Heute ist DI.DAY

Passwortmanager –Schutz oder Schnickschnack?

Matthias Kerk · luise Oranienburg
1. November 2026

Ein lachendes Smartphone hat seine Kabel abgerissen — Illustration: Florian Biege für di.day

So lesen wir’s heute

Wechselrezept: Passwörter in Deiner Hand

30 Min. Schwierigkeit: mittel

Zutaten – Dutzende Konten, ein Kopf
Zubereitung – die Stufenleiter
Der Schlüssel zum digitalen Leben – das Master-Passwort
Dazu – Zwei-Faktor und Passkeys
Guten Appetit – gemeinsam umziehen

Schutz oder Schnickschnack?

Handzeichen!

di.day/de/wechselrezepte/passwords

Dutzende Konten. Ein Kopf.

„Niemand kann sich Dutzende von Zugangsdaten merken.“

Bitkom, 30.01.2025

Das Hauptproblem ist nicht das schwache Passwort.

Sondern das wiederverwendete.

„… probieren Kriminelle diese erbeuteten Zugangsdaten überall aus.“
– Prof. Christian Dörr, Hasso-Plattner-Institut, Januar 2026

Die Stufenleiter

Stufe 1

Überall dasselbe Passwort

33 %nutzen ein Passwort
für mehrere Dienste

Bitkom 2025, n = 1.021 · Bitkom-Umfragen 2020–2025: 29–36 %

02:56–04:07 · Folie 6: Stufe 1: Ein Schlüssel für alles

Stufe eins: überall dasselbe Passwort. Ein Schlüssel für alle Schlösser: E-Mail, Bank, Shop, Social Media. (Pause)

(Klick) Ein Drittel der Menschen, die in Deutschland online sind, nutzt dasselbe Passwort für mehrere Dienste, sagt der Bitkom. Und das seit Jahren: je nach Umfrage 29 bis 36 Prozent. Ihr seid also in großer Gesellschaft. Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, nennt es sogar wörtlich „bequem“. Der Satz geht aber weiter: „aber dennoch nicht zu empfehlen“.

(Klick) Denn eure Sicherheit hängt dann am schlechtesten geschützten Dienst. Kommt dort jemand an eine Kopie, gehen alle Schlösser auf. Beim Gentest-Anbieter 23andMe kamen Kriminelle 2023 mit wiederverwendeten Passwörtern in rund 14.000 Konten. Über eine Verwandtschaftsfunktion kamen sie an Daten von 6,9 Millionen Menschen. Die meisten hatten selbst nichts falsch gemacht.

Und auch ein superstarkes Passwort rettet euch nicht. Fällt es einmal irgendwo raus, ist es überall offen.

Stufe 2

Der Zettel am Bildschirm

„kaffeetasse“: Platz 6 – meistgeleakt 2025

HPI 2025 · Beispiel, bitte nicht verwenden

04:07–05:14 · Folie 7: Stufe 2: Der Zettel am Bildschirm

Stufe zwei. Dann eben verschiedene Passwörter. Aber wohin damit? Auf den Zettel am Bildschirm. Oder, ganz raffiniert, unter die Tastatur. (Pause)

Wer hat heute schon Kaffee getrunken? (Handzeichen) (Klick) „kaffeetasse“ steht auf Platz 6 der meistgeleakten Passwörter in Deutschland 2025, laut Hasso-Plattner-Institut. Aber hier geht's nicht ums Passwort, sondern um den Ort.

Fair bleiben: Der Zettel erlaubt verschiedene Passwörter, und aus dem Internet kommt niemand ran, auch keine Schadsoftware.

Der Haken: Alle, die vorbeikommen, sehen ihn. Besuch, Handwerker*innen, und manchmal eine Handykamera. Beim französischen Sender TV5Monde las 2015 jemand vor dem Fernseher das YouTube-Passwort von Ausdrucken im Hintergrund eines Fernsehinterviews ab. Übersetzt: „dasPasswortfürYouTube“. (Pause)

Das BSI sagt deshalb: niemals „auf dem berühmten Notizzettel am Bildschirm“. Schutz vor dem Internet, aber nicht vor dem Schreibtisch.

Stufe 3

Das Passwortbuch

Besser als sein Ruf –
wenn es weggeschlossen ist.

verschließbare Schublade ·
Ersatzliste

05:14–06:15 · Folie 8: Stufe 3: Das Passwortbuch

Stufe drei: das Passwortbuch aus dem Buchhandel. (Pause) Jetzt überrasche ich euch vielleicht: Das BSI nennt die Papierliste „die Offline-Lösung“. Schadsoftware kann kein Buch auslesen. Und im Ernstfall finden eure Angehörigen damit eure Konten.

