Passwort-Manager für Teams: Die sichersten Optionen

1Password Business kostet €7,99 pro Nutzer und Monat, Bitwarden Teams nur €3,90, die Differenz von 50 Prozent fällt schwer ins Gewicht, sobald ein Team über 10 Personen wächst, und die Sicherheitsarchitektur beider Lösungen ist auf Augenhöhe.

Passwort-Manager für Teams sind 2026 kein optionaler Komfort mehr, sondern operative Notwendigkeit. Phishing-Angriffe und Credential-Stuffing-Attacken zielen explizit auf Remote-Teams ohne zentrale IT-Hoheit. Die Wahl der Lösung entscheidet über Onboarding-Geschwindigkeit, Audit-Fähigkeit und das Risiko bei Mitarbeiterwechsel.

Warum Browser-Passwortspeicher für Teams nicht reicht

Chrome, Firefox und Safari haben eingebaute Passwortmanager, für Privatpersonen oft ausreichend. Im Team-Kontext fehlen aber drei kritische Funktionen: geteilte Tresore mit Rollenrechten, Audit-Logs für Compliance und Sicherheit beim Mitarbeiteraustritt. Wer per Browser-Sync arbeitet, riskiert dass ein scheidender Kollege Zugriff auf alle Firmen-Logins behält, bis jede einzelne Plattform manuell zurückgesetzt wird.

Dedizierte Team-Lösungen wie 1Password, Bitwarden oder Dashlane setzen auf Zero-Knowledge-Architektur. Das bedeutet: Der Anbieter kann selbst bei richterlicher Anordnung keine Passwörter herausgeben, weil die Entschlüsselung clientseitig mit einem Master-Schlüssel erfolgt, den niemand außerhalb deines Teams kennt. Bei Bitwarden lässt sich diese Architektur durch Self-Hosting sogar vollständig prüfbar machen.

Der dritte Aspekt ist Mehrfach-Authentifizierung (MFA). Browser-Speicher verlangen meist nur ein OS-Passwort. Echte Team-Manager erzwingen TOTP, FIDO2-Hardware-Schlüssel (YubiKey, Titan) oder Push-Authentifizierung. Bei Audits durch ISO 27001, SOC 2 oder DSGVO ist nachweisbare MFA-Pflicht eine zentrale Anforderung.

Bitwarden: Open Source und selbst hostbar

Bitwarden ist die einzige ernstzunehmende Open-Source-Lösung für Teams. Der Quellcode ist auf GitHub einsehbar, externe Audits durch Cure53 und Insight Risk Consulting sind veröffentlicht. Die Cloud-Version (US oder EU) startet bei €3,90 pro Nutzer und Monat im Teams-Plan, der Enterprise-Plan mit SSO über SAML/OIDC kostet €5,90.

Wer maximale Kontrolle will, betreibt Bitwarden selbst auf einem Docker-Server. Die selbstgehostete Variante (Vaultwarden als ressourcensparender Fork) läuft auf einer kleinen VPS ab €5/Monat und unterstützt unbegrenzte Nutzer. Updates erfolgen monatlich, der Funktionsumfang umfasst geteilte Collections, granulare Rollenrechte und Bitwarden Send für sichere Einmalfreigaben sensibler Daten.

Bitwarden punktet bei Entwicklerteams durch CLI-Integration, SSH-Key-Management und sichere Notes für Server-Credentials. Schwächen liegen im Onboarding für Nicht-Techniker, die UI ist funktional, aber weniger poliert als bei 1Password oder Dashlane. Für deutsche Teams besonders relevant: EU-Server-Option mit DSGVO-konformer Datenverarbeitung in Frankfurt. Backups erfolgen automatisch alle 6 Stunden, Wiederherstellungspunkte gehen bis 30 Tage zurück.

Die Bitwarden-CLI eignet sich für Automatisierung in CI/CD-Pipelines. GitHub Actions, GitLab Runner und Jenkins können Secrets dynamisch aus dem Bitwarden-Tresor ziehen, statt sie in Repository-Variablen abzulegen. Das reduziert die Angriffsfläche bei kompromittierten CI-Tokens erheblich und ist mit drei Zeilen YAML eingerichtet.

1Password: Premium-UX mit Travel Mode

1Password Business kostet €7,99 pro Nutzer im Jahresabo, mit jährlicher Vorauszahlung €6,99. Dafür bekommst du die wahrscheinlich beste User Experience am Markt: native Apps für macOS, Windows, iOS, Android, Linux, Browser-Extensions für alle gängigen Browser und eine durchdachte Watchtower-Funktion, die kompromittierte Passwörter, wiederverwendete Credentials und schwache Schlüssel automatisch flaggt.

