Gibt genügend schlechte Implementationen, die das trotzdem ermöglichen. Kein Salz oder Pfeffer erlaubt Bekannter-Klartext-Angriffe auf geleckte stationäre Daten, Phischen, Zwischenspeichern einer App oder schlechte/keine Transportverschlüsselung erlauben Abfangen in Transit. In der Zwischenablage ist das Passwort spätestens unverschlüsselt und kann ohne Adminrechte abgehört werden. Überwachungssoftware, die z. B. Bildschirmfotos für deinen Arbeitgeber macht, kann Bilderkennung auf angezeigte Passwörter machen.

Ergo: Trotzdem immer vorsichtig bleiben. Der Passwortmanager schränkt nur den Schaden ein dank individueller Passwörter, perfekte Sicherheit bietet er jedoch nicht. Deshalb trotzdem 2FA mit Zeitcode/Schiebenachricht verwenden und für Konten, die das nicht erlauben, einen Identitätsservierer verwenden, der es kann (Google, Gesichtsbuch, so leid es mir auch tut, im Tausch gegen etwas Privat-Daten).