Passwort-Manager im Unternehmen: Schluss mit der Excel-Liste
Passwörter in Excel, im Browser, auf Zetteln: Alltag in vielen Betrieben. Ich zeige, wie ein Passwort-Manager im Team funktioniert, warum US-Abos wie LastPass kein gutes Zuhause für Ihre Zugänge sind und wie Vaultwarden den Tresor im eigenen Haus hält.
Wo liegen die Passwörter in Ihrem Betrieb? Ich kenne die Antwort, ich sehe sie ständig: in einer Excel-Datei namens »Zugänge_final_NEU.xlsx«, im Browser gespeichert, auf einem Zettel unter der Tastatur. Und für die Hälfte der Konten gilt ohnehin dasselbe Passwort.
Das ist kein Vorwurf. Kein Mensch merkt sich vierzig lange, unterschiedliche Passwörter. Also behilft sich jeder, so gut es geht. Nur: Angreifer kennen diese Behelfe besser als Sie.
Ein einziges geklautes Passwort reicht dann. Für E-Mail, Banking, Kundendaten. Für alles.
Die Lösung ist kein Hexenwerk, sondern seit Jahren erprobte Technik: ein Passwort-Manager für das ganze Team. Ich zeige Ihnen, wie das funktioniert und warum Ihre Passwörter dabei nicht in einer US-Cloud landen müssen.
Warum Excel-Liste und Browser-Speicher gefährlich sind
Die Excel-Liste fühlt sich organisiert an. Sie ist das Gegenteil. Die Datei liegt unverschlüsselt auf dem Server oder synchronisiert sich in irgendeine Cloud, sie wird kopiert, per Mail verschickt, auf dem Laptop mit nach Hause genommen. Der Excel-Blattschutz hält dabei niemanden auf. Wer die Datei hat, hat den Betrieb.
Der Browser-Speicher wirkt sicherer, ist aber ein Lieblingsziel von Schadsoftware. Sogenannte Infostealer (Programme, die nach einem falschen Klick unbemerkt im Hintergrund laufen) lesen gespeicherte Browser-Passwörter routinemäßig aus und schicken sie gesammelt an die Angreifer. Ein Anhang, ein Klick, und alle Zugänge sind unterwegs.
Und der Klassiker im Team: das Passwort im Gruppen-Chat. Einmal gepostet, steht es für immer in jedem Verlauf, auf jedem Handy, auch bei denen, die längst nicht mehr im Betrieb sind.
So arbeitet ein Team mit einem Passwort-Manager
Das Prinzip ist simpel. Alle Zugänge liegen in einem verschlüsselten Tresor, einer Datenbank, die ohne das Master-Passwort nur Datensalat ist. Sie merken sich genau ein starkes Passwort. Den Rest erzeugt der Manager: lang, zufällig, für jedes Konto ein anderes. Auch das BSI, die IT-Sicherheitsbehörde des Bundes, empfiehlt genau dieses Vorgehen.
Im Team kommen drei Funktionen dazu, die den Unterschied machen:
- Gemeinsame Tresore: Die Buchhaltung sieht die Banking-Zugänge, der Azubi nicht. Rechte werden pro Sammlung vergeben statt nach dem Prinzip »alle sehen alles«.
- Saubere Freigaben: Ein Zugang wird geteilt, nicht das Passwort verschickt. Ändert es sich, haben alle automatisch die aktuelle Version.
- Offboarding ohne Rätselraten: Verlässt jemand den Betrieb, deaktivieren Sie sein Konto und sehen auf einen Blick, welche Passwörter die Person kannte und jetzt erneuert werden müssen.
Ein Nebeneffekt, den viele unterschätzen: Die Browser-Erweiterung füllt Zugangsdaten nur auf der echten Website aus. Auf einer Phishing-Kopie mit gefälschter Adresse bleibt das Feld leer. Der eingebaute Betrugsverdacht kommt gratis dazu.
LastPass lässt grüßen: das Problem mit US-Abos
»Dann nehmen wir halt so ein Abo, das machen doch alle.« Verständlicher Gedanke. Nur sammeln Cloud-Anbieter die Tresore von Millionen Kunden an einem Ort, und genau das macht sie zum lohnendsten Ziel überhaupt.
LastPass, lange einer der größten Anbieter, musste 2022 einräumen, dass Angreifer Backups von Kundentresoren erbeutet hatten. Die Tresore waren verschlüsselt, ja. Aber verschlüsselt heißt nicht wertlos: Wer ein schwaches Master-Passwort gewählt hatte, dessen Tresor lässt sich seitdem in aller Ruhe offline knacken.
Dazu kommt das übliche Abo-Muster: Preise steigen, Funktionen wandern in teurere Tarife, und Ihre sensibelsten Daten liegen bei einem Konzern, der US-Recht unterliegt. Das Abo können Sie kündigen. Die Kopien Ihrer Daten, die einmal unterwegs waren, kündigen Sie nicht.
Vaultwarden: der Tresor bleibt im Haus
Meine Empfehlung für die meisten Betriebe heißt Vaultwarden. Das ist ein schlanker Open-Source-Server, der mit den Apps und Browser-Erweiterungen von Bitwarden funktioniert, einem der etabliertesten Passwort-Manager überhaupt. Der Unterschied: Vaultwarden läuft auf Ihrem eigenen Server, im Büro oder in einem deutschen Rechenzentrum. Wie so ein eigener Server praktisch entsteht, zeige ich Schritt für Schritt beim Selbst-Hosting mit Docker.