Das Alleinstellungsmerkmal für Workation-Workers ist Travel Mode: Vor Grenzübertritten markierst du sensible Tresore als "nicht reisefähig", diese verschwinden physisch vom Gerät, bis Travel Mode wieder deaktiviert wird. Bei Geräte-Beschlagnahmung durch Zoll oder Grenzschutz existieren die Daten nachweisbar nicht auf dem Device.

1Password integriert nativ mit Okta, Azure AD und Google Workspace als Identity Provider. SCIM-Provisionierung legt neue Mitarbeiter automatisch an, der Offboarding-Workflow widerruft beim Austritt sämtliche Tresorzugriffe innerhalb von Sekunden. Für Teams ab 25 Personen ist die SSO-Integration nahezu Pflicht und in 1Password Business bereits enthalten.

Dashlane, Keeper, NordPass: Die Alternativen

Dashlane Team kostet €5 pro Nutzer und enthält neben Passwort-Management ein eigenes VPN (Hotspot Shield). Die Stärke liegt im Dark-Web-Monitoring: Dashlane scannt täglich Breach-Datenbanken und alarmiert proaktiv bei betroffenen Credentials. Schwäche ist die geringere Plattform-Tiefe, Linux-Support nur über Web-App, keine native CLI.

Keeper Business startet bei €3,75 pro Nutzer und bietet als Enterprise-Variante BreachWatch und Compliance-Reports. Stark im Audit-Reporting für regulierte Branchen, dafür weniger flexibel beim Teilen sensibler Notizen außerhalb des Teams. NordPass Business (vom NordVPN-Anbieter) liegt bei €3,29 pro Nutzer, die Plattform ist neuer und hat noch Lücken bei API und Integrations-Ökosystem.

Proton Pass Business ist die jüngste Option am Markt (Launch 2024). Bei €1,99 pro Nutzer extrem günstig, Server-Standort Schweiz, vollständige Open-Source-Strategie und Integration mit Proton Mail und Proton Drive. Wer das gesamte Proton-Ökosystem nutzt, bekommt hier ein durchdachtes Bundle, als alleinstehende Passwort-Lösung fehlen aber noch Features wie SSH-Agent-Integration oder Hardware-Key-Provisioning.

Direktvergleich der Top-5-Anbieter

Implementations-Checkliste für Teams

1. Master-Passwort-Policy festlegen (mindestens 16 Zeichen, kein Wiederverwenden, kein Familien-Bezug)
2. Hardware-MFA für Admin-Accounts erzwingen (YubiKey 5 NFC oder Titan Security Key)
3. Tresor-Struktur planen: Allgemein, Marketing, Engineering, Finanzen, keine Mischung
4. Recovery-Kit für jeden Nutzer auf Papier drucken und im Safe ablegen
5. Bestehende Browser-Passwörter exportieren und in den Manager importieren, danach Browser-Speicher leeren
6. Audit-Log-Retention auf mindestens 12 Monate konfigurieren (für DSGVO/ISO-Audits relevant)
7. Offboarding-Prozess dokumentieren: Account-Deaktivierung innerhalb von 24 Stunden nach Austritt
8. Phishing-Schulung im Onboarding (Erkennen gefälschter Login-Seiten, Browser-Extension-Autofill als Schutz)

Empfehlung am Ende: Bitwarden für Budget, 1Password für UX

Für budgetbewusste Teams unter 25 Personen ohne SSO-Anforderung ist Bitwarden Teams die klare Empfehlung. €3,90 pro Nutzer, Open Source, EU-Server-Option und genügend Funktionstiefe für Standard-Workflows. Wer technisch versiert ist und höchste Kontrolle will, hostet Vaultwarden auf einer eigenen VPS und sichert mit täglichen verschlüsselten Backups ab.

Für größere Teams oder Unternehmen mit hohem Compliance-Druck (ISO 27001, SOC 2) lohnt 1Password Business trotz des doppelten Preises. Die nahtlose SSO-Integration, das ausgereifte Audit-Reporting und Features wie Travel Mode rechtfertigen €7,99 pro Nutzer, gerechnet auf die eingesparte IT-Admin-Zeit beim Onboarding und Offboarding amortisiert sich die Investition schnell. Proton Pass Business ist 2026 die spannendste Newcomer-Option für Schweiz-affine Teams mit knappem Budget.