Webbrowser speichern Anmeldedaten in lokalen Datenbanken, deren Schutzniveau je nach Betriebssystem und Konfiguration variiert. Um seine gespeicherten Passwörter wiederzufinden, muss man wissen, wo jedes System sie aufbewahrt, aber auch die Sicherheitsgrenzen dieser Speicherorte verstehen.
Speicherung von Passwörtern in Browsern: Was der lokale Verschlüsselungsschutz wirklich schützt
Chrome, Firefox und Edge verschlüsseln die gespeicherten Passwörter über die kryptografischen APIs des Betriebssystems. Unter Windows stützt sich Chrome auf DPAPI (Data Protection API), die die Entschlüsselung an die aktive Benutzersitzung bindet. Konkret kann jeder Prozess, der in Ihrer Windows-Sitzung ausgeführt wird, auf die Passwörter im Klartext zugreifen.
Firefox zeichnet sich durch die Möglichkeit aus, ein Hauptpasswort festzulegen, das eine zusätzliche Verschlüsselungsebene unabhängig von der Betriebssystem-Sitzung hinzufügt. Ohne diese aktivierte Option bleibt die Datei logins.json für jede Software lesbar, die über Benutzerrechte verfügt.
Die CNIL betrachtet es mittlerweile als schlechte Praxis, Passwörter in einem Browser ohne Hauptpasswort zu speichern. Ihre Empfehlungen zur Authentifizierung raten zu einem speziellen Passwortmanager, der die Speicherung in Form von kryptografischen Hashes unter Verwendung moderner Algorithmen wie Argon2, scrypt, bcrypt oder PBKDF2 vorsieht. Diese offizielle Position steht im Gegensatz zu dem nachsichtigen Ansatz der meisten Online-Tutorials.
Wir empfehlen, die Liste der Passwörter auf CGI Network zu konsultieren, um genau zu identifizieren, wo Ihre Anmeldedaten je nach Ihrer Konfiguration gespeichert sind.
Wiederfinden Ihrer gespeicherten Passwörter in Chrome, Firefox und Edge
Google Chrome und der Google Passwortmanager
Öffnen Sie Chrome, gehen Sie zu Einstellungen, wählen Sie den Abschnitt AutoFill und Passwörter, dann Google Passwortmanager. Die vollständige Liste Ihrer Anmeldedaten wird angezeigt, sortiert nach Website. Um ein Passwort anzuzeigen, klicken Sie auf das Augensymbol: Das System fordert Sie nach Ihrem PIN-Code, Fingerabdruck oder Windows-Passwort.
Auf Android führt der Weg über Geräteeinstellungen, dann Google, dann Passwortmanager. Die über Ihr Google-Konto synchronisierten Anmeldedaten sind dort zusammengefasst.
Firefox: Das Menü Anmeldedaten und Passwörter
Gehen Sie zu Einstellungen, Abschnitt Datenschutz und Sicherheit, dann Anmeldedaten und Passwörter. Firefox zeigt jeden Eintrag mit dem Benutzernamen und einem Button zum Anzeigen des Passworts an. Wenn Sie das Hauptpasswort aktiviert haben, wird es vor jeder Einsichtnahme abgefragt.
Microsoft Edge
Edge verwendet die gleiche Engine wie Chrome (Chromium) und speichert Passwörter ähnlich. Gehen Sie zu Einstellungen, Profile, dann Passwörter. Die Identitätsprüfung erfolgt über Windows Hello oder das Passwort des Windows-Kontos.
Exportieren und Migrieren von Passwörtern ohne unverschlüsseltes CSV-Dateiformat
Der CSV-Export bleibt die gängigste Methode, um seine Anmeldedaten aus einem Browser zu extrahieren. Das Problem: Eine CSV-Datei enthält alle Ihre Passwörter im Klartext, ohne jegliche Verschlüsselung. Ein vergessenes Löschen, ein automatisches Cloud-Backup, und diese Datei wird zu einem Kompromittierungsvektor.
