VPN und Passwort-Manager: Lohnt sich der Aufwand?

Dasselbe Passwort für E-Mail, Online-Banking und den Lieblings-Onlineshop, dazu ein offenes WLAN ohne VPN. So sieht der digitale Alltag vieler Menschen aus, und genau an diesen Gewohnheiten setzen Angreifer an. Credential Stuffing, Netzwerk-Sniffing und Phishing zielen nicht auf besonders spektakuläre Schwachstellen, sondern auf die leicht zu automatisierende Grundunsicherheit, die in Millionen Haushalten identisch aussieht. Das BACS dokumentiert in seinen Halbjahresberichten regelmässig, dass der Diebstahl von Zugangsdaten zu den häufigsten Angriffsarten in der Schweiz gehört.

Dieser Artikel zeigt, welche Tools tatsächlich schützen, wo kostenlose Optionen zu kurz greifen und was sich für jemanden in der Schweiz im Alltag lohnt.

Warum der Passwort-Manager zuerst kommt

Wenn du nur eine Sache an deiner digitalen Sicherheit ändern kannst, dann diese: Hör auf, Passwörter wiederzuverwenden. Es ist die einzelne Gewohnheitsänderung mit dem grössten Effekt, und sie ist ohne Passwort-Manager in der Praxis kaum durchzuhalten.

Die durchschnittliche Person in der Schweiz hat inzwischen weit mehr als 80 Online-Konten, bei Personen mit einer aktiveren digitalen Präsenz liegt die Zahl deutlich höher. Die meisten kommen mit drei bis fünf Passwort-Variationen aus, was Angreifer ausnutzen: Sobald Zugangsdaten bei einem Dienst geleakt werden (und das passiert laufend), testen automatisierte Tools dieselben Kombinationen innerhalb weniger Stunden bei Hunderten weiterer Plattformen. Genau das ist Credential Stuffing, einer der häufigsten Angriffsvektoren, die Privatpersonen 2026 betreffen.

Ein Passwort-Manager generiert für jedes Konto ein einzigartiges, zufälliges Passwort, du merkst dir nur ein Master-Passwort und der Manager übernimmt den Rest: Generieren, Speichern, Auto-Fill und Synchronisierung über alle deine Geräte. Die Auto-Fill-Funktion ist dabei ein unterschätzter Sicherheitsvorteil, weil der Manager Zugangsdaten nur auf der korrekten Domain ausfüllt. Wenn du auf einer Phishing-Seite landest, die identisch mit deiner Bank aussieht, aber eine leicht abweichende URL hat, bleibt der Manager stumm. Dieser passive Schutz fängt Angriffe ab, die selbst aufmerksame Nutzende übersehen.

Worauf du achten solltest

• Ende-zu-Ende-Verschlüsselung. Der Anbieter darf deinen Tresor niemals im Klartext lesen können. Zero-Knowledge-Architektur ist bei seriösen Anbietern heute Standard.
• Geräteübergreifende Synchronisation. Laptop, Smartphone, Tablet und Browser-Erweiterungen müssen nahtlos zusammenarbeiten. Umständlichkeit führt zuverlässig zur Nichtnutzung.
• 2FA-Unterstützung. Der Manager sollte TOTP-Codes für deine anderen Konten verwalten können, statt dass du eine zweite App dafür brauchst.
• Breach-Monitoring. Warnungen, sobald gespeicherte Zugangsdaten in bekannten Datenpannen auftauchen, damit du gezielt rotieren kannst.
• Familien- oder geteilte Tresore. Nützlich zum Teilen von WLAN-Passwörtern, Streaming-Logins oder Haushaltszugängen, ohne sie per Chat oder E-Mail zu versenden.

Empfehlenswerte Passwort-Manager

1Password ist die ausgereifteste der drei Optionen. Die UX ist durchgängig poliert, Watchtower (Breach-Monitoring) ist integriert, und Passkeys werden vollständig unterstützt. Besonders stark für Familien, weil das Modell geteilter Tresore sauber gelöst ist.

Bitwarden (kostenlose Version verfügbar, günstiges Premium) ist Open Source und unabhängig geprüft. Die kostenlose Version ist bereits im Alltag gut brauchbar und schlägt die im Browser gespeicherten Passwörter um Längen. Die Premium-Version bringt TOTP-Unterstützung und Breach-Reports und kostet deutlich weniger als die Konkurrenz.

NordPass integriert sich reibungslos, wenn du bereits im Nord-Ökosystem bist. Die Implementierung basiert auf dem XChaCha20-Algorithmus, die geräteübergreifende Erfahrung ist flüssig und die Oberfläche modern.

Für einen detaillierten Team-Vergleich mit Fokus auf Admin-Funktionen, Serverstandort und Compliance siehe Passwort-Manager für KMUs in der Schweiz im Vergleich.

Was ist mit im Browser gespeicherten Passwörtern?

Chrome, Safari, Firefox und seit Kurzem auch Apple Passwords (eigenständige App ab iOS 18 und macOS Sequoia) bieten alle an, Passwörter zu speichern. Apple Passwords ist dabei deutlich besser als der frühere Schlüsselbund, mit eigener App, Passkey-Unterstützung, Breach-Warnungen und Synchronisation über iCloud. Für reine Apple-Haushalte ist das eine solide Basis.

Trotzdem fehlt allen Browser- und OS-Lösungen, was dedizierte Passwort-Manager auszeichnet: echte plattformübergreifende Nutzung (Apple Passwords funktioniert unter Windows und Android nur eingeschränkt), geteilte Tresore für Familien oder Teams und die Unabhängigkeit von einem einzelnen Ökosystem. Sobald jemand Zugang zu deinem entsperrten Gerät bekommt, gehören im Browser gespeicherte Passwörter zu den ersten Zielen für Infostealer-Malware. Ein dedizierter Passwort-Manager mit eigenem Master-Passwort fügt eine zusätzliche Schicht ein, die bei einem kompromittierten Gerät den Unterschied macht.

Warum du einen VPN brauchst (und was er tut)

Ein VPN verschlüsselt deinen Internetverkehr und leitet ihn über einen Server des VPN-Anbieters. Das bewirkt im Alltag zwei Dinge:

1. Es verhindert Mitlesen auf Netzwerkebene. In öffentlichen WLANs wie in Cafés, an Flughäfen oder in Hotels kann potenziell jeder im selben Netzwerk unverschlüsselten Verkehr abfangen. Ein VPN macht das praktisch unmöglich.
2. Es verbirgt deine IP-Adresse. Websites, Werbetreibende und dein Internetanbieter sehen die IP des VPN-Servers statt deiner eigenen. Das reduziert Tracking und Profiling, ohne es vollständig zu eliminieren.

Was ein VPN nicht tut

VPNs werden im Marketing gelegentlich als Allheilmittel für Online-Privatsphäre vermarktet, und genau das sind sie nicht. Ein VPN schützt nicht vor Phishing. Er verhindert nicht, dass du Malware herunterlädst. Er macht dich auch nicht anonym, sobald du bei Google, Facebook oder einem anderen Dienst eingeloggt bist. Und er ersetzt nicht die Verschlüsselung auf Anwendungsebene: Wenn eine Website ohnehin HTTPS (TLS) verwendet, bietet der VPN eine zusätzliche Verschlüsselungsschicht, aber keinen grundlegend neuen Schutz für den Inhalt der Kommunikation.

Wofür ein VPN sinnvoll ist: öffentliche Netzwerke, Datensammlung durch den Internetanbieter, Geo-Beschränkungen und als grundlegende Privatsphäre-Schicht für alles, was nicht bereits hinter HTTPS liegt.

Empfehlenswerte VPNs

NordVPN ist die stärkste Allround-Wahl. Der Dienst nutzt das WireGuard-basierte NordLynx-Protokoll (schnell und sicher), bietet Schweizer Server-Standorte, enthält einen Malware-Filter (Threat Protection) und wurde mehrfach unabhängig geprüft. Die No-Logs-Policy wurde von PwC verifiziert.

Proton VPN (kostenlose Version verfügbar) hat seinen Sitz in Genf und unterliegt Schweizer Datenschutzrecht. Die kostenlose Version ist eine der wenigen vertrauenswürdigen Gratis-VPN-Optionen am Markt. Die eigentliche Stärke liegt in der Jurisdiktion: Schweizer Recht bietet starken Datenschutz, und Proton hat eine öffentlich dokumentierte Erfolgsbilanz bei der Verteidigung der Nutzerprivatsphäre vor Gericht. Mehr Details im Proton VPN-Review.

Mullvad (pauschaler Monatsbeitrag, kein Konto nötig) richtet sich an Nutzende, denen maximale Anonymität wichtig ist. Bezahlung per Post mit Bargeld ist möglich, eine E-Mail-Adresse für die Anmeldung ist nicht nötig. Exzellent, wenn Anonymität die höchste Priorität hat, aber weniger poliert als NordVPN oder Proton.

Warum kostenlose VPNs meist schlechter sind als kein VPN

Ein VPN-Netzwerk zu betreiben ist teuer. Wenn du nicht zahlst, braucht der Anbieter eine andere Einnahmequelle, und bei den meisten kostenlosen VPNs sind das deine Daten: Browserverlauf, Verbindungsprotokolle und in einigen Fällen sogar eingeschleuste Werbung. Einzelne kostenlose VPN-Apps sind in der Vergangenheit damit aufgefallen, Malware mitzuliefern. Im Ergebnis leitest du deinen gesamten Verkehr durch einen Anbieter, dessen Geschäftsmodell du nicht überprüfen kannst. Die wenigen Ausnahmen (Proton VPN Free ist die bekannteste) werden von zahlenden Kunden subventioniert und verfolgen ein transparentes Finanzierungsmodell.

VPN + Passwort-Manager + 2FA kombinieren

Der echte Wert der drei Tools liegt in ihrer Kombination, weil jedes einen anderen Angriffsvektor abdeckt:

• Passwort-Manager: Eliminiert Passwort-Wiederverwendung und fängt einen grossen Teil credentialbasierter Angriffe ab.
• VPN: Schützt Netzwerkverkehr in fremden Netzen und reduziert die Tracking-Oberfläche.
• 2FA: Blockiert Kontoübernahmen, selbst wenn ein Passwort doch einmal leakt.

Dieser Drei-Tool-Stack schliesst die Angriffsvektoren, die Privatpersonen im Alltag tatsächlich betreffen: Credential Stuffing, Phishing, Netzwerkabfang und die passive Datensammlung durch Werbenetzwerke und Internetanbieter. Er schützt nicht vor einem gezielten Zero-Day-Exploit im Betriebssystem, aber er schliesst die Türen, durch die Angreifer statistisch am häufigsten gehen.

Welche Kosten kommen auf mich zu?

Der Budget-Stack ist komplett kostenlos. Das Premium-Setup liegt preislich unterhalb eines Kaffees pro Woche und deckt die häufigsten Bedrohungen umfassend ab. Aktuelle Preise und Konditionen auf den Anbieter-Websites.

Der Schweizer Aspekt

Die Schweiz hat vergleichsweise starke Datenschutzgesetze. Das nDSG (Neues Datenschutzgesetz, in Kraft seit dem 1. September 2023) gibt Privatpersonen weitreichende Rechte bezüglich ihrer Personendaten, und Schweizer Dienste wie Proton profitieren strukturell von dieser Jurisdiktion. Wer Wert auf einen Schweizer Sitz des Anbieters legt, hat mit Proton VPN und Proton Pass zwei ernstzunehmende Optionen.

Gleichzeitig gilt: Das Gesetz schützt Daten, die von Organisationen gehalten werden, nicht deine Gewohnheiten. Es schützt dich weder vor den eigenen wiederverwendeten Passwörtern noch vor der unverschlüsselten öffentlichen WLAN-Sitzung oder der Phishing-Mail, die wie eine Swisscom-Rechnung aussieht. Persönliche Sicherheitstools ergänzen den gesetzlichen Schutz und decken genau das ab, wofür du selbst verantwortlich bist.

Wie fange ich am besten an?

1. Installiere einen Passwort-Manager. Importiere deine im Browser gespeicherten Passwörter, lass den Manager sie auf Wiederverwendung und schwache Einträge prüfen und behebe die kritischen zuerst: E-Mail, Banking, Cloud-Speicher.
2. Aktiviere 2FA auf deinem E-Mail-Konto. E-Mail ist der Wiederherstellungspfad für fast alle anderen Konten. Nutze eine Authenticator-App oder einen Hardware-Schlüssel, nicht SMS.
3. Hol dir einen VPN und stell ihn auf automatische Verbindung in unsicheren Netzwerken. Die meisten modernen VPN-Apps regeln das über einen einzigen Schalter in den Einstellungen.
4. Prüfe laufend. Das Breach-Monitoring deines Passwort-Managers markiert kompromittierte Zugangsdaten, sobald sie in bekannten Datenpannen auftauchen. Behebe sie zeitnah, statt die Benachrichtigungen aufzuschieben.

Bau zuerst eine Basis auf, die die häufigsten Angriffe neutralisiert, und optimiere von dort aus schrittweise weiter.

---

Für Links auf dieser Seite kann NeoGuard eine Provision vom Anbieter erhalten. Dies hat keinen Einfluss auf unsere redaktionellen Empfehlungen. Siehe unsere Datenschutzerklärung für Details.