PasswortmanagerSchutz oderSchnickschnack?

Matthias Kerk · luise Oranienburg · DI.DAY, 1. November 2026

Ein lachendes Smartphone hat seine Kabel abgerissen — Illustration: Florian Biege für di.day

Heute ist DI.DAY

Jeden ersten Sonntag auf die gute Seite wechseln!

#DIDit

Wie viele Konten hast du?

48 %

haben mehr als 50

E-Mail
Bank
Krankenkasse
Bahn
Streaming
Druckerpatronen-Shop

„Niemand kann sich Dutzende von Zugangsdaten merken.“ – Bitkom

Online-Umfrage Verbraucherzentrale NRW 2025, n = 1.203 · Bitkom 2025

Meistgeleakte Passwörter in Deutschland 2025

1123456
2123456789
3565656
412345678
5hallo123
6

Hasso-Plattner-Institut, Januar 2026 · gezählt in Datenlecks, nicht „beliebteste Passwörter“

01:16–02:30 · Folie 4 · Quiz · Mitmach 1

Wie wir tricksen, zeigt das Hasso-Plattner-Institut. Es hat ausgewertet, welche Passwörter in Deutschland 2025 in Datenlecks am häufigsten auftauchten. Platz eins: eins, zwei, drei, vier, fünf, sechs. (Pause) Große Überraschung. Jetzt seid ihr dran: Was steht auf Platz sechs? Elf Buchstaben. Tipp: Einige von euch halten es gerade in der Hand. (Zurufe abwarten, ca. 30 Sek.; nach 10 Sek. zweiter Tipp „Hat einen Henkel“; spätestens nach 30 Sek. auflösen, auch ohne richtige Antwort) (Klick) Kaffeetasse! (Lacher abwarten) Das heißt nicht, dass halb Oranienburg „kaffeetasse“ als Passwort hat. Aber genau solche Listen probieren Kriminelle zuerst aus. Und doppelt riskant wird die Kaffeetasse, wenn sie überall dieselbe ist. Dazu gleich mehr.

Die Stufenleiter

Und du?

Stufe 1

Überall dasselbe Passwort

33 %machen es so

Bitkom, Januar 2025, n = 1.021 · andere Umfragen: knapp 30 bis 70 %

Und du?

Ein Leck – alle Türen offen

14.000

Konten übernommen

6,9 Mio.

Menschen betroffen

23andMe 2023, Angaben des Unternehmens

Und du?

Stufe 2

Der Zettel

Und du?

Stufe 3

Das Passwortbuch

„… das Sie einfach
in Ihrem Bücherregal
verstecken können.“

Gefährlich ist nicht das Papier, sondern der Ort.

05:16–06:08 · Folie 9 · Stufe 3: Das Passwortbuch · Regie: Die Einträge im Buch nicht kommentieren (auch nicht die „kaffeetasse“ in der WLAN-Zeile).

Stufe drei: das Passwortbuch, davon gibt es im Buchhandel Dutzende. (Klick: Handnotiz) Mein Lieblingstitel: „Meine Passwörter. Ein Eintragebuch für Ihre Zugangsdaten, das Sie einfach in Ihrem Bücherregal verstecken können.“ (Pause) Im Regal. Ein Versteck mit Titel. (kurz schmunzeln lassen, nicht auf Lacher warten) Über den Titel darf man schmunzeln, über das Buch nicht. Denn das Passwortbuch ist besser als sein Ruf. Es ist offline, keine Schadsoftware kommt dran. Das BSI nennt die Papierliste sogar „die Offline-Lösung“. Und im Ernstfall finden eure Angehörigen die Zugänge. Die Haken: Ohne Zweitliste ist bei Brand oder Verlust alles weg. Unterwegs habt ihr es nicht dabei. Und vor gefälschten Webseiten warnt es nicht. (Klick) Also: wenn Buch, dann in die abschließbare Schublade.

Ein Passwortmanager ist ein Passwortbuch, nur digital

„… ähnlich wie ein Notizbuch, das in einer Schublade eingeschlossen ist …“ – BSI

merkt sich alle Passwörter
erfindet für jedes Konto ein neues
trägt es beim Anmelden ein

Aufgeschlossen mit einem Master-Passwort

Und du?

