Google Passwort-Manager: Wie sicher ist er?

Sie melden sich an einem neuen Android-Handy an, tippen beim Sync-Hinweis auf „Ja" – und jedes Passwort, das Sie je in Chrome gespeichert haben, ist sofort da. Keine App zu installieren, keine Export-Datei, nichts zu konfigurieren. Es ist der reibungsloseste Passwort-Manager, den die meisten Menschen je anfassen werden – und genau deshalb halten so wenige inne und fragen, was diese Daten eigentlich schützt.

Die ehrliche Antwort hat mehrere Schichten. Der Google Passwort-Manager ist im gewöhnlichen Sinn sicher – verschlüsselt, gegen Leaks geprüft, gestützt von einem der größten Sicherheitsteams der Welt. Er ist zugleich, standardmäßig, nur ein einziges Google-Konto davon entfernt, alles offenzulegen, was Sie je in ein Anmeldeformular getippt haben. Beides ist gleichzeitig wahr.

TL;DR

Der Google Passwort-Manager lebt in Chrome, Android und einer eigenständigen Android-App, die im August 2025 erschien – eine erstklassige Firefox- oder Safari-Erweiterung gibt es nicht.
Standardmäßig nutzt Ihr Tresor Standardverschlüsselung, die Google technisch selbst entschlüsseln kann. Die geräteinterne Verschlüsselung nimmt Google diese Möglichkeit – schaltet aber die automatische Leak-Prüfung ab und lässt sich nicht mehr rückgängig machen.
Password Checkup gleicht Ihre gespeicherten Logins automatisch mit bekannten Leak-Listen ab und markiert schwache oder mehrfach genutzte Passwörter – auch bei ausgeschalteten Hinweisen.
Passkeys synchronisieren über Windows, macOS, Linux, ChromeOS, Android und iOS, geschützt durch eine PIN – doch Sicherheitsforschung aus 2026 fand echte Angriffe auf genau diesen Sync-Weg.
Teilen gibt es, aber nur eng (ausschließlich die Familiengruppe), und alles hängt letztlich an einem Google-Konto – was zugleich der Komfort und das Risiko ist.

KEY-STAT: 3 — neue Angriffsketten („Pass-ta-key"), veröffentlicht im August 2026, mit denen Schadsoftware auf einem kompromittierten Windows-PC Google-synchronisierte Passkeys übernimmt – eine davon extrahiert den Hauptschlüssel, ohne dass er danach rotiert werden kann

Wo Ihre Passwörter wirklich liegen

„Google Passwort-Manager" ist keine einzelne App – es ist ein Tresor, der durch drei Türen erreichbar ist. In Chrome steckt er im Browser und speichert und füllt Logins beim Tippen aus. Auf Android ist er ins Betriebssystem selbst verdrahtet, sodass auch andere Apps und Browser als Chrome über Googles Autofill-Dienst auf denselben Tresor zugreifen.

Im August 2025 fügte Google eine vierte Tür hinzu: eine eigenständige Google-Passwort-Manager-App im Play Store. Sie bringt keine neuen Funktionen – sie ist eine Abkürzung, die das alte Labyrinth aus Einstellungen → Google-Konto → Sicherheit überspringt und denselben Tresor direkt öffnet, sichtbarer im Wettbewerb mit dedizierten Apps wie Bitwarden und 1Password.

Es gibt außerdem passwords.google.com, eine schlichte Webseite, die auf jedem Gerät funktioniert – auch auf iPhones und iPads, wo der Google Passwort-Manager keine eigene native App besitzt.

Hinweis

Die eigenständige Android-App ist ehrlich praktisch, aber kosmetisch – gleicher Tresor, gleiche Verschlüsselung, gleiche Grenzen. Verwechseln Sie „hat ein eigenes App-Icon bekommen" nicht mit „hat neue Fähigkeiten bekommen".

Wie Ihre Passwörter tatsächlich verschlüsselt werden

Das ist der Teil, den die meisten Tests überspringen, und es ist die gesamte Sicherheitsfrage.

Standardmäßig verwendet Google Standardverschlüsselung. Chrome verschlüsselt Ihr Passwort mit einem gerätegebundenen Schlüssel, bevor es gesendet wird – aber Google hält auch eine Kopie dieses Schlüssels auf seinen Servern. Google kann Ihren Tresor also technisch entschlüsseln, wenn es dazu gezwungen wird oder um automatisierte Prüfungen dagegen laufen zu lassen.

