Passwörter gehören zu den wichtigsten Zugangsdaten eines Unternehmens.

E-Mail-Konten, Microsoft 365, Online-Banking, Webhosting, Social Media, Lieferantenportale, Server, Firewalls und zahlreiche Cloudanwendungen benötigen eigene Zugangsdaten.

Gerade in kleinen Unternehmen entsteht dabei schnell ein Problem:

Passwörter werden in Excel-Listen gespeichert, per E-Mail verschickt, auf Notizzetteln notiert oder von mehreren Mitarbeitern gemeinsam verwendet.

Das ist nicht nur unübersichtlich, sondern kann auch ein erhebliches Sicherheitsrisiko darstellen.

Ein professioneller Passwort-Manager für kleine Unternehmen soll genau dieses Problem lösen.

Doch lohnt sich ein Passwort-Manager bereits bei drei, fünf oder zehn Mitarbeitern? Welche Vorteile bietet er gegenüber dem Browser? Was passiert, wenn ein Mitarbeiter das Unternehmen verlässt? Und wie sicher sind die gespeicherten Passwörter überhaupt?

In diesem Ratgeber zeigen wir, wann sich ein Passwort-Manager für kleine Unternehmen lohnt und worauf bei der Auswahl geachtet werden sollte.

Was ist ein Passwort-Manager?

Ein Passwort-Manager speichert Zugangsdaten verschlüsselt in einem digitalen Tresor.

Statt sich zahlreiche Passwörter merken zu müssen, benötigt der Benutzer im Idealfall nur noch seinen Zugang zum Passwort-Manager.

Darin können beispielsweise gespeichert werden:

• Benutzernamen
• Passwörter
• Passkeys
• sichere Notizen
• Zugangsdaten zu Webseiten
• Serverzugänge
• WLAN-Zugangsdaten
• Lizenzinformationen
• Kreditkarteninformationen
• andere sensible Informationen

Viele Passwort-Manager können Zugangsdaten zusätzlich automatisch in Webseiten und Anwendungen einfügen.

Dadurch müssen Mitarbeiter Passwörter nicht mehr regelmäßig kopieren oder selbst eingeben.

Warum brauchen Unternehmen überhaupt einen Passwort-Manager?

Das eigentliche Problem ist nicht die Anzahl der Passwörter.

Das Problem besteht darin, wie Menschen mit vielen Passwörtern umgehen.

Wenn ein Mitarbeiter für 30 verschiedene Dienste Zugangsdaten benötigt, entstehen häufig typische Verhaltensweisen:

• dasselbe Passwort wird mehrfach verwendet,
• einfache Passwörter werden gewählt,
• Passwörter werden nur leicht verändert,
• Zugangsdaten werden aufgeschrieben,
• Passwörter werden per E-Mail oder Messenger geteilt.

Ein Passwort-Manager reduziert diesen Druck.

Für jeden Dienst kann ein zufälliges und einzigartiges Passwort generiert werden.

Der Mitarbeiter muss sich dieses Passwort nicht merken.

Beispiel ohne Passwort-Manager

Ein kleines Unternehmen verwendet:

• Microsoft 365
• Online-Banking
• Webhosting
• WordPress
• Social Media
• CRM
• Warenwirtschaft
• Cloudspeicher
• Router
• Firewall
• NAS
• Telefonanlage

Mehrere Mitarbeiter benötigen teilweise Zugriff auf dieselben Systeme.

Ohne zentrale Lösung entsteht vielleicht eine Datei:

Passwörter.xlsx

Darin stehen:

Dienst	Benutzer	Passwort
WordPress	admin	…
Facebook	[email protected]	…
Router	admin	…
Hosting	firma	…

Diese Datei wird anschließend möglicherweise:

• auf dem Fileserver gespeichert,
• per E-Mail weitergeschickt,
• lokal auf einem Notebook kopiert.

Das ist weder übersichtlich noch besonders sicher.

Wie funktioniert ein Passwort-Manager im Unternehmen?

Ein Business-Passwort-Manager unterscheidet zwischen persönlichen und gemeinsam genutzten Zugangsdaten.

Ein Mitarbeiter besitzt beispielsweise einen persönlichen Tresor.

Darin befinden sich Zugänge, die ausschließlich dieser Person gehören.

Zusätzlich gibt es zentrale Unternehmensbereiche.

