Die 7 besten europäischen Passwort-Manager (2026), DSGVO-geprüft
Sieben europäische Passwort-Manager, gereiht nach unserem verifizierten Datensatz: Proton Pass ist der beste Consumer-Pick, Passbolt und Uniqkey führen für Teams, KeePassXC und Vaultwarden entfernen den Cloud-Betreiber ganz. Pro Tool haben wir Eigentümerschaft, Hosting, Unterauftragsverarbeiter und CLOUD-Act-Risiko verifiziert. Das ist die Schicht, die Ende-zu-Ende-Verschlüsselung nicht abdeckt.
Warum der Betreiber zählt, nicht nur die Verschlüsselung
Die meisten Passwort-Manager-Vergleiche stellen Funktionen und Preise nebeneinander. Dieser beginnt dort, wo jene aufhören: Wer betreibt den Dienst, in welcher Jurisdiktion, mit welchen Unterauftragsverarbeitern? Ende-zu-Ende-Verschlüsselung schützt den Inhalt Ihres Tresors. Kontodaten, Metadaten, Freigabestrukturen und der Update-Kanal liegen dagegen beim Betreiber. Dies sind die sieben stärksten europäischen Optionen, Stand Juni 2026, aus dem verifizierten Datensatz von EU Vetted.
Verwandte gefilterte Ansichten: Open-Source-Passwort-Manager und Passwort-Manager ohne US-Unterauftragsverarbeiter. Ganze Kategorie: Passwort-Manager.
Die Top-Auswahl im direkten Vergleich
| Signal | Proton Pass | Passbolt | Uniqkey | Psono | KeePassXC | Vaultwarden | pCloud Pass |
|---|---|---|---|---|---|---|---|
| Jurisdiktion | |||||||
| EU-/Angemessenheits-Hosting | |||||||
| EU-/Angemessenheits-Betreiber | |||||||
| Keine US-CLOUD-Act-Exposition | |||||||
| Zahlung ohne Kreditkarte möglich | Akzeptiert neben Karten auch Bitcoin und Bargeld per Post. | ||||||
| Transparenz | |||||||
| Öffentlicher AVV | |||||||
| Unterauftragsverarbeiter offengelegt | |||||||
| Open-Source-Clients | |||||||
| Zertifizierung durch Dritte | |||||||
1. Proton Pass: bester Gesamtsieger für Einzelpersonen
Schweizerisch, kontrolliert von der gemeinnützigen Proton Foundation, Zero-Knowledge, mit Open-Source-Apps und -Erweiterungen, ab 2 €/Monat und Gratis-Tarif inklusive. Wer schon Proton Mail oder Drive nutzt, fügt es in dieselbe Suite ein; der einzige US-Berührungspunkt ist vorübergehend, womit das CLOUD-Act-Risiko bei Keines bleibt. Die Standard-Empfehlung für Einzelpersonen und Familien, die einen US-Platzhirsch verlassen. Vollständiges Profil →
Swiss zero-knowledge password manager (Proton AG / Proton Foundation), open-source apps + extensions, Cure53-audited, free unlimited tier.
- FROM
- 2 €/Mt.
- CLOUD ACT
- NONE
2. Passbolt: am besten für Teams
In Luxemburg eingetragen, AGPLv3-Open-Source, SOC-2-Type-II-auditiert und spezifisch für Team-Credential-Workflows gebaut (granulare Freigaben, Zugriffskontrolle, API). Über die Jurisdiktion entscheidet hier das Betriebsmodell. Die Standard-Passbolt-Cloud läuft auf Google Cloud in Belgien und Deutschland hinter Cloudflare, gegen eine Liste von 14 Unterauftragsverarbeitern, von denen neun in den USA ansässig sind, weshalb wir sie mit Erheblich bewerten; die Tarife Cloud Sovereign und Cloud Enterprise liegen stattdessen in einem privaten Luxemburger Rechenzentrum, und die AGPLv3-Self-Hosting-Route auf EU-Infrastruktur legt die gesamte Kette zurück in Ihre eigene Hand. Ab 5 €/Nutzer/Monat, selbst gehostet kostenlos. Vollständiges Profil →
Luxembourg-incorporated AGPLv3 open-source team password manager (Passbolt SA), SOC 2 Type II, self-hostable, used by LU/FR government.
- FROM
- 5 €/Mt.
