ProtonPass im ausführlichen Test

Vor etwa einem Monat habe ich ProtonPass vorgestellt. Der Muede Joe hat damals im Beitrag (auch zurecht) kritisiert, dass es eher ein Werbebeitrag war.

Eigentlich wollte ich das Produkt nur vorstellen.

Nun konnte ich den Passwort Manager von Proton über einen Monat testen und kann etwas ausführlicher über die Pro & Cons berichten.

Wozu brauche ich einen Passwort Manager und wie funktioniert der Test?

Ich arbeite als Web-Entwickler und nutze währendem arbeiten sehr oft verschiedene Browser, um zu testen, ob etwas das z.B. in Firefox funktioniert auch in Google Chrome oder Microsoft Edge funktioniert.

Daher ist es für mich wichtig, dass ich alle Passwörter immer in jedem Browser zugriffsbereit habe. Ebenfalls arbeite ich auch plattformübergreifend → bedeutet der Passwortmanager muss auch auf Windows, Mac OS, auf dem iPad und dem iPhone funktionieren.

Ich werde diesen Test in zwei Kategorien aufteilen, einerseits für die »Desktop« Nutzung auf Linux, Windows, Mac OS und für die mobilen Geräten iPhone/iPad. Auf Android konnte ich den Passwortmanager nicht testen, da ich noch nie ein Android Gerät besessen habe.

Da auf dem Desktop ProtonPass nur als Browser Erweiterung verfügbar ist, werde ich den Test nicht einzeln auf Linux, Windows und Mac aufschlüsseln - da er auf allen Plattformen identisch funktioniert. Hauptsächlich habe ich den Passwortmanager im Firefox benutzt. Ich konnte aber keine Funktionsunterschiede zwischen dem Firefox oder Chromium Addon Fesstellen.

Zusätzlich werde ich hier hauptsächlich Vergleiche mit 1Password ziehen. Da 1Password der Passwortmanager ist, den ich seit mehreren Jahren verwende und für mich die Messlatte gerade bei den Komfortfunktionen ist.

ProtonPass für den Desktop - Einrichtung und Import

ProtonPass für den Desktop ist wie bereits erwähnt eine Browser Erweiterung. Die kann man problemlos über die Browser Addon-Stores installieren. Hier bitte beachten, dass man unter Safari auf dem Mac die Erweiterungen über den Mac App Store installieren muss.

Nach der Installation muss man sich mit seinem Proton-Account einloggen. Falls man keinen hat kann man den Account kostenlos erstellen.

Der PasswortManager kann auch in einer kostenlosen Version getestet werden. Falls man bereits zahlender Proton Kunde ist, kann man den Passwortmanager ohne Aufpreis in vollem Funktionsumfang nutzen.

Nach dem Login kann man seine Daten vom bisherigen Passwortmanager importieren. Unterstützt werden derzeit:

• 1Password
• Bitwarden
• Dashlane
• KeePass und KeePassXC
• Keeper
• LastPass
• Passwortspeicher von Chrome, Firefox, Edge, Brave und Safari Browser

Ich habe hier nur den Import von 1Password getestet und kann sagen, dass der problemlos funktioniert hat. Ich habe rund 1300 Objekte im Passwortmanager gespeichert, darunter viele Logins für Webseiten, Notizen (wo wir z.b. Dokumentationen von einzelnen Server speichern, wie SSH Zugangsdaten, welche Ports für welchen Dienst verwendet werden, etc), Kreditkarten Daten, und 2FA-Codes.

Der Import von allen Daten funktionierte einwandfrei. Egal ob Kreditkartendaten, Notizen, Logins oder die 2FA Codes alles war innerhalb von Sekunden in ProtonPass verfügbar.

ProtonPass für den Desktop - Handling

ProtonPass unterstützt in der Theorie alle wichtigen Funktionen. Man kann direkt über das Addon eine Loginseite aufrufen und die Daten werden direkt ausgefüllt. Wenn man eine Seite manuell aufruft und es gibt ein gespeichertes Login wird es automatisch ausgefüllt.

