Welcher Passwort-Manager passt zu Ihrem Betrieb?

Worauf kommt es bei der Auswahl an?

Ein Passwort-Manager für eine Person muss nur eines können: Kennwörter sicher speichern und beim Anmelden einsetzen. Im Betrieb kommt Verwaltung dazu. Die folgenden Punkte entscheiden, ob das Werkzeug nach einem Jahr noch benutzt wird:

• Gemeinsame Tresore mit Rechten. Die Buchhaltung braucht das Bankportal, die Werkstatt den Zugang zum Lieferantenshop. Jeder sieht nur, was er braucht. Das lässt sich nach Gruppen einstellen, nicht nach Einzelpersonen.
• Hilfe beim vergessenen Hauptkennwort. Ein guter Passwort-Manager ist so gebaut, dass der Anbieter nichts lesen kann. Vergisst jemand sein Hauptkennwort, ist der Tresor zu. Im Betrieb braucht es deshalb einen vorbereiteten Weg, über den ein Verantwortlicher den Zugang zurücksetzen kann.
• Zugang sauber entziehen. Verlässt jemand den Betrieb, muss ein Klick genügen, damit er an keinen gemeinsamen Eintrag mehr kommt.
• Protokoll. Wer hat wann welchen Eintrag geöffnet oder geändert? Spätestens beim ersten Verdachtsfall ist das die wichtigste Funktion.
• Browser und Handy. Das Programm muss auf allen Geräten ausfüllen können, die im Betrieb benutzt werden. Sonst tippen die Leute wieder ab, und der alte Zettel kehrt zurück.
• Datenhaltung und Vertrag. Bitwarden und 1Password lassen Sie wählen, ob die Daten in der EU liegen. Die Region wird beim Anlegen festgelegt und lässt sich später nur durch einen Umzug in ein neues Konto ändern. Für die DSGVO gehört außerdem ein Vertrag zur Auftragsverarbeitung mit dem Anbieter dazu.
• Anmeldung mit dem Firmenkonto. Wer Microsoft 365 nutzt, kann den Passwort-Manager an das Microsoft-Konto koppeln. Austritte werden dann einfacher, weil die Sperre an einer Stelle beginnt. Bei Bitwarden gibt es das im Enterprise-Tarif, bei 1Password im Business-Tarif.
• Export. Die Daten müssen sich in einem gängigen Format mitnehmen lassen, falls Sie später wechseln.

Wie sicher sind die bekannten Produkte?

Das BSI hat 2025 zehn verbreitete Passwort-Manager untersuchen lassen, die Ergebnisse erschienen im Dezember 2025. Geprüft wurden unter anderem 1Password, KeePassXC und die eingebauten Speicher von Chrome und Firefox. Drei der zehn Produkte speicherten Kennwörter so, dass der Hersteller zumindest theoretisch darauf zugreifen kann. Laut Bericht von heise rät das Amt von vier Produkten ab: mSecure, PassSecurium, SecureSafe und dem darauf aufbauenden S-Trust-Manager der Sparkassen. Für die übrigen sah es keinen Grund für eine Warnung. Bitwarden war nicht Teil der Untersuchung.

Für die Auswahl folgt daraus eine einfache Prüffrage: Kann der Anbieter Ihre Kennwörter lesen? Wird die Frage nicht klar mit Nein beantwortet, scheidet das Produkt aus. Bei den bekannten Anbietern ist das Nein der Normalfall. Das BSI betont zugleich: Ohne Passwort-Manager ist das Risiko deutlich größer, weil Kennwörter dann mehrfach verwendet oder zu einfach gewählt werden.

Der Passwortspeicher im Browser ist ein Sonderfall. Er ist bequem und für eine Person besser als nichts. Bei Chrome bemängelt das BSI, dass der Hersteller ohne zusätzlich gesetzte Passphrase an die Daten kommen könnte. Vor allem aber fehlt ihm, was der Betrieb braucht: gemeinsame Tresore mit Rechten und ein geordneter Austritt.

Welche Produkte kommen in Frage?

Für kleine Betriebe bleiben in der Praxis vier Wege. Die Preise sind die Listenpreise der Anbieter in US-Dollar je Person und Monat bei jährlicher Zahlung.

