Reicht Firefox' Passwort-Manager?

Sie öffnen die Firefox-Einstellungen, sehen dort schon „Passwörter“, die brav Ihre Logins speichern, und fragen sich, wofür Sie überhaupt etwas anderes bezahlen sollten. Dann taucht eine Datenleck-Warnung für eine Seite auf, bei der Sie sich vor zwei Jahren eingeloggt haben, und die Frage wird konkreter: Macht das Tool, dem Sie standardmäßig vertrauen, seinen Job wirklich richtig?

Was Firefox’ Passwort-Manager wirklich macht

Firefox speichert Logins lokal, bietet Autofill, generiert neue Passwörter bei der Registrierung und synchronisiert alles geräteübergreifend über ein Firefox-Konto. Zusätzlich prüft er gespeicherte Logins gegen bekannte Datenlecks und markiert jedes Passwort, das Sie mehrfach verwendet haben — beides über Firefox’ eigenes Datenleck-Warnsystem, das Ihre tatsächlichen Passwörter niemals irgendwohin sendet, auch nicht an Mozilla.

Die Leck-Prüfung vergleicht Daten, keine Passwörter: Firefox kennt das Datum eines bekannten Lecks bei einer Website und vergleicht es mit dem Datum, an dem Sie Ihr Login dort gespeichert haben. Liegt Ihr gespeichertes Passwort vor dem Leck, erhalten Sie eine klare Warnung, es zu ändern — der Passwort-Inhalt selbst verlässt dafür nie Ihr Gerät. Firefox führt zusätzlich lokal eine verschlüsselte Liste Ihrer eigenen geleakten Passwörter und prüft sie gegen alles andere, was Sie gespeichert haben — ein einzelnes geleaktes Passwort wird so überall markiert, wo Sie es wiederverwendet haben, nicht nur auf der betroffenen Seite selbst.

Wo es Lücken gibt

Drei Lücken fallen schnell auf, sobald Sie das Tool täglich nutzen. Erstens enthalten generierte Passwörter standardmäßig keine Sonderzeichen — unproblematisch bei lockeren Anforderungen, aber ein Problem bei Seiten, die Symbole verlangen. Zweitens gibt es kein Passwort-Sharing: Ein Streaming- oder Versorger-Login mit der Familie zu teilen bedeutet manuelles Weitergeben statt einer Funktion im Manager selbst. Drittens gibt es keinen Platz für TOTP-Codes — für Zwei-Faktor-Logins brauchen Sie weiterhin eine separate Authenticator-App.

Ist das Sync-Modell wirklich sicher?

Ich nutze Firefox auf einem Desktop und zwei mobilen Geräten, eingebunden in mein eigenes Homelab-Netzwerk, synchronisiert über ein einziges Firefox-Konto. Das Beruhigende dabei ist das Verschlüsselungsmodell: Firefox verschlüsselt Ihre Daten auf dem Gerät, bevor sie überhaupt Mozillas Server erreichen, mit AES-256-GCM, wobei der Entschlüsselungs-Schlüssel selbst nie übertragen wird. Mozillas Server sehen ausschließlich Chiffretext.

Das bedeutet: Das eigentliche Risiko liegt nicht in der Sync-Übertragung, sondern in Ihrem Firefox-Konto-Passwort selbst. Wird es gephisht oder anderswo wiederverwendet, wo es später leakt, kann die betreffende Person sich in Ihr Sync-Konto einloggen und alles abgreifen. Firefox verschlüsselt Logins zusätzlich lokal auf jedem Gerät, sodass ein gestohlener Laptop allein noch nicht Ihren gesamten Tresor preisgibt.

Was ist mit biometrischer Entsperrung?

Hier liegt eine Lücke, die leicht missverstanden wird: Firefox am Desktop hat keinen eigenen „Tresor mit Fingerabdruck entsperren“-Bildschirm wie ein eigenständiger Manager. Was es stattdessen gibt, ist enger gefasst — wenn Sie ein gespeichertes Passwort anzeigen, kopieren oder bearbeiten wollen, kann Firefox den Anmeldedialog Ihres Betriebssystems abfragen (Windows Hello, Touch ID oder Ihr Geräte-Passwort), pro Aktion, nicht als dauerhafte Tresorsperre. Auf dem Smartphone ist es vollständiger: Firefox für iOS und Android unterstützen beide Face ID, Touch ID oder Fingerabdruck, um direkt den Zugriff auf gespeicherte Logins abzusichern.

Firefox’ Manager vs. ein dedizierter Manager

Wenn Sie über das oben Genannte hinausgewachsen sind, ist der nächste Schritt ein Vergleich dedizierter Passwort-Manager — Tools wie Bitwarden oder 1Password bringen browserübergreifende Unterstützung, Passwort-Sharing und TOTP-Ablage mit. Wir haben dasselbe ehrliche Bewertungsformat auch auf Microsofts integrierten Manager und Operas angewendet — das Muster wiederholt sich bei allen: solide für eine Ein-Browser-Routine, begrenzt, sobald Sie Sharing, 2FA-Ablage oder browserübergreifenden Zugriff brauchen. Googles eigener integrierter Manager hat dieselbe Art von Lücken.

Wann Firefox’ Manager wirklich ausreicht

Nutzen Sie Firefox als einzigen Browser auf allen Ihren Geräten, müssen Sie keine Logins mit anderen teilen und verlassen Sie sich nicht auf TOTP-Codes neben Ihren Passwörtern — dann erledigt Firefox’ Manager genau den Job, für den er gedacht ist: speichern, Autofill, synchronisieren, Leck-Warnungen, ohne Abo.

Wann Sie wechseln sollten

Wechseln Sie, wenn eines davon zutrifft: Sie nutzen im Alltag mehr als einen Browser, Sie müssen ein Login mit Familie oder einem Team teilen, Sie wollen 2FA-Codes direkt neben dem Passwort ablegen, oder Sie wollen eine biometrische Tresor-Entsperrung statt eines Pro-Aktion-Dialogs des Betriebssystems. In diesem Fall deckt bereits die kostenlose Stufe eines dedizierten Managers wie Bitwarden den größten Teil der Lücke ab.

Der praktische Auslöser ist meist der zweite Browser, nicht ein Sicherheitsschreck. Firefox’ Manager ist an Firefox gebunden — er folgt Ihnen nicht in Chrome, Safari oder einen Arbeitslaptop mit einem anderen Standardbrowser. Sobald Sie ein Passwort manuell neu eintippen, weil die Extension dort fehlt, ist das das Signal, dass die integrierte Lösung nicht mehr zu Ihrem tatsächlichen Nutzungsverhalten passt — unabhängig davon, ob sie weiterhin sicher ist.

FAQ