Ein Passwortmanager wird im Unternehmen zur gemeinsamen Infrastruktur: Er hält Zugänge verfügbar, verteilt sie an berechtigte Personen und muss auch beim Geräteverlust oder Personalaustritt funktionieren. Ob der Dienst aus der Cloud kommt oder selbst betrieben wird, entscheidet sich an diesen Aufgaben.
Erst die Verantwortung klären, dann das Produkt auswählen
Stellen Sie sich einen Betrieb mit zehn Beschäftigten vor: Buchhaltung, Assistenz und Geschäftsführung benötigen verschiedene Lieferanten- und Verwaltungszugänge. Eine zweite Person soll bei Abwesenheit übernehmen können. Entscheidend sind persönliche Benutzerkonten, nachvollziehbare Freigaben und ein funktionierender Wiederherstellungsweg. Ein einzelner privater Tresor mit gemeinsam bekanntem Masterpasswort erfüllt diese Aufgabe nicht.
In einem Unternehmen mit beispielsweise 60 Beschäftigten kommen oft Verzeichnisanbindung, Gruppen, mehrere Administratorrollen und geregelte Ein- und Austritte hinzu. Diese Größen sind hypothetische Beispiele, keine Produktgrenzen. Auch ein kleines Unternehmen kann anspruchsvolle Berechtigungen benötigen. Die passende Lösung folgt der Organisation.
Cloud oder Eigenbetrieb: Was übernimmt wer?
Beim Cloud-Dienst betreibt der Anbieter die zentrale Plattform. Im Unternehmen bleiben die Konten, Geräte, Rollen, Freigaben und Notfallabläufe zu betreuen. Ein selbst betriebener Server verlagert zusätzlich Installation, Aktualisierungen, Überwachung und Wiederanlauf in den eigenen Verantwortungsbereich. Das kann interne IT oder eine vereinbarte externe Betreuung übernehmen.
Selfhosting schafft Gestaltungsspielraum bei Serverstandort und Netzanbindung. Es erhöht das Sicherheitsniveau nicht automatisch: Ein ungepflegter Server oder eine unbrauchbare Sicherung wird durch den eigenen Standort nicht besser. Umgekehrt ersetzt eine professionell betriebene Cloudplattform keine saubere Rechtevergabe. Beide Betriebsmodelle benötigen eine verantwortliche Person und eine Vertretung.
Vier Anbieter sachlich einordnen
Die folgende Auswahl ist keine Rangliste. Geprüfter Herstellerstand: 16. Oktober 2026. Besonders Wiederherstellung, SSO, automatische Benutzerverwaltung und Berichte müssen für den konkret angebotenen Tarif geprüft werden. Funktionen verschiedener Tarifstufen werden nicht als überall enthalten dargestellt.
| Lösung | Betriebsmodell im Vergleich | Fachlicher Ansatz | Im Angebot konkret prüfen |
|---|---|---|---|
| Bitwarden | Cloud oder offizielles Selfhosting | Organisationen und Collections für gemeinsame Zugänge. | Passende Enterprise-Lizenz für betriebliches Selfhosting; Richtlinien, SSO und Wiederherstellung. |
| 1Password | Verwalteter Cloud-Dienst | Gemeinsame Organisationstresore; Auswahl der Datenregion. | Berechtigungen im gewählten Tarif, Wiederherstellungsablauf und gegebenenfalls Identitätsanbindung. |
| Keeper | Verwalteter Cloud-Tresor | Zentrale Benutzer-, Rollen- und Teamverwaltung. | Benötigte Erweiterungen, Kontotransfer, Rollen und konkrete Datenregion; lokale Zusatzkomponenten getrennt. |
| LastPass | Verwalteter Cloud-Dienst | Business-Verwaltung mit Gruppen und gemeinsamen Ordnern. | Tarifunterschiede bei Richtlinien, Berichten und Verzeichnisanbindung; Wiederherstellung vorab testen. |
Für den offiziellen Bitwarden-Eigenbetrieb ist die Lizenzfrage gesondert zu beachten: Die aktuelle Anleitung nennt Families- und Enterprise-Organisationen für die Übernahme auf einen selbst betriebenen Server; für die betriebliche Planung ist der passende Enterprise-Vertrag zu prüfen. Eine Teams-Cloudlizenz ist deshalb nicht automatisch die Freigabe für eine gleichwertige selbst betriebene Organisation. Lizenzpflege und gegebenenfalls Cloudkommunikation bleiben eigene Betriebspunkte. Bitwarden: selbst betriebene Organisationen (externer Link), Bitwarden: Lizenzierung (externer Link).
Eine Community-Implementierung mit ähnlichem Protokoll ist ein eigenständiges Projekt. Daraus lassen sich weder offizieller Herstellersupport noch identische Enterprise-Funktionen ableiten. Wer diesen Weg erwägt, prüft Wartung, Kompatibilität und Zuständigkeit separat.
