Willst Du den Passwortmanager wechseln, lass den alten Tresor zunächst vollständig erreichbar. Prüfe seinen Inhalt, exportiere nur in ein passendes Format, importiere einmal und teste wichtige Zugänge im neuen Manager, ehe Du die alte App oder das alte Konto löschst.
Ein erfolgreicher Import ist noch kein Beweis dafür, dass alles angekommen ist. Passwörter können vorhanden sein, während Passkeys, Zwei-Faktor-Codes, Anhänge, Notizen oder Einträge aus einem geteilten Tresor fehlen. Der Wechsel braucht deshalb zwei Kontrollen: Stimmen die Daten im neuen Tresor, und funktioniert die Anmeldung bei den betreffenden Diensten?
Der alte Tresor liefert zuerst eine Bestandsaufnahme
Öffne den bisherigen Passwortmanager auf einem Gerät, auf dem Du noch Zugriff hast. Suche nicht nur nach der Gesamtzahl der Einträge. Diese Zahl ist nützlich, aber grob: Ein Login, eine sichere Notiz und ein WLAN-Eintrag können jeweils als einzelner Datensatz zählen, obwohl sie beim Export unterschiedlich behandelt werden.
Für die Bestandsaufnahme reichen einige bewusst gewählte Bereiche. Notiere Dir, wo persönliche Einträge liegen und ob zusätzlich Familien-, Team- oder andere geteilte Bereiche existieren. Öffne außerdem einige wichtige Konten und schau nach, wie Du Dich dort anmeldest. Ein gespeichertes Passwort, ein Passkey und ein zeitbasierter Zwei-Faktor-Code sind drei verschiedene Dinge.
Diese Punkte gehören auf die kurze Umzugsliste:
- Notiere die ungefähre Zahl der persönlichen Logins sowie vorhandene zusätzliche Tresore oder Sammlungen.
- Markiere einige Konten mit Passkeys oder gespeicherten Zwei-Faktor-Codes.
- Suche Einträge mit Dateianhängen, längeren Notizen und benutzerdefinierten Feldern heraus.
- Halte fest, welche Zugänge mit anderen Personen geteilt werden und wer darauf zugreifen darf.
- Wähle wichtige Konten aus verschiedenen Bereichen für den späteren Anmeldetest aus.
Fehlt später ein Eintrag, ist damit noch kein technischer Verlust bewiesen. Er kann in einem anderen Tresor, einer geteilten Sammlung oder im Archiv liegen. Manchmal existiert für den Dienst auch nur ein Passkey und kein klassischer Passwort-Eintrag. Die Bestandsaufnahme macht diese Fälle sichtbar, solange beide Systeme noch nebeneinander geöffnet werden können.
CSV oder ein umfangreicheres Exportformat?
Das geeignete Format richtet sich zuerst danach, was der neue Passwortmanager importieren kann. CSV wird von vielen Diensten angenommen und lässt sich leicht übertragen. Gerade diese Einfachheit hat Grenzen: Bei 1Password enthält der CSV-Export nur eine begrenzte Auswahl von Feldern, während das anbieterbezogene 1PUX-Format mehr Struktur bewahrt. Beim dort beschriebenen Desktop-Export können zudem Passkeys fehlen und müssen gegebenenfalls auf den jeweiligen Websites neu eingerichtet werden.[1]
Die praktische Regel lautet daher: Unterstützt das Zielsystem ein umfangreicheres Format des bisherigen Managers, ist dieses meist der bessere erste Versuch. CSV bleibt eine brauchbare Ausweichlösung für klassische Logins, darf aber nicht mit einer vollständigen Kopie des Tresors verwechselt werden. JSON- und andere strukturierte Formate sind ebenfalls nicht automatisch geeignet; der Zielmanager muss genau die betreffende Variante unterstützen.
