Im August 2025 präsentierte der Sicherheitsforscher Marek Tóth auf der DEF CON 33 eine Lücke, die praktisch jeden gängigen Passwortmanager betraf, darunter Apple Passwörter, Proton Pass und Bitwarden. Die Meldung sorgte für Aufsehen, weil sie zeigte, dass selbst geprüfte, quelloffene Tools nicht automatisch fehlerfrei sind. Für Nutzer in Österreich stellt sich seither eine praktische Frage: Reicht das in iOS und macOS eingebaute Apple-Tool, oder lohnt sich der Wechsel zu einem dedizierten Dienst wie Proton Pass oder Bitwarden? Dieser Vergleich stützt sich auf offizielle Preislisten, veröffentlichte Audit-Berichte und die aktuelle CVE-Datenbank, um diese Frage mit Zahlen statt Bauchgefühl zu beantworten.
Der Vergleich ist deshalb interessant, weil er drei sehr unterschiedliche Philosophien nebeneinanderstellt. Apple setzt auf geschlossene Integration und Bequemlichkeit, Proton auf Datenschutz mit Sitz in der Schweiz, und Bitwarden auf radikale Offenheit bis hin zum eigenen Server. Wer sich zwischen den dreien entscheidet, wählt also nicht nur ein Werkzeug, sondern auch ein Sicherheitsmodell und einen Rechtsraum für die eigenen Zugangsdaten.
Apple Passwörter, Proton Pass und Bitwarden im Überblick
Die drei Kandidaten kommen aus völlig unterschiedlichen Richtungen. Apple Passwörter ist die eigenständige App, die Apple mit iOS 18, iPadOS 18, macOS Sequoia und visionOS 2 eingeführt hat. Sie ersetzt die alte iCloud-Schlüsselbund-Oberfläche und läuft im Hintergrund über das bestehende iCloud-Konto, ganz ohne separate Anmeldung oder App-Store-Download. Wer ein iPhone besitzt, hat den Passwortmanager also bereits installiert, oft ohne es zu merken.
Genau diese Selbstverständlichkeit ist Apples größtes Verkaufsargument und zugleich sein größter blinder Fleck. Weil die App nie aktiv ausgewählt wird, denken viele Nutzer nie bewusst über Alternativen nach, obwohl der Funktionsumfang gegenüber dedizierten Passwortmanagern spürbar schmaler ausfällt. Wer sich nie mit dem Thema beschäftigt, bleibt mangels Vergleich häufig einfach bei der vorinstallierten Lösung, unabhängig davon, ob sie für die eigenen Anforderungen tatsächlich ausreicht.
Proton Pass kommt vom Schweizer Unternehmen Proton AG, das mit Proton Mail bekannt wurde. Der Dienst ging im Juni 2023 in den Vollbetrieb und positioniert sich klar als Datenschutz-Tool: Der Quellcode liegt unter der GNU GPLv3 offen, und Proton lässt die App regelmäßig von externen Firmen prüfen. Bitwarden wiederum ist der Veteran unter den dreien. Die Software startete bereits 2016, ist ebenfalls quelloffen und lässt sich sogar komplett selbst hosten, ein Feature, das weder Apple noch Proton in dieser Form anbieten.
Wichtig für die Einordnung: Alle drei verschlüsseln Zugangsdaten mit AES-256 und arbeiten nach dem Zero-Knowledge-Prinzip, der Anbieter selbst kann die gespeicherten Passwörter also nicht einsehen. Der Unterschied liegt weniger in der Grundverschlüsselung als in Transparenz, Funktionsumfang und Plattformoffenheit, und genau darauf geht dieser Vergleich im Detail ein.
Preislich decken die drei Dienste zudem unterschiedliche Erwartungshaltungen ab. Apple Passwörter kostet nichts extra, weil es Teil des Kaufpreises jedes Apple-Geräts ist. Bitwarden hat sich seit 2016 als günstige Alternative zu älteren Platzhirschen wie LastPass etabliert und dieses Image trotz der Preiserhöhung 2026 weitgehend gehalten. Proton Pass wiederum bündelt seinen Passwortmanager gerne mit den übrigen Proton-Diensten wie Mail, VPN und Drive, was den Dienst für bereits bestehende Proton-Kunden besonders attraktiv macht, für Neueinsteiger aber ein zusätzliches Ökosystem voraussetzt.
Sicherheitsarchitektur: Verschlüsselung, Zero-Knowledge und offener Quellcode
Bitwarden beschreibt sein Sicherheitsmodell im öffentlich einsehbaren Security-Whitepaper: Ver- und Entschlüsselung finden ausschließlich auf dem Endgerät statt, der Master-Schlüssel wird per PBKDF2 oder Argon2 abgeleitet und verlässt das Gerät nie im Klartext. Das komplette Client- und weite Teile des Server-Codes liegen offen einsehbar auf GitHub, jeder kann den Code mitlesen und Fehler melden.
Proton Pass verschlüsselt Vault-Einträge mit AES-256-GCM und hat den Quellcode im Juli 2023 unter der GPLv3 freigegeben, zeitgleich mit dem ersten unabhängigen Sicherheitsaudit. Damit zieht Proton technisch fast mit Bitwarden gleich, wenn auch mit deutlich kürzerer Historie. Apple Passwörter unterscheidet sich hier grundlegend: Die App baut auf dem länger etablierten iCloud-Schlüsselbund auf, der Zugangsdaten Ende-zu-Ende verschlüsselt zwischen iPhone, iPad und Mac synchronisiert. Apple veröffentlicht in seinem Plattform-Sicherheitsleitfaden die grundlegenden Kryptografie-Verfahren, der App-Quellcode selbst bleibt jedoch proprietär und für Außenstehende nicht einsehbar.
