Beste Europese wachtwoordmanagers

#1 Proton Pass

Genève, Zwitserland Opgericht in 2023 Gratis variant / vanaf ongeveer €1.99/maand (Pass Plus) Gratis variant

Het meest geschikt voor: Privacybewuste gebruikers die naast wachtwoorden ook aliassen willen

• Exploiterend bedrijf. Proton AG
• Jurisdictie. Zwitserland (adequaatheidsbesluit, buiten de EER)
• Waar de gegevens staan. Zwitserland, Duitsland
• Onafhankelijke controles. Open source, onafhankelijk geaudit
• Broncode. Open source
• Vervangt. LastPass, 1Password, Dashlane

Proton Pass is de enige wachtwoordmanager in deze categorie die de gebruikersnaam als onderdeel van de inloggegevens behandelt.

Naast de versleutelde kluis genereert Proton Pass unieke e-mailaliassen die doorsturen naar je echte inbox (10 in de gratis variant en onbeperkt met Pass Plus), zodat het adres dat je aan een dienst geeft net zo wegwerpbaar is als het wachtwoord.

Als een alias spam begint te ontvangen weet je precies welk bedrijf hem heeft gelekt, en hem uitzetten kost niets. Wachtwoorden perfect roteren terwijl je tweehonderd diensten hetzelfde adres geeft, laat een permanente identificator achter die elk datalek overleeft; hiermee wordt die kloof gedicht.

Proton Pass is gebouwd door Proton AG in Genève met datacenters in Zwitserland en Duitsland, is open source en is onafhankelijk geaudit. Dat is van belang omdat in een zero-knowledge-ontwerp de client je sleutels beheert en alleen versleutelde data de server bereikt.

De kluis omvat end-to-end versleutelde inloggegevens, 2FA-codes, veilig delen en integratie met Proton Mail, Calendar, Drive en VPN in één account. Gratis variant beschikbaar, Pass Plus vanaf ongeveer €1.99 per maand. Als nieuwkomer uit 2023 vult het nog steeds hiaten: enterprise-controles zijn beperkt, een reismodus ontbreekt (noodtoegang zit wel in Pass Plus), en automatisch invullen in de browser heeft af en toe moeite met complexe sites.

Onderscheidend kenmerk. Aliassen in de kluis: Proton Pass is de enige manager hier waar het genereren van een wegwerp-e-mailadres in hetzelfde venster gebeurt als het wachtwoord, en daarom gebruiken mensen het echt.

#2 NordPass

Vilnius, Litouwen Opgericht in 2019 Gratis variant / vanaf ongeveer €1.49/maand (Premium) Gratis variant

Het meest geschikt voor: Particulieren en gezinnen die een verzorgde Europese manager willen

• Exploiterend bedrijf. Nord Security
• Jurisdictie. EU (Litouwen)
• Waar de gegevens staan. Europa
• Onafhankelijke controles. Onafhankelijk geaudit, zero-knowledge
• Broncode. Closed source
• Vervangt. LastPass, 1Password, Dashlane

NordPass is de meest verfijnde consumentenwachtwoordmanager in deze categorie, en het goedkoopste betaalde niveau tegen ongeveer €1.49 per maand. Technisch verschilt het in de cipher: NordPass gebruikt XChaCha20 in plaats van AES-256.

Dat is een bewuste keuze met praktische gevolgen: XChaCha20 is sneller op apparaten zonder hardwarematige AES-versnelling, wat heel veel telefoons omvat, en de nonces zijn groot genoeg om hergebruiksaanvallen in de praktijk onmogelijk te maken. Het algoritme komt van Daniel J. Bernstein en is uitgebreid geanalyseerd.

NordPass is gebouwd door Nord Security in Vilnius, het bedrijf achter NordVPN, met Europese dataopslag en vestiging in de EU, wat verwerking binnen de EER geeft. De zero-knowledge-architectuur betekent dat versleuteling en ontsleuteling lokaal gebeuren en NordPass het hoofdwachtwoord of de daarvan afgeleide sleutels nooit bezit.

