Passwortmanager-Vergleich: 8 Lösungen für Unternehmen
Passwortmanager für Unternehmen im Vergleich: 8 Lösungen von Bitwarden bis Passbolt, nach Anwendungsfall einsortiert — mit Preisen und dem BSI-Befund.
- Ein Passwortmanager-Vergleich für Unternehmen entscheidet sich nicht am Funktionsumfang, sondern an vier Fragen: Wer darf was sehen, wie kommt ein Zugang im Notfall wieder heraus, wo liegen die Daten, und wer betreibt das Ganze.
- Das BSI hat im Dezember 2025 zehn Passwortmanager des Verbrauchermarkts untersucht. Bei drei der zehn Produkte war das Passwort so gespeichert, dass der Hersteller theoretisch darauf zugreifen konnte — die Behörde rät trotzdem ausdrücklich zur Nutzung, weil wiederverwendete Passwörter das größere Risiko sind.
- Drei der acht hier betrachteten Anbieter nennen auf ihrer Preisseite keinen festen Listenpreis: Bei Keeper, Dashlane und NordPass erscheint der Betrag erst nach Angabe der Nutzerzahl oder auf Anfrage (Stand 07.08.2026).
- Quelloffene Lösungen wie Bitwarden, Passbolt, KeePass und Vaultwarden kosten wenig bis nichts an Lizenz — sie verlagern die Kosten in den Eigenbetrieb. Das rechnet sich nur mit eigener Admin-Kapazität.
- Ein Passwortmanager löst die Ablage, nicht den Prozess. Wenn beim Austritt niemand den Tresor übergibt, liegt der Zugang danach genauso offen wie in der Excel-Liste vorher.
Wer einen Passwortmanager für Unternehmen sucht, findet in zehn Minuten fünfzehn Anbieter und in zwanzig Minuten keine Entscheidung mehr. Die Funktionslisten gleichen sich, die Testberichte widersprechen sich, und die Preise stehen oft gar nicht erst auf der Seite. Dieser Vergleich sortiert acht Lösungen nach Anwendungsfall ein — mit den Kriterien, nach denen sortiert wurde, und mit dem, was das BSI bei seiner eigenen Untersuchung gefunden hat.
Was ein Passwortmanager im Unternehmen leisten muss
Ein Passwortmanager für Unternehmen bedeutet: ein verschlüsselter Tresor, in dem Zugangsdaten nicht nur einer Person, sondern definierten Gruppen zugeordnet sind — mit nachvollziehbarem Zugriff und einem geregelten Weg, wie ein Zugang wieder herauskommt, wenn die zuständige Person nicht mehr da ist.
Der Unterschied zur privaten Variante liegt nicht in der Verschlüsselung, sondern in der Organisation. Privat genügt ein Tresor für eine Person. Im Unternehmen brauchen Sie geteilte Tresore je Team, ein Rechtemodell, eine Protokollierung und ein Verfahren für den Ernstfall. Wer diese vier Dinge nicht prüft, kauft eine schönere Excel-Liste.
Der BSI-Befund: zehn Produkte, drei mit theoretischem Herstellerzugriff
Im Dezember 2025 hat das BSI gemeinsam mit dem FZI Forschungszentrum Informatik zehn Passwortmanager auf ihre Sicherheitseigenschaften untersucht. Das Ergebnis steht in der Meldung „BSI identifiziert Verbesserungsbedarf bei Passwortmanagern”: Drei der zehn Produkte speicherten Passwörter so, dass der Hersteller theoretisch darauf zugreifen konnte. Die vollständige Analyse liegt als Bericht „IT-Sicherheit auf dem digitalen Verbrauchermarkt: Fokus Passwortmanager” vor.
Ein Hinweis zur Einordnung: Die Untersuchung betrachtet den digitalen Verbrauchermarkt, nicht speziell Unternehmensausgaben. Welche zehn Produkte geprüft wurden und welche drei betroffen waren, sortiert der Bericht selbst; die Auswahl deckt sich nur teilweise mit den hier verglichenen Business-Editionen. Übertragbar ist die Fragestellung, nicht das Einzelergebnis.