Wenn man sich irgendwo einloggt, ohne den Passwortmanager zu nutzen und dort kein Passwort hinterlegt ist bietet der Passwortmanager direkt an das Passwort zu speichern.

Wenn man sich irgendwo registrieren will, erstellt Protonpass ein zufällig generiertes Passwort und füllt es im Passwortfeld direkt aus.

Zudem hat man die Möglichkeit, eine Fake-E-Mail Adresse mit einem Klick zu erstellen. Das erstellt dann eine E-Mail Adresse, die z.B. so aussieht: p8aiw@passmail.net E-Mails an diese Adresse werden dann direkt an deine normale E-Mail Adresse weitergeleitet.

Dadurch hat der Webseiten Anbieter nie deine richtige E-Mail Adresse und falls dort mal die Datenbank oder so in falsche Hände geraten sollte, kannst du diese Weiterleitung einfach wieder entfernen und bist kein Opfer von Spammails. In der Praxis hat man dadurch für jeden Account den im Internet erstellt eine andere E-Mail Adresse mit einem jeweils zufällig generierten Passwort. Natürlich kann man aber auch seine richtige E-Mail Adresse verwenden.

Ich sage aber jetzt schon voraus, dass Proton sich hier noch einige weitere Domains sichern muss, und viele Anbieter (gerade z.B. Streamingdienste, die die ersten 30 Tage kostenlos anbieten) die E-Mail Endung »passmail.net« früher oder später sperren werden.

Hier als Beispiel wie das bei der Registrierung in unserem LinuxGuides Forum aussehen würde:

In der Praxis sind mir beim Handling aber zwei sehr gravierende Probleme aufgefallen. ProtonPass ist nicht annähernd so gut wie 1Password beim Erkennen von Login Felder. Unter anderem bei Reddit (aber auch vielen anderen Seiten) erkennt die Erweiterung das Login Formular nicht und füllt das Passwort nicht automatisch aus. Das ist mir regelmässig aufgefallen und grob über den Daumen geschätzt würde ich sagen, dass bei ca 8 von 10 Webseiten das Login Formular nicht erkannt wird.

Das ist ein Problem das ich bei 1Password nie hatte, der hat immer alle Login Felder einwandfrei erkannt. Auch hat ProtonPass teilweise Probleme bei Logins »über mehrere Schritte«. Z.b. bei Google oder Microsoft gibt man im ersten Schritt ja nur seine E-Mail Adresse ein und erst danach erscheint das Passwort Feld. Bei Google kann ProtonPass damit umgehen und füllt das Passwort z.B. auch im zweiten Schritt automatisch aus, bei Microsoft muss man dann das Passwort manuell einfügen.

Ich denke das hier 1Password - durch das sie schon länger auf dem Markt sind - mehr Zeit hatte gewisse Login Prozesse wie z.b. Reddit oder Microsoft manuell im Code zu hinterlegen. Und viele dieser seitenspezifischen Anpassungen bei ProtonPass einfach noch fehlen.

Der Fluch mit den 2FA-Codes

Obwohl ProtonPass die Funktion auf der Webseite bewirbt, klappt bei mir das automatische einfügen von 2FA Codes überhaupt nicht. Nirgendwo - egal welche Webseite, egal welchen Browser egal welches Betriebssystem. Das ist furchtbar schade und ehrlicherweise auch ziemlich nervig und ich hoffe wirklich das sie das schnell gefixt bekommen.

Sonstiges

Für Menschen die Probleme mit Englisch haben, ist ProtonPass definitiv nicht empfehlenswert. Das Addon ist zurzeit nur in Englisch verfügbar, an der Übersetzung wird aber gearbeitet.

Negativ aufgefallen ist bei mir noch der fehlende »Light-Mode« Das Design der App komplett dunkel gehalten. Bei mir sind (ausnahmslos alle Geräte) so eingerichtet, dass sie Tagdurchs den hellen Modus aktiviert haben und bei Sonnenuntergang automatisch in den Dark Mode wechseln.

Da ich sehr oft draussen oder unterwegs arbeite und wir im letzten Monat teilweise doch sehr sonnige Tage hatten ist mir oft aufgefallen, dass ich bei ProtonPass in seinem Dunkelmodus schlicht und einfach nichts erkennen konnte. War wirklich frustrierend.