De functies omvatten een wachtwoordgenerator, automatisch invullen, veilig delen en een datalekscanner. De beperkingen worden eerlijk benoemd: NordPass is niet open source, dus de beveiligingsgemeenschap kan de implementatie niet onafhankelijk verifiëren (iets wat onafhankelijke audits verzachten maar niet vervangen), en het gratis abonnement is beperkt tot één apparaat.

Onderscheidend kenmerk. XChaCha20: NordPass is de enige manager in deze categorie die een cipher koos die is geoptimaliseerd voor de telefoons waarop mensen hun kluis daadwerkelijk ontgrendelen.

#3 Uniqkey

Kopenhagen, Denemarken Opgericht in 2016 Vanaf ongeveer €3/gebruiker/maand Demo op aanvraag

Het meest geschikt voor: Europese bedrijven die AVG-conformiteit via de architectuur nodig hebben

• Exploiterend bedrijf. Uniqkey ApS
• Jurisdictie. EU (Denemarken)
• Waar de gegevens staan. Denemarken (EU)
• Onafhankelijke controles. Zero-knowledge, AVG by design
• Broncode. Closed source
• Vervangt. LastPass, 1Password, Dashlane

Uniqkey is gebouwd voor degene die de compliancevraag moet beantwoorden, en het onderscheid dat het maakt is reëel.

De meeste wachtwoordmanagers zijn ontworpen voor de Amerikaanse markt en later aangepast aan Europese regelgeving; Uniqkey is vanaf het begin rond de AVG ontworpen, dus elke beslissing over dataopslag en versleuteling is genomen tegen Europese eisen in plaats van er achteraf aan aangepast. Alle data wordt uitsluitend opgeslagen in Deense datacenters binnen de EU, wat betekent dat inloggegevens Europese jurisdictie nooit verlaten en verwerking binnen de EER plaatsvindt zonder dat een doorgifteanalyse nodig is.

Uniqkey ApS is gevestigd in Kopenhagen en verkoopt aan bedrijven in plaats van aan particulieren, vanaf ongeveer €3 per gebruiker per maand met transparante prijzen en volumekortingen.

De functieset volgt daaruit: end-to-end versleutelde zero-knowledge-opslag, teambeheer, rolgebaseerde structuur en SSO. Dat verandert wat de wachtwoordmanager sowieso moet dekken, omdat gefedereerde logins hele categorieën gedeelde inloggegevens wegnemen. Uniqkey is niet open source, dus de implementatie moet worden vertrouwd in plaats van geïnspecteerd, en er is geen gratis variant om te evalueren zonder een verkoopgesprek.

Onderscheidend kenmerk. AVG door architectuur: Uniqkey is de enige manager hier die vanaf de eerste beslissing tegen Europese eisen is ontworpen in plaats van aangepast vanuit een Amerikaans product.

#4 Passbolt

Luxemburg-Stad, Luxemburg Opgericht in 2017 Gratis Community Edition / vanaf €4.50/gebruiker/maand (Pro, minimaal 10 gebruikers) Gratis Community Edition

Het meest geschikt voor: Teams en IT-afdelingen die gedeelde inloggegevens van infrastructuur beheren

• Exploiterend bedrijf. Passbolt SA
• Jurisdictie. EU (Luxemburg)
• Waar de gegevens staan. EU-cloud, of overal zelf gehost
• Onafhankelijke controles. Open source (AGPL v3), onafhankelijk geaudit
• Broncode. Open source
• Vervangt. LastPass Business, 1Password Teams, Dashlane Business

Passbolt is de enige wachtwoordmanager in deze categorie die vanaf de eerste dag voor teams is gebouwd in plaats van uit een consumentenproduct te zijn gegroeid, en het versleutelingsmodel laat dat zien.