Beispielsweise:

Geschäftsführung

→ Bank
→ Versicherungen
→ Steuerportal

IT

→ Firewall
→ Server
→ NAS
→ Hosting

Marketing

→ Facebook
→ Instagram
→ WordPress

Buchhaltung

→ Lieferantenportale
→ Abrechnungssysteme

Mitarbeiter erhalten nur Zugriff auf die Zugangsdaten, die sie tatsächlich benötigen.

Dadurch müssen Passwörter nicht mehr unkontrolliert verteilt werden.

Was sind gemeinsame Passwort-Sammlungen?

Viele Business-Passwort-Manager arbeiten mit Gruppen, Ordnern oder Sammlungen.

Damit lassen sich Zugangsdaten bestimmten Mitarbeitern oder Abteilungen zuweisen.

Beispielsweise:

Sammlung Marketing

Zugriff:

• Mitarbeiter A
• Mitarbeiter B

Enthalten:

• Facebook
• Instagram
• LinkedIn
• WordPress

Die Geschäftsführung kann zusätzlich Zugriff erhalten.

Ein Mitarbeiter aus der Buchhaltung muss diese Passwörter dagegen nicht sehen.

So entsteht ein echtes Berechtigungskonzept.

Lohnt sich ein Passwort-Manager bei nur 2 oder 3 Mitarbeitern?

Ja, das kann bereits sinnvoll sein.

Die Mitarbeiterzahl allein ist nicht entscheidend.

Schon zwei Personen können zahlreiche gemeinsam genutzte Unternehmenszugänge besitzen.

Beispielsweise:

Geschäftsführer
+
Assistenz

Beide benötigen Zugriff auf:

• Hosting
• Social Media
• Lieferanten
• Versicherungen
• Telefonanlage
• Cloudsysteme

Die Alternative wäre häufig, Passwörter untereinander per E-Mail oder Messenger zu verschicken.

Ein Passwort-Manager schafft bereits hier eine zentrale und kontrollierte Ablage.

Passwort-Manager für 5 Mitarbeiter

Bei fünf Mitarbeitern steigt der Nutzen deutlich.

Beispielsweise:

Geschäftsführung

Vertrieb

Buchhaltung

Marketing

Technik

Nicht jeder Mitarbeiter benötigt Zugriff auf alle Systeme.

Mit einem Passwort-Manager können Berechtigungen strukturiert vergeben werden.

Ein Mitarbeiter bekommt beispielsweise Zugriff auf:

• CRM
• Microsoft 365
• Lieferantenportal

aber nicht auf:

• Online-Banking
• Firewall
• Hosting
• andere administrative Systeme.

Das Prinzip lautet:

Nur Zugriff auf das, was für die Arbeit tatsächlich benötigt wird.

Passwort-Manager für 10 bis 20 Mitarbeiter

Spätestens bei zehn oder mehr Mitarbeitern wird eine zentrale Passwortverwaltung besonders interessant.

Mit zunehmender Unternehmensgröße entstehen:

• mehr Benutzer,
• mehr Cloudanwendungen,
• mehr gemeinsame Zugänge,
• mehr Mitarbeiterwechsel,
• mehr Berechtigungen.

Dann reicht eine einfache Passwortliste kaum noch aus.

Ein Business-Passwort-Manager ermöglicht dagegen eine zentrale Verwaltung.

Was passiert, wenn ein Mitarbeiter das Unternehmen verlässt?

Das ist einer der wichtigsten Vorteile einer Unternehmenslösung.

Ohne Passwort-Manager stellt sich beim Austritt häufig die Frage:

Welche Passwörter kannte dieser Mitarbeiter eigentlich?

Möglicherweise hatte er Zugriff auf:

• Social Media
• Hosting
• Lieferanten
• Website
• Router
• andere gemeinsame Systeme.

Dann müssten theoretisch alle bekannten Passwörter geändert werden.

Mit einem zentral verwalteten Passwort-Manager kann der Benutzer aus der Organisation entfernt werden.

Damit verliert er den Zugriff auf die dort freigegebenen Unternehmenszugänge.

Das ersetzt zwar nicht die Prüfung kritischer Systeme und bestehender Sitzungen, vereinfacht den Offboarding-Prozess aber erheblich.

Was passiert bei einem neuen Mitarbeiter?

Auch das Onboarding wird einfacher.

Ein neuer Mitarbeiter wird der entsprechenden Gruppe zugewiesen.

Beispielsweise:

Gruppe Vertrieb

Dadurch erhält er automatisch Zugriff auf die für den Vertrieb vorgesehenen Zugangsdaten.

Er muss nicht zunächst bei mehreren Kollegen nach Passwörtern fragen.

Warum sollte jeder Dienst ein eigenes Passwort haben?

