Cyberpediavon Brain
DEENFR

Passwortmanager des Unternehmens oder des Browsers

Unternehmens-Passwortmanager und Browser-Passwortmanager: was sie unterscheidet, was Beschäftigte tun und welche Fallen es gibt.

In 30 Sekunden

Wo es passiert
Bei jeder Anmeldung an einem beruflichen Werkzeug, wenn der Browser „Passwort speichern“ anbietet.
Was der Angreifer will
Die im Browser gespeicherten Zugangsdaten abgreifen und sie dann auf anderen Systemen oder Konten wiederverwenden, um seinen Zugriff auszuweiten3.
Der Reflex
Nutzen Sie für berufliche Passwörter ausschließlich den von Brain bereitgestellten Passwortmanager, aktivieren Sie den zweiten Faktor und speichern Sie nichts im Browser.
Wenn es schon passiert ist
Melden Sie den Verlust oder Diebstahl eines Geräts sofort und befolgen Sie dann die Anweisungen des Sicherheitsteams, um die betroffenen Passwörter zu ändern.

Worum es geht

Ein Passwortmanager ist eine Datenbank, die mit einem einzigen „Master“-Passwort verschlüsselt ist1. Er löst ein verbreitetes Problem: Beschäftigte verwalten Dutzende Passwörter, nicht nur die für die Arbeit, und viele verwenden dasselbe Passwort mehrfach oder wählen gängige Passwörter, was Angreifer ausnutzen2.

Für die Arbeit gibt es zwei Arten von Werkzeugen: den Passwortmanager, den das Unternehmen bereitstellt und verwaltet, und den Passwortmanager, der im Browser integriert ist. Am Bildschirm sehen sie sich ähnlich, schützen aber nicht auf dieselbe Weise, und das Unternehmen hat nicht denselben Zugriff auf sie.

Direkte Fragen

Was ist ein Passwortmanager für Unternehmen?

Es ist ein Passwortmanager, dessen Nutzung die Organisation steuert. Das britische NCSC stellt fest, dass einige Produkte eine zentrale Passwortverwaltung in der Organisation bieten und dass diese Lösungen in der Regel kostenpflichtig sind2. Die Zugangsdaten liegen in einem Tresor, der mit einem Master-Passwort zugänglich ist2. Der Administrator kann Nutzungsregeln festlegen und einen Überblick über die Verwendung der Passwörter einsehen2.

Worin unterscheidet er sich vom Passwortmanager des Browsers?

Das NCSC unterscheidet Passwortmanager, die eine eigenständige Anwendung sind, von solchen, die in den Browser oder das Betriebssystem integriert sind2. Die CISA zählt die im Browser integrierten Passwortmanager zu den kostenlosen4. Funktionen der zentralen Verwaltung (kontrolliertes Teilen, Protokolle, Regeln) beschreibt das NCSC für Unternehmens-Passwortmanager2. Unter den Möglichkeiten einer Organisation nennt das NCSC auch, Beschäftigten zu erlauben, ihre Passwörter in Browsern zu speichern2: Die Regel legt also Brain fest, und die Regel von Brain lautet, das eigene Werkzeug zu nutzen.

Warum sollten berufliche Passwörter nicht im Browser gespeichert werden?

Browser speichern Zugangsdaten in der Regel verschlüsselt in einem eigenen Speicher, doch es gibt Methoden, die Passwörter im Klartext auszulesen3. Unter Windows lassen sich zum Beispiel die verschlüsselten Zugangsdaten von Chrome aus einer Datenbankdatei lesen, und eine Systemfunktion entschlüsselt sie dann mit den zwischengespeicherten Anmeldedaten des Opfers3. Bekannte Schadprogramme wie Agent Tesla sammeln Zugangsdaten mehrerer Browser3. Die CNIL fügt hinzu, dass man seine Passwörter nie im Browser eines gemeinsam genutzten Computers speichern sollte1.

Kann auch ein Unternehmens-Passwortmanager angegriffen werden?

