Ihr Browser ist kein Tresor. Bitte hören Sie auf, ihm die Schlüssel zu geben.

Es gibt zwei Arten der Passwortspeicherung auf der Welt: die, die Ihnen hilft, sich schneller bei Ihrer Lieblings-Lunch-Bestellseite anzumelden, und die, die die Anmeldeinformationen schützt, mit denen Sie Ihr Unternehmen entsperren können.

Leider behandeln viele Organisationen beide auf die gleiche Weise.

Ein Browser fragt: „Passwort speichern?“
Ein Mitarbeiter klickt: „Klar.“

Einige Monate später enthält dasselbe Browserprofil SaaS-Anmeldungen, Admin-Portale, geteilte Servicekonten, VPN-Zugangsdaten, API-Portale und gelegentlich ein altes System, das jeder zu berühren fürchtet, weil „die letzte Person, die es verstand, 2019 gegangen ist.“

Das ist keine Passwortverwaltung. Das ist digitales Schlüsselanhäufen mit einer schönen Autofill-Schaltfläche.

Integrierte Passwortmanager im Browser sind nicht böse. Sie sind nützlich. Sie sind besser als Passwortwiederverwendung, Haftnotizen oder die legendäre Tabelle namens Holiday2014.xlsx. Aber für Organisationen, insbesondere Sicherheitsteams, IT-Administratoren und PAM-Beteiligte, lautet die Frage nicht: „Kann der Browser ein Passwort speichern?“

Die Frage ist: „Können wir steuern, prüfen, widerrufen, rotieren, genehmigen und nachweisen, wer Zugriff auf jede wichtige Anmeldeinformation hatte?“

Dort verlässt der Browser höflich den Raum.

Der Browser ist ein Fenster, kein Tresor

Browser sind dafür gebaut, Nutzern beim Surfen zu helfen. Das bedeutet, Websites darzustellen, Skripte auszuführen, Profile zu synchronisieren, Erweiterungen zu installieren, Downloads zu verwalten, Sitzungen zu managen und im Allgemeinen den ganzen Tag im Feuer zu stehen. Alle Anmeldedaten dort zu speichern ist, als würde man die Hausschlüssel im Briefkasten aufbewahren, weil es „für alle bequem“ ist.

MITRE ATT&CK hat eine eigene Subtechnik für Anmeldeinformationen aus Webbrowsern: T1555.003. MITRE stellt fest, dass Angreifer Anmeldeinformationen durch das Auslesen browser-spezifischer Dateien erlangen können. Obwohl Browser Anmeldeinformationen normalerweise verschlüsselt speichern, gibt es Methoden, um Klartext-Anmeldeinformationen zu extrahieren, und Angreifer können diese Anmeldeinformationen wiederverwenden, um den Zugriff auf Systeme auszuweiten.

Das ist nicht theoretisch. Infostealer-Malware geht routinemäßig auf im Browser gespeicherte Geheimnisse los. Die Lumma Stealer-Analyse 2025 von Cloudflare beschreibt Infostealer-Protokolle, die Anmeldedaten enthalten können, die in Browsern gespeichert sind, Autofill-Daten, Cookies, Kryptowährungs-Wallet-Daten, Dateien, Screenshots und Systeminformationen. Dieselbe Analyse empfiehlt ausdrücklich, gespeicherte Browser-Passwörter zu vermeiden und stattdessen einen dedizierten Passwortmanager zu verwenden.

Und die Geschichte wird immer unangenehmer. Ein Bericht vom Mai 2026 über Microsoft Edge beschrieb Forschungsergebnisse, dass Edge gespeicherte Passwörter beim Start im Klartext in den Speicher laden könnte. Microsoft sagte, dass der Zugriff in diesem Szenario voraussetzen würde, dass das Gerät bereits kompromittiert ist, aber genau das ist der Punkt für Verteidiger: Sobald eine Workstation kompromittiert ist, können im Browser gespeicherte Anmeldeinformationen sehr attraktive Beute werden.

