Datenschutz & Security-Tools 2026

Tests & Vergleiche

Sicherheits-Architektur im Detail: was zählt, was nicht

Der Krypto-Stack entscheidet, wie robust dein Vault gegen Brute-Force-Angriffe (lokal nach Geräte-Verlust) und Cloud-Server-Kompromittierungen (LastPass-2022-Szenario) ist. Marketing-Begriffe wie „Military-Grade Encryption“ sagen nichts aus – die konkreten KDF-Iterations und Cipher-Wahl machen den Unterschied.

Praktische Lesart: Argon2id als Key-Derivation (Proton Pass, NordPass) ist gegen GPU-/ASIC-Brute-Force-Angriffe deutlich robuster als PBKDF2 (1Password, Bitwarden Default). 1Password kompensiert mit dem zusätzlichen Secret-Key-Layer – selbst wenn das Master-Passwort geknackt würde, fehlt der lokale Secret-Key. Wer Open-Source als Pflicht-Kriterium hat (Behörden, NGOs mit Audit-Anforderung): nur Bitwarden + Proton Pass qualifizieren sich.

pCloud-Standard ist KEIN Zero-Knowledge (Server-Side-Verschlüsselung), erst mit dem Encryption-Add-on (4,99 €/Monat) wird der ausgewählte Ordner Client-Side-verschlüsselt. Für sensible Daten (Mandanten-Akten, Steuerdokumente) ist das Encryption-Add-on Pflicht, nicht optional.

Pricing-Realität: Free, Premium, Family und Business im Vergleich

Pricing-Pläne im Passwort-Manager-Markt sind komplex: Erstvertrags-Pricing, Renewal-Pricing, Pro-User vs Pro-Account, optional Add-ons. Hier die Marktübersicht für DACH-Setups (Preise geprüft zwischen 28.10.2026 und 04.11.2026).

Renewal-Realität: NordPass und Surfshark-Familie haben spürbare Renewal-Aufschläge. pCloud-Lifetime umgeht das komplett – einmal zahlen, dauerhaft nutzen. Tresorit Premium-Pricing ist konsistent (kein Erstvertrag-Discount).

Pick pro Persona: Solo bootstrap → Bitwarden Free (0 €), Tech-affines Solo → Bitwarden Premium (1,65 USD), Familie 5-6 User → 1Password Families oder NordPass Family (2,49 €/Mo im 2-Jahres-Paket, 3,69 € im 1-Jahres-Paket), Kanzlei mit Compliance → 1Password Business + Tresorit Business (23,99 €/User/Mo kombiniert, beide im Jahresabo; Tresorit Business ab 3 Nutzer:innen), Privat-Foto-Archiv → pCloud Lifetime (~499 € einmalig für 2 TB).

Migrations-Guide: wie wechselst du zwischen Passwort-Managern?

Ein Passwort-Manager-Wechsel ist 2026 trivial geworden. Aber das Format-Detail entscheidet über die Migration-Schmerzgrenze.

Schritt 1: Vorbereitung

• Vault-Export aus dem alten Manager als CSV oder Anbieter-spezifisches Format (1PIF, Bitwarden-JSON)
• Sicherheit: Export-Datei NIE in Cloud-Drive oder E-Mail – direkt auf der Migration-Festplatte
• 2FA-Codes separat sichern: TOTP-Secrets in den meisten Tools als Notiz im Vault – Export erfasst sie typisch mit, aber überprüfen
• Recovery-Kit drucken: neuer Manager braucht typisch Master-Passwort + Recovery-Code beim ersten Setup

