KeePass-Datenbank sichern: Speicherort, Backup und Bitwarden-Export

Die .kdbx-Datei von KeePass beziehungsweise KeePassXC liegt dort, wo du sie beim Anlegen hingespeichert hast — einen festen Standardordner gibt es bei beiden Programmen nicht. Wer die KeePass-Datenbank sichern will, kopiert diese eine Datei plus, falls eingerichtet, die getrennt gelagerte Schlüsseldatei. Der Bitwarden-Tresor liegt dagegen auf dem Server: Dort brauchst du einen passwortgeschützten, verschlüsselten Export als Backup.

Wo speichert KeePass die Datenbank?

KeePass fragt beim Anlegen nach Ordner und Dateinamen und merkt sich danach nur den Pfad. Typische Orte sind der Dokumente-Ordner, ein Sync-Ordner von OneDrive, Dropbox oder Nextcloud, seltener ein USB-Stick. Das offizielle KeePassXC-Handbuch empfiehlt für die Ablage einen Speicherort mit Versionsverlauf — eine gelöschte oder beschädigte Tresordatei bedeutet den Totalverlust aller Zugänge.

Ist der Pfad in Vergessenheit geraten, findest du die Datei über ihre Endung wieder:

• Windows (PowerShell): Get-ChildItem C:\ -Filter *.kdbx -Recurse -ErrorAction SilentlyContinue — läuft das ganze Laufwerk durch und listet jede Tresordatei mit vollem Pfad.
• Linux/macOS: find ~ -name "*.kdbx" 2>/dev/null durchsucht dein Benutzerverzeichnis inklusive Sync-Ordner.
• Über KeePassXC selbst: Die zuletzt geöffneten Datenbanken stehen mit komplettem Pfad im Schlüssel LastDatabases der lokalen Konfigurationsdatei — unter Windows %LOCALAPPDATA%\KeePassXC\keepassxc.ini, unter Linux ~/.local/state/keepassxc/keepassxc.ini.

Ein häufiges Missverständnis dabei: Die Konfigurationsdateien enthalten keine Passwörter. Weder keepassxc.ini (Einstellungen unter Windows in %APPDATA%\KeePassXC\, unter Linux in ~/.config/keepassxc/) noch die KeePass.config.xml von KeePass 2.x speichern Tresorinhalte. Laut der KeePass-Dokumentation zur Konfigurationsdatei stehen dort Programm-Einstellungen, Trigger, URL-Overrides und Generator-Profile; die lokale Nutzer-Konfiguration liegt unter C:\Users\<Name>\AppData\Roaming\KeePass\. Passwörter oder Einträge sucht man darin vergeblich.

Taucht neben deiner Datenbank eine Datei mit der Endung .old.kdbx auf: Das ist die automatische Sicherungskopie von KeePassXC. Sie entsteht nur, wenn du die Option dafür aktiviert hast (ab Werk ist sie aus), und liegt dann im selben Ordner wie das Original.

Backup oder Export? Der Unterschied entscheidet über deine Sicherheit

Hier passieren die meisten Fehler. Ein Backup ist eine 1:1-Kopie deines verschlüsselten Tresors. Ein Export erzeugt in den meisten Formaten eine Klartext-Datei, in der jedes Passwort offen lesbar ist. Beides wird ständig verwechselt — und ein Klartext-Export im Cloud-Ordner ist das Gegenteil von Sicherheit.

• KeePass / KeePassXC: Die komplette Datenbank steckt in der .kdbx-Datei: Einträge, Notizen, Anhänge und — sofern eingerichtet — auch TOTP-Codes, also die zeitbasierten Einmal-Codes der Zwei-Faktor-Anmeldung. Diese Datei ist mit AES-256 oder ChaCha20 verschlüsselt und damit selbst geschützt.
• Schlüsseldatei (optional): Sicherst du deine Datenbank zusätzlich zum Master-Passwort mit einer Schlüsseldatei ab — einer Art digitalem Schlüssel als separater Datei — gehört sie mit ins Backup, aber an einen anderen Ort als die Datenbank.
• Bitwarden: Dein Tresor liegt auf dem Server, das Backup entsteht erst beim Export. Der läuft lokal auf deinem Gerät ab, es gehen also keine Klartextdaten übers Netz — die fertige Datei kann trotzdem Klartext sein, je nach gewähltem Format.

KeePass-Datenbank sichern: die .kdbx richtig kopieren

Weil die Datei bereits verschlüsselt ist, bleibt das Backup unspektakulär: kopieren, wegschaffen, testen. Der Ablauf, der auch nach Monaten noch funktioniert:

