort setzen, in Chrome ein eigenes Passwort für den Abgleich. (Pause) Der Haken: Jeder Browser lebt in seiner eigenen Welt. (Klick) Erika hat ein iPhone und einen Windows-Laptop mit Chrome. Das geht, aber mit Zusatzprogramm und Umstellerei. Und das DI.DAY-Rezept sagt: Die Browser-Hersteller müssen nicht wissen, wo du überall ein Konto hast.

Kürzung 5 (ca. 8 s): „Erika hat ein iPhone und einen Windows-Laptop mit Chrome. Das geht, aber mit Zusatzprogramm und Umstellerei.“ weglassen, Geräte-Klick dann auf „Der Haken“.

Plötzlich Umzug

Juni2025speichern ✗
Juli ausfüllen ✗
August anzeigen ✗

Umzug nach Microsofts Zeitplan

Microsoft Authenticator, Juni–Aug. 2025, laut Fachpresse · Passwörter blieben im Microsoft-Konto bzw. in Edge

Folie 10 · 07:02–07:40 (38 s) · 76 Wörter

Wie abhängig man dabei ist, hat Erika 2025 gemerkt. Ein Kollege hatte ihr den Microsoft Authenticator aufs Handy gepackt. Der konnte damals auch Passwörter. (Klick) Juni: keine neuen Passwörter mehr. (Klick) Juli: kein automatisches Ausfüllen. (Klick) August: Die Passwörter waren in der App nicht mehr zu sehen. (Pause) Weg waren sie nicht. Sie lagen im Microsoft-Konto, im Browser Edge. Wer Edge nicht wollte, musste umziehen. (Klick) Und zwar dann, wenn Microsoft es wollte. Das ist der Punkt: nicht Datenverlust, sondern Abhängigkeit.

Kürzung 9 (ca. 29 s): ganze Folie überspringen; dafür in Folie 9 nach „eigenen Welt“: „Und streicht der Anbieter eine Funktion, wie Microsoft 2025 beim Authenticator, ziehst du um, wenn er es will.“ Notbremse: Folie 10 überspringen.

Stufe 5

Der Profi-Tresor im Abo

LastPass · 1Password

+33 %:
1Password-Einzeltarif 2026

35,88 → 47,88 USD/Jahr bei Verlängerung ab 27.03.2026, laut Fachpresse (9to5Google, AlternativeTo)

LastPass 2022

Kopien der Tresore erbeutet
Passwörter: verschlüsselt
Webadressen: nicht

Geknackt werden vor allem Tresore mit schwachem Master-Passwort

LastPass 2022, laut britischer Datenschutzbehörde ICO (2025)

Die DI.DAY-Frage

Wem gehört der Tresor?
Kann ich reinschauen?
Welches Recht gilt?

Stufe 6

Unsere drei Favoriten

KeePassXC-Familie

KeePassXC · KeePassDX · KeePassium

Datei bei dir
Open Source
kein Anbieter dazwischen

Haken: Abgleich & Backup selbst

Proton Pass

beim Anbieter, verschlüsselt
Apps offen
Schweiz (nicht EU)

Haken: Tresor beim Anbieter

Bitwarden / Vaultwarden

Microsoft-Cloud / eigener Server
Open Source
USA / da, wo der Server steht

Haken: US-Firma, Daten bei Microsoft

passend zum DI.DAY-Wechselrezept „Passwörter in Deiner Hand“ · KeePassXC: BSI-Marktuntersuchung 2025, „im Rahmen der Prüftiefe“ keine Bedenken · KeePassium: Grundversion gratis, Premium kostenpflichtig

Folie 14 · 09:09–10:19 (70 s) · 140 Wörter

Zeitmarke: Folie soll bei 09:09 beginnen. Mehr als 20 s hinten? Kürzungen nehmen.

