Passwortmanager im Unternehmen einführen: Auswahl und Umstellung
Von Felix Lange, Geschäftsführer, Technik
Veröffentlicht am · 10 Min. Lesezeit
Einen Passwortmanager führen Sie im Unternehmen am besten in Schritten ein: Anbieter nach klaren Kriterien auswählen, mit einem Pilot testen, Tresore nach Teams anlegen, Zugänge aus Browser und Excel übernehmen und die alten Ablagen danach löschen. Bei der Auswahl zählen Ende-zu-Ende-Verschlüsselung, Serverstandort, Notfallzugang, Freigaben nach Teams und Protokollierung.
Das Wichtigste in Kürze
- Ein Passwortmanager ersetzt Zettel, Excel-Listen und im Browser gespeicherte Passwörter durch einen verschlüsselten Tresor mit Freigaben nach Teams.
- Das BSI beschreibt den Vorteil so: Statt vieler Passwörter muss man sich nur noch ein Masterpasswort merken — geht es verloren, sind im schlechtesten Fall alle Daten weg.
- Für Betriebe entscheiden Notfallzugang, Protokollierung und ein geregelter Austritt darüber, ob Zugänge an einer einzelnen Person hängen.
- Bitwarden, 1Password und Keeper kosten im Business-Tarif laut Hersteller wenige Euro beziehungsweise US-Dollar pro Benutzer und Monat; Bitwarden lässt sich im Enterprise-Tarif zusätzlich selbst hosten.
- KeePassXC arbeitet mit einer lokalen Datei und ist nach Angaben der Entwickler für Einzelpersonen gedacht; im Team müssen Rechte und Notfallzugang außerhalb des Programms geregelt werden.
Warum braucht ein Betrieb einen Passwortmanager?
Zugangsdaten landen ohne Plan an Orten wie diesen: auf Zetteln am Monitor, in einer Excel-Liste auf dem Server, im Browser eines einzelnen Rechners oder im Kopf der Person, die den Zugang eingerichtet hat. Daraus entstehen drei Probleme:
- Wiederverwendung: Wer sich viele Passwörter merken muss, benutzt dasselbe mehrfach. Wird es bei einem Dienst erbeutet, probieren Angreifer es bei den anderen. Die Entwickler von KeePassXC nennen Wiederverwendung und leicht zu erratende Passwörter die größten Probleme bei Onlinediensten.
- Weitergabe ohne Kontrolle: Ein Passwort, das per E-Mail, Zettel oder Excel-Datei weitergegeben wurde, lässt sich nicht zurückholen. Niemand weiß, wer es noch kennt.
- Abhängigkeit von Personen: Ist die Kollegin mit den Zugängen krank oder hat gekündigt, kommt niemand mehr an Lieferantenportal, Router oder Domainverwaltung.
Ein Passwortmanager ist ein verschlüsselter Tresor für Zugangsdaten. Das BSI vergleicht ihn mit einem Notizbuch in einer verschlossenen Schublade: Statt vieler Passwörter muss man sich nur noch das Masterpasswort merken. Der Passwortmanager erzeugt für jeden Dienst ein eigenes, langes Passwort und füllt es bei der Anmeldung aus. Im Betrieb kommt hinzu, dass sich Zugänge gezielt mit Teams teilen und wieder entziehen lassen.
Ein Passwortmanager ersetzt allerdings keine Mehrfaktor-Anmeldung. Wichtige Konten wie Microsoft 365 brauchen zusätzlich einen zweiten Faktor; wie Sie das einrichten, steht im Ratgeber Microsoft 365 absichern.
Worauf kommt es bei der Auswahl an?
| Kriterium | Worauf Sie achten |
|---|---|
| Ende-zu-Ende-Verschlüsselung | Die Daten werden auf Ihren Geräten ver- und entschlüsselt. Der Anbieter kann Ihre Einträge nicht lesen; oft heißt das „Zero Knowledge“. |
| Serverstandort oder Selbsthosting | Wo die verschlüsselten Daten liegen: in den USA, in der EU oder auf eigenen Servern. Wer selbst hostet, übernimmt Updates, Sicherung und Erreichbarkeit. |
| Freigaben nach Teams | Sammlungen oder Ordner je Abteilung, Rechte zum Lesen oder Bearbeiten, Freigaben, die sich zentral wieder entziehen lassen. |
| Notfallzugang | Wie ein Konto wiederhergestellt wird, wenn jemand sein Masterpasswort vergisst, und wer im Notfall an welche Zugänge kommt. |
| MFA und Single Sign-on | Zweiter Faktor für die Anmeldung am Tresor; Anmeldung über Microsoft 365 oder einen anderen Identitätsdienst (Single Sign-on, kurz SSO). |
| Protokollierung | Wer hat wann welchen Eintrag angesehen, geändert oder geteilt? Wichtig für die Nachvollziehbarkeit und nach einem Vorfall. |
| Offboarding | Konto sperren, Freigaben entziehen, Tresorinhalte übernehmen, ohne dass Zugänge mit der Person gehen. |
| Browser-Integration | Erweiterungen für die gängigen Browser und Apps fürs Smartphone. Ohne bequemes Ausfüllen greifen Mitarbeiter wieder zum Passwortspeicher des Browsers. |
Das BSI stellt für die Auswahl ähnliche Fragen: Für welche Konten wird der Passwortmanager gebraucht, soll er browserbasiert oder eigenständig sein, liegen die Daten in der Cloud oder auf der Festplatte, gibt es einen zweiten Faktor und ein sicheres Masterpasswort? Für einen Betrieb kommen Freigaben, Notfallzugang und Protokollierung hinzu — sie unterscheiden eine Firmenlösung von einem privaten Passwortmanager.
