Passwort-Manager in der Firma einführen: Auswahl, Schritte, Austritt

Ein Passwort-Manager im Betrieb ist ein verschlüsselter, gemeinsamer Tresor: Jede Person hat ein eigenes Konto mit eigenem Hauptpasswort, und gemeinsame Zugänge liegen in Bereichen, die nur die Leute sehen, die sie brauchen. Eingeführt ist er in einem Nachmittag. Die eigentliche Arbeit liegt danach, wenn die Passwörter, die bisher im Browser, auf Zetteln und in einer Tabelle standen, eines nach dem anderen herüberwandern.

Der Wert liegt nicht im Speichern, sondern im Entziehen. Ein Passwort zu speichern kann jeder Browser. Was ein Betrieb braucht, ist die Antwort auf zwei Fragen, die erst später kommen: Wer kommt an die Zugänge, wenn der Inhaber ausfällt? Und welche Passwörter müssen geändert werden, wenn eine Mitarbeiterin geht? Ein Werkzeug, das darauf keine Antwort hat, ist für den Betrieb das falsche.

Warum nicht Browser, Excel oder Zettel?#

Das BSI rät ausdrücklich zu einem Passwort-Manager, weil jedes Passwort nur für einen Zugang genutzt werden soll und sich das ohne Hilfsmittel niemand merkt (BSI, Sichere Passwörter). Die üblichen Ersatzlösungen scheitern im Betrieb an verschiedenen Stellen.

Der Browser-Speicher gehört der Person, die im Browser angemeldet ist. Es gibt keine Bereiche, keine Rechte und keinen Weg, einem ausgeschiedenen Mitarbeiter die gespeicherten Zugänge zu entziehen. Liegt der Browser-Sync am privaten Google-Konto, wandern die Firmenpasswörter dorthin mit.

Die Excel-Liste hat genau ein Recht: alles oder nichts. Sie liegt meist unverschlüsselt im Dateiablage-Ordner, wird per Mail weitergeschickt und existiert nach drei Monaten in vier Fassungen. Wer sie einmal geöffnet hat, hatte alle Zugänge.

Der Zettel ist für ein einzelnes Passwort am Arbeitsplatz weniger schlimm als sein Ruf. Für zwanzig gemeinsame Zugänge taugt er nicht, weil niemand weiß, wer ihn abfotografiert hat.

Das BSI nennt auch die Kehrseite: Wird ein Passwort-Manager erfolgreich angegriffen, können alle Passwörter auf einmal gestohlen werden, und wer das Hauptpasswort vergisst, verliert im schlechtesten Fall alle Daten (BSI, Passwort-Manager). Beides ist lösbar, aber nur, wenn man es bei der Einführung mitplant. Darum geht es in den Schritten unten.

Woran man das Werkzeug auswählt#

Für einen Betrieb mit drei bis dreißig Leuten zählen weniger die Komfortfunktionen als diese sieben Punkte:

1. Geteilte Bereiche. Gemeinsame Zugänge liegen in eigenen Bereichen („Sammlungen“ bei Bitwarden, „Tresore“ bei 1Password), getrennt nach Buchhaltung, Website, Technik.
2. Rechte je Bereich. Mindestens: nur ansehen, bearbeiten, verwalten. Besser mit Gruppen, damit eine neue Person mit einem Klick die Rechte ihrer Abteilung bekommt.
3. Notfallzugang und Wiederherstellung. Was passiert, wenn jemand das Hauptpasswort vergisst, und was, wenn der Inhaber ausfällt?
4. Austritt. Ein Konto lässt sich sperren oder entfernen, und das Protokoll zeigt, worauf die Person zugegriffen hat.
5. Serverregion. Bei Cloud-Diensten: Wo liegen die verschlüsselten Daten? Das BSI empfiehlt, bei Cloud-Lösungen AGB und Datenschutzerklärung auf Serverstandort und anwendbares Recht zu prüfen.
6. Ende-zu-Ende-Verschlüsselung. Der Anbieter darf die Inhalte selbst nicht lesen können. Das nennen die Hersteller „Zero Knowledge“ oder ähnlich.
7. Prüfberichte. Unabhängige Sicherheitsprüfungen oder Zertifizierungen, die der Hersteller veröffentlicht oder auf Anfrage herausgibt.