Aber mit Bedingungen. (Klick) Ab in eine verschließbare Schublade, nicht offen auf den Schreibtisch. Und eine Ersatzliste anlegen, sonst ist bei Verlust oder Brand alles weg. Unterwegs habt ihr das Buch nicht dabei, seht ihr am Handy rechts. Und gegen gefälschte Webseiten hilft Papier nicht, da tippt ihr das Passwort im Zweifel brav selbst ein.

Gefährlich ist nicht das Papier, sondern der Ort. (Pause) Übrigens: Das BSI beschreibt einen Passwortmanager als „Notizbuch, das in einer Schublade eingeschlossen ist“. Das gibt's also auch digital.

Stufe 4

Der Browser merkt sich’s

84 %

speichern Passwörter im Browser

Chrome · Safari · Edge · Firefox

Apple · Google ·
Microsoft

Funktion eingestellt

nicht unsicher – aber gebunden

Umfrage Verbraucherzentrale NRW 2025, n = 1.203 · Rezept, Schritt 1: „Warum Du Passwörter besser nicht im Browser speicherst“

06:15–07:19 · Folie 9: Stufe 4: Der Browser merkt sich's

Stufe vier. Der Browser fragt: „Passwort speichern?“ Wer kennt das? (Handzeichen) Eben. Laut Verbraucherzentrale NRW speichern rund 84 Prozent ihre Passwörter im Browser. (Pause)

Das ist ein großer Schritt nach oben: kostenlos, eingebaut. Gegen den Passwortspeicher von Firefox hatte das BSI in seiner Untersuchung keine Bedenken. Das Rezept rät trotzdem davon ab. Meine Randnotiz: nicht unsicher, aber gebunden.

Es ist wie in der Kantine: Ihr esst, was diese eine Küche kocht. (Klick) Apple will Apple-Geräte, Google will Chrome und Android, Microsoft will Edge. Im gemischten Haushalt wird's schnell fummelig.

(Klick) Und manchmal streicht die Kantine ein Gericht. Microsoft hat 2025 die Passwortfunktion seiner Authenticator-App abgeschaltet. Die Passwörter blieben im Microsoft-Konto, nutzbar über Edge. Wer Edge nicht wollte, musste umziehen.

Stufe 5

Profi-Tresor im Abo

LastPass · 1Password

Technisch oft top. Aber: geschlossene Küche.

Code: geschlossen

Preis: machen
die Wirt*innen

LastPass: USA · 1Password: Kanada

BSI-Marktuntersuchung 2025 · 1Password-Einzeltarif 2026: +33 %

07:19–08:23 · Folie 10: Stufe 5: Restaurant mit geschlossener Küche

Stufe fünf: Passwortmanager im Abo. LastPass, 1Password und Co. Technisch oft top: Bei 1Password hatte das BSI keine grundsätzlichen Bedenken.

Und LastPass? Da haben Kriminelle 2022 die verschlüsselten Tresore gestohlen, die Webadressen sogar unverschlüsselt. Die Verschlüsselung hat grundsätzlich gehalten. Geknackt werden seitdem vor allem Tresore mit schwachem Master-Passwort. Das ist das eine Passwort, das den ganzen Tresor aufschließt. Merkt euch das. (Pause)

Das DI.DAY-Argument ist ein anderes. Stellt euch ein Restaurant mit geschlossener Küche vor. Das Essen ist super, aber reinschauen könnt ihr nicht. (Klick) Der Code ist nicht offen. (Klick) Den Preis machen die Wirt*innen: 1Password hat seinen Einzeltarif dieses Jahr um ein Drittel erhöht. (Klick) Und es gilt fremdes Recht: bei LastPass das der USA, bei 1Password das Kanadas.

Also die DI.DAY-Frage: Wem gehört der Tresor?

Stufe 6

Ein Tresor, der dir gehört

offener Code · Tresor bei dir,
beim Schweizer Anbieter
oder auf eigenem Server

nach dem DI.DAY-Wechselrezept „Passwörter in Deiner Hand“

KeePassXC & Co.: die Datei bei dir

KeePassXC (Rechner)
KeePassDX (Android)
KeePassium (iPhone)

kostenlos · Open Source · ohne Konto

DI.DAY-Rezept: die lokale Zutat

Proton Pass: bequem aus der Schweiz

quelloffene Apps
gleicht sich selbst ab
kostenloser Einstieg

DI.DAY-Rezept: komfortable Cloud-Alternative

Daten beim Anbieter ·
Schweiz ≠ EU

Bitwarden

Open Source · sehr einsteigerfreundlich

aber: US-Firma, Microsoft-Rechenzentren

DI.DAY-Rezept: zweite Wahl

Vaultwarden

selbst betrieben · mit den Bitwarden-Apps

Server
Sicherungen
Updates

Bitwarden: Sitz USA · Tresordaten in Microsofts Rechenzentren, auch in der EU-Region

Was passt zu dir?

Ein Rechner, volle KontrolleKeePassXC
Viele Geräte, FamilieProton Pass
Eigener ServerVaultwarden

Bitwarden-Cloud geht auch – bewusst zweite Wahl

QR-Code zum DI.DAY-Rezept: di.day/de/wechselrezepte/passwords — Rezept zum
Nachlesen

QR: di.day/de/wechselrezepte/passwords

Der Schlüssel zum digitalen Leben

Ein Master-Passwort.
Lang statt kompliziert.

verlieben63122 effizient22653 gelernt32223 aufraffen13634 eckpfeiler22635 speisen55353 Beispiel – niemals selbst verwenden!

aufschreiben – aber in den Umschlag

Rezept, Schritt 3 · BSI: 5–6 zufällige Wörter · Wortliste: dys2p/wordlists-de

11:26–12:24 · Folie 16: Der Schlüssel zum digitalen Leben

Egal welcher Tresor: Eins braucht ihr immer. Im Rezept heißt dieser Schritt „Der Schlüssel zum digitalen Leben“, also euer Master-Passwort. Ab jetzt merkt ihr euch nur noch dieses eine.

Erinnert ihr euch an LastPass? Gefallen sind vor allem die Tresore mit schwachem Master-Passwort. Also: lang statt kompliziert. Das BSI nennt als eine Möglichkeit fünf bis sechs zufällige Wörter, mit Leerzeichen getrennt. (Klick) Zum Beispiel so. (Pause)

Wichtig ist „zufällig“: nicht das Haustier, nicht die Lieblingsband. Würfeln oder den Generator im Passwortmanager nehmen. Und dieses Beispiel ist ab sofort verbrannt, ihr habt es ja alle gesehen.

Aufschreiben? Ja, das Rezept sagt sogar: auf Papier. Meine Randnotiz: als Notfallblatt im verschlossenen Umschlag, an einem sicheren Ort.

Entwarnung!

Regelmäßig ändern!

Sommer2020! → Sommer2021!

Kein Pflichtwechsel.

Mindestens ein Sonderzeichen!

passwort → Passwort1!

Länge

Länge vor Sonderzeichen.

BSI 2025/2026 · NIST SP 800-63B-4 (2025)

Zwei-Faktor-Anmeldung

gehört zum ersten Schritt

Passwort + Code vom Handy

SMS
App
Passkey

Zuerst beim E-Mail-Konto!

SMS < Authenticator-App < Passkey (abgeleitet aus BSI-Bewertungen)

Passkeys: anmelden ohne Passwort

Fingerabdruck, Gesicht oder Geräte-PIN
schützt vor üblichem Phishing (gefälschten Webseiten)
z. B. GMX · WEB.DE · Deutsche Bahn – dort bleibt das Passwort parallel bestehen

BSI: Passkeys „resistent gegen übliche Phishing-Angriffe“ · GMX/WEB.DE seit Juli 2026 · Deutsche Bahn seit Februar 2026

Schutz oder Schnickschnack?

Schutz.

„Aus Sicht des BSI überwiegt der Nutzen bei weitem.“

BSI, Pressemitteilung 09.12.2025

Guten Appetit!

Erster Schritt: dein E-Mail-Konto – neues Passwort aus dem Manager, Zwei-Faktor an.

Eine Sache pro Monat reicht.

#DIDit

QR-Code: di.day/de/wechselrezepte/passwords — Rezept

Rezept: di.day/de/wechselrezepte/passwords · luise-oranienburg.de

Bildnachweise & Lizenzen

Illustration „befreites Smartphone“ (Titel und Schluss): Florian Biege für di.day
DI.DAY-Logo: di.day, Nutzung für diese Veranstaltung freigegeben · luise-Logo: luise Oranienburg
Skizzen, Stufenleiter, Symbole und QR-Codes: eigene Zeichnungen bzw. eigene Erzeugung
Schriften: Atkinson Hyperlegible Next und Mono (Braille Institute), Silkscreen, Caveat – SIL Open Font License 1.1
Foliensoftware: reveal.js 6.0.2 (Hakim El Hattab und Mitwirkende) – MIT-Lizenz

QR-Code zum DI.DAY-Rezept — DI.DAY-Rezept

QR-Code zu luise-oranienburg.de — luise-oranienburg.de