1. Schließe die Datenbank im Programm, damit keine ungespeicherten Änderungen offen sind und die Datei nicht mitten im Schreibvorgang kopiert wird.
2. Kopiere die .kdbx-Datei auf ein zweites Medium: externe Festplatte, USB-Stick oder verschlüsselter Cloud-Speicher.
3. Nutzt du eine Schlüsseldatei, kopiere sie an einen anderen Ort als die Datenbank. Liegen beide im gleichen Ordner, ist der Zusatzschutz wertlos.
4. Automatische Kopien einschalten: KeePassXC kann vor jedem Speichern eine Sicherung anlegen. Die Option und das Ziel-Verzeichnis stehen laut Handbuch in den Anwendungseinstellungen im Bereich für Dateioperationen; im Feld für das Backup-Ziel sind Platzhalter erlaubt. Standard ist {DB_FILENAME}.old.kdbx, deutlich sinnvoller ist ein eigener Ordner mit Zeitstempel, etwa backups\{DB_FILENAME}-{TIME}.bak.kdbx — so überschreibt nicht jede Speicherung die einzige Kopie.
5. Einmalige Sicherung zwischendurch: Dafür gibt es im Datenbank-Menü den Punkt zum Speichern einer Datenbanksicherung („Save Database Backup“), ohne dass du im Explorer herumkopierst.
6. Restore testen. Öffne die Kopie einmal mit deinem Master-Passwort. Ein Backup, das sich nicht öffnen lässt, ist kein Backup, sondern eine Datei.

Da die Datei selbst verschlüsselt ist, darf sie zu Google Drive, OneDrive, Dropbox oder — mit mehr Privatsphäre — zu einem Ende-zu-Ende-verschlüsselten Dienst wie Proton Drive. Praktischer Nebeneffekt eines Cloud-Ordners mit Versionsverlauf: Selbst eine kaputt synchronisierte Datenbank lässt sich auf einen älteren Stand zurückholen.

KeePass-Passwörter exportieren — und warum das kein Backup ersetzt

Exportieren brauchst du für genau zwei Fälle: Umzug zu einem anderen Passwort-Manager und Papier-Backup. KeePassXC bietet im Datenbank-Menü den Punkt „Exportieren“ mit den Formaten CSV, HTML und XML; KeePass 2.x exportiert über das Datei-Menü zusätzlich nach KDBX und KeePass-XML. Entscheidend ist die Warnung aus dem KeePassXC-Handbuch: Diese Exporte liegen unverschlüsselt auf der Platte, und keines der Formate nimmt alles mit — CSV lässt Anhänge, erweiterte Attribute, Auto-Type-Einstellungen und eigene Symbole weg, XML und HTML lassen ebenfalls Anhänge liegen.

Wenn du exportierst, dann kontrolliert:

• Ziel bewusst wählen: nicht in den Download- oder Cloud-Ordner, sondern auf ein lokales Medium, das du gleich wieder aufräumst.
• Datei nach dem Import in das neue Programm sofort löschen — auf SSDs zusätzlich den Papierkorb leeren.
• Niemals per E-Mail, Messenger oder Ticketsystem verschicken. Ein Klartext-Export ist eine Liste all deiner Zugänge.
• Fürs Papier-Backup ist HTML gedacht: exportieren, im Browser drucken, Datei löschen. Bedenke dabei, dass Druckertreiber und Netzwerkdrucker die Daten zu sehen bekommen — das taugt nur bei einem Gerät, dem du wirklich traust.

Für den Umzug zwischen zwei KeePass-Installationen brauchst du übrigens gar keinen Export: Die .kdbx-Datei einfach mitnehmen, sie ist plattformübergreifend lesbar.

Bitwarden-Tresor exportieren und sichern

Bei Bitwarden ist die Reihenfolge entscheidend, sonst landet dein Passwort-Leben als Klartextdatei im Download-Ordner.

1. Im Web-Tresor gehst du auf Tools → Export. In der Browser-Erweiterung liegt der Punkt unter Einstellungen → Tresor-Optionen → Tresor exportieren, in der Desktop-App direkt im Navigationsmenü unter Export (Bitwarden-Hilfe: Export vault data).
2. Wähle unter „Export from“ deinen persönlichen Tresor (oder eine Organisation, sofern du dort exportieren darfst).
3. Als Dateiformat .json (Encrypted) nehmen — nicht .csv und nicht das einfache .json, beide sind Klartext.
4. Beim Export-Typ „Password protected“ wählen und ein eigenes, starkes Passwort vergeben. Diese Datei lässt sich später in jedes Bitwarden-Konto importieren.
5. Mit Master-Passwort oder E-Mail-Code bestätigen, dann die Datei aus dem Download-Ordner auf dein Backup-Medium verschieben und den Restore in einem leeren Test-Konto einmal durchspielen.

Die zweite Verschlüsselungsvariante heißt „Account restricted“ und ist als alleiniges Notfall-Backup untauglich: Sie lässt sich nur in exakt dasselbe Konto zurückspielen. Bitwarden schreibt in der Dokumentation zu verschlüsselten Exporten ausdrücklich, dass eine Rotation des Kontoschlüssels einen solchen Export unentschlüsselbar macht — auch ein neues Konto mit identischer E-Mail-Adresse auf einem anderen Server hilft dann nicht.

Was der Export nicht enthält, solltest du kennen, bevor du dich darauf verlässt:

• Papierkorb und Sends sind in keinem Exportformat enthalten — „No export formats include trash items or Sends“, so die Bitwarden-Hilfe.
• Datei-Anhänge kommen nur über das Format .zip (with attachments) mit; das gibt es aktuell nur für persönliche Tresore, dafür ohne separates Export-Passwort.
• Karten, Identitäten, gespeicherte Passkeys und SSH-Schlüssel stecken ausschließlich in den JSON-Exporten — wer CSV nimmt, verliert sie stillschweigend.

