Passwortmanager und zweiter Faktor: KeePassXC, Proton Pass, TOTP und FIDO2

Werden bei einem Onlinedienst Zugangsdaten gestohlen, probieren Angreifer dieselbe Kombination aus Mailadresse und Passwort bei anderen Diensten aus. Wer überall dasselbe Passwort verwendet, verliert dann mehrere Konten auf einmal. Ein eigenes, langes Passwort für jedes Konto verhindert das, lässt sich aber bei Dutzenden Konten nicht mehr im Kopf behalten. Diese Aufgabe übernimmt ein Passwortmanager. Wir vergleichen KeePassXC und Proton Pass und anschließend zwei Verfahren für den zweiten Faktor bei der Anmeldung.

Aufgabe eines Passwortmanagers

Ein Passwortmanager speichert alle Zugangsdaten verschlüsselt in einem Tresor. Geöffnet wird er mit einem Master-Passwort, dem einzigen, das Sie sich noch merken müssen. Für neue Konten erzeugt das Programm zufällige Passwörter in der gewünschten Länge.

Die Browsererweiterung trägt Zugangsdaten nur auf der Adresse ein, für die sie gespeichert sind. Bietet der Passwortmanager auf einer Anmeldeseite nichts an, obwohl Sie dort ein Konto haben, sollten Sie die Adresszeile prüfen, bevor Sie etwas von Hand eintippen.

KeePassXC und Proton Pass

KeePassXCFür Fortgeschrittene

Speicherort

Eine verschlüsselte Datei auf Ihrem Rechner. Kein Konto, kein Server des Herstellers.

Abgleich

Organisieren Sie selbst, etwa über eine eigene Cloud oder einen gemeinsamen Ordner.

Smartphone

Über Apps anderer Entwickler, die dieselbe Datei öffnen, etwa KeePassDX oder KeePassium.

Im Team

Gemeinsam genutzte Datei. Wer was sehen darf, regeln Sie über getrennte Dateien.

YubiKey

Sichert die Datei zusätzlich zum Master-Passwort ab, über das Verfahren HMAC-SHA1.

Kosten

Kostenlos und quelloffen.

Proton PassDie bequeme Lösung

Speicherort

Ende-zu-Ende-verschlüsselt beim Anbieter Proton mit Sitz in der Schweiz.

Abgleich

Automatisch auf allen angemeldeten Geräten.

Smartphone

Eigene Apps für Android und iOS, dazu Erweiterungen für die gängigen Browser.

Im Team

Geteilte Tresore, im Geschäftstarif mit zentraler Verwaltung der Nutzer.

YubiKey

Sichert das Proton-Konto als zweiter Faktor ab, über das Verfahren FIDO2.

Kosten

Kostenlose Grundversion, weitere Funktionen im Abo.

Stand: November 2026. Funktionen und Tarife können sich ändern.

KeePassXC legt den Tresor als verschlüsselte Datei auf Ihrem Rechner ab. Es gibt kein Konto beim Hersteller und keinen Server, der ausfallen oder angegriffen werden könnte. Das Programm läuft unter Windows, macOS und Linux. Für Android und iOS gibt es Apps anderer Entwickler, die dieselbe Datei öffnen, etwa KeePassDX und KeePassium. Zusätzlich zum Master-Passwort lässt sich die Datei mit einer Schlüsseldatei oder einem YubiKey absichern. Der YubiKey arbeitet dabei mit dem Verfahren HMAC-SHA1: Ohne den eingesteckten Schlüssel lässt sich die Datei nicht öffnen.

Dafür liegt die Verantwortung für die Datei bei Ihnen. Sie richten den Abgleich zwischen den Geräten ein, wählen eine passende App für das Smartphone und nehmen die Datei in die Datensicherung auf. Ändern zwei Personen dieselbe Datei gleichzeitig, müssen die Stände zusammengeführt werden. Wir empfehlen KeePassXC deshalb Fortgeschrittenen und Büros, in denen sich jemand um diese Punkte kümmert.

