Mac-Nutzer können seit Jahrzehnten auf einen Passwortmanager zurückgreifen, welcher ins Betriebssystem integriert ist. macOS beinhaltet nämlich die sogenannte Keychain, in der deutschen Ausgabe als Schlüsselbund bekannt. Ursprünglich handelte es sich dabei um eine einzelne geschützte Datenbank, in der sich Zugangsdaten etwa zu Onlinediensten oder App-Daten ablegen ließen. Diese Funktion erfüllen die Keychain und das zugehörige Dienstprogramm namens Schlüsselbundverwaltung bis heute. Im Laufe der Jahre erweiterte Apple das Feature immer wieder um zusätzliche Funktionen und nahm darüber hinaus auch Änderungen vor, etwa welche sensiblen Informationen wo gespeichert werden. Mittlerweile enthält macOS daher gleich mehrere Schlüsselbunde.


Apple unterscheidet zwei Schlüsselbundtypen
Grundsätzlich unterscheidet Apple in macOS zwei verschiedene Schlüsselbundtypen: rein dateibasierte und „Data Protection Keychains“. Letztere lassen sich mithilfe der Secure Enclave schützen und somit biometrisch etwa durch Touch ID absichern. Dieser Schlüsselbund kommt unter anderem bei der Speicherung von Passkeys zum Einsatz, aber auch bei der Synchronisierung von Zugangsdaten durch den iCloud-Schlüsselbund. Eine lokale Kopie der „Data Protection Keychain“ ist einem Blogbeitrag des bekannten Entwicklers Howard Oakley zufolge unter ~/Library/Keychains/[UUID]/keychain-2.db zu finden, bei der UUID handelt es sich um die dem Mac zugewiesene Kennung. Verwendet man den iCloud-Schlüsselbund nicht, taucht diese Keychain in der Schlüsselbundverwaltung unter der Bezeichnung „Lokale Objekte“ auf. Auf einen anderen Mac kopieren kann man einen derartigen Schlüsselbund laut Apples entsprechendem Support-Dokument nicht.

Anmeldeschlüsselbund als zentraler Passwortspeicher
macOS stellt jedem Benutzer einen eigenen Anmeldeschlüsselbund zur Verfügung, welcher in der Datenbank ~/Library/Keychains/login.keychain-db gespeichert und mit dem Userpasswort geschützt ist. Er wird automatisch bei jedem erfolgreichen Login entsperrt. In dieser Keychain können Mac-Nutzer standardmäßig sämtliche Zugangsdaten, Zertifikate sowie zahlreiche weitere Informationen sicher ablegen. Der Anmeldeschlüsselbund wird zudem von zahlreichen Apps genutzt, um etwa Passwörter zu speichern. Ob eine Anwendung jedoch tatsächlich ohne Weiteres automatisch darauf zugreifen kann, hängt davon ab, ob macOS sie als vertrauenswürdig einstuft. Ist das nicht der Fall, verlangt das Betriebssystem vom Nutzer die Eingabe des Login-Passworts und übermittelt der App erst danach die angeforderten Daten. Konfigurieren oder gar außer Funktion setzen lässt sich diese Sicherheitsmaßnahme nicht.


Nutzer können zusätzliche Schlüsselbunde anlegen
Verfügt man über eine sehr große Zahl von Zugangsdaten und anderen schützenswerten Informationen, lassen sich zusätzliche individuelle Schlüsselbunde anlegen. Das erfolgt im Menü der Schlüselbundverwaltung unter „Ablage“ „Neuer Schlüsselbund“. Auf diese Art und Weise kann man Passwortsammlungen beispielsweise klassifizieren und nach eigenen Vorlieben strukturieren. Apps könne ebenfalls eigene Keychains erzeugen. Auf SSD oder Festplatte zu finden sind diese Schlüsselbunde im Ordner mit der Bezeichnung ~/Library/Keychains. Vom Anmeldeschlüsselbund unterscheiden sie sich in einem wichtigen Punkt: Der Zugriff ist in aller Regel standardmäßig gesperrt und muss stets durch die Eingabe des bei der Erstellung festgelegten Passworts freigegeben werden.

macOS verfügt über zwei systemeigene Schlüsselbunde
Das Mac-Betriebssystem verfügt darüber hinaus über zwei weitere Keychains, welche in der Schlüsselbundverwaltung unter „Systemschlüsselbunde“ aufgelistet sind. Die Datenbank mit der Bezeichnung „System“ enthält Passwörter und Zertifikate, welche für alle Benutzer benötigt werden. Dazu zählen unter anderem WLAN-Zugangsdaten und VPN-Verbindugen. Im Schlüsselbund „SystemRoot“ speichert macOS sämtliche Sicherheitszertifikate, welche das Betriebssystems an Bord hat und denen etwa beim Zugriff auf Webseiten vertraut wird.