Schritt 2: Import

• 1Password → Bitwarden: 1PIF-Export → Bitwarden Web-Vault → Tools → Import → "1Password 1PIF"
• 1Password → NordPass: CSV-Export. NordPass-Import-UI sehr ergonomisch
• Bitwarden → 1Password: Bitwarden-CSV oder JSON. 1Password-Importer-Tool (kostenlose Mac/Win-App)
• LastPass → Bitwarden/NordPass/1Password: Alle drei haben dedizierte LastPass-Importer wegen der 2022-Breach-Migration
• Proton Pass → andere: CSV-Export. Proton-Custom-Felder (Aliases, Vault-Items) brauchen manuelle Nacharbeit

Schritt 3: Nachbereitung + Sicherheits-Sweep

• Migration-CSV sicher löschen: macOS rm -P file.csv, Windows SDelete oder Eraser – niemals in Papierkorb
• Master-Passwort des alten Managers ändern (falls du den Account nicht sofort löschst)
• Alten Account 30-90 Tage Karenz: nicht sofort löschen – falls Import-Lücken auffallen, brauchst du Zugang zum Backup
• 2FA neu konfigurieren, falls TOTP-Secrets nicht migriert wurden
• Browser-Extensions des alten Managers entfernen, sonst Auto-Fill-Konflikte

Fünf Anti-Patterns bei der Auswahl

Häufige Fehler, die wir wiederholt in DACH-Praktiker-Foren und Migration-Retros gesehen haben:

1. Free-Plan-Lock-in zur Hauptlösung machen. NordPass Free erlaubt nur 1 aktive Sitzung, Proton Pass Free organisiert Einträge in höchstens 2 Tresoren. Sobald du dich bei NordPass auf einem zweiten Gerät anmeldest, brichst du den Workflow. Free ist Trial, nicht Dauerlösung.
2. Browser-eingebauten Manager als "Passwort-Manager" zählen. Chrome / Safari / Firefox-Passwortspeicher sind nicht Zero-Knowledge, haben keine Audit-Belege, und Sharing/Teams-Features fehlen. Für Compliance-Setups null Wert.
3. Master-Passwort + Recovery-Code im selben Tresor. Klassischer Single-Point-of-Failure. Recovery-Kit gehört als Hardcopy in physischen Safe oder Bankschließfach – niemals digital, niemals beim Passwort-Manager-Account selbst.
4. Self-Hosting ohne Backup-Strategie. Vaultwarden auf Hetzner ist großartig, bis der Server ausfällt und das letzte Backup 4 Wochen alt ist. Pflicht: tägliche verschlüsselte Backups auf separates Hetzner-Storage-Box-Volume + monatlicher Restore-Test.
5. Migration ohne 30-Tage-Karenz beim alten Manager. Alten Account sofort löschen klingt sauber, ist aber riskant. Halte den Backup-Vault 30-90 Tage parallel – falls Migration-Lücken auffallen (TOTP-Secret nicht migriert, Custom-Felder verloren), brauchst du Zugang zum Original.

Compliance-Realität 2026: NIS-2, DORA und Cyber-Versicherer

Drei regulatorische Schichten schieben gleichzeitig – und sie reden alle dieselbe Sprache: dokumentierte Credential-Hygiene, technische Schutzmaßnahmen, Audit-Trail.

NIS-2-Richtlinie (BSI-KritisV-Anpassung, DE-Umsetzung läuft)

NIS-2 (EU-Cybersicherheits-Richtlinie) verlangt "geeignete und verhältnismäßige technische, operationelle und organisatorische Maßnahmen" – was in der Praxis zentralen Passwort-Manager-Einsatz + MFA-Pflicht für alle Admin-Konten bedeutet. Bei Audit-Eskalationen erwarten BSI-Prüfer:innen 2026 standardmäßig: nachvollziehbare Vault-Sharing-Logs, regelmäßige Credential-Rotation-Cadence, dokumentierte Off-Boarding-Prozesse (was passiert, wenn jemand das Unternehmen verlässt). Ohne Passwort-Manager-Tool ist diese Dokumentations-Pflicht nicht effizient erfüllbar – Excel-Sheets reichen nicht als Compliance-Beleg.