Mit anderen Worten: Der Browser mag praktisch sein, ist aber auch ein hochrangiges Ziel, eine tägliche Angriffsfläche und kein guter Ort, um die Schlüssel zu Ihrem Königreich zu zentralisieren.

Das CSV-Problem: einfach rein, gefährlich raus

Passwörter aus einem Browser zu entfernen ist normalerweise einfach. Exportieren Sie als CSV, importieren Sie in einen geeigneten Tresor, überprüfen Sie den Import, löschen Sie die Exportdatei und entfernen Sie die Passwörter aus dem Browser.

Aber der Teil „Exportdatei löschen“ ist kein Kleingedrucktes. Es ist der Punkt, an dem Ihre Geheimnisse nicht mehr offen herumliegen.

Die Chrome-Hilfe von Google warnt, dass Sie nach dem Exportieren von Passwörtern in eine CSV-Datei diese Datei löschen müssen, da jeder, der das Gerät benutzt, sie öffnen und auf die Passwörter zugreifen kann.

Diese Warnung ist hilfreich, aber sie sagt uns auch etwas Wichtiges: Browser-Passwortmanager sind auf Benutzerfreundlichkeit optimiert, nicht auf unternehmensgerechte Geheimnisverwaltung. Das Exportieren einer vollständigen Anmeldedaten-Sammlung in eine tragbare Datei sollte jedes Sicherheitsteam aufhorchen lassen und Kaffee über den Incident-Response-Plan verschütten.

Ja, verwenden Sie die Exportfunktion zum Migrieren. Nein, lassen Sie CSV-Dateien nicht zu den neuen Tabellenkalkulationsgeheimnissen werden.

Das eigentliche Unternehmensproblem: keine Eigentümerschaft, kein Workflow, kein Nachweis

Das Risiko besteht nicht nur aus Malware. Das tägliche Betriebsproblem ist schlimmer, weil es langweilig, hartnäckig und sehr gut darin ist, sich offen zu verstecken.

In einem Unternehmen sind Passwörter selten nur persönlich. Sie werden zu Teamressourcen. Administrator-Anmeldeinformationen. Servicekonto-Passwörter. Gemeinsame Anmeldungen für Anwendungen. API-Geheimnisse. Datenbank-Anmeldeinformationen. Notfallzugangskonten. Anbieterportal-Anmeldungen. Legacy-System-Anmeldeinformationen, die niemand zugeben will, dass sie noch existieren.

Wenn diese Geheimnisse in Browserprofilen gespeichert sind, verlieren Sicherheitsteams die Antworten auf grundlegende Fragen:

1. Wer hat Zugriff auf diese Anmeldeinformationen?
2. Wer hat es zuletzt benutzt?
3. Wurde der Zugriff genehmigt?
4. Wurde MFA durchgesetzt?
5. Wurden die Zugangsdaten nach dem Ausscheiden eines Mitarbeiters geändert?
6. Welche gemeinsam genutzten Konten werden noch verwendet?
7. Können wir einem Prüfer irgendetwas davon beweisen, ohne drei Personen, zwei Tabellenkalkulationen und einen sehr nervösen Teamleiter herbeizurufen?

Hier stoßen integrierte Browser-Passwortmanager an ihre Grenzen. Sie sind für den einzelnen Benutzer konzipiert. Unternehmen benötigen Governance.

Sogar Browser-Hersteller erkennen die Notwendigkeit administrativer Kontrolle an. Die Dokumentation von Chrome Enterprise enthält eine Richtlinie, die Administratoren deaktivieren können, um zu verhindern, dass Chrome die Passwörter der Benutzer speichert.

Das ist ein guter erster Schritt. Aber das Deaktivieren des Browser-Speicherns ohne den Mitarbeitern einen geeigneten Tresor zu geben, ist wie allen die Aktenschränke zu entfernen und zu sagen: „Bitte werden Sie bis Montag papierlos.“ Die Leute werden improvisieren. Die Sicherheitsteams werden die Improvisation nicht mögen.

Verwenden Sie einen Tresor. Einen echten.