Das ist keine Nebensächlichkeit. Wer die Sicherheit eines Tools nur behaupten, aber nicht durch fremde Augen bestätigen lassen kann, verlangt von Nutzern einen Vertrauensvorschuss. Bitwarden und Proton Pass verzichten auf diesen Vorschuss, indem sie ihren Code offenlegen und ihn regelmäßig extern testen lassen. Apple verlässt sich stattdessen auf die Reputation seines geschlossenen Ökosystems, in dem Hardware, Betriebssystem und Cloud-Dienst aus einer Hand stammen.
Beim Master-Passwort unterscheiden sich die Ansätze im Detail. Bitwarden und Proton Pass verlangen von Nutzern ein einziges, starkes Master-Passwort, aus dem lokal alle weiteren Schlüssel abgeleitet werden, ein verlorenes Master-Passwort bedeutet bei beiden Diensten ohne Wiederherstellungscode den Totalverlust des Tresors. Apple Passwörter umgeht dieses Risiko teilweise, weil die Freigabe über Face ID, Touch ID oder den Geräte-Code läuft und im Hintergrund an das iCloud-Konto gekoppelt ist. Das senkt die Einstiegshürde, verschiebt das Vertrauen aber komplett auf die Apple-ID-Sicherheit und deren Wiederherstellungsprozess.
Unabhängige Audits: Cure53, ETH Zürich und die Prüfgeschichte
Bitwarden lässt sich laut eigenen Angaben seit 2018 jährlich extern prüfen. Den Auftakt machte im Oktober 2018 die Berliner Sicherheitsfirma Cure53 mit einer Code- und Kryptografie-Analyse. Es folgten 2020 und 2021 Netzwerk- und Penetrationstests durch Insight Risk Consulting sowie 2022 gleich zwei weitere Cure53-Runden im Mai und Oktober, dokumentiert auf Wikipedia. Diese Kadenz ist unter Passwortmanagern eher die Ausnahme als die Regel.
Proton Pass holte sich sein erstes Cure53-Audit im Juli 2023, kurz vor dem Vollstart des Diensts, und ließ Mobil-Apps, Browser-Erweiterungen und die API gleichzeitig prüfen. Auch hier war das Ergebnis Grundlage für die Entscheidung, den Quellcode zu öffnen. Für Apple Passwörter existiert dagegen kein öffentlich einsehbarer, von einer unabhängigen Sicherheitsfirma unterzeichneter Auditbericht. Apple prüft seine Systeme intern und über sein Bug-Bounty-Programm, veröffentlicht aber keine vergleichbaren Cure53-artigen Berichte für die Passwörter-App.
Der Unterschied wirkt sich direkt auf das aus, was Nutzer nachprüfen können. Bei Bitwarden lässt sich anhand der veröffentlichten Cure53-Berichte nachlesen, welche konkreten Schwachstellen gefunden und wie sie behoben wurden, inklusive technischer Details zu betroffenen Funktionen. Bei Apple Passwörter bleibt nur der grundsätzliche Sicherheitsleitfaden des Konzerns, der allgemeine Prinzipien beschreibt, aber keine produktspezifischen Prüfprotokolle für die Passwörter-App offenlegt. Für sicherheitsbewusste Nutzer und IT-Abteilungen macht das einen greifbaren Unterschied bei der Risikobewertung.
Eine akademische Untersuchung aus dem Jahr 2026 relativiert das Bild allerdings etwas. Forscherinnen und Forscher der ETH Zürich und der Università della Svizzera italiana testeten Cloud-basierte Passwortmanager unter der Annahme eines vollständig kompromittierten Servers, also einem Angreifer, der die Infrastruktur des Anbieters selbst kontrolliert. Das Ergebnis: 12 Angriffswege funktionierten gegen Bitwarden, 7 gegen LastPass und 6 gegen Dashlane. Proton Pass und Apple Passwörter waren in dieser konkreten Studie nicht Teil der Testreihe. Die Zahlen zeigen aber, dass auch ein regelmäßig geprüftes Zero-Knowledge-System unter extremen Bedrohungsmodellen theoretische Schwachstellen aufweisen kann, ein Detail, das in Marketing-Texten selten auftaucht.
Für die Bewertung heißt das nicht, dass Bitwarden unsicherer ist als LastPass oder Dashlane, im Gegenteil: Die Studie zeigt gerade deshalb mehr Angriffswege gegen Bitwarden, weil Forscher wegen der offenen Codebasis überhaupt so detailliert prüfen konnten. Bei geschlossenen Systemen wie Apple Passwörter fehlt diese Art von öffentlich nachvollziehbarer Forschung fast vollständig, was die Zahl der bekannten theoretischen Angriffe künstlich niedrig hält, ohne dass die tatsächliche Angriffsfläche automatisch kleiner wäre.
Funktionsvergleich in der Tabelle
Die folgende Tabelle fasst die wichtigsten technischen und funktionalen Unterschiede zusammen, basierend auf den aktuellen Produktseiten und Sicherheitsdokumentationen der drei Anbieter.