Stufe 4

Der Browser merkt’s sich

Chrome
Safari
Firefox
Edge

84 %

speichern Passwörter im Browser

Online-Umfrage Verbraucherzentrale NRW, Aug./Sep. 2025, n = 1.203, Mehrfachnennungen · zum Vergleich: Cybersicherheitsmonitor 2026 (BSI/ProPK, n = 3.060): 15 % nennen den Browser-Passwortspeicher als Schutzmaßnahme

06:42–07:48 · Folie 11 · Stufe 4: Der Browser merkt’s sich · Mitmach 3

Und jetzt dürft ihr ruhig die Hand heben, das ist nämlich keine Beichte: Wer lässt sich Passwörter vom Browser merken? (Handzeichen, ca. 10 Sek.) (Klick) Willkommen in der Mehrheit. In einer Online-Umfrage der Verbraucherzentrale NRW waren es vierundachtzig Prozent. (Pause) Und das ist nicht unsicher. Euer Browser ist ein kleiner Passwortmanager: kostenlos, eingebaut, oft mit Warnung vor geleakten Passwörtern. Laut BSI ist das „in jedem Fall besser, als gängige Passwörter wiederholt zu benutzen“. (Pause) Aber: (Klick: Kacheln rücken auseinander, Zäune) Er merkt sich eure Passwörter nur in seiner eigenen Welt. iPhone, Android und Windows in einem Haushalt? Wird mühsam. Wer bei Chrome synchronisiert und ganz allein reinschauen will, muss extra etwas einstellen. Und Schadsoftware weiß genau, wo sie im Browser suchen muss.

Sicherheitsnetz: wenige Hände → „Die anderen tippen alles von Hand? Respekt!“

Der Passwortmanager, der verschwand

Juni 2025nichts Neues speichern
Julikein Ausfüllen
Augustweg aus der App

Microsoft Authenticator, 2025

Und du?

Stufe 5

Profi-Tresor im Abo

LastPass · 1Password

technisch oft top
bequem
Support

–

Code zu
Sitz USA / Kanada
Preis rauf, Produkt weg?

BSI 2025 (1Password) · 1Password Einzeltarif +33 % (2026) · S-Trust der Sparkassen eingestellt 31.3.2026

Eine Lehre für jeden Cloud-Tresor

LastPass 2022: Kopien der Kundentresore gestohlen
Webadressen: unverschlüsselt
Passwörter: verschlüsselt
Geknackt: vor allem schwache Master‑Passwörter

LastPass 2022 · ICO 2025

Und du?

Stufe 6

Ein Tresor, der dir gehört

KeePassXC-Familie

lokal · offen · kostenlos*

Rechner: KeePassXC
Android: KeePassDX
iPhone: KeePassium

Proton Pass

Bitwarden / Vaultwarden

*KeePassium gratis mit einer Datenbank · BSI 2025 zu KeePassXC 2.7.9: „keine Bedenken“ im Rahmen der Prüftiefe · im Einklang mit dem DI.DAY-Wechselrezept „Passwörter in Deiner Hand“

Und du?

Stufe 6

Ein Tresor, der dir gehört

KeePassXC-Familie

Proton Pass

bequem · Schweiz · Apps offen

Gratis-Tarif
synchronisiert automatisch
Daten verschlüsselt beim Anbieter

Bitwarden / Vaultwarden

Schweiz ist nicht EU · Server-Code nicht veröffentlicht

Und du?

Stufe 6

Ein Tresor, der dir gehört

KeePassXC-Familie

Proton Pass

Bitwarden / Vaultwarden

offen · einsteigerfreundlich

Bitwarden: Sitz USA, Tresore in Microsofts Cloud · DI.DAY: „zweite Wahl“
Vaultwarden: dieselben Apps, eigener Server

auch bei Wahl der EU-Region: Microsoft Azure

Und du?

Welcher passt zu dir?

Ein Rechner, volle KontrolleKeePassXC
Mehrere Geräte, FamilieProton Pass
Verein mit AdminVaultwarden

Schon bei Bitwarden? Gute Stufe, kein Grund zur Eile.

Ab jetzt merkst du dir nur noch eins

Beispiel –
niemals selbst
verwenden!

auf keiner

steht auf
jeder Liste

Passphrase: 6 zufällige Wörter, je Wort 5 Würfe (Wortliste dys2p de-7776)

11:46–12:43 · Folie 19 · Ab jetzt merkst du dir nur noch eins

Egal welcher Tresor: Ihr merkt euch ab jetzt genau ein Passwort, das Master-Passwort. Und das sollte lang sein. Das BSI nennt zum Beispiel fünf bis sechs zufällige Wörter aus dem Wörterbuch. (Klick: Würfel rollen, danach der Stempel) Etwa so. Und bitte genau dieses nicht nehmen, das steht ja jetzt auf einer Folie. (Lacher abwarten) Zufällig heißt: würfeln oder vom Programm erzeugen lassen. Nicht der Name eurer Katze. (Klick) Die Kaffeetasse steht auf jeder Liste, eure gewürfelten Wörter auf keiner. (Klick) Und dann schreibt ihr es auf. Ja, wirklich: auf ein Notfallblatt, in einen Umschlag, an einen sicheren Ort. (Klick: Tresor von Folie 14) Erinnert ihr euch an LastPass? Dieses eine Passwort ist das Schloss, das noch hält, wenn jemand den ganzen Tresor klaut.

