Wie sicher ist der Google Passwortmanager? Kurz gesagt: sicherer als ein Zettel unter der Tastatur und als dasselbe Passwort für alles, aber nur so sicher wie dein Google-Konto. Der Knackpunkt liegt in der Verschlüsselung, die standardmäßig nicht Ende-zu-Ende arbeitet, und in ein paar Schaltern, die du selbst umlegen musst. Hier steht, was unter der Haube passiert, wo die Schwachstellen liegen und wie sich Google gegen Norton, Bitwarden und Co. schlägt.
Was ist der Google Passwortmanager und wie funktioniert er?
Der Google Passwortmanager ist der in Chrome und Android eingebaute Speicher für Zugangsdaten. Er hängt an deinem Google-Konto, synchronisiert Passwörter und Passkeys zwischen deinen Geräten und füllt Login-Formulare automatisch aus.
Du musst nichts installieren. Sobald du in Chrome oder auf einem Android-Gerät mit deinem Google-Konto angemeldet bist und die Synchronisierung läuft, fragt der Browser beim ersten Login auf einer Seite, ob er das Passwort speichern soll. Ab dann landen die Daten im Konto und tauchen auf jedem Gerät auf, auf dem du mit demselben Konto eingeloggt bist. Verwalten lässt sich alles in den Chrome-Einstellungen, in der Android-Einstellungs-App und im Browser unter passwords.google.com.
Der Funktionsumfang ist für einen Gratis-Manager ordentlich:
- Passwortgenerator: Chrome schlägt bei der Registrierung ein zufälliges, langes Passwort vor und speichert es direkt.
- Passwortprüfung: Der Manager meldet Passwörter, die in bekannten Datenlecks aufgetaucht sind, und warnt vor schwachen oder mehrfach verwendeten Kennwörtern.
- Autofill: Auf Android füllt der Dienst auch in Apps aus, nicht nur im Browser.
- Notizen und Teilen: Zu Einträgen lassen sich Notizen speichern, und Passwörter können mit Mitgliedern einer Google-Familiengruppe geteilt werden.
- Passkeys: Neben klassischen Passwörtern verwaltet der Manager auch die passwortlosen Anmeldeschlüssel, dazu weiter unten mehr.
Was fehlt, merkst du schnell, sobald du außerhalb des Google-Universums unterwegs bist. Firefox, Safari oder ein separater Desktop-Client werden nicht nativ unterstützt; auf dem iPhone funktioniert der Manager über Chrome und als Autofill-Anbieter. Und strukturierte Einträge für Kreditkarten, Ausweise oder Software-Lizenzen, wie sie spezialisierte Tools bieten, gibt es nur eingeschränkt.
Sicherheit im Check: Wie sicher ist der Google Passwortmanager wirklich?
Die Infrastruktur ist solide, das größte Risiko sitzt eine Ebene höher: Wer dein Google-Konto übernimmt, kommt an alle gespeicherten Passwörter. Die Sicherheit des Managers steht und fällt deshalb mit der Absicherung des Kontos.
Das ist kein Google-spezifisches Problem. Jeder Passwortmanager ist ein Single Point of Failure, also eine einzelne Stelle, deren Ausfall alles mitreißt. Bei Bitwarden oder 1Password ist das das Master-Passwort, bei Google das Konto-Passwort plus die zweite Anmeldestufe. Der Unterschied: Das Google-Konto nutzt du für Mail, YouTube, Fotos und Android. Es wird häufiger angegriffen, und Phishing-Seiten für Google-Logins sind Massenware.
Aus dieser Sicht ergeben sich drei Angriffswege:
- Kontoübernahme. Phishing, ein wiederverwendetes Passwort aus einem fremden Leak oder ein abgefangener SMS-Code. Gegen diesen Weg hilft die Bestätigung in zwei Schritten, idealerweise mit Passkey oder Hardware-Sicherheitsschlüssel statt SMS.
- Malware auf dem Gerät. Sogenannte Infostealer sind Schadprogramme, die gezielt Browserdaten, Cookies und gespeicherte Passwörter abgreifen. Google hat Chrome unter Windows deswegen um zusätzliche Schutzschichten ergänzt, ein kompromittierter Rechner bleibt aber ein kompromittierter Rechner. Ein aktueller Virenscanner und ein gepflegtes System sind Pflicht; unseren Eindruck vom kostenlosen Avast-Virenschutz haben wir separat aufgeschrieben.
- Physischer Zugriff. Wer dein entsperrtes Notebook in die Finger bekommt, kann Chrome öffnen. Deshalb gibt es die Option, vor dem Ausfüllen oder Anzeigen von Passwörtern die Bildschirmsperre, den Fingerabdruck oder Windows Hello abzufragen. Schalte sie ein.
Was Google gut macht: Die Passwortprüfung arbeitet so, dass Google beim Abgleich mit Leak-Datenbanken nicht die Klartext-Passwörter sieht. Das Autofill füllt nur auf der Domain aus, für die das Passwort gespeichert wurde. Eine täuschend echte Phishing-Seite unter anderer Adresse bekommt also nichts automatisch eingetragen. Das ist ein echter Sicherheitsgewinn gegenüber dem Abtippen aus dem Gedächtnis.
