Dein Browser bietet bereits an, deine Passwörter zu speichern, und das kostenlos und eingebaut — warum gibt es dann überhaupt einen dedizierten Passwort-Manager? Beide lösen dasselbe Grundproblem (Passwörter nicht neu eintippen zu müssen) mit deutlich unterschiedlichen Sicherheitsmodellen. Dieser Artikel vergleicht beide direkt.

Kurz gefasst

Sowohl die Browser-Passwortspeicherung als auch dedizierte Manager verschlüsseln gespeicherte Passwörter — die bedeutsamen Unterschiede liegen bei browser-/plattformübergreifender Unterstützung, Sicherheitsaudits und dem, was bei einer Kompromittierung des Geräts passiert.
Im Browser gespeicherte Passwörter sind typischerweise nur so gut geschützt wie die Anmeldung deines Geräts; dedizierte Manager fügen eine unabhängige Master-Passwort-Ebene hinzu.
Dedizierte Manager bieten in der Regel bessere plattformübergreifende Synchronisierung (ein in Chrome gespeichertes Passwort hilft dir nicht in Safari auf einem anderen Gerät), Freigabe und Überwachung auf Datenlecks.
Keiner der beiden Ansätze ersetzt die grundlegende Notwendigkeit starker, einzigartiger, zufällig generierter Passwörter — beide sind nur Speicher dafür.

Kurze Antwort

Die Browser-Passwortspeicherung ist praktisch und besser als das Wiederverwenden von Passwörtern, aber ein dedizierter Passwort-Manager bietet in der Regel stärkere, portablere Sicherheit — hauptsächlich weil er nicht an das Ökosystem eines einzelnen Browser-Anbieters gebunden ist und typischerweise ein eigenes, von der Geräteanmeldung unabhängiges Master-Passwort erfordert. Egal, wofür du dich entscheidest, generiere die Passwörter selbst mit einem Tool wie PassGenerate, statt dich auf merkbare, aber erratbare Wahl zu verlassen.

Wie jede Methode deine Daten tatsächlich schützt

Die Browser-Passwortspeicherung (Chrome, Firefox, Safari, Edge) verschlüsselt deine gespeicherten Passwörter, typischerweise gebunden an die Anmeldedaten deines Betriebssystem-Benutzerkontos oder eine von dir festgelegte Browser-Synchronisierungs-Passphrase. In den meisten Konfigurationen kann jemand, der als du an deinem Gerät angemeldet ist — oder Schadsoftware, die als du läuft — mit vergleichsweise wenigen zusätzlichen Schritten oft auf deine gespeicherten Passwörter zugreifen oder sie exportieren, da der Anmeldestatus des Browsers selbst als Schlüssel dient.

Dedizierte Passwort-Manager (NordPass, Bitwarden, 1Password, Proton Pass und andere) verwenden in der Regel ein separates Master-Passwort, um den Verschlüsselungsschlüssel für deinen Tresor abzuleiten, unabhängig von deiner Geräteanmeldung. Das bedeutet, dass das Entsperren deines Tresors mehr erfordert als nur die Anmeldung am Gerät — ein Angreifer mit Gerätezugriff braucht immer noch speziell dein Master-Passwort. Siehe die NordPass-Rezension für einen genaueren Blick darauf, wie ein bestimmter Manager dies umsetzt.

Ein realer Fall: Warum diese Unterscheidung nicht theoretisch ist

Die Lücke zwischen diesen beiden Modellen ist nicht hypothetisch — sie ist genau der Mechanismus hinter einer ganzen Kategorie von Info-Stealer-Schadsoftware. RedLine Stealer, erstmals 2020 gesichtet und noch immer aktiv, ist speziell dafür gebaut, im Browser gespeicherte Zugangsdaten zu erbeuten: Sobald er auf einem infizierten Gerät läuft, lokalisiert er die lokale Zugangsdaten-Speicherdatei des Browsers, liest den ebenfalls lokal gespeicherten Schlüssel zum Entschlüsseln aus und exfiltriert jeden gespeicherten Benutzernamen, jedes Passwort und jede Website-URL an den Angreifer — alles, ohne die eigentliche Anmeldeaufforderung des Browsers zu berühren. In einem dokumentierten Fall speicherte ein im Homeoffice arbeitender Mitarbeiter ein Firmen-VPN-Passwort im Passwortspeicher seines Browsers, auf einem Gerät, das bereits mit RedLine Stealer infiziert war; etwa drei Monate später nutzte der Angreifer diese gestohlenen Zugangsdaten, um das Netzwerk des Unternehmens zu kompromittieren.

Genau dieser Angriffspfad — das Auslesen eines Entschlüsselungsschlüssels, der lokal gespeichert ist, weil er an das Gerät gebunden ist, statt an ein separates Geheimnis, das du im Kopf behältst — ist genau das, was das unabhängige Master-Passwort eines dedizierten Managers verhindern soll. Schadsoftware mit demselben Gerätezugriff kann immer noch die verschlüsselte Tresordatei eines dedizierten Managers stehlen, aber ohne dein separat aufbewahrtes Master-Passwort kann sie sie nicht entschlüsseln.

