Lange Jahre war ich großer Fan der freien Software KeePass, zuletzt in der Variante XC. Doch in der letzten Zeit nervte mich das Programm immer mehr. KeePass hat keiner Synchronisation via Cloud eingebaut. Dies kann man zwar extern per Nextcloud machen, aber das führt häufig zu Konflikten und ist gerade auf dem Smartphone einfach nur frickelig.
Moderne Passwortmanager bringen fast alle eine Synchronisationsfunktion mit, damit werden Konflikte von vorne herein ausgeschlossen. Außerdem kann man sie z.B. auf dem Smartphone mit Biometrie entsperren, gleichzeitig aber auf fremden Geräten einen YubiKey erzwingt. Das ist sehr komfortabel und trotzdem sicher.
Bei KeePass störte mich auch sehr, dass es zig verschiedene Versionen von verschiedenen Entwicklern, mit teils verschiedenen Dateiformaten gab. So gab es für Android eine App, die überhaupt nichts mit den Entwicklern von KeePassXC zu tun hatte und entsprechend aussah.
Zuerst wollte ich das rein kommerzielle closed-source Programm 1Password einsetzen, weil es im c’t Test sehr gut abgeschnitten hat und eine außerordentlich gute Benutzeroberfläche hat. Leider ist es mit 36 $ pro Jahr alles andere als billig und man ist damit an die Cloud des Herstellers gebunden. Außerdem ist 1Password als größer kommerzieller Anbieter einer solchen Lösung natürlich massiven Angriffen ausgesetzt.
Bitwarden hat dagegen den Vorteil, dass man es selbst hosten kann, aber trotzdem nicht auf die hohe Sicherheit mit YubiKeys verzichten muss. TOTP wird in der kostenlosen Version unterstützt, wenn man WebAuthn oder Fido benutzen will, muss man für 10€ die Premium-Version kaufen.
Zusätzlich bietet Bitwarden mit der „Send“ Funktion eine mit FE*X vergleichbare Lösung zur Generierung von Einmal-Links an, mit denen man schnell Dateien oder Texte an Freunde schicken kann.
Durch das Hosten auf einem eigenen Server ist man unabhängig vom Hersteller und kann auch nicht so leicht durch Angriffe auf die zentrale Infrastruktur beeinträchtigt werden.
Im Vergleich zu KeePass ist nicht nur die Synchronisation wesentlich besser, sondern auch die Browserintegration. Es gibt für alle Betriebssysteme und Browser Erweiterungen aus einer Hand, die direkten Zugriff auf die Passwortdatenbank und die Send-Funktion erlauben.