Credential Manager

Ein Credential Manager ist ein Programm, das Zugangsdaten speichert und verwaltet. Zugangsdaten — auf Englisch « credentials » — sind Informationen, mit denen man sich gegenüber einem System ausweist: meist ein Benutzername und ein Passwort, manchmal auch ein digitales Zertifikat oder ein Token, also ein automatisch erzeugter Einmalcode. Der Credential Manager bewahrt diese Daten verschlüsselt auf, sodass man sie nicht selbst im Kopf behalten oder irgendwo aufschreiben muss. Er kann die Daten außerdem automatisch einsetzen, wenn eine Website oder ein Programm nach einer Anmeldung verlangt. Das klingt simpel, ist aber der Kern eines wichtigen Sicherheitsprinzips: Wer sich keine Passwörter merken muss, kann für jedes Konto ein anderes, langes und zufälliges Passwort nutzen.

Warum schwache Passwörter ein strukturelles Problem sind

Menschen sind schlecht darin, viele verschiedene Passwörter zu erfinden und zu behalten. Studien zeigen regelmäßig, dass « 123456 » und « password » zu den weltweit häufigsten Passwörtern gehören. Das ist kein Versagen einzelner Nutzer, sondern ein vorhersehbares Ergebnis: Wer Dutzende Konten hat, greift irgendwann auf einfache oder wiederverwendete Passwörter zurück.

Genau darin liegt das Risiko. Wird ein einziges dieser Konten gehackt, können Angreifer dasselbe Passwort bei anderen Diensten ausprobieren — dieser Angriff heißt Credential Stuffing. Ein Credential Manager löst dieses Problem an der Wurzel, weil er beliebig komplexe Passwörter erzeugen und merken kann. Der Nutzer muss sich nur noch ein einziges Masterpasswort erinnern, das den Tresor öffnet.

Wie ein Credential Manager Daten schützt

Die gespeicherten Zugangsdaten liegen in einer verschlüsselten Datenbank, dem sogenannten Tresor oder Vault. Verschlüsselung bedeutet hier, dass die Daten ohne den richtigen Schlüssel — das Masterpasswort — als sinnloser Zeichensalat aussehen, selbst wenn jemand die Datei stiehlt. Gängige Implementierungen nutzen dafür den AES-256-Standard, der auch von Behörden und Banken eingesetzt wird.

Viele Credential Manager bieten zusätzlich eine Zwei-Faktor-Authentifizierung an. Das bedeutet: Selbst wenn jemand das Masterpasswort kennt, braucht er einen zweiten Beweis — zum Beispiel einen Code aus einer App auf dem Smartphone. Manche Systeme, besonders in Unternehmen, speichern den Vault nicht lokal auf dem Gerät, sondern in der Cloud, sodass man von überall darauf zugreifen kann, ohne Daten zu verlieren.

Für Software-Entwickler und Unternehmen gibt es eine spezialisierte Variante: den Secrets Manager. Er verwaltet keine menschlichen Passwörter, sondern sogenannte API-Schlüssel und Datenbankpasswörter, die Programme untereinander austauschen. Hier geht es nicht um Komfort, sondern darum, dass Zugangsdaten nicht offen im Programmcode stehen und so versehentlich öffentlich werden.

Credential Manager im Alltag und in den Nachrichten

Wer ein iPhone nutzt, kennt Credential Manager bereits: iCloud-Schlüsselbund ist Apples eingebaute Lösung. Windows hat mit dem « Credential Manager » eine eigene Komponente, die Passwörter für Netzwerke und Webseiten speichert. Browser wie Chrome oder Firefox bringen ebenfalls einfache Passwortmanager mit. Eigenständige Programme wie Bitwarden, 1Password oder KeePass bieten mehr Kontrolle und funktionieren geräteübergreifend.

In Wirtschafts- und Tech-Nachrichten taucht der Begriff meist im Zusammenhang mit Datenpannen auf. Wenn ein Unternehmen meldet, dass Zugangsdaten von Mitarbeitern gestohlen wurden, lautet die Standardempfehlung danach fast immer: Passwortmanager einführen und Zwei-Faktor-Authentifizierung aktivieren. Auch in der Debatte um Passkeys — ein neueres Verfahren, das Passwörter ganz ersetzen soll — spielt der Credential Manager eine zentrale Rolle, weil er auch diese neuen Schlüssel verwaltet.

Ein häufiger Irrtum ist, dass ein Credential Manager selbst ein attraktives Angriffsziel sei und deshalb unsicherer als kein Manager. Das Gegenteil stimmt: Wer keinen nutzt, hat typischerweise schwache, wiederverwendete Passwörter — und ist damit ein viel leichteres Ziel als jemand, dessen Vault mit einem starken Masterpasswort und Zwei-Faktor-Absicherung geschützt ist.