Zum Inhalt springen
Unabhängig verifiziert · Quartalsweises Re-Audit
EU VETTED
Kuratierte Sammlung

Open-Source-Passwort-Manager

Passwort-Manager mit öffentlich einsehbarem Quellcode. Verglichen nach Hosting-Region, Eigentümerschaft, Self-Hosting-Option und den Sicherheitssignalen, die Beschaffungsteams tatsächlich prüfen.

Kurzfassung

Open-Source-Passwort-Manager veröffentlichen ihren Quellcode unter einer anerkannten Lizenz und ermöglichen so unabhängige Sicherheitsaudits. Das entscheidende Kriterium ist nicht die Lizenz allein, sondern ob der Code tatsächlich geprüft wurde, ob ein selbst hostbarer Server verfügbar ist und wo das betreibende Unternehmen seinen Sitz hat. Bitwarden (US-eigen, aber vollständig quelloffen und selbst hostbar) und EU-gehostete Alternativen sind in diesem Hub nebeneinander aufgeführt.

EU Vetted Editorial
Geprüft May 2026 Wie wir prüfen

Einige Links auf dieser Website sind Affiliate-Links. Wir erhalten ggf. eine Provision ohne Mehrkosten für Sie. Redaktionelle Signale und Rankings werden nicht durch Affiliate-Beziehungen beeinflusst.

Ein Passwort-Manager mit Open-Source-Code, wie hier gelistet, ist ein Werkzeug zur Verwaltung von Tresoren und Zugangsdaten, dessen Quellcode unter einer anerkannten Open-Source-Lizenz veröffentlicht ist: typischerweise die Client-Anwendungen, in den stärkeren Fällen auch die Server-Komponente. Das ermöglicht es unabhängigen Fachleuten nachzuvollziehen, wie Ihr Tresor verschlüsselt wird, wie er zwischen Geräten synchronisiert und wie er im Ruhezustand gespeichert wird.

Diese Seite listet die Passwort-Manager in unserem Verzeichnis, die diesen Open-Source-Test bestehen, eingestuft nach dem, was Käufer tatsächlich prüfen müssen: Hosting-Region, Eigentümerschaft, CLOUD-Act-Exposition, ob ein selbst hostbarer Server angeboten wird, und Audit-Historie, soweit öffentlich dokumentiert. Der Text hier ordnet die Kategorie ein und erklärt die Auswahl; die Matrix unten enthält die Daten je Produkt, und die Angaben jedes Eintrags sind auf öffentliche Dokumentation gestützt und werden alle drei Monate erneut kontrolliert.

Es lohnt sich, genau zu sein, was "Open Source" bedeutet und was nicht. Es beschreibt die Verfügbarkeit des Codes, also eine Eigenschaft, die Prüfung ermöglicht. Es ist für sich genommen keine Aussage über die Sicherheit eines Produkts, seine Pflege, die Gerichtsbarkeit des Unternehmens oder den Speicherort Ihrer Daten. Das sind getrennte Fragen, und dieser Hub behält sie als getrennte Signale bei, statt sie zu einem einzigen Etikett zusammenzufassen.

Warum es darauf ankommt

Gerade bei Passwort-Managern wiegt die Frage nach dem Quellcode schwerer als bei den meisten anderen Programmen. Ein Passwort-Manager steht im Zentrum der Sicherheitsaufstellung einer Organisation: Hat sein Verschlüsselungsmodell oder seine Sync-Logik einen Fehler, betrifft der Schaden jede darin gespeicherte Zugangsinformation. Überprüfen zu können (statt darauf vertrauen zu müssen), wie Tresordaten geschützt werden, ist ein bedeutsamer Vorteil, und diese Überprüfung ist nur möglich, wenn der Code offen ist.

Der ehrliche Vorbehalt lautet: Offener Code ist eine Voraussetzung für die Prüfung, nicht die Prüfung selbst. Der Nutzen entsteht, wenn jemand Kompetentes den Code tatsächlich untersucht hat, wenn das Projekt Korrekturen zügig ausliefert und wenn Releases reproduzierbar oder zumindest unabhängig kontrolliert sind. Ein schlecht gepflegtes Open-Source-Projekt kann eine schwächere Wahl sein als ein gut auditiertes Closed-Source-Produkt. Der praktische Wert von Open Source liegt also in der Prüfbarkeit und der geringeren Bindung dank portabler, einsehbarer Formate, nicht in einer automatischen Sicherheitsgarantie.

Hinzu kommt der Beschaffungsaspekt. Eine Open-Source-Lizenz kann es erleichtern, einen Sicherheitsfragebogen zu beantworten, eine eigene Prüfung in Auftrag zu geben oder (wo eine Server-Komponente veröffentlicht ist) selbst zu hosten und den Datenpfad unter eigener Kontrolle zu halten. Doch Self-Hosting verlagert Backup, Patching und Verfügbarkeit auf Ihr Team, es ist also ein Tausch, kein kostenloser Gewinn. Richtig eingeordnet erweitert Open Source Ihre Optionen; die Entscheidung nimmt es Ihnen nicht ab.