DORA (Digital Operational Resilience Act)

Für Finanzdienstleister, Versicherer, Asset-Manager und deren IT-Dienstleister: DORA verlangt zusätzlich zur NIS-2-Basis eine explizit dokumentierte ICT-Third-Party-Risiko-Bewertung. Heißt konkret: dein Passwort-Manager-Anbieter muss als Subprozessor gelistet sein, AVV nach Art. 28 DSGVO + DORA-spezifische Vertragsbedingungen müssen vorliegen, Exit-Plan dokumentiert sein. Tresorit führt DORA auf seiner Compliance-Seite (tresorit.com/compliance).

Cyber-Versicherer

Cyber-Versicherer erfassen das Risiko per Fragebogen. Der unverbindliche Muster-Fragebogen des GDV (Stand Dezember 2019) fragt etwa, ob jede Person einen eigenen, passwortgeschützten Zugang hat, ob Mindestanforderungen an Passwörter technisch erzwungen werden und ob Systeme, die aus dem Internet erreichbar oder mobil im Einsatz sind, zusätzlich geschützt sind – etwa per Zwei-Faktor-Authentifizierung. Einen Passwort-Manager nennt der Muster-Fragebogen nicht. Welche Nachweise dein Versicherer verlangt und ob er ohne sie einen Aufschlag nimmt, steht in seinem Antrag – eine belastbare Zahl dazu haben wir nicht.

Praktisch bedeutet das: 7 Pflicht-Bausteine für einen DACH-Privacy-Stack 2026:

1. Passwort-Manager mit Zero-Knowledge + Team-Vault
2. Verschlüsselter Cloud-Storage für sensitive Dokumente
3. 2FA-Workflow für alle Business-Logins (TOTP + Hardware-Keys)
4. VPN für Remote-Team-Zugriffe (siehe VPN-Pillar)
5. Festplatten-Verschlüsselung auf allen Endgeräten (BitLocker / FileVault)
6. Backup-Strategie 3-2-1 (3 Kopien, 2 Medien, 1 off-site)
7. Passwort-/Security-Policy schriftlich + halbjährliches Audit

Praktische Implikation: Die Wahl ist nicht mehr "brauchen wir einen Passwort-Manager", sondern "welcher erfüllt unsere Compliance-Anforderungen mit minimalem Dokumentations-Overhead". Drei der vier haben einen AVV, den du vor der Kaufentscheidung lesen kannst, und zwar als Vertragsbestandteil ohne separate Zeichnung: 1Password (ausgewiesen in den Terms of Service), Proton Pass (öffentlicher Vertragstext unter proton.me/legal/dpa, gültig für jede Organisation unabhängig von Rechtsform und Tarif) und NordPass (business.nordsec.com/legal/data-processing-agreement, Stand 27.10.2025, für NordPass Business). Bei Bitwarden ist dagegen kein AVV-Dokument öffentlich auffindbar – Bitwarden sagt Compliance zu, aber der Vertragstext, den dein Verzeichnis von Verarbeitungstätigkeiten braucht, ist vor dem Kauf nicht einsehbar (geprüft 15.09.2026). Das kostet pro Audit-Zyklus Zeit, die die anderen drei sparen.

DSGVO-Compliance Deep-Dive: was Auditoren wirklich prüfen

Säule 1: AVV-Stack (Art. 28 DSGVO)

Pro Tool: AVV-PDF aus dem Anbieter-Dashboard heruntergeladen, mit DSB-Stempel versehen, in zentralem Datenschutz-Ordner archiviert. Bei US-Anbietern (Bitwarden Cloud, NordPass, pCloud-US-Region): zusätzlich SCC samt Transfer-Folgenabschätzung (oder DPF, wo zertifiziert) – bei NordPass auch dann, wenn die EU-Region gebucht ist, denn Vertragspartner ist die Nord Security Inc. in Lewes, Delaware. Bei 1Password (AgileBits, Sitz Kanada) zählt die gebuchte Region; Support und E-Mail laufen laut Datenschutzerklärung vorwiegend über die USA und Kanada. Bei Anbietern im EU-/Adäquanz-Raum (Tresorit und Proton, beide Schweiz, sowie pCloud-EU): entfällt der Drittland-Teil.