| Merkmal | Apple Passwörter | Proton Pass | Bitwarden |
|---|---|---|---|
| Verschlüsselung | AES-256, Ende-zu-Ende | AES-256-GCM, Ende-zu-Ende | AES-256, PBKDF2/Argon2 |
| Zero-Knowledge | Ja | Ja | Ja |
| Quelloffen | Nein | Ja (GPLv3) | Ja |
| Unabhängiges Audit | Nicht öffentlich | Cure53 (2023) | Cure53 (seit 2018, jährlich) |
| Passkeys | Ja | Ja, auch im Gratis-Tarif | Ja, auch im Gratis-Tarif |
| 2FA/TOTP integriert | Ja | Ja | Nur in Premium-Tarifen |
| E-Mail-Aliase | Über Hide My Email (iCloud+) | 10 gratis, unbegrenzt in Plus | Nein, nur via Add-on-Dienste |
| Sichere Freigabe | Passwortgruppen (iOS 17+) | Vault- und Link-Freigabe | 1 Kontakt gratis, unbegrenzt ab Families |
| Dark-Web-Monitoring | Kompromittierungs-Warnungen | Nur in Pass Plus | Nur in Premium |
| Selbst-Hosting | Nein | Nein | Ja |
| Browser-Erweiterungen | Safari, iCloud-Erweiterung für Chrome/Edge | Chrome, Edge, Firefox, Brave, Safari | Chrome, Firefox, Safari, Edge, Brave |
| Betriebssysteme | iOS, iPadOS, macOS, visionOS, eingeschränkt Windows | Windows, macOS, Linux, iOS, Android | Windows, macOS, Linux, iOS, Android |
| Gratis-Version | Ja, an Apple-ID gebunden | Ja, unbegrenzte Logins | Ja, unbegrenzte Logins |
Auffällig ist, wie nah Proton Pass und Bitwarden beieinanderliegen. Der größte funktionale Unterschied zwischen den beiden liegt bei den E-Mail-Aliasen, die Proton über die 2022 übernommene Plattform SimpleLogin direkt einbaut, während Bitwarden-Nutzer für ähnliche Funktionen einen externen Dienst anbinden müssen. Apple Passwörter punktet dafür mit der nahtlosen Systemintegration, verliert aber bei allem, was über reines Speichern und Ausfüllen hinausgeht.
Bei der Freigabe von Zugangsdaten zeigt sich ein weiterer praktischer Unterschied. Apples Passwortgruppen funktionieren nur zwischen Geräten, die alle an dieselbe Familienfreigabe gekoppelt sind, ein externer Kollege lässt sich damit nicht einbinden. Proton Pass und Bitwarden erlauben dagegen die Freigabe einzelner Einträge oder ganzer Tresore an beliebige Konten desselben Diensts, unabhängig von einer Familienbindung, was für Vereine, kleine Teams oder WG-Mitbewohner ohne gemeinsamen Apple-Account praktikabler ist.
Preise 2026 im Detail: Gratis, Einzeltarif und Familie
Bei den Kosten liegt der größte sichtbare Unterschied. Apple Passwörter verlangt keinen eigenen Aufpreis, die App ist Teil jeder Apple-ID. Wer mehr iCloud-Speicher für andere Zwecke braucht, zahlt dafür separat über iCloud+, das hat mit dem Passwortmanager selbst aber nichts zu tun. Proton Pass und Bitwarden verkaufen dagegen klassische Freemium-Modelle mit klar aufgeschlüsselten Tarifen, die beide Anbieter auf ihren offiziellen Preisseiten veröffentlichen.
Bitwarden hat seine Business-Tarife über die Jahre mehrfach angepasst, zuletzt kritisierte PC Magazine den Preis der Business-Stufe als vergleichsweise hoch. Proton wiederum senkte den Einstiegspreis für Pass Plus im Rahmen einer Preisreform von zuvor 3,99 auf 1,99 US-Dollar im Monat bei jährlicher Zahlung, wie der offizielle Proton-Blog dokumentiert, ein deutliches Signal, dass der Wettbewerb um zahlende Privatkunden im Passwortmanager-Markt intensiver geworden ist.
| Tarif | Apple Passwörter | Proton Pass | Bitwarden |
|---|---|---|---|
| Gratis-Stufe | Voller Funktionsumfang, an Apple-ID gebunden | Unbegrenzte Logins, 10 Aliase | Unbegrenzte Logins, 1 Freigabe-Kontakt |
| Einzelperson (Plus/Premium) | Kein eigener Tarif | 1,99 US-Dollar/Monat (jährlich abgerechnet) | 1,65 US-Dollar/Monat (19,80 US-Dollar/Jahr) |
| Familie | Kostenlose Passwortgruppen | 6,99 US-Dollar/Monat (83,88 US-Dollar/Jahr, bis 6 Konten) | 3,99 US-Dollar/Monat (47,88 US-Dollar/Jahr, bis 6 Nutzer) |
| Team/Business | Nicht verfügbar | Ab 7,99 US-Dollar pro Nutzer/Monat (Enterprise) | 4 US-Dollar pro Nutzer/Monat (Teams) |
| Enterprise | Nicht verfügbar | Individuelle Angebote | 6 US-Dollar pro Nutzer/Monat |
Auffällig: Bitwarden hat sein Einzelpersonen-Abo Anfang 2026 von rund 10 auf knapp 20 US-Dollar pro Jahr angehoben, bleibt damit aber weiterhin günstiger als Proton Pass Plus, dessen Jahrespreis bei etwa 23,88 US-Dollar liegt. Beide Anbieter zeigen ihre Preise während der Kaufabwicklung regional in Euro an, konkrete offizielle Euro-Beträge für Österreich veröffentlichen beide Unternehmen aber nicht dauerhaft auf ihren englischsprachigen Preisseiten, weshalb hier bewusst die verifizierten US-Dollar-Beträge stehen. Für ein iPhone-only-Haushalt ohne Zusatzfunktionen bleibt Apple Passwörter dagegen schlicht gratis, ein Preis, den weder Proton noch Bitwarden unterbieten können.
Beim Familientarif zeigt sich der größte Preisunterschied. Proton Pass Family kostet mit 83,88 US-Dollar im Jahr für bis zu sechs Konten fast doppelt so viel wie Bitwarden Families für 47,88 US-Dollar, deckt dafür aber auch sechs vollwertige Pass-Plus-Konten inklusive Alias-Funktion ab, während Bitwarden Families sechs Premium-Konten ohne die Alias-Extras liefert. Wer die Kosten pro Kopf rechnet, landet bei Proton bei knapp 14 US-Dollar pro Person und Jahr, bei Bitwarden bei rund 8 US-Dollar, ein Unterschied, der sich bei größeren Haushalten schnell summiert.