Passbolt gebruikt OpenPGP: elke gebruiker heeft een GPG-sleutelpaar, en een gedeeld wachtwoord wordt afzonderlijk versleuteld met de publieke sleutel van elke geautoriseerde gebruiker, zodat noch beheerders noch Passbolt zelf iets kunnen ontsleutelen. Dat is echte zero-knowledge voor gedeelde geheimen, wat een moeilijker probleem is dan zero-knowledge voor persoonlijke geheimen, en het berust op een standaard die al tientallen jaren wordt doorgelicht in plaats van op een eigen schema. De implementatie is onafhankelijk geaudit, met gepubliceerde rapporten.

Passbolt SA is gevestigd in Luxemburg-Stad en gelicentieerd onder AGPL v3. Zelf hosten draait op Linux met gedocumenteerde handmatige, Docker- en Kubernetes-uitrol; Passbolt Cloud is het beheerde alternatief in EU-datacenters met automatische updates, backups en support.

De teamfuncties zijn waar het om draait: groepen, rolgebaseerde toegangscontrole, mappen per afdeling of project, opmerkingen voor context, een activiteitenlogboek voor verantwoording en een API voor automatisering. De Community Edition is gratis, Pro kost €4.50 per gebruiker per maand (minimaal 10 gebruikers). De keerzijde is dat GPG een leercurve heeft, de mobiele apps achterlopen op de web- en extensie-ervaring, en het slecht past bij één enkele persoon.

Onderscheidend kenmerk. GPG-versleuteling per ontvanger: Passbolt is de enige manager hier waar het delen van een wachtwoord met een collega niet vereist dat iemand, ook de beheerder, het kan lezen.

#5 heylogin

Hannover, Duitsland Opgericht in 2020 Gratis variant / vanaf ongeveer €2.50/gebruiker/maand (Business) Gratis variant

Het meest geschikt voor: Gebruikers en teams die geen hoofdwachtwoord meer willen

• Exploiterend bedrijf. heylogin GmbH
• Jurisdictie. EU (Duitsland)
• Waar de data staan. Duitsland
• Onafhankelijke controles. End-to-end versleuteld
• Broncode. Closed source
• Vervangt. LastPass, 1Password, traditionele wachtwoordmanagers

heylogin neemt weg waar elke andere manager in deze categorie van afhangt.

Er is geen hoofdwachtwoord om te onthouden: je smartphone is het authenticatieapparaat, en op de telefoon verschijnt een inlogverzoek dat je goedkeurt met een vingerafdruk, gezichtsherkenning of een pincode. De authenticatiefactoren worden iets wat je hebt en iets wat je bent, in plaats van iets wat je weet. Dat betekent dat er geen geheim is om te vergeten en geen geheim dat een phishingpagina kan onderscheppen, omdat het niet bestaat.

heylogin GmbH is gevestigd in Hannover met data gehost in Duitsland, wat verwerking binnen de EER geeft onder een van Europa's strengste regimes voor gegevensbescherming, en de kluis is end-to-end versleuteld. Delen binnen teams en zakelijke functies zijn ingebouwd, met een gratis variant en zakelijke abonnementen vanaf ongeveer €2.50 per gebruiker per maand.

Voor een organisatie is het operationele argument dat onboarding niet langer vereist dat je mensen leert een sterk hoofdwachtwoord te bedenken en te onthouden, en dat is waar de meeste programma's voor wachtwoordhygiëne falen. De afweging is eerlijk: de telefoon wordt belangrijker dan hij was, dus een opzet met meerdere apparaten is essentieel, en heylogin is niet open source.

Onderscheidend kenmerk. Geen hoofdwachtwoord: heylogin is de enige manager in deze categorie die het ene geheim waar alle andere omheen zijn gebouwd wegneemt, in plaats van het beter te beschermen.

