Passwortmanager ohne Cloud: KeePassXC, pass und das Tresorformat
- Rubrik
- Software & Werkzeuge
- Veröffentlicht am
- 27. Juni 2026
- Lesezeit
- 6 Min. Lesezeit
Ein Passwortmanager, der seine Datenbank lokal hält, verlagert die Verantwortung: Sie kontrollieren die Datei, Sie kümmern sich um die Sicherung. Für viele Anwender ist das der bessere Handel.
KeePassXC und das KDBX-Format
KeePassXC speichert alle Zugangsdaten in einer einzigen verschlüsselten Datei im Format KDBX 4. Die Verschlüsselung erfolgt mit AES-256 oder ChaCha20, die Ableitung des Hauptschlüssels standardmäßig über Argon2. Die Parameter lassen sich in den Datenbankeinstellungen anpassen: Ein höherer Speicherbedarf bei der Schlüsselableitung bremst einen Angreifer erheblich, kostet Sie beim Öffnen aber ein bis zwei Sekunden. Eine Datenbank mit 400 Einträgen bleibt dabei unter einem Megabyte.
pass für die Kommandozeile
pass verfolgt einen anderen Ansatz: ein Eintrag, eine mit GnuPG verschlüsselte Datei, abgelegt in einer Verzeichnisstruktur unter ~/.password-store. Der Vorteil ist die Nachvollziehbarkeit. Sie sehen die Ordner, Sie können das Verzeichnis mit Git versionieren, und die Wiederherstellung gelingt mit Standardwerkzeugen. Der Nachteil ist ebenso deutlich: Die Struktur der Einträge liegt als Dateiname offen.
Wer die Verschlüsselung selbst in der Hand hält, hält auch den Schlüsselverlust selbst in der Hand.
Die Sicherung ist der eigentliche Punkt
Eine lokale Datenbank ohne Sicherung ist ein Totalverlust mit Ankündigung. Vier Regeln haben sich bewährt:
- die Tresordatei in die reguläre Datensicherung aufnehmen, mindestens an zwei Orten;
- das Hauptpasswort zusätzlich analog notieren und physisch sicher verwahren;
- die Wiederherstellung einmal jährlich tatsächlich durchspielen;
- eine Schlüsseldatei getrennt vom Tresor aufbewahren, falls Sie eine verwenden.
Beide Programme können Einträge als CSV exportieren, was einen Wechsel ermöglicht. Exportieren Sie unverschlüsselte Dateien niemals auf einen Datenträger, der das Gerät verlässt, und löschen Sie sie unmittelbar nach dem Import wieder. Ein Export im Download-Ordner ist ein Passworttresor ohne Tresor.