Direkter Vergleich

Faktor	Browser-Passwortspeicherung	Dedizierter Passwort-Manager
Quelle des Verschlüsselungsschlüssels	Meist an Geräteanmeldung / Browser-Sync-Passphrase gebunden	Unabhängiges Master-Passwort
Browserübergreifende Unterstützung	Nein — auf ein Browser-Ökosystem beschränkt	Ja — funktioniert über Erweiterung/App browser- und betriebssystemübergreifend
Zugangsdaten mit anderen teilen	Begrenzt oder nicht unterstützt	Oft über sichere Freigabefunktionen unterstützt
Überwachung auf Datenlecks	Zunehmend verbreitet, je nach Browser unterschiedlich	Standardfunktion in den meisten kostenpflichtigen Stufen
Überprüfbarkeit	Browser-Quellcode teils offen (Chromium) oder geschlossen (Safari)	Unterschiedlich — Bitwarden ist vollständig quelloffen; die meisten anderen nicht
Kosten	Kostenlos, eingebaut	Oft kostenlose Stufe + kostenpflichtige Stufen für erweiterte Funktionen

Wann Browser-Speicherung tatsächlich ausreicht

Nicht jede Situation erfordert einen dedizierten Manager. Wenn du auf all deinen Geräten konsequent einen einzigen Browser nutzt, die Anmeldung deines Geräts selbst stark hältst und keine Zugangsdaten mit anderen teilen musst, ist die Browser-Passwortspeicherung eine echte Sicherheitsverbesserung gegenüber der Wiederverwendung gemerkter Passwörter — die Verschlüsselung ist echt, und das ist weit besser als die Alternative, überall eine Handvoll Passwörter wiederzuverwenden, weil ein Manager zu aufwendig erschien.

Wann sich der Wechsel zu einem dedizierten Manager lohnt

Ein dedizierter Manager rechtfertigt seinen zusätzlichen Einrichtungsaufwand, wenn du: mehr als einen Browser nutzt oder Passwörter über unterschiedliche Ökosysteme hinweg brauchst (z. B. Chrome unter Windows und Safari unter iOS); bestimmte Zugangsdaten sicher mit Familie oder einem Team teilen willst, ohne sie laut vorzulesen oder per SMS zu senden; unabhängige Überwachung auf Datenlecks willst, statt dich auf die Erkennung eines einzelnen Anbieters zu verlassen; oder speziell die Möglichkeit haben willst, den Code zu prüfen — in diesem Fall ist eine quelloffene Option wie Bitwarden am besten geeignet, deren Codebasis öffentlich einsehbar ist und die sich jährlichen Audits durch Dritte unterzieht (darunter die Sicherheitsfirma Cure53), zusätzlich zu einer eigenen kryptografischen Überprüfung durch die Applied Cryptography Group der ETH Zürich sowie einem eigenen Bug-Bounty-Programm.

Was keiner der beiden Ansätze allein löst

Sowohl Browser-Speicherung als auch dedizierte Manager sind Speicher — sie machen ein schwaches Passwort nicht stark. Ein wiederverwendetes, erratbares Passwort in einem verschlüsselten Tresor bleibt ein wiederverwendetes, erratbares Passwort; der Tresor macht das Wiederverwenden nur bequemer. Die eigentliche Sicherheitsarbeit passiert beim Generieren: Nutze einen CSPRNG-gestützten Generator, um für jedes Konto ein einzigartiges, zufälliges Passwort zu erstellen, und überlasse es der von dir bevorzugten Speichermethode, sich daran zu erinnern.

Wichtigste Erkenntnisse

Browser-Speicherung und dedizierte Manager verschlüsseln beide, was sie speichern; die wirklichen Unterschiede liegen bei Schlüsselunabhängigkeit, plattformübergreifender Reichweite, Freigabe und Überprüfbarkeit.
Browser-Speicherung ist eine vernünftige Standardwahl, wenn du einen einzigen Browser, ein einziges Ökosystem nutzt und keine Zugangsdaten teilen musst.
Ein dedizierter Manager rechtfertigt seinen Einrichtungsaufwand mit plattformübergreifender Synchronisierung, sicherer Freigabe und (speziell bei Bitwarden) quelloffener Überprüfbarkeit.
Keiner löst schwache oder wiederverwendete Passwörter — das wird beim Generieren gelöst, nicht beim Speichern.

Warum du PassGenerate vertrauen kannst

Passwörter werden lokal in deinem Browser mit der Web Crypto API generiert.
Es werden keine Passwörter an Server übertragen.
Verwendet einen kryptografisch sicheren Pseudozufallszahlengenerator (CSPRNG).
Folgt modernen Sicherheits-Best-Practices, die von NIST und OWASP empfohlen werden.

Quellen

Analyse der RedLine-Stealer-Schadsoftware (gezielt auf den Zugangsdaten-Speicher des Browsers)
Sicherheitsaudits von Bitwarden durch Dritte (Cure53, Applied Cryptography Group der ETH Zürich)
NIST SP 800-63B – Digital Identity Guidelines
OWASP Authentication Cheat Sheet
MDN Web Crypto API Dokumentation

Fazit

Sowohl die Browser-Passwortspeicherung als auch dedizierte Passwort-Manager sind besser als das Wiederverwenden gemerkter Passwörter, und die richtige Wahl hängt hauptsächlich davon ab, wie viele Browser und Geräte du tatsächlich nutzt und ob du Zugangsdaten mit jemandem teilen musst. Wichtiger als die Wahl der Speichermethode ist, was du speicherst — generiere zuerst für jedes Konto einzigartige, zufällige Passwörter, und überlasse den Rest der gewählten Speichermethode.

Passwort-Manager vs. Browser-Passwortspeicherung: Was solltest du wirklich nutzen?