Die geräteinterne Verschlüsselung ist die optionale Alternative. Schalten Sie sie ein, verlässt der Schlüssel nie Ihre Kontrolle; laut Googles eigener Chrome-Seite zum Passwortschutz werden Ihre Passwörter für Google selbst unlesbar. Eingerichtet wird sie über Chrome, die Android-App oder passwords.google.com und gilt dann für jedes Gerät, das in Ihrem Konto angemeldet ist.

Warnung

Die geräteinterne Verschlüsselung ist eine Einbahnstraße – laut Google lässt sie sich nicht wieder abschalten, einmal aktiviert – und sie gibt eine echte Funktion auf: Google kann keine automatischen Password-Checkup-Scans mehr gegen Ihre gespeicherten Logins laufen lassen, weil es sie nicht lesen kann, um sie mit Leak-Daten abzugleichen. Richten Sie eine solide Kontowiederherstellung ein (eine funktionierende Wiederherstellungs-E-Mail und Telefonnummer), bevor Sie das aktivieren, denn ein Zugangsverlust bedeutet auch den Verlust des Tresors.

Password Checkup: Was die Leak-Hinweise wirklich finden

Unter Standardverschlüsselung betreibt Google einen Hintergrunddienst namens Password Checkup, der Ihre gespeicherten Zugangsdaten laufend gegen Datenbanken offengelegter Leaks abgleicht – ohne dass Google dabei je Ihren tatsächlichen Benutzernamen oder Ihr Passwort sieht, gemäß seiner Erklärung zum verschlüsselten Abgleich. Er markiert außerdem schwache Passwörter (kurz, erratbar, Tastaturmuster) und mehrfach genutzte Passwörter über verschiedene Seiten hinweg.

Laut Googles Supportseite zu kompromittierten Passwörtern laufen die Prüfungen weiter, selbst wenn Sie die Benachrichtigungen ausgeschaltet haben – Sie werden nur nicht mehr angepingt. Das ist ein bemerkenswert starker Standard: Die meisten Menschen prüfen einen Passwort-Tresor nie manuell, und Google tut es laufend und kostenlos.

Tipp

Gehen Sie zu passwords.google.com → Einstellungen und bestätigen Sie, dass „Passwort-Warnungen" aktiviert sind. Führen Sie dann einmal einen manuellen Checkup aus – das ist der schnellste Weg, jeden mehrfach genutzten Login zu finden, dessen Änderung Sie vor sich herschieben.

Passkeys: Wie weit der Sync wirklich reicht

Google war die erste große Plattform, die Passkeys über mehr als ihr eigenes Ökosystem hinweg synchronisierte. Laut der Ankündigung von Chrome for Developers synchronisieren im Google Passwort-Manager gespeicherte Passkeys über Windows, macOS, Linux, ChromeOS und Android, geschützt durch eine PIN, die sie Ende-zu-Ende-verschlüsselt hält – „für niemanden zugänglich, nicht einmal für Google". Unterstützung für iOS und iPadOS folgte Anfang 2025.

Das ist echt weiter, als Apples oder Microsofts Passkey-Geschichte zum Start standen. Doch 2026 änderte das Bild. Sicherheitsforscher legten drei Angriffsketten offen – Pass-ta-key, Silver Pass-ta-key und Golden Pass-ta-key –, mit denen Schadsoftware, die bereits auf einem kompromittierten Windows-PC sitzt, ein vertrauenswürdiges Gerät vortäuschen, einen betrügerischen Prüfschlüssel registrieren oder den Hauptschlüssel extrahieren kann, der jeden synchronisierten Passkey verschlüsselt, laut Berichterstattung zur Offenlegung. Keine davon braucht Ihr Google-Passwort – nur bereits vorhandene Schadsoftware auf dem Rechner, dazu ein Gerät mit TPM.

Das Detail, das am meisten zählt: Sobald der Hauptschlüssel extrahiert ist, bietet Googles aktuelles Setup keine Möglichkeit, ihn zu rotieren oder zu widerrufen, sodass künftige, in dieses Konto synchronisierte Passkeys mit demselben gestohlenen Geheimnis angreifbar bleiben.

