storage-p vs. KeePassXC: Zero-Knowledge & selbst gehostet

Wer nach einer KeePassXC-Alternative sucht, will meist eines: Zugangsdaten schützen, ohne die Kontrolle darüber aus der Hand zu geben. storage-p und KeePassXC verfolgen dasselbe Ziel, wählen dafür aber grundverschiedene Wege. storage-p ist ein selbst gehosteter Zero-Knowledge-Tresor, den du in Eigenregie betreibst; KeePassXC ist ein lokaler, dateibasierter Manager. Für ein deutsches Publikum, dem Datenschutz und Datensouveränität wichtig sind, ist genau diese Weichenstellung entscheidend. Hier der sachliche Direktvergleich.

Auf einen Blick

Hosting: storage-p läuft selbst gehostet auf deinem eigenen Server; KeePassXC ist eine lokale App auf dem jeweiligen Gerät.
Verschlüsselung: storage-p arbeitet nach dem Zero-Knowledge-Prinzip — dein Schlüssel wird im Browser mit Argon2id abgeleitet, und der Server speichert ausschließlich XChaCha20-Poly1305-Chiffretext.
Mehr als Passwörter: storage-p verwahrt auch SSH-/TLS-Schlüssel, API-Keys und TOTP und erzeugt Ed25519-SSH-Schlüssel sowie selbstsignierte Zertifikate direkt clientseitig.
Integrationen: storage-p vergibt eng begrenzte API-Tokens, deren jeder einzelne Lesezugriff eine Bestätigung in der App oder per Telegram erfordern kann.
Sowohl KeePassXC als auch storage-p lassen sich selbst hosten; storage-p hält die Datenbank zusätzlich zur clientseitigen Verschlüsselung im Ruhezustand mit SQLCipher verschlüsselt.
Beide legen ihr Innenleben offen: KeePassXC ist quelloffen, und storage-p ist selbst hostbar mit einem transparenten, dokumentierten Krypto-Design, das sich nachvollziehen lässt.

Der entscheidende Unterschied

KeePassXC legt auf jedem Gerät eine verschlüsselte Datei ab, die du selbst synchronisieren musst. storage-p bietet dieselbe Selbstverwahrung, ergänzt sie aber um einen echten Multi-Geräte-Server mit Zero-Knowledge-Synchronisation — keine Klartextdatei, die du von Gerät zu Gerät kopierst, und clientseitige Erzeugung von SSH-/TLS-Schlüsseln. Deine Daten bleiben unter deiner Hoheit, ohne dass du auf komfortable Synchronisation verzichtest.

Wo storage-p überzeugt

Der Server sieht weder dein Master-Passwort noch Klartext — Ver- und Entschlüsselung, Schlüsselerzeugung und das Sicherheits-Audit laufen ausnahmslos auf deinem Gerät. Das entspricht dem, was das BSI unter Datensparsamkeit und wirksamer Verschlüsselung versteht. Du kannst SSH-/TLS-Material verwahren und erzeugen, per Burn-after-Read-Link oder Ende-zu-Ende-versiegelter Box teilen und Integrationen einen schmalen, protokollierbaren Zugriff gewähren, statt sie über pauschale Alles-oder-nichts-Exporte an alle Daten zu lassen.

Wann KeePassXC die bessere Wahl sein kann

Wenn du eine einzelne lokale Datei ganz ohne Server bevorzugst und sie gerne manuell synchronisierst, hält KeePassXC die Sache bewusst minimal — kein Server, keine Angriffsfläche im Netz.

Wechsel von KeePassXC zu storage-p

Der Umzug ist unkompliziert: KeePassXC kann eine CSV-Datei exportieren, die storage-p als KeePass-Import verarbeitet. Die Schritt-für-Schritt-Anleitung zur Migration ist unten verlinkt.