Wird dasselbe Passwort für mehrere Dienste verwendet, entsteht ein großes Risiko.

Angenommen, ein Mitarbeiter verwendet für:

• Webshop
• Social Media
• E-Mail

dasselbe Passwort.

Wird das Passwort bei einem dieser Dienste kompromittiert, kann ein Angreifer versuchen, dieselben Zugangsdaten auch bei anderen Diensten zu verwenden.

Das wird häufig als Credential Stuffing bezeichnet.

Mit einem Passwort-Manager kann für jeden Dienst ein zufälliges, einzigartiges Passwort verwendet werden.

Beispielsweise:

uH7!mR4#xP2...

Der Benutzer muss es sich nicht merken.

Wie lang sollte ein Passwort sein?

Es gibt nicht die eine perfekte Passwortlänge für jeden Einsatzzweck.

Grundsätzlich gilt jedoch:

Längere, zufällige und einzigartige Passwörter sind wesentlich wichtiger als komplizierte Merksätze mit wiederkehrendem Muster.

Ein Passwort-Manager kann beispielsweise automatisch lange Zufallspasswörter erzeugen.

Dadurch entfällt das typische Problem:

Firma2025!

wird im nächsten Jahr zu:

Firma2026!

Ein solches vorhersehbares Muster bietet wenig zusätzlichen Schutz.

Passwort-Manager oder Browser-Passwörter?

Moderne Browser können ebenfalls Passwörter speichern.

Für einen einzelnen privaten Benutzer kann das bereits komfortabel sein.

In Unternehmen fehlen jedoch häufig wichtige zentrale Verwaltungsfunktionen.

Ein Business-Passwort-Manager kann beispielsweise bieten:

• zentrale Benutzerverwaltung
• Gruppen
• gemeinsame Tresore
• Berechtigungen
• Audit-Protokolle
• Sicherheitsberichte
• zentrale Richtlinien
• Benutzer-Onboarding
• Benutzer-Offboarding

Dadurch wird nicht nur das Passwort gespeichert.

Es entsteht eine organisierte Zugangsdatenverwaltung für das gesamte Unternehmen.

Passwort-Manager oder Excel-Datei?

Eine Excel-Datei ist kein geeigneter Ersatz für einen professionellen Passwort-Manager.

Selbst wenn die Datei mit einem Passwort geschützt wird, bleiben weitere Probleme bestehen.

Beispielsweise:

Wer besitzt eine Kopie?

Welche Version ist aktuell?

Wer hat welches Passwort gesehen?

Wie entziehe ich einem Mitarbeiter den Zugriff?

Wie teile ich nur einzelne Zugangsdaten?

Wie werden neue Passwörter synchronisiert?

Ein Passwort-Manager löst genau diese organisatorischen Probleme.

Passwort-Manager oder Word-Dokument?

Das gleiche gilt für Word-Dokumente.

Eine Liste mit Passwörtern ist keine professionelle Benutzer- und Rechteverwaltung.

Das Problem ist nicht nur die Verschlüsselung.

Entscheidend sind auch:

• Zugriffssteuerung
• Nachvollziehbarkeit
• zentrale Verwaltung
• Änderungen
• Mitarbeiterwechsel

Passwörter per E-Mail verschicken?

Passwörter sollten möglichst nicht dauerhaft über normale E-Mails verteilt werden.

Eine E-Mail kann:

• in mehreren Postfächern liegen,
• archiviert werden,
• weitergeleitet werden,
• auf mehreren Geräten synchronisiert werden.

Selbst wenn das Passwort später geändert wird, bleibt die ursprüngliche Nachricht möglicherweise jahrelang gespeichert.

Ein Passwort-Manager ermöglicht wesentlich gezielteres Teilen.

Wie sicher ist ein Passwort-Manager?

Ein seriöser Passwort-Manager verschlüsselt die gespeicherten Zugangsdaten.

Entscheidend ist jedoch immer die konkrete Architektur des jeweiligen Anbieters.

Wichtige Kriterien sind beispielsweise:

• starke Verschlüsselung
• Zero-Knowledge-Konzept
• Multi-Faktor-Authentifizierung
• Sicherheitsprüfungen
• transparente Dokumentation
• regelmäßige Updates
• sichere Clients
• Administrationsmöglichkeiten

Auch ein Passwort-Manager ist kein magischer Schutzschild.

Wenn ein Mitarbeiter sein Master-Passwort auf einer Phishing-Seite eingibt und keine zusätzliche Absicherung vorhanden ist, können weiterhin Risiken entstehen.

