Warum ein Passwortmanager auf sicheren Smartphones unverzichtbar ist
Ein Passwortmanager ist die Grundlage jeder ernsthaften Sicherheitsstrategie für Android – gerade auf einem Privacy-Phone mit GrapheneOS oder LineageOS. Wer sich die Mühe macht, Google-Dienste zu entfernen und ein datenschutzfreundliches Betriebssystem einzurichten, verschenkt sonst genau dort Sicherheit, wo es am einfachsten wäre: bei Passwörtern. Wiederverwendete oder schwache Passwörter bleiben eines der größten Einfallstore für Account-Übernahmen, unabhängig davon, wie gehärtet das Smartphone selbst ist.
Ein Passwortmanager erzeugt und speichert für jeden Dienst ein langes, einzigartiges Passwort in einem verschlüsselten Tresor, der nur mit einem einzigen Master-Passwort zugänglich ist. In Kombination mit Zwei-Faktor-Authentifizierung entsteht so ein Schutzniveau, das einzelne kompromittierte Passwörter weitgehend wirkungslos macht.
In diesem Ratgeber vergleichen wir die drei relevantesten Open-Source-Passwortmanager für sichere Android-Smartphones – Bitwarden, KeePassDX und Vaultwarden – und zeigen, wie du sie ohne Google-Play-Services installierst und einrichtest.
Open-Source Passwortmanager im Vergleich
Alle vorgestellten Lösungen sind quelloffen und kommen ohne Google-Dienste aus. Regelmäßig von externen Sicherheitsfirmen auditiert wird vor allem Bitwarden. Sie unterscheiden sich vor allem darin, wie der Tresor gespeichert und synchronisiert wird.
Bitwarden: Komfortable Synchronisation mit Ende-zu-Ende-Verschlüsselung
Bitwarden ist der bekannteste Open-Source-Passwortmanager und bietet einen guten Kompromiss aus Komfort und Sicherheit. Der Tresor wird Ende-zu-Ende verschlüsselt in der Bitwarden-Cloud gespeichert und automatisch zwischen allen Geräten synchronisiert. Der Quellcode ist vollständig einsehbar und wurde mehrfach von unabhängigen Sicherheitsfirmen auditiert. Für die meisten Nutzer sicherer Smartphones ist Bitwarden der beste Startpunkt. Bitwarden speichert neben Passwörtern zunehmend auch Passkeys - wie die passwortlose Anmeldung damit funktioniert, erklärt unser Artikel zu Passkeys auf Android und GrapheneOS.
KeePassDX: Maximale Kontrolle ohne Cloud
KeePassDX ist ein Android-Client für das etablierte KeePass-Format (KDBX). Die verschlüsselte Datenbank liegt ausschließlich lokal auf dem Gerät – es gibt keinen Cloud-Dienst, an den Daten übertragen werden. Synchronisation zwischen Geräten muss manuell über einen eigenen Speicherort erfolgen, etwa über Syncthing oder ein verschlüsseltes Backup-Ziel. Das macht KeePassDX ideal für Nutzer, die jede Abhängigkeit von Drittanbietern vermeiden wollen.
Keepass2Android: KeePass mit eingebauter Synchronisation
Keepass2Android nutzt wie KeePassDX das KeePass-Format (KDBX) und ist damit kompatibel zu KeePass und KeePassXC auf dem PC. Der wichtigste Unterschied: Keepass2Android bringt eingebaute Synchronisation mit, unter anderem über WebDAV (etwa Nextcloud), SFTP und gängige Cloud-Speicher. Die verschlüsselte Datenbank kann so automatisch zwischen Handy und PC abgeglichen werden, ohne Zusatz-App. Praktisch ist außerdem „QuickUnlock“: Nach dem ersten Entsperren reichen die letzten Zeichen des Master-Passworts, bis die Datenbank wieder gesperrt wird.
Wer jede Netzwerkverbindung ausschließen will, greift zu Keepass2Android Offline, einer Variante ohne Internet-Berechtigung. Das Projekt ist aktiv gepflegt (zuletzt Version 1.15 im Oktober 2026). Im F-Droid-Katalog steht Keepass2Android nicht: Du bekommst es über Google Play, über den Aurora Store oder als signierte APK aus den GitHub-Releases, die du mit Obtainium aktuell halten kannst.
| KeePassDX | Keepass2Android | |
|---|---|---|
| Format | KDBX (KeePass) | KDBX (KeePass) |
| Synchronisation | über externe App (z. B. Syncthing) | eingebaut (WebDAV, SFTP, Cloud-Speicher) |
| Internetzugriff | keiner (App hat keine Internet-Berechtigung) | ja, oder ohne: Keepass2Android Offline |
| Bezugsquelle | F-Droid, Google Play | Google Play, GitHub-APK |
| Besonderheit | moderne Oberfläche, eigene Tastatur zum Ausfüllen | QuickUnlock, viele Plugins |
Kurz: KeePassDX für alle, die alles lokal halten und über F-Droid installieren wollen. Keepass2Android für alle, die eine KeePass-Datenbank bequem mit dem PC synchronisieren wollen.