Ja. Das NCSC sagt es ausdrücklich: Ein Passwortmanager kann Schwachstellen haben und zieht Angreifer an, weil ein erfolgreicher Angriff Zugang zu allen gespeicherten Passwörtern verschafft2. Es hält den Nutzen dennoch für größer als die Risiken2. Das Master-Passwort und der zweite Faktor schützen diesen einzigen Zugang.

Was ist zu tun, wenn ein Gerät verloren geht oder gestohlen wird?

Melden Sie es sofort dem Sicherheitsteam. Das Vorgehen richtet sich nach den Angaben von Brain.

1Wie es funktioniert1 min

Der Tresor ist verschlüsselt. Laut NCSC wird der Entschlüsselungsschlüssel in der Regel aus dem Master-Passwort abgeleitet und sollte niemand anderem zugänglich sein, bei in der Cloud synchronisierten Passwortmanagern nicht einmal dem Anbieter des Dienstes2. Die CNIL beschreibt dasselbe Prinzip: eine Datenbank, die mit einem einzigen „Master“-Passwort verschlüsselt ist, sodass man sich nur ein Passwort merken muss und alle anderen sehr lang und verschieden sein können1.

Das NCSC nennt weitere nützliche Funktionen:

  • das automatische Ausfüllen, das Zugangsdaten nur der Website anbietet, für die sie gespeichert wurden, und das gegen Phishing helfen kann, weil ein Passwortmanager gefälschte Websites besser erkennt als ein Mensch2;
  • die Erzeugung zufälliger, langer und einmaliger Passwörter2;
  • die Prüfung der Passwortqualität, die zum Beispiel ein mehrfach verwendetes Passwort meldet2.

Für das Unternehmen kommt durch die zentrale Verwaltung das Teilen von Passwörtern mit Zugriffsprotokoll und Kontrolle durch eine befugte Person hinzu2. Das NCSC empfiehlt das Teilen von Passwörtern zwischen Einzelpersonen nicht, räumt aber ein, dass manche Organisationen noch nicht darauf verzichten können; ein Unternehmens-Passwortmanager verringert dann die Risiken2. Administratoren sollten einzelne Passwörter außerhalb einer Freigabegruppe weder sehen noch nutzen können, und ihr Zugriff sollte geprüft werden2.

2Was Sie tun1 min
  • Nutzen Sie für alle beruflichen Passwörter das von Brain bereitgestellte Werkzeug. Das NCSC empfiehlt Organisationen, ein geeignetes Speichermittel bereitzustellen, und empfiehlt Passwortmanager, wo es angemessen ist5.
  • Aktivieren Sie den zweiten Faktor für den Passwortmanager. Damit muss ein Angreifer das Master-Passwort kennen und den zweiten Faktor besitzen2. Auch die CNIL empfiehlt die Zwei-Faktor-Authentifizierung, wenn der Dienst sie anbietet1.
  • Speichern Sie kein berufliches Passwort im Browser.
  • Lassen Sie das Werkzeug die Passwörter erzeugen. Die CISA rät zu langen Passwörtern (mindestens 16 Zeichen), die zufällig und für jedes Konto einmalig sind4.
  • Wählen Sie als Master-Passwort eine Passphrase: Die CISA schlägt eine Folge von 4 bis 7 Wörtern ohne Zusammenhang vor4.
  • Melden Sie jeden Geräteverlust.
3Die Fallen2 min

Ein schwaches Master-Passwort

Der ganze Tresor hängt von ihm ab. Das NCSC warnt, dass man bei Vergessen den Zugang zu allen gespeicherten Passwörtern verliert und dass ein Wiederherstellungsverfahren ausgenutzt werden kann, um an die Zugangsdaten zu gelangen2. Wählen Sie daher einen langen Satz, den Sie auswendig kennen und nie in einer Datei oder auf einem Haftzettel notieren. Die CNIL zählt Haftzettel, Textdateien, Smartphone und Messenger zu den Medien, die nicht für die Speicherung von Passwörtern gedacht sind1.