Exportdateien verdienen besondere Aufmerksamkeit. Sie können Passwörter und andere vertrauliche Inhalte unverschlüsselt enthalten. Speichere eine solche Datei nur vorübergehend lokal auf einem Gerät, dem Du vertraust. Schicke sie nicht per E-Mail und lege sie nicht in einen Ordner, der automatisch mit einem Cloud-Dienst synchronisiert wird. 1Password warnt ausdrücklich, dass exportierte Daten nicht verschlüsselt sind und jeder mit Zugriff auf die Datei sie lesen kann.[1]
Ein Import gehört in den richtigen Zieltresor
Lege im neuen Passwortmanager fest, wohin die Daten gelangen sollen. Das ist besonders wichtig, wenn dort bereits ein persönlicher Tresor und ein Familien- oder Arbeitsbereich bestehen. Ein Import in den falschen Bereich führt nicht zwingend zu verlorenen Daten, kann aber Freigaben und die spätere Suche durcheinanderbringen.
Wähle beim Import den bisherigen Anbieter und das tatsächlich erzeugte Dateiformat. Menünamen und verfügbare Wege unterscheiden sich je nach Dienst, App-Version und Tarif. Bei Bitwarden etwa werden Importquelle, Datei und Ziel ausgewählt; vorhandene Einträge werden dabei nicht automatisch auf Dubletten geprüft.[2]
Starte denselben Import deshalb nicht erneut, nur weil die Abschlussmeldung knapp ausfällt. Ein zweiter Durchlauf kann bei einem Zielsystem ohne Dublettenprüfung doppelte Einträge erzeugen. Schaue zuerst in den neuen Tresor, vergleiche die Anzahl grob mit Deiner Bestandsaufnahme und suche einige markante Einträge über ihren Namen oder die gespeicherte Webadresse.
Ist die Zahl deutlich niedriger, prüfe zunächst das Exportformat und den gewählten Zieltresor. Ist sie höher, können bereits vorhandene Einträge oder ein wiederholter Import der Grund sein. Die reine Zahl bleibt ein Hinweis, kein Abnahmeprotokoll.
Die Stichprobe deckt Lücken im neuen Tresor auf
Eine gute Kontrolle nimmt nicht einfach die ersten zehn Einträge der alphabetischen Liste. Sie verteilt die Probe über unterschiedliche Anmeldearten und Inhalte. Das ist aussagekräftiger als ein langer Test mit zehn ähnlich aufgebauten Onlineshops.
Stelle Dir eine kleine Auswahl zusammen, die Deinen tatsächlichen Bestand abbildet:
- Teste einen häufig genutzten Zugang mit Benutzername und Passwort.
- Öffne einen Eintrag mit längerer Notiz oder zusätzlichen Feldern und vergleiche seinen Inhalt mit dem alten Tresor.
- Kontrolliere einen geteilten Zugang aus einem Familien- oder Teambereich einschließlich der Freigabe.
- Prüfe einen Dienst mit Zwei-Faktor-Authentifizierung, ohne den bisherigen zweiten Faktor vorschnell zu entfernen.
- Kontrolliere einen Eintrag mit Anhang und einen Zugang, der per Passkey verwendet wird.
Führe bei wichtigen Konten eine echte Anmeldung im Browser oder in der jeweiligen App durch. Autofill allein reicht nicht: Es kann Felder füllen, obwohl der gespeicherte Datensatz veraltet ist. Bei einem Passkey zählt, ob der neue Manager ihn anbietet und die Anmeldung gelingt. Fehlt er, richte ihn erst nach den Vorgaben des betreffenden Dienstes neu ein; lösche die bisherige Anmeldemöglichkeit erst, wenn die neue nutzbar ist.
Eine kleine, gemischte Probe sagt mehr als eine makellose Importmeldung. Sie verbindet den sichtbaren Eintrag mit seiner eigentlichen Aufgabe: Zugang gewähren.
Zwei-Faktor-Codes brauchen eine eigene Prüfung
Zeitbasierte Einmalcodes, oft TOTP-Codes genannt, können im alten Passwortmanager, in einer gesonderten Authenticator-App oder an beiden Stellen liegen. Ein gewöhnlicher Passwort-Export übernimmt sie nicht in jedem Fall. Bitwarden trennt in seiner Dokumentation den Export der Authenticator-Daten von TOTP-Daten, die mit Einträgen im Passworttresor synchronisiert sind.[3]
Prüfe daher pro wichtigem Konto, wo der laufend wechselnde Code erzeugt wird. Wenn ein gesonderter Export nötig ist, nutze die dafür vorgesehene Funktion des jeweiligen Authenticator-Dienstes. Entferne die bisherige Zwei-Faktor-Methode auf der Website nicht, solange der Code im neuen System noch nicht erfolgreich angenommen wurde.
Falls ein Dienst die Neueinrichtung verlangt, halte seine angebotenen Wiederherstellungswege bereit. Der kritische Unterschied liegt zwischen „der Code erscheint“ und „der Dienst akzeptiert ihn“. Nur der zweite Punkt bestätigt, dass der Umzug für dieses Konto funktioniert hat.
Anhänge und geteilte Einträge folgen nicht immer mit
Dateianhänge, Einträge im Papierkorb und spezielle Freigabefunktionen können außerhalb des üblichen Login-Exports liegen. Bitwarden weist für den beschriebenen Import aus LastPass darauf hin, dass Anhänge separat übertragen werden müssen; auch Einträge aus dem Papierkorb und spezielle Send-Funktionen werden dort nicht übernommen.[4] Das lässt sich nicht pauschal auf jede Kombination von Passwortmanagern übertragen, zeigt aber, warum gerade diese Inhalte einzeln kontrolliert werden sollten.
Bei geteilten Daten kommt eine zweite Ebene hinzu: Der Eintrag kann im neuen Tresor vorhanden sein, ohne wieder mit denselben Personen geteilt zu werden. Teilen ist eine Funktion des Zielsystems und nicht bloß ein Feld in einem Login. In Bitwarden etwa werden Einträge über Organisationen und Sammlungen für andere Nutzer zugänglich gemacht.[5]
Übertrage private und gemeinschaftlich genutzte Daten deshalb getrennt, wenn die beteiligten Dienste das verlangen. Bei Arbeits- oder Teamkonten können außerdem Exportrechte fehlen. Dann gehört der Wechsel in die Hände der zuständigen Administration; ein persönlicher Export ist kein Ersatz für eine geregelte Migration.
Der alte Passwortmanager geht zuletzt
Lösche die Exportdatei, sobald Import, Inhaltsvergleich und Anmeldetests abgeschlossen sind. Entferne sie auch aus dem Papierkorb und kontrolliere, ob keine weitere Kopie im Download-Ordner oder in einem synchronisierten Verzeichnis liegt. Bei einem Import über 1Password.com wird ebenfalls empfohlen, die unverschlüsselte Datei nach dem Vorgang zu löschen.[6]
Den alten Passwortmanager selbst behältst Du noch für eine kurze Übergangsphase erreichbar, ohne dort neue Einträge anzulegen. Sonst entstehen zwei voneinander abweichende Tresore. Nutze im Alltag den neuen Manager und greife auf den alten nur zurück, wenn ein seltener Zugang, ein Anhang oder eine Notiz fehlt.
Der alte Dienst kann weg, wenn wichtige Anmeldungen funktionieren, Passkeys und Zwei-Faktor-Codes versorgt sind, Anhänge sowie geteilte Bereiche kontrolliert wurden und keine vertrauliche Exportdatei mehr herumliegt. Erst dieser Stand beendet den Wechsel — nicht die Meldung „Import abgeschlossen“.
Quellen
- Daten aus den 1Password-Apps exportieren (1Password Support, abgerufen am 21.07.2026)
- Daten in einen Bitwarden-Tresor importieren (Bitwarden, abgerufen am 21.07.2026)
- Authenticator-Daten importieren und exportieren (Bitwarden, abgerufen am 21.07.2026)
- Daten aus LastPass in Bitwarden importieren (Bitwarden, abgerufen am 21.07.2026)
- Einträge in Bitwarden teilen (Bitwarden, abgerufen am 21.07.2026)
- Daten in ein Konto auf 1Password.com übertragen (1Password Support, abgerufen am 21.07.2026)
