NordPass Test 2026: moderner Krypto-Stack, US-Anbieter, Zero-Knowledge-Schutz

So entstand diese Analyse

Methodik:

• Impressum-Verifikation (live, 2026-06-03, nachverifiziert 2026-08-29): nordpass.com/de/impressum/ direkt aufgerufen – Anbieter ist Nord Security Inc., Sitz Lewes, Delaware 19958, USA, Aktenzeichen 3065297, EU-USt-ID EU372012594, Geschäftsführerin Jurgita Baltramiejūnienė. Diese Information widerspricht früheren Review-Versionen, die fälschlich „Nord Security AG (Vilnius/Litauen)“ annahmen.
• Trust-Center-Verifikation: nordpass.com/security und nordpass.com/features/xchacha20-encryption direkt gelesen. Cure53 steht auf nordpass.com/security nicht mehr; den Business-Audit datiert ein Nord-Blogpost auf den 20.10.2021, den Consumer-Audit nennt nordpass.com/features ohne Jahr. Das Trust Center (Stand 22.07.2026) führt den Penetrationstest-Report nur auf Anfrage.
• EU-Rechenzentrum-Beleg: GlobeNewswire-Pressemitteilung vom 12. Oktober 2023 (Meldung 2759318) zur Wahl zwischen US und EU; den Ort nennt das NordPass-Business-Whitepaper (Version 1.9 vom 08.05.2026, Abschnitt „Infrastructure“): „US or EU (Frankfurt) AWS data centers“ (gelesen 09.10.2026). Die Einschränkung steht in der Datenschutzerklärung für NordPass Business, Abschnitt „DATA CENTER LOCATION": hashed E-Mail-Adresse und Organisationszuordnung liegen unabhängig von der Wahl immer in den USA. Wichtig: das ist Storage-Lokalität, NICHT Anbieter-Jurisdiktion.
• Pricing-Cross-Check: nordpass.com/de/plans und nordpass.com/de/plans/business (EUR-Preise client-seitig per JS gerendert, deshalb im Browser gerendert abgelesen, zuletzt 25.09.2026), security.org + cybernews als Drittquellen.
• DACH-Stimmung: EXPERTE.com-Bewertungen. In deutsch- und englischsprachiger Suche am 25.09.2026 haben wir zu NordPass keinen Sicherheitsvorfall und kein Datenleck gefunden.
• Vergleichsmaßstab: 1Password, Bitwarden, Proton Pass – alle drei mit eigenen Reviews auf ToolsPick parallel referenziert.

Wo NordPass-Aussagen nicht öffentlich verifizierbar sind (Cure53-Stand nach 2021, exakte Renewal-Preise jeder Region), markieren wir das explizit als "laut Anbieter-Angabe" im jeweiligen Abschnitt – kein Geraten.

Pricing-Pläne im Überblick

Auf einen Blick

Quelle Anbieter-Daten: nordpass.com/de/impressum/ (live geprüft 2026-08-29), nordpass.com/de/plans/ und nordpass.com/de/plans/business/ (gerendert geprüft 25.09.2026).

Was NordPass gewinnt

1. Zero-Knowledge-Architektur als realer Schutz-Layer

NordPass verschlüsselt den Tresorinhalt client-side mit XChaCha20, hält den privaten Schlüssel lokal mit XChaCha20-Poly1305-IETF verschlüsselt und leitet den Master Key per Argon2id aus dem Master-Passwort ab – das Master-Passwort verlässt das Gerät nie. Konsequenz: Selbst wenn Nord Security Inc. (Delaware, USA) unter dem CLOUD Act zur Datenherausgabe gezwungen würde, wären die ausgelieferten Vault-Blobs verschlüsselt und ohne das Master-Passwort wertlos. Das ist das ehrliche Sicherheits-Argument: nicht Jurisdiktion, sondern Architektur. Damit steht NordPass auf demselben technischen Schutz-Level wie 1Password und Bitwarden, die ebenfalls Zero-Knowledge-Designs fahren.

