Zum Inhalt springen
Unabhängig verifiziert · Quartalsweises Re-Audit
EU VETTED
Kuratierte Sammlung

Passwort-Manager ohne US-Unterauftragsverarbeiter

Europäische Passwort-Manager, geprüft ohne US-Unterauftragsverarbeiter — verglichen nach Eigentümerschaft, Hosting-Region, CLOUD-Act-Risiko und Unterauftragsverarbeiter-Kette.

Kurzfassung

Die hier gelisteten Passwort-Manager betreiben ihren Datenpfad ohne US-Unterauftragsverarbeiter — ein EU/EWR/Schweiz-Betreiber ohne US-Mutterkonzern und ohne in den USA eingetragenen Verarbeiter, oder Software, die Sie vollständig selbst betreiben. Passbolt (Luxemburg — Open Source, SOC 2 Type II, EU-gehostet) und Uniqkey (Dänemark, Kopenhagen — dänisch gehostetes Business-Zugriffsmanagement) sind die stärksten verwalteten Team-Optionen; Psono (Deutschland) ist die selbst hostbare Open-Source-Alternative, und KeePassXC (Offline-Desktop) sowie Vaultwarden (selbst gehostet, Bitwarden-kompatibel) entfernen den Cloud-Betreiber vollständig. Tresor-Inhalte sind bei allen Ende-zu-Ende-verschlüsselt — die Jurisdiktions-Messlatte dieser Seite betrifft die Konto-, Metadaten- und Dienst-Schicht, die die Verschlüsselung nicht abdeckt.

Zuletzt geprüft Juni 2026 DISCLOSURE Einige Links auf dieser Website sind Affiliate-Links. Wir erhalten ggf. eine Provision ohne Mehrkosten für Sie. Redaktionelle Signale und Rankings werden nicht durch Affiliate-Beziehungen beeinflusst.

Passwort-Manager ohne US-Unterauftragsverarbeiter bedeutet auf dieser Seite eines von zwei Dingen: ein verwalteter Dienst, dessen betreibende Gesellschaft in der EU, im EWR oder in der Schweiz eingetragen ist, keinen US-Mutterkonzern hat und keine Kundendaten über einen in den USA eingetragenen Verarbeiter leitet — oder Software, die vollständig unter Ihrer eigenen Kontrolle läuft, offline oder selbst gehostet, sodass von vornherein kein Drittbetreiber existiert. Beide Wege bestehen dieselbe Messlatte; sie erreichen sie unterschiedlich, und der Eintrag kennzeichnet, welcher Weg es ist.

Diese Kategorie belohnt Strenge ungewöhnlich gut. Zugangsdaten sind die Schlüssel zu allem anderen, was eine Organisation betreibt, und die Dienst-Schicht des Passwort-Managers — Konten, Metadaten, Freigabestrukturen, der Update-Kanal — konzentriert Vertrauen selbst dann, wenn die Tresor-Inhalte Ende-zu-Ende-verschlüsselt sind. Das europäische Feld ist hier wirklich stark: Open-Source-Team-Produkte aus Luxemburg und Deutschland, eine dänische Business-Zugriffsplattform sowie ausgereifte Offline- und Self-Hosting-Optionen. Jeder Eintrag ist mit der öffentlichen Dokumentation des Anbieters belegt und wird vierteljährlich neu verifiziert.

Warum es darauf ankommt

Der CLOUD Act erstreckt den Zugriff der US-Regierung auf Daten jedes Unternehmens unter US-Jurisdiktion, unabhängig vom Serverstandort. Passwort-Manager sind ein Sonderfall in zwei Richtungen zugleich. In der einen Richtung begrenzt Ende-zu-Ende-Verschlüsselung tatsächlich, was ein Betreiber überhaupt offenlegen könnte — Tresor-Inhalte sind ohne das Master-Passwort des Nutzers unlesbar, wer auch immer den Chiffretext hält. In der anderen Richtung ist die Dienst-Schicht um den Tresor herum sensibler als bei den meisten SaaS: Konto-Identitäten kartieren die Menschen Ihrer Organisation, Tresor-Metadaten zeigen, was existiert und wann es genutzt wird, Team-Freigabestrukturen spiegeln Ihr Berechtigungsmodell, und der Client-Update-Kanal kann technisch ausliefern, was sein Kontrolleur ausliefert.

Diese zweite Richtung ist der Grund, warum Jurisdiktion auch nach der Verschlüsselung zählt. Ein in den USA eingetragener Betreiber kann zur Herausgabe dessen verpflichtet werden, was er hält — Metadaten, Kontodaten — und ist selbst die Lieferkette für die Clients, die lokal mit Klartext arbeiten. Die Tools auf dieser Seite legen diesen Betreiber entweder in eine EU/EWR/Schweiz-Jurisdiktion ohne US-Mutterkonzern — oder entfernen ihn ganz, indem sie den Server oder die verschlüsselte Datei selbst in Ihre Hände legen. Jeder Eintrag erfasst Eigentümerschaft, Hosting und die Unterauftragsverarbeiter-Kette als getrennte, belegte Signale.