• Bitwarden Teams (4 $) oder Enterprise (6 $). Quelloffen, gemeinsame Tresore mit Gruppenrechten, Protokoll und eine Datenhaltung in der EU wählbar. Das Zurücksetzen vergessener Hauptkennwörter durch den Verantwortlichen gibt es nur im Enterprise-Tarif. Bitwarden lässt sich mit Vaultwarden auch im eigenen Haus betreiben. Wir richten solche Server ein und halten sie auf Stand, mit Updates, Sicherungen und regelmäßig getesteter Wiederherstellung. Die Abwägung gegen die gemietete Variante steht im Beitrag Passwort-Manager selbst hosten oder mieten?
• 1Password Teams Starter Pack (24,95 $ im Monat für bis zu zehn Personen) oder Business (8,99 $). Sehr eingängige Bedienung, Rollen und Gastzugänge für einzelne Tresore, Wiederherstellung gesperrter Konten durch den Verantwortlichen, Datenhaltung in der EU wählbar. Teurer als Bitwarden, dafür oft leichter einzuführen bei Leuten, die mit Technik wenig am Hut haben.
• KeePassXC. Kostenlos und quelloffen, die Kennwörter liegen in einer verschlüsselten Datei. Für eine einzelne Person oder den Administrator gut geeignet. Für ein Team fehlen Rechte, Protokoll und Austritts-Verwaltung. Wer die Datei auf ein Netzlaufwerk legt, teilt sie mit allen, die das Hauptkennwort kennen. Verlässt jemand den Betrieb, müssten das Hauptkennwort der Datei und streng genommen alle Einträge darin geändert werden.
• Passwortspeicher im Browser. Für den Betrieb aus den oben genannten Gründen nicht geeignet.

Stand: 12. Oktober 2026.

Zwischen Bitwarden und 1Password entscheidet weniger die Technik als der Betrieb selbst. Wer Wert auf offenen Quelltext, niedrige Kosten und die Möglichkeit zum Eigenbetrieb legt, landet bei Bitwarden. Wer eine Belegschaft hat, die sich mit neuen Programmen schwertut, kommt mit 1Password oft schneller ans Ziel.

Was passiert, wenn jemand den Betrieb verlässt?

Den Zugang zum Tresor zu entziehen, genügt nicht. Alles, was die Person sehen konnte, kann sie sich notiert haben. Bei geteilten Konten wie dem Bankportal, dem Firmenkonto beim Online-Händler oder dem Administrator-Zugang zur Website gehört deshalb zum Austritt, dass die Kennwörter geändert werden.

Das klingt nach viel Arbeit, ist es mit Passwort-Manager aber nicht: Der Tresor zeigt, auf welche Einträge die Person Zugriff hatte. Ohne Passwort-Manager weiß das in der Regel niemand.

Beide großen Anbieter können Kennwörter für einzelne Personen verbergen, sodass sie nur eingesetzt, aber nicht angezeigt werden. Bitwarden schreibt dazu selbst, dass das Abschreiben erschwert, aber nicht verhindert wird. Wer gezielt sucht, kommt an das Kennwort trotzdem heran. Die Funktion ersetzt das Ändern beim Austritt also nicht.

Ein fester Ablauf hilft, damit beim nächsten Austritt nichts vergessen wird:

Wer kommt an den Tresor, wenn der Verantwortliche ausfällt?

In vielen kleinen Betrieben hat genau eine Person alle Rechte im Passwort-Manager. Fällt sie aus, durch Krankheit, Urlaub oder Kündigung, kann niemand mehr neue Kollegen aufnehmen oder Zugänge freigeben. Die Kennwörter sind dann zwar sicher, aber auch für den Betrieb selbst unerreichbar.

Die Lösung ist einfach: Von Anfang an zwei Personen mit vollen Rechten einrichten, zum Beispiel die Geschäftsführung und den IT-Verantwortlichen. Zusätzlich gehören die Zugangsdaten zum Passwort-Manager selbst und der Wiederherstellungsschlüssel versiegelt an einen sicheren Ort, etwa in den Tresor oder ins Bankschließfach. Diese Kopie ist die einzige, die auf Papier existieren sollte.

Wie sichern Sie den Tresor?

Bei einem gemieteten Passwort-Manager sichert der Anbieter seine Server. Vor einem versehentlich gelöschten Eintrag, einem gesperrten Konto oder dem Ende des Anbieters schützt Sie das nicht. Deshalb gehört eine eigene Sicherung dazu: ein verschlüsselter Export des gemeinsamen Tresors in festen Abständen, zum Beispiel monatlich, aufbewahrt außerhalb des Passwort-Managers. Ein unverschlüsselter Export taugt dafür nicht, er wäre nur eine neue Excel-Liste.

Zwei Details entscheiden, ob die Sicherung im Ernstfall hilft. Bitwarden bietet zwei verschlüsselte Exporte an. Der eine lässt sich nur in dasselbe Konto zurückspielen, der andere mit einem eigenen Kennwort in jedes Bitwarden-Konto. Für die Sicherung taugt nur der zweite, denn im Ernstfall fehlt vielleicht genau dieses Konto. Das Kennwort dazu gehört zu den versiegelten Unterlagen aus dem vorigen Abschnitt. Außerdem enthält der Export des gemeinsamen Tresors keine Dateianhänge. Wer Zertifikate oder Schlüsseldateien im Tresor ablegt, sichert sie gesondert.