Vaultwarden: Der selbst gehostete Bitwarden-Server
Vaultwarden ist eine ressourcenschonende, in Rust geschriebene Neuimplementierung des Bitwarden-Servers, die sich mit den offiziellen Bitwarden-Apps verbinden lässt. Wer bereits einen eigenen Server oder ein NAS betreibt, kann damit die Synchronisationsvorteile von Bitwarden nutzen, ohne dass der verschlüsselte Tresor je einen fremden Server erreicht. Der Aufwand für Einrichtung und Wartung ist dafür deutlich höher als bei den beiden anderen Optionen - eine Schritt-für-Schritt-Anleitung inklusive Nextcloud und Immich zeigt unser Artikel zur eigenen Cloud selbst hosten.
Installation über F-Droid auf GrapheneOS und LineageOS
Auf einem degoogelten Smartphone installierst du Passwortmanager am einfachsten über F-Droid, wie in unserer F-Droid-Installationsanleitung beschrieben.
- F-Droid gemäß der verlinkten Anleitung einrichten
- KeePassDX direkt in F-Droid suchen und installieren. Bitwarden steht nicht im F-Droid-Hauptkatalog: Füge in F-Droid das eigene Repository von Bitwarden hinzu oder installiere die Play-Version über den Aurora Store
- Keepass2Android lädst du über Aurora Store oder als APK von GitHub
- App öffnen und bei Bitwarden ein neues Konto anlegen oder bei KeePassDX eine neue Datenbankdatei erstellen
- Ein starkes, einzigartiges Master-Passwort festlegen, das nirgendwo sonst verwendet wird
Wichtig bei Bitwarden: Die F-Droid-Version enthält kein Firebase Cloud Messaging. Laut Bitwarden funktioniert deshalb die Live-Synchronisation per Push nicht, du musst den Tresor bei Bedarf manuell synchronisieren. Wer Push-Sync will, nutzt die Play-Version, auf GrapheneOS zusammen mit Sandboxed Google Play.
Sicherheitsfunktionen: Master-Passwort, Biometrie und 2FA-Kopplung
Das Master-Passwort ist der einzige Schlüssel zum gesamten Tresor und sollte entsprechend lang und einzigartig sein – eine Passphrase aus mehreren zufälligen Wörtern eignet sich hier besser als ein kurzes, komplexes Passwort. Für den Alltag lässt sich der Tresor zusätzlich per Fingerabdruck oder Gesichtserkennung entsperren. Dabei wird ein Schlüssel im hardwaregestützten Android-Keystore abgelegt, der nur nach erfolgreicher Biometrie freigegeben wird.
Besonders wirkungsvoll ist die Kombination aus Passwortmanager und 2FA: Bitwarden, KeePassDX und Keepass2Android können TOTP-Codes zwar direkt im Tresor speichern, aus Sicherheitsgründen empfiehlt es sich aber, 2FA-Codes in einer separaten App wie Aegis zu verwalten. So bleibt der zweite Faktor auch dann geschützt, wenn der Passwort-Tresor selbst kompromittiert werden sollte.
Backup und Synchronisation ohne Cloud-Abhängigkeit
Ein Passwort-Tresor ist nur so sicher wie sein Backup. Bei Bitwarden übernimmt die Ende-zu-Ende-verschlüsselte Cloud-Synchronisation diese Aufgabe automatisch. Bei KeePassDX liegt die Verantwortung dagegen vollständig bei dir: Die KDBX-Datei sollte regelmäßig an einem zweiten, ebenfalls verschlüsselten Ort gesichert werden.
Wie du solche Backups ohne Google-Cloud-Abhängigkeit organisierst, erklären wir ausführlich in unserem Beitrag zu Handy-Backups ohne Cloud. Die dort vorgestellten Lösungen wie Syncthing oder verschlüsselte Nextcloud-Instanzen eignen sich hervorragend, um auch die KeePassDX-Datenbank oder einen exportierten Bitwarden-Tresor sicher zu duplizieren.
Fazit: Welcher Passwortmanager passt zu wem
Für die meisten Nutzer sicherer Android-Smartphones ist Bitwarden die beste Wahl: quelloffen, auditiert, komfortabel synchronisiert und ohne Google-Abhängigkeit nutzbar. Wer maximale Kontrolle über die eigenen Daten will und mit manueller Synchronisation leben kann, ist mit KeePassDX gut beraten. Wer KeePass nutzen, aber bequem mit dem PC synchronisieren will, nimmt Keepass2Android. Und wer bereits eigene Server-Infrastruktur betreibt, kann mit Vaultwarden die Vorteile von Bitwarden ohne jede Drittanbieter-Cloud nutzen. Entscheidend ist am Ende weniger die konkrete App, sondern dass überhaupt ein Passwortmanager mit einzigartigen, langen Passwörtern zum Einsatz kommt.
Quellen
Stand der Angaben: Oktober 2026.