Auf einen Blick

Kernfakten je Anbieter, geprüft anhand der eigenen Unterlagen des Anbieters.

  • KeePassXC

    gehostet in Germany, Zero-Knowledge-Ende-zu-Ende-Verschlüsselung, keine CLOUD-Act-Exposition, kostenlose Stufe verfügbar.

    Am besten für: Passwort-Manager für datenschutzbewusste Einzelpersonen, die vollständig offline und lokal die Kontrolle über ihre Zugangsdaten ohne Cloud- oder Dienstabhängigkeit behalten möchten.

  • Padloc

    gehostet in Germany, Zero-Knowledge-Ende-zu-Ende-Verschlüsselung, wesentliche CLOUD-Act-Exposition, ab 3 €/Mon..

    Am besten für: Passwort-Manager für datenschutzbewusste Einzelpersonen und Teams, die einen Open-Source-Tresor auf EU-Infrastruktur selbst hosten möchten.

  • Passbolt

    gehostet in Luxembourg, Zero-Knowledge-Ende-zu-Ende-Verschlüsselung, keine CLOUD-Act-Exposition, ab 5 €/Mon..

    Am besten für: Passwort-Manager für EU-Behörden und regulierte Teams, die AGPLv3-Open-Source-Zugangsfreigabe mit SAML/LDAP-SSO und Audit-Protokollen benötigen.

  • Psono

    gehostet in Germany, Zero-Knowledge-Ende-zu-Ende-Verschlüsselung, wesentliche CLOUD-Act-Exposition, ab 0 €/Mon..

    Am besten für: Passwort-Manager für deutsche und EU-Teams, die einen selbst hostbaren Open-Source-Tresor mit SAML/LDAP-SSO und Audit-Log-Compliance suchen.

  • Vaultwarden

    gehostet in Spain, Zero-Knowledge-Ende-zu-Ende-Verschlüsselung, keine CLOUD-Act-Exposition, kostenlose Stufe verfügbar.

    Am besten für: Passwort-Manager für Homelab-Nutzer und EU-KMUs mit IT-Kapazität, die einen Bitwarden-kompatiblen Tresor unter eigener Kontrolle selbst hosten möchten.

So treffen Sie die Wahl

Beginnen Sie bei der Anforderung, die für Sie nicht verhandelbar ist. Wenn unabhängige Überprüfbarkeit Priorität hat, schauen Sie über die Lizenz hinaus darauf, ob der Code eine dokumentierte Audit-Historie und einen aktiven Pflege-Rhythmus hat; ein offenes Repository, das niemand prüft, liefert wenig vom Nutzen. Wenn Sie die Abhängigkeit von einem Drittanbieter beseitigen wollen, filtern Sie auf Produkte mit veröffentlichter, selbst hostbarer Server-Komponente und seien Sie ehrlich, ob Ihr Team Backups, Updates und Verfügbarkeit verantworten kann; wenn nicht, ist ein gut betriebener gehosteter Open-Source-Dienst die realistischere Wahl.

Wenn Gerichtsbarkeit oder Hosting-Region zu Ihren Anforderungen gehören, behandeln Sie das als gesonderten Filter neben Open Source; kombinieren Sie den Open-Source-Filter mit den Signalen für Hosting-Region und Eigentümerschaft, statt anzunehmen, dass eines das andere bedingt. Wenn die CLOUD-Act-Exposition Teil Ihrer Bewertung ist, denken Sie daran, dass die Lizenz daran nichts ändert; entscheidend sind Eigentümerschaft des Betreiberunternehmens und die Hosting-Vereinbarung. Prüfen Sie diese Felder in jedem Eintrag und gleichen Sie sie mit Ihrer eigenen Transfer-Folgenabschätzung ab.

Wenn Sie Einzelnutzer oder ein kleines Team sind, sind die praktischen Kriterien meist Browser- und Mobil-Unterstützung, ein sauberer Importpfad von Ihrem heutigen Werkzeug und Wiederherstellungsoptionen, die Sie nicht aussperren; Open Source ist hier eine Beruhigung, nicht der ausschlaggebende Faktor. Sortieren Sie die Matrix oben nach Compliance-Bewertung, Hosting-Region, Eigentümerschaft oder Self-Hosting-Verfügbarkeit, um eine engere Auswahl zu erstellen, und öffnen Sie dann jedes Profil, um die Details mit Ihren Anforderungen abzugleichen. Jeder Eintrag trägt eigene, unabhängig geprüfte Daten; nutzen Sie diese Seite, um das Feld einzugrenzen, und die Profile für die endgültige Entscheidung.

WECHSEL-RATGEBER

Wechsel von einem US-Tool für passwort-manager?

Europäische Alternativen im direkten Vergleich (gleiche Prüfungen zu Hosting, Eigentum und CLOUD Act) für die am häufigsten ersetzten passwort-manager-Tools.