Welche Passwortmanager kommen für Betriebe infrage?
Die folgenden vier Lösungen stehen für unterschiedliche Ansätze. Die Angaben stammen von den Seiten der Hersteller, Stand: September 2026; Preise bei jährlicher Zahlung, Bitwarden und Keeper nennen sie ausdrücklich ohne Steuern. Die Auswahl ist keine Rangliste, und es gibt weitere Anbieter.
| Lösung | Betrieb und Datenstandort | Teams und Notfall | Preis laut Hersteller |
|---|---|---|---|
| Bitwarden | Cloud mit Wahl zwischen Rechenzentren in den USA und in der EU; laut Preisseite im Enterprise-Tarif auch selbst gehostet | Notfallzugang für Premium-Konten und Mitglieder bezahlter Organisationen; Kontowiederherstellung durch Administratoren im Enterprise-Tarif | Teams 4 US-Dollar, Enterprise 6 US-Dollar pro Benutzer und Monat |
| 1Password | Cloud; Konto wahlweise in der Region USA, Kanada oder EU (1Password.eu, Abrechnung in Euro) | Administratoren und Eigentümer können Konten von Teammitgliedern wiederherstellen; Anbindung an Identitätsdienste im Business-Tarif | Teams Starter Pack 24,95 US-Dollar im Monat mit 10 Mitgliedern; Business 8,99 US-Dollar pro Benutzer und Monat |
| Keeper | Cloud mit Zero-Knowledge-Verschlüsselung | Geteilte Teamordner und delegierte Verwaltung ab dem Tarif Business | Business Starter 2,00 € (für 5 bis 10 Benutzer), Business 4,00 €, Enterprise 5,50 € pro Benutzer und Monat, zzgl. MwSt. |
| KeePassXC | Verschlüsselte Datenbankdatei auf dem eigenen Rechner oder Netzlaufwerk, kein Onlinedienst | Teilen einzelner Gruppen über KeeShare-Dateien | Quelloffene Software unter der GNU GPL Version 3 |
Bitwarden selbst zu hosten ist laut Preisseite dem Enterprise-Tarif vorbehalten und heißt: Sie betreiben den Server selbst, etwa mit Docker auf einem eigenen Linux-Server. Updates, Datensicherung und Erreichbarkeit liegen dann bei Ihnen oder Ihrem Dienstleister. Für die meisten kleinen Betriebe ist die Cloud-Variante mit Rechenzentrum in der EU der einfachere Weg. Selbsthosting lohnt sich, wenn Auflagen oder eine bestehende Serverumgebung es nahelegen.
KeePassXC speichert alle Einträge in einer verschlüsselten Datei und kommt ohne Onlinedienst aus. Die Entwickler beschreiben es ausdrücklich als Werkzeug für Einzelpersonen, die ihre Passwörter keinem Onlinedienst anvertrauen wollen. Im Team wird über KeeShare geteilt: Eine Gruppe wird als eigene Datei an einen Ort geschrieben, auf den andere zugreifen, etwa ein Netzlaufwerk, und von dort importiert oder synchronisiert. Das funktioniert. Rechte pro Person, ein Protokoll der Zugriffe und ein Notfallzugang müssen dann aber über Dateiablage und Absprachen organisiert werden. Für einen Einzelunternehmer ist KeePassXC eine gute Wahl, für einen Betrieb mit mehreren Abteilungen meist nicht.
Wie führen Sie einen Passwortmanager in sechs Schritten ein?
Pilot mit wenigen Personen
Testen Sie die Lösung einige Wochen mit wenigen Personen aus verschiedenen Bereichen, zum Beispiel Geschäftsführung, Büro und Werkstatt. So zeigt sich, ob Browser-Erweiterung, Smartphone-App und Freigaben im Alltag funktionieren.