2. Modernerer Krypto-Stack als der Durchschnitt

XChaCha20 (Tresorinhalt) und Argon2id mit 16-Byte-Salt (Ableitung des Master Key) sind akademisch wohldokumentiert: Argon2id ist seit RFC 9106 (2021) die empfohlene Password-Hashing-Funktion und resistenter gegen GPU- und ASIC-Angriffe als PBKDF2 (Bitwarden-Default). 1Password nutzt AES-256-GCM mit eigenem Secret-Key-Layer – architektonisch anders, sicherheitsmäßig vergleichbar. NordPass setzt damit eine moderne Stack-Wahl um, die in der Praxis schneller arbeitet als reines AES auf ARM-Mobilgeräten und gleichzeitig die geringeren Cache-Timing-Risiken von ChaCha-Designs mitnimmt.

3. EU-Rechenzentrum für Business + ISO/SOC-Zertifizierung

Laut Anbieter können Business- und Enterprise-Kunden seit Oktober 2023 wählen, ob ihre Vault-Daten im US- oder im EU-Rechenzentrum liegen. Das EU-Rechenzentrum liegt laut NordPass-Business-Whitepaper (Version 1.9 vom 08.05.2026) bei AWS in Frankfurt. Wichtig zur Einordnung: das verschiebt nur die Storage-Lokalität, nicht den Anbieter-Sitz. Nord Security Inc. bleibt Vertragspartner mit US-Jurisdiktion. Und sie ist nicht vollständig: Die Datenschutzerklärung für NordPass Business führt einen eigenen Abschnitt „DATA CENTER LOCATION", und der schränkt ein. Nach der Regionswahl liegen zwar alle Customer Items dort – „other data, such as the hashed email address of the End User and which organization this End User belongs to, will always be stored in a data center located at the United States (regardless of the location of the selected data center)" (business.nordsec.com/legal/privacy-policy/nordpass, geprüft 25.09.2026). Wer die EU-Region wählt, bekommt also den Vault in der EU, nicht das ganze Konto. Für ISO-27001-Compliance bleibt die Wahl trotzdem ein konkreter Pluspunkt. Ein Vorsprung gegenüber Bitwarden ist es nicht: Bitwarden betreibt seine Cloud ebenfalls in einer US- und einer EU-Region und lässt die Region schon bei der Kontoerstellung wählen, in jedem Tarif – bei NordPass geht das nur in Business und Enterprise.

4. Deutsche Produktseiten und deutsches Hilfe-Center + 24/7-Chat: Chat-Sprache nicht dokumentiert

nordpass.com/de ist nicht nur eine Übersetzung der Marketing-Page – die deutschen Produktseiten führen die Funktionen unter deutschen Namen wie "Datenleck-Scanner" und "Dateianhänge" (nordpass.com/de/plans, abgerufen 25.09.2026). Wie vollständig die App-Oberfläche übersetzt ist, haben wir nicht geprüft. Bitwarden übersetzt seine Oberfläche über die Community-Plattform Crowdin, das Hilfe-Center ist unter /de-de/ gemischt deutsch und englisch; 1Password ist ebenfalls UI-deutsch, dokumentiert die Sprache seines Support-Teams aber genauso wenig. Das Hilfe-Center von NordPass gibt es auf Deutsch, und den Live-Chat nennt der Anbieter rund um die Uhr verfügbar – laut Tarif-Matrix in allen Tarifen, auch im kostenlosen. Zwei Einschränkungen gehören dazu: In welcher Sprache der Chat antwortet, steht auf keiner NordPass-Seite, und zuerst übernimmt laut Anbieter ein Chatbot, der erst bei ungelöstem Anliegen an eine Person übergibt. Telefon-Support gibt es nicht – das schreibt NordPass selbst ("NordPass bietet keinen telefonischen Support an").

5. Nord-Family-Cross-Sell und Single-Sign-Up

Wer bereits NordVPN, NordLocker oder Saily (eSIM-Provider) nutzt, hat den Nord-Account schon – NordPass läuft mit gleichem Login. NordVPN lässt sich im Nord Account zum NordPass-Paket hinzubuchen; einen Bundle-Rabatt beziffert NordPass nicht. Für ToolsPick-Leser:innen, die unseren NordVPN-Empfehlung (Pillar "Beste VPN DACH 2026") folgen, ist NordPass dadurch der logische Cross-Sell ohne neue Account-Migration.