Zero-Knowledge und Verschlüsselung bei Google: Ein tiefer Einblick
Standardmäßig verschlüsselt Google deine Passwörter, verwaltet die Schlüssel aber selbst. Das ist kein Zero-Knowledge-Modell. Erst mit der optionalen geräteinternen Verschlüsselung liegt der Schlüssel nur bei dir.
Zero-Knowledge heißt: Der Anbieter speichert deine Daten, kann sie aber nicht entschlüsseln, weil der Schlüssel nie seine Server erreicht. Bitwarden, 1Password, Proton Pass und Apples Passwörter-App arbeiten nach diesem Prinzip. Die Daten werden auf deinem Gerät ver- und entschlüsselt, auf dem Server liegt nur ein unlesbarer Block.
Beim Google Passwortmanager sieht die Standardeinstellung anders aus. Die Passwörter sind beim Transport und auf den Servern verschlüsselt, der Schlüssel ist aber an dein Google-Konto gebunden und wird von Google verwaltet. Technisch könnte Google die Daten also entschlüsseln. Für den Alltag hat das einen Vorteil: Vergisst du dein Passwort, kommst du über die Kontowiederherstellung wieder an deine Daten. Für Datenschutz-Puristen ist es ein Minuspunkt.
| Modell | Wer hat den Schlüssel? | Kann der Anbieter mitlesen? | Wiederherstellung |
|---|---|---|---|
| Google Standard | Google, gebunden ans Konto | technisch ja | über das Google-Konto |
| Google mit geräteinterner Verschlüsselung | du, über Gerätesperre oder Konto-Passwort | nein | nur mit deinem Schlüssel |
| Zero-Knowledge-Manager (z. B. Bitwarden) | du, über das Master-Passwort | nein | nur mit Master-Passwort oder Notfallzugang |
Die Lücke lässt sich schließen. In den Einstellungen des Passwortmanagers findest du die Option für die geräteinterne Verschlüsselung (On-Device Encryption). Ist sie aktiv, wird der Schlüssel aus der Bildschirmsperre deines Geräts oder aus deinem Google-Passwort abgeleitet, und Google sieht nur noch verschlüsselte Daten. Laut Google lässt sich diese Einstellung nach dem Aktivieren nicht wieder rückgängig machen. Der Haken: Verlierst du alle Geräte und den Zugriff auf den Schlüssel, sind die Passwörter weg.
Noch ein Punkt, den viele übersehen: Der CSV-Export. Chrome kann alle Passwörter als Datei exportieren, etwa für den Umzug zu einem anderen Manager. Diese Datei ist unverschlüsselt. Lösche sie nach dem Import sofort und lass sie nicht im Download-Ordner oder in der Cloud liegen.
Passkeys und Android Password Manager Integration 2026
Passkeys sind der größte Sicherheitsgewinn im Google-Ökosystem. Sie ersetzen das Passwort durch ein Schlüsselpaar, das sich nicht abphishen lässt, und der Google Passwortmanager speichert und synchronisiert sie geräteübergreifend.
Ein Passkey funktioniert nach dem Prinzip der Public-Key-Kryptografie. Der Dienst, bei dem du dich anmeldest, bekommt nur den öffentlichen Schlüssel. Der private Schlüssel bleibt in deinem Passwortmanager und wird per Fingerabdruck, Gesichtserkennung oder Geräte-PIN freigegeben. Weil der Passkey an die Domain gebunden ist, funktioniert er auf einer gefälschten Seite schlicht nicht. Ein Datenleck beim Anbieter verrät ebenfalls nichts, denn ein öffentlicher Schlüssel nützt Angreifern nichts.
Passkeys, die im Google Passwortmanager liegen, sind laut Google Ende-zu-Ende verschlüsselt. Hier gilt das Zero-Knowledge-Prinzip also schon ohne Zusatzschalter. Das Google-Konto selbst kannst du ebenfalls per Passkey absichern, was den oben beschriebenen Angriffsweg über Phishing deutlich erschwert.
Auf Android ist der Google Passwortmanager der voreingestellte Autofill-Dienst. Seit Android 14 gibt es mit dem Credential Manager eine Systemschnittstelle, über die auch Drittanbieter wie Bitwarden oder 1Password Passkeys und Passwörter gleichberechtigt anbieten können. Du bist also nicht gezwungen, bei Google zu bleiben, nur weil du ein Android-Handy nutzt. Prüfe in den Einstellungen unter Passwörter und Autofill, welcher Dienst bei dir aktiv ist. Zwei parallel aktive Dienste führen sonst zu doppelten Vorschlägen und gelegentlich zu Einträgen am falschen Ort.
Gerade für Gaming-Konten lohnt sich der Umstieg. Accounts bei Steam, Epic oder GOG sind beliebte Ziele, weil sich gestohlene Spielebibliotheken und Ingame-Items verkaufen lassen. Welche Plattform wofür taugt, steht in unserem Vergleich Steam, Epic und GOG. Wo ein Passkey angeboten wird, nimm ihn; wo nicht, nutz ein generiertes Passwort plus zweiten Faktor.
