Zero-Knowledge-Passwort-Manager erklärt

Jede Landingpage eines Passwort-Managers sagt es. „Zero-Knowledge-Architektur." „Militärtaugliche Verschlüsselung." „Wir können Ihre Daten niemals sehen." Keine dieser Aussagen verrät Ihnen, ob das stimmt — oder was es tatsächlich bedeuten würde, wenn die Server des Anbieters morgen kompromittiert würden.

Was „Zero-Knowledge" tatsächlich bedeutet

Entkleidet man es der Marketing-Sprache, bedeutet Zero-Knowledge eine konkrete Sache: Das Unternehmen, das die Server betreibt, die Ihren Tresor synchronisieren, besitzt niemals den Schlüssel, um ihn zu entschlüsseln. Ihre Daten werden verschlüsselt, bevor sie Ihr Gerät verlassen, der Server speichert nur diesen Chiffretext, und die Entschlüsselung läuft wieder auf Ihrem Gerät, wenn Sie die App entsperren. Laut Bitwardens eigener Erklärung von Ende-zu-Ende-Verschlüsselung und Zero-Knowledge kann das Unternehmen bestätigen, dass Sie Ihr Master-Passwort kennen, ohne jemals zu erfahren, wie es lautet oder was es schützt.

Die Architektur darunter: Clientseitige Schlüsselableitung

Ihr Master-Passwort reist nie im Klartext zu einem Server. Stattdessen lässt Ihr Gerät es durch eine Schlüsselableitungsfunktion (KDF) laufen — einen absichtlich langsamen, rechenintensiven Prozess, der ein Passwort in einen Verschlüsselungsschlüssel verwandelt und das Brute-Forcing dieses Schlüssels für einen Angreifer weit teurer macht, als nur das Passwort zu raten.

Zwei KDFs dominieren den Bereich der Passwort-Manager:

• PBKDF2-HMAC-SHA256 — wiederholt eine Hash-Operation tausende Male. Bitwardens Dokumentation setzt den aktuellen Standard auf 600.000 Iterationen, im Einklang mit der OWASP-Empfehlung, für Konten, die noch auf diesem Algorithmus laufen.
• Argon2id — eine neuere, speicherintensive Funktion, die einen Angreifer zusätzlich zur Rechenzeit auch RAM pro Versuch kosten lässt. Bitwardens Standard-Argon2id-Parameter sind 32 MiB Speicher, 6 Iterationen und 4 parallele Threads, laut derselben Dokumentation.

1Password geht hier einen anderen Weg: Ihr Account-Passwort wird lokal mit einem separaten, gerätegenerierten 128-Bit Secret Key kombiniert, und beide zusammen leiten den Verschlüsselungsschlüssel ab — das heißt, selbst ein perfektes Erraten allein Ihres Account-Passworts reicht nicht aus. Laut 1Passwords eigener Beschreibung dieses Modells wird der Secret Key auf Ihrem Gerät erzeugt und niemals übertragen. Die Authentifizierung selbst läuft über das Secure-Remote-Password-Protokoll (SRP), das beweist, dass Sie Ihre Zugangsdaten kennen, ohne sie jemals über das Netzwerk zu senden.

Was Anbieter tatsächlich offenlegen

Der ehrliche Weg, Anbieter zu vergleichen, ist nicht, dem Wort „Zero-Knowledge" zu vertrauen — sondern zu vergleichen, was jeder tatsächlich über seine eigene Architektur veröffentlicht.

Anbieter	KDF genannt	Veröffentlichte Parameter	Öffentliches Audit durch Dritte
Bitwarden	Argon2id (Standard) oder PBKDF2-SHA256	Argon2id: 32 MiB Speicher / 6 Iterationen / 4 Threads; PBKDF2: mindestens 600.000 Iterationen (Quelle)	Ja, von den Sicherheitsseiten verlinkt
1Password	Account-Passwort + 128-Bit Secret Key, kombiniert via SRP	Secret Key wird auf dem Gerät erzeugt, nie übertragen (Quelle)	Ja
NordPass	Argon2 (Schlüsselableitung) + XChaCha20 (Tresor-Verschlüsselung)	Algorithmus genannt; genaue Iterations-/Speicherparameter werden auf der öffentlichen Feature-Seite nicht aufgeschlüsselt	Ja — Cure53-Audits 2020, 2022 und 2024

Beachten Sie die Lücke in der letzten Zeile: Einen Algorithmus zu nennen („wir nutzen Argon2") ist nicht dasselbe Offenlegungsniveau wie die exakten Parameter zu veröffentlichen („6 Iterationen, 32 MiB"). Das Erste ist eine Marketing-Tatsache; das Zweite ist etwas, das ein Sicherheitsforscher tatsächlich zu verifizieren versuchen könnte.