6. Kein gefundener Sicherheitsvorfall bei NordPass

Zu NordPass selbst haben wir in deutsch- und englischsprachiger Suche am 25.09.2026 keinen Sicherheitsvorfall und kein Datenleck gefunden. Das ist eine Abwesenheits-Aussage, kein Gütesiegel – sie sagt, was wir nicht gefunden haben. Für den gemeinsamen Nord-Account gehört dazu: Die Schwestermarke NordVPN legte im Oktober 2019 offen, dass im März 2018 ein gemieteter Server in Finnland kompromittiert worden war. Der Nord Account gehört laut Cure53-Prüfumfang zur auditierten Fläche von NordPass Business.

Korrektur vom 08.08.2026: An dieser Stelle stand bis heute ein Abschnitt „Heise-Praxis-Tests bestätigen Stabilität“, der zwei angebliche Heise-Tests mit Datum, namentlich genannten Autor:innen und wörtlichen Zitaten anführte. Die hinterlegte Quell-URL existiert nicht (frei erfundene Artikel-ID), und eine Suche auf heise.de nach „NordPass“ liefert keinen solchen Test. Wir haben den Abschnitt deshalb vollständig entfernt statt ihn abzuschwächen – und machen das hier sichtbar, statt es still zu löschen.

Wo es schwierig wird

1. Anbieter-Sitz Delaware/USA: keine EU-Gesellschaft als Vertragspartner

Vertragspartner ist Nord Security Inc., 16192 Coastal Highway, Lewes, Delaware 19958, USA (verifiziert über nordpass.com/de/impressum/, zuletzt geprüft 29.08.2026). Damit ist NordPass formal denselben US-Rechtsrahmen ausgesetzt wie Bitwarden (USA) oder Dashlane (USA) – CLOUD Act, FISA-702-Anfragen und nationale Sicherheits-Briefe sind anwendbar. Wer auf EU-Jurisdiktion als primäres Compliance-Argument angewiesen ist (z. B. weil DPO oder DSGVO-Beratung das so verlangen), ist mit Proton Pass (Schweiz/Proton AG) oder Bitwarden + Self-Hosted Vaultwarden besser bedient. Was NordPass dem entgegensetzt, ist die Zero-Knowledge-Architektur (siehe DSGVO-Section unten) plus die EU-Standardvertragsklauseln im veröffentlichten AVV. Was bleibt: Der Vertragspartner ist und bleibt eine US-Gesellschaft.

2. Free-Tier: nur eine aktive Sitzung

Der Free-Plan klingt großzügig (unbegrenzte Passwörter, Installation auf beliebig vielen Geräten), hat aber einen Haken, den NordPass selbst benennt: "Mit dieser Version können Nutzer nur eine aktive Sitzung auf einem Gerät haben." Die Tarif-Matrix führt "Gleichzeitige Anmeldung auf mehreren Geräten" für Kostenlos als nicht enthalten. Wie sich die zweite Anmeldung verhält – ob sie die erste beendet, abgelehnt wird oder die Sitzung ausläuft –, dokumentiert NordPass nicht. Bitwarden und Proton Pass erlauben im Free-Plan parallele Geräte; für Solo-Nutzer:innen, die zwischen Laptop, Tablet und Phone wechseln, ist NordPass Free de facto nicht alltagstauglich. Das ist erkennbar als Conversion-Hebel gebaut, nicht als ehrliches Gratis-Angebot.

3. Renewal-Preis deutlich höher als Erstvertrag

Premium-Erstvertrag liegt bei 1,39 €/Monat netto im 2-Jahres-Paket, das NordPass um drei Extra-Monate verlängert – die Aktion läuft also über 27 Monate. Der durchgestrichene Vergleichspreis auf derselben Tarifkarte – 80,73 € statt 37,53 € für dieselben 27 Monate – entspricht 2,99 €/Monat; das ist der reguläre Preis, auf den man nach der Aktionslaufzeit zurückfällt. Den Verlängerungspreis selbst weist NordPass auf der Tarifseite nicht aus, deshalb vor Abschluss im Checkout prüfen. Nord-typische Lock-In-Mechanik: die niedrigen Onboarding-Preise sind durch das Renewal subventioniert. Für TCO-Vergleiche über 5+ Jahre relativiert das den Preisvorteil gegenüber Bitwarden Premium (19,80 $/Jahr laut Bitwarden-Preisliste). Tipp: rechtzeitig vor Renewal-Datum prüfen, ob Wechsel oder Kündigung wirtschaftlicher ist.