Tresor-Struktur festlegen
Legen Sie Sammlungen oder Ordner nach Zuständigkeit an, nicht nach Personen: Geschäftsführung, Buchhaltung, Büro, IT, Lieferantenportale. Klären Sie für jede Sammlung, wer lesen und wer bearbeiten darf. Die Administratorrolle bekommt mehr als eine Person, damit der Tresor nicht an einer einzigen hängt.
Zugänge aus Browser und Excel übernehmen
Exportieren Sie die im Browser gespeicherten Passwörter und die Excel-Listen und importieren Sie sie in den Tresor. Nutzen Sie die Gelegenheit, doppelte und veraltete Einträge zu löschen und schwache Passwörter zu ersetzen.
Richtlinie schreiben
Eine Seite genügt: Zugangsdaten gehören in den Tresor und nirgendwo sonst hin. Das Masterpasswort wird weder notiert noch geteilt, der Tresor ist mit MFA gesichert, und Passwörter werden nur über Freigaben im Tresor weitergegeben.
Mitarbeiter schulen
Zeigen Sie die Grundgriffe am Rechner der Mitarbeiter, nicht nur per Rundmail: Erweiterung installieren, Zugang speichern, Passwort erzeugen, Eintrag teilen. Klären Sie auch, an wen man sich wendet, wenn etwas nicht klappt.
Alte Ablagen löschen
Erst wenn alle Zugänge im Tresor sind: Excel-Listen löschen, im Browser gespeicherte Passwörter entfernen und die Speicherfunktion des Browsers abschalten, Zettel vernichten. Solange die alte Ablage existiert, wird sie weiter benutzt.
Was passiert, wenn jemand sein Masterpasswort vergisst oder den Betrieb verlässt?
Das ist die wichtigste Frage für einen Betrieb, und die Antworten der Anbieter unterscheiden sich. Bitwarden bietet im Enterprise-Tarif eine Kontowiederherstellung: Administratoren setzen die Zugangsdaten eines ausgesperrten Mitglieds zurück, etwa nach einem vergessenen Masterpasswort oder einem verlorenen zweiten Faktor. Den Notfallzugang, bei dem vertrauenswürdige Personen den Zugriff auf einen Tresor beantragen können, gibt es für Premium-Konten und für Mitglieder bezahlter Organisationen. Bei 1Password können Administratoren und Eigentümer eines Team-Kontos die Konten anderer Mitglieder wiederherstellen.
Beim Austritt gilt: Konto im Passwortmanager sperren, Freigaben entziehen und alle Zugänge ändern, die die Person kannte — auch die aus gemeinsamen Sammlungen. Ein Tresor verhindert nicht, dass sich jemand ein Passwort merkt. Er zeigt aber, auf welche Einträge die Person Zugriff hatte, und damit, was geändert werden muss. Die vollständige Liste für den Austritt steht in der IT-Checkliste für neue und ausscheidende Mitarbeiter. Was zu tun ist, wenn gerade der Administrator geht, beschreibt der Notfallplan beim Weggang des IT-Administrators.
Notfallzugänge gehören nicht nur in den Tresor
Die Zugangsdaten der Administratoren und ihre Wiederherstellungscodes gehören zusätzlich an einen sicheren Ort außerhalb des Tresors, etwa versiegelt in den Safe. Sonst sperrt sich der Betrieb im Ernstfall selbst aus: Geht ein Masterpasswort verloren, sind nach Darstellung des BSI im schlechtesten Fall alle Daten verloren.
Was kostet ein Passwortmanager für einen kleinen Betrieb?
Rechenbeispiel mit Annahmen: 15 Benutzer, jährliche Zahlung, Listenpreise laut Hersteller, Stand: September 2026, ohne Steuern. Mit Bitwarden Teams sind das 15 × 4 US-Dollar × 12 = 720 US-Dollar im Jahr, mit Keeper Business 15 × 4,00 € × 12 = 720 € und mit 1Password Business 15 × 8,99 US-Dollar × 12 = 1.618,20 US-Dollar. Setzen Sie Ihre eigene Benutzerzahl ein und prüfen Sie, welcher Tarif die Funktionen enthält, die Sie brauchen — Kontowiederherstellung und Single Sign-on stecken nicht in jedem.
Neben der Lizenz kostet vor allem die Einführung Zeit: Struktur festlegen, Zugänge übernehmen, Mitarbeiter einweisen, alte Listen aufräumen. Wann lohnt es sich nicht? Für einen Einzelunternehmer ohne Mitarbeiter reicht ein persönlicher Passwortmanager oder KeePassXC. Sobald zwei Menschen dieselben Zugänge brauchen, lohnt sich eine Lösung mit Freigaben.