Deshalb sollte ein Passwort-Manager Teil eines größeren Sicherheitskonzepts sein.

Was bedeutet Zero Knowledge?

Bei einem Zero-Knowledge-System werden die Tresordaten so verschlüsselt, dass der Anbieter die eigentlichen Inhalte nicht einfach lesen können soll.

Die Entschlüsselung erfolgt auf Basis der Zugangsdaten beziehungsweise Schlüssel des Benutzers.

Das ist besonders relevant, weil in einem Passwort-Manager hochsensible Informationen gespeichert werden.

Master-Passwort – ist dann nicht alles nur mit einem Passwort geschützt?

Diese Frage ist berechtigt.

Statt 100 Passwörter zu kennen, konzentriert sich die Sicherheit stärker auf den Zugang zum Passwort-Manager.

Deshalb sollte das Master-Passwort besonders sicher sein.

Zusätzlich sollte Multi-Faktor-Authentifizierung eingesetzt werden.

Dadurch reicht das Passwort allein nicht mehr aus.

MFA beim Passwort-Manager

Der Passwort-Manager selbst gehört zu den wichtigsten Konten im Unternehmen.

Deshalb sollte er besonders geschützt werden.

Eine Anmeldung kann beispielsweise bestehen aus:

Master-Passwort

zweitem Faktor

Mögliche zweite Faktoren sind unter anderem:

• Authenticator-App
• Hardware-Sicherheitsschlüssel
• andere geeignete MFA-Verfahren

Gerade Administratoren sollten besonders streng abgesichert werden.

Passkeys und Passwort-Manager

Passkeys werden zunehmend als Alternative zu klassischen Passwörtern eingesetzt.

Dabei basiert die Anmeldung auf kryptografischen Schlüsseln statt auf einem vom Benutzer eingegebenen Passwort.

Moderne Passwort-Manager können teilweise auch Passkeys speichern und zwischen Geräten bereitstellen.

Ein Passwort-Manager verliert deshalb durch Passkeys nicht automatisch seine Bedeutung.

Im Gegenteil:

Er entwickelt sich zunehmend von einem reinen Passwortspeicher zu einer zentralen Verwaltung für digitale Zugangsdaten.

Gemeinsame Benutzerkonten vermeiden

Wenn möglich, sollte jeder Mitarbeiter ein eigenes Benutzerkonto besitzen.

Beispielsweise bei Microsoft 365:

Nicht:

[email protected]

mit einem Passwort für fünf Mitarbeiter.

Sondern:

• [email protected]
• [email protected]
• [email protected]

Gemeinsame Funktionspostfächer können anschließend entsprechend freigegeben werden.

Ein Passwort-Manager sollte nicht dazu verwendet werden, schlechte Benutzerstrukturen unnötig dauerhaft zu erhalten.

Gemeinsame Zugangsdaten sind vor allem dort relevant, wo eine Anwendung keine individuellen Benutzer unterstützt.

Was ist Bitwarden?

Bitwarden ist ein Passwort-Manager für Privatpersonen und Unternehmen.

Für Unternehmen stehen zentrale Organisationsfunktionen zur Verfügung.

Dazu gehören je nach Tarif unter anderem:

• gemeinsame Sammlungen
• Benutzerverwaltung
• Gruppen
• Ereignisprotokolle
• Sicherheitsberichte
• Verzeichnissynchronisation
• SCIM
• Richtlinien
• SSO
• Kontowiederherstellung
• rollenbasierte Berechtigungen
• Self-Hosting

Damit lässt sich Bitwarden auch in kleinen und mittelständischen Unternehmen zentral verwalten.

Bitwarden Teams oder Enterprise?

Bitwarden bietet für Unternehmen derzeit insbesondere die Tarife Teams und Enterprise an.

Bitwarden Teams

Teams richtet sich an Unternehmen, die eine zentrale Passwortverwaltung und sicheres Teilen benötigen.

Dazu gehören unter anderem:

• unbegrenzt viele Benutzer
• gemeinsame Sammlungen
• Ereignisprotokolle
• Gruppen
• Verzeichnissynchronisation
• SCIM
• Premium-Funktionen für Benutzer

Für viele kleine Unternehmen kann Teams bereits ausreichend sein.

Bitwarden Enterprise

Enterprise ergänzt zusätzliche Verwaltungs- und Sicherheitsfunktionen.