So treffen Sie die Wahl

Beginnen Sie mit dem Betriebsmodell, das Ihr Team tragen kann. Verwaltete europäische Dienste (Passbolt Cloud, Uniqkey) passen zu Teams, die SSO, Provisionierung und Support ohne Betriebsaufwand wollen — vergleichen Sie Audit-Stand (SOC 2, veröffentlichte Pentests), die Qualität der Browser-Erweiterung und den Preis pro Platz. Selbst gehostete Server (Psono, Passbolt CE, Vaultwarden) passen zu Teams mit vorhandener EU-Infrastruktur und der Disziplin, zu patchen und zu sichern; sie reduzieren die Jurisdiktionsfrage auf Ihre eigene Hosting-Entscheidung. Offline-Manager (KeePassXC) passen zu Einzelpersonen und kleinen technischen Teams, die ohne eingebauten Sync auskommen — oder die die verschlüsselte Datenbank über einen Speicher synchronisieren, dem sie ohnehin vertrauen.

Für regulierte Käufer: Behandeln Sie den Betreiber des Passwort-Managers wie jeden anderen Verarbeiter — eine US-Inkorporation in der Kette ist typischerweise ein Veto, und die Self-Hosting- und Offline-Wege sind oft der kürzeste Pfad durch die Beschaffung. Für KMU sind Onboarding-Reibung und Wiederherstellungs-Abläufe die bindenden Kriterien — prüfen Sie vor der Entscheidung, wie jedes Produkt ein vergessenes Master-Passwort und das Offboarding handhabt. Nutzen Sie die Sortier- und Filterelemente in der Liste oben, um nach Hosting-Land, Open-Source-Lizenz oder Preis einzugrenzen.

WECHSEL-RATGEBER

Wechsel von einem US-Tool für categories.password_managers?

Europäische Alternativen im direkten Vergleich — gleiche Prüfungen zu Hosting, Eigentum und CLOUD Act — für die am häufigsten ersetzten categories.password_managers-Tools.

FAQ

Häufig gestellte Fragen

Passwort-Tresore sind Ende-zu-Ende-verschlüsselt — warum spielt die US-Jurisdiktion trotzdem eine Rolle?
Verschlüsselung schützt die Tresor-Inhalte, nicht den Dienst darum herum. Der Betreiber hält weiterhin Konto- und Abrechnungsdaten, Tresor-Metadaten wie Eintragszahlen und Zugriffszeitpunkte, Freigabestrukturen in Team-Produkten und den Client-Update-Kanal. All das bleibt per Rechtsverfahren gegen den Betreiber erreichbar, und der Update-Kanal ist eine Lieferketten-Abhängigkeit von dessen Kontrolleur — weshalb die Jurisdiktion des Betreibers unabhängig vom Verschlüsselungsmodell erfasst wird.
Was gilt auf dieser Seite als 'keine US-Unterauftragsverarbeiter'?
Entweder ist die betreibende Gesellschaft EU/EWR/schweizerisch ohne US-Mutterkonzern und ohne in den USA eingetragenen Unterauftragsverarbeiter im Datenpfad — die Messlatte 'CLOUD-Act-Risiko: keines' des Verzeichnisses — oder das Produkt läuft vollständig unter Ihrer Kontrolle (offline oder selbst gehostet), sodass gar kein Drittbetreiber existiert.
Haben Offline- und selbst gehostete Passwort-Manager überhaupt Unterauftragsverarbeiter?
Faktisch nein — das ist ihr struktureller Vorteil. Ein Offline-Manager wie KeePassXC speichert eine verschlüsselte Datei unter Ihrer Kontrolle, ohne Anbieter-Cloud; ein selbst gehosteter Server wie Vaultwarden oder Psono macht Sie zum Betreiber, sodass die Kette auf Ihre eigene Hosting-Entscheidung kollabiert. Der Preis: Updates, Backups und Verfügbarkeit liegen in Ihrer Verantwortung.
Wie verhalten sich diese Tools zu Bitwarden, 1Password oder LastPass?
Diese drei werden von in den USA eingetragenen Unternehmen betrieben und liegen damit außerhalb der Messlatte dieser Seite — unabhängig vom Datenstandort. Vaultwarden ist eine unabhängige Open-Source-Server-Implementierung, kompatibel mit Bitwardens Clients: von Ihnen auf europäischer Infrastruktur gehostet, erhält sie das Client-Ökosystem und ersetzt die US-betriebene Dienst-Schicht. Jedes Profil erfasst Betreiber und Eigentümerschaft separat, damit diese Unterscheidung sichtbar bleibt.
Kann ich meinen bestehenden Tresor importieren?
In der Regel ja. CSV-Import von den großen US-Anbietern ist bei den Tools hier Standard, und Vaultwarden akzeptiert Bitwarden-Exporte nativ. Manuell neu anzulegen sind typischerweise geteilte Sammlungen, Anhänge und TOTP-Seeds, je nach Quelle — jedes Profil vermerkt die dokumentierten Import-Pfade.
Methodik

Wie wir jeden Eintrag hier geprüft haben.

Für jedes Produkt prüfen wir die öffentliche DPA, das Unterauftragsverarbeiter-Dokument, die Hosting-Region, Zertifizierungen und die Eigentümerstruktur. Jede Prüfung wird mit Zeitstempel versehen. Die Signale sind redaktionell und werden vierteljährlich neu verifiziert. Selbstauskünfte akzeptieren wir nicht.

Methodik lesen →