Ein Passwortmanager für Teams speichert alle Zugänge verschlüsselt an einem Ort und teilt sie gezielt mit Kollegen. Entscheidend bei der Auswahl sind vollständige Ende-zu-Ende-Verschlüsselung, feine Freigaberechte, ein Notfallzugang und ein sauberes Offboarding, nicht die Länge der Funktionsliste.
Gestohlene Zugangsdaten bleiben einer der häufigsten Einstiege für Angreifer. Ein Teamtresor ersetzt Excel-Listen, Zettel und per Chat verschickte Passwörter. Das BSI und die Verbraucherzentrale NRW haben Ende 2025 zehn Passwortmanager geprüft; bei mehreren könnte der Anbieter theoretisch auf die Daten zugreifen. Unten findest du den 5-Punkte-Team-Check für die Auswahl, eine Preisübersicht und einen Fahrplan für die Einführung.
Warum braucht ein Team einen Passwortmanager?
Weil geteilte Zugänge sonst in Tabellen, Notizen oder Chatverläufen landen. Ein Teamtresor sorgt dafür, dass jedes Konto ein eigenes starkes Passwort bekommt und nur die Personen Zugriff haben, die es wirklich brauchen. Wer das Team verlässt, verliert den Zugriff zentral.
Das Problem ist gut belegt. Im Data Breach Investigations Report 2025 von Verizon war der Missbrauch von Zugangsdaten bei 22 % aller untersuchten Datenpannen der erste Angriffsweg. Bei einfachen Angriffen auf Webanwendungen waren in 88 % der Fälle gestohlene Zugangsdaten im Spiel. Im mittleren Fall waren laut Report nur 49 % der Passwörter eines Nutzers über verschiedene Dienste hinweg einzigartig. Trotzdem setzen viele Menschen weiter auf unsichere Passwörter.
Für kleine Unternehmen kommt ein praktischer Punkt dazu: Shop-Backend, Hosting, Domain, Social-Media-Konten und Steuerportal hängen oft an einer einzigen Person. Fällt sie aus, steht der Betrieb. Wie der Passwortmanager in den gesamten Basisschutz passt, beschreibt der Leitfaden IT-Sicherheit für kleine Unternehmen: Die wichtigsten Schutzmaßnahmen.
Welche Funktionen braucht ein Passwortmanager für Teams?
Ein Teamprodukt unterscheidet sich vom Einzelplatz-Tool vor allem durch Verwaltung. Du brauchst geteilte Tresore mit Rollen, eine Admin-Konsole, Protokolle, einen Wiederherstellungsweg für vergessene Master-Passwörter und eine Möglichkeit, Konten beim Austritt sofort zu sperren. Alles andere ist Komfort.
Damit du Angebote vergleichbar prüfen kannst, hilft ein fester Raster. Ich nutze dafür den 5-Punkte-Team-Check:
| Prüfpunkt | Worauf du achtest | Warnsignal |
|---|---|---|
| 1. Verschlüsselung | Ver- und Entschlüsselung nur auf deinen Geräten, auch Benutzernamen und URLs verschlüsselt | Entschlüsselung auf dem Server, Anbieter kann Daten einsehen |
| 2. Rechte und Freigaben | Getrennte Tresore pro Bereich, Lese- und Schreibrechte, Gruppen | Nur „alles oder nichts“-Freigaben |
| 3. Notfall und Offboarding | Kontowiederherstellung durch Admins, Sperren mit einem Klick, Protokoll | Kein Weg zurück bei verlorenem Master-Passwort |
| 4. Datenstandort | EU-Region wählbar oder Self-Hosting, Auftragsverarbeitungsvertrag | Region später nicht mehr änderbar, ohne dass du es vorher weißt |
| 5. Datensparsamkeit | Nur nötige Nutzungsdaten, keine Weitergabe für Marketing | Auswertung gespeicherter Websites für Werbung |
Dazu kommen Basics: Apps für alle Betriebssysteme im Team, Browser-Erweiterungen mit Autofill, Zwei-Faktor-Schutz für den Tresor selbst und ein Export im offenen Format, damit du den Anbieter später wechseln kannst. Was hinter dem zweiten Faktor steckt, erklärt der Glossareintrag Zwei-Faktor-Authentifizierung: Bedeutung einfach erklärt.
Was hat die BSI-Prüfung von Passwortmanagern ergeben?