Vergleich: Google vs. Norton und andere kostenlose Passwort-Manager
Für die meisten Nutzer im Google-Ökosystem reicht der Google Passwortmanager, sofern das Konto gut abgesichert ist. Wer Zero-Knowledge ab Werk, mehrere Browser oder plattformunabhängige Nutzung will, ist bei Bitwarden oder einem anderen spezialisierten Manager besser aufgehoben.
| Manager | Kostenlos nutzbar | Zero-Knowledge ab Werk | Plattformen | Besonderheit |
|---|---|---|---|---|
| Google Passwortmanager | ja | nein, optional zuschaltbar | Chrome, Android, iOS über Chrome | tief ins System integriert |
| Norton Password Manager | ja | ja | Browser-Erweiterungen, Mobil-Apps | Teil des Norton-Ökosystems |
| Bitwarden | ja, mit Bezahlstufe | ja | alle großen Browser und Systeme | Open Source |
| KeePassXC | ja | lokal, kein Server | Windows, macOS, Linux | Datenbank liegt bei dir |
| Apple Passwörter | ja | ja | Apple-Geräte, Windows über iCloud | nur im Apple-Umfeld rund |
Norton bietet seinen Passwortmanager kostenlos an und verschlüsselt den Tresor nach dem Zero-Knowledge-Prinzip. Der Vorteil gegenüber Google liegt also in der Verschlüsselung ab Werk. Im Gegenzug hängst du an einem Konto bei einem weiteren Anbieter, und die Integration ins System ist weniger tief als bei Google auf Android. Auch hier gilt: Das Norton-Konto braucht ein eigenes starkes Passwort und einen zweiten Faktor.
Bitwarden ist für Technik-Interessierte meist die stärkste Gratis-Alternative. Der Code ist offen einsehbar, und der Dienst läuft auf so gut wie jeder Plattform. KeePassXC geht noch einen Schritt weiter: Die verschlüsselte Datenbank liegt lokal, ein Cloud-Konto gibt es nicht. Synchronisieren musst du selbst, etwa über einen eigenen Cloud-Ordner.
Unabhängig vom Manager gilt: Hält das Betriebssystem nicht Schritt, hilft der beste Tresor wenig. Sicherheitsupdates für System und Browser haben Vorrang vor allem anderen. Wer zusätzlich Treiber aktuell halten will, findet in unserem Check zu kostenloser Treiber-Update-Software eine Einordnung der gängigen Tools.
Häufige Fragen (FAQ)
Häufige Fragen
- Wie sicher ist der Google Passwortmanager gegen Hackerangriffe?
- Die Infrastruktur von Google ist gut geschützt. Das größte Risiko ist die Übernahme deines Google-Kontos, etwa per Phishing, und Schadsoftware auf deinem Gerät. Mit Bestätigung in zwei Schritten per Passkey oder Sicherheitsschlüssel und einem gepflegten System sinkt dieses Risiko deutlich.
- Kann Google meine gespeicherten Passwörter im Klartext lesen?
- In der Standardeinstellung verwaltet Google die Schlüssel und könnte die Daten technisch entschlüsseln. Aktivierst du die geräteinterne Verschlüsselung, liegt der Schlüssel nur bei dir, und Google sieht nur verschlüsselte Daten. Passkeys sind laut Google ohnehin Ende-zu-Ende verschlüsselt.
- Was passiert mit meinen Passwörtern, wenn mein Google-Konto gehackt wird?
- Wer dein Konto übernimmt, kann auf die gespeicherten Passwörter zugreifen. Ändere dann sofort das Konto-Passwort, melde fremde Geräte ab und ändere die Passwörter wichtiger Dienste. Vorbeugend schützt dich eine Bestätigung in zwei Schritten.
- Bietet der Google Passwortmanager eine Zwei-Faktor-Authentifizierung?
- Der Schutz läuft über das Google-Konto: Dort aktivierst du die Bestätigung in zwei Schritten, idealerweise mit Passkey oder Hardware-Schlüssel statt SMS. Zusätzlich kannst du festlegen, dass vor dem Ausfüllen die Bildschirmsperre oder der Fingerabdruck abgefragt wird.
- Ist die Nutzung des Google Passwortmanagers auf Android sicher?
- Ja, wenn das Gerät eine Bildschirmsperre hat, aktuelle Updates bekommt und das Google-Konto gut abgesichert ist. Der Manager füllt nur auf der passenden Domain oder App aus und unterstützt Passkeys. Seit Android 14 kannst du alternativ auch andere Manager als Standarddienst nutzen.
- Wie unterscheidet sich Google von kostenpflichtigen Managern wie Norton?
- Norton und spezialisierte Manager wie Bitwarden arbeiten ab Werk nach dem Zero-Knowledge-Prinzip und laufen in mehr Browsern. Google punktet mit der Integration in Chrome und Android, verwaltet die Schlüssel aber standardmäßig selbst, bis du die geräteinterne Verschlüsselung aktivierst.