Säule 2: Subprozessoren-Listen aktuell halten

Alle 6 Monate: Subprozessoren-Liste pro Tool prüfen. Anbieter ändern still (z. B. neue AWS-Region, neuer Analytics-Dienst). Audit-Frage: "Welche Subprozessoren hat 1Password aktuell?" muss in 2 Klicks beantwortbar sein. 1Password und Tresorit haben öffentliche Subprozessoren-Listen mit Änderungs-Notifikationen – ideal.

Säule 3: Zugriffs-Reviews + Off-Boarding-Workflows

Dokumentierter Off-Boarding-Workflow: NordPass-/1Password-Vault-Zugang revoken, Tresorit-Vault aus Mitgliedschaft entfernen, alle Shared-Logins rotieren, Hardware-Key einsammeln. Im Audit ist der dokumentierte Workflow die Verteidigungslinie – spontane Praxis reicht nicht.

Säule 4: 2FA-Coverage-Tracking

ISO 27001 erwartet 2FA-Coverage für alle privilegierten Accounts. Praktisch: alle 3 Monate ein 2FA-Coverage-Report – welche Business-Logins haben noch kein 2FA aktiviert? 1Password Watchtower zeigt das prominent. NordPass hat einen Datenpannen-Monitor. Bei Bitwarden self-hosted: eigener Skript-Job, der die Vault-Items mit 2FA-Tag zählt.

Cross-Reference: Diese vier Säulen sind im Enterprise-DSGVO-Use-Case ausführlich mit Compliance-Profilen erklärt. Zum Enterprise-DSGVO-Compliance-Stack-Use-Case →

Die 3 Privacy-Säulen: Identität · Daten · Workflow

Säule 1: Identität (Passwort-Manager + 2FA)

Jeder Account braucht ein einmaliges, zufälliges Passwort plus 2FA. Ein Passwort-Manager generiert diese und teilt sie sicher im Team. Für DACH-KMU: 1Password Business (7,99 €/User/Mo) oder NordPass Business (3,59 EUR/User/Mo im 2-Jahres-Paket). Self-hosted-Variante: Bitwarden auf Hetzner-Server. Plus Hardware-Keys (YubiKey 5C 77,35 EUR inkl. MwSt. im Yubico-Shop) für kritische Admin-Logins (Domain, Cloud-Konten, Banking).

Säule 2: Daten (Verschlüsselter Cloud-Storage)

Sensitive Dokumente – Mandantenakten, Patientendaten, Kundenverträge, HR-Akten – dürfen nicht in Dropbox, Google Drive oder OneDrive ohne weitere Verschlüsselung liegen. Für DACH: Tresorit (Schweizer Anbieter, Speicherung standardmäßig in Irland, Zero-Knowledge by default) oder pCloud mit Encryption-Add-on (EU, Lifetime-Deal). Bei regulierten Branchen mit BAIT-/ISO-27001-Anspruch: Tresorit gewinnt klar wegen der Schweizer Jurisdiktion und ISO-27001-Zertifizierung.

Säule 3: Workflow (Zero-Trust + Access-Reviews)

Werkzeuge allein lösen nichts ohne Workflow-Disziplin: alle 6 Monate ein Access-Review (Wer hat Zugang zu was? Mitarbeiter-Wechsel sauber dokumentiert?), Passwort-Manager-Vault-Audits (welche Logins sind veraltet?), 2FA-Coverage-Check (welche Accounts haben noch keine 2FA?). Diese Disziplin ist die eigentliche Compliance-Substanz – Tools sind nur die Voraussetzung.