4. Kein dokumentiertes Self-Hosting wie bei Bitwarden / Vaultwarden

NordPass wird laut Anbieter auf AWS gehostet, mit Rechenzentren in den USA und der EU; eine Self-Hosting-Option ist auf den Produkt-, Business- und Enterprise-Seiten nicht dokumentiert. Angekündigt war sie: Ein Enterprise-Blogpost vom 25.06.2021 stellte in Aussicht, Enterprise-Kunden die Vault-Daten auf lokalen Servern hosten zu lassen – fünf Jahre später steht davon nichts auf der Produktseite. Wer volle Daten-Kontrolle heute braucht, findet sie bei Bitwarden via Vaultwarden (Self-Hosting auf eigenem Server, Hetzner CX23, 7,13 €/Mo brutto) oder bei Proton Pass mit Schweizer Jurisdiktion plus Open-Source-Apps. NordPass ist nicht Open-Source – der Code ist unabhängig nicht prüfbar, du verlässt dich auf die Audit-Angaben von Nord. Für DSGVO-Hardliner ist das ein klarer Minuspunkt, der zusammen mit der US-Jurisdiktion das Compliance-Profil zusätzlich schwächt.

5. AVV öffentlich – aber nicht dort, wo man ihn sucht

NordPass veröffentlicht einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO unter business.nordsec.com/legal/data-processing-agreement, Stand 27.10.2025, frei lesbar ohne Login und im Footer der geprüften deutschen nordpass.com-Seiten als "AVV" verlinkt – fünf Seiten plus das deutsche Hilfe-Center. Er nennt NordPass Business namentlich, bindet die EU-Standardvertragsklauseln ein (Modul 2, Controller zu Processor), legt für sie Recht und Gerichtsstand auf die Niederlande und regelt die Sub-Prozessor-Pflichten. Gesucht wird er nur an der falschen Stelle: Der Rechtsdokumente-Index von Nord Account (my.nordaccount.com/legal) führt 16 Dokumente – sieben Nutzungsbedingungen (allgemein, Abo und fünf Produkte), sieben Datenschutzerklärungen, Cookie-Policy und DSA-Bericht –, und darunter ist kein AVV. Das ist der Verbraucher-Index; der Business-Rechtsindex liegt auf business.nordsec.com (beides geprüft 25.09.2026). Zum Vergleich: 1Password stellt seinen DPA als PDF zum Download, Proton veröffentlicht ihn als Seite, und Bitwarden schließt ihn laut eigener FAQ für Business- und Enterprise-Kunden auf Anfrage ab – dort führt der Weg also über eine Anfrage, bei NordPass über einen Link. Offen bleibt das Transfer Impact Assessment: Der Datenexport an Nord Security Inc. ist formal ein Drittland-Transfer.

6. Cure53-Audits laut Nord-Angabe: kein öffentlicher Volltext-Report

Für NordPass Business nennt Nord ein Datum: Ein Blogpost vom 20.10.2021 beschreibt einen Cure53-Audit über 21 Personentage mit 15 sicherheitsrelevanten Funden, einer davon "High" und laut Nord nachgeprüft behoben. Für die Consumer-App nennt nordpass.com/features einen Cure53-Audit ohne Jahresangabe. Einen Volltext-Report gibt es nicht frei: Auf der Publikationsliste von cure53.de steht NordPass nicht – dort erscheinen Reports nach Angabe von Cure53 aber nur auf ausdrücklichen Wunsch des Auftraggebers, die Abwesenheit sagt also nichts über den Audit selbst. Das NordPass Trust Center (Stand 22.07.2026) führt einen Penetrationstest-Report für NordPass Business als Dokument auf Anfrage; frei herunterladbar ist er nicht. Andere Anbieter sind hier offener: Bitwarden hostet seine Reports selbst (jährliche Pen-Tests seit 2020, der erste Cure53-Bericht stammt von 2018, dazu IOActive, Mandiant und Fracture Labs 2024 sowie ein Krypto-Gutachten der ETH Zürich 2025), und Proton Pass wurde von Cure53 2023 auditiert (Report öffentlich auf cure53.de). Die Zertifikate ISO 27001 + SOC 2 Type 2 sind bei NordPass extern verifiziert. Ob es nach 2021 weitere Cure53-Audits gab, ist öffentlich nicht belegt.