Plattform- und Browser-Unterstützung
Wer nur Apple-Geräte besitzt, merkt vom Plattform-Problem nichts. Apple Passwörter läuft nativ auf iOS 18, iPadOS 18, macOS Sequoia und visionOS 2 und lässt sich über eine iCloud-Erweiterung auch in Chrome und Edge unter Windows nutzen. Sobald aber Linux, ein Android-Zweitgerät oder ein Firmen-Windows-Notebook ins Spiel kommen, wird es unbequem, offizielle Linux-Unterstützung fehlt komplett. Auch die Windows-Variante ist eingeschränkt, weil sie stets die parallele Installation von iCloud für Windows voraussetzt, ein zusätzlicher Schritt, den Nutzer von Proton Pass oder Bitwarden nicht kennen.
Proton Pass und Bitwarden lösen das deutlich konsequenter. Beide bieten eigenständige Apps für Windows, macOS und Linux sowie Erweiterungen für Chrome, Firefox, Edge, Brave und Safari. Auf Mobilgeräten deckt Proton Pass iOS ab Version 16 und Android ab 8.1 ab, Bitwarden ist ähnlich breit aufgestellt und zusätzlich über eine offizielle Kommandozeilen-Schnittstelle nutzbar, die sich für Automatisierung und Skripte eignet. Für gemischte Haushalte oder Unternehmen mit unterschiedlicher Hardware ist das ein handfester praktischer Vorteil gegenüber der Apple-Lösung.
Auch bei ChromeOS zeigt sich der Unterschied: Proton Pass läuft dort über die Android-App-Unterstützung, Bitwarden über die Chrome-Erweiterung, Apple Passwörter bietet für ChromeOS-Geräte dagegen keinen offiziellen Weg. Für Schulen und Behörden in Österreich, die zunehmend auf günstige Chromebooks setzen, kann das allein schon ein Ausschlusskriterium für Apples Lösung sein, unabhängig von allen anderen Funktionsfragen.
Testergebnisse und Bewertungen: Was Fachmedien 2025/2026 berichten
Unabhängige Testberichte zeichnen ein differenziertes Bild. PCMag zeichnete Proton Pass im Jänner 2024 mit dem Prädikat “Best for no-frills” aus und lobte die solide Verwaltung trotz eines im Vergleich zu Konkurrenten reduzierten Funktionsumfangs, eine Einschätzung, die laut Wikipedia-Dokumentation bis in aktuelle Vergleichsartikel hinein zitiert wird. TechRadar kürte Proton Pass 2024 zum besten Passwortmanager für Datenschutz und begründete das mit der konsequenten Sicherheitsarbeit trotz vergleichsweise junger Marktpräsenz.
Bitwarden sammelte über Jahre ähnlich positive Bewertungen: US News & World Report kürte den Dienst 2021 zum “Best Password Manager”, CNET empfahl ihn als beste Gratis-App für geräteübergreifende Synchronisierung, und Wirecutter zeichnete Bitwarden in seinem Passwortmanager-Vergleich als Preis-Leistungs-Sieger aus. PC Magazine kritisierte dagegen den Preis der Business-Tarife als zu hoch, und Tom’s Guide bemängelte, dass einzelne Funktionen weniger intuitiv gestaltet seien als bei Wettbewerbern. Die deutsche Süddeutsche Zeitung nannte Bitwarden 2025 in ihrem Überblick über selbst gehostete Passwortmanager als Lösung mit voller Kontrolle über den eigenen Server.
Auch Lifehacker empfahl Bitwarden bereits früh als Werkzeug für die meisten Nutzer, eine Einschätzung, die angesichts der seither eingeführten Konkurrenz durch Proton Pass bemerkenswert stabil geblieben ist. Zusammengenommen ergibt sich aus den Urteilen von US News, CNET, Wirecutter, Lifehacker, PCMag und TechRadar ein Muster: Bitwarden gewinnt regelmäßig beim Preis-Leistungs-Verhältnis, Proton Pass beim Datenschutz und bei der Benutzeroberfläche, während Kritik an beiden vor allem den jeweiligen Business-Bereich betrifft.
| Quelle | Produkt | Urteil |
|---|---|---|
| PCMag (Jänner 2024) | Proton Pass | “Best for no-frills”, solide trotz schlankem Funktionsumfang |
| TechRadar (2024) | Proton Pass | Bester Passwortmanager für Datenschutz |
| US News & World Report (2021) | Bitwarden | “Best Password Manager” im ersten Vergleichstest |
| Wirecutter | Bitwarden | Preis-Leistungs-Sieger unter den Passwortmanagern |
| PC Magazine | Bitwarden | Kritik an zu hohem Preis der Business-Tarife |
| Süddeutsche Zeitung (2025) | Bitwarden | Top-Empfehlung unter selbst gehosteten Passwortmanagern |
Für Apple Passwörter existieren dagegen kaum eigenständige Testberichte großer Fachmedien mit vergleichbarer Tiefe, die App wird meist nur als eine Option unter mehreren in Sammelartikeln erwähnt, nicht separat geprüft. Das passt zum Gesamtbild: Je offener ein Produkt, desto mehr unabhängige Stimmen äußern sich dazu, im Guten wie im Schlechten.
Bemerkenswert ist außerdem, dass keiner der drei Anbieter bislang mit einer eigenen, unabhängig zertifizierten Laborprüfung wie einem AV-TEST-Siegel wirbt, wie es etwa bei Antivirensoftware üblich ist. Die Bewertungen stammen ausschließlich von redaktionellen Testberichten und den bereits genannten Sicherheitsaudits, nicht von standardisierten Laborverfahren. Wer harte, vergleichbare Benchmark-Zahlen im Sinne von Messwerten sucht, findet sie also eher in den Audit-Berichten als in klassischen Produkttests.