Die Schwachstellen

Ehre, wem Ehre gebührt – die Verschlüsselung ist solide, die Leak-Prüfung ist ehrlich nützlich, und der Passkey-Sync reicht weiter als bei den meisten Mitbewerbern. Die Lücken liegen anderswo.

Außerhalb von Chrome sind Sie auf sich gestellt. Es gibt keine native Google-Passwort-Manager-Erweiterung für Firefox oder Safari. Wenn Sie aus den Gründen, die unser Vergleich zum Browser-Datenschutz behandelt, bereits zu Firefox gewechselt sind, füllt Ihr Google-Tresor nichts mehr aus, und Sie kopieren von Hand aus passwords.google.com.

Teilen gibt es, aber nur innerhalb Ihrer Familiengruppe. Google führte das Teilen von Passwörtern 2024 ein, gedeckelt auf Ihre Google-Family-Link-Gruppe – ungefähr sechs Personen. Es gibt kein Gegenstück dazu, einen Login mit einer Kollegin oder einem Auftragnehmer zu teilen, und keine feingranularen Rechte dafür, was ein geteilter Eintrag erlaubt.

Alles hängt an einem Google-Konto. Jedes Passwort, jeder Passkey, jeder Leak-Hinweis ist eine Funktion davon, dass Sie angemeldet bleiben und dieses eine Konto kontrollieren. Das ist derselbe Kompromiss, der von der Apple-Seite her in unserem Beitrag zu Apple-Passwörtern beleuchtet wird – ein Ein-Ökosystem-Tresor ist nur so sicher wie das Konto, an dem er festgeschraubt ist.

Dieser letzte Punkt ist das eigentliche Risiko, nicht die Verschlüsselungsmathematik. Ein gephishtes Google-Passwort, eine per SIM-Swap gekaperte Wiederherstellungsnummer oder Schadsoftware wie die Pass-ta-key-Kette oben legt nicht nur eine Seite offen – sie legt den Tresor offen, der jede Seite hält.

Google Passwort-Manager vs. dedizierter Manager

Worauf es ankommt	Google Passwort-Manager	Dediziert (z. B. Bitwarden)	Selbst gehostet (Vaultwarden)
Kosten	Kostenlos	Gratis-Tarif oder ~10 $/Jahr	Kostenlos (Ihre Hardware)
Standardverschlüsselung	Google hält eine Schlüsselkopie	Standardmäßig Zero-Knowledge	Zero-Knowledge, Ihr Server
Optionaler Zero-Knowledge-Modus	Ja (geräteintern, einmalig, deaktiviert Checkup)	Standard	Standard
Leak-Überwachung	Ja (Password Checkup)	Ja	Manuell/Add-on
Passkey-Sync	Windows/Mac/Linux/ChromeOS/Android/iOS	Plattformübergreifend	Plattformübergreifend
Browserübergreifendes Autofill	Nur Chrome + Android	Überall nativ	Überall nativ
Teilen	Nur Familiengruppe (~6 Personen)	Einzelpersonen, Teams, Organisationen	Einzelpersonen, Teams
Sie besitzen die Daten	Nein (Google-Konto)	Nein (deren Cloud)	Ja (Ihr Server)

Die vollständige Aufschlüsselung der dedizierten Optionen – Bitwarden, 1Password, KeePassXC und Dashlane – steht in unserem Passwort-Manager-Vergleich. Googles Werkzeug gewinnt bei Null-Einrichtung und Leak-Standard; es verliert in dem Moment, in dem Teilen, browserübergreifende Nutzung oder volle Ökosystem-Unabhängigkeit zählen.

Für wen es passt, wer wechseln sollte

Wenn Sie eine Einzelperson sind, überwiegend auf Chrome und Android, mit gewöhnlichen Logins und ohne Bedarf, Zugangsdaten außerhalb Ihres Haushalts zu teilen, ist der Google Passwort-Manager ein berechtigt guter Standard – kostenlos, verschlüsselt, aktiv leak-geprüft und jetzt mit echtem plattformübergreifendem Passkey-Sync. Die geräteinterne Verschlüsselung einzuschalten und die Wiederherstellungsoptionen aktuell zu halten macht ihn noch stärker.