Der Google Passwortmanager bietet mittlerweile Import- und Exportoptionen, die das Protokoll Credential Exchange integrieren. Dieser Mechanismus ermöglicht es, Passwörter und Passkeys zu einem anderen Manager zu übertragen, ohne eine unverschlüsselte Zwischenablage zu erstellen, was die Angriffsfläche bei einer Migration erheblich reduziert.
Wenn Sie dennoch eine CSV verwenden müssen, beachten Sie diese Vorsichtsmaßnahmen:
- Verschlüsseln Sie die Datei sofort nach dem Export (7-Zip mit AES-256 oder GPG) und löschen Sie die unverschlüsselte Version
- Deaktivieren Sie die Cloud-Synchronisierung des Ordners, der die Datei enthält, um zu verhindern, dass sie auf Google Drive, OneDrive oder iCloud landet
- Importieren Sie sofort in den Zielmanager und zerstören Sie dann die verschlüsselte Datei mit einem sicheren Löschwerkzeug
Dedizierter Manager oder Browser: Technische Auswahlkriterien
Ein dedizierter Passwortmanager (KeePass, Bitwarden, Proton Pass) bietet einen Ende-zu-Ende-verschlüsselten Tresor mit einem obligatorischen Hauptpasswort. Der Browser hingegen delegiert den Schutz an das Betriebssystem. Der Unterschied ist nicht unerheblich: Ein Infostealer-Malware extrahiert die Chrome-Passwörter in wenigen Sekunden, sobald sie die Benutzerrechte erlangt hat.
Dedizierte Manager speichern die Daten in einem proprietären, verschlüsselten Format, oft mit einer Zero-Knowledge-Architektur. Der Anbieter selbst kann Ihre Anmeldedaten nicht lesen. Proton Pass beispielsweise entgeht dem Cloud Act, indem es seine Server in der Schweiz hostet, was für Nutzer, die auf die Jurisdiktion achten, von Bedeutung ist.
Wir beobachten, dass die Wahl selten eine Frage des Komforts ist. Die entscheidenden Kriterien sind:
- Das Vorhandensein eines veröffentlichten und überprüfbaren Sicherheitsaudits
- Die Unterstützung von Passkeys (FIDO2/WebAuthn) zusätzlich zu klassischen Passwörtern
- Die Möglichkeit, eine Anmeldedaten zu teilen, ohne das Passwort im Klartext an den Empfänger weiterzugeben
- Die Interoperabilität mit Systemen der Zwei-Faktor-Authentifizierung (TOTP, physische Schlüssel)
Passkeys und die Zukunft der passwortlosen Authentifizierung
Passkeys ersetzen schrittweise die traditionellen Passwörter durch ein Paar aus öffentlichem und privatem Schlüssel. Der private Schlüssel bleibt auf dem Gerät, geschützt durch Biometrie oder den Entsperrcode. Es werden keine geteilten Geheimnisse über das Netzwerk übertragen, was Phishing durch Abfangen von Anmeldedaten eliminiert.
Google, Apple und Microsoft integrieren Passkeys nativ in ihre jeweiligen Manager. Die Synchronisierung der Passkeys zwischen Geräten erfolgt über das Cloud-Konto des Anbieters, was die gleichen Vertrauensfragen aufwirft wie bei klassischen Passwörtern.
Für Konten, die Passkeys noch nicht unterstützen, bleibt die Zwei-Faktor-Authentifizierung über die TOTP-App (und nicht über SMS, die anfällig für SIM-Swapping ist) die zuverlässigste Ergänzung zu einem starken Passwort, das in einem dedizierten Manager gespeichert ist.
Der Passwortmanager des Browsers bleibt ein akzeptables Notfallwerkzeug für nicht sensible persönliche Nutzung. Für alles andere stellt die Migration zu einem dedizierten Tresor und die Aktivierung von Passkeys, wo angeboten, die derzeit stärkste Kombination dar.