Die 3-2-1-Regel für deinen Passwort-Tresor

Der Klassiker der Datensicherung passt eins zu eins auf den Passwort-Manager und ist auch ein beliebtes Prüfungsthema in der Fachinformatiker-Ausbildung:

• 3 Kopien deiner Tresordatei: das Original plus zwei Sicherungen.
• 2 verschiedene Medien, zum Beispiel interne SSD und USB-Stick — nicht zwei Ordner auf demselben Rechner.
• 1 Kopie außer Haus: verschlüsselte Cloud oder ein Stick bei einer Vertrauensperson. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rät in seinen Empfehlungen zur Datensicherung ausdrücklich, ein physisches Speichermedium an einem anderen Ort aufzubewahren als den gesicherten Rechner — wegen Einbruch, Brand und Wasserschaden.

Dass diese Routine fehlt, ist keine Randerscheinung: Laut dem vom BSI zitierten Cybersicherheitsmonitor 2025 legt nur rund ein Fünftel der Internetnutzenden in Deutschland (etwa 20 %) regelmäßig eine Datensicherung an (BSI-Pressemitteilung zum World Backup Day, 30.03.2026). Beim Passwort-Tresor wiegt diese Lücke besonders schwer, weil mit einer Datei sämtliche Zugänge auf einmal verschwinden.

Damit ist auch die Arbeitsteilung klar: Die KeePass-Datenbank sichern heißt kopieren, nicht exportieren. Der Export ist ein Werkzeug für den Umzug, die Kopie ist dein Backup.

Hintergrund: Warum die verschlüsselte Datei in der Cloud liegen darf

Der Grund steckt im Aufbau der Dateien. Sowohl die .kdbx-Datenbank als auch der passwortgeschützte Bitwarden-Export sind mit einem starken Verfahren verschlüsselt (AES-256), das erst mit deinem Master- beziehungsweise Export-Passwort aufgeht. Zusätzlich wird das Passwort über eine Schlüsselableitung (KDF) künstlich „teuer“ gemacht, damit Rateversuche pro Versuch spürbar Rechenzeit kosten; bei Bitwarden werden die KDF-Einstellungen des Kontos für das Export-Passwort mitbenutzt. Für den Cloud-Anbieter bleibt der Inhalt Datensalat.

Daraus folgt die einzige Regel, die du dir wirklich merken musst: Die verschlüsselte Datei darf überall liegen — das Passwort dazu niemals in derselben Ablage. Das Backup schützt vor Datenverlust, die Verschlüsselung vor fremden Blicken. Erst zusammen ergeben sie einen Tresor, der auch einen Festplattenausfall überlebt.

Quellen

• KeePassXC User Guide — Speicherort, Backup-Optionen vor dem Speichern, Export-Formate und ihre Einschränkungen.
• KeePass 2.x: Configuration File — Pfade der Konfigurationsdateien und was darin gespeichert wird.
• Bitwarden Help: Export vault data — Exportwege, Formate und was Exporte nicht enthalten.
• Bitwarden Help: Encrypted exports — Unterschied „Account restricted“ und „Password protected“, Folgen der Schlüsselrotation.
• BSI: Datensicherung und Datenverlust — Empfehlungen zu Backup-Medien und Aufbewahrungsort.
• BSI-Pressemitteilung zum World Backup Day (30.03.2026) — Zahlen aus dem Cybersicherheitsmonitor 2025.

Häufige Fragen

Wo speichert KeePass die Datenbank?

Dort, wo du sie beim Anlegen gespeichert hast – einen festen Standardordner gibt es nicht. Typisch sind der Dokumente-Ordner oder ein Sync-Ordner. Wiederfinden lässt sie sich über eine Dateisuche nach *.kdbx.

Wie exportiere ich meine KeePass-Passwörter?

In KeePassXC über das Datenbank-Menü, Punkt „Exportieren“, nach CSV, HTML oder XML; KeePass 2.x exportiert über das Datei-Menü. Alle diese Dateien sind unverschlüsselt und gehören direkt nach dem Umzug gelöscht.

Reicht es, nur die .kdbx-Datei zu sichern?

Ja, solange die Datenbank allein mit dem Master-Passwort geschützt ist – sie enthält alle Einträge und ist verschlüsselt. Mit Schlüsseldatei musst du diese zusätzlich und getrennt davon sichern.

Welches Bitwarden-Exportformat ist das richtige?

Das verschlüsselte .json mit dem Export-Typ „Password protected“. Es lässt sich in jedes Bitwarden-Konto importieren. Die Variante „Account restricted“ wird nach einer Schlüsselrotation unlesbar.

Darf mein Passwort-Backup in die Cloud?

Ja, wenn es verschlüsselt ist. Die .kdbx-Datei und der passwortgeschützte Bitwarden-Export sind für den Anbieter unlesbar. Ein CSV- oder Klartext-JSON-Export gehört dagegen nie in die Cloud.