#6 Psono

Duitsland Gratis en open source / betaalde hosting- en enterprise-abonnementen Gratis zelf hosten

Het meest geschikt voor: Teams die een gedeelde wachtwoordmanager op hun eigen server willen

• Exploiterend bedrijf. esaqa GmbH
• Jurisdictie. EU (Duitsland)
• Waar de gegevens staan. Zelf gehost, of Duitse servers
• Onafhankelijke controles. AVG
• Broncode. Open source
• Vervangt. 1Password Teams, LastPass, Bitwarden

Psono is een wachtwoordmanager voor teams die je zelf kunt hosten, de combinatie die het merendeel van deze categorie niet biedt. Persoonlijke managers laten zich slecht zelf hosten en teammanagers zijn bijna altijd de dienst van iemand anders. Psono is open source, ontworpen voor organisaties en inzetbaar op je eigen infrastructuur.

Versleuteling gebeurt aan de clientzijde voordat er iets wordt verzonden, dus een zelf gehoste Psono-server slaat materiaal op dat hij niet kan lezen, en hetzelfde geldt voor de gehoste optie op Duitse servers. Voor teamgebruik is het deelmodel het onderdeel dat telt: inloggegevens gedeeld met een groep in plaats van geplakt in een chat, met toegang die wordt ingetrokken als iemand vertrekt in plaats van te blijven staan in de notitie-app van een collega.

Het wordt ontwikkeld in Duitsland met servers in Duitsland voor de gehoste versie, en gebruikt TLS 1.2 met perfect forward secrecy tijdens transport bovenop de versleuteling aan de clientzijde. Gratis en open source om zelf te hosten, met betaalde hosting- en enterprise-abonnementen die de beheerfuncties bevatten die grotere uitrol nodig heeft. De nadelen zijn de gebruikelijke: zelf hosten betekent dat jij het draait en bijwerkt, de interface is functioneel in plaats van verzorgd naast 1Password, en het ecosysteem van integraties is kleiner.

Onderscheidend kenmerk. Een wachtwoordmanager voor teams op je eigen server: de combinatie die zowel persoonlijke managers als SaaS missen.

#7 KeePass

Duitsland Opgericht in 2003 Gratis en open source Gratis

Het meest geschikt voor: Mensen die hun wachtwoorden in een bestand willen dat ze zelf beheren, zonder enige dienst

• Exploiterend bedrijf. Dominik Reichl
• Jurisdictie. Geen dienst, het bestand is van jou
• Waar de gegevens staan. Een bestand op je eigen apparaat
• Onafhankelijke controles. ANSSI CSPN; EU-FOSSA-audit; codeanalyse gesponsord door BSI
• Broncode. Open source
• Vervangt. 1Password, LastPass, Dashlane

KeePass is het antwoord op een vraag die de rest van deze categorie niet kan beantwoorden: wat als er geen dienst is? Wachtwoorden staan in één versleuteld bestand op je eigen apparaat. Geen account, geen synchronisatieserver, geen bedrijf, geen abonnement, en geen datalek bij een aanbieder dat je kluis ooit zou kunnen blootleggen, want er is geen aanbieder.

Die architectuur is waarom het de aanbeveling blijft voor mensen wier dreigingsmodel de wachtwoordmanager zelf omvat. Elke cloudgebaseerde manager, hoe goed ook ontwikkeld, is een geconcentreerd doelwit met miljoenen kluizen, en de sector heeft meer dan eens laten zien wat er gebeurt als er een wordt gecompromitteerd. Een lokaal bestand is geen doelwit van dat soort.

Het is gratis en open source onder GPL v2 of later, geschreven door Dominik Reichl in Duitsland en sinds 2003 continu onderhouden, meer dan twee decennia, wat voor beveiligingssoftware het sterkste signaal is dat beschikbaar is.

Een groot plug-in-ecosysteem en compatibele clients op elk platform lezen hetzelfde bestandsformaat, dus het bestand synchroniseert via de opslag die je al vertrouwt. De nadelen zijn echt: je regelt synchronisatie en backup zelf, het bestand kwijtraken zonder backup betekent alles kwijt zijn, de interface is gedateerd, en delen met een team is echt onhandig, en daarvoor bestaat Psono.