In unserer IT-Betreuung gehört ein gemeinsamer Passwort-Tresor zur Dokumentation: Zugänge liegen dort und nicht in den Notizen einzelner Personen.
Passende Leistung
IT-Betreuung & Managed Services
Die Zugänge Ihrer Umgebung liegen bei uns in einem gemeinsamen Passwort-Tresor mit nachvollziehbaren Berechtigungen; bei Vertragsende übergeben wir alle vollständig und entfernen unsere.
Wir antworten innerhalb von 24 Stunden — 7 Tage die Woche, auch an Feiertagen.
Quellen und Stand
- BSI — Passwörter verwalten mit dem Passwort-Manager
- Bitwarden — Business Password Manager Pricing
- 1Password — Pricing and plans
- Keeper Security — Preise für Keeper Business
- KeePassXC — Documentation and FAQ
Stand der Angaben: . Preise, Fristen und Programme ändern sich; maßgeblich ist jeweils die verlinkte Quelle. Der Artikel ersetzt keine Rechts- oder Steuerberatung.
Über den Autor
Felix Lange
Mitgründer und Geschäftsführer, Technik, Rentavo-Services
Verantwortlich für Architektur, Entwicklung und Qualitätssicherung. Baut die Systeme, die wir bei unseren Kunden betreiben — und betreibt sie auch selbst.
- ISTQB Certified Tester, Foundation Level 4.0
- Ausbildung zum Fachinformatiker für Anwendungsentwicklung
- Studium Wirtschaftsingenieurwesen
Häufige Fragen
Die Kurzfassung zu den Fragen, die an dieser Stelle am häufigsten gestellt werden.
Ist der Passwortspeicher im Browser nicht genauso gut?
Für eine Person an einem Gerät ist er besser als ein Zettel. Im Betrieb fehlen ihm aber Freigaben nach Teams, zentral vergebene Rechte, ein Notfallzugang und ein geregelter Austritt, und er hängt am Browserprofil einer einzelnen Person. Das BSI nennt die Frage „browserbasiert oder eigenständig“ ausdrücklich als Auswahlkriterium. Sobald mehrere Mitarbeiter dieselben Zugänge nutzen, spricht vieles für eine eigenständige Lösung.
Was passiert, wenn der Anbieter des Passwortmanagers angegriffen wird?
Bei Ende-zu-Ende-Verschlüsselung liegen beim Anbieter nur verschlüsselte Daten; entschlüsselt wird auf Ihren Geräten mit dem Masterpasswort. Ein Einbruch beim Anbieter bleibt trotzdem ernst, weil Angreifer versuchen können, schwache Masterpasswörter zu erraten. Deshalb gehören ein langes Masterpasswort und MFA für den Tresor zur Pflicht, und nach einem gemeldeten Vorfall sollten Sie die wichtigsten Zugänge ändern.
Brauchen wir Selbsthosting für den Datenschutz?
Nicht zwingend. Mit Ende-zu-Ende-Verschlüsselung sieht der Anbieter die Inhalte nicht, und Anbieter wie Bitwarden und 1Password bieten Rechenzentren in der EU an. Selbsthosting gibt Ihnen volle Kontrolle über den Standort, verlagert aber Updates, Sicherung und Erreichbarkeit zu Ihnen. Dieser Artikel ersetzt keine Rechtsberatung; ob eine Cloudlösung für Ihre Daten zulässig ist, klärt im Zweifel Ihr Datenschutzbeauftragter.
Wie lange dauert die Umstellung auf einen Passwortmanager?
Die Technik ist schnell eingerichtet. Die Zeit geht in die Übernahme der Zugänge und in neue Gewohnheiten. Planen Sie nach dem Pilot einige Wochen ein, in denen Sie nachfragen, ob wirklich alle den Tresor nutzen. Erst danach löschen Sie Excel-Listen und Browser-Passwörter — sonst fehlt am Ende genau der eine Zugang, den niemand übertragen hat.
Kann ein Passwortmanager auch Passkeys verwalten?
Ja, zumindest bei manchen Anbietern. Passkeys ersetzen bei Diensten, die sie unterstützen, das Passwort durch einen kryptografischen Schlüssel. Keeper etwa nennt auf seiner Preisseite ausdrücklich das Speichern und Teilen von Passkeys. Für einen Betrieb ist das praktisch, weil ein Passkey dann nicht an einem einzelnen Smartphone hängt. Prüfen Sie im Pilot, ob die Dienste, die Sie nutzen, Passkeys schon anbieten.