Wie funktioniert der Passwort Tresor?
Der Tresor speichert Ihre Passwörter ausschließlich verschlüsselt in Ihrem Browser. Die Verschlüsselung erfolgt mit AES-256-GCM, wobei der Schlüssel aus Ihrem Master-Passwort durch PBKDF2-SHA256 mit 600.000 Runden abgeleitet wird. Der Schlüssel und das Master-Passwort werden niemals gespeichert. Jede Änderung erzeugt einen neuen Zufallswert für die Verschlüsselung, wodurch zusätzliche Sicherheit geschaffen wird.
Die Passwortgenerierung nutzt echte Zufallswerte aus dem Browser und stellt sicher, dass jedes erzeugte Passwort mindestens eine Zeichenart enthält. Ihr Tresor bleibt komplett lokal – kein Server erhält Daten, kein Konto wird benötigt.
Grenzen und Risiken der lokalen Speicherung
Die Sicherheit hängt von Ihrem Gerät und Ihrer Master-Passwort-Wahl ab. Malware, unsichere Browser-Erweiterungen oder Keylogger können das System kompromittieren. Einmal entsperrt, sind die Passwörter im Klartext für die Dauer der Sitzung zugänglich. Vergessen Sie Ihr Master-Passwort, ist der Zugang zu allen Daten unwiederbringlich verloren – eine Wiederherstellung ist nicht möglich.
Es gibt keine automatische Synchronisierung: Um Ihren Tresor zwischen Geräten zu übertragen, exportieren Sie die verschlüsselte Datei und importieren sie manuell. Bei Löschung oder Beschädigung des Browser-Speichers ist der Tresor verloren, sofern kein Backup existiert.
Wann ist ein lokaler Passwort Tresor sinnvoll?
Der lokale Tresor eignet sich für Nutzer, die keine Cloud-Lösung wünschen und Wert auf Privatsphäre legen. Besonders praktisch ist er beim Organisieren von Logins oder für temporäre sichere Speicherung, etwa beim Wechsel von Konten. Für sehr sensible Zugänge – z.B. Bankkonten – empfiehlt sich eine zusätzliche Absicherung: regelmäßige Backups, starkes Master-Passwort und sichere Aufbewahrung der Backup-Datei.
Die Verschlüsselung und die lokale Speicherung bieten Schutz vor externen Angriffen, doch sind Sie selbst für Gerätesicherheit und Backup verantwortlich.
The generator
Passwords are generated from crypto.getRandomValues, not Math.random, and use rejection sampling so no character is more likely than another. At least one character from each selected set is guaranteed, then the whole thing is shuffled so the guaranteed characters are not always at the front.
Twenty characters of mixed case, digits and symbols is around 130 bits — far beyond anything that can be brute-forced.
Häufig gestellte Fragen
Was passiert, wenn ich mein Master-Passwort vergesse?
Der Tresor lässt sich dann nicht mehr öffnen; es gibt keine Möglichkeit zur Wiederherstellung. Ihre Passwörter bleiben sicher verschlüsselt, aber sind unwiederbringlich verloren. Ein Backup hilft nur, wenn Sie das Master-Passwort kennen.
Wie kann ich meinen Tresor auf ein anderes Gerät übertragen?
Exportieren Sie die verschlüsselte Tresor-Datei über die Backup-Funktion und importieren Sie sie in den neuen Browser. Beide Geräte müssen kompatible Browser und HTTPS nutzen, damit die Verschlüsselung funktioniert.
Ist es sicher, die Backup-Datei in der Cloud oder per E-Mail zu speichern?
Die Backup-Datei ist stark verschlüsselt, solange Ihr Master-Passwort ausreichend sicher ist. Dennoch sollte sie an einem geschützten Ort liegen – bei unsicherem Passwort kann ein Angreifer die Datei leichter entschlüsseln.
Warum dauert das Entsperren des Tresors einige Sekunden?
Die Schlüsselableitung mit PBKDF2-SHA256 und 600.000 Runden ist absichtlich langsam, um brute-force Angriffe zu erschweren. Dadurch entsteht beim Entsperren eine kleine Wartezeit.
Kann ich den Tresor für besonders sensible Konten wie Online-Banking nutzen?
Für hochsensible Konten empfiehlt sich ein sehr starkes Master-Passwort und regelmäßige Backups. Zusätzlich sollten Sie Ihr Gerät vor Schadsoftware und unerwünschten Erweiterungen schützen.
Was passiert, wenn mein Browser-Speicher gelöscht oder beschädigt wird?
Der Tresor ist dann verloren, sofern kein Backup existiert. Regelmäßige Sicherungen sind unerlässlich, um im Notfall Ihre Passwörter wiederherstellen zu können.
Probleme oder Ideen zu diesem Werkzeug? Mitteilung senden