Hier ein Bild, vom "Dauer-Dark-Mode" bei starkem Sonnenlicht mit Geräten die teilweise nur 300 Nits Bildschirmhelligkeit haben oft nichts zu erkennen.

ProtonPass auf dem iPhone / iPad

Auf dem iPhone und iPad ist ProtonPass als App im App Store verfügbar. Auch dort muss man sich mit seinem ProtonAccount anmelden.

Der Import von Passwörtern aus anderen Apps funktioniert nicht über die App, sondern nur in der Browser Erweiterung auf dem Desktop.

Auf dem iPhone hatte ich absolut keine Probleme mit dem Erkennen von Passwortfeldern. Dies liegt aber weniger an ProtonPass sondern mehr an Apple.

Für alle die kein iPhone besitzen hier eine kurze Erklärung. Apple hat eine Betriebssystemweite API für das erkennen von Login und Registrierungsfelder in Apps und Webseiten.

In den Systemeinstellungen kann man auswählen welche App man als Passwortmanager nutzen will - danach werden die Daten bei einem erkannten Login Feld aus der entsprechend gewählten App gezogen und eingefüllt. Das hat mit 1Password einwandfrei funktioniert und hat mit ProtonPass ebenfalls funktioniert.

Wenn man also mit einem Browser auf dem iPhone auf reddit.com geht, wird das Login Feld von Apple problemlos erkannt. Bei ProtonPass geprüft ob es Logindaten für »reddit.com« gibt, falls ja werden die ausgefüllt.

Der noch stärkerere Fluch mit den 2FA Codes

Die 2FA Codes waren auf dem Desktop schon nervend. Aber auf dem iPhone nimmt das viel schlimmere Züge an. Eine ähnliche API wie ich vorhin beschrieben habe, hat Apple auch für 2FA Codes. Wo man in den Systemeinstellungen auswählen kann, welche App man für die 2FA Code Verwaltung nutzt und somit systemweit ein automatisches ausfüllen anbietet.

Das hat unter 1Password auch immer absolut problemlos funktioniert. Bei ProtonPass funktioniert nicht überhaupt nicht. Man kann die App nicht mal dafür auswählen.

Das führt dazu, dass wenn ich mich auf dem iPhone z.B. hier im Forum einloggen möchte, der erste Login Schritt (Benutzername und Passwort) automatisch ausgefüllt wird und einwandfrei funktioniert. Danach werden ich vom Forum nach dem 2FA Code gefragt.

Dann muss ich die Browser App auf dem iPhone minimieren, die ProtonPass App manuell öffnen, mich per FaceID authentifizieren. In der App nach »linuxguides« suchen. Den Eintrag öffnen und dort manuell den 2FA Code kopieren muss. Nur um danach wieder den Browser zu öffnen und ihn dort manuell einzufügen. Das ist extrem nervend, zeitraubend und total unnötig.

Technisches

Die ProtonPass Erweiterung und iOS/Android Apps sind OpenSource. Den Quellcode findet man auf GitHub. Die Inhalte des Passwort Managers (also Benutzernamen, Passwörter, Webseitenadressen, Kreditkartendaten, usw) sind komplett über ein »Zero-Trust-Modell) Ende zu Ende verschlüsselt.

Hier hat ProtonPass ein Vorteil gegenüber 1Password, da bei 1Password nur die Passwörter, aber nicht die anderen Daten verschlüsselt. So weiss 1Password in der Theorie, auf welchen Webseiten du alles einen Login hast, Proton hat diese Information nicht.

Wie alle ProtonServices (Mail, Kalender, Drive, etc) bekam ProtonPass ein »Security Audit« von einer dritten Firma. Solche Sicherheitsaudits bekommen Zugriff auf den kompletten Quellcode und werden dafür bezahlt, um dort nach Lücken oder anderen Sicherheitsprobleme zu suchen.