Bekannte Sicherheitslücken: Die Clickjacking-Lücke und zwei Apple-CVEs
Der bisher relevanteste Sicherheitsvorfall betrifft alle drei Anbieter gemeinsam. Am 9. August 2025 stellte der tschechische Sicherheitsforscher Marek Tóth auf der DEF CON 33 eine als DOM-based Extension Clickjacking bezeichnete Technik vor. Dabei blendet eine präparierte Webseite ein unsichtbares Anmeldeformular über einem harmlos wirkenden Pop-up ein, etwa einem Cookie-Banner. Klickt die Nutzerin oder der Nutzer darauf, füllt die Browser-Erweiterung des Passwortmanagers die Zugangsdaten automatisch aus, und diese werden an den Angreifer weitergeleitet. Betroffen waren laut Tóths Recherche unter anderem 1Password, Dashlane, Keeper, LastPass, NordPass, RoboForm sowie eben Apple Passwörter, Proton Pass und Bitwarden.
Die Hersteller reagierten unterschiedlich schnell. Bitwarden bestätigte gegenüber Fachmedien, das Problem mit Version 2025.8.0 noch in derselben Woche behoben zu haben. Proton Pass schloss die Lücke laut Tóths eigener Nachverfolgung mit Version 1.31.6. Für Apple Passwörter vermerkte der Forscher dagegen, dass Version 3.1.27 der App weiterhin verwundbar blieb, ein Unterschied, der die Geschwindigkeit der jeweiligen Reaktionsprozesse deutlich macht und im Bericht von The Hacker News im Detail beschrieben wird.
Zusätzlich listet die offizielle Schwachstellendatenbank der NIST zwei konkrete, bestätigte Lücken im iCloud-Schlüsselbund, auf dem Apple Passwörter aufsetzt. CVE-2025-31213 beschreibt ein Protokollierungsproblem, durch das Apps Zugriff auf zugehörige Benutzernamen und Webseiten im iCloud-Schlüsselbund erhalten konnten, behoben in iPadOS 17.7.7 sowie macOS Sequoia 15.5. CVE-2026-28864 betrifft eine unzureichende Berechtigungsprüfung, die lokalen Angreifern Zugriff auf Schlüsselbund-Einträge ermöglichte, geschlossen mit iOS 18.7.7, iOS 26.4 und den entsprechenden macOS-Updates. Für Proton Pass und Bitwarden sind in der NIST-Datenbank für 2025/2026 keine vergleichbaren, produktspezifischen CVE-Einträge verzeichnet.
Für Nutzer bedeutet das praktisch: Automatische Updates sind bei allen drei Diensten die wichtigste Verteidigungslinie. Wer die Browser-Erweiterung von Bitwarden oder Proton Pass manuell deaktiviert hat oder ein sehr altes iOS ohne automatische Updates nutzt, bleibt unter Umständen deutlich länger verwundbar, als es die offiziellen Patch-Daten vermuten lassen. Die CVE-Einträge zeigen zudem, dass die Kritikalität stark variiert: CVE-2025-31213 erreicht laut NIST einen CVSS-Wert von 7,6 und gilt als hoch, CVE-2026-28864 liegt mit 3,3 im niedrigen Bereich und setzt lokalen Gerätezugriff durch den Angreifer voraus.
Beide Apple-Lücken haben eines gemeinsam: Sie setzen entweder eine bereits installierte, bösartige App oder physischen Zugriff auf das entsperrte Gerät voraus, ein Angreifer kann sie also nicht einfach aus der Ferne über das Internet ausnutzen. Das relativiert die Dringlichkeit für die meisten Privatnutzer, unterstreicht aber gleichzeitig, warum App-Berechtigungen unter iOS und macOS regelmäßig überprüft werden sollten. Wer nur Apps aus dem offiziellen App Store installiert und sein Gerät stets sperrt, senkt das praktische Risiko beider Lücken deutlich, auch ohne sofortiges Update.
Vor- und Nachteile im direkten Vergleich
Die folgende Übersicht bündelt die zentralen Stärken und Schwächen aus den vorangegangenen Abschnitten noch einmal produktweise, damit sich die Entscheidung auch ohne erneutes Durchlesen der gesamten Analyse treffen lässt.
Apple Passwörter
- Vorteil: komplett gratis, keine separate Registrierung nötig
- Vorteil: nahtlose Integration in Safari, Mail und Systemeinstellungen
- Nachteil: kein offener Quellcode, kein öffentlicher Auditbericht
- Nachteil: keine native Linux-Unterstützung, Windows nur über Zusatz-App
- Nachteil: langsamere Reaktion auf die Clickjacking-Lücke als die Konkurrenz
Proton Pass
- Vorteil: quelloffen, extern geprüft, mit eingebauten E-Mail-Aliasen
- Vorteil: unbegrenzte Passkeys bereits im Gratis-Tarif
- Nachteil: höherer Jahrespreis als Bitwarden Premium
- Nachteil: kein Selbst-Hosting möglich
- Nachteil: kürzere Marktpräsenz und weniger große Testberichte als Bitwarden
Bitwarden
- Vorteil: günstigster Bezahltarif der drei Anbieter, jährlich extern geprüft
- Vorteil: einzige Option mit vollwertigem Selbst-Hosting
- Nachteil: 2FA/TOTP-Speicherung nur in Bezahltarifen
- Nachteil: laut Testberichten teils weniger intuitive Bedienung
- Nachteil: theoretisch mehr Angriffsvektoren bei kompromittiertem Server laut ETH-Zürich-Studie
5 reale Einsatzszenarien: Für wen eignet sich welcher Passwortmanager?
Die Wahl hängt stärker vom Nutzungsprofil ab als von einer einzelnen technischen Kennzahl. Sechs typische Situationen aus dem Alltag zeigen, wie unterschiedlich die richtige Antwort ausfallen kann, je nachdem welche Geräte, welches Budget und welches Bedrohungsmodell im Vordergrund stehen:
- Reiner Apple-Haushalt: Eine Familie mit ausschließlich iPhones, iPads und einem Mac kommt mit Apple Passwörter ohne Zusatzkosten und ohne Lernkurve aus, solange niemand einen Windows-PC oder ein Android-Gerät nutzt.