Beim Betrieb im eigenen Haus kommt die Sicherung des Servers hinzu. Für beide gilt: Eine Sicherung zählt erst, wenn sie einmal probeweise zurückgespielt wurde.

Eine vollständige Kopie aller Kennwörter auf Papier ist dagegen keine Sicherung. Sie ist veraltet, sobald jemand ein Kennwort ändert, und wer sie findet, hat alles. Vertretbar ist ein kurzes Notfallblatt mit den wenigen Zugängen, ohne die der Betrieb stillsteht, etwa Bank, Internetadresse der Firma, Administrator-Konto für Microsoft 365 und Router. Es liegt versiegelt im Bankschließfach, trägt ein Datum und wird bei jeder Änderung erneuert.

Wie gelingt der Umzug vom Excel-Zettel oder aus KeePass?

Bitwarden und 1Password können Listen im CSV-Format einlesen. Eine Excel-Tabelle lässt sich so in wenigen Minuten übertragen. Der Import ist aber nicht der schwierige Teil. Schwierig ist, dass die alte Liste danach auch wirklich verschwindet.

Drei Dinge gehören deshalb zum Umzug:

• Alle Kopien suchen und löschen. Die Tabelle liegt selten nur an einem Ort. Typisch sind Netzlaufwerk, E-Mail-Anhang, Desktop und ausgedruckte Fassung.
• Die wichtigsten Kennwörter danach ändern. Eine Liste, die jahrelang offen lag, gilt als gelesen. Mit Bank, E-Mail und Administrator-Zugängen anfangen.
• Einen Stichtag setzen. Ab dann gilt nur noch der Tresor. Wer beides parallel weiterführt, hat bald zwei Stände, und die alte Liste gewinnt, weil sie vertrauter ist.

Oft ist der Ausgangspunkt keine Excel-Liste, sondern eine KeePass-Datei, die über Jahre gewachsen ist. Solche Umzüge auf einen selbst betriebenen Bitwarden-Server mit Vaultwarden begleiten wir. Die Übertragung selbst ist der kleinere Teil. Bitwarden liest KeePass-Dateien direkt ein, und die Gruppen aus KeePass werden im gemeinsamen Tresor zu Sammlungen. Dateianhänge lädt man nach der Anleitung des Anbieters einzeln nach.

Mehr Arbeit macht die Frage, wer was sehen darf. In KeePass sind die Gruppen meist nach Themen sortiert, etwa „Server“, „Lieferanten“, „Bank“. Im gemeinsamen Tresor entscheidet die Sammlung dagegen darüber, wer welchen Zugang sieht. Wer die alte Struktur unverändert übernimmt, gibt am Ende allen alles frei. Deshalb lohnt sich vor dem Import ein kurzes Zugriffskonzept: Welche Personen oder Abteilungen brauchen welche Zugänge? Daraus ergeben sich die Sammlungen, und die KeePass-Gruppen werden passend dazu umsortiert. Das Konzept hilft später auch beim Austritt, weil feststeht, wer worauf Zugriff hatte. Und wer den Umweg über eine CSV- oder XML-Datei nimmt, hat für die Dauer des Umzugs alle Kennwörter unverschlüsselt auf der Festplatte. Diese Datei gehört direkt nach dem Import gelöscht.

Wie man die Belegschaft dabei mitnimmt und mit welchen Zugängen man anfängt, beschreiben wir im Beitrag zum Passwort-Manager im eigenen Haus.

Womit fangen Sie an?

Bevor Sie ein Produkt testen, beantworten Sie drei Fragen schriftlich:

• Welche Zugänge teilen sich heute mehrere Personen? Daraus ergeben sich die gemeinsamen Tresore.
• Wer bekommt volle Rechte? Es müssen zwei Personen sein.
• Was passiert beim nächsten Austritt? Der Ablauf oben genügt als Vorlage.

Mit diesen Antworten lässt sich in einer Testphase von zwei Wochen prüfen, ob Bitwarden oder 1Password besser passt. Beide bieten eine kostenlose Testphase an. Eine Regel gilt unabhängig vom Produkt: Die Anmeldung am Passwort-Manager bekommt bei allen Personen einen zweiten Schritt, am besten einen Passkey oder Sicherheitsschlüssel. Wer den Tresor öffnet, hat alle Zugänge darin. Welche Kennwörter wie lang sein sollten und wann ein zweiter Faktor dazugehört, steht im Beitrag Passwort, Code oder Passkey.