Bitwarden, 1Password, KeePassXC, Proton Pass im Vergleich#

Alle Preise und Funktionen am 25.10.2026 auf den verlinkten Herstellerseiten abgelesen, Preise in US-Dollar je Person und Monat bei jährlicher Zahlung, wie dort angezeigt.

Quellen: Bitwarden Preise, Bitwarden Tarife, Bitwarden Regionen, Bitwarden Compliance, 1Password Preise, 1Password Regionen, 1Password Wiederherstellung, 1Password Prüfberichte, KeePassXC, Proton Pass Preise, Proton Pass Sicherheit.

Bitwarden ist für die meisten kleinen Betriebe der naheliegende Kandidat: günstig, EU-Region wählbar, Quellcode offen. Die Grenze liegt bei der Wiederherstellung. Im Teams-Tarif kann kein Admin das Hauptpasswort einer Mitarbeiterin zurücksetzen, das gibt es erst in Enterprise. Im Teams-Tarif bleibt der persönliche Notfallzugang: Eine Vertrauensperson kann nach einer selbst gewählten Wartezeit den persönlichen Tresor ansehen oder übernehmen (Bitwarden, Emergency Access). Die Sammlungen der Organisation betrifft das nicht. Wichtig: Die Region ist endgültig. Ein Konto in der US-Region kann keiner Organisation in der EU-Region beitreten, und Bitwarden verschiebt keine Konten zwischen den Regionen.

1Password ist teurer, hat aber die Wiederherstellung durch Admins in jedem Business-Tarif. Zusätzlich zum Passwort schützt ein 128-Bit-Secret-Key das Konto; den hält das „Emergency Kit“ fest, ein PDF mit Anmeldeadresse, Mailadresse und Secret Key (1Password, Emergency Kit). Die EU-Region heißt 1Password.eu und wird in Euro abgerechnet.

KeePassXC ist kein Cloud-Dienst, sondern ein Programm für Windows, macOS und Linux, das eine verschlüsselte Datei öffnet. Geteilt wird über KeeShare, also über Dateien, die zwischen den Datenbanken abgeglichen werden (KeePassXC, Benutzerhandbuch). Für eine Einzelperson oder zwei Leute mit gemeinsamer Ablage ist das gut. Für einen Betrieb fehlen Benutzerverwaltung, Protokoll und Wiederherstellung, und KeePassXC selbst gibt es nur für Windows, macOS und Linux.

Proton Pass ist der günstigste Cloud-Tarif mit Admin-Bereich und Wiederherstellung schon in Essentials. Einmalanmeldung (SSO), detaillierte Aktivitätsprotokolle und Richtlinien gibt es erst in Professional.

Einführung in neun Schritten#

Der Weg dauert für einen Betrieb mit zehn Leuten einen Nachmittag für die Einrichtung und zwei bis drei Wochen, bis die wichtigen Zugänge umgezogen sind.