BSI und Verbraucherzentrale NRW haben im ersten Halbjahr 2025 zehn verbreitete Passwortmanager untersucht und die Ergebnisse im Dezember 2025 veröffentlicht. Bei drei Produkten könnte der Hersteller die Passwörter theoretisch einsehen, nur drei verschlüsseln den gesamten Inhalt, zwei waren nicht bewertbar.
Geprüft wurden unter anderem 1Password, KeePassXC, KeePass2Android sowie die eingebauten Manager von Chrome und Firefox. Ohne Bedenken bewertete das BSI laut Berichterstattung KeePassXC, KeePass2Android und Firefox, Letzteren mit gesetztem Hauptpasswort. Bei 1Password fand das BSI keine Designfehler; die Verbraucherzentrale kritisierte, dass sich der Anbieter die Auswertung von Daten für Marketing vorbehält. Von mSecure, PassSecurium, SecureSafe und dem darauf basierenden S-Trust riet das BSI ab.
Die Prüfung zeigt, wie wichtig ein Detail ist, das in Werbetexten selten auftaucht: Viele Manager verschlüsseln zwar die Passwörter, speichern aber Benutzernamen und Website-Adressen unverschlüsselt. Für ein Team ist das relevant, denn diese Liste verrät, welche Dienste, Banken und Admin-Oberflächen ihr nutzt. Frag beim Anbieter deshalb gezielt nach, welche Felder Ende-zu-Ende verschlüsselt sind, und lass dir die Antwort mit Verweis auf ein Sicherheits-Whitepaper geben.
Wichtig für die Einordnung: Die Untersuchung deckt nur zehn Produkte ab. Bekannte Teamlösungen wie Bitwarden waren nicht Teil der Stichprobe. Ein fehlender Eintrag ist also weder ein Gütesiegel noch ein Makel.
Cloud, Self-Hosting oder lokale Datei: Welches Modell passt?
Für die meisten kleinen Teams passt ein Cloud-Dienst mit EU-Region am besten. Self-Hosting lohnt sich nur, wenn jemand Server, Updates und Backups dauerhaft betreut. Lokale Datenbankdateien wie bei KeePassXC sind kostenlos und gut geprüft, bieten aber kaum zentrale Rechteverwaltung.
| Modell | Vorteile | Nachteile | Passt für |
|---|---|---|---|
| Cloud-Dienst | Sofort startklar, Sync auf allen Geräten, Admin-Konsole | Laufende Kosten pro Nutzer, Vertrauen in den Anbieter nötig | Teams ab zwei Personen ohne eigene IT |
| Self-Hosting | Daten auf eigenem Server, volle Kontrolle | Wartung, Updates und Backups liegen bei dir | Firmen mit IT-Dienstleister oder eigener Administration |
| Lokale Datei (z. B. KeePassXC) | Kostenlos, Open Source, vom BSI ohne Bedenken bewertet | Teilen nur über gemeinsame Dateien, kaum Rollen und Protokolle | Einzelpersonen und sehr kleine Teams |
Beim Datenstandort solltest du früh entscheiden. Sowohl Bitwarden als auch 1Password bieten neben den USA eine EU-Region an. Die Region legst du beim Anlegen des Kontos fest; ein direkter Umzug ist laut beiden Anbietern nicht vorgesehen, sondern nur über ein neues Konto und eine manuelle Migration. Auch Sicherheits-Suiten bringen eigene Lösungen mit, etwa den Bitdefender Passwortmanager. Prüfe bei solchen Paketen mit dem 5-Punkte-Team-Check, ob Rechteverwaltung und Offboarding für dein Team ausreichen.
Was kostet ein Passwortmanager für Teams?
Für kleine Teams liegen die Listenpreise großer Anbieter bei wenigen Euro pro Person und Monat. Bitwarden Teams kostet 4 US-Dollar pro Nutzer, 1Password bietet ein Starterpaket für bis zu zehn Personen zum Pauschalpreis, jeweils bei jährlicher Zahlung.