Und so landet Erika eines Sonntags beim DI.DAY. Vielleicht sogar bei diesem hier. (Pause) Stufe sechs: unsere drei Favoriten, passend zum DI.DAY-Wechselrezept „Passwörter in Deiner Hand“. (Klick) Erstens: die KeePassXC-Familie, für Rechner, Android und iPhone. Der Tresor ist eine verschlüsselte Datei bei dir. Open Source, da können alle reinschauen. Kein Konto, keine Cloud, kostenlos nutzbar. Das BSI hatte keine Bedenken, soweit es geprüft hat. Der Haken: Abgleich und Backup machst du selbst. (Klick) Zweitens: Proton Pass aus der Schweiz. Gleicht sich bequem über alle Geräte ab, Einstieg kostenlos, in die Apps kann man reinschauen. Der Haken: Der Tresor liegt verschlüsselt beim Anbieter. Und die Schweiz ist Europa, aber nicht EU. (Klick) Drittens: Bitwarden. Open Source, jährlich geprüft, sehr einsteigerfreundlich. Aber: eine US-Firma, die Tresore liegen in Microsofts Cloud. Im DI.DAY-Rezept deshalb zweite Wahl. Wer den Server lieber selbst betreibt, nimmt Vaultwarden, mit denselben Apps.

Kürzung 7 (ca. 7 s): „Und so landet Erika eines Sonntags beim DI.DAY. Vielleicht sogar bei diesem hier.“ weglassen, direkt „Stufe sechs“.

Welcher passt zu dir?

Ein Hauptrechner, Lust auf KontrolleKeePassXC
Mehrere Geräte, FamilieProton Pass
Eigener Server, IT im VereinVaultwarden

Schon bei Bitwarden? Bleib ruhig dabei. Neu mit Bitwarden? Vor der Registrierung die EU-Region wählen.

Und du? Welche Stufe – und welche als Nächstes?

Folie 15 · 10:19–11:18 (60 s) · 99 Wörter

Und welcher passt zu dir? (Klick) Ein Hauptrechner und Lust auf Kontrolle: KeePassXC. (Klick) Mehrere Geräte, Familie, möglichst bequem: Proton Pass. Erika hat iPhone und Laptop und will, dass sich alles von selbst abgleicht. Also Proton Pass. (Klick) Eigener Server oder IT-Leute im Verein: Vaultwarden. Und wer mit Bitwarden schon glücklich ist: Bleib ruhig dabei. Wer neu mit Bitwarden anfängt, wählt vor der Registrierung die EU-Region. (Klick) Und jetzt ihr, ganz still für euch: Auf welcher Stufe steht ihr heute? Und welche ist die nächste? (Stille Frage) Jede Stufe nach oben zählt. Und aussuchen müsst ihr nicht allein: Gleich in der Umzugshilfe schauen wir gemeinsam.

Kürzung 4 (ca. 7 s): „Und aussuchen müsst ihr nicht allein: Gleich in der Umzugshilfe schauen wir gemeinsam.“ weglassen.

Das eine Passwort

verlieben effizient gelernt aufraffen eckpfeiler speisen

Beispiel – niemals selbst verwenden!

Notfallblatt, verschlossen

5–6 zufällige Wörter (BSI) · je Wort ein Wurf mit 5 Würfeln, Wortliste dys2p de-7776

Folie 16 · 11:18–12:10 (52 s) · 100 Wörter

Zeitmarke: Folie soll bei 11:18 beginnen. Mehr als 20 s hinten? Kürzungen nehmen.

Egal welcher Tresor: Erika braucht jetzt nur noch ein einziges Passwort, das Master-Passwort. Und das muss richtig gut sein, siehe LastPass. (Pause) Eine schöne Methode dafür: fünf bis sechs zufällige Wörter, mit Leerzeichen getrennt. Leicht zu merken, schwer zu knacken. (Klick) Zum Beispiel so. Aber bitte: niemals selbst verwenden, das steht ja jetzt auf einer Folie. (Pause) Am besten würfeln oder vom Passwortmanager würfeln lassen. Der Name vom Hund ist nicht zufällig. (Klick) Und dann aufschreiben, ja, wirklich. Denn vergessen kann heißen: Tresor zu. Also als Notfallblatt, im verschlossenen Umschlag. Erikas altes Passwortbuch hat dafür einen neuen Job: ein einziger Eintrag, im abgeschlossenen Schrank.

