Zum Inhalt springen
CLOUD-Act-Risiko ausgewiesen
EU VETTED
Kuratierte Sammlung

Passwort-Manager ohne US-Unterauftragsverarbeiter

Europäische Passwort-Manager, geprüft ohne US-Unterauftragsverarbeiter, verglichen nach Eigentümerschaft, Hosting-Region, CLOUD-Act-Risiko und Unterauftragsverarbeiter-Kette.

Kurzfassung Die hier gelisteten Passwort-Manager betreiben ihren Datenpfad ohne US-Unterauftragsverarbeiter: ein EU/EWR/Schweiz-Betreiber ohne US-Mutterkonzern und ohne in den USA eingetragenen Verarbeiter, oder Software, die Sie vollständig selbst betreiben. Uniqkey (Dänemark, Kopenhagen, dänisch gehostetes Business-Zugriffsmanagement) ist die stärkste verwaltete Team-Option; Passbolt (Luxemburg, Open Source, SOC 2 Type II) und Psono (Deutschland) erfüllen die Messlatte über ihre selbst hostbaren Editionen, nicht über ihre eigenen Clouds, und KeePassXC (Offline-Desktop) sowie Vaultwarden (selbst gehostet, Bitwarden-kompatibel) entfernen den Cloud-Betreiber vollständig. Passbolt Cloud läuft auf Google Cloud in Belgien und Deutschland hinter Cloudflare, neun seiner vierzehn Unterauftragsverarbeiter sind US-Unternehmen. Tresor-Inhalte sind bei allen Ende-zu-Ende-verschlüsselt; die Jurisdiktions-Messlatte dieser Seite betrifft die Konto-, Metadaten- und Dienst-Schicht, die die Verschlüsselung nicht abdeckt.
EU Vetted Editorial
Geprüft Juni 2026 Wie wir prüfen

Einige Links auf dieser Website sind Affiliate-Links. Wir erhalten ggf. eine Provision ohne Mehrkosten für Sie. Redaktionelle Signale und Rankings werden nicht durch Affiliate-Beziehungen beeinflusst.

Über diese Sammlung
Über Passwort-Manager ohne US-Unterauftragsverarbeiter

Passwort-Manager ohne US-Unterauftragsverarbeiter bedeutet auf dieser Seite eines von zwei Dingen: ein verwalteter Dienst, dessen betreibende Gesellschaft in der EU, im EWR oder in der Schweiz eingetragen ist, keinen US-Mutterkonzern hat und keine Kundendaten über einen in den USA eingetragenen Verarbeiter leitet, oder Software, die vollständig unter Ihrer eigenen Kontrolle läuft, offline oder selbst gehostet, sodass von vornherein kein Drittbetreiber existiert. Beide Wege bestehen dieselbe Messlatte; sie erreichen sie unterschiedlich, und der Eintrag kennzeichnet, welcher Weg es ist.

Diese Kategorie belohnt Strenge ungewöhnlich gut. Zugangsdaten sind die Schlüssel zu allem anderen, was eine Organisation betreibt, und die Dienst-Schicht des Passwort-Managers (Konten, Metadaten, Freigabestrukturen, der Update-Kanal) konzentriert Vertrauen selbst dann, wenn die Tresor-Inhalte Ende-zu-Ende-verschlüsselt sind. Das europäische Feld ist hier wirklich stark: Open-Source-Team-Produkte aus Luxemburg und Deutschland, eine dänische Business-Zugriffsplattform sowie ausgereifte Offline- und Self-Hosting-Optionen. Jeder Eintrag wird mit den öffentlich dokumentierten Angaben des Anbieters abgeglichen und im Vierteljahres-Turnus erneut geprüft.

Warum es darauf ankommt
Warum es darauf ankommt

Passwort-Manager teilen sich sauber in zwei Zonen mit sehr unterschiedlicher Risikolage. Der Tresor-Blob (der verschlüsselte Inhalt selbst) ist für den Betreiber tatsächlich blickdicht: unlesbar ohne das Master-Passwort des Nutzers, wer auch immer den Chiffretext hält, sodass die Jurisdiktion über diese Speicherschicht hier weniger zählt als in fast jeder anderen SaaS-Kategorie. Alles um den Blob herum ist der Gegenfall: Konto-Identitäten, Abrechnungsdaten, Tresor-Metadaten (Eintragszahlen, Zugriffszeitpunkte, Freigabestrukturen) und, leicht zu übersehen, die Telemetrie- und Crash-Reporting-SDKs, die viele Clients einbetten und die routinemäßig Nutzungsdaten und Absturzprotokolle an einen dritten Analytics-Anbieter melden, der außerhalb der Jurisdiktion des Betreibers selbst liegen kann.