| Tarif | Preis (jährliche Zahlung) | Wichtige Unterschiede |
|---|---|---|
| Bitwarden Teams | 4 US-$ pro Nutzer und Monat | Teilen, Directory Connector; kein SSO, keine Richtlinien, kein Self-Hosting |
| Bitwarden Enterprise | 6 US-$ pro Nutzer und Monat | SSO, Richtlinien, SCIM, Self-Hosting, Families-Tarif für Mitarbeitende |
| 1Password Teams Starter Pack | 21,95 € pro Monat pauschal | Bis 10 Personen, erweiterbar auf 20; Rollen, Sicherheitswarnungen, 5 Gastkonten |
| 1Password Business | 8,99 US-$ pro Nutzer und Monat | Zusätzlich SSO-Anbindung, Watchtower, 20 Gastkonten |
| KeePassXC | kostenlos | Open Source, lokale Datei, keine zentrale Verwaltung |
Quellen: Preisseiten von Bitwarden und 1Password, abgerufen am 08.11.2026. Preise ohne Gewähr, Steuern können hinzukommen.
Ein Passwortmanager verarbeitet personenbezogene Daten deiner Beschäftigten. Bei Cloud-Diensten brauchst du in der Regel einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO, bei US-Anbietern zusätzlich eine Prüfung der Datenübermittlung. Kläre außerdem, ob private Konten im Firmentresor erlaubt sind. Diese Hinweise ersetzen keine Rechtsberatung; bei Unsicherheit hilft dein Datenschutzbeauftragter.
Wie führst du einen Passwortmanager im Team ein?
Am besten schrittweise: erst Struktur und Notfallzugang festlegen, dann mit einem kleinen Pilotteam starten und erst danach alle umziehen. Wer alle Passwörter an einem Tag importiert, landet schnell bei unübersichtlichen Tresoren und Mitarbeitenden, die doch wieder ihre alte Liste nutzen.
- Bestand aufnehmen: Liste die geteilten Konten auf, etwa Hosting, Domain, Shop, Social Media, Banking und Behördenportale. Kläre für jedes Konto, wer es braucht.
- Tresore schneiden: Lege Tresore nach Aufgaben an, etwa „Website“, „Buchhaltung“, „Marketing“. Persönliche Zugänge bleiben im privaten Bereich jeder Person.
- Notfallzugang regeln: Mindestens zwei Admins, Wiederherstellung testen, Notfallkit des Hauptkontos ausdrucken und sicher verwahren. Wie du Daten zusätzlich absicherst, steht im Beitrag Backup-Strategie für Selbstständige: Die 3-2-1-Regel umsetzen.
- Pilot und Schulung: Zwei bis drei Personen starten, Browser-Erweiterung installieren, alte Passwörter beim Umzug direkt durch neue ersetzen.
- Altlasten entfernen: Gespeicherte Passwörter im Browser und Excel-Listen löschen, sobald alles im Tresor liegt. Beim Austritt einer Person: Konto sperren, geteilte Passwörter ändern.
💬 Meine Einschätzung
Oft heißt es, ein Passwortmanager sei ein gefährlicher „Single Point of Failure“, weil alle Passwörter an einem Ort liegen. Das BSI sieht das anders: Trotz der gefundenen Schwächen bleibt seine Empfehlung, Passwortmanager zu nutzen. Das größere Risiko sind wiederverwendete Passwörter, wie die Verizon-Zahlen zeigen. Ich würde den Tresor deshalb nicht meiden, sondern ihn konsequent mit einem starken Master-Passwort und einem zweiten Faktor absichern.
Plane den Passwortmanager als Teil eines größeren Sicherheitschecks ein. Typische Lücken neben schwachen Passwörtern beschreibt der Beitrag IT-Sicherheit für KMU: 7 Schwachstellen beheben; mehr zu Angriffsmustern liest du unter Cyber-Bedrohungen erkennen und effektiv vorbeugen.
Welche Passwortregeln gelten heute noch?
Lange Passwörter schlagen komplizierte Regeln. Das US-Standardinstitut NIST verlangt seit August 2025 mindestens 15 Zeichen, wenn ein Passwort allein schützt, und verbietet Pflichtwechsel ohne Anlass. Auch das BSI rät seit 2020 von rein zeitgesteuerten Passwortwechseln ab.
Die NIST-Richtlinie SP 800-63B Revision 4 enthält weitere Punkte, die für Teams nützlich sind: Wird das Passwort zusammen mit einem zweiten Faktor genutzt, reichen acht Zeichen als Minimum. Vorgaben wie „mindestens ein Sonderzeichen“ sollen entfallen, stattdessen werden neue Passwörter gegen Listen bekannter und geleakter Passwörter geprüft. Systeme sollen Passwortmanager und Autofill zulassen. Das BSI formuliert im IT-Grundschutz-Baustein ORP.4, Systeme sollten nur mit einem validen Grund zum Passwortwechsel auffordern. Ein solcher Grund ist etwa ein Verdacht auf Phishing; woran du solche Mails erkennst, steht unter Phishing: Bedeutung einfach erklärt.