Die Synchronisierung mit einem privaten Konto

Manche Unternehmens-Passwortmanager bieten einen persönlichen Tresor für private Konten an. Das NCSC verlangt dann eine saubere Trennung: Berufliche Passwörter dürfen vom persönlichen Tresor aus nicht zugänglich sein und umgekehrt2. Es merkt an, dass der Nutzer nicht immer erkennt, welchen Tresor er gerade verwendet, wenn das Unternehmen private Geräte oder private Konten bei der Arbeit erlaubt2. Prüfen Sie daher vor dem Aktivieren einer Synchronisierung, dass sie beides nicht vermischt.

Der Export im Klartext

Manche Passwortmanager exportieren alle Passwörter in eine Textdatei. Nach dem Export ist die Datei nicht mehr geschützt, egal ob ein rechtmäßiger Nutzer oder ein Angreifer sie erzeugt hat2. Exportieren Sie den Tresor nur, wenn die Regel des Unternehmens es erlaubt, und behandeln Sie die Datei so, wie diese Regel es vorgibt.

Phishing, das eine Anmeldeseite nachahmt

Hier hilft das automatische Ausfüllen: Der Passwortmanager bietet die Zugangsdaten nur auf der gespeicherten Website an2. Bietet das Werkzeug auf einer Anmeldeseite, die eigentlich bekannt sein sollte, nichts an, ist das ein Warnsignal. Tippen Sie das Passwort auf einer verdächtigen Seite nicht von Hand ein.

Der Tresor als Ziel

Das NCSC weist darauf hin, dass Passwortmanager wie jede Sicherheitssoftware nicht unfehlbar sind und ein attraktives Ziel darstellen5. Es verlangt die Multifaktor-Authentifizierung für alle in der Cloud synchronisierten Passwortmanager und für privilegierte Konten2.

4Weiterführendes1 min

Die Revision 800-63-3 des NIST, seit dem 1. August 2025 ersetzt, empfahl, dass Dienste das Einfügen in Passwortfelder zulassen6. Die CNIL beschreibt den Passwortmanager als eine Datenbank von Passwörtern, die mit einem einzigen „Master“-Passwort verschlüsselt ist und deren Sicherheit überprüft werden konnte1.

Merkblatt

Kennung
CP-346
Flügel
5. Büroalltag und Reflexe
Brain-Kompetenz
Passwörter beherrschen (master_passwords)
Brain-Reflex
cr-009
Schema
G2 · Mythos gegen Realität
Sprachen
de, en, fr
Quellen
6 Quellen geprüft am 3. November 2026
Quellen6 Quellen
  1. CNIL, „Les conseils de la CNIL pour un bon mot de passe“, 26. Januar 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (abgerufen am 3. November 2026)
  2. NCSC (Royaume-Uni), „Password manager buyers guide“, 19. November 2018. https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide (abgerufen am 3. November 2026)
  3. MITRE ATT&CK, „Credentials from Password Stores: Credentials from Web Browsers, Sub-technique T1555.003 - Enterprise | MITRE ATT&CK®“, 12. Februar 2020. https://attack.mitre.org/techniques/T1555/003/ (abgerufen am 3. November 2026)
  4. CISA, „Use Strong Passwords | CISA“. https://www.cisa.gov/secure-our-world/use-strong-passwords (abgerufen am 3. November 2026)
  5. NCSC (Royaume-Uni), „Password policy: updating your approach“, 19. November 2018. https://www.ncsc.gov.uk/collection/passwords/updating-your-approach (abgerufen am 3. November 2026)
  6. NIST, „NIST Special Publication 800-63B“. https://pages.nist.gov/800-63-3/sp800-63b.html (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Passwortmanager des Unternehmens oder des Browsers“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/unternehmens-passwortmanager-vs-browser/

BibTeX 
@misc{brain_cp346_de_2026,
  author = {Brain},
  title = {Passwortmanager des Unternehmens oder des Browsers},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/unternehmens-passwortmanager-vs-browser/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0