- Journalistin mit hohem Schutzbedarf: Wer regelmäßig mit Quellen kommuniziert und Wert auf getrennte Identitäten legt, profitiert von den unbegrenzten E-Mail-Aliasen in Proton Pass Plus, die sich ohne Drittanbieter direkt im Tresor verwalten lassen.
- Kleines Unternehmen mit gemischter Hardware: Ein Grazer Ingenieurbüro mit zwölf Mitarbeitern auf Windows, macOS und Android setzt sinnvollerweise auf Bitwarden Teams, weil sich Zugriffsrechte, Freigaben und Audit-Protokolle zentral verwalten lassen.
- IT-Abteilung mit Datenresidenz-Anforderung: Behörden oder Unternehmen, die aus regulatorischen Gründen keine Daten auf fremden Servern speichern dürfen, können den Bitwarden-Server selbst hosten und behalten so die volle Kontrolle über den Speicherort.
- Studierende mit Android-Zweitgerät: Wer ein iPhone privat und ein günstiges Android-Tablet für die Uni nutzt, braucht zwingend plattformübergreifende Synchronisierung, hier fällt Apple Passwörter aus, Proton Pass und Bitwarden funktionieren gleichermaßen gut.
- Aktivistin mit Bedrohungsmodell gegen Behördenzugriff: Wegen des Schweizer Firmensitzes außerhalb der EU-Datenschutz-Grauzonen und der konsequenten Alias-Funktion wählen datenschutzsensible Nutzergruppen häufig Proton Pass gegenüber US-Diensten.
- Freelancer mit vielen Kundenkonten: Selbstständige, die für unterschiedliche Auftraggeber jeweils eigene Zugänge zu Cloud-Diensten verwalten, profitieren von Bitwardens Kollektionsfunktion, mit der sich Zugangsdaten sauber nach Projekt gruppieren lassen, ohne für jeden Kunden einen eigenen Tresor anzulegen.
In allen sechs Fällen lohnt sich ein zweiter Blick auf das tatsächliche Bedrohungsmodell, bevor die Entscheidung fällt. Wer nur seine eigenen Log-in-Daten vor gelegentlichem Gerätediebstahl schützen will, braucht keinen Enterprise-Tarif. Wer dagegen beruflich mit sensiblen Quellen, Patientendaten oder Mandantengeheimnissen arbeitet, sollte die zusätzlichen Kosten für Proton Pass Plus oder Bitwarden Premium als Teil der beruflichen Sorgfaltspflicht betrachten, nicht als optionalen Luxus.
Migrationsanleitung: So wechseln Sie zwischen den drei Diensten
Ein Wechsel ist bei allen drei Anbietern grundsätzlich unkompliziert, erfordert aber Sorgfalt, weil beim Export kurzzeitig eine unverschlüsselte Datei mit allen Zugangsdaten entsteht. Aus Apple Passwörter heraus geht es über die Einstellungen: Passwörter öffnen, auf das Menüsymbol tippen und “Alle Passwörter exportieren” wählen. Das Ergebnis ist eine CSV-Datei mit Klartext-Zugangsdaten, die sofort weiterverarbeitet und danach sicher gelöscht werden sollte.
Konkret läuft der Wechsel zu Proton Pass in vier Schritten ab: Export aus Apple Passwörter als CSV, Anmeldung im Proton-Pass-Web-Vault unter der eigenen Proton-Adresse, Aufruf der Import-Funktion in den Kontoeinstellungen mit Auswahl der Quelle “Apple Passwords” und abschließende Kontrolle, ob alle Einträge inklusive Passkeys korrekt übernommen wurden. Bei Bitwarden läuft der Ablauf nahezu identisch, nur dass die Import-Funktion im Web-Vault unter “Werkzeuge” statt in den Kontoeinstellungen liegt und Bitwarden zusätzlich das Format anderer Passwortmanager wie 1Password oder Dashlane direkt erkennt, was bei einem späteren Wechsel weg von Bitwarden nützlich ist.
Proton Pass und Bitwarden bieten beide einen direkten CSV-Import in den Web-Vault oder der Desktop-App an, das dauert je nach Anzahl der Einträge nur wenige Minuten. Wer stattdessen von Bitwarden zu Proton Pass wechselt, kann den eigenen Datenbestand über die Bitwarden-Kommandozeile exportieren, das erleichtert die Automatisierung bei größeren Vaults:
bw login
bw unlock --check
bw export --format csv --output ./vault-export.csvNach dem Import in den Zieldienst folgt der wichtigste Schritt, der in Anleitungen oft übergangen wird: die Export-Datei sofort und sicher löschen, etwa mit einem Tool wie shred unter Linux oder durch Verschieben in den Papierkorb und sofortiges Leeren unter macOS und Windows. Wer zusätzlich schwache oder wiederverwendete Passwörter im alten Tresor entdeckt, sollte die Migration gleich nutzen, um diese Zugangsdaten zu ändern, statt sie unverändert in den neuen Dienst zu übernehmen.
Ein häufig übersehener Punkt betrifft Passkeys. Anders als klassische Passwörter lassen sich Passkeys nicht einfach per CSV exportieren, da sie an das jeweilige Gerät beziehungsweise den jeweiligen Schlüsselbund gebunden sind. Wer von Apple Passwörter zu Proton Pass oder Bitwarden wechselt, muss Passkeys für jeden Dienst einzeln neu registrieren, meist über die Sicherheitseinstellungen des jeweiligen Online-Kontos. Das kostet zusätzliche Zeit, ist aber unumgänglich, weil kein Anbieter fremde Passkeys automatisch übernehmen kann.
