Notfallzugang beim Passwort-Manager: Bitwarden, Apple und Google im Vergleich

Kurzfassung: Wer einen Passwort-Manager benutzt, hat bewusst einen Single Point of Failure gebaut. Alle großen Anbieter bieten dafür einen Notfallzugang an. Die drei verbreiteten Modelle funktionieren technisch völlig unterschiedlich — mit sehr unterschiedlichen Risiken. Und mindestens ein Anbieter hat seines inzwischen abgeschaltet, ohne dass die betroffenen Nutzer es gemerkt haben dürften.

Das Problem, das wir uns selbst gebaut haben

Die Empfehlung ist seit Jahren richtig und unverändert: langes, einzigartiges Passwort pro Dienst, verwaltet in einem Passwort-Manager, abgesichert mit einem zweiten Faktor. Wer das umsetzt, reduziert seine Angriffsfläche erheblich.

Er baut damit aber auch etwas anderes: einen bewusst gesetzten Single Point of Failure. Einen Tresor, dessen Inhalt niemand sonst kennt, geschützt durch ein Master-Passwort, das nirgends notiert ist, plus einen zweiten Faktor, der an genau einem Gerät hängt.

Solange du erreichbar bist, ist das exakt richtig so. Fällst du aus — Unfall, Schlaganfall, Koma, Tod — ist es ein Totalverlust. Nicht nur „unbequem“: Die Bankvollmacht nützt nichts, wenn niemand ins E-Mail-Konto kommt, über das jede Passwort-Rücksetzung läuft. Das E-Mail-Konto ist der Generalschlüssel, und der Passwort-Manager ist der Schlüsselkasten.

Deshalb haben die Anbieter Notfallzugänge gebaut. Nur behandeln die meisten Nutzer sie wie eine Einstellung, die man einmal setzt und dann vergisst. Aus Security-Sicht ist das ein Control ohne Wirksamkeitsnachweis — dieselbe Kategorie wie ein Backup, das nie zurückgespielt wurde.

Drei Modelle, drei völlig verschiedene Risiken

Modell 1: Wartezeit (Dead Man’s Switch) — Beispiel Bitwarden

Du benennst eine Vertrauensperson als Notfallkontakt und legst eine Wartezeit fest. Im Ernstfall stellt diese Person einen Antrag. Reagierst du nicht innerhalb der Wartezeit, wird der Zugriff automatisch freigegeben.

Technisch relevant und oft übersehen: Bei der Zugriffsstufe „Übernahme“ (Takeover) setzt der Notfallkontakt ein neues Master-Passwort — deines wird ersetzt, und zuvor eingerichtete Zwei-Faktor-Methoden werden entfernt. Das ist kein Lesezugriff auf eine Kopie. Das ist die vollständige, dauerhafte Übernahme des Tresors.

Damit wird die Wartezeit zum einzigen wirksamen Schutz. Das Bedrohungsmodell dahinter:

• Wird das Konto deines Notfallkontakts übernommen, hat der Angreifer einen legitimen, vom System vorgesehenen Weg in deinen Tresor. Kein Exploit nötig.
• Deine einzige Verteidigung ist, den Antrag innerhalb der Wartezeit abzulehnen. Das setzt voraus, dass du die Benachrichtigung siehst. Zwei Wochen Wanderurlaub mit schlechtem Empfang reichen, um genau das zu verpassen.
• Die Wartezeit ist damit eine echte Abwägung, kein Komfortwert: kurz genug, dass der Ernstfall nicht an ihr scheitert — lang genug, dass du einen Missbrauch bemerkst.

Praktischer Stolperstein: Die Einladung an den Notfallkontakt ist nur fünf Tage gültig. Wer sie einrichtet, während der andere im Urlaub ist, hat am Ende nichts eingerichtet — und merkt es nicht, weil in der Oberfläche ein Eintrag steht.

Modell 2: Sterbeurkunde (Zwei-Kanal-Nachweis) — Beispiel Apple

Apple geht einen anderen Weg. Du hinterlegst einen Nachlasskontakt, und dieser bekommt einen Zugriffsschlüssel — als Datei, per Nachrichten-App oder ausgedruckt mit QR-Code.

Der Schlüssel allein reicht nicht. Er funktioniert nur zusammen mit einer gültigen Sterbeurkunde, eingereicht über digital-legacy.apple.com. Apple prüft manuell und gewährt den Zugriff dann für drei Jahre.

Aus Sicherheitssicht ist das das sauberste der drei Modelle: zwei unabhängige Nachweise über getrennte Kanäle, plus eine menschliche Prüfung. Ein kompromittierter Zugriffsschlüssel allein bringt einem Angreifer nichts.

Der Preis dafür ist Geschwindigkeit — und der Anwendungsfall. Das Modell deckt ausschließlich den Todesfall ab. Beim Koma, beim Schlaganfall, bei Demenz gibt es keine Sterbeurkunde. Genau die Fälle, in denen Angehörige am dringendsten handeln müssen, sind nicht abgedeckt.

Modell 3: Inaktivität — Beispiel Google

Der Kontoinaktivität-Manager löst nicht bei einem Ereignis aus, sondern bei Stille. Du wählst 3, 6, 12 oder 18 Monate Inaktivität; danach werden ausgewählte Daten an bis zu zehn Personen freigegeben. Einen Monat vorher warnt Google per Nachricht und an eine hinterlegte Zweitadresse.

Der Denkfehler steckt im Auslöser: Inaktivität ist kein Synonym für Tod. Die kürzeste Stufe sind drei Monate — plus Vorwarnzeit. Für die ersten 48 Stunden nach einem Notfall, in denen Angehörige Konten sperren, Verträge finden und Rechnungen bezahlen müssen, ist dieser Mechanismus schlicht nicht gebaut. Er ist eine Nachlassregelung, kein Notfallzugang.

Die Lücke, die niemand bemerkt: Notfallzugänge veralten

Das ist der eigentlich unangenehme Teil.

Dashlane hat seine ursprüngliche Notfallkontakt-Funktion eingestellt. Sie hing an der Desktop-App, die es nicht mehr gibt. Wer sie vor Jahren eingerichtet hat, verlässt sich heute möglicherweise auf ein Feature, das nicht mehr existiert. Der offiziell empfohlene Weg ist derzeit ein manueller, passwortgeschützter Export der Daten — also genau das Gegenteil einer automatischen Regelung: etwas, das man aktiv und regelmäßig wiederholen muss.

Verallgemeinert: Ein Notfallzugang ist keine Einstellung, sondern ein Control mit Lebenszyklus. Anbieter ändern Funktionen. Vertrauenspersonen wechseln die E-Mail-Adresse, das Gerät oder die Rolle in deinem Leben. Zweite Faktoren werden ausgetauscht. Jede dieser Änderungen kann den Notfallzugang still brechen — ohne Fehlermeldung, ohne Warnung. Bemerkt wird es genau einmal: im Ernstfall, wenn niemand mehr nachbessern kann.

Was daraus praktisch folgt

1. Nachsehen, welches Modell du eigentlich hast. Wartezeit, Sterbeurkunde oder Inaktivität — die drei decken völlig unterschiedliche Szenarien ab. Wer nur Modell 2 oder 3 hat, ist für den Nicht-Todesfall ungeschützt.
2. Den Restore-Test machen. Bei Backups ist das selbstverständlich, hier macht es fast niemand. Antrag stellen lassen, Ablauf durchspielen, Benachrichtigung abwarten, ablehnen. Erst dann weißt du, ob der Mechanismus funktioniert — und ob deine Vertrauensperson ihn bedienen kann.
3. Die Wartezeit bewusst wählen. Sie ist deine einzige Verteidigungslinie gegen den Missbrauch eines legitimen Zugangs. Und sie muss zu deinem Leben passen, nicht zum Standardwert.
4. Einen Wiedervorlage-Termin setzen. Einmal im Jahr, 15 Minuten: Existiert das Feature noch? Stimmen die Kontaktdaten? Hat sich die Vertrauensperson geändert? Das ist der Punkt, an dem ein stiller Ausfall auffällt.

Und der Teil, den kein Passwort-Manager löst: Der beste Notfallzugang nützt nichts, wenn niemand weiß, dass es ihn gibt. Mindestens eine Person muss wissen, dass deine Unterlagen existieren und wo sie liegen. Das ist kein technisches Problem — und genau deshalb wird es übersehen.

Wenn du das systematisch durchgehen willst

Der Passwort-Manager ist nur einer von zwölf Punkten, an denen es im Ernstfall klemmt. Die anderen elf sind meist unspektakulärer und genauso wirksam: Wer kommt ins entsperrte Handy? Wer weiß, welche Abos monatlich weiterlaufen? Liegen die Familienfotos wirklich nur in einer Cloud?

Ich habe die zwölf Punkte als kostenlose Checkliste zusammengestellt — zwei Seiten, in zehn Minuten durchgehakt, danach weißt du schwarz auf weiß, wo deine Lücken sind:

→ Die Notfall-Checkliste: 12 Dinge, die deine Familie im Ernstfall sofort braucht

Kein Spam, jederzeit abbestellbar. (Der Notfallordner ist ein eigenes Projekt von mir — die Checkliste selbst ist kostenlos.)

Quellen

• About Emergency Access — Bitwarden
• Add & Manage Trusted Emergency Contacts — Bitwarden
• Share your data with a trusted person — Dashlane
• How to add a Legacy Contact for your Apple Account — Apple
• Kontoinaktivität-Manager — Google