Das ist nach einem Sicherheitsschlüssel die zweitwertvollste Sache auf dieser Seite, und die beiden arbeiten zusammen: Der Schlüssel verhindert, dass sich jemand als du anmeldet, und der Manager verhindert, dass aus einer kompromittierten Seite alle werden. Mach beides, und der gewöhnliche Weg in dein Leben ist geschlossen.
01Warum eine Offline-Lösung
Die meisten Passwortmanager speichern deinen Tresor auf den Servern des Unternehmens. Das ist ein echter Komfort und nicht automatisch falsch, die guten verschlüsseln ihn so, dass sie ihn nicht lesen können. Aber es schafft ein einziges, dauerhaftes, wohlbekanntes Ziel: eine Datenbank mit Millionen von Tresoren an einem Ort, betrieben von einem Unternehmen, das kompromittiert, gekauft, per Subpoena gezwungen oder einfach einen Fehler machen kann. Das ist passiert, mehr als einmal, bei großen Anbietern.
KeePassXC bewahrt die Datenbank als eine Datei auf deiner eigenen Festplatte auf. Es gibt kein Unternehmen, kein Konto, keinen Server und nichts, was sich in großem Maßstab kompromittieren lässt. Wenn jemand deine Passwörter will, muss er gezielt zu dir kommen, was eine völlig andere Sache ist, als alle auf einmal abzugreifen.
- Kein Dritter verwahrt deinen Tresor, also kann kein Dritter ihn verlieren, über ihn erpresst werden oder seine Bedingungen ändern.
- Er funktioniert offline, auch auf einem Rechner, der nie das Internet berührt hat.
- Open Source und geprüft, mit einem offenen Dateiformat, das viele unabhängige Programme lesen können, bist du nicht eingeschlossen.
- Für immer kostenlos, ohne Stufe, die eine Sicherheitsfunktion zurückhält, bis du bezahlst.
- Backups sind deine Aufgabe. Verliere die Datei ohne Kopie und die Passwörter sind weg. Es gibt keinen Support-Schalter.
- Die Synchronisierung zwischen Geräten ist deine Aufgabe, und das ist der Teil, den die meisten falsch machen. Siehe Abschnitt 05.
- Mobil ist eine separate App von einem anderen Entwickler, keine offizielle.
- Niemand kann dein Master-Passwort zurücksetzen. Das ist der Punkt, und es ist auch das Risiko.
Wenn offline nach mehr Verantwortung klingt, als du willst, nutze stattdessen Bitwarden oder Proton Pass und mach mit deinem Leben weiter. Die katastrophale Option ist die, die du jetzt nutzt, dasselbe Passwort an fünfzig Stellen. Lass nicht zu, dass die Suche nach dem perfekten Werkzeug dich beim schlechtesten lässt.
02Das Master-Passwort, also das Entscheidende überhaupt
Alles ruht auf einer einzigen Passphrase. Ist sie schwach, spielt nichts anderes in dieser Anleitung eine Rolle; ist sie stark, hat ein Angreifer mit deiner Datenbankdatei immer noch nichts in der Hand.
Vier bis sechs zufällige Wörter – kein selbst formulierter Satz, der weit weniger zufällig ist, als er sich anfühlt. Etwas wie harbour-plum-ditch-tractor-vine. Es ist lang, wirklich zufällig, und du kannst es dir tatsächlich merken, was bei einer Zeichenkette niemals der Fall ist. Lass es von KeePassXC im Passphrase-Modus für dich generieren, schreib es dann auf Papier, bis es in deinem Kopf ist, und vernichte das Papier danach.
Die Master-Passphrase sollte an genau zwei Orten existieren: in deinem Gedächtnis und, falls nötig, in einer versiegelten physischen Sicherung an einem sicheren Ort. Niemals in einer Datei, niemals in einer Notiz-App, niemals in einer Nachricht an dich selbst und niemals in diesem oder einem anderen Dokument.
03Die Einrichtung
-
Aus der offiziellen Quelle installieren
Lade es von keepassxc.org herunter, oder unter Linux aus dem Repository deiner Distribution oder via Flatpak. Tippe die Adresse von Hand ein – Domains, die Passwort-Managern zum Verwechseln ähnlich sehen, sind aus offensichtlichen Gründen ein altbekannter Angriff.
-
Die Datenbank erstellen
Database → New Database. Gib ihr einen Namen, der nicht „passwords“ lautet. Du wirst nach den Verschlüsselungseinstellungen gefragt, die Standardwerte sind gut, und den Schieberegler für die Entschlüsselungszeit solltest du verstehen: Ein höherer Wert macht jeden Rateversuch eines Angreifers langsamer. Eine Sekunde auf deinem eigenen Rechner ist eine vernünftige Einstellung und ein ernsthaftes Hindernis für Brute-Force.
-
Die Master-Passphrase festlegen
Verwende den Generator im Passphrase-Modus, wie oben beschrieben. Nimm dir die Zeit, sie dir einzuprägen, bevor du die Datenbank mit irgendetwas füllst, denn dies ist der eine Moment, in dem ein Neuanfang kostenlos ist.
-
Entscheide dich für eine Schlüsseldatei – mit Bedacht
KeePassXC kann eine zweite Datei neben deiner Passphrase verlangen. Das erhöht die Sicherheit: Wer die Datenbank erlangt und die Passphrase errät, kann sie trotzdem nicht öffnen. Es verdoppelt aber auch die Anzahl der Dinge, die du verlieren kannst, und die Schlüsseldatei darf nicht im selben Ordner wie die Datenbank liegen, sonst schützt sie vor nichts. Lass sie weg, es sei denn, du hast einen vernünftigen Ort, um sie aufzubewahren, etwa einen USB-Stick, den du getrennt aufbewahrst.
-
Speichere sie an einem Ort, den du tatsächlich sichern wirst
Nicht auf dem Desktop. Ein Dokumente-Ordner, der in die Sicherung einbezogen ist, die du ohnehin schon durchführst.
04Der tägliche Gebrauch
Lass ihn alles generieren
Der Sinn eines Managers ist nicht, die Passwörter zu speichern, die du hast, sondern dass du nie wieder eines erfinden musst. Klicke für jedes neue Konto auf das Würfel-Symbol und nimm, was es produziert. Du wirst es nie sehen, nie eintippen und nie im Gedächtnis behalten müssen, also ist Länge kostenlos: Verwende 20+ Zeichen, wo immer die Seite es erlaubt.
Arbeite deine bestehenden Konten nach und nach durch, die wichtigsten zuerst – E-Mail, dann alles mit Geld, dann alles, von dem aus du veröffentlichst. Es ist nicht nötig, alle zweihundert an einem Abend zu erledigen; die zehn wichtigsten diese Woche zu schaffen, bringt den größten Teil des Nutzens.
Die Browser-Erweiterung
KeePassXC-Browser füllt Passwörter für dich in Seiten ein. Installiere sie aus dem offiziellen Add-on-Store deines Browsers und verbinde sie mit der Desktop-App, die dich bitten wird, die Verknüpfung zu bestätigen.
Die Erweiterung bietet nur auf der Domain ein Passwort an, für die es gespeichert wurde. Auf einer täuschend ähnlichen Phishing-Domain bleibt sie still, und dieses Schweigen ist eine Warnung, die du lernen solltest zu bemerken. Wenn der Manager nicht anbietet auszufüllen, halte inne und prüfe die Adressleiste, anstatt sie manuell einzutippen.
Zwei-Faktor-Codes
KeePassXC kann TOTP-Geheimnisse speichern und die sechsstelligen Codes selbst generieren. Das ist praktisch und bringt einen echten Kompromiss mit sich: Dein Passwort und dein zweiter Faktor liegen nun in derselben Datei, sodass eine einzige Kompromittierung beide erfasst. Für die meisten Konten gewinnt die Bequemlichkeit. Für deine wichtigsten Konten verwende stattdessen einen Sicherheitsschlüssel, der stärker ist als beide.
Was sonst noch hineingehört
Die Datenbank ist ein verschlüsselter Container, daher ist sie ein sinnvoller Ort für mehr als nur Passwörter: Wiederherstellungscodes von jedem Konto, Software-Lizenzschlüssel, die Antworten auf "Sicherheitsfragen" (die zufällige Zeichenfolgen sein sollten, keine echten Antworten) und gelegentlich eingescannte Dokumente. Jeder Eintrag hat ein Notizfeld und kann Dateianhänge enthalten.
05Synchronisierung und Backups, wo Menschen Fehler machen
Du hast eine Datei. Du willst sie auf deinem Laptop und deinem Telefon. Es gibt keinen Server, der das für dich erledigt, also musst du eine Methode wählen, und die Wahl ist wichtig.
| Methode | Urteil | Hinweise |
|---|---|---|
| Gewöhnlicher Cloud-Speicher (Drive, Dropbox, Proton) | In Ordnung | Die Datei ist bereits verschlüsselt, sodass der Anbieter einen undurchsichtigen Blob speichert. Dies ist die übliche Einrichtung und sie ist vernünftig. Deine Master-Passphrase leistet die ganze Arbeit, mache sie zu einer guten. |
| Syncthing | Am besten | Gerät-zu-Gerät, ohne jegliche Beteiligung Dritter. Mehr Einrichtungsaufwand, aber am konsequentesten mit dem Grund vereinbar, aus dem du einen Offline-Manager gewählt hast. |
| Sich selbst per E-Mail schicken | No | Es landet dauerhaft in einem Postfach, in mehreren Kopien, auf Servern, die du nicht kontrollierst. |
| Zwei Geräte bearbeiten gleichzeitig | Vorsicht | Die eigentliche Gefahr. Zwei Kopien, die vor einer Synchronisierung geändert wurden, erzeugen eine Konfliktdatei, und die falsche Auflösung verliert still und leise neue Einträge. Schließe die Datenbank auf einem Gerät, bevor du auf dem anderen arbeitest. |
Synchronisierung ist kein Backup. Eine Synchronisierung kopiert eine Löschung oder eine Beschädigung getreulich auf jedes Gerät, das du besitzt. Bewahre eine regelmäßige Kopie an einem Ort auf, der nicht synchronisiert wird, eine externe Festplatte, einen USB-Stick in einer Schublade, und prüfe gelegentlich, ob sie sich noch öffnen lässt. KeePassXC kann außerdem bei jedem Speichern automatisch Backups der vorherigen Version anlegen; aktiviere das in den Einstellungen.
06Kombination mit einem YubiKey
Das ist die Kombination, die beide Werkzeuge erheblich stärker macht, und es ist eine der am wenigsten bekannten Funktionen beider. KeePassXC kann zusätzlich zu deiner Passphrase eine Hardware-Challenge-Response von einem YubiKey verlangen. Ohne den physischen Schlüssel öffnet die richtige Passphrase allein die Datenbank nicht.
-
Konfiguriere einen Slot auf dem Schlüssel
Verwende den YubiKey Manager, um einen der beiden Slots auf HMAC-SHA1 Challenge-Response einzustellen. Tu dies auf beiden deiner Schlüssel, mit demselben Secret, sonst öffnet dein Backup-Schlüssel deine Datenbank nicht, was ein sehr schlechter Nachmittag ist.
-
Füge ihn zur Datenbank hinzu
Database → Database Security → Change Key File / Challenge-Response, und wähle den Schlüssel aus. Speichern.
-
Teste den Backup-Schlüssel sofort
Schließe die Datenbank, ziehe den ersten Schlüssel ab und öffne sie mit dem zweiten. Wenn das nicht funktioniert, behebe es jetzt, solange du noch einen funktionierenden Schlüssel im Rechner hast.
Deine Datenbank kann jetzt nicht ohne Hardware geöffnet werden. Das ist der Sicherheitsvorteil und das Betriebsrisiko im selben Satz. Es erschwert auch die mobile Nutzung, da die Telefon-App dieselbe Challenge-Response über NFC unterstützen muss. Lohnt sich, wenn die Datenbank Arbeit schützt, die Menschen in Gefahr bringt; wahrscheinlich mehr Reibung als Nutzen, wenn nicht.
07Wovor es dich nicht schützt
- Passwort-Wiederverwendung, und damit, dass eine kompromittierte Seite zu allen wird.
- Schwache Passwörter, dauerhaft, weil du aufhörst, sie zu erfinden.
- Phishing, teilweise, die Weigerung der Erweiterung auszufüllen, ist ein echtes Signal.
- Der Verlust des Zugangs zu Konten, die du vor Jahren eingerichtet und vergessen hast.
- Malware auf deinem Computer. Ein Keylogger erfasst die Master-Passphrase, während du sie eintippst, und dann hat er alles. Der Manager geht davon aus, dass die Maschine nicht bereits kompromittiert ist.
- Eine schwache Master-Passphrase. Das gesamte Design reduziert sich auf dieses eine Geheimnis.
- Dazu gezwungen zu werden, sie zu öffnen.
- Ein Datenleck auf der Website selbst, ein einzigartiges Passwort begrenzt den Schaden, es verhindert das Leck nicht.
- Ein entsperrter, unbeaufsichtigter Bildschirm. Stelle die Datenbank so ein, dass sie nach ein paar Minuten Inaktivität und beim Sperren des Bildschirms gesperrt wird.
08Fragen, die Leute tatsächlich stellen
Was ist, wenn ich die Master-Passphrase vergesse?
Die Daten sind weg. Es gibt kein Zurücksetzen, keine Wiederherstellung, keine Support-Hotline, das ist die direkte Konsequenz daraus, dass niemand sonst deinen Tresor hält. Behalte in den ersten Wochen eine schriftliche Kopie an einem physisch sicheren Ort, bis du sicher bist, dass du sie auswendig gelernt hast. Viele Menschen bewahren dauerhaft eine versiegelte Kopie auf, bei jemandem, dem sie vertrauen, oder in einem Safe; das ist ein vernünftiger Kompromiss und kein Versagen der Nerven.
Ist es sicher, die Datei in Google Drive oder Dropbox zu legen?
Ja, mit der Einschränkung, dass deine Master-Passphrase dann das Einzige ist, was zwischen dem Speicher des Anbieters und deinem gesamten digitalen Leben steht. Die Datei ist stark verschlüsselt und der Anbieter sieht nur Rauschen. Wenn du damit zufrieden bist, ist es die einfachste Synchronisierung, die es gibt. Wenn nicht, verwende Syncthing.
Was ist mit meinem Handy?
KeePassDX unter Android und Strongbox unter iOS lesen beide dasselbe Dateiformat und sind weithin angesehen. Keines wird vom KeePassXC-Team entwickelt, also prüfe sie selbst, bevor du ihnen vertraust. Richte die App auf dieselbe synchronisierte Datei aus, und sie verhält sich wie erwartet.
Sollte ich vom integrierten Passwortmanager meines Browsers weggehen?
Ja, irgendwann, aber lass dich von der Migration nicht davon abhalten, überhaupt einen zu benutzen. Browser-Manager sind an das Browser-Konto gebunden, sind oft entsperrt, wann immer der Browser es ist, und sind ein routinemäßiges Ziel für informationsstehlende Malware. Exportiere aus dem Browser, importiere in KeePassXC und lösche die Exportdatei dann sicher – sie ist eine Klartextliste all deiner Passwörter, und eine überraschend große Zahl davon liegt immer noch in Download-Ordnern.
Wie unterscheidet sich das von KeePass, KeePassX, KeeWeb?
Sie teilen ein Dateiformat und einen Stammbaum. KeePassXC ist die aktiv gepflegte plattformübergreifende Variante mit moderner Oberfläche und der Browser-Erweiterung, weshalb sie hier empfohlen wird. Deine Datenbank wird sich auch in den anderen öffnen lassen, falls du irgendwann wechseln möchtest.
09Quellen und weiterführende Literatur
- KeePassXC — offizielle Website und Downloads keepassxc.org
- KeePassXC-Benutzerhandbuch, das vollständige Manual keepassxc.org/docs
- Syncthing — Gerät-zu-Gerät-Synchronisierung ohne Dritte syncthing.net
- Have I Been Pwned – prüfe, welche deiner Konten bereits in einem Datenleck sind haveibeenpwned.com
- Privacy Guides — Passwortmanager im Vergleich privacyguides.org
Zuletzt geprüft: 25. September 2026