Das Audit wurde von der Firma Cure53 in Berlin durchgeführt. Sie haben sowohl die Browser Addons, die iPhone App wie auch die Android App und das Backend durch diverse Tests getestet. Der Audit Bericht ist öffentlich, und wenn man ProtonPass auf Android einsetzen will sicherlich einen Blick Wert. Da es dort eine als »medium« eingestufte Sicherheitslücke gibt die man aufgrund der Limitierungen von Android nicht beheben kann.

Fazit

Das Fazit insgesamt ist durchwachsen. Ich habe nun mein 1Password Abo nochmals für ein Jahr verlängert und lasse nun 1Password und ProtonPass parallel laufen.

Was mir extrem gut an ProtonPass gefällt ist der integrierte »Passmail.net« Service, um für neue Accounts automatisch irgendwelche Fake E-Mail Adressen zu erstellen. Das Ganze funktioniert sehr gut, ist nicht kompliziert und mit einem Klick einfach erledigt.

Beim erstellen von neuen Accounts auf Webseiten, und dem automatischen speichern dieser Daten ist für mich ProtonPass besser als 1Password (hauptsächlich wegen dem Passmail Service).

Beim Ausfüllen von Logindaten ist 1Password aber spürbar die bessere Anwendung. ProtonPass erkennt oft Login Felder nicht und das ausfüllen von 2FA Codes funktioniert überhaupt nicht.

Das allgemeine Handling ist bei 1Password auf dem Desktop ebenfalls angenehmer, da man sich dort auch mit biometrischen Daten wie Fingerabdruck, oder IR-Gesichtscan authentifizieren kann. Diese Möglichkeit fehlt ProtonPass (noch). Das liegt nicht an der technischen Limitierung, das ProtonPass nur als WebAddon verfügbar ist. Da es mit der »Web Authentication API« einen Webstandard für biometrische Authentifizierung geben würde (auch wenn Firefox den leider noch nicht unterstützt).

Ebenfalls fehlt der integrierte SSH-Agent, den man bei 1Password hat. Bedeutet bei 1Password kann ich auch alle meine SSH-Keys hinterlegen.

Wenn ich mich danach im Terminal z.B. per »ssh user@host« mit einem Server verbinde, wird der zugehörige Key direkt aus 1Password verwendet. So hat man auf allen Rechnern immer alle seine SSH Keys verfügbar.

Ich bin sicher, dass ProtonPass die Probleme mit nicht erkannten Passwortfeldern und den 2FA Codes noch in den Griff bekommen wird. Wenn heute jemand einen neuen PasswortManager sucht und auf die SSH-Integration verzichten kann ist ProtonPass sicherlich einen Blick Wert - auch weil Proton zurzeit etwa 2/3 weniger kostet als 1Password - bzw. als bestehender Proton Kunde umsonst ist.

Meine Hoffnung, dass ich die Kosten für 1Password komplett sparen, und komplett auf ProtonPass umsteigen kann haben sich leider (noch) nicht erfüllt.

Quote from Stardenver

Das von dir hier beschriebene Vorgehen ist aber ungleich leichter, schneller und besser. Muss ich mich mal einlesen, ob meine bisherige App das unterstützt.

Nutze ich so seit gefühlt 100 Jahren mit 1Password. Das hat automatisch den 2FA Code in die Zwischenablage kopiert, wenn es ein Passwort automatisch ausgefüllt hat.

Wenn er das Feld erkannt hat, wurde der Code direkt eingefügt, wenn nicht konnte ich einfach in das Feld klicken und auf "einfügen" drücken ohne die App verlassen zu müssen.

Dein Workaround mit der Bedienungshilfe ist aber auch eine gute Idee.

Quote from Stardenver

Nutze ich in Bitwarden und Firefox macht das ebenfalls. Stelle aber fest, dass manchmal nur einer von beiden etwas neues bzw Veränderungen erkennt. Erkennt er denn auf allen Geräten, dass ein neues, nicht vorhandenes Passwort bzw Login verwendet wird? Beim mir triggert manchmal nur das iPhone, manchmal nur Firefox, etc. Kann aber an der API liegen.

Du kannst auswählen ob du ein Passwort mit zufälligen Zeichen haben möchtest. Und dann die Anzahl Zeichen wählen z.b. 32 (dann gibt es noch die Option ob mit oder ohne Sonderzeichen). Das generiert dann einen 32-stelligen String mit Klein-, Grossbuchstaben, Zahlen und mit oder ohne Sonderzeichen.