Onderscheidend kenmerk. Er is geen bedrijf om te hacken: het enige ontwerp in deze categorie waarbij een compromittering van de aanbieder jou niet kan bereiken.

#8 Password Depot

Darmstadt, Duitsland Opgericht in 1998 €99.95 eenmalig (1 gebruiker, alle eigen apparaten) / Family €149.95 eenmalig voor 5 licenties / Enterprise Server op offerte, gratis voor maximaal 3 gebruikers Gratis proefperiode; Enterprise Server gratis voor maximaal 3 gebruikers

Het meest geschikt voor: Kopers die een gecertificeerde leverancier, een eenmalige prijs en geen cloud van de leverancier willen

• Exploiterend bedrijf. AceBIT GmbH
• Jurisdictie. EU (Duitsland)
• Waar de gegevens staan. Geen cloud van de leverancier: een lokaal bestand, je eigen Enterprise Server of je eigen Azure-tenant; optionele synchronisatie via Google Drive, OneDrive, Dropbox of HiDrive
• Onafhankelijke controles. ISO/IEC 27001:2022 (TÜV NORD); penetratietest door SySS
• Broncode. Closed source
• Vervangt. 1Password, LastPass, Keeper

Password Depot wordt verkocht zoals software vroeger werd verkocht: €99.95 eenmalig voor één gebruiker op al zijn eigen apparaten, of €149.95 eenmalig voor een gezinspakket van vijf licenties, zonder abonnement om op te zeggen.

De Enterprise Server voor teams wordt op offerte geleverd in plaats van met prijs vermeld, en is gratis voor maximaal drie gebruikers. AceBIT GmbH doet dit sinds 1998 en werkt vanaf de Schleiermacherstraße in Darmstadt, geregistreerd bij het Amtsgericht Darmstadt onder HRB 33038: een klein Duits bedrijf met een lange handelsgeschiedenis in plaats van een gefinancierde nieuwkomer.

Het deel dat voor deze gids telt, is dat AceBIT geen eigen cloud beheert. De kluis is een lokaal bestand, of staat op een Enterprise Server die je zelf draait, of in je eigen Azure-tenant; er wordt niets opgeslagen op infrastructuur die AceBIT beheert.

AceBIT is ook de zeldzame leverancier hier met een onafhankelijk certificaat in plaats van een zelfbeschrijving: ISO/IEC 27001:2022 afgegeven door TÜV NORD, met penetratietests door SySS. Onder de closed-sourceopties in deze categorie is die combinatie, een genoemde certificeerder en geen data bij de leverancier, het sterkste bewijs dat er is.

De kanttekeningen zijn echt. De broncode is gesloten, dus de client die je sleutel verwerkt moet worden vertrouwd in plaats van gelezen.

De thuiseditie synchroniseert via Google Drive, OneDrive, Dropbox of HiDrive, en drie van die vier zijn Amerikaanse diensten; de zelf gehoste route via je eigen Azure-tenant zet de kluis nog steeds op Microsoft-infrastructuur, ook als de tenant van jou is. De prijzenpagina zegt niet of de bedragen btw bevatten, hoewel de serverofferte wordt vermeld als "plus 19% VAT", en de prijs van de Enterprise Server verschijnt pas na een verkoopgesprek.

Onderscheidend kenmerk. Eenmalig gekocht, nergens gehost: Password Depot is de enige gecertificeerde leverancier hier die je kluis nooit bewaart, omdat AceBIT geen cloud beheert waarin die kan staan.