Dazu gehören beispielsweise:

• Unternehmensrichtlinien
• erweiterte rollenbasierte Zugriffssteuerung
• SSO
• Kontowiederherstellung
• zusätzliche Verwaltungsmöglichkeiten
• Self-Hosting

Enterprise ist deshalb nicht nur für Unternehmen mit hunderten Mitarbeitern interessant.

Auch ein kleines Unternehmen kann Enterprise benötigen, wenn genau diese Funktionen gewünscht sind.

Was kostet Bitwarden für Unternehmen?

Bitwarden listet aktuell für den Passwort-Manager folgende Preise bei jährlicher Abrechnung:

Teams: 4 US-Dollar pro Benutzer und Monat

Enterprise: 6 US-Dollar pro Benutzer und Monat

jeweils zuzüglich gegebenenfalls anfallender Steuern.

Die Preise können sich ändern und sollten vor Bestellung beim Hersteller beziehungsweise Dienstleister geprüft werden.

Bei fünf Mitarbeitern entspräche das auf Basis dieser Listenpreise beispielsweise:

Teams:
5 × 4 US-Dollar
= 20 US-Dollar pro Monat

Enterprise:
5 × 6 US-Dollar
= 30 US-Dollar pro Monat

Im Vergleich zu den möglichen Auswirkungen eines kompromittierten administrativen oder geschäftskritischen Zugangs sind die reinen Lizenzkosten damit häufig überschaubar.

Ist Bitwarden Open Source?

Bitwarden stellt wesentliche Bestandteile seiner Plattform als Open Source zur Verfügung.

Dadurch kann der Quellcode öffentlich eingesehen und geprüft werden.

Open Source bedeutet allerdings nicht automatisch:

sicher

und Closed Source bedeutet nicht automatisch:

unsicher.

Für die Beurteilung sollten zusätzlich Architektur, Verschlüsselung, Sicherheitsprozesse und Audits betrachtet werden.

Bitwarden Cloud oder selbst hosten?

Bitwarden Enterprise bietet auch die Möglichkeit zum Self-Hosting.

Dabei wird die Serverplattform in der eigenen Infrastruktur betrieben.

Beispielsweise:

eigener Server

oder

eigenes Rechenzentrum

Das kann für Unternehmen interessant sein, die besonders hohe Anforderungen an die Kontrolle über die Plattform haben.

Allerdings entsteht dadurch zusätzlicher Aufwand.

Der Betreiber ist dann unter anderem selbst verantwortlich für:

• Server
• Updates
• Backup
• Monitoring
• Verfügbarkeit
• Zertifikate
• Sicherheit

Self-Hosting ist deshalb nicht automatisch sicherer.

Ein schlecht gewarteter eigener Server kann ein größeres Risiko darstellen als eine professionell betriebene Cloudplattform.

Cloud oder Self-Hosting – was ist besser?

Für viele kleine Unternehmen ist die Cloudvariante einfacher.

Vorteile:

• weniger eigener Betriebsaufwand
• keine eigene Serverinfrastruktur erforderlich
• Updates werden zentral bereitgestellt
• einfacher Einstieg

Self-Hosting kann sinnvoll sein, wenn:

• eigene Infrastruktur vorhanden ist,
• entsprechende Administratoren verfügbar sind,
• besondere Compliance-Anforderungen bestehen,
• die Plattform bewusst selbst betrieben werden soll.

Die Entscheidung sollte anhand des tatsächlichen Sicherheits- und Betriebskonzepts getroffen werden.

Was passiert, wenn ein Mitarbeiter sein Master-Passwort vergisst?

Das hängt vom eingesetzten Passwort-Manager und Tarif ab.

Bei Bitwarden Enterprise stehen beispielsweise Funktionen zur administrativen Kontowiederherstellung zur Verfügung.

Dadurch kann ein definierter Administrator den Wiederherstellungsprozess für ein Benutzerkonto durchführen.

Gerade in Unternehmen ist das relevant.

Ein Mitarbeiter sollte nicht dauerhaft sämtliche geschäftlichen Zugänge verlieren, nur weil er sein persönliches Master-Passwort vergessen hat.

Kann der Administrator alle Passwörter der Mitarbeiter sehen?

Hier muss zwischen persönlichen und organisatorischen Daten unterschieden werden.

Ein sauber aufgebauter Passwort-Manager trennt persönliche Tresore von Unternehmenssammlungen.

Unternehmenszugänge werden zentral verwaltet und freigegeben.

Persönliche Zugangsdaten sollten nicht automatisch für Administratoren sichtbar sein.

Das Berechtigungskonzept sollte vor Einführung klar definiert werden.

