Jeder Browser, jedes Betriebssystem und jede Passwortverwaltungsanwendung speichert Ihre gespeicherten Passwörter an einem separaten Ort. Ein vergessenes Passwort wiederzufinden, setzt voraus, dass man genau weiß, wo man suchen muss, da die Speicherorte je nach Gerät, Browser und Art der Speicherung (lokal oder in der Cloud) variieren. Dieser Leitfaden vergleicht die wichtigsten Speicherorte und deren Sicherheitsniveau, um Ihnen zu helfen, Ihre Passwörter ohne Umwege zu finden.
Vergleich der Speicherorte für gespeicherte Passwörter nach Browser und System
Die folgende Tabelle fasst die Zugangswege zu den gespeicherten Passwörtern für die gängigsten Umgebungen zusammen. Sie unterscheidet zwischen lokalem Speicher und synchronisiertem Speicher über ein Online-Konto.
| Umgebung | Schnellzugriffsweg | Cloud-Synchronisation | Authentifizierung erforderlich |
|---|---|---|---|
| Chrome (Computer) | Einstellungen > AutoFill > Passwortmanager | Ja (Google-Konto) | Systempasswort oder Biometrie |
| Chrome (Android) | Einstellungen > Google Passwortmanager | Ja (Google-Konto) | Gerätesperre |
| Safari (macOS) | Passwort-App (macOS Sequoia+) oder Systemeinstellungen > Passwörter | Ja (iCloud) | Touch ID oder Sitzungs-Passwort |
| Safari (iOS) | Einstellungen > Passwörter | Ja (iCloud) | Face ID, Touch ID oder Code |
| Edge (Windows) | Einstellungen > Passwörter | Ja (Microsoft-Konto) | Windows Hello Passwort |
| Firefox | Einstellungen > Datenschutz und Sicherheit > Anmeldungen und Passwörter | Optional (Firefox Sync) | Hauptpasswort, falls aktiviert |
| Dedizierter Passwortmanager (Dashlane, Bitwarden usw.) | Native App oder Browsererweiterung | Ja (verschlüsselter Server des Anbieters) | Master-Passwort + 2FA |
Ein Punkt sticht in diesem Vergleich hervor: alle Browser erfordern eine lokale Authentifizierung, bevor ein Passwort im Klartext angezeigt wird. Der Unterschied liegt in der Robustheit dieser Authentifizierung und im Umfang der Synchronisation.
Für eine detaillierte Liste der Passwörter auf CGI Network ist der vollständige Weg zu jedem Passwortmanager Schritt für Schritt beschrieben.
Lokale Speicherung oder Cloud-Synchronisation: Konkrete Sicherheitsunterschiede
Die Cloud-Synchronisation vereinfacht den Zugriff über mehrere Geräte, verlagert jedoch die Angriffsfläche. Ein Passwort, das nur lokal auf Ihrem Computer gespeichert ist, ist nur mit physischem Zugriff auf die Maschine und einer Systemauthentifizierung zugänglich. Im Gegensatz dazu wird ein über ein Google- oder Apple-Konto synchronisiertes Passwort ebenso anfällig wie das Passwort dieses Kontos.
Hauptrisiko der synchronisierten Browser-Speicherung
Wenn Ihr Google- oder Microsoft-Konto kompromittiert ist (Phishing, wiederverwendetes Passwort), hat der Angreifer Zugriff auf alle Ihre synchronisierten Anmeldungen von jedem Gerät aus. Die serverseitige Verschlüsselung schützt vor einem Datenbankleck, jedoch nicht vor einem legitimen Zugriff auf das Konto.
Die Aktivierung der Zwei-Faktor-Authentifizierung für das Synchronisationskonto reduziert dieses Risiko erheblich. Ohne diesen Schutz verwandelt sich der Komfort der Synchronisation in eine Sicherheitslücke.
Vorteil dedizierter Passwortmanager in diesem Punkt
Manager wie Dashlane oder Bitwarden verschlüsseln das Vault mit einem Master-Passwort, das der Anbieter nicht kennt (sogenannte “Zero-Knowledge”-Architektur). Das Online-Konto dient lediglich als Transportmittel für das verschlüsselte Vault. Selbst im Falle einer Kompromittierung des Servers bleiben die Passwörter ohne das Master-Passwort unlesbar.
Diese Architektur erklärt, warum diese Tools ein robustes Master-Passwort verlangen, das sich von anderen Anmeldungen unterscheidet. Der Preis für diese zusätzliche Sicherheit: Der Verlust dieses Master-Passworts bedeutet den Verlust des Zugriffs auf das gesamte Vault, ohne dass bei den meisten Anbietern eine Wiederherstellung möglich ist.
Passkeys und Passwörter: zwei Speicherorte, die nicht verwechselt werden sollten
Passkeys (FIDO-Zugangsschlüssel) erscheinen nun in denselben Schnittstellen wie klassische Passwörter, sei es in Chrome, Edge, Safari oder den Einstellungen von iOS und Android. Diese Koexistenz führt häufig zu Verwirrung.
Passkeys sind keine Passwörter. Sie basieren auf einem Paar kryptografischer Schlüssel: Der private Schlüssel bleibt im Sicherheitsmodul des Geräts gespeichert oder wird über das Konto des Anbieters (Google, Apple, Microsoft) synchronisiert, während die Website nur den öffentlichen Schlüssel erhält. Ein auf dem Server gestohlener Passkey ist ohne das Gerät oder das zugehörige Konto unbrauchbar.
- In Chrome und Android werden Passkeys im Google Passwortmanager verwaltet, jedoch separat gespeichert und im Credential Manager des Geräts verankert.
- In Windows und Edge gibt die Microsoft-Dokumentation an, dass Passwörter und Zugangsschlüssel in separaten Abschnitten verwaltet werden, wobei die Passkeys mit dem Microsoft-Konto oder dem TPM-Modul verbunden sind.
- In iOS und macOS fasst die Passwort-App (die mit den neuesten Versionen eingeführt wurde) Passwörter und Passkeys im iCloud-Schlüsselbund zusammen, mit einem visuellen Indikator zur Unterscheidung.
In der Praxis, wenn Sie nach einer Anmeldung suchen und diese nicht im Abschnitt Passwörter finden, überprüfen Sie den Abschnitt Zugangsschlüssel. Einige Websites migrieren automatisch zu Passkeys nach einer ersten erfolgreichen Anmeldung, was den Eindruck erwecken kann, dass das Passwort verschwunden ist.
Passwörter exportieren: Vorsichtsmaßnahmen vor dem Wechsel des Managers
Die meisten Browser und Manager ermöglichen den Export der gespeicherten Passwörter im CSV-Dateiformat. Chrome bietet diese Option unter Einstellungen > Passwortmanager > Exportieren an. Firefox, Edge und Safari bieten ähnliche Funktionen.
Eine CSV-Datei enthält alle Ihre Anmeldungen im Klartext, ohne jegliche Verschlüsselung. Jeder, der auf diese Datei zugreift, hat Zugriff auf alle Ihre Konten. Drei Vorsichtsmaßnahmen reduzieren das Risiko:
- Den Export auf einem vertrauenswürdigen Gerät durchführen, wenn möglich vom Netzwerk getrennt, und die Datei sofort nach dem Import in den neuen Manager löschen.
- Die CSV-Datei niemals in einem synchronisierten Ordner (Google Drive, OneDrive, iCloud) speichern oder per Nachricht versenden.
- Überprüfen, ob der Import in den neuen Manager erfolgreich war, bevor Sie die Daten des alten Managers löschen, indem Sie sich bei zwei oder drei Konten anmelden.
Der Export bleibt die einzige zuverlässige Methode, um von einem Browser zu einem dedizierten Manager oder umgekehrt zu migrieren. Firefox ermöglicht auch den direkten Import von Chrome, ohne eine Zwischen-Datei zu verwenden, was die Exposition verringert.
Die Lokalisierung Ihrer gespeicherten Passwörter hängt sowohl vom verwendeten Browser als auch von der gewählten Speicherart ab. Regelmäßig zu überprüfen, welche Anmeldungen synchronisiert sind, Passwörter und Passkeys zu unterscheiden und jede Exportdatei als hochsensibel zu behandeln, bleibt die Grundlage für eine zuverlässige Verwaltung Ihrer Zugänge.