Häufige Fehler beim Privacy-Stack-Aufbau

1. Master-Passwort im Browser-Manager speichern. Das Master-Passwort des Passwort-Managers im Chrome- oder Safari-Manager ablegen. Bricht das Zero-Knowledge-Modell, weil der Browser-Manager Synchronisations-Schwächen hat. Master-Passwort merken (lange Passphrase mit 6+ Wörtern) oder in einem physischen Notfall-Tresor sicher hinterlegen.
2. 2FA nur für Admin-Accounts aktiviert. 2FA-Coverage muss für ALLE Business-Logins gelten, nicht nur die offensichtlichen. Phishing-Angriffe zielen oft auf Non-Admin-Accounts, weil dort die 2FA-Disziplin lockerer ist. Bei ISO-27001-Audit wird 2FA-Coverage über ALLE Accounts gemessen.
3. Cloud-Storage ohne Encryption-Add-on bei pCloud. pCloud OHNE Encryption-Add-on ist nur normal verschlüsselt (At-Rest + In-Transit), aber nicht Zero-Knowledge. Bei sensiblen Daten zwingend das Encryption-Add-on (49,99 EUR/Jahr oder 150 EUR einmalig) freischalten. Marketing-Kommunikation überspringt diese Unterscheidung oft.
4. Off-Boarding-Workflow nicht dokumentiert. Mitarbeiter:in geht, Slack-Account gelöscht, aber Vault-Zugang aktiv geblieben. Schriftlicher Workflow: Day-of-Notice = Vault-Zugang revoken, alle gemeinsamen Logins rotieren, Hardware-Key einsammeln, Subprozessoren-Liste-Subscriptions updaten.
5. Festplatten-Verschlüsselung übersehen. Privacy-Stack-Diskussion fokussiert oft Cloud – übersieht aber, dass Notebooks auch verschlüsselt sein müssen (BitLocker, FileVault, LUKS). Bei verlorenem oder geklautem Notebook ohne Festplatten-Verschlüsselung gilt das in der DSGVO als Datenpanne.

Methodik und Bewertungs-Kriterien

• Zero-Knowledge-Architektur: Kann der Anbieter selbst deine Daten lesen? Echte Zero-Knowledge bedeutet: nein, technisch unmöglich. Pluspunkte für Apps mit veröffentlichten Whitepapers + Source-Code-Audits.
• Audit-Belege: SOC-2-Typ-II, ISO-27001, BSI-C5, Cure53, Securitum. Marketing-Aussagen ohne Audit-Bericht zählen nicht.
• DACH/EU/CH-Datenresidenz: Wo liegen die Server physisch? Schweiz/EU > Nordamerika-mit-SCC > Drittland ohne Adequacy. EU/CH ist für DACH-Geschäftsnutzung der sichere Default.
• AVV-Verfügbarkeit: Lässt sich ein DSGVO-konformer AVV nach Art. 28 abschließen?
• Recovery-Konzept: Was passiert beim Verlust des Master-Passworts? Sicherer Wiederherstellungs-Workflow?
• Cross-Plattform-Apps: Funktioniert das Tool auf macOS, Windows, iOS, Android, Browser-Erweiterungen?
• UX + Praxis-Belege Dritter: G2-/Trustpilot-DACH-Filter + r/-Foren-Berichte, ob das Tool im Alltag taugt.

Was wir nicht gemessen haben: Eigene Messreihen zu den Tools dieser Übersicht. 1Password haben wir mit eigenem, privat bezahltem Konto über mehrere Wochen genutzt, Messwerte daraus aber nicht aufgezeichnet. Falls dir hier ein Punkt wichtig ist, den wir übersehen haben – schreib uns, wir aktualisieren öffentlich.

Häufig gestellte Fragen

Use-Cases für diese Kategorie

Statt einzelner Tools: der komplette Stack für ein konkretes Setup, inklusive der Stellen, an denen die Tools aneinander hängen.