Sollten private Passwörter im Firmen-Passwort-Manager gespeichert werden?

Idealerweise sollten private und geschäftliche Zugangsdaten klar getrennt werden.

Ein Mitarbeiter sollte beispielsweise nicht sein privates:

• Online-Banking
• Amazon-Konto
• privates E-Mail-Konto

im Unternehmensbereich speichern.

Unternehmenszugänge gehören dem Unternehmen.

Private Zugänge gehören dem Mitarbeiter.

Diese Trennung erleichtert insbesondere den späteren Mitarbeiterwechsel.

Wer sollte Administrator des Passwort-Managers sein?

Es sollten nicht unnötig viele Administratoren existieren.

Sinnvoll ist häufig:

• mindestens zwei verantwortliche Personen,
• klar getrennte persönliche Administratoraccounts,
• MFA,
• dokumentierte Notfallprozesse.

Nur einen einzigen Administrator zu besitzen kann ebenfalls problematisch sein.

Ist diese Person nicht verfügbar, muss die Organisation weiterhin administrierbar bleiben.

Sollte der Chef alle Passwörter kennen?

Nicht unbedingt.

Eine zentrale Passwortverwaltung bedeutet gerade nicht, dass der Geschäftsführer jedes Passwort persönlich kennen muss.

Entscheidend ist:

Das Unternehmen muss die Kontrolle über geschäftliche Zugangsdaten behalten.

Der Zugriff kann über Rollen, Gruppen und Sammlungen geregelt werden.

Passwort-Manager und Datenschutz

In einem Passwort-Manager können personenbezogene und geschäftlich sensible Daten gespeichert werden.

Bei Auswahl und Betrieb sollten deshalb unter anderem berücksichtigt werden:

• Standort und Verarbeitung der Daten
• Auftragsverarbeitung
• technische und organisatorische Maßnahmen
• Zugriffskontrolle
• Berechtigungen
• Löschkonzepte
• Sicherheitsmaßnahmen

Welche konkreten datenschutzrechtlichen Anforderungen bestehen, hängt von Einsatz und Anbieter ab.

Passwort-Manager und Cyberversicherung

Cyberversicherungen können bestimmte Sicherheitsmaßnahmen voraussetzen oder bei der Risikobewertung berücksichtigen.

Dazu können je nach Versicherer beispielsweise gehören:

• MFA
• Backup
• Patchmanagement
• Endpoint Security
• sichere Passwortverwaltung

Die konkreten Anforderungen unterscheiden sich jedoch erheblich.

Unternehmen sollten deshalb die Bedingungen ihres Versicherers prüfen.

Welche Passwörter gehören in einen Unternehmens-Passwort-Manager?

Typische Beispiele sind:

IT

• Firewall
• Switches
• WLAN
• Server
• NAS
• Backup
• Hosting
• Domainverwaltung

Marketing

• Social Media
• WordPress
• Newsletter
• Werbeplattformen

Buchhaltung

• Lieferanten
• Portale
• Abrechnungssysteme

Geschäftsführung

• Versicherungen
• Dienstleister
• zentrale Unternehmensportale

Wichtig ist, nicht einfach wahllos alle Daten in eine einzige Sammlung zu legen.

Sinnvolle Sammlungsstruktur

Ein kleines Unternehmen könnte beispielsweise folgende Struktur verwenden:

01 Geschäftsführung

02 Buchhaltung

03 Vertrieb

04 Marketing

05 IT

06 Allgemeine Unternehmenszugänge

Danach werden die Benutzer beziehungsweise Gruppen jeweils den passenden Sammlungen zugewiesen.

Das bleibt auch bei wachsender Mitarbeiterzahl übersichtlich.

Passwort-Manager richtig einführen

Die technische Einrichtung ist nur ein Teil des Projekts.

Eine sinnvolle Einführung könnte folgendermaßen aussehen:

Schritt 1: Bestehende Zugangsdaten erfassen

Wo liegen Passwörter aktuell?

• Browser
• Excel
• Notizzettel
• E-Mail
• Word
• persönliche Passwort-Manager

Schritt 2: Benutzer und Gruppen definieren

Wer benötigt Zugriff auf welche Systeme?

Schritt 3: Passwort-Manager einrichten

Organisation, Benutzer, Gruppen und Sammlungen werden erstellt.

Schritt 4: Bestehende Passwörter übernehmen

Zugangsdaten werden strukturiert importiert beziehungsweise übertragen.

Schritt 5: Unsichere Passwörter ändern

Wiederverwendete oder schwache Passwörter werden durch sichere Zufallspasswörter ersetzt.