Ein kompetenter Passwortmanager bietet Mitarbeitern einen sicheren Ort zur Aufbewahrung von Geheimnissen. Eine Enterprise-Passwortverwaltungslösung gibt IT- und Sicherheitsteams die Kontrolle darüber, wie diese Geheimnisse gespeichert, geteilt, zugegriffen, geprüft und widerrufen werden.

Diese Unterscheidung ist wichtig.

Netwrix Password Secure wurde für Passwortverwaltung für die Belegschaft entwickelt, nicht nur für die persönliche Passwortspeicherung. Es ersetzt gemeinsam genutzte Tabellenkalkulationen und Schatten-Tresore durch zentralisierten, Ende-zu-Ende-verschlüsselten Speicher und sichere Teamfreigabe, die von der IT kontrolliert wird.

Dies ist die wichtige Veränderung: Anmeldedaten sind keine zufälligen Artefakte mehr, die über Browser, Chatnachrichten, private Tresore und „temporäre“ Dokumente verstreut sind. Sie werden zu verwalteten Vermögenswerten.

Mit Netwrix Password Secure können Mitarbeiter Passwörter, Schlüssel, PINs, Token, Zertifikate und andere Geheimnisse in einem zentralen Tresor speichern, der durch Ende-zu-Ende-Verschlüsselung geschützt ist. Benutzer erhalten persönlichen Geheimnisspeicher, während Teams über strukturierte Bereiche zusammenarbeiten, die durch rollenbasierte Zugriffskontrolle verwaltet werden. Die IT behält die Sichtbarkeit darüber, wer auf welche Geheimnisse zugreift und wie sie verwendet werden.

Das ist der Unterschied zwischen „Ich glaube, Bob hat das Passwort noch“ und „Hier ist der Zugriffsdatensatz.“

Richtlinien sollten nicht dekorativ sein

Die meisten Organisationen haben bereits Passwort-Richtlinien. Starke Passwörter. MFA. Rotation. Sichere Freigabe. Kontrollen für Privileged Access Management. Prüfpfade.

Das Problem ist nicht, dass Richtlinien nicht existieren. Das Problem ist, dass sie in vielen Umgebungen wie Fitnessstudio-Mitgliedschaften im Februar behandelt werden: technisch aktiv, aber selten genutzt.

Netwrix Password Secure hilft dabei durchzusetzen, was die Richtlinie vorschreibt. Es unterstützt rollenbasierte Zugriffskontrolle, MFA, Genehmigungs-Workflows und vollständige Audit-Protokollierung, sodass Teams sehen können, wer auf ein geteiltes Geheimnis zugegriffen hat, wann darauf zugegriffen wurde und welche Aktionen durchgeführt wurden. Der Zugriff kann auch während des Offboardings widerrufen werden, denn „wir denken, wir haben alles entfernt“ ist keine Kontrolle. Es ist ein Gebet.

Widerruf ist keine Rotation

Offboarding wird oft wie ein Checklistenpunkt behandelt: Konto deaktivieren, Benutzer aus Gruppen entfernen, Vault-Zugriff widerrufen, Ticket schließen, eine kurze und trügerische Ruhe genießen.

Aber die Rotation ist genauso wichtig wie die Sperrung.

Wenn ein Mitarbeiter geht, ist das Entfernen seines Vault-Zugriffs der offensichtliche Schritt. Der weniger offensichtliche Schritt ist sicherzustellen, dass die von ihm verwendeten Anmeldeinformationen nicht irgendwo anders weiterhin verwendet werden können. Geteilte Admin-Konten, Service-Konto-Passwörter, Anwendungscredentials und API-Geheimnisse werden nicht automatisch sicher, nur weil die Person weg ist. Der Benutzer mag weg sein. Die Anmeldeinformationen sind immer noch sehr lebendig, wahrscheinlich trinken sie gerade Kaffee in der Produktion.