Entwarnung

Ändern nur mit Grund Sommer2020! → Sommer2021! so nicht!
Länge vor Sonderzeichen password → Password1! so nicht!

BSI 2025/2026 · NIST SP 800-63B-4

Bonus: 2FA & Passkeys

2FA: SMS < App

einschalten, sobald angeboten (BSI)

SMS
App
Passkey

Passkey: Finger statt Passwort

z. B. GMX, WEB.DE, Deutsche Bahn – Passwort bleibt als Reserve

Folie 18 · 12:53–13:46 (53 s) · 106 Wörter

Zeitmarke: Folie soll bei 12:53 beginnen. Mehr als 20 s hinten? Kürzungen nehmen.

Noch ein kleiner Bonus. (Klick) Zwei-Faktor-Anmeldung: Zum Passwort kommt ein Code aus einer App oder per SMS. Einschalten, sobald ein Dienst das anbietet. Bei Firmenkonten fand Microsoft damit über 99 Prozent weniger Kontoübernahmen. SMS ist besser als nichts, eine App ist besser. (Klick) Am besten sind Passkeys: Anmelden mit Fingerabdruck oder Geräte-PIN, und der Fingerabdruck bleibt auf deinem Gerät. Auf die üblichen gefälschten Seiten fällt ein Passkey nicht rein. GMX, WEB.DE und die Bahn können das schon. Das Passwort bleibt dort übrigens als Reserve, also trotzdem stark halten. Speichert Passkeys am besten gleich in eurem neuen Tresor. Erika meldet sich bei der Bahn jetzt mit dem Daumen an.

Kürzung 6 (ca. 5 s): Microsoft-Studie weglassen. Notbremse: „Bonus: Schaltet beim E-Mail-Konto die Zwei-Faktor-Anmeldung ein, und wo es geht: Passkeys. Zeige ich euch gleich in der Demo.“

Schutz oder Schnickschnack?

Schutz.

… und am besten einer, der dir gehört.

„Aus Sicht des BSI überwiegt der Nutzen bei weitem.“

Los geht’s! #DIDit

Erster Schritt: dein E-Mail-Konto – neues Passwort aus dem Tresor, Zwei-Faktor an
Danach: eine Sache pro Monat
Gleich: Live-Demo & Umzugshilfe

QR-Code: di.day/de/wechselrezepte/passwords — DI.DAY-Wechselrezept Passwörter

QR-Code: luise-oranienburg.de — luise-oranienburg.de

Danke! Bildnachweise & Lizenzen

Illustrationen und Skizzen: eigene
Illustration Smartphone (Folie 2): Florian Biege für di.day
DI.DAY-Logos: Nutzung für diese Veranstaltung abgesprochen (25.10.2026)
luise-Logo: luise Oranienburg, lädt zu dieser Veranstaltung ein · QR-Codes: selbst erzeugt
Schriften: Atkinson Hyperlegible, Silkscreen, Caveat (SIL Open Font License)
Foliensoftware: reveal.js (MIT-Lizenz)

QR-Code zum DI.DAY-Rezept — DI.DAY-Rezept

QR-Code zu luise-oranienburg.de — luise-oranienburg.de

Passwortmanager –Schutz oder Schnickschnack?

DigitalIndependence Day

DigitalIndependence Day

Das ist Erika.

„Niemand kann sich Dutzende von Zugangsdaten merken.“

Ein Schlüssel für alle

Ein Leck – alle Türen offen

Der Zettel am Bildschirm

Das Passwortbuch

Der Browser merkt sich’s

Plötzlich Umzug

Der Profi-Tresor im Abo

LastPass 2022

Die DI.DAY-Frage

Unsere drei Favoriten

KeePassXC-Familie

Proton Pass

Bitwarden / Vaultwarden

Welcher passt zu dir?

Und du? Welche Stufe – und welche als Nächstes?

Das eine Passwort

Entwarnung

Bonus: 2FA & Passkeys

2FA: SMS < App

Passkey: Finger statt Passwort

Schutz oder Schnickschnack?

Los geht’s! #DIDit

Danke! Bildnachweise & Lizenzen

Passwortmanager –
Schutz oder Schnickschnack?

Digital
Independence Day

Digital
Independence Day