Schritt 6: MFA aktivieren

Besonders der Passwort-Manager selbst wird mit einem zusätzlichen Faktor geschützt.

Schritt 7: Mitarbeiter schulen

Jeder Mitarbeiter sollte wissen:

• wie Passwörter gespeichert werden,
• wie Zugangsdaten geteilt werden,
• was in den persönlichen Tresor gehört,
• was in Unternehmenssammlungen gehört.

Passwort-Manager ersetzt keine MFA

Ein Passwort-Manager verbessert die Passwortsicherheit erheblich.

Trotzdem sollte bei wichtigen Diensten zusätzlich MFA verwendet werden.

Das gilt besonders für:

• Microsoft 365
• Passwort-Manager
• VPN
• Banking
• administrative Cloudportale
• Serverzugänge

Passwort-Manager und MFA ergänzen sich.

Passwort-Manager ersetzt keine Benutzerverwaltung

Auch das ist wichtig.

Wenn eine Anwendung individuelle Benutzerkonten unterstützt, sollte jeder Mitarbeiter möglichst ein eigenes Konto erhalten.

Nicht:

ein Passwort für zehn Mitarbeiter

nur weil es über den Passwort-Manager komfortabel verteilt werden kann.

Der Passwort-Manager ist besonders für:

• persönliche Zugangsdaten
• gemeinsame Zugänge, die technisch nicht anders lösbar sind
• administrative Passwörter
• sichere Notizen

geeignet.

Welche Funktionen sollte ein Passwort-Manager für Unternehmen haben?

Bei der Auswahl würde ich mindestens auf folgende Punkte achten:

• getrennte Benutzerkonten
• gemeinsame Unternehmensbereiche
• Gruppen
• Berechtigungen
• MFA
• Passwortgenerator
• Browser-Erweiterungen
• Smartphone-App
• Sicherheitsberichte
• Administratorrollen
• Audit-Protokolle
• Export- und Backupmöglichkeiten
• Offboarding-Prozess

Bei größeren beziehungsweise stärker regulierten Unternehmen zusätzlich:

• SSO
• SCIM
• Verzeichnissynchronisation
• Richtlinien
• Self-Hosting
• erweiterte Rollen

Häufige Fehler bei der Einführung eines Passwort-Managers

Alle Passwörter in eine Sammlung legen

Dann besitzt weiterhin jeder Zugriff auf alles.

Nur einen Administrator anlegen

Bei Ausfall dieses Administrators entsteht ein unnötiges Risiko.

Keine MFA verwenden

Gerade der zentrale Passwort-Tresor sollte besonders geschützt sein.

Persönliche und geschäftliche Passwörter vermischen

Das führt spätestens beim Mitarbeiterwechsel zu Problemen.

Gemeinsame Benutzerkonten unnötig beibehalten

Wo individuelle Benutzer möglich sind, sollten sie auch verwendet werden.

Passwort-Manager einführen, aber Mitarbeiter nicht schulen

Dann landen Passwörter weiterhin in Browsern oder Excel-Dateien.

Was passiert, wenn der Passwort-Manager ausfällt?

Auch darüber sollte vor Einführung nachgedacht werden.

Viele Clients speichern verschlüsselte lokale Daten, sodass bereits synchronisierte Tresorinhalte je nach Anwendung teilweise weiterhin verfügbar sein können.

Trotzdem sollten Unternehmen ein Notfallkonzept besitzen.

Beispielsweise:

• mehrere Administratoren
• dokumentierte Wiederherstellung
• sichere Notfallzugänge
• Backup wichtiger Konfigurationen
• definierte Verantwortlichkeiten

Besonders kritische Break-Glass-Zugänge sollten bewusst geplant werden.

Was kostet es, keinen Passwort-Manager zu verwenden?

Das lässt sich kaum pauschal beziffern.

Ein einziges kompromittiertes Passwort kann aber beispielsweise Zugriff ermöglichen auf:

• Microsoft 365
• Unternehmenswebsite
• Firewall
• Server
• Online-Banking
• Kundendaten

Die direkten Kosten eines Passwort-Managers sind deshalb nur eine Seite der Betrachtung.

Die wichtigere Frage lautet:

Wie groß wäre der Schaden, wenn ein wichtiger Unternehmenszugang kompromittiert wird?

Lohnt sich ein Passwort-Manager für kleine Unternehmen?

In den meisten Unternehmen mit mehreren Mitarbeitern: ja.