DSGVO im Detail: die NordPass-Aufstellung

Anbieter-Sitz und Schrems-II-Realität

Laut Impressum (live geprüft 2026-06-03, nachverifiziert 2026-08-29): Nord Security Inc., 16192 Coastal Highway, Lewes, Delaware 19958, USA, Aktenzeichen 3065297. Damit gilt für NordPass dieselbe Schrems-II-Logik wie für jeden anderen US-headquartered Passwort-Manager:

• Datentransfers in die USA benötigen einen Transfer-Mechanismus (typisch: EU-US Data Privacy Framework und/oder Standardvertragsklauseln + Transfer Impact Assessment).
• CLOUD Act ermöglicht US-Behörden unter Bedingungen Zugriff auf Daten US-amerikanischer Unternehmen – unabhängig vom Storage-Ort.
• Was den Vault-Inhalt schützt, ist nicht die Jurisdiktion, sondern die Zero-Knowledge-Verschlüsselung: ohne Master-Passwort sind die ausgelieferten Daten kryptographisch nutzlos.
• Was nicht zero-knowledge ist: Account-Metadaten (E-Mail, Plan, IP, Session-Logs). Diese sind potenziell zugriffsfähig – wer paranoid ist, nutzt ein Pseudonym-E-Mail-Konto bei Anmeldung.

Was NordPass speichert (Zero-Knowledge-Architektur)

• Verschlüsselte Passwort-Vaults (Client-side Encryption – Master-Password verlässt das Gerät nie)
• Account-Metadaten (E-Mail, Plan-Status, gerätegebundene Session-Tokens) – nicht zero-knowledge
• Sync-State zwischen Geräten (verschlüsselt)
• Audit-Logs für Business-Pläne (Login-Versuche, Sharing-Events, RBAC-Änderungen)

EU-Rechenzentrum für Business: was du vor dem Kauf klären musst

• Business-Plan abschließen (Free / Premium / Family laufen laut Anbieter auf Default-Region, nicht zwingend EU)
• Rechenzentrum beim Kauf oder beim Start der Business-Testversion wählen (US oder EU) – der Anbieter nennt keinen späteren Umschaltweg
• Rechenzentrum ist nach dem Kauf fix: NordPass schließt eine Migration zwischen US- und EU-Rechenzentrum aus; der Wechsel geht nur über Export der Einträge und Neuanlage der Organisation in der anderen Region
• AVV lesen: business.nordsec.com/legal/data-processing-agreement (öffentlich, Stand 27.10.2025)
• Sub-Prozessor-Liste vor Vertragsabschluss anfordern – NordPass führt sie im Trust Center nur als Dokument auf Anfrage
• Offen bleibt das Transfer Impact Assessment: Die EU-Standardvertragsklauseln bindet der veröffentlichte AVV bereits ein und legt Gerichtsstand und anwendbares Recht für sie auf die Niederlande fest (Klauseln 17 und 18); der Datenexport an Nord Security Inc. bleibt formal ein Drittland-Transfer.

Compliance-Zertifikate (Stand 25.09.2026)

• ISO/IEC 27001 – Information Security Management (Badge auf nordpass.com/security; Norm-Version dort nicht ausgewiesen)
• SOC 2 Type 2 – Bericht zur Wirksamkeit der Kontrollen über einen Prüfzeitraum (Badge auf nordpass.com/security)
• Cure53 Pen-Test – Business-Audit von NordPass auf den 20.10.2021 datiert, Consumer-Audit ohne Jahresangabe; kein öffentlicher Volltext-Report (nicht auf cure53.de gelistet, im Trust Center nur auf Anfrage). Ob es nach 2021 weitere Audits gab, ist öffentlich nicht belegt
• GDPR – AVV öffentlich unter business.nordsec.com/legal/data-processing-agreement, Stand 27.10.2025; deckt NordPass Business ab und bindet die EU-Standardvertragsklauseln ein (geprüft 25.09.2026)