- Gestohlene Zugangsdaten waren laut Verizon DBIR 2025 bei 22 % der Datenpannen der erste Angriffsweg.
- Prüfe Angebote mit dem 5-Punkte-Team-Check: Verschlüsselung, Rechte, Notfall, Datenstandort, Datensparsamkeit.
- Das BSI riet im Dezember 2025 von vier der zehn geprüften Produkte ab.
- Teamtarife großer Anbieter kosten wenige Euro pro Person und Monat; die EU-Region wählst du beim Kontostart.
- Einführung schrittweise: Bestand, Tresore, Notfallzugang, Pilot, Altlasten löschen.
Häufige Fragen zu Passwortmanagern für Teams
Diese Fragen tauchen bei der Einführung in kleinen Unternehmen besonders häufig auf.
Reicht der Passwortmanager im Browser für ein Team?
Für eine Person mit gesetztem Hauptpasswort kann er reichen. Für Teams fehlen meist Rollen, geteilte Tresore und Protokolle. Zudem bewertete das BSI den Chrome-Manager kritisch, weil der Hersteller ohne eigene Passphrase theoretisch Zugriff hätte und Benutzernamen unverschlüsselt liegen.
Was passiert, wenn jemand das Master-Passwort vergisst?
Bei echter Ende-zu-Ende-Verschlüsselung kann der Anbieter es nicht zurücksetzen. Teamtarife bieten deshalb meist eine Wiederherstellung durch Admins. Teste diesen Weg vor dem Ernstfall und bewahre das Notfallkit des Admin-Kontos offline auf.
Sollen auch Zwei-Faktor-Codes im Passwortmanager liegen?
Das ist bequem, schwächt aber die Trennung der Faktoren. Für kritische Konten wie E-Mail, Banking und den Tresor selbst sind ein separater Authenticator oder ein Hardware-Schlüssel die robustere Wahl. Das BSI rät von SMS-Codes ab.
Wie oft sollten Teampasswörter geändert werden?
Nicht nach festem Kalender, sondern bei Anlass: wenn jemand das Team verlässt, ein Gerät verloren geht oder ein Dienst ein Datenleck meldet. So empfehlen es NIST und der IT-Grundschutz des BSI.
Quellen
Stand der Recherche: November 2026.
- Passwort-Manager auf dem Prüfstand · verbraucherzentrale.nrw · Gemeinsame Untersuchung von zehn Passwortmanagern mit dem BSI, Ergebnisse zu Verschlüsselung und Datenschutz (09.12.2025).
- BSI prüft Passwortmanager: Einige erlauben theoretisch Herstellerzugriff · heise.de · Einzelbewertungen der zehn Produkte und Empfehlungen des BSI (Dezember 2025).
- Behörde rügt unsichere Passwort-Manager · test.de · Zusammenfassung der BSI-Prüfung, Kritik an 1Password zur Marketingnutzung (06.01.2026).
- 2025 Data Breach Investigations Report · verizon.com · Anteil von Zugangsdaten-Missbrauch als Angriffsweg und Passwort-Wiederverwendung (2025), zitiert nach aembit.io.
- NIST SP 800-63B-4 Digital Identity Guidelines: Authentication · nist.gov · Mindestlänge, keine Pflichtwechsel, Zulassung von Passwortmanagern (August 2025).
- IT-Grundschutz-Kompendium, Baustein ORP.4 · bsi.bund.de · Anforderung ORP.4.A23 zu Passwortwechseln (Edition 2020).
- Bitwarden Pricing · bitwarden.com · Preise und Funktionen der Tarife Teams und Enterprise (abgerufen 08.11.2026).
- Server Geographies · bitwarden.com · Regionen USA und EU, keine direkte Migration (abgerufen 08.11.2026).
- 1Password Business-Preise · 1password.com · Teams Starter Pack, Business, Gastkonten (abgerufen 08.11.2026).
- Choose your region · support.1password.com · Regionen .com, .ca und .eu, Wahl bei der Kontoerstellung (abgerufen 08.11.2026).