Wechseln Sie zu einem dedizierten oder selbst gehosteten Manager, wenn Sie über Firefox, Safari oder Nicht-Chrome-Browser hinweg leben, Logins außerhalb Ihrer Familiengruppe teilen müssen (Kolleginnen, Mitbewohner, ein kleines Team), oder wenn Ihnen lieber wäre, dass Ihr Zugangsdaten-Tresor nicht ein einziges Google-Konto von einer vollständigen Kompromittierung entfernt ist. Microsofts integrierter Manager läuft von der Windows-Seite her gegen fast dieselbe Wand: brauchbar innerhalb eines Ökosystems, schwach in dem Moment, in dem Sie es verlassen.

Was ich nutze, und warum

Mein Handy ist ein Android-Gerät, also sitzt der Google Passwort-Manager dort, ob ich ihn nutze oder nicht – er ist die Standard-Autofill-Quelle, sofern man ihn nicht abschaltet. Für alles, was zählt, verlasse ich mich nicht auf ihn.

In meinem Homelab betreibe ich Vaultwarden, den leichtgewichtigen quelloffenen Bitwarden-Server, in einem Container auf Proxmox. Er füllt in Chrome, Firefox und auf iOS identisch aus, lässt mich einzelne Logins mit der Familie teilen, ohne einen ganzen Tresor herauszugeben, und die verschlüsselte Datenbank liegt auf Hardware, die ich kontrolliere – nicht hinter einer einzigen Google-Anmeldung. Googles Werkzeug ist ein kompetenter Boden für Menschen, die sein Ökosystem nie verlassen. Ich baue mein gesamtes digitales Leben lieber nicht darauf, dass eine einzige Anmeldung für immer unkompromittiert bleibt.

Häufig gestellte Fragen

Ist der Google Passwort-Manager wirklich sicher zu nutzen?

Ja, für den gewöhnlichen Gebrauch – er verschlüsselt Ihre Passwörter, führt über Password Checkup laufende Leak-Prüfungen durch und unterstützt jetzt plattformübergreifenden Passkey-Sync. Seine echte Schwäche ist nicht die Verschlüsselung selbst, sondern die Tatsache, dass alles davon abhängt, dass ein Google-Konto sicher bleibt, und dass die Standardverschlüsselung Google Ihren Tresor technisch entschlüsseln lässt, sofern Sie nicht die geräteinterne Verschlüsselung aktivieren.

Wovor schützt die geräteinterne Verschlüsselung eigentlich?

Sie nimmt Google die eigene Fähigkeit, Ihre gespeicherten Passwörter zu entschlüsseln, sodass selbst eine behördliche Anfrage oder ein interner Leak bei Google sie nicht in lesbarer Form offenlegen könnte. Der Kompromiss: Sie deaktiviert den automatischen Password Checkup (Google kann nicht scannen, was es nicht lesen kann), und laut Google lässt sie sich nicht wieder abschalten, sodass solide Kontowiederherstellungsoptionen umso wichtiger werden, sobald sie aktiv ist.

Kann ich den Google Passwort-Manager auf Firefox oder einem iPhone nutzen?

Teilweise. Auf dem iPhone gibt es keine eigene App, aber passwords.google.com funktioniert in Safari, und Googles iOS-Apps können über die systemweiten Autofill-Einstellungen von iOS ein Ausfüllen anbieten. Auf Firefox und anderen Nicht-Chrome-Desktop-Browsern gibt es keine native Erweiterung, sodass Autofill praktisch nicht funktioniert – Sie kopieren Passwörter von Hand.

Google Passwort-Manager oder Bitwarden?

Wählen Sie Googles integrierten Manager, wenn Sie fest in Chrome und Android verankert sind, Null-Einrichtung wollen und mit dem Teilen nur innerhalb der Familie einverstanden sind. Wählen Sie Bitwarden (oder ein selbst gehostetes Vaultwarden), wenn Sie regelmäßig Browser oder Plattformen wechseln, Logins über Ihre Familiengruppe hinaus teilen müssen oder einen Tresor wollen, der nicht vollständig von der Sicherheit eines einzelnen Kontos abhängt – der vollständige Vergleich steht in unserem dedizierten Passwort-Manager-Ratgeber.