Deshalb müssen gemeinsam genutzte und privilegierte Anmeldeinformationen rotiert und nicht nur neu zugewiesen werden. Netwrix Password Secure unterstützt die Passwortrotation, sodass sich die Anmeldeinformation selbst ändert und nicht nur, wer sie sehen darf. Das schließt die Lücke zwischen „Wir haben ihren Zugriff entfernt“ und „Wir sind sicher, dass die Anmeldeinformation nicht wiederverwendet werden kann.“

In der Sicherheit ist diese Lücke der Ort, an dem Vorfälle gerne kleine Häuser bauen.

Für privilegierte Konten fügen genehmigungsbasierte Workflows eine weitere Schutzschicht hinzu. Sensible Zugangsdaten sollten nicht einfach verfügbar sein, nur weil das Browserprofil einer Person sie speichert. Der Zugriff sollte bewusst, zeitlich begrenzt, protokolliert und nachvollziehbar sein.

Der Browser sagt: „Hier ist das Passwort.“
Ein verwahrter Tresor sagt: „Warum brauchst du es, wer hat es genehmigt und was ist danach passiert?“

Das ist das Gespräch unter Erwachsenen.

Entwickelt für den Punkt, an dem Verbrauchertools versagen

Passwortmanager für Verbraucher können für kleine Teams funktionieren. Dann wächst das Unternehmen. Mehr Mitarbeiter. Mehr Systeme. Mehr gemeinsame Konten. Mehr Abteilungen. Mehr Ausnahmen. Mehr „nur für jetzt“-Lösungen, die irgendwie zur Infrastruktur werden.

Bei etwa 100 Mitarbeitern werden die Risse offensichtlich. Die Vault-Ausbreitung beginnt. Die Eigentumsverhältnisse werden unklar. Berechtigungen driftet. Die Nutzung außerhalb der IT sinkt. Die Audit-Sichtbarkeit verschwindet. Geteilte Zugangsdaten werden zu verwaisten kleinen Kobolden, die unter den Dielen leben.

Netwrix Password Secure ist für die unternehmensweite Einführung konzipiert, nicht nur für die IT-Abteilung. Es bietet zentrale Governance, saubere RBAC-Modelle und eine konsistente Durchsetzung von Richtlinien im gesamten Unternehmen, sodass jeder Benutzer einbezogen und jedes Geheimnis verwaltet wird.

Das ist wichtig, weil Passwortsicherheit nicht nur ein Problem der Administratoren ist. Jeder Mitarbeiter hat Zugangsdaten. Jedes Team teilt etwas. Jeder Geschäftsprozess hängt vom Zugriff ab. Sicherheit, die nur für das Sicherheitsteam funktioniert, ist keine Sicherheit. Es ist ein Club.

Verbinden Sie Privileged Access Management und vereinheitlichen Sie die Geheimnisverwaltung

Privilegierte Anmeldeinformationen sollten nicht in einem Silo leben, während Mitarbeiterpasswörter in einem anderen und Dienstkonten-Geheimnisse an einem dritten Ort namens „Ask Melanie“ gespeichert sind.

Netwrix Password Secure kann helfen, die Geheimnisverwaltung über privilegierte und nicht privilegierte Anmeldeinformationen hinweg zu vereinheitlichen. Mit dem NPS-zu-NPWS-Connector können Organisationen Password Secure als Tresor für relevante Geheimnisse über Systeme hinweg verwenden, PAM-Umgebungen verbinden und konsistente Richtlinien für gemeinsam genutzte Administrator-Konten, Dienstkonten und Anwendungskonten anwenden.

Dies ist besonders nützlich für Organisationen, die noch immer auf Passwörter in Legacy-Systemen, Diensten und Anwendungen angewiesen sind.Passwordless ist die Zukunft, ja. Aber am Montagmorgen gibt es immer noch Passwörter, und jemand muss sie richtig verwalten.

Self-Hosting: weil die Frage „Wo sind unsere Geheimnisse?“ eine ernsthafte Antwort verdient

Für viele Organisationen ist die Vault-Frage auch eine Frage des Datenbesitzes.

Netwrix Password Secure ist selbst gehostet und bietet Organisationen Flexibilität bei der Bereitstellung in lokalen, Cloud- und hybriden Umgebungen. Netwrix positioniert es als eine Lösung zur Passwortverwaltung für die Belegschaft, die es Organisationen ermöglicht, die Kontrolle über Hosting, Eigentum und Verschlüsselung zu behalten.