Pragmatische Einordnung: Für die operative DSGVO-Tauglichkeit liefert NordPass Business die Bausteine: wählbares EU-Rechenzentrum, ISO 27001, SOC 2 Type 2 und einen veröffentlichten AVV nach Art. 28 mit eingebundenen EU-Standardvertragsklauseln. Für die strategische Jurisdiktions-Frage (DPO will keinen US-Vertragspartner, Branchen-Aufsicht verlangt EU-Sitz, NIS-2-Risk-Assessment scort US-Konzerne strenger): Proton Pass (Schweiz) oder Bitwarden + Self-Hosted Vaultwarden sind strukturell stärker. Beide Antworten sind valide – entscheidend ist, dass das Compliance-Framework des eigenen Hauses die Frage explizit beantwortet.

Wann lohnt sich Upgrade Free → Premium → Family → Business?

NordPass-Tiers sind klar funktional getrennt. Die Entscheidung hängt weniger am Passwort-Volumen (alle Plans haben unbegrenzten Vault), mehr an Geräte-Anzahl, Sharing-Bedarf und Compliance-Anspruch.

Free reicht solange du …

• nur ein primäres Gerät aktiv nutzt (Desktop ODER Mobile, nicht beides parallel)
• NordPass nur als Single-User-Vault ohne Sharing einsetzt
• auf Data-Breach-Scanner, Password-Health-Report und Emergency Access verzichten kannst
• das Tool gerade testest oder als Backup-PM nutzt

Limitation: Free erlaubt nur eine aktive Sitzung; installieren darfst du die App laut Anbieter auf beliebig vielen Geräten. Wie sich die zweite Anmeldung verhält, dokumentiert NordPass nicht. Bitwarden und Proton Pass sind hier strukturell ergonomischer – ihre Free-Tiers erlauben parallele Geräte.

Upgrade auf Premium (~1,39 €/Mo netto im Erstvertrag) sobald …

• du parallel auf Desktop + Mobile + Tablet arbeiten willst (gleichzeitige Anmeldung auf mehreren Geräten)
• du Data-Breach-Scanner für E-Mail und Kreditkarten gegen bekannte Leak-Datenbanken nutzen willst
• du Emergency Access für Vertrauenspersonen (Partner, Anwalt, Familienmitglied) brauchst

Kein Upgrade-Grund: Den 24/7-Live-Chat führt die Tarif-Matrix auch in der Spalte Kostenlos – der Support-Kanal ist in Free, Premium und Family derselbe. Telefon-Support bietet NordPass in keinem Tarif an.

Renewal-Realität: Der Aktionspreis gilt für die 27 Monate des 2-Jahres-Pakets samt drei Extra-Monaten. Der reguläre Preis derselben Karte liegt bei 2,99 €/Monat netto (80,73 € statt 37,53 €). Total-Cost-of-Ownership über 3 Jahre liegt damit höher als der Einstiegspreis suggeriert – bitte im Checkout vor Abschluss verifizieren.

Upgrade auf Family (2,49 €/Mo im 2-Jahres-, 3,69 €/Mo im 1-Jahres-Paket) sobald …

• du 2+ Personen im Haushalt mit eigenen Vaults versorgen willst (bis 6 User)
• du gezielte Item-Sharing zwischen Familienmitgliedern brauchst (gemeinsame Streaming-Accounts, WLAN-Passwörter)
• du Kinder-Accounts mit eigener Vault-Verwaltung einrichten willst

Family vs 1Password Families: NordPass ist günstiger und deckt 1 User mehr (6 vs 5). 1Password hat mehr Polish in der UX, NordPass die saubereren Krypto-Defaults.