#9 F-Secure ID Protection

Helsinki, Finland Opgericht in 1988 €49.99/jaar (1 apparaat) / €69.99/jaar (3 apparaten) / €79.99/jaar (5 apparaten), inclusief btw 30 dagen gratis proberen

Het meest geschikt voor: Huishoudens die waarschuwingen bij datalekken willen van een beursgenoteerd Fins beveiligingsbedrijf

• Exploiterend bedrijf. F-Secure Corporation
• Jurisdictie. EU (Finland)
• Waar de gegevens staan. Versleuteld op je apparaten en op servers die door F-Secure worden gehost; F-Secure zegt gevoelige klantdata in Finland of de EER te bewaren (land en aanbieder niet genoemd)
• Broncode. Closed source
• Vervangt. LastPass, Dashlane, Norton Password Manager

F-Secure ID Protection is de consumentenkant van een Noords beveiligingsbedrijf: een kluis met automatisch invullen, plus monitoring die je laat weten wanneer een adres van jou opduikt in een datalek.

F-Secure Corporation is geregistreerd op Tammasaarenkatu 7 in Helsinki en genoteerd aan Nasdaq Helsinki, dus de jaarrekeningen en het eigendom zijn openbaar op een manier die bijna niets anders in deze categorie is. Het huidige bedrijf is de consumentenhelft van de splitsing in 2022 die de zakelijke tak als WithSecure verder liet gaan, en het telt zijn eigen geschiedenis terug tot 1988.

De prijzen zijn eenvoudig en vermeld inclusief btw: €49.99 per jaar voor één apparaat, €69.99 voor drie en €79.99 voor vijf, na een proefperiode van 30 dagen. De kluis wordt ontsleuteld op je apparaat, en F-Secure host zelf de serverzijde.

Daar houdt het detail op: het privacybeleid voor het product zegt alleen "servers hosted by F-Secure" en belooft gevoelige klantdata in Finland of de EER te bewaren zonder een land of aanbieder te noemen. Voor een gids die weegt wie de infrastructuur levert, is dat een hiaat, en het is een hiaat in de eigen documentatie van de leverancier in plaats van in de lezing ervan.

Op de gecontroleerde pagina's wordt geen onafhankelijke certificering voor het product genoemd, en de broncode is gesloten, dus de kluis heeft geen van de twee vormen van externe zekerheid die de beter geplaatste vermeldingen hier bieden. De prijs is ook hoog in vergelijking met de rest: €49.99 per jaar voor één apparaat is meer dan drie keer NordPass Premium, en de monitoring van datalekken is waarvoor je het verschil betaalt.

Onderscheidend kenmerk. Een beursgenoteerde leverancier die je kunt opzoeken: F-Secure legt openbare jaarrekeningen neer bij Nasdaq Helsinki, wat meer bedrijfstransparantie is dan elke private concurrent hier biedt, ook al zegt het niet welk datacenter de kluis bewaart.

#10 SecureSafe

Zürich, Zwitserland Pass vanaf CHF 11.70/maand (Starter) / CHF 3.20 per gebruiker/maand (Professional) / CHF 4.60 per gebruiker/maand (Business); Pass + File-bundels vanaf CHF 19.90/maand voor 5 gebruikers Gratis proefperiode van 14 dagen bij alle abonnementen

Het meest geschikt voor: Uitsluitend Zwitserse opslag voor wachtwoorden en de bijbehorende documenten

• Exploiterend bedrijf. DSwiss AG
• Jurisdictie. Zwitserland (adequaatheidsbesluit, buiten de EER)
• Waar de gegevens staan. Alleen Zwitserland; beheerder van het datacenter niet genoemd
• Onafhankelijke controles. ISO/IEC 27001:2022
• Broncode. Closed source
• Vervangt. 1Password Business, Keeper, Dropbox Passwords

SecureSafe zet inloggegevens en bestanden in dezelfde kluis, en dat is de reden om het te kiezen boven een pure wachtwoordmanager: het contract, de scan van het paspoort en de login voor het bijbehorende portaal komen op één plek terecht in plaats van op drie.

Het wordt beheerd door DSwiss AG aan de Flurstrasse 64 in Zürich, geregistreerd onder UID CHE-112.888.238 met een filiaal in Roveredo GR en een kantoor in Lissabon, en is gecertificeerd volgens ISO/IEC 27001:2022. De datacenters staan uitsluitend in Zwitserland, hoewel DSwiss de beheerder niet noemt: je kent dus het land maar niet het bedrijf dat de racks beheert.