Die Gesamtkosten stehen nicht allein auf der Preisseite
Vergleichen Sie denselben Anforderungskatalog über einen gemeinsamen Zeitraum. Dazu gehören Benutzerlizenzen, notwendige Zusatzfunktionen, Einführung, Geräteverteilung, Schulung und laufende Administration. Beim Eigenbetrieb kommen Serverressourcen, Updates, Sicherung, Überwachung, Wiederherstellungstests und Vertretung hinzu. Vorhandene Hardware macht diese Arbeit nicht kostenlos.
Ein belastbarer Vergleich hält außerdem fest, wer bei einer Störung reagiert und welche Wiederanlaufzeit vereinbart ist. Anbieterpreise, Abrechnungsrhythmus, Mindestmengen und Supportumfang werden im konkreten Angebot geprüft. Dieser Beitrag nennt deshalb keine vermeintlich dauerhaft gültigen Listenpreise oder pauschalen Gewinner.
Rollen, MFA und Wiederherstellung gehören in den Pilot
Ein kleiner Pilot sollte einen normalen Arbeitsplatz, eine berechtigte Vertretung und eine Verwaltungsrolle umfassen. Prüfen Sie einen gemeinsamen Zugang, eine Rechteänderung, den Verlust eines Geräts und den Austritt eines Testbenutzers. Für die tägliche Arbeit und für besonders weitreichende Administrationsrechte werden passende Mehrfaktormethoden vorgesehen.
Wiederherstellung ist keine einheitliche Produkteigenschaft: Welche Person kann welches Konto oder welche Firmendaten wieder zugänglich machen? Muss die Funktion vorab aktiviert werden? Welche unabhängigen Zugangsmittel sind erforderlich? Der Notfallweg darf nicht ausschließlich im Tresor liegen, den er erst wieder öffnen soll. Eigene Server benötigen zusätzlich einen getesteten Rückweg aus ihrer Sicherung.
Entzogene Tresorrechte löschen keine bereits kopierten Passwörter aus dem Gedächtnis oder aus anderen Dateien. Bei gemeinsam genutzten Zielkonten kann deshalb eine Kennwortänderung am eigentlichen Dienst erforderlich sein. Wo ein Dienst persönliche Konten unterstützt, sind individuelle Identitäten die besser nachvollziehbare Grundlage.
Serverstandort, Verträge und Anbieterwechsel mitprüfen
Ein wählbarer europäischer Speicherort ist ein technisches Auswahlmerkmal. Er ersetzt keine Prüfung von Vertrag, Unterauftragnehmern, Supportzugriffen und tatsächlichen Datenflüssen. Ebenso kann ein eigener Server weiterhin externe Dienste für Lizenzen, Nachrichten oder Identitäten benötigen. Ein pauschales Datenschutzversprechen lässt sich aus „Cloud“ oder „lokal“ nicht ableiten.
Zum Ausstiegsszenario gehören ein geeigneter Export, der Schutz vor unverschlüsselten Kopien und ein dokumentierter Umzug der gemeinsamen Tresore. Kontrollieren Sie dabei auch Anhänge, Freigaben und Geräte. Exportdateien können hochsensible Inhalte enthalten und gehören in einen begrenzten, geschützten Ablauf.
Ein sinnvoller nächster Schritt mit DAXS
DAXS unterstützt bei der Aufnahme vorhandener Zugänge, einem überschaubaren Rollenmodell, dem Vergleich geeigneter Betriebsmodelle und einem Pilot mit Übergabe. Im Ergebnis stehen eine begründete Auswahl und klare Zuständigkeiten für Einführung und Betrieb. Der Leistungsumfang wird für Ihre Umgebung vereinbart.
Sichere Passwortverwaltung einführen · Arbeitsplätze und Zusammenarbeit planen · Laufende IT-Betreuung · Berechtigungen auch bei KI berücksichtigen
Häufige Fragen
Ist ein eigener Server grundsätzlich sicherer?
Das hängt von Architektur, Schutz, Pflege und Wiederherstellung ab. Der eigene Betrieb erweitert die Verantwortung. Ein nachvollziehbarer Betriebsnachweis ist aussagekräftiger als der Standort allein.
Kann die Administration automatisch jedes Passwort lesen?
Das hängt vom Produkt, der Art des Tresors, den Rechten und vorbereiteten Wiederherstellungsfunktionen ab. Benutzerverwaltung, Zugriff auf gemeinsame Daten und Kontowiederherstellung sind getrennt zu prüfen.
Ersetzt SSO den Passwortmanager?
SSO vereinfacht die Anmeldung an angebundenen Diensten. Für andere Portale und gemeinsam benötigte Zugangsdaten kann weiterhin ein geregelter Tresor erforderlich sein.
Weitere Herstellerquellen zum geprüften Stand: 1Password: gemeinsame Organisationstresore (externer Link) · 1Password: Datenregionen (externer Link) · Keeper: Administration, Rollen und Teams (externer Link) · LastPass: Business-Funktionsumfang (externer Link).