Sieht z.b. so aus:

Alternativ kannst du statt zufällige Zeichen auch "einprägsame Worte" statt "Zufällige Zeichen" wählen. Dann kannst du definieren wie viele Worte es haben soll. Das sieht dann z.b. so aus:

Ich verwende hier allerdings immer die zufällige String Methoden mit allen möglichen Zeichen.

Quote from Stardenver

Sorry, falls ich es überlesen habe: Die Funktion ist vermutlich im monatlichen Abo integriert? Wo liegen wir hier? 11,99 bei monatlicher Zahlung, nehme ich an?

Ich sehe die Preise zurzeit nur in Schweizer Franken, gehe aber davon aus dass die Euro Preise ziemlich 1:1 sein werden.

ProtonPass gibt es als dauerhafte kostenlose Version. Diese Version beinhaltet:

• die Import- und Export Möglichkeit
• Passwort Generator
• Möglichkeit unbegrenzte Webseiten Logins zu speichern
• Möglichkeit verschlüsselte Notitzen zu speichern
• Verwendung auf unbegrenztr Anzahl Geräten
• 10 "Hide-my-Alias" E-Mail Adressen

Dann gibt es ProtonPass Plus. Diese Version hat zurzeit noch einen "Einführungspreis" (steht leider nirgendwo wie lange) wo man das Ding ein lebenlang für 1CHF im Monat (ich nehme an in DE 1 Euro im Monat) bekommt.

Sobald es den Einführungspreis nicht mehr gibt, zahlen neu Abonneten 4.99 CHF (ich nehme an in DE 4.99 Euro) im Monat.

Hier hat man neben den Features der kostenlosen Version auch folgende Optionen:

• Unbegrenzte "Hide-my-Alias" E-Mail Adressen
• Die ganze Geschichte mit der 2FA (die noch nicht richtig funktioniert)
• Die Möglichkeit auch Kreditkarten Daten automatisch zu speichern / auszufüllen

Alternativ gibt es das Proton Unlimited Angebot was ein Bundle ist wo man alle Funktionen für alle ProtonProdukte bekommt. Das Ding kostet in der Schweiz 7.99 CHF im Monat (ich nehme an in de 7.99 Euro). Das ist im Grunde dann auch die Version die ich getestet habe, da ich Proton Unlimited Kunde bin.

• ProtonPass
• ProtonMail
• ProtonCalendar
• ProtonDrive
• ProtonVPN

Daneben gibt es noch ein ProtonFamily Abo das im Grunde wie Proton Unlimtied aber für mehrere Personen ist und dadurch Preisvorteile bietet - aber hier sind wir wohl wieder im Bereich der Werbung.

Aber Nein 12 Euro im Monat für einen Passwort Manager wäre wohl ziemlich überrissen.

Quote from Stardenver

Ich weiß ja immer noch nicht, was ich davon halten soll. Einerseits natürlich toll, wenn man für eine relativ faire Zahlung das gesamte Paket bekommt. Auf der anderen Seite legt man aber auch wieder alle Eier in einen Korb und man liefert sich komplett einer Firma aus. Wenn dann mal was ist und der Account durch ein false positive flag verloren geht - wenn auch nur temporär - steht man natürlich komplett ohne alles da.

Die Kritik mit "alles von einem Anbieter" ist definitiv berechtigt -> bietet aber auch viele Vorteile (auch wenn Proton) die noch nicht so umfassend umgesetzt hat wie ich es mir wünsche. Z.b. das in einem E-Mail das man erhalten hat direkt Datums und Uhrzeitangaben automatisch erkannt werden und man mit einem Klick qusi direkt einen Kalender Eintrag erstellen kann, etc

Oder das wenn man einen Flug bucht, Datum etc auch direkt im Kalender ist und mit der Kalendereintrag am besten direkt mit den Fluginformationen aus dem Mail verknüpft ist, etc.

Aber ja bei einem false Flag ist wie bei jedem zentralistischen Anbieter alles weg.