Bemerkenswert ist die Schlussfolgerung der Behörde. Sie rät trotz der Mängel ausdrücklich zur Nutzung: Passwortmanager seien ein essenzielles Sicherheitswerkzeug, und das Risiko wiederverwendeter oder schwacher Passwörter wiege deutlich schwerer als die gefundenen Umsetzungsfehler. Für die Auswahl heißt das: Fragen Sie den Anbieter, wo das Master-Geheimnis liegt und ob das Sicherheitskonzept öffentlich dokumentiert ist. Genau diese Offenlegung empfiehlt das BSI den Herstellern — Sicherheitskonzepte, Systemarchitektur und eingesetzte Kryptografie sollen öffentlich dokumentiert sein.
Für quelloffene Lösungen gibt es eine zweite, separate Prüfung: Im Projekt CAOS 3.0 hat das BSI 2024 den Quellcode von KeePass und Vaultwarden analysiert. Bei Vaultwarden fanden die Prüfer zwei Schwachstellen der Einstufung „hoch”, wie die Meldung „BSI untersucht Open Source Software KeePass und Vaultwarden” festhält — gemeldet über ein Responsible-Disclosure-Verfahren, und die Entwickler haben nach Angaben des BSI bereits reagiert. Quelloffen heißt eben nicht fehlerfrei, sondern überprüfbar; genau das hat hier funktioniert.
Die Kriterien, nach denen hier sortiert wurde
Damit der Vergleich nachvollziehbar bleibt, liegen die Maßstäbe offen. Es sind die fünf Punkte, an denen in der Praxis Projekte scheitern — nicht die Punkte, an denen Anbieter gern verglichen werden:
- Rechtemodell. Lassen sich Tresore je Team, Rolle und Einzelzugang trennen, oder sieht am Ende jeder alles?
- Notfall- und Administrationszugriff. Gibt es ein dokumentiertes Verfahren, um einen Account zu übernehmen, wenn die Person ausfällt oder kündigt?
- Datenstandort und Vertragslage. Wo liegen die Daten, gibt es einen Auftragsverarbeitungsvertrag, ist die Architektur so gebaut, dass der Anbieter selbst nicht hineinsehen kann?
- Anbindung an die Identität. Kommen neue Nutzer automatisch aus Entra ID oder dem Verzeichnisdienst, oder pflegt jemand zwei Listen parallel?
- Betriebsaufwand. Wer patcht, überwacht und sichert — und wer wird angerufen, wenn es um 8 Uhr nicht geht?
Der fünfte Punkt ist der, der am häufigsten unterschätzt wird. Eine lizenzkostenfreie Lösung ist nur dann günstig, wenn jemand da ist, der sie betreibt. Wer die Auswahl systematisch führen will, findet in der IT-Sicherheits-Checkliste für den Mittelstand und in unseren Checklisten zum Download die passenden Vorlagen.
Die acht Lösungen im Vergleich
Alle Preisangaben stammen von den Preisseiten der Anbieter, abgerufen am 07.08.2026. Sie sind Netto-Listenpreise und ändern sich; ein Angebot kann davon abweichen.
| Lösung | Listenpreis (Stand 07.08.2026) | Betrieb | Passt besonders, wenn … |
|---|---|---|---|
| Bitwarden | Teams 4 USD, Enterprise 6 USD / Nutzer / Monat, jährlich | Cloud oder selbst gehostet | Budget knapp ist und offener Quellcode gewünscht wird |
| 1Password | Business 8,99 USD / Nutzer / Monat, jährlich · Teams Starter Pack 24,95 USD / Monat für 10 Personen, jährlich | Cloud | Bedienbarkeit und SSO-Anbindung Priorität haben |
| Keeper | nicht statisch ausgewiesen, „pro Benutzer/Monat, jährliche Zahlweise” | Cloud | ein durchgestuftes Rollenmodell gebraucht wird |
| Dashlane | nicht statisch ausgewiesen, jährliche Abrechnung | Cloud | kompromittierte Zugangsdaten aktiv überwacht werden sollen |
| NordPass Business | dynamisch, Abrechnung in USD; Teams genau 10 Nutzer, Business/Enterprise ab 5 | Cloud | ein kleines Team mit fester Größe startet |
| heylogin | Business 3,99 € jährlich / 4,99 € monatlich, Enterprise auf Anfrage | Cloud | ein Euro-Listenpreis und europäische Positionierung zählen |
| Passbolt | Community kostenlos (AGPLv3) · Pro 4,50 € / Nutzer / Monat, jährlich, ab 10 Nutzern | selbst gehostet oder Cloud | selbst gehostet werden soll, aber mit Support-Option |
| KeePass / Vaultwarden | lizenzkostenfrei | ausschließlich selbst betrieben | eigene Admin-Kapazität vorhanden ist |
Drei der acht Anbieter nennen auf ihrer Preisseite keinen festen Betrag: Bei Keeper, Dashlane und NordPass wird er erst nach Auswahl der Nutzerzahl dynamisch nachgeladen oder auf Anfrage genannt. Bei heylogin und Passbolt steht der Einstiegspreis offen, nur die jeweils oberste Stufe läuft über ein Angebot. Das ist branchenüblich, macht den Vergleich aber teurer, als er sein müsste.
Preise gehören auf die Website. Wer sie versteckt, verkauft über das Gespräch — und der Kunde merkt das.
Jens HagelGründer & Geschäftsführer
Inhaltlich lassen sich die acht in drei Lager teilen. Bitwarden, Passbolt, KeePass und Vaultwarden sind quelloffen: geringe bis keine Lizenzkosten, dafür Verantwortung im eigenen Haus. 1Password, Keeper, Dashlane und NordPass sind klassische Cloud-Produkte mit ausgebauter Verwaltung und entsprechendem Preis. heylogin sitzt dazwischen — Cloud, aber mit Euro-Preis und europäischer Ausrichtung, was für Unternehmen mit strengen Datenschutzvorgaben ein Argument sein kann.
Prüfen Sie den Administrationszugriff vor dem Kauf, nicht beim ersten Austritt. Liegt ein betrieblicher Zugang nur im persönlichen Tresor der ausgeschiedenen Person, hilft weder Support noch Backup — das ist bei Zero-Knowledge-Architekturen kein Fehler, sondern Absicht.
Wo kjello steht — und wo nicht
Ehrlich vorweg: kjello ist kein Passwortmanager und tritt gegen keinen der acht an. kjello ist die IT-Abteilung als Service für den Mittelstand — ein Self-Service-Portal für On-/Offboarding, Geräte-Management und IT-Support, betrieben vom Hamburger Systemhaus hagel IT (seit 2004).
Zum Portal gehört ein verschlüsselter Tresor für freigegebene Zugänge, gehostet in Deutschland; interne Admin-Zugänge bleiben davon getrennt beim Technik-Team. Der Unterschied zu einem eigenständigen Produkt ist nicht der Funktionsumfang, sondern die Kopplung: Wer im Portal eintritt, bekommt seine Zugänge — wer austritt, verliert sie im selben Vorgang.
Genau das ist die Lücke, die ein reines Tool offen lässt. Ein Passwortmanager verwaltet die Ablage; ob beim Austritt tatsächlich jemand die Zugänge entzieht, entscheidet der Prozess drumherum. Wie oft der schiefgeht, zeigt der Blick auf verwaiste Konten im Unternehmen und auf ein sauberes Berechtigungsmanagement im Mittelstand.
Wenn jemand neu anfängt: Laptop da, E-Mail eingerichtet, Telefon läuft. Wenn jemand geht: Zugänge zu. Mehr wollen wir gar nicht.
Und die Grenze, damit niemand Zeit verliert: kjello ist auf Unternehmen mit 20 bis 250 Mitarbeitenden zugeschnitten. Konzerne mit eigener IT-Abteilung fahren mit einer dedizierten Enterprise-Lösung und eigenem Betriebsteam besser, reine Cloud-only-Startups oft mit Bitwarden oder 1Password und einer Nachmittagseinrichtung. Der Preis für kjello Core liegt bei 29 € pro Nutzer und Monat, optional 10 € für Antivirus und EDR, M365-Lizenzen kommen als Durchleitung dazu — nachzulesen auf der Preisseite. Darin ist der Betrieb enthalten, nicht nur das Werkzeug.