Proton Pass nimmt Ihnen diese Arbeit ab. Sie melden sich mit einem Proton-Konto an, und der Tresor steht auf allen Geräten bereit: im Browser, auf dem Smartphone und in der Desktop-App. Die Inhalte sind Ende-zu-Ende-verschlüsselt, Proton selbst kann sie nicht lesen. Neue Mitarbeiter erhalten Zugriff auf einen geteilten Tresor, ohne dass eine Datei kopiert wird.

Im Gegenzug hängt der Zugriff an einem Konto bei einem Anbieter. Dieses Konto braucht ein starkes Passwort und einen eigenen zweiten Faktor. Auch hier lässt sich ein YubiKey verwenden, bei Proton als Sicherheitsschlüssel nach FIDO2. Für die meisten kleinen Büros ist Proton Pass die bequemere Lösung, weil Abgleich und Apps ohne eigenes Zutun funktionieren.

Für beide Programme gilt: Ohne Master-Passwort lässt sich der Tresor nicht öffnen. Bei KeePassXC gibt es keine Zurücksetzen-Funktion. Bei Proton müssen Sie die Wiederherstellung vorab einrichten, sonst bleiben die verschlüsselten Daten nach einem Passwortverlust unzugänglich. Notieren Sie das Master-Passwort und die Wiederherstellungsdaten auf Papier und bewahren Sie beides verschlossen auf.

TOTP und FIDO2

Ein zweiter Faktor verlangt bei der Anmeldung zusätzlich zum Passwort einen Nachweis, den nur Sie erbringen können. Ein gestohlenes Passwort allein genügt dann nicht mehr.

TOTP steht für zeitbasierte Einmalcodes. Bei der Einrichtung zeigt der Dienst einen QR-Code an, der ein gemeinsames Geheimnis enthält. Eine App auf dem Smartphone berechnet daraus und aus der Uhrzeit einen sechsstelligen Code, der meist 30 Sekunden gilt. Der Dienst rechnet mit und vergleicht.

FIDO2 arbeitet mit einem Schlüsselpaar. Bei der Einrichtung erzeugt ein Sicherheitsschlüssel oder das Gerät für jeden Dienst ein eigenes Paar und gibt nur den öffentlichen Teil heraus. Der private Teil verlässt den Schlüssel nie. Bei der Anmeldung beantwortet der Schlüssel eine Anfrage des Dienstes, und diese Antwort ist an die Adresse der Seite gebunden. Im Browser heißt die zugehörige Schnittstelle WebAuthn. Passkeys beruhen auf demselben Verfahren und können das Passwort ganz ersetzen.

Schutz vor Phishing

Bei Phishing lockt eine Mail auf eine nachgebaute Anmeldeseite. An dieser Stelle unterscheiden sich die beiden Verfahren.

Einmalcode aus der App (TOTP)

1. 1Sie tippen Passwort und Code auf der gefälschten Seite ein.
2. 2Die gefälschte Seite reicht beides sofort an den echten Dienst weiter.
3. 3Der echte Dienst sieht ein gültiges Passwort und einen gültigen Code.

Der Angreifer ist in Ihrem Konto angemeldet.

Sicherheitsschlüssel oder Passkey (FIDO2)

1. 1Die gefälschte Seite fordert die Anmeldung mit dem Schlüssel an.
2. 2Der Browser nennt dem Schlüssel die Adresse, die wirklich in der Adresszeile steht.
3. 3Für diese Adresse ist kein Schlüssel hinterlegt. Es entsteht keine gültige Antwort.

Die Anmeldung scheitert. Der Angreifer erhält nichts, was er weiterreichen kann.

Ein Einmalcode ist eine Zahlenfolge, die Sie selbst eintippen. Er funktioniert auf jeder Seite, auch auf einer gefälschten. Angreifer nutzen dafür Werkzeuge, die Passwort und Code in Echtzeit an den echten Dienst durchreichen und die Sitzung übernehmen. Die 30 Sekunden Gültigkeit reichen dafür aus.