Ihre Passwörter verlassen damit nie das eigene Haus. Keine Nutzergebühren, kein Konzern dazwischen, kein Abo, das nächstes Jahr teurer wird. Vaultwarden gehört für mich in dieselbe Werkzeugkiste wie die anderen Open-Source-Tools fürs Büro: einmal sauber eingerichtet, jahrelang Ruhe.
Ehrlich bleibt die Entscheidung trotzdem, deshalb die Tabelle:
| Vaultwarden (selbst gehostet) | Bitwarden-Cloud | Klassische US-Abos | |
|---|---|---|---|
| Datenstandort | Ihr Server, im Büro oder in Deutschland | Cloud des Anbieters, EU-Standort wählbar | US-Cloud des Anbieters |
| Laufende Kosten | keine Lizenzgebühren, nur Server und Pflege | pro Nutzer und Monat, moderat | pro Nutzer und Monat, mit Hang zur Preiserhöhung |
| Wartung | Ihre Sache oder meine | übernimmt der Anbieter | übernimmt der Anbieter |
| Kontrolle über die Daten | vollständig bei Ihnen | eingeschränkt | minimal |
| Passt für | Betriebe, die Datenhoheit wollen | Teams ohne eigenen Server | Bequemlichkeit, bezahlt mit Kontrollverlust |
Sie sehen: Ich rede Ihnen die Bitwarden-Cloud nicht schlecht. Bitwarden ist Open Source und wird regelmäßig extern geprüft. Wer keinen Server betreiben will, fährt damit deutlich besser als mit jeder Excel-Liste. Aber wer die Wahl hat, holt den Tresor nach Hause.
Die unbequeme Wahrheit: Master-Passwort weg heißt Daten weg
Ein guter Passwort-Manager ist so gebaut, dass nicht einmal der Betreiber Ihre Passwörter lesen kann. Zero Knowledge nennt sich das: Der Server kennt nur den verschlüsselten Datensalat. Die Kehrseite: Es gibt keinen »Passwort vergessen«-Link. Wer das Master-Passwort verliert, verliert den Tresor. Das ist kein Konstruktionsfehler, sondern der Sinn der Sache.
Deshalb gehören zwei Dinge von Anfang an dazu. Erstens: Das Master-Passwort wird als Notfallkopie auf Papier hinterlegt, im echten Safe oder im Bankschließfach, nicht in einer Datei namens »Master.txt«. Zweitens: Der Server braucht ein regelmäßiges, getestetes Backup. Ein Tresor ohne Sicherungskopie ist nur die elegantere Version des einen Zettels, den im Ernstfall keiner wiederfindet.
Wo Sie sich den Server sparen können
Sie arbeiten allein, haben nur eine Handvoll Zugänge und teilen kein einziges Passwort mit anderen? Dann sparen Sie sich den Server. Ein lokales Programm wie KeePassXC, im Kern eine verschlüsselte Datei auf dem eigenen Rechner, kostet nichts und erfüllt denselben Zweck. Und wer bereits zufrieden in der Bitwarden-Cloud arbeitet, muss nicht aus Prinzip umziehen.
Die Grenze ist klar: Sobald die zweite Person denselben Zugang braucht, beginnt die Zettelwirtschaft. Ab da lohnt sich das Team-System.
In sieben Schritten zur sauberen Passwort-Verwaltung
- Bestandsaufnahme: alle Zugänge sammeln, auch die aus Köpfen, Zetteln und alten Mails.
- System wählen: selbst gehostet oder Cloud, siehe Tabelle oben.
- Master-Passwörter festlegen: Eine lange Passphrase aus mehreren zufälligen Wörtern schlägt jedes »Sommer2024«-Muster.
- Die wichtigsten Konten zuerst umziehen: E-Mail-Postfächer, Banking, Steuerportal. Dabei jedes Passwort gleich durch ein frisch generiertes ersetzen.
- Team-Tresore anlegen und Rechte vergeben: Wer braucht was wirklich?
- Backup einrichten und die Notfallkopie des Master-Passworts in den Safe legen.
- Die alte Excel-Liste löschen. Auch aus dem Papierkorb, auch die Kopien auf dem Laptop.
Sie wollen wissen, welcher Passwort-Manager wirklich zu Ihrem Team passt? Dann schauen wir uns Ihre Zugänge zusammen an: wie viele Konten im Umlauf sind, wer welche Freigabe braucht, ob sich ein eigener Vaultwarden-Server lohnt oder KeePassXC genügt. Am Ende steht eine Empfehlung, die zu Ihrem Betrieb passt. Nicht die, an der ich am meisten verdiene. Ein erstes Gespräch dazu ist kostenlos und findet online statt, sodass Ihr Standort keine Rolle spielt, ob Kiel oder Konstanz. Und wer danach loslegen will, bekommt den Tresor von der Person eingerichtet, die eben noch zugehört hat: von mir.
Für die Einführung im Betrieb – mit sauberen Rechten und einem Plan für den Ernstfall – ist das Thema bei Netzwerk & Sicherheit zu Hause.
