Android kan wachtwoorden en passkeys rechtstreeks tussen compatibele wachtwoordmanagers op hetzelfde toestel overzetten. Je begint in de app die je voortaan wilt gebruiken, kiest daar de import- of kopieerfunctie en autoriseert vervolgens de bronapp. Daardoor is een onversleuteld CSV-bestand niet nodig wanneer beide providers de Credential Transfer API ondersteunen.
De functie werd op 10 september 2026 aangekondigd. De API is bedoeld voor Android 8 en hoger, oftewel API 26+. Het belangrijkste praktische verschil met de oude werkwijze: de overdracht loopt van provider naar provider, zonder dat Android of een niet-geauthenticeerde app de ruwe inloggegevens hoeft te ontvangen.
Begin in de doelapp
Wil je wachtwoorden overzetten op Android, open dan eerst de wachtwoordmanager waar de gegevens naartoe moeten. De precieze menunamen kunnen per app verschillen, maar de volgorde is conceptueel hetzelfde:
- Open de doelapp. Kies de functie voor importeren of kopiëren van gegevens. De overdracht start dus niet vanuit de oude wachtwoordmanager.
- Kies de bronprovider. Android toont de compatibele providers die op het toestel zijn geregistreerd.
- Bekijk de overdracht. Controleer welke soorten gegevens de combinatie van bron- en doelprovider aanbiedt.
- Autoriseer de actie. De gebruiker moet de overdracht bevestigen; een provider kan daarbij biometrie of een pincode verlangen.
- Controleer de nieuwe kluis. Kijk na afloop of belangrijke accounts en andere gewenste gegevens beschikbaar zijn voordat je de oude manager opruimt.
De vier schermen maken vooral de rolverdeling duidelijk: de doelapp vraagt om een import, Android helpt de bron te selecteren en de gebruiker houdt de controle over de bevestiging. Het is geen algemene synchronisatie tussen alle wachtwoordmanagers.
De eerste genoemde providers
Bij de aankondiging noemde Google vier providers voor de eerste versie van de overdrachtservaring: Google Password Manager, 1Password, Bitwarden Password Manager en Dashlane. Voor een directe migratie moeten zowel de bron- als de doelprovider de betreffende Android-overdracht ondersteunen. Een app die niet in de keuzelijst verschijnt, kan dus niet via deze route worden gebruikt.
De API gebruikt het FIDO Credential Exchange Format (CXF) als gestandaardiseerd uitwisselingsformaat. Dat maakt een gemeenschappelijke overdrachtsroute mogelijk, maar zegt niet dat elke provider dezelfde gegevens importeert of exporteert.
Waarom een CSV-bestand de fallback is
De oudere methode zette wachtwoorden in een lokaal, leesbaar CSV-bestand. Dat bestand kon daarna handmatig naar een andere dienst worden gebracht en moest na gebruik worden verwijderd. Wie het bestand kon openen, kon de wachtwoorden daarin lezen. De directe Android-overdracht haalt juist die losse bestandsstap uit de ondersteunde procedure.
| Onderdeel | Directe Android-overdracht | Migratie via CSV |
| Route | Rechtstreeks tussen bron- en doelprovider op hetzelfde toestel | Export naar een lokaal bestand en daarna handmatig importeren |
| Blootstelling | Ontworpen om ruwe gegevens niet aan Android of niet-geauthenticeerde apps bloot te stellen | Wachtwoorden staan in een leesbaar bestand |
| Vereiste ondersteuning | Zowel bron als doel moeten de overdracht ondersteunen | De doelapp moet het CSV-formaat of handmatige import accepteren |
| Passkeys | Onderdeel van de overdracht wanneer de betrokken providers dit gegevenstype ondersteunen | Een standaard wachtwoord-CSV is niet geschikt voor passkeys |
| Gebruikerswerk | Bron kiezen, gegevens bekijken en de overdracht autoriseren | Exporteren, bestand selecteren, importeren en het bestand veilig verwijderen |
Een CSV-bestand blijft een uitweg voor managers die de API niet gebruiken, maar het is de minder veilige route. Behandel zo'n bestand daarom als gevoelige informatie en verwijder het direct nadat de import is afgerond.
Niet elk opgeslagen item verhuist automatisch mee
De Android-documentatie definieert naast wachtwoorden en passkeys ook typen voor adressen, betaalkaarten, beveiligde notities, bestanden, TOTP-geheimen, SSH-sleutels, API-sleutels en aangepaste velden. Dat is een beschrijving van wat de API kan modelleren; het is geen garantie dat iedere providercombinatie al die categorieën overdraagt.
Controleer daarom vóór de overstap vooral:
- of passkeys bij jouw bron- en doelprovider worden meegenomen;
- of bijlagen en aangepaste velden behouden blijven;
- of persoonlijke en organisatorische kluizen apart moeten worden behandeld;
- of TOTP-codes, beveiligde notities en betaalkaarten worden ondersteund;
- of automatisch invullen na de overstap op dezelfde manier werkt.
Een migratie kan technisch slagen terwijl een deel van de inhoud ontbreekt. Kijk dus niet alleen of het aantal geïmporteerde items plausibel lijkt, maar open ook enkele belangrijke accounts en controleer de gegevens die je dagelijks gebruikt.
Android-versie en praktische grens
De Credential Transfer API is gedocumenteerd voor Android 8, API 26, en hoger. De overdracht is gericht op providers op hetzelfde toestel. De levering via Google Play Services is gemeld als manier om de functie beschikbaar te maken zonder een volledige Android-systeemupdate, maar de betrokken wachtwoordmanager-apps moeten de overdracht eveneens ondersteunen.
De kern is daardoor eenvoudig: Android maakt de route veiliger en minder omslachtig, maar het neemt de compatibiliteitscontrole niet van je over. Staat jouw bronprovider niet tussen de beschikbare opties, of ontbreken er belangrijke gegevens, dan blijft handmatige import noodzakelijk. Controleer eerst de bron, de doelapp en de soorten gegevens die je echt nodig hebt; pas daarna is overstappen een goed idee.