Bereits wenige Mitarbeiter erzeugen gemeinsam schnell Dutzende oder hunderte Zugänge.

Ein professioneller Passwort-Manager hilft dabei:

• Passwörter eindeutig zu machen,
• Zugangsdaten sicher zu teilen,
• Berechtigungen zu strukturieren,
• Mitarbeiter sauber aufzunehmen,
• Mitarbeiter sauber zu entfernen,
• gemeinsame Zugangsdaten zentral zu verwalten.

Besonders sinnvoll wird eine zentrale Lösung, sobald Passwörter heute bereits über:

• Excel
• Notizzettel
• E-Mail
• Messenger
• Browser

verteilt werden.

Dann besteht bereits ein organisatorisches Problem, das ein Passwort-Manager deutlich besser lösen kann.

Fazit: Passwort-Manager für kleine Unternehmen

Ein Passwort-Manager ist längst kein Werkzeug nur für große Konzerne.

Gerade kleine Unternehmen profitieren davon, weil dort häufig keine eigene IT-Abteilung existiert und Zugangsdaten historisch gewachsen verteilt wurden.

Schon bei drei bis fünf Mitarbeitern kann eine zentrale Passwortverwaltung sinnvoll sein.

Wichtig ist jedoch, nicht nur Software zu installieren.

Eine gute Lösung benötigt zusätzlich:

• sinnvolle Benutzerkonten
• Gruppen und Berechtigungen
• MFA
• sichere Master-Passwörter
• klare Unternehmenssammlungen
• Onboarding
• Offboarding
• Mitarbeiterschulung

Richtig eingerichtet wird der Passwort-Manager damit zu einem zentralen Bestandteil der IT-Sicherheit.

Passwort-Manager für Ihr Unternehmen einführen

Sie möchten Passwörter nicht länger über Excel-Dateien, E-Mails oder Notizzettel verwalten?

Unetifi unterstützt kleine und mittelständische Unternehmen bei der Einführung und Verwaltung von Bitwarden als professionellem Passwort-Manager.

Dazu können unter anderem gehören:

• Auswahl des passenden Bitwarden-Tarifs
• Einrichtung der Organisation
• Benutzer und Gruppen
• Passwort-Sammlungen
• Berechtigungskonzept
• MFA
• Import bestehender Zugangsdaten
• Teams- oder Enterprise-Einrichtung
• Benutzer-Onboarding
• Benutzer-Offboarding
• Self-Hosting
• laufende Administration und Support

So wird nicht nur ein Passwort-Manager bereitgestellt, sondern eine strukturierte Zugangsdatenverwaltung für das gesamte Unternehmen aufgebaut.

Häufig gestellte Fragen zu Passwort-Managern für kleine Unternehmen

Lohnt sich ein Passwort-Manager für kleine Unternehmen?

Ja. Bereits bei wenigen Mitarbeitern entstehen häufig zahlreiche persönliche und gemeinsam genutzte Zugangsdaten. Ein Passwort-Manager erleichtert die sichere Verwaltung, Freigabe und spätere Entziehung dieser Zugriffe.

Ab wie vielen Mitarbeitern lohnt sich ein Passwort-Manager?

Es gibt keine feste Mindestzahl. Selbst bei zwei oder drei Mitarbeitern kann er sinnvoll sein, sobald mehrere gemeinsame Unternehmenszugänge vorhanden sind.

Sind Passwort-Manager sicher?

Seriöse Passwort-Manager verwenden starke Verschlüsselung und weitere Sicherheitsmechanismen. Die Sicherheit hängt jedoch auch von einem starken Master-Passwort, MFA, aktueller Software und korrekter Administration ab.

Was ist besser – Passwort-Manager oder Browser?

Browser können Passwörter komfortabel speichern. Für Unternehmen bietet ein Business-Passwort-Manager jedoch zusätzliche Funktionen wie Benutzerverwaltung, Gruppen, gemeinsame Sammlungen, Berechtigungen und Audit-Protokolle.

Ist eine Excel-Passwortliste sicher?

Eine Excel-Datei ist für die zentrale Passwortverwaltung eines Unternehmens normalerweise ungeeignet. Besonders Berechtigungen, Benutzerwechsel, kontrollierte Freigaben und Nachvollziehbarkeit lassen sich damit nur schlecht abbilden.

Können mehrere Mitarbeiter dasselbe Passwort verwenden?

Technisch ist das möglich und manchmal aufgrund einer Anwendung notwendig. Wenn individuelle Benutzerkonten möglich sind, sollten diese allerdings bevorzugt werden. Gemeinsame Zