Kurz gesagt: Bei KeePass sicherst du regelmäßig die .kdbx-Datei – und, falls vorhanden, deine Schlüsseldatei getrennt davon. Bei Bitwarden erstellst du einen passwortgeschützten verschlüsselten Export. Beide Formate sind bereits verschlüsselt und dürfen bedenkenlos in die Cloud. Bewahre nach der 3-2-1-Regel drei Kopien auf zwei verschiedenen Medien auf, eine davon außer Haus.
Ein Passwort-Manager bündelt dein komplettes digitales Leben in einer einzigen Datei oder einem einzigen Konto. Geht die verloren – defekte SSD, gelöschtes Konto, vergessene Synchronisation – sind im schlimmsten Fall alle Zugänge gleichzeitig weg. Ein Backup des Tresors ist deshalb keine Kür, sondern Pflicht. Die gute Nachricht: Beide Programme liefern das Werkzeug dazu bereits mit.
Was du sichern musst – und was schon verschlüsselt ist
Der wichtigste Punkt vorweg, weil hier die meisten Fehler passieren: Ein Backup ist eine 1:1-Kopie deines verschlüsselten Tresors. Ein Export kann dagegen auch eine unverschlüsselte Klartext-Datei sein, in der jedes Passwort offen lesbar ist. Diese beiden Dinge werden ständig verwechselt – und ein Klartext-Export in der Cloud ist genau das Gegenteil von Sicherheit.
- KeePass / KeePassXC: Deine gesamte Datenbank steckt in der
.kdbx-Datei. Sie enthält Einträge, Notizen, Anhänge und – sofern eingerichtet – auch TOTP-Codes (die zeitbasierten Einmal-Codes der Zwei-Faktor-Anmeldung). Diese Datei ist mit AES-256 oder ChaCha20 verschlüsselt, also selbst sicher. - Schlüsseldatei (optional): Wenn du deine Datenbank zusätzlich zum Master-Passwort mit einer Schlüsseldatei (einer Art digitalem Schlüssel als separater Datei) absicherst, brauchst du auch diese im Backup – aber getrennt gelagert.
- Bitwarden: Dein Tresor liegt auf dem Server. Ein Export zieht eine lokale Kopie – und die kann verschlüsselt oder im Klartext sein. Datei-Anhänge, Sends und Papierkorb-Einträge sind im Export nicht enthalten und müssen separat gesichert werden.
Anzeige
KeePass- bzw. KeePassXC-Datenbank sichern
Weil die .kdbx-Datei bereits verschlüsselt ist, ist das Backup unspektakulär: kopieren, wegschaffen, fertig. So gehst du strukturiert vor:
- Schließ die Datenbank in KeePass, damit keine ungespeicherten Änderungen offen sind.
- Kopiere die
.kdbx-Datei auf ein zweites Medium – externe Festplatte, USB-Stick oder verschlüsselten Cloud-Speicher. - Nutzt du eine Schlüsseldatei, kopiere sie an einen anderen Ort als die Datenbank. Liegen beide im selben Ordner, hebt das den Schutz der Schlüsseldatei auf.
- Automatische Sicherung einrichten: KeePassXC kann unter Werkzeuge → Einstellungen → Dateiverwaltung vor jedem Speichern automatisch eine Sicherungskopie anlegen. So entsteht bei jeder Änderung eine frische lokale Kopie.
- Test nicht vergessen: Öffne die kopierte Datei einmal probeweise mit deinem Master-Passwort. Ein Backup, das sich nicht öffnen lässt, ist kein Backup.
Da die Datei selbst verschlüsselt ist, kannst du sie ohne Bauchschmerzen zu Google Drive, OneDrive, Dropbox oder – für mehr Privatsphäre – zu Ende-zu-Ende-verschlüsselten Diensten wie Proton Drive hochladen.
Bitwarden-Tresor exportieren und sichern
Bei Bitwarden ist die Reihenfolge entscheidend, sonst landet dein gesamtes Passwort-Leben als Klartext-Datei im Download-Ordner. Wichtig: Der Export wird lokal auf deinem Gerät entschlüsselt, es gehen also keine Klartext-Daten übers Netz.
- Web-Tresor: Melde dich an und öffne Einstellungen → Tresor-Optionen → Tresor exportieren. In der Desktop-App liegt der Punkt unter Datei → Tresor exportieren.
- Wähle als Format .json (verschlüsselt) – nicht .csv oder das unverschlüsselte .json. Diese wären offen lesbar.
- Nimm die Variante „passwortgeschützt“ und vergib ein starkes, eigenes Passwort. Diese Datei lässt sich später in jedes Bitwarden-Konto zurückimportieren.
- Bestätige mit deinem Master-Passwort bzw. dem E-Mail-Code und speichere die Datei.
- Verschieb die Export-Datei sofort vom Download-Ordner auf dein Backup-Medium. Test-Import in ein leeres Konto oder eine Testinstallation zeigt dir, ob die Wiederherstellung klappt.
Finger weg von der zweiten Verschlüsselungs-Variante „konto-gebunden“ als alleinigem Backup: Sie lässt sich nur in genau dasselbe Konto zurückspielen. Rotierst du deinen Kontoschlüssel oder löschst das Konto, ist die Datei dauerhaft nicht mehr entschlüsselbar – als Notfall-Backup damit wertlos.
Die 3-2-1-Regel für deinen Passwort-Tresor
Die 3-2-1-Regel ist der Standard der Datensicherung und passt eins zu eins auf den Passwort-Manager:
- 3 Kopien deiner Tresordatei (das Original plus zwei Backups).
- 2 verschiedene Medien – zum Beispiel interne SSD plus USB-Stick, nicht zweimal derselbe Rechner.
- 1 Kopie außer Haus – verschlüsselte Cloud oder ein USB-Stick beim Vertrauensperson. Das rettet dich bei Diebstahl, Brand oder Wasserschaden.
Weil beide Tresor-Formate verschlüsselt sind, ist die „außer Haus“-Kopie in der Cloud unkritisch – vorausgesetzt, du hast wirklich das verschlüsselte Format und nicht den Klartext-Export gewählt.
Häufige Fragen
Reicht es, nur die kdbx-Datei zu sichern?
Ja – solange du deine KeePass-Datenbank allein mit einem Master-Passwort schützt. Die .kdbx-Datei enthält alle Einträge und ist bereits verschlüsselt. Nutzt du zusätzlich eine Schlüsseldatei, musst du diese getrennt mitsichern.
Darf ich mein Passwort-Backup in die Cloud legen?
Ja, wenn es verschlüsselt ist. Die .kdbx-Datei und der passwortgeschützte Bitwarden-Export sind mit AES-256 gesichert und für den Anbieter unlesbar. Ein unverschlüsselter CSV- oder JSON-Export gehört dagegen niemals in die Cloud.
Welches Bitwarden-Exportformat ist das richtige?
Das passwortgeschützte, verschlüsselte .json. Es lässt sich in jedes Bitwarden-Konto zurückimportieren. Die konto-gebundene Variante wird nach einem Schlüsselwechsel unlesbar, CSV und normales JSON sind Klartext.
Wie oft sollte ich meinen Passwort-Tresor sichern?
Immer nach größeren Änderungen und mindestens monatlich. KeePassXC kann automatisch bei jedem Speichern eine Kopie anlegen. Prüfe regelmäßig, ob sich das aktuellste Backup auch wirklich öffnen lässt.
Was passiert, wenn ich das Master-Passwort vergesse?
Dann hilft kein Backup – ohne Master-Passwort bleibt der verschlüsselte Tresor gesperrt. Bewahre das Master-Passwort deshalb getrennt vom Tresor an einem sicheren, physischen Ort auf, etwa handschriftlich im Tresor oder Safe.
Warum ein verschlüsselter Export sicher in die Cloud darf
Der Grund liegt im Aufbau der Dateien. Sowohl die .kdbx-Datenbank als auch der passwortgeschützte Bitwarden-Export werden mit einem starken Verschlüsselungsverfahren (AES-256) geschützt, das erst mit deinem Master- bzw. Export-Passwort entsperrt wird. Ohne dieses Passwort ist der Inhalt selbst für den Cloud-Anbieter nur Datensalat.
Genau deshalb ist die Trennung so wichtig: Die verschlüsselte Datei darf überall liegen – das Passwort dazu niemals in derselben Ablage. Das Backup schützt vor Datenverlust, die Verschlüsselung vor fremden Blicken. Beides zusammen macht dein Tresor-Backup erst wirklich sicher.