Datenschutz, DSGVO und Serverstandort: Warum das für Österreich zählt
Für Nutzer in Österreich spielt neben der reinen Technik auch die Frage eine Rolle, wo die Daten liegen und welchem Recht der Anbieter unterliegt. Proton AG hat seinen Sitz in der Schweiz und unterliegt dem strengen Schweizer Datenschutzrecht, das von der EU-Kommission als angemessenes Schutzniveau im Sinne der DSGVO anerkannt ist. Bitwarden ist ein US-Unternehmen, verarbeitet Daten der EU-Vault-Nutzer aber über eigene EU-Rechenzentren und bietet mit dem Selbst-Hosting eine Option, komplett auf Server außerhalb der USA umzuziehen, etwa auf einen Server in Wien oder Frankfurt.
Apple verarbeitet Zugangsdaten von EU-Kunden ebenfalls über europäische iCloud-Infrastruktur, unterliegt als US-Konzern aber grundsätzlich dem US Cloud Act, was in Diskussionen um Behördenzugriff auf europäische Daten regelmäßig thematisiert wird. Wichtig für die Praxis: Bei allen drei Diensten sind die Vault-Inhalte selbst Ende-zu-Ende verschlüsselt, ein Zugriff durch den Anbieter oder Behörden würde also im Regelfall nur verschlüsselte, für sich genommen nutzlose Daten liefern. Wer aus Prinzip Wert auf einen EU- oder Schweiz-nahen Rechtsraum legt, findet in Proton Pass die naheliegendste Wahl unter den dreien.
Für österreichische Unternehmen, die seit Inkrafttreten des NIS2-Umsetzungsgesetzes strengere Nachweispflichten zu ihrer IT-Sicherheit erfüllen müssen, wird die Wahl des Passwortmanagers zunehmend Teil der Dokumentationspflicht. Ein Bitwarden-Server im eigenen Rechenzentrum oder bei einem österreichischen Hoster lässt sich in Audit-Unterlagen einfacher als DSGVO-konform nachweisen als ein Dienst, dessen Infrastruktur ausschließlich im Ausland liegt. Das macht Selbst-Hosting nicht automatisch zur besseren Wahl für jedes Unternehmen, senkt aber in regulierten Branchen wie Gesundheitswesen oder öffentlicher Verwaltung den Erklärungsaufwand gegenüber Datenschutzbeauftragten erheblich.
Familien, Teams und Unternehmen: Skalierung im Vergleich
Für Privatpersonen und kleine Familien unterscheiden sich die drei Dienste vor allem im Preis, im Unternehmensumfeld werden die Unterschiede deutlicher. Bitwarden bietet mit Teams ab 4 US-Dollar und Enterprise ab 6 US-Dollar pro Nutzer und Monat die granularste Rechteverwaltung der drei Anbieter, inklusive Verzeichnis-Synchronisierung, SCIM-Provisionierung und passwortlosem Single Sign-on in der Enterprise-Stufe. Proton Pass Enterprise kostet mit rund 7,99 US-Dollar pro Nutzer und Monat etwas mehr, bringt dafür aber die gleiche Alias- und Freigabelogik wie die Privatversion in die Firmenumgebung.
Apple Passwörter hat hier keine eigene Antwort. Es existiert kein Team- oder Business-Tarif, Unternehmen müssten stattdessen auf das breitere Apple Business Manager-Ökosystem ausweichen, das andere Ziele verfolgt als klassische Passwortverwaltung. Für Organisationen mit mehr als einer Handvoll Mitarbeitern scheidet Apple Passwörter damit in der Praxis meist aus, unabhängig davon, wie viele Apple-Geräte im Einsatz sind.
Für die Administration im Alltag macht sich der Unterschied vor allem beim Onboarding und Offboarding von Mitarbeitern bemerkbar. Verlässt eine Person das Unternehmen, lässt sich bei Bitwarden und Proton Pass der Zugriff auf freigegebene Tresore über die Admin-Konsole in Sekunden zentral entziehen, ohne dass einzelne Passwörter geändert werden müssen. Ohne einen echten Business-Tarif fehlt Apple diese zentrale Steuerungsebene komplett, was das Tool für wachsende Teams mit wechselnder Belegschaft ungeeignet macht.
Unser Urteil: Welcher Passwortmanager gewinnt 2026?
Eine einzelne Gewinnerin gibt es nicht, wohl aber eine klare Reihenfolge nach Zielgruppe. Wer ausschließlich in Apples Ökosystem lebt und keine Cross-Plattform-Anforderungen hat, bekommt mit Apple Passwörter ein kostenloses, solide verschlüsseltes Werkzeug, muss aber die fehlende externe Prüfbarkeit und die langsamere Reaktion auf die 2025er-Clickjacking-Lücke in Kauf nehmen. Für alle anderen liegt die Entscheidung zwischen Proton Pass und Bitwarden.
Drei Zahlen fassen das Ergebnis dieses Vergleichs am besten zusammen. Erstens: Nur zwei der drei Anbieter, Bitwarden und Proton Pass, haben ihren Quellcode offengelegt und lassen sich regelmäßig extern prüfen, Apple bislang keiner davon. Zweitens: Bei der Reaktion auf die DEF-CON-33-Clickjacking-Lücke brauchten Bitwarden und Proton Pass wenige Wochen bis zum Patch, während Apples Version 3.1.27 laut Tóths Nachverfolgung länger verwundbar blieb. Drittens: Beim Jahrespreis für Einzelpersonen liegt Bitwarden mit 19,80 US-Dollar knapp vor Proton Pass mit 23,88 US-Dollar, während Apple mit 0 US-Dollar unschlagbar günstig bleibt, aber eben nur für reine Apple-Haushalte praktikabel ist.