- CLOUD ACT
- MATERIAL
3. Uniqkey: am besten für Business-Zugriffsmanagement
Dänisch (Kopenhagen), dänisch gehostet, Zero-Knowledge und über den reinen Tresor hinaus positioniert: Mitarbeiter-Zugriffsmanagement, Schatten-IT-Sichtbarkeit, Offboarding-Workflows, das CLOUD-Act-Risiko bei Keines. Der Pick, wenn der Käufer das IT-Management eines Unternehmens mit 50–500 Köpfen ist und nicht ein Teamlead mit Kreditkarte. Bezahlt, Preise auf Anfrage. Vollständiges Profil →
Danish business password & access manager (Uniqkey A/S, Copenhagen), Danish-hosted, zero-knowledge E2E, ISO 27001, EIFO-backed, NIS2-focused.
- FROM
- —
- CLOUD ACT
- NONE
4. Psono: bester selbst gehosteter Team-Tresor
Deutsch (esaqa GmbH), Apache-2.0-Open-Source, für Self-Hosting auf eigener EU-Infrastruktur gebaut, womit die Betreiber-Frage in Ihrer Hosting-Entscheidung aufgeht. Bewertet wird die gehostete SaaS-Variante, und die läuft auf Google Cloud (Irland) hinter Cloudflare, weshalb das CLOUD-Act-Risiko bei Erheblich liegt. Selbst gehostet kostenlos, verwalteter Tarif verfügbar. Die Engineering-Antwort: volle Kontrolle, echter Audit-Trail und keine Sitzplatz-Miete auf der Self-Hosting-Route. Vollständiges Profil →
German Apache-2.0 open-source team password manager (esaqa GmbH), self-hostable on EU infrastructure, Cure53-audited 2026, free up to 10 users.
- FROM
- 0 €/Mt.
- CLOUD ACT
- MATERIAL
5. KeePassXC: kein Betreiber, keine Kette
Der vollständig offline arbeitende Klassiker, gepflegt aus Deutschland unter GPLv3: eine verschlüsselte Datei auf Ihrer Festplatte, keine Anbieter-Cloud, kein Konto, keine Unterauftragsverarbeiter. Vorladen lässt sich niemand außer Ihnen selbst, weshalb das CLOUD-Act-Risiko bei Keines liegt. Kostenlos. Die Kompromisse betreffen den eingebauten Sync (keiner; Sie synchronisieren die Datei selbst) und Team-Funktionen (keine). Für den einzelnen technischen Nutzer bleibt es die unangreifbarste Antwort der Kategorie. Vollständiges Profil →
GPLv3 fully-offline desktop password manager (KeePassXC Team, Weimar DE, est. 2016): no cloud, no servers, no telemetry; structurally zero CLOUD Act exposure.
- FROM
- —
- CLOUD ACT
- NONE
6. Vaultwarden: Bitwardens Clients, Ihr Server
Eine unabhängige Open-Source-Server-Implementierung (AGPL, Rust), kompatibel mit Bitwardens exzellenten Apps und Browser-Erweiterungen. Auf europäischer Infrastruktur gehostet, behalten Sie das polierte Client-Ökosystem und ersetzen die US-betriebene Dienst-Schicht; der Betreiber sind Sie, das CLOUD-Act-Risiko also Keines. Kostenlos, sofern Sie den Server und die Disziplin für Patches und Backups mitbringen. Vollständiges Profil →
AGPLv3 Rust Bitwarden-compatible server by Daniel García (Spain), self-host-only, no company, no telemetry; EU-maintained, no CLOUD Act exposure when run on EU infrastructure.
- FROM
- —
- CLOUD ACT
- NONE
7. pCloud Pass: Consumer-Einfachheit, Schweizer Betreiber
Vom Schweizer Speicher-Anbieter pCloud: Zero-Knowledge, clientseitiges AES-256, mit kostenlosem Ein-Geräte-Tarif und Lifetime-Lizenzen (einmalig rund 30 €) für alle, die Abos verabscheuen. CLOUD-Act-Risiko: Gering. Weniger Funktionen als Proton Pass; der Reiz liegt im Preismodell und in der Einfachheit. Vollständiges Profil →
Swiss zero-knowledge password manager (pCloud International AG), client-side AES-256, free single-device tier, Luxembourg or US data residency.
- FROM
- 30 €/Mt.