RATGEBER

Die 7 besten europäischen Passwort-Manager (2026), DSGVO-geprüft

Sieben europäische Passwort-Manager, gereiht nach unserem verifizierten Datensatz: Proton Pass ist der beste Consumer-Pick, Passbolt und Uniqkey führen für Teams, KeePassXC und Vaultwarden entfernen den Cloud-Betreiber ganz. Pro Tool haben wir Eigentümerschaft, Hosting, Unterauftragsverarbeiter und CLOUD-Act-Risiko verifiziert. Das ist die Schicht, die Ende-zu-Ende-Verschlüsselung nicht abdeckt.

Zum Ratgeber →
VERWANDTE SAMMLUNGEN
FAQ

Häufig gestellte Fragen

Was macht einen Passwort-Manager zu Open Source?
Auf dieser Seite ist ein Open-Source-Passwort-Manager ein Produkt, dessen Client- und idealerweise auch Server-Code unter einer anerkannten Open-Source-Lizenz veröffentlicht ist, sodass jeder nachvollziehen kann, wie Tresore verschlüsselt, synchronisiert und gespeichert werden. Open Source beschreibt hier die Verfügbarkeit des Codes, nicht eine Garantie über das Unternehmen dahinter. Jeder Eintrag führt Lizenz, Hosting-Region und Eigentümerschaft als getrennte Signale, damit Sie das Produkt nach Ihren eigenen Kriterien beurteilen können.
Ist ein Open-Source-Passwort-Manager sicherer als ein Closed-Source-Produkt?
Nicht automatisch. Offener Code macht eine unabhängige Prüfung möglich, was ein echter Vorteil ist, doch die Sicherheit hängt weiterhin davon ab, ob der Code tatsächlich auditiert wurde, wie schnell Korrekturen ausgeliefert werden und wie der Dienst betrieben wird. Ein Closed-Source-Produkt mit solider Audit-Historie kann eine vernünftige Wahl sein, ein ungepflegtes Open-Source-Projekt eine schlechte. Behandeln Sie Open Source als einen Faktor (Prüfbarkeit), nicht als Urteil für sich allein.
Kann ich einen Open-Source-Passwort-Manager selbst hosten?
Häufig, aber nicht immer; das hängt vom konkreten Produkt ab. Manche Open-Source-Passwort-Manager veröffentlichen eine Server-Komponente, die Sie auf eigener Infrastruktur betreiben können; andere sind nur auf der Client-Seite quelloffen und werden ausschließlich als gehosteter Dienst angeboten. Self-Hosting kann die Abhängigkeit von einem Drittanbieter verringern, verlagert aber Backup, Patching und Verfügbarkeit auf Ihr Team. Prüfen Sie jeden Eintrag, ob ein selbst hostbarer Server angeboten wird.
Bedeutet Open Source, dass der Passwort-Manager europäisch ist?
Nein. Open Source beschreibt die Lizenzierung des Codes; es sagt nichts darüber aus, wo das Unternehmen eingetragen ist oder wo Tresore gehostet werden. Ein Open-Source-Passwort-Manager kann US-eigen und US-gehostet sein oder EU-eigen und EU-gehostet. Dieser Hub hält den Open-Source-Filter sowie die Signale für Hosting-Region und Eigentümerschaft getrennt, sodass Sie sie nach Ihren eigenen Anforderungen kombinieren können.
Liegt ein Open-Source-Passwort-Manager außerhalb des US-CLOUD-Act?
Nicht aufgrund seiner Lizenz. Der CLOUD Act kann auf Daten zugreifen, die von einem der US-Gerichtsbarkeit unterliegenden Unternehmen gehalten werden, unabhängig vom Serverstandort. Entscheidend sind also Eigentümerschaft und Hosting des Betreiberunternehmens, nicht die Offenheit des Codes. Eine selbst gehostete Installation auf von Ihnen kontrollierter Infrastruktur hat wiederum ein anderes Expositionsprofil. Jeder Eintrag erfasst Eigentümerschaft, Hosting-Region und CLOUD-Act-Exposition, damit die Kennzeichnung auf Belegen beruht.
Wie unterscheidet sich dieser Hub von der Kategorieseite für Passwort-Manager?
Die Kategorie Passwort-Manager listet jeden Passwort-Manager im Verzeichnis. Dieser Hub ist dieselbe Datenbasis, eingegrenzt auf Produkte mit öffentlich prüfbarem Quellcode, mit dem redaktionellen Kontext und den FAQ, die ein Käufer mit Fokus auf Open Source braucht. Nutzen Sie die Filter unten, um weiter nach Hosting-Region, Self-Hosting-Option oder Eigentümerschaft einzugrenzen.
Methodik

Wie wir jeden Eintrag hier geprüft haben.

Für jedes Produkt prüfen wir die öffentliche DPA, das Unterauftragsverarbeiter-Dokument, die Hosting-Region, Zertifizierungen und die Eigentümerstruktur. Jede Prüfung wird mit Zeitstempel versehen. Die Signale sind redaktionell und werden vierteljährlich neu verifiziert. Selbstauskünfte akzeptieren wir nicht.

Methodik lesen →