Lees de beveiligingspagina voordat je koopt, want SecureSafe is niet zero-knowledge en beweert dat ook niet te zijn. Het beschrijft versleuteling aan de serverzijde met gecontroleerde, geauditeerde interne ontsleuteling, wat betekent dat DSwiss onder eigen controles kan ontsleutelen wat het opslaat.

Elke andere manager in deze gids is zo gebouwd dat de aanbieder dat wiskundig niet kan. Dat is een ontwerpkeuze en geen vergissing, want daardoor werken functies aan de serverzijde en de functie voor digitale nalatenschap, maar het verandert wat een Zwitserse jurisdictie je oplevert: bij zero-knowledge doet de wet er nauwelijks toe, en hier is die de hele bescherming.

Prijzen zijn gepubliceerd, wat meer is dan verschillende concurrenten doen: de Pass-module begint bij CHF 11.70 per maand voor Starter, CHF 3.20 per gebruiker per maand voor Professional en CHF 4.60 per gebruiker per maand voor Business, met Pass + File-bundels vanaf CHF 19.90 per maand voor vijf gebruikers.

Alle abonnementen hebben een proefperiode van 14 dagen. De pagina's zeggen niet of die bedragen btw bevatten, op de prijzenpagina kun je EUR en USD kiezen, en Zwitserland ligt buiten de EER op grond van een adequaatheidsbesluit, dus een EU-koper vertrouwt erop dat dat besluit blijft gelden.

Onderscheidend kenmerk. Zwitserse bodem, maar niet zero-knowledge: SecureSafe is de enige kluis hier die de eigen beheerder kan openen, en daarom is het zo belangrijk waar die staat.

#11 KeePassXC

Weimar, Duitsland Opgericht in 2016 Gratis en open source Gratis

Het meest geschikt voor: Mensen die een offline kluis willen die een externe partij daadwerkelijk heeft onderzocht

• Exploiterend bedrijf. KeePassXC Team (juridisch contact: Janek Bevendorff)
• Jurisdictie. Geen dienst, het bestand is van jou
• Waar de gegevens staan. Een versleuteld KDBX-bestand op je eigen apparaat; geen KeePassXC-cloud
• Onafhankelijke controles. ANSSI CSPN-beveiligingsvisum (versie 2.7.9, 2025)
• Broncode. Open source
• Vervangt. 1Password, LastPass, Bitwarden

KeePassXC beantwoordt dezelfde vraag als KeePass: wachtwoorden in een versleuteld KDBX-bestand op je eigen apparaat, geen account, geen synchronisatieserver, geen bedrijf dat iets bewaart. En net als KeePass is het van buitenaf onderzocht.

Het Franse cyberveiligheidsagentschap ANSSI verleende KeePassXC een CSPN-beveiligingsvisum voor versie 2.7.9 op Windows 10, geldig van 17 november 2025 tot 17 november 2028.

Een CSPN-visum is een door de staat uitgevoerde evaluatie met een afgebakende reikwijdte en een gepubliceerd resultaat, een ander soort zekerheid dan "de broncode staat op GitHub, zoek het zelf maar uit". Voor een kluis zonder aanbieder om te auditen is de client het hele beveiligingsverhaal. KeePass vermeldt zelf een eigen ANSSI CSPN-certificering en code-audits gesponsord door het Duitse BSI en de Europese Commissie, dus externe toetsing is iets wat beide offline kluizen kunnen laten zien.

Het is een communityproject en geen bedrijf. Het juridische contact op keepassxc.org/team is Janek Bevendorff in Weimar, Duitsland, dezelfde opzet als KeePass met Dominik Reichl, en de copyrightregel dateert het team uit 2016. De licentie is GPL-2 of GPL-3, het project publiceert native builds voor Windows, macOS en Linux, en de functieset omvat Auto-Type en passkeys naast de kluis. Het is gratis, zonder iets om naar te upgraden.