Für Teams, die die Passwortprivatsphäre einen Schritt weiterführen möchten, ist Self-Hosting ein großer Vorteil. Sie wählen nicht nur einen Passwortmanager. Sie entscheiden, wo die Geheimnisse gespeichert sind, wer die Infrastruktur kontrolliert und wie das System in Ihr Risikomodell passt.

Und für diejenigen, die Architekturdiagramme so lesen wie andere Speisekarten: Netwrix Password Secure unterstützt eine skalierbare Client-Server-Architektur. Eine grundlegende Produktionsumgebung verwendet separate Ebenen für Datenbank, Anwendung und Webserver. Microsoft SQL Server wird für die Datenspeicherung verwendet. Mehrere Anwendungsserver können die Last verteilen. Mehrere Datenbankserver werden über Standorte hinweg unterstützt. Für Produktionsumgebungen wird empfohlen, einen ausfallsicheren Datenbank-Cluster zu verwenden.

Die Verschlüsselungsgeschichte ist ebenfalls kein leeres Gerede. Netwrix Password Secure verwendet modernste ECC-Technologie und eine echte E2EE-Architektur.

Kurz gesagt, das ist kein „Passwort speichern?“ mit einem schöneren Logo. Es ist eine Infrastruktur für die Verwaltung von Zugangsdaten.

Der praktische Migrationspfad

Für eine Einzelperson kann das Aufgeben der Passwortspeicherung im Browser nur wenige Minuten dauern:

• Passwörter aus dem Browser exportieren.
• Importieren Sie sie in einen geeigneten Tresor.
• Überprüfen Sie den Import.
• Löschen Sie den CSV-Export sofort.
• Gespeicherte Passwörter aus dem Browser entfernen.
• Deaktivieren Sie das Speichern von Passwörtern im Browser ab sofort.

Für eine Organisation gilt dasselbe bei der Planung: Wählen Sie den vault, definieren Sie Rollen, ordnen Sie Teams und privilegierte Konten zu, migrieren Sie Geheimnisse, erzwingen Sie MFA, konfigurieren Sie Genehmigungs-Workflows, schulen Sie Benutzer und verwenden Sie Browser-Richtlinien, um zu verhindern, dass neue Anmeldeinformationen wieder in unverwalteten Speicher gelangen.

Das Ziel ist nicht, die Benutzer leiden zu lassen. Das Ziel ist, den sicheren Weg einfacher zu machen als den riskanten.

Abschließender Gedanke: Hören Sie auf, dem Browser die Kronjuwelen zu geben

Integrierte Passwortmanager im Browser sind praktisch. Sie sind jedoch nicht als Grundlage für die Sicherheit von Mitarbeiteranmeldeinformationen geeignet.

Ihre Zugangsdaten verdienen einen Tresor. Ihre Administratoren verdienen Workflows. Ihre Prüfer verdienen Beweise. Ihr Sicherheitsteam verdient Sichtbarkeit. Und Ihr Browser verdient ehrlich gesagt etwas weniger Verantwortung. Er hat bereits genug geöffnete Tabs.

Netwrix Password Secure zentralisiert die Verwaltung von Zugangsdaten, erzwingt sicheren Zugriff, unterstützt MFA und rollenbasiertes Teilen, bietet vollständige Aktivitätsverfolgung, integriert sich in Verzeichnisdienste und Privileged Access Management-Workflows und bietet Organisationen flexible selbstgehostete Bereitstellungsoptionen.

Also ja: Bitte verwenden Sie kompetente Passwortmanager, um die Schlüssel zum Schloss zu verwahren. Vermeiden Sie es, sich auf integrierte Browser-Passwortmanager für Unternehmensgeheimnisse zu verlassen. Exportieren, importieren, löschen, deaktivieren und verwalten.

Weil die Schlüssel zur Burg nicht im Browser sein dürfen.

Sie gehören in einen Tresor.