Was du nicht mehr musst

regelmäßig ändern
password → Password1 → Password1!

Länge schlägt Komplexität

BSI 2025/2026 · NIST SP 800-63B-4 (2025)

Bonus

Zwei-Faktor: einschalten, wo es geht – zuerst bei E-Mail und Passwortmanager

Passkey: Fingerabdruck oder PIN statt Passwort

BSI · z. B. GMX, WEB.DE, Deutsche Bahn (dort bleibt das Passwort als Reserve)

13:14–14:10 · Folie 21 · Bonus: Zweites Schloss und Passkeys

Zwei Bonus-Tipps. Erstens: Zwei-Faktor-Anmeldung, also zusätzlich zum Passwort ein Code aus einer App oder per SMS. Laut BSI einschalten, sobald ein Dienst das anbietet. SMS ist besser als nichts, eine App ist besser. Am wichtigsten beim E-Mail-Konto und beim Passwortmanager selbst. (Klick) Zweitens: Passkeys. Quasi das Passwort, das keins mehr ist. (Klick: Ersatzschlüssel „Passwort (Reserve)“) GMX, WEB.DE und die Bahn können das schon, das alte Passwort bleibt dort aber als Reserve. Also weiter stark halten. Ihr bestätigt mit Fingerabdruck oder PIN, und beides verlässt euer Gerät nie. Ein Passkey ist wie ein Haustürschlüssel, der die Hausnummer kennt. (Klick: gefälschte Tür) An einer täuschend echt gefälschten Tür dreht er sich einfach nicht. Passkeys speichert ihr am besten gleich im neuen Passwortmanager.

Schutz oder Schnickschnack?

Schutz.

Einer, der dir gehört.

Dein erster Schritt: das E-Mail-Konto

neues, langes Passwort aus dem Tresor
Zwei-Faktor an

Wer geht heute eine Stufe höher?

Ein Wechsel pro Monat reicht.

#DIDitDanke!

14:21–15:18 · Folie 23 · Dein erster Schritt · Mitmach 4 und 5

Und wo fangt ihr an? Kurz nicken, wer schon mal auf „Passwort vergessen?“ geklickt hat. (Nicken abwarten, ca. 3 Sek.) Eben. Und wo landet dann der Link zum Zurücksetzen? Im E-Mail-Postfach. Darum zuerst das E-Mail-Konto: ein neues, langes Passwort aus dem Tresor, und Zwei-Faktor an. (Klick) Letzte Frage: Wer geht heute eine Stufe höher? (Handzeichen, ca. 10 Sek.) Wunderbar! (Klick: Schlusszeile mit Tasse) Ein Wechsel pro Monat reicht. Und die Kaffeetasse darf ab heute wieder einfach Kaffee enthalten. (Lacher abwarten) Danke euch! Holt Handy und Laptop raus, wir ziehen gleich gemeinsam um. Und danach dürft ihr angeben: Hashtag DIDit!

Sicherheitsnetze: kein Nicken → „Dann habt ihr ein beneidenswertes Gedächtnis.“ · wenige Hände → „Die anderen kommen einfach mit an die Tische und schauen zu.“

Jetzt: Live-Demo & Umzugshilfe

Handy oder Laptop raus – wir ziehen gemeinsam um!

QR-Code: di.day/de/wechselrezepte/passwords — DI.DAY-Rezept „Passwörter in Deiner Hand“

QR-Code: luise-oranienburg.de — luise Oranienburg

Skizzen: eigene Illustrationen

Bildnachweise & Lizenzen

Illustration „befreites Smartphone“ (Titel, Folie 2, Standbild): Florian Biege für di.day
DI.DAY-Logo und Schriftzug „Digital Independence NOW!“: di.day, Nutzung für diese luise-Veranstaltung freigegeben · luise-Logo: luise Oranienburg
QR-Codes zum DI.DAY-Wechselrezept „Passwörter in Deiner Hand“ und zu luise-oranienburg.de: selbst erzeugt (qrencode)
Skizzen, Symbole, Stufenleiter und Pixelband: eigene Gestaltung für diesen Vortrag
Schriften: Atkinson Hyperlegible Next und Mono (Braille Institute), Silkscreen, Caveat – SIL Open Font License 1.1
Präsentation: reveal.js 6.0.2 (Hakim El Hattab und Mitwirkende) – MIT-Lizenz

QR-Code zum DI.DAY-Rezept — DI.DAY-Rezept

QR-Code zu luise-oranienburg.de — luise-oranienburg.de