Diese zweite Zone ist der Grund, warum Jurisdiktion auch nach der Verschlüsselung zählt. Ein in den USA eingetragener Betreiber kann zur Herausgabe dessen verpflichtet werden, was er hält (Metadaten, Kontodaten), und ein in den USA eingetragener Telemetrie- oder Crash-Reporting-Anbieter ist ein separates, oft übersehenes Glied in derselben Kette. Der Client-Update-Kanal fügt eine dritte Angriffsfläche hinzu: Wer ihn kontrolliert, kann technisch ausliefern, was er will, an die Software, die lokal mit Klartext arbeitet. Die Tools auf dieser Seite legen den Betreiber (und seinen Telemetrie-Anbieter) entweder in eine EU/EWR/Schweiz-Jurisdiktion ohne US-Mutterkonzern, oder entfernen ihn ganz, indem sie den Server oder die verschlüsselte Datei selbst in Ihre Hände legen. Jeder Eintrag erfasst Eigentümerschaft, Hosting und die Unterauftragsverarbeiter-Kette, Telemetrie eingeschlossen, als getrennte, belegte Signale.

Alle 6 Alternativen in dieser Kategorie

Auf einen Blick

Kernfakten je Anbieter, geprüft anhand der eigenen Unterlagen des Anbieters.

  • heylogin

    gehostet in Deutschland, Zero-Knowledge-Ende-zu-Ende-Verschlüsselung, keine CLOUD-Act-Exposition, ab 4 €/Mon..

    Am besten für: Passwort-Manager für deutsche und EU-Teams, die einen passwortlosen, ISO-27001-zertifizierten Tresor mit ausschließlich deutschen Unterauftragsverarbeitern und ohne US-CLOUD-Act-Risiko suchen.

  • KeePassXC

    gehostet in Deutschland, Zero-Knowledge-Ende-zu-Ende-Verschlüsselung, keine CLOUD-Act-Exposition, kostenlose Stufe verfügbar.

    Am besten für: Passwort-Manager für datenschutzbewusste Einzelpersonen, die vollständig offline und lokal die Kontrolle über ihre Zugangsdaten ohne Cloud- oder Dienstabhängigkeit behalten möchten.

  • LC-Pass

    gehostet in Deutschland, verschlüsselt im Ruhezustand, keine CLOUD-Act-Exposition, ab 3.99 €/Mon..

    Am besten für: Passwort-Manager für DACH-Teams, die deutsches Hosting für Zugangsdaten-Management und -Freigabe innerhalb der leitzcloud-Suite suchen.

  • Proton Pass

    gehostet in der Schweiz, Zero-Knowledge-Ende-zu-Ende-Verschlüsselung, keine CLOUD-Act-Exposition, ab 2 €/Mon..

    Am besten für: Passwort-Manager für datenschutzbewusste Einzelpersonen und Familien, die einen Schweizer Zero-Knowledge-Tresor mit E-Mail-Alias-Funktion im großzügigen Gratis-Tarif suchen.

  • Uniqkey

    gehostet in Dänemark, Zero-Knowledge-Ende-zu-Ende-Verschlüsselung, keine CLOUD-Act-Exposition.

    Am besten für: Passwort-Manager für nordische und EU-Unternehmen, die dänisches Credential- und Zugriffsmanagement mit NIS2-Compliance-Fokus suchen.

  • Vaultwarden

    gehostet in Spanien, Zero-Knowledge-Ende-zu-Ende-Verschlüsselung, keine CLOUD-Act-Exposition, kostenlose Stufe verfügbar.

    Am besten für: Passwort-Manager für Homelab-Nutzer und EU-KMUs mit IT-Kapazität, die einen Bitwarden-kompatiblen Tresor unter eigener Kontrolle selbst hosten möchten.

So treffen Sie die Wahl

Beginnen Sie mit dem Betriebsmodell, das Ihr Team tragen kann. Verwaltete europäische Dienste (Uniqkey) passen zu Teams, die SSO, Provisionierung und Support ohne Betriebsaufwand wollen. Vergleichen Sie Audit-Stand (Zertifizierungen, veröffentlichte Pentests), die Qualität der Browser-Erweiterung und den Preis pro Platz. Passbolts eigene Cloud ist auf dieser Seite das Gegenbeispiel: EU-gehostet, aber auf Google Cloud in Belgien und Deutschland hinter Cloudflare, neun der vierzehn Unterauftragsverarbeiter sind US-Unternehmen, sodass hier nur die selbst gehostete Edition die Messlatte erfüllt. Selbst gehostete Server (Psono, Passbolt CE, Vaultwarden) passen zu Teams mit vorhandener EU-Infrastruktur und der Disziplin, zu patchen und zu sichern; sie reduzieren die Jurisdiktionsfrage auf Ihre eigene Hosting-Entscheidung. Offline-Manager (KeePassXC) passen zu Einzelpersonen und kleinen technischen Teams, die ohne eingebauten Sync auskommen, oder die die verschlüsselte Datenbank über einen Speicher synchronisieren, dem sie ohnehin vertrauen.