Wat je opgeeft is alles wat een leverancier biedt. Er is geen supportcontract, geen service level en niemand om naar op te schalen; er is geen KeePassXC-cloud, dus synchronisatie en backup regel je zelf via de opslag die je al vertrouwt.

Delen met een team is hier net zo onhandig als bij KeePass: Psono en Passbolt bestaan daarvoor. En lees het certificaat voor wat er staat: het visum geldt voor versie 2.7.9 op Windows 10, niet voor elke latere build op elk platform.

Onderscheidend kenmerk. Een door de staat gecertificeerde offline kluis op drie desktopsystemen: KeePassXC heeft ANSSI-visum ANSSI-CSPN-2025/16 en wordt door het project zelf gebouwd en getest op Windows, macOS en Linux.

#12 Steganos Password Manager

Karlsruhe, Duitsland Opgericht in 1997 €29.99/jaar jaarabonnement (adviesprijs €39.99) Gratis proefperiode van 30 dagen; 30 dagen geld-terug-garantie

Het meest geschikt voor: Windows- en mobiele gebruikers die een lokale kluis willen en zelf hun synchronisatie kiezen

• Exploiterend bedrijf. Steganos Software GmbH
• Jurisdictie. EU (Duitsland)
• Waar de gegevens staan. Een lokaal versleuteld bestand; optionele synchronisatie via je eigen Dropbox-, Microsoft OneDrive-, Google Drive- of MagentaCLOUD-account (versleuteld op je apparaten)
• Broncode. Closed source
• Vervangt. LastPass, Dashlane, Norton Password Manager

Steganos Password Manager bewaart de kluis als een versleuteld bestand op je machine en laat het synchroniseren aan jou over: het werkt zonder enige cloud, of via je eigen Dropbox-, Microsoft OneDrive-, Google Drive- of MagentaCLOUD-account, waarbij de data op je apparaten wordt versleuteld voordat die ze verlaat.

Dat is de KeePass-opzet met een commercieel product eromheen, voor €29.99 per jaar tegenover een adviesprijs van €39.99, met een proefperiode van 30 dagen en 30 dagen geld-terug-garantie. De genoemde platforms zijn Windows, iOS en Android.

Steganos Software GmbH zit aan de Rüppurrer Straße 1a in Karlsruhe, geregistreerd bij het Amtsgericht Mannheim onder HRB 758 458 met Patrick Heise als bestuurder, en dateert zichzelf uit 1997 in Frankfurt am Main.

Het eigendom verdient een tweede blik: dat adres en die bestuurder zijn ook die van Nero AG, wiens colofon HRB 362519 Mannheim en dezelfde CEO vermeldt, en de Steganos-shop verkoopt Nero-producten naast de eigen producten.

Geen van beide sites vermeldt de concernrelatie, en Nero AG, een Duits bedrijf met kantoren in Glendale, Californië en Hangzhou, publiceert zijn uiteindelijke aandeelhouders niet. Voor een gids waarvan de eerste vraag is wie de leverancier bezit, is dat onopgelost in plaats van belastend.

De overige kanttekeningen volgen de prijs. Op de gecontroleerde pagina's wordt geen onafhankelijke certificering genoemd en de broncode is gesloten, dus er is geen externe zekerheid van beide soorten. Drie van de vier ondersteunde synchronisatiediensten zijn Amerikaans, en een Europese koper die die route kiest, heeft de versleutelde data bewust op Amerikaanse infrastructuur gezet. MagentaCLOUD van Deutsche Telekom is de enige optie die dat niet doet. De prijzenpagina zegt niet of €29.99 btw bevat.

Onderscheidend kenmerk. Jij kiest de cloud, of geen: Steganos is het enige betaalde product hier dat je nooit vraagt de kluis op te slaan op een plek die de leverancier heeft gekozen, en het enige waarvan je het bedrijfseigendom niet kunt vaststellen aan de hand van de eigen pagina's.