Upgrade auf Business (~3,59 €/Nutzer/Mo netto) nur wenn …

• du SSO mit Google Workspace brauchst – Entra ID, MS ADFS und Okta gibt es erst in Enterprise ab 5,39 €/Nutzer/Mo
• du die EU-Region für Compliance benötigst (DACH-Mittelstand-typisch) – Wahl beim Kauf, danach laut Anbieter nicht mehr änderbar
• du Group-Sharing mit RBAC (Admin / Member / View-Only) brauchst
• du Vanta-Integration für SOC-2-Audit-Workflows nutzt
• du als Steuerberater:in oder Anwaltskanzlei Compliance-Audits abdecken musst – der veröffentlichte AVV liefert die SCC, das Transfer Impact Assessment bleibt deine Aufgabe

Für genau zehn Personen ist Teams mit 1,79 €/Nutzer/Mo netto der günstigere Einstieg – buchbar allerdings nur als festes 10-Nutzer-Paket.

Pragmatischer DACH-Default: starte mit Free für 1-2 Wochen, springe auf Premium sobald du den ersten zweiten Geräte-Switch-Frust hast. Family/Business sind klare Trigger-Tiers – kein „lohnt sich vielleicht“, sondern „brauchst du oder nicht“.

Kündigung + Migration zu anderen Passwort-Managern

Anders als bei Buchhaltungs-Software gibt es keine 10-Jahre-Aufbewahrungspflicht – Passwort-Manager sind technisch portabel. Aber das Export-Format-Detail entscheidet, wie schmerzhaft die Migration tatsächlich wird.

Kündigung im Account

• Web-Account: Settings → Subscription → Cancel (Abo läuft bis zum Ende der Laufzeit weiter)
• Family/Business: Owner-Account kündigt für alle Mitglieder; Member werden automatisch auf Free downgraded
• Nord-Family-Bundle: NordPass-Kündigung berührt NordVPN/NordLocker nicht, separat managen
• 30-Tage-Geld-zurück-Garantie bei Premium und Family (über den Web-Checkout); bei Business 14 Kalendertage nach dem Kauf

Vault-Export: Pflicht VOR Kündigung

Im NordPass-Client: Einstellungen → Import und Export → Elemente exportieren, Master-Passwort eingeben, Datei speichern. Die Anbieter-Dokumentation nennt genau ein Format – .CSV. Ein 1PIF-Export und ein verschlüsseltes ZIP-Archiv stehen dort nicht (support.nordpass.com, geprüft 25.09.2026). Die CSV ist in Bitwarden, Proton Pass, 1Password und KeePass importierbar.

Achtung CSV-Format: CSVs enthalten Passwörter im Klartext. Direkt nach Migration die CSV-Datei sicher löschen (auf macOS: rm -P, auf Windows: SDelete oder Eraser). Niemals in Cloud-Drive oder E-Mail liegen lassen.

Migration zu Bitwarden

• NordPass CSV-Export → Bitwarden Web-Tresor → Tools → Daten importieren → Dateiformat "Nordpass (csv)"
• Bitwarden bringt einen eigenen NordPass-Importer mit – den generischen CSV-Import brauchst du nicht
• Custom-Fields müssen manuell nachgepflegt werden; wie viele Einträge sauber durchlaufen, haben wir nicht selbst gemessen
• Bitwarden Premium ist im Dauerbetrieb günstiger als NordPass Premium (19,80 $/Jahr gegenüber 2,99 €/Monat nach Ablauf der Aktion); Bitwarden Families kostet 47,88 $/Jahr für sechs Personen
• Für DSGVO-Hardliner mit Self-Hosting-Wunsch ist Bitwarden ohnehin der bessere Pfad

Migration zu 1Password

• NordPass CSV-Export → 1Password → Import → CSV. Ein 1PIF-Export existiert bei NordPass nicht, und 1Password 8 importiert 1PIF ohnehin nicht mehr
• 1Password führt NordPass nicht unter seinen dokumentierten Import-Quellen – der Weg läuft über den allgemeinen CSV-Import
• 1Password hat besseren Cross-Device-Sync und Family-Polish – UX-Käufer:innen-Wechsel

Migration zu Proton Pass

• NordPass CSV-Export → Proton Pass → Import → Quelle "NordPass" wählen (eigener Importer, nicht Generic CSV)
• Proton Pass nutzt eine eigene Felder-Struktur – mit manueller Nachbearbeitung ist zu rechnen
• Wenn du Proton Mail + Drive eh nutzt: Cross-Sell-Pfad mit einheitlichem Account und Schweizer Jurisdiktion (für US-Sitz-Wechsler:innen relevant)

