Open-Source-Passwort-Manager 2026: Der ehrliche Leitfaden (Bitwarden, KeePassXC & Co.)

„Open Source" ist eines der beruhigendsten Labels, das ein Passwort-Manager tragen kann — und eines der am häufigsten missverstandenen. Dieser Leitfaden erklärt, was es tatsächlich bedeutet, warum es bei etwas so Sensiblem wie deinen Passwörtern zählt, welche Manager 2026 wirklich Open Source sind und wie du einen auswählst. Er ist auch ehrlich darüber, was Open Source nicht garantiert.

Die kurze Antwort

• Open Source = der Code ist öffentlich und auditierbar. Jeder kann nachlesen, wie die App deinen Tresor verschlüsselt und speichert.
• Beste Allround-Wahl: Bitwarden — Open Source (GPL), unabhängig auditiert, unbegrenzter Gratis-Tarif, selbst hostbar.
• Beste vollständig offline: KeePassXC — lokale verschlüsselte Datei, keine Cloud, GPL-lizenziert.
• Das Original: KeePass — das langjährige Windows-Projekt, das das Ökosystem begründet hat.
• Self-Host-Weg: Vaultwarden — Community-Server, der das Bitwarden-Protokoll spricht.
• Teilweise offen: Proton Pass — Client-Apps sind Open Source; der Server ist es nicht.

Was „Open Source" hier tatsächlich bedeutet

Ein Open-Source-Passwort-Manager veröffentlicht seinen Quellcode unter einer freien Lizenz (üblicherweise die GPL). Das bringt dir drei konkrete Vorteile:

• Auditierbarkeit. Sicherheitsforscher — und du, wenn du Code liest — können genau prüfen, wie die App deinen Verschlüsselungsschlüssel ableitet und deinen Tresor speichert. Geschlossene Apps verlangen, dass du ihrer Beschreibung vertraust; offene lassen dich das überprüfen.
• Kein Anbieter-Lock-in beim Format. Offene Projekte nutzen dokumentierte Tresorformate, sodass du nicht gefangen bist, wenn du umziehen oder selbst hosten willst.
• Überprüfbares Vertrauen. Wenn Verschlüsselung offen umgesetzt wird, werden Schwächen tendenziell schneller gefunden und behoben, und die Community kann bestätigen, dass es keine versteckte Hintertür gibt.

Eine wichtige Klarstellung: Bei Open Source geht es um Code-Transparenz, nicht um Preis oder Hosting. Ein Open-Source-Manager kann weiterhin kostenpflichtige Tarife anbieten und in der Cloud oder auf deinem eigenen Server laufen. Die beiden Ideen überschneiden sich oft, sind aber nicht dasselbe.

Die wirklich quelloffenen Optionen 2026

Bitwarden — die Standard-Open-Source-Wahl

Bitwarden ist Open Source unter der GPL, mit auf GitHub veröffentlichten Clients, Server und SDK. Es wurde unabhängig auditiert (unter anderem ein Cure53-Review), bietet einen wirklich unbegrenzten Gratis-Tarif über unbegrenzte Geräte hinweg und kann selbst gehostet werden. Für die meisten Menschen, die Open Source ohne Verzicht auf Komfort oder geräteübergreifende Synchronisierung wollen, ist es die natürliche Wahl. Unser vollständiger Bitwarden-Test geht tiefer.

KeePassXC — beste vollständig offline

KeePassXC ist ein community-getriebener, plattformübergreifender Manager (GPL-lizenziert), der alles in einer einzigen verschlüsselten .kdbx-Datei speichert. Es gibt keine Cloud und keinen Server — du behältst die Datei und synchronisierst sie selbst, wenn du willst. Es ist die privateste, lokalste Option, ideal für Power-User, die volle Dateihoheit wollen. Der Kompromiss ist eine steilere Lernkurve und manuelle Synchronisierung.

KeePass — das Original

KeePass ist das langjährige Open-Source-Windows-Projekt (GPL), das das .kdbx-Format definiert hat, das die gesamte KeePass-Familie nutzt. Es ist beim Feinschliff weniger ausgereift als die moderne plattformübergreifende Oberfläche von KeePassXC, bleibt aber ein angesehenes, auditiertes Fundament, auf dem ein großes Ökosystem kompatibler Apps aufbaut.

Vaultwarden — Open-Source-Self-Hosting

Vaultwarden ist ein von der Community entwickelter, Rust-basierter Server, der die Bitwarden-API neu implementiert. Er ist Open Source, läuft in einem einzigen leichtgewichtigen Container (sogar auf einem Raspberry Pi) und funktioniert mit den offiziellen Bitwarden-Apps — so erhältst du einen offenen, selbst gehosteten Tresor, ohne den schwergewichtigeren offiziellen Bitwarden-Server zu betreiben. Siehe unseren Leitfaden zu selbst gehosteten Passwort-Managern dazu, wo er hineinpasst.

Proton Pass — teilweise offen

Proton Pass hat seine Client-Apps (Web, Mobil und Browser-Erweiterungen) unter der GPL quelloffen gemacht, was bedeutet, dass der auf deinen Geräten laufende Code eingesehen werden kann. Sein Server ist jedoch nicht Open Source — daher ist es „teilweise offen" statt vollständig offen wie Bitwarden. Es ist dennoch Ende-zu-Ende-verschlüsselt und hat einen starken Gratis-Tarif; kenne nur den Unterschied. Wir vergleichen beide in Proton Pass vs. Bitwarden.

Warum Open Source für deine Passwörter wählen

• Du hältst die sensibelsten Daten, die du besitzt. Für einen Passwort-Tresor ist „vertrau mir" ein schwaches Versprechen. Offener Code lässt dieses Vertrauen prüfen statt voraussetzen.
• Audits und offener Code verstärken sich gegenseitig. Unabhängige Audits (wie die von Bitwarden veröffentlichten) prüfen eine Momentaufnahme; Open Source hält den Code zwischen den Audits unter kontinuierlicher Community-Beobachtung.
• Freiheit zu gehen. Offene Formate und Self-Host-Optionen bedeuten, dass du nie der Preisgestaltung oder den Bedingungen eines Unternehmens ausgeliefert bist.

Die ehrlichen Grenzen von „Open Source"

Open Source ist ein echter Vorteil, aber für sich allein keine Garantie:

• Offener Code ≠ automatisch auditiert. Jeder kann den Code lesen; das heißt nicht, dass Experten es bereits getan haben. Die stärkste Beruhigung ist Open Source plus ein veröffentlichtes unabhängiges Audit.
• Du brauchst weiterhin ein starkes Master-Passwort und MFA. Kein noch so offener Code hilft, wenn dein Master-Passwort schwach oder wiederverwendet ist. Siehe wie man ein starkes Passwort erstellt.
• Self-Hosting verlagert die Verantwortung auf dich. Einen eigenen Server zu betreiben (Vaultwarden, Bitwarden-Self-Host) bedeutet, dass du Updates, TLS und Backups verantwortest. Ein falsch konfigurierter selbst gehosteter Tresor kann weniger sicher sein als ein seriöser verwalteter.
• „Offen" kann teilweise sein. Wie bei Proton Pass kann nur ein Teil des Stacks offen sein. Prüfe, ob es der Client, der Server oder beides ist.

Wie man wählt

• Willst du Open Source, das überall „einfach funktioniert"? Bitwarden — offen, auditiert, Gratis-Tarif, optionaler Self-Host.
• Willst du null Cloud und volle Dateikontrolle? KeePassXC (oder KeePass unter Windows).
• Willst du einen offenen Tresor selbst hosten? Vaultwarden, mit den Bitwarden-Clients.
• Willst du Ende-zu-Ende-Verschlüsselung mit offenen Client-Apps und integrierten Aliassen? Proton Pass — beachte nur, dass sein Server nicht offen ist.

Das Fazit

2026 ist die sicherste Open-Source-Wahl für die meisten Menschen Bitwarden: Der Code ist öffentlich, er wurde unabhängig auditiert, der Gratis-Tarif ist wirklich unbegrenzt, und du kannst ihn selbst hosten. KeePassXC und KeePass gewinnen bei vollständig offline, dateibasierter Kontrolle, und Vaultwarden bringt offenes Self-Hosting. Behandle Proton Pass als teilweise offen. Und denk an den ehrlichen Vorbehalt: Open Source ist ein starkes Vertrauenssignal, aber ein starkes Master-Passwort und MFA leisten weiterhin den Großteil der Arbeit.

Weiterführend

• Unser Leitfaden zum besten selbst gehosteten Passwort-Manager
• Proton Pass vs. Bitwarden
• Unser vollständiger Bitwarden-Test
• Was ist ein Passwort-Manager?

Redaktioneller Überblick auf Basis der öffentlich dokumentierten Lizenzierung, Audits und Architektur jedes Managers im Stand von 2026. Kommerzielle Links tragen das Attribut rel="sponsored nofollow"; eine Affiliate-Provision kann anfallen, ohne Mehrkosten für dich.