Vor einigen Ausgaben habe ich Ihnen KeePass vorgestellt, den kostenlosen Passwort-Tresor, der vollständig in Ihrer Hand bleibt. Seitdem hat sich die Anmeldung im Netz weiter verändert. Viele Dienste verlangen einen Einmalcode als zweiten Faktor, andere bieten Passkeys an, über die ich in Ausgabe 26/17 geschrieben habe. Wer Server betreut, jongliert zusätzlich mit SSH-Schlüsseln. Muss man dafür drei weitere Programme installieren? Nicht unbedingt. Genau hier setzt KeePassXC an.
Was ist KeePassXC?
KeePassXC ist ein eigenständiger, quelloffener Passwort-Manager für Windows, macOS und Linux. Er nutzt dasselbe Datenbankformat (.kdbx) wie das Original von Dominik Reichl, wird aber unabhängig davon von einer Community entwickelt und läuft auf allen Systemen nativ. Hervorgegangen ist er aus dem älteren Projekt KeePassX. Aktuell ist Version 2.7.12 vom 10. März 2026, Version 2.8 befindet sich seit September im Betatest. Für die Vertrauensfrage gibt es einen handfesten Beleg: Version 2.7.9 hat von der französischen Cybersicherheitsbehörde ANSSI eine Erstsicherheitszertifizierung (CSPN) erhalten.
Passkeys im eigenen Tresor
Seit Version 2.7.7 kann KeePassXC Passkeys anlegen und verwenden. Voraussetzung ist die Browser-Erweiterung KeePassXC-Browser, die es für Firefox, Chrome und Edge gibt. Fragt eine Webseite nach einem Passkey, übernimmt KeePassXC anstelle des Betriebssystems und speichert ihn als Eintrag in der Datenbank. Der Clou: Der Passkey liegt in Ihrer eigenen Datei und nicht in der Cloud von Apple, Google oder Microsoft. Er lässt sich exportieren und wieder importieren. Damit fällt ein Argument weg, das viele Unternehmen bisher zögern ließ: die Bindung an einen Plattformanbieter.
Einmalcodes und SSH-Schlüssel
Zu jedem Eintrag lässt sich außerdem ein TOTP-Code hinterlegen, also die sechsstellige Zahl, die sonst eine Authenticator-App erzeugt. Sie übernehmen das Geheimnis oder den QR-Code der Webseite in den Eintrag und können direkt loslegen. Für Administratoren besonders praktisch: KeePassXC kann SSH-Schlüssel beim Entsperren der Datenbank an den SSH-Agenten des Systems übergeben und beim Sperren wieder entfernen. Der private Schlüssel liegt dann nicht mehr ungeschützt im Benutzerverzeichnis. Die Datenbank selbst lässt sich zusätzlich mit einem YubiKey absichern.
Was kostet KeePassXC?
Nichts. KeePassXC steht unter der GPLv3 und darf damit auch im Unternehmen frei eingesetzt werden. Eine Pro-Version gibt es nicht, ebenso wenig bezahlten Support mit festen Reaktionszeiten. Hilfe bieten Dokumentation, FAQ und GitHub, das Projekt finanziert sich über Spenden. Eine eigene Smartphone-App bietet das Projekt nicht an. Auf iPhone und iPad greift man etwa zu KeePassium, das Passkeys und Einmalcodes bereits in der Gratisversion beherrscht. YubiKey-Unterstützung und mehrere Datenbanken gibt es dort allerdings nur in der kostenpflichtigen Premium-Version.
Was gibt es zu beachten?
Die wichtigste Einschränkung nennt die Dokumentation selbst: Wer den TOTP-Code in derselben Datenbank speichert wie das Passwort, verliert den Vorteil der Zwei-Faktor-Authentifizierung. Wer die Datei samt Master-Passwort erbeutet, hat dann beide Faktoren. Für unkritische Konten ist das ein vertretbarer Komfortgewinn. Für E-Mail, Online-Banking oder Admin-Zugänge gehört der zweite Faktor auf ein anderes Gerät, etwa einen Hardware-Schlüssel. Ähnliches gilt für Passkeys. Sie bleiben Phishing-resistent, weil sie an die jeweilige Domain gebunden sind. Ihr Schutz ist aber nur so stark wie die Datenbank, in der sie liegen. Exportierte Passkeys landen zudem unverschlüsselt in einer Datei und müssen entsprechend sorgfältig aufbewahrt werden.
Mac-Nutzer sollten wissen, dass Safari in der Liste der unterstützten Browser fehlt. Außerdem ist die Passkey-Funktion noch jung. Ob ein in KeePassXC angelegter Passkey auch in einer mobilen App reibungslos funktioniert, sollten Sie vor dem produktiven Einsatz testen.
Fazit
KeePassXC ist für kleine Unternehmen und Administratoren eine ernstzunehmende Alternative zu Abo-Diensten: Passwörter, Passkeys, Einmalcodes und SSH-Schlüssel an einem Ort, ohne fremde Server und ohne Kosten. Wer die Faktoren für wichtige Konten bewusst trennt, gewinnt viel Komfort, ohne die Sicherheit zu verschenken.
Weitere Informationen finden Sie unter: https://keepassxc.org