DSGVO-Lösch-Workflow

1. Account-Settings → DSGVO Art. 17-Anfrage stellen
2. Nord-Support bestätigt Löschung (laut Anbieter typisch 30-Tage-Frist)
3. Backups laut Subprozessor-Liste werden nach Standard-Retention-Zyklus überschrieben (laut Drittquellen meist 30-90 Tage je nach Region)
4. Wichtig: Vorher CSV-Export lokal sichern – nach Löschung sind sie weg

Pre-Kündigungs-Backup-Tipp: regelmäßiger CSV-Export, lokal in ein passwortgeschütztes Archiv gepackt und in einen Off-Site-Storage (Backblaze B2, Wasabi) gelegt – du hast Audit-Trail + Backup unabhängig vom aktuellen PM-Anbieter. Ein eigenes verschlüsseltes Exportformat bietet NordPass laut Hilfe-Center nicht.

Für wen lohnt sich NordPass?

NordPass in der Nord-Security-Familie

NordPass ist Teil eines Ökosystems, das in DACH zunehmend Aufmerksamkeit bekommt. Zu Nord Security gehören laut Produktliste des Anbieters (geprüft 25.09.2026):

• NordVPN – VPN-Service (siehe unsere NordVPN-Review) – großer Server-Bestand, in Testberichten durchgängig als Allrounder eingeordnet.
• NordPass – Passwort-Manager (dieser Review).
• NordLayer – Enterprise-VPN/ZTNA für Unternehmen.
• NordLocker – verschlüsselter Cloud-Speicher (Tresorit-Alternative aus dem Nord-Universum).
• NordStellar – Threat Exposure Management für Unternehmen.
• Coveron (früher NordProtect) – Identity-Theft-Schutz, laut Anbieter nur in den USA verfügbar.
• Saily – eSIM-Provider für Reise-Daten.

Vertragspartner für NordPass ist laut Impressum Nord Security Inc. (Lewes, Delaware). Für die laufende Rabattaktion nennt NordPass in den Aktionsbedingungen dagegen die nordvpn S.A. (Panama) als Vertragspartner; welche Gesellschaft hinter den übrigen Nord-Marken steht, haben wir nicht geprüft. Wer schon NordVPN nutzt, hat den Nord-Account bereits – NordPass läuft mit gleichem Login. NordVPN lässt sich im Nord Account zum NordPass-Paket hinzubuchen; einen Bundle-Rabatt beziffert NordPass nicht. Für DACH-User:innen ist das ein praktischer Cross-Sell-Pfad ohne neue Konto-Anmeldung.

Empfehlung

NordPass ist 2026 die richtige Wahl für DACH-Mittelstand, der moderne Krypto und Zero-Knowledge-Architektur über das letzte Quäntchen Jurisdiktions-Detail stellt – und der logische Cross-Sell für bestehende NordVPN-Nutzer:innen.

Architektonisch hat NordPass mit XChaCha20 + Argon2id einen modernen Krypto-Stack, Zero-Knowledge-Vault, ein wählbares EU-Rechenzentrum für Business (laut Anbieter seit Oktober 2023) und ISO 27001 + SOC 2 Type 2. Den Cure53-Audit für Business datiert Nord auf den 20.10.2021, für die Consumer-App nennt der Anbieter kein Jahr; einen öffentlichen Volltext-Report gibt es nicht. Der AVV nach Art. 28 DSGVO liegt öffentlich vor (business.nordsec.com, Stand 27.10.2025). Anbieter-Vertragspartner ist Nord Security Inc., Lewes, Delaware – das ist das ehrliche Bild, das wir in der Review konsistent kommunizieren.

Wer einen großzügigen Free-Plan oder Self-Hosting braucht, ist mit Bitwarden besser bedient. Wer maximale Privacy-Position mit Schweizer Jurisdiktion und EU-naher Rechtsordnung sucht, sollte Proton Pass prüfen. Für 1Password-Polish-UX-Liebhaber:innen bleibt 1Password die Referenz – ist aber ebenfalls nicht EU-Jurisdiktion.

Häufig gestellte Fragen