Bitwarden gewinnt beim Preis (19,80 statt 23,88 US-Dollar im Jahr), bei der Audit-Frequenz seit 2018 und beim Selbst-Hosting, verliert aber Punkte durch die im Vergleich zu Proton Pass fehlenden gratis TOTP-Codes und die theoretischen Schwachstellen aus der ETH-Zürich-Studie unter einem Extremszenario. Proton Pass punktet mit den eingebauten E-Mail-Aliasen, dem Schweizer Rechtsraum und der durchgängig positiven Presse von PCMag und TechRadar, kostet dafür pro Jahr etwas mehr. Wer Selbst-Hosting oder das knappste Budget priorisiert, greift zu Bitwarden. Wer maximale Alias-Integration und einen datenschutzfreundlichen Firmensitz sucht, liegt mit Proton Pass richtig. Apple Passwörter bleibt die Einstiegsoption für alle, die noch gar keinen dedizierten Passwortmanager nutzen, sollte aber nicht das letzte Ziel der eigenen Sicherheitsstrategie sein.
Unabhängig davon, welcher der drei Dienste am Ende gewählt wird, gilt eine Grundregel: Der Umstieg von gar keinem Passwortmanager auf irgendeinen der drei bringt den größten Sicherheitsgewinn. Die Unterschiede zwischen Apple Passwörter, Proton Pass und Bitwarden sind real und in diesem Vergleich mit Zahlen belegt, sie fallen aber deutlich kleiner aus als der Sprung von wiederverwendeten, im Kopf gespeicherten Passwörtern hin zu irgendeiner der drei Lösungen.
Häufig gestellte Fragen
Ist Apple Passwörter sicher genug für den Alltag?
Für alltägliche Nutzung innerhalb des Apple-Ökosystems bietet die App solide AES-256-Verschlüsselung und Zero-Knowledge-Architektur. Wer aber Wert auf unabhängige Prüfbarkeit legt, findet bei Apple keinen öffentlichen Auditbericht wie bei Bitwarden oder Proton Pass. Für die meisten Privatnutzer ohne besonderes Bedrohungsmodell reicht die App dennoch aus, solange Systemupdates zeitnah installiert werden.
Kann ich Proton Pass und Bitwarden gleichzeitig nutzen?
Technisch ja, beide lassen sich parallel installieren. Sinnvoll ist das aber selten, weil doppelte Autofill-Vorschläge im Browser eher verwirren als nützen. Sinnvoller ist ein sauberer Umstieg mit anschließendem Löschen der Export-Datei.
Was kostet der Wechsel von Apple Passwörter zu einem Drittanbieter?
Der Umstieg selbst ist gratis, da beide Zielanbieter kostenlose Einstiegstarife mit unbegrenzten Logins anbieten. Kosten entstehen erst, wenn zusätzliche Funktionen wie unbegrenzte Aliase, TOTP-Speicherung im Gratis-Tarif oder Familienfreigabe gewünscht sind.
Unterstützt Apple Passwörter auch Windows und Android?
Unter Windows lässt sich Apple Passwörter über eine Erweiterung für Chrome und Edge in Kombination mit iCloud für Windows nutzen. Eine native Android-Unterstützung gibt es dagegen nicht, hier scheidet die App komplett aus.
Welcher Passwortmanager eignet sich für Unternehmen in Österreich?
Für Firmen mit mehreren Mitarbeitern bieten sich Bitwarden Teams oder Enterprise sowie Proton Pass Enterprise an. Beide bieten zentrale Verwaltung, Freigaberegeln und Protokollierung, Apple Passwörter hat dagegen keinen eigenen Business-Tarif. Für Betriebe mit strengen Datenresidenz-Vorgaben, etwa im Gesundheits- oder Behördenbereich, ist zusätzlich die Selbst-Hosting-Option von Bitwarden relevant, da sich der Vault-Server dann vollständig in Österreich betreiben lässt.
Wie sicher sind Passkeys im Vergleich zu klassischen Passwörtern?
Passkeys basieren auf kryptografischen Schlüsselpaaren statt auf einem geteilten Geheimnis und sind damit grundsätzlich resistenter gegen Phishing als klassische Passwörter. Alle drei verglichenen Dienste unterstützen Passkeys mittlerweile, Proton Pass und Bitwarden sogar bereits im Gratis-Tarif.
Was bedeutet die Clickjacking-Lücke von DEF CON 33 für mich konkret?
Die im August 2025 vorgestellte Lücke wurde von Bitwarden und Proton Pass mittlerweile geschlossen (Version 2025.8.0 beziehungsweise 1.31.6). Wichtig ist, die jeweilige Browser-Erweiterung stets aktuell zu halten, da Updates hier automatisch die Schutzmaßnahmen nachziehen. Nutzer von Apple Passwörter sollten zusätzlich besonders vorsichtig bei Pop-ups und Cookie-Bannern auf unbekannten Webseiten sein, bis Apple eine vergleichbare Korrektur veröffentlicht.
Lohnt sich Proton Pass Plus gegenüber der Gratis-Version?
Für Nutzer, die mehr als 10 E-Mail-Aliase, Dark-Web-Monitoring oder eine eigene Alias-Domain brauchen, lohnt sich der Umstieg auf Pass Plus für 1,99 US-Dollar im Monat. Wer nur Passwörter und Passkeys verwalten will, kommt mit dem Gratis-Tarif meist vollständig aus.
Was passiert mit meinen Daten, wenn ich einen Anbieter wieder verlasse?
Sowohl Proton Pass als auch Bitwarden erlauben jederzeit einen vollständigen CSV-Export aller gespeicherten Einträge, unabhängig vom gebuchten Tarif. Nach einer Kündigung bleiben die Daten bis zur endgültigen Kontolöschung im jeweiligen Rechenzentrum gespeichert, verschlüsselt und für den Anbieter selbst nicht einsehbar. Wer auf Nummer sicher gehen will, exportiert den Tresor vor der Kündigung und löscht das Konto anschließend aktiv über die Kontoeinstellungen, statt sich auf automatische Löschfristen zu verlassen.