- CLOUD ACT
- MINOR
Wie Sie zwischen ihnen wählen
Wählen Sie zuerst das Betriebsmodell, dann das Produkt. Verwaltet, für Einzelpersonen: Proton Pass, oder pCloud Pass für Lifetime-Preise. Verwaltet, für Teams und Unternehmen: Uniqkey, dessen dänisches Hosting die Kette sauber hält, mit Passbolts Tarif Cloud Sovereign als Luxemburger Alternative. Selbst gehostet: Passbolt, Psono oder Vaultwarden, die stärkste jurisdiktionelle Haltung nach Offline, zum Preis eines eigenen Servers. Offline: KeePassXC, gar keine Kette und kein vergleichbarer Komfort.
Was immer Sie wählen: Prüfen Sie vor der Entscheidung zwei Dinge im Profil: den Wiederherstellungs-Ablauf (ein vergessenes Master-Passwort ist der häufigste reale Ausfall) und den Import-Pfad aus Ihrem aktuellen Tool. CSV-Import ist universell, aber geteilte Sammlungen und TOTP-Seeds brauchen meist manuelle Neuanlage. Jedes Profil verlinkt die Dokumentation des Anbieters, sodass Sie die Kette selbst nachprüfen können.
Häufig gestellte Fragen
- Was ist 2026 der beste europäische Passwort-Manager?
- Proton Pass für Einzelpersonen und Familien: schweizerisch, stiftungskontrolliert, Zero-Knowledge, Open-Source-Apps, ab 2 €/Monat mit brauchbarem Gratis-Tarif. Für Teams ist Uniqkey (Dänemark: Business-Zugriffsmanagement, dänisch gehostet) die stärkste verwaltete Option, und Passbolt (Luxemburg: AGPLv3-Open-Source, SOC 2 Type II) die stärkste selbst gehostete, denn sein Standardtarif Passbolt Cloud läuft auf Google Cloud hinter Cloudflare.
- Passwort-Tresore sind doch verschlüsselt. Warum zählt das Land des Betreibers?
- Verschlüsselung schützt die Tresor-Inhalte, nicht den Dienst darum herum. Konto-Identitäten, Tresor-Metadaten, Team-Freigabestrukturen und der Client-Update-Kanal liegen beim Betreiber und seinen Unterauftragsverarbeitern, erreichbar per Rechtsverfahren in dessen Jurisdiktion. Ein europäischer Betreiber, oder gar keiner im Offline- bzw. Self-Hosting-Fall, schließt auch diese Schicht.
- Sind 1Password, Bitwarden und LastPass europäisch?
- Nein. Alle drei werden von US-eingetragenen Unternehmen betrieben, egal wo Ihre Daten gehostet sind. Vaultwarden ist der europäisch relevante Ausweg: eine unabhängige Open-Source-Server-Implementierung, kompatibel mit Bitwardens Apps und Erweiterungen, die Sie selbst auf EU-Infrastruktur hosten. Das Client-Ökosystem bleibt, die US-betriebene Dienst-Schicht wird ersetzt.
- Und NordPass, das sich doch als europäisch vermarktet?
- Nord Security ist litauisch gegründet, und NordPass' Kryptografie ist solide (Zero-Knowledge XChaCha20, ISO 27001, SOC 2). Seine Kette trägt in unserer Bewertung jedoch erhebliches US-Risiko, weshalb es den strengen Schnitt dieser Liste nicht schafft. Lautet Ihre Messlatte 'EU-Marke, starke Krypto' statt 'keine US-erreichbaren Glieder', bleibt es eine vertretbare Wahl. Das Profil dokumentiert die Kette.
- Wie wurde diese Liste verifiziert?
- Jeder Eintrag wurde gegen die veröffentlichten Unterlagen des Anbieters geprüft (AVV/DPA, Unterauftragsverarbeiter-Liste, Impressum, Eigentümerschaftsnachweise und Audit-Berichte), anschließend im Profil datiert und für eine vierteljährliche Nachprüfung vorgemerkt. Das Ranking ist redaktionell und niemals bezahlt; jede und jeder kann die Methodik nachvollziehen.
Für jedes Produkt prüfen wir den öffentlichen AVV, das Sub-Auftragsverarbeiter-Dokument, die Hosting-Region und die Eigentümerstruktur, jeweils mit Zeitstempel. Die Signale sind redaktionell und werden vierteljährlich neu verifiziert. Selbstauskünfte akzeptieren wir nicht.