Was ein Server-Breach offenlegen würde — und was nicht

Das ist das Detail, das die meisten Landingpages komplett überspringen. Ein echtes Zero-Knowledge-Design gibt bei einem serverseitigen Breach trotzdem Metadaten preis, auch wenn es den Tresorinhalt schützt:

• Wäre weiterhin exponiert: Ihre Account-E-Mail-Adresse, ungefähr wie viele Einträge in Ihrem Tresor liegen, Geräte- und Login-Zeitstempel, und der verschlüsselte Chiffretext-Block selbst (ohne Ihren Schlüssel unlesbar).
• Wäre nicht exponiert: die Klartext-Passwörter, Notizen, Kartennummern oder jeglicher andere Tresorinhalt — vorausgesetzt, KDF und Verschlüsselung wurden korrekt implementiert und Ihr Master-Passwort wurde nicht anderswo wiederverwendet, wo es separat geleakt wurde.

Eine Checkliste, um die Behauptung jedes Anbieters zu prüfen

Prüfen Sie damit die Sicherheitsseite jedes Passwort-Managers, bevor Sie dem Begriff „Zero-Knowledge" vertrauen:

1. Nennt er eine konkrete KDF? („Argon2id" oder „PBKDF2" — nicht nur „Verschlüsselung".)
2. Veröffentlicht er die Parameter? (Iterationsanzahl, Speicherbedarf oder Thread-Anzahl — nicht nur den Algorithmus-Namen.)
3. Gibt es ein öffentliches Audit durch Dritte, das Sie tatsächlich lesen können? (Nicht nur „wir wurden auditiert" — ein verlinkter Bericht, oder mindestens ein genannter Auditor und ein Jahr.)
4. Sagt die Dokumentation, was ein Server-Breach offenlegen würde und was nicht? (Wenn sie nur darüber spricht, was geschützt ist, und nie darüber, welche Metadaten leaken, ist das ein unvollständiges Bild, keine Unehrlichkeit — aber eben unvollständig.)
5. Ist der Client Open-Source, oder wurde er unabhängig überprüft? (Open-Source-Clients, wie sie Bitwarden vs. 1Password vs. KeePassXC vs. Dashlane behandelt, lassen jeden verifizieren, dass die Verschlüsselung wirklich so funktioniert, wie der Anbieter es behauptet.)

Ein Anbieter, der alle fünf Punkte konkret beantwortet — so wie es Bitwardens eigene KDF-Dokumentation und 1Passwords SRP-Erklärung tun — hat sich den Begriff verdient. Ein Anbieter, der keinen davon beantwortet und nur „Zero-Knowledge" auf einer Marketing-Seite wiederholt, hat Ihnen noch nichts gezeigt. Für einen detaillierten Blick darauf, wo das Googles integrierte Lösung konkret einordnet, siehe Ist der Google Passwort-Manager sicher?

FAQ

Ist Zero-Knowledge-Verschlüsselung wirklich sicher?

Korrekt implementiert ist es eine starke Architektur — der Anbieter kann Ihren Tresor tatsächlich nicht einsehen, selbst wenn er dazu gezwungen würde, weil er den Schlüssel niemals besitzt. Die Sicherheit hängt weiterhin von der Stärke Ihres Master-Passworts und den konkreten KDF-Parametern ab, die der Anbieter veröffentlicht; die Architektur allein garantiert keine starke Implementierung.

Kann ein Passwort-Manager-Unternehmen meine Passwörter sehen?

Bei einem korrekt implementierten Zero-Knowledge-Design nein — Ver- und Entschlüsselung laufen auf Ihrem Gerät, und der Server speichert nur Chiffretext, den er nicht entschlüsseln kann. Das Unternehmen sieht weiterhin Metadaten wie Ihre Account-E-Mail-Adresse und ungefähr, wie viele Einträge Sie speichern.

Was passiert, wenn ein Zero-Knowledge-Passwort-Manager gehackt wird?

Ein Angreifer, der den Server kompromittiert, erhält verschlüsselte Tresor-Blöcke und Account-Metadaten, keine Klartext-Passwörter — vorausgesetzt, KDF und Verschlüsselung wurden wie dokumentiert implementiert. Er müsste weiterhin das Master-Passwort jedes einzelnen Nutzers gegen die veröffentlichte KDF brute-forcen, um einen individuellen Tresor zu entschlüsseln, was absichtlich langsam und teuer gestaltet ist.

Ist Bitwarden wirklich Zero-Knowledge?

Bitwarden veröffentlicht seine KDF-Wahl und -Parameter direkt — standardmäßig Argon2id (32 MiB Speicher, 6 Iterationen, 4 Threads) oder, für ältere Konten, PBKDF2-SHA256 mit mindestens 600.000 Iterationen — was genau das Offenlegungsniveau ist, nach dem die obige Checkliste sucht, statt nur der unverifizierbare Begriff selbst.