In vier Schritten zur Entscheidung
Der häufigste Fehler ist, mit dem Produktvergleich anzufangen. Fangen Sie mit dem Bestand an — dann ist die Auswahl in der Regel schon vorentschieden:
- Zugänge inventarisieren. Welche Systeme, welche Konten, wer nutzt sie heute. Erfahrungsgemäß tauchen dabei ein Drittel mehr Dienste auf als erwartet.
- Trennlinie ziehen. Was ist persönlich, was betrieblich, was administrativ? Betriebliche Zugänge gehören nie in einen privaten Tresor, administrative nie in einen Team-Tresor.
- Zwei Kandidaten testen, nicht sechs. Vier Wochen mit einer echten Abteilung, inklusive eines simulierten Austritts. Wer den Notfallzugriff nicht geprobt hat, hat ihn nicht.
- Prozess festschreiben. Wer legt Zugänge an, wer entzieht sie, wer prüft das nach. Ohne diesen Schritt ist die Software nur ein besserer Ordner.
Ein Nebeneffekt lohnt sich mitzunehmen: Die Inventur aus Schritt 1 ist zugleich die Grundlage für Single Sign-on und für den späteren Umstieg auf Passkeys — beides reduziert die Zahl der Passwörter, die überhaupt noch verwaltet werden müssen. Wo Ihr Grundschutz sonst noch Lücken hat, zeigt der IT-Sicherheits-Check in wenigen Minuten.
30 Minuten, kostenlos, ohne Vertriebsdruck — wir sagen auch, wenn ein Tool allein reicht.
Gespräch vereinbarenFazit: Das Werkzeug ist die kleinere Hälfte
Acht Lösungen, drei Lager, eine Erkenntnis: Die Auswahl des Produkts ist die einfachere Aufgabe. Bitwarden und Passbolt sind stark, wenn Budget und Kontrolle zählen und jemand den Betrieb übernimmt. 1Password und Keeper sind stark, wenn Bedienbarkeit und ausgebaute Verwaltung wichtiger sind als der Preis. heylogin ist stark, wenn Euro-Preis und europäische Ausrichtung zählen. KeePass und Vaultwarden sind stark, wenn eigene Admin-Kapazität vorhanden ist.
Die schwierigere Hälfte ist das, was danach kommt: dass Zugänge beim Eintritt entstehen, beim Rollenwechsel wandern und beim Austritt verschwinden — verlässlich, ohne dass jemand daran denken muss. Wer diesen Teil nicht mitplant, hat in einem Jahr denselben Wildwuchs wie vorher, nur in einer schöneren Oberfläche. Wie sich das im Austrittsfall sauber dokumentieren lässt, steht in der Offboarding-Checkliste nach DSGVO; wie Zugriffe und Nachweise im Portal zusammenlaufen, zeigt die Seite zu Sicherheit und Compliance und das Self-Service-Portal.
Geschrieben von
Jens Hagel
Gründer & Geschäftsführer
Jens Hagel gründete 2004 das Systemhaus hinter kjello und betreut mit seinem Team über 150 mittelständische Unternehmen. Er schreibt über das, was er in echten Firmen erlebt – praxisnah, ehrlich und ohne Fachchinesisch.
Häufige Fragen
Welcher Passwortmanager ist der beste für Unternehmen?
Was kostet ein Passwortmanager für Unternehmen?
Sind Cloud-Passwortmanager DSGVO-konform?
Lohnt sich ein selbst gehosteter Passwortmanager?
Was passiert mit den Passwörtern, wenn jemand das Unternehmen verlässt?
Ersetzen Passkeys den Passwortmanager?
Zugänge zentral verwalten statt einzeln nachpflegen
kjello bringt Passwörter, Konten und Geräte in ein Portal — mit deutschem Hosting und einem Prozess, der beim Austritt greift.