1. Das Konto des Inhabers zuerst. Mit der Firmen-Mailadresse anlegen, nicht mit einer privaten. Das Hauptpasswort lang wählen: Das BSI nennt für einfache Passwörter mindestens 25 Zeichen, NIST verlangt für Passwörter ohne zweiten Faktor mindestens 15 (NIST SP 800-63B, 3.1.1.2). Ein Satz aus fünf, sechs zufälligen Wörtern erfüllt beides und lässt sich merken. Sofort einen zweiten Faktor einrichten.
2. Notfallzugang festlegen, bevor etwas drinliegt. Eine zweite Person bekommt Inhaber- oder Admin-Rechte in der Organisation, damit der Betrieb nicht an einem einzigen Konto hängt. Dazu Wiederherstellungscodes und, bei 1Password, das Emergency Kit ausdrucken und an einem Ort verwahren, an den man ohne Computer kommt: Tresor, Bankschließfach, verschlossener Umschlag beim Steuerberater.
3. Bereiche nach Aufgabe anlegen. Etwa „Geschäftsführung“, „Buchhaltung“, „Website und Domain“, „Technik und WLAN“, „Social Media“. Nicht nach Personen, sondern nach Aufgaben, sonst muss bei jedem Wechsel umsortiert werden.
4. Rechte vergeben. Jede Gruppe bekommt nur die Bereiche, die sie für die Arbeit braucht. Bei Bitwarden reichen die Stufen von „View items“ bis „Manage collection“ (Bitwarden, Collection permissions). Verwalten darf nur, wer auch Personen aufnehmen und entfernen soll.
5. Aus dem Browser importieren. Bei Chrome steht der Export unter chrome://password-manager/settings → „Export Passwords“ → „Download file“, heraus kommt eine unverschlüsselte CSV-Datei. Die Desktop-App von Bitwarden kann aus Chrome, Edge, Brave, Opera und Vivaldi auch direkt importieren, ohne Datei (Bitwarden, Import aus Chrome). Nach dem Import die CSV-Datei löschen, auch aus dem Papierkorb.
6. Das Speichern im Browser abschalten. In Chrome unter chrome://password-manager/settings „Offer to save passwords and passkeys“ und „Sign in automatically“ ausschalten, in Edge unter edge://wallet/settings → Microsoft Password Manager „Ask to save password“ und „Autofill passwords and passkeys“ (Bitwarden, Browser-Autofill abschalten). Danach die alten Einträge im Browser löschen. Bleiben sie liegen, gibt es zwei Wahrheiten, und die falsche füllt sich zuerst aus.
7. Mitarbeitende einladen. Jede Person mit der Firmen-Mailadresse, jede mit eigenem Hauptpasswort und zweitem Faktor. Eine Viertelstunde gemeinsam am Bildschirm spart später zehn Rückfragen: Erweiterung installieren, App aufs Handy, einmal ein Passwort speichern und abrufen.
8. Die wichtigsten Konten zuerst umstellen. In dieser Reihenfolge, weil über die ersten beiden alle anderen zurückgesetzt werden können: das E-Mail-Postfach des Inhabers, das Microsoft-365- oder Google-Workspace-Admin-Konto, der Zugang zu Domain und Hoster, das Online-Banking, dann Buchhaltungsprogramm, Website, Social Media. Jedes Konto bekommt dabei ein neues, vom Manager erzeugtes Passwort und, wo möglich, einen zweiten Faktor.
9. Den Rest beim Benutzen mitnehmen. Nicht alles an einem Tag. Jedes Mal, wenn jemand sich irgendwo anmeldet, landet der Zugang im Manager, mit neuem Passwort. Nach einem Monat ist die Tabelle leer und kann gelöscht werden.

Was beim Austritt geändert wird#

Ein Konto im Passwort-Manager zu sperren entzieht den Zugriff auf den Tresor. Es entzieht nicht das Wissen. Jedes Passwort, das die Person sehen konnte, gilt nach dem Austritt als bekannt. NIST verlangt nicht, Passwörter regelmäßig zu wechseln, aber sofort, wenn es Hinweise gibt, dass sie kompromittiert sind (NIST SP 800-63B, 3.1.1.2). Ein Austritt mit Zugriff auf gemeinsame Zugänge ist so ein Hinweis.

Die Reihenfolge am letzten Arbeitstag:

1. Das persönliche Firmenkonto der Person sperren, bei Microsoft 365 oder Google die Anmeldung blockieren und alle Sitzungen beenden.
2. Das Konto im Passwort-Manager sperren oder entfernen. Bitwarden unterscheidet zwischen vorübergehendem Entziehen und dauerhaftem Entfernen (Bitwarden, Managing users). Löschen ist endgültig und nimmt die Tresordaten des Kontos mit.
3. Die Bereiche durchgehen, auf die die Person Zugriff hatte, und dort jedes geteilte Passwort ändern. Zuerst die, die ohne zweiten Faktor funktionieren: WLAN, Router, Social-Media-Konten mit gemeinsamem Login, Lieferantenportale, Hoster-Zugänge.
4. Zweite Faktoren prüfen. Lag ein Authenticator für ein gemeinsames Konto auf dem Diensthandy der Person, muss er auf ein anderes Gerät umgezogen werden, bevor das Handy zurückgesetzt wird.
5. Zugänge außerhalb des Managers: Alarmanlage, Schließsystem, Kassensystem.

Wer so oft wie möglich persönliche Konten statt gemeinsamer Logins verwendet, hat beim Austritt weniger zu ändern. Ein eigenes Konto pro Person beim Hoster oder in der Buchhaltung lässt sich sperren, ein geteiltes nur neu setzen.

Was nicht in den Tresor gehört#

Das Hauptpasswort und die Wiederherstellung des Managers selbst. Liegen sie im Tresor, sind sie genau dann weg, wenn man sie braucht. Sie gehören auf Papier an einen sicheren Ort.

Die Wiederherstellungscodes des Inhaber-Postfachs und des Admin-Kontos. Über diese beiden Konten lässt sich fast jedes andere zurücksetzen, auch der Passwort-Manager. Wer den Tresor verliert und die Codes nur dort hatte, kommt an nichts mehr heran. Eine Kopie auf Papier, neben dem Emergency Kit.

Der zweite Faktor für die wichtigsten Konten. Viele Manager können Einmalcodes erzeugen. Für das Online-Banking, das Postfach und den Domainzugang ist es klüger, den zweiten Faktor auf einem eigenen Gerät zu halten. Sonst schützen Passwort und Code dasselbe Schloss.

Persönliche Zugänge. Das private Online-Banking, private Social-Media-Konten und Gesundheitsportale gehören nicht in den Firmentresor, auch nicht in den persönlichen Bereich, den der Betrieb bezahlt.

Was nicht hilft#

Einen Passwort-Manager kaufen und die Tabelle behalten. Dann gibt es zwei Listen, und gepflegt wird die vertraute.

Ein einziges Konto für alle. Ein geteiltes Hauptpasswort ist die Excel-Liste mit Verschlüsselung. Kein Protokoll, keine Rechte, kein Austritt.

Regelmäßig alle Passwörter ändern lassen. NIST verbietet erzwungene Wechsel in festen Abständen ausdrücklich. Gewechselt wird bei Anlass: Austritt, Verdacht, Datenleck beim Anbieter.

Komplizierte Regeln für das Hauptpasswort. NIST untersagt Vorgaben zu Zeichenarten. Länge schützt, Sonderzeichen-Pflicht führt zu Firma2026!.

Prüfliste#

• Werkzeug gewählt nach Rechten je Bereich, Wiederherstellung und Serverregion, nicht nach Preis allein.
• Zweite Person mit Inhaber- oder Admin-Rechten angelegt.
• Hauptpasswort, Wiederherstellungscodes und gegebenenfalls Emergency Kit auf Papier außerhalb des Computers verwahrt.
• Bereiche nach Aufgaben, nicht nach Personen.
• Jede Person hat ein eigenes Konto mit zweitem Faktor.
• Browser-Passwörter importiert, CSV-Datei gelöscht, Speichern im Browser abgeschaltet, alte Einträge entfernt.
• Postfach, Microsoft-365- oder Google-Admin, Domain und Hoster, Bank mit neuen Passwörtern im Manager.
• Ablauf für den Austritt aufgeschrieben: welche Bereiche, welche Passwörter, welche zweiten Faktoren.
• Alte Passwort-Tabelle gelöscht.

Wie es weitergeht#

Ein Passwort-Manager verhindert, dass ein gestohlenes Passwort mehr als einen Zugang öffnet. Er verhindert nicht, dass jemand es auf einer nachgebauten Anmeldeseite eintippt. Dagegen hilft der zweite Faktor, und für die Website steht der Weg in WordPress-2FA einrichten. Wenn trotzdem ein Konto übernommen wurde, ist die Reihenfolge entscheidend: für das Firmenpostfach in Microsoft-365-Konto gehackt, für KI-Konten in ChatGPT-Konto gehackt. Und wenn mehr betroffen ist als ein Konto, beschreibt Cyberangriff: was tun? die ersten 24 Stunden im Betrieb. Wer gemeinsame Zugänge zum Bankkonto hat, sollte zusätzlich CEO-Fraud und BEC kennen, weil dort nicht das Passwort, sondern die Überweisung das Ziel ist.

Häufige Fragen#

Stand 25.10.2026. Preise, Tarife und Menüpfade am 25.10.2026 auf den verlinkten Seiten von Bitwarden, 1Password, KeePassXC, Proton, BSI und NIST abgelesen. Preise ohne Gewähr; Hersteller ändern Tarife und Menüs regelmäßig, vor dem Kauf auf der Herstellerseite abgleichen.