Für regulierte Käufer: Behandeln Sie den Betreiber des Passwort-Managers und jeden eingebetteten Telemetrie- oder Crash-Reporting-Anbieter wie jeden anderen Verarbeiter: eine US-Inkorporation in der Kette ist typischerweise ein Veto, und die Self-Hosting- und Offline-Wege sind oft der kürzeste Pfad durch die Beschaffung. Für KMU zählen im Alltag meist Onboarding-Reibung und Wiederherstellungs-Abläufe mehr als die Jurisdiktionsfrage. Prüfen Sie vor der Entscheidung, wie jedes Produkt ein vergessenes Master-Passwort und das Offboarding handhabt. Die Filter oben grenzen die Liste nach Hosting-Land, Open-Source-Lizenz oder Preis ein.

WECHSEL-RATGEBER

Wechsel von einem US-Tool für passwort-manager?

Europäische Alternativen im direkten Vergleich (gleiche Prüfungen zu Hosting, Eigentum und CLOUD Act) für die am häufigsten ersetzten passwort-manager-Tools.

RATGEBER

Die 7 besten europäischen Passwort-Manager (2026), DSGVO-geprüft

Sieben europäische Passwort-Manager, gereiht nach unserem verifizierten Datensatz: Proton Pass ist der beste Consumer-Pick, Passbolt und Uniqkey führen für Teams, KeePassXC und Vaultwarden entfernen den Cloud-Betreiber ganz. Pro Tool haben wir Eigentümerschaft, Hosting, Unterauftragsverarbeiter und CLOUD-Act-Risiko verifiziert. Das ist die Schicht, die Ende-zu-Ende-Verschlüsselung nicht abdeckt.

Zum Ratgeber →
VERWANDTE SAMMLUNGEN
FAQ

Häufig gestellte Fragen

Passwort-Tresore sind Ende-zu-Ende-verschlüsselt. Warum spielt die US-Jurisdiktion trotzdem eine Rolle?
Verschlüsselung schützt die Tresor-Inhalte, nicht den Dienst darum herum. Der Betreiber hält weiterhin Konto- und Abrechnungsdaten, Tresor-Metadaten wie Eintragszahlen und Zugriffszeitpunkte, Freigabestrukturen in Team-Produkten und den Client-Update-Kanal. All das bleibt per Rechtsverfahren gegen den Betreiber erreichbar, und der Update-Kanal ist eine Lieferketten-Abhängigkeit von dessen Kontrolleur, weshalb die Jurisdiktion des Betreibers unabhängig vom Verschlüsselungsmodell erfasst wird.
Was gilt auf dieser Seite als 'keine US-Unterauftragsverarbeiter'?
Entweder ist die betreibende Gesellschaft EU/EWR/schweizerisch ohne US-Mutterkonzern und ohne in den USA eingetragenen Unterauftragsverarbeiter im Datenpfad (die Messlatte 'CLOUD-Act-Risiko: keines' des Verzeichnisses), oder das Produkt läuft vollständig unter Ihrer Kontrolle (offline oder selbst gehostet), sodass gar kein Drittbetreiber existiert.
Haben Offline- und selbst gehostete Passwort-Manager überhaupt Unterauftragsverarbeiter?
Faktisch nein. Das ist ihr struktureller Vorteil. Ein Offline-Manager wie KeePassXC speichert eine verschlüsselte Datei unter Ihrer Kontrolle, ohne Anbieter-Cloud; ein selbst gehosteter Server wie Vaultwarden oder Psono macht Sie zum Betreiber, sodass die Kette auf Ihre eigene Hosting-Entscheidung kollabiert. Der Preis: Updates, Backups und Verfügbarkeit liegen in Ihrer Verantwortung.
Wie verhalten sich diese Tools zu Bitwarden, 1Password oder LastPass?
Diese drei werden von in den USA eingetragenen Unternehmen betrieben und liegen damit außerhalb der Messlatte dieser Seite, unabhängig vom Datenstandort. Vaultwarden ist eine unabhängige Open-Source-Server-Implementierung, kompatibel mit Bitwardens Clients: von Ihnen auf europäischer Infrastruktur gehostet, erhält sie das Client-Ökosystem und ersetzt die US-betriebene Dienst-Schicht. Jedes Profil erfasst Betreiber und Eigentümerschaft separat, damit diese Unterscheidung sichtbar bleibt.
Kann ich meinen bestehenden Tresor importieren?
In der Regel ja. CSV-Import von den großen US-Anbietern ist bei den Tools hier Standard, und Vaultwarden akzeptiert Bitwarden-Exporte nativ. Manuell neu anzulegen sind typischerweise geteilte Sammlungen, Anhänge und TOTP-Seeds, je nach Quelle. Jedes Profil vermerkt die dokumentierten Import-Pfade.
Methodik

Wie wir jeden Eintrag hier geprüft haben.

Für jedes Produkt prüfen wir die öffentliche DPA, das Unterauftragsverarbeiter-Dokument, die Hosting-Region, Zertifizierungen und die Eigentümerstruktur. Jede Prüfung wird mit Zeitstempel versehen. Die Signale sind redaktionell und werden vierteljährlich neu verifiziert. Selbstauskünfte akzeptieren wir nicht.

Methodik lesen →