Bei FIDO2 tippen Sie nichts ein. Der Browser teilt dem Sicherheitsschlüssel mit, auf welcher Adresse die Anmeldung stattfindet. Der Sicherheitsschlüssel signiert die Anfrage des Dienstes mit dem privaten Schlüssel, der für genau diese Adresse angelegt wurde, und gibt nur diese Signatur heraus. Für die Adresse einer gefälschten Seite ist kein privater Schlüssel hinterlegt, also entsteht keine Signatur, die der echte Dienst annimmt. Der Schutz hängt damit nicht mehr davon ab, ob jemand im Arbeitsalltag eine gut gemachte Fälschung erkennt.

MerkmalTOTPFIDO2

Was Sie brauchenEine App auf dem Smartphone oder einen Passwortmanager, der Codes erzeugt.Einen Sicherheitsschlüssel für USB oder NFC, oder ein Gerät, das Passkeys speichert.

Bei der AnmeldungSechsstelligen Code ablesen und eintippen. Er gilt meist 30 Sekunden.Schlüssel berühren oder das Gerät per PIN oder Fingerabdruck entsperren.

Gestohlenes PasswortReicht allein nicht für die Anmeldung.Reicht allein nicht für die Anmeldung.

Gefälschte AnmeldeseiteKein Schutz. Der Code lässt sich abfangen und weiterreichen.Schutz. Die Antwort des Schlüssels gilt nur für die echte Adresse.

VerbreitungBei den meisten Diensten mit zweitem Faktor verfügbar.Bei großen Anbietern verfügbar, bei kleineren Diensten oft noch nicht.

Vorsorge für den VerlustWiederherstellungscodes ausdrucken und verschlossen aufbewahren.Zweiten Schlüssel anmelden und getrennt vom ersten aufbewahren.

Schadsoftware auf dem eigenen Rechner kann eine bereits angemeldete Sitzung übernehmen. Davor schützt keines der beiden Verfahren.

Einmalcodes im Passwortmanager

KeePassXC und Proton Pass können TOTP-Codes erzeugen und neben dem Passwort eintragen, bei Proton Pass je nach Tarif. Das spart den Griff zum Smartphone. Allerdings liegen dann beide Faktoren im selben Tresor: Wer ihn öffnen kann, hat Passwort und Code.

Gegen ein Passwort, das bei einem Dienst gestohlen wurde, hilft der Code auch in diesem Fall. Für das Mailpostfach, das Konto des Passwortmanagers selbst und Administratorzugänge empfehlen wir trotzdem einen zweiten Faktor außerhalb des Tresors, am besten einen Sicherheitsschlüssel.

Empfehlung für kleine Büros

Richten Sie zuerst einen Passwortmanager ein und ersetzen Sie mehrfach verwendete Passwörter, beginnend mit dem Mailpostfach. Über das Postfach lassen sich die Passwörter fast aller anderen Konten zurücksetzen.

Aktivieren Sie danach den zweiten Faktor. Wo ein Dienst FIDO2 anbietet, melden Sie zwei Sicherheitsschlüssel an: einen für den Arbeitsplatz und einen als Ersatz, der getrennt aufbewahrt wird. Bei allen anderen Diensten nehmen Sie TOTP und drucken die Wiederherstellungscodes aus. Ein Code per SMS ist besser als kein zweiter Faktor, sollte aber nur dort bleiben, wo der Dienst nichts anderes anbietet.

Legen Sie außerdem fest, was geschieht, wenn ein Mitarbeiter ausscheidet oder ein Smartphone verloren geht: Wer entzieht den Zugriff auf geteilte Tresore, und wo liegen Ersatzschlüssel und Wiederherstellungscodes?

Die Einrichtung von Proton Pass oder KeePassXC und den Umgang damit üben wir in unseren Schulungen. Wie Passwortverwaltung und zweiter Faktor in ein Sicherheitskonzept für Ihr Büro passen, beschreiben wir unter Datenschutz und Sicherheit.