Hallo zusammen,

das Thema wurde hier ja schon an verschiedenen Stellen ausführlichst diskutiert, ich weiß …

Ich persönlich nutze 1Password seit Version 3 und empfehle es seit vielen Jahren auch immer wieder gern.

Der Schwenk seitens der Macher (AgileBits) hin zum Abo-Modell ist mir aber schon beim Upgrade von Version 6 auf 7 etwas aufgestoßen, denn das Upgrade war im direkten Vergleich recht teurer – ca. 3,- € pro Monat vs. knapp 53,- € 'einmalig' …

Falls jetzt eine Version 8 anstehen sollte und diese wieder so kostenintensiv ist für Nicht-Abo-Willige wie mich, werde ich mich aktiv nach Alternativen umsehen. Und mit dieser Einstellung bin ich hier nicht allein soweit ich weiß.

Auf der Suche nach einem KeePass-Derivat für macOS, der auch aktuelle KeePass-PlugIns unterstützt, bin ich zwar nicht fündig geworden, aber dafür habe ich eine recht frische Variante von KeePass für macOS (und iOS !!!) entdeckt, die ich bisher auch noch nicht kannte, und die einen recht guten Eindruck macht:

StrongBoxSafe

Erstaunlicherweise wurde StrongBoxSafe noch nicht bei MacTechNews erwähnt (auch nicht im Forum), deshalb mein Beitrag.

Auch die FAQ liest sich ganz gut, von daher sollte man da mal ein Auge drauf haben:



Hoffe der Beitrag nützt dem einen oder anderen etwas, wir können uns hier gern auch austauschen zum Thema.

Grüße in die Runde,
Marcel

PS: Bisher hatte ich KeePassXC am Mac genutzt wenn es eine 'freie' Variante sein sollte …

Was genau daran sieht für dich nach einer Alternative zu 1Password aus?
Das Programm scheint viel mehr eine Verschlüsselung für Clouds zu bieten. Ähnlich wie Boxcryptor oder die kostenlose Alternative Cryptomator. 1Password ist hingegen ein Passwort Manager mit großem Umfang.

Offenbar kann man damit auch Passwörter sichern, aber viel mehr hat es mit 1Password offenbar nicht gemeinsam. Zumindest geben Beschreibung und Screeshots nicht unbedingt mehr her.

Windwusel: StrongBoxSafe basiert auf KeePass, was nichts anderes ist als ein Passwort-Manager, und im Gegensatz zu 1Password auch Open Source und (zumindest teilweise) unabhängig auditiert.

Die angegebenen Cloud-Dienste sind (so wie bei 1Password auch) zum Sync des Tresors zwischen verschiedenen Geräten gedacht.

So viel war mir bereits klar. Jedoch erkenne ich anhand der Beschreibung und Screenshots trotzdem keine Ähnlichkeit zu 1Password. 1Password kann auch Ausweise, Softwarelizenzen und und und speichern.
Ich kann dir daher nach aktuellem Stand nicht zustimmen, dass dieses Programm eine wirkliche Option im Fall der Fälle darstellen würde. Da gibt es wirklich weit ähnlichere wie SafeInCloud oder Enpass.

Sprechen wir etwa von unterschiedlichen Arten von Alternativen?

Marcel_75@work:

Vorteil(e) gegenüber MacPass / ist/sind welche(r)?

Windwusel: Nur weil diese Kategorien innerhalb von 1Password so benannt und grafisch hübsch aufbereitet sind, heißt das ja keineswegs, dass man solche Daten nicht auch mit KeePass (oder eben auch StrongBoxSafe) verwalten könnte.

Klar, gegenüber 1Password fehlen Features wie z.B. "Watchtower" (inkl. haveibeenpwned.com Check z.B.) …

Und was bei StrongBoxSafe tatsächlich (noch) zu fehlen scheint (was dann leider auch für mich ein 'no go' wäre), ist ein entsprechendes Browser-PlugIn! Aber da kann man beim Entwickler ja mal anfragen, ob diesbezüglich etwas geplant ist.

Ich mag 1Password, dass wir uns hier nicht missverstehen – und ich nutze es intensiv seit fast 6 Jahren!

Aber ich bin auch offen für zukünftige Alternativen, insbesondere wenn diese Open Source basiert und sowohl für macOS und iOS verfügbar sind.

sierkb: Fand es halt super, dass die App außer für macOS auch für iOS verfügbar ist.

Aber ohne Browser-PlugIn ist es natürlich noch keine wirkliche Alternative, das gebe ich gern zu.

Ich brauche auf iOS MiniKeePass und bin sehr zufrieden. Wenn das mit dem Sync via WebDAV gut funktioniert, dann wechsle ich. Danke für den Hinweis

Wie von Windwusel bereits angemerkt, sehe ich Enpass als Alternative.
War seit 1Password 3 dabei, da es aber mit Version 7 keine Familien-Kauf-Lizenz mehr gibt, steige ich um, siehe:

wie lange kann man 1Passwort 6.89 noch verwenden? Hat da jemand etwas gefunden? Bisher hab eich alle alternativen als unbrauchbar wieder gelöscht.

Auf jeden Fall mal danke fürs teilen. Hast Du auf die Schnelle gesehen mit welcher Technik die Jungs da verschlüsseln?

Wobei das ja so ein Design ist, da würde ich als erstes in den Ressourcen wühlen und Icons austauschen Aber das ist Geschmacksache

EDIT: gefunden. Die Jungs hängen 1PW und Enpass in der Encryption aber hinterher :o SHA 256 gegen SHA512 und mehr.

Auch interessante Info: 16.99 sind je für die iOS und macOS Version zu errichten um die Pro Features nutzen zu können.
Preislich gesehen ist Enpass momentan soweit ich weis nicht zu schlagen (je 12€).

Für jemanden, der nur einen einfachen Passwortmanager braucht ist StrongBoxSafe sicherlich den Blick wert. Aber von da aus zu sagen, es wäre eine "vielversprechende 1Password-Alternative", ich weiß ich nicht.

So, der Entwickler von StrongBoxSafe hat mir geantwortet.

Vorausgesetzt, dass man das "KeePass 2"-Datenbankformat benutzt, kann man Tusk als Browser-Erweiterung nutzen:



So wird immerhin schon mal Chrome und Firefox unterstützt, Safari und Opera fehlen da dann natürlich noch. Und iOS natürlich …

Von daher war meine Überschrift "vielversprechende 1Password-Alternative" zugegebenermaßen etwas weit hergeholt, sorry. Aber das kann ich jetzt nicht mehr ändern – ich war halt so erfreut, dass es das auch für iOS gibt.

Dom Juan: Wenn Du einen 'Advanced'-Tresor erzeugst (KDBX 4.0 basierte Datenbank), wird Dir ein Tresor mit 'key derivation' auf Basis von Argon2 sowie 'outer encryption' und 'inner encryption' auf Basis von ChaCha20 erstellt, das ist sicherheitstechnisch auf alle Fälle ordentlich würde ich mal sagen …

War mir beim querlesen grade entfallen. Sollte im Alltag reichen

Du hattest KeePass schonmal irgendwo erwähnt, oder? Ich hatte das mal geladen gehabt, als jemand das hier mal nannte.

Auch hier werfe ich gerne mal wieder ein, dass es die Version 7 von 1Passwort auch als Einmal-Kauf-Version gibt. Abo ist nicht zwingend. Beim Einmal-Kauf fehlt lediglich der Sync über deren Hauseigene Cloud, alle anderen Sync-Optionen sind aber immer noch möglich. Um den Einmalkauf nutzen zu können muss man sich 1Password lediglich von deren Webseite laden, nicht aus dem Mac App Store.

Aber ansonsten finde ich es sehr cool und sehr gut, dass es einige Alternativen zu 1Password gibt und dass sich viele Leute wegen dem Abomodell (der Einmalkauf ist nicht ohne Grund so versteckt) nach Alternativen umsehen. So ruht sich AgileBits hoffentlich nicht auf dem anfänglichen Erfolg aus.

Da hier häufig Enpass als Alternative zu 1Password empfohlen wird (was angesichts der Preisgestaltung ja auch durchaus nachvollziehbar ist): Für die aktuelle Version 6 gab es erstmals einen unabhängigen Security Audit, hier gibt es das PDF:



Zitat:

During the testing of the Enpass apps, VerSprite found that it was possible to recover the primary Vault's master password from memory for both Windows and Android apps. The issue named as (Remediated) Cleartext Storage of Sensitive Information in Memory (Windows) (CWE-316) details the process to perform the master password recovery without Administrative privileges on the Windows host.

For the exploitation of this issue on the Android client root privileges are required on the device, as unprivileged
applications are not permitted to access the process memory of other applications. Details on this issue are presented on (Partially Remediated) Cleartext Storage of Sensitive Information in Memory (Android) (CWE-316). It should be noted that despite remediation efforts, under certain testing conditions, an attacker might still be able to recover the master password due to the nature of the privileges required to do so.

D.h., zumindest bei der Windows- und Android App gab es durchaus gewichtige Sicherheitsprobleme (auslesen des Master-Kennwortes aus dem RAM möglich) …

Falls jemand jetzt zum Vergleich die Security Audits von 1Password sucht, diese finden sich hier:



Die Strongbox.app hat bisher übrigens noch kein öffentliches und unabhängiges Security Audit hinter sich … der Quellcode steht jedoch auf GitHub bereit.

PS: Und noch eine kleine Korrektur am Rande – die App heißt tatsächlich nur "StrongBox", "StrongBoxSafe" ist der Name der Webseite …

Und eine weitere Open Source Lösung, die eventuell für viele sogar in der kostenfreien Variante ausreichen dürfte, wäre Bitwarden:



Ich werfe das nur mal mit in die Runde für alle, die sich weiterhin nach Alternativen umsehen möchten …

PS: Nutzt jemand hier bereits Bitwarden und kann berichten, wie es sich im praktischen Alltag schlägt?

Aktuell nutze ich Bitwarden im Test, da mein 1Password 7-Abo nur noch 2 Monate Restlaufzeit hat. Aufmerksam wurde ich durch c't 07-18 und einen überschwänglichen Test im Netz.
Die Migration klappte problemlos. Ich habe ein paar nutzlose Zusatzeinträge, die wohl interne Infos von 1Password darstellen.
Bitwarden ist für mich problemlos kostenlos nutzbar. Die kostenpflichten Features (1 Euro/Monat) benötige ich nicht: Anhänge, 2FA (stattdessen nutze ich OTP Auth), lokale Speicherung über Docker
1Password bekommt es deutlich häufiger hin, auf Webseiten Benutzername und Passwort automatisch aufzufüllen.
Fazit: Bitwarden ist gut und kostenlos, 1Password komfortabler.

PS: 2FA wird auch in Bitwarden importiert, das "Geheimnis" ist in den Einträgen, wird aber nicht angezeigt. Lässt sich aber so problemlos in OTP Auth et al. exportieren.

Was mir bei Bitwarden gleich zu Beginn unangenehm aufgefallen ist: Erster Kontakt 'nach außen' gleich mal zu Google Analytics … irgendwie nicht so das, was man bei so einem Tool möchte, oder?

Zumal ich das bei einem 'Open Source' Tool nun wirklich nicht erwartet hätte. Schade eigentlich.

Stimmt, Google Analytics hat mich auch irritiert. Es lässt sich aber in den Einstellungen abschalten.
Für mich interessant, da WebDav möglich ist, sind noch: Enpass, Lastpass, SafeInCloud (nur iOS kostet). Alle drei wurden auch bei c't viel versprechend beschrieben.

Bei Enpass kostet auch nur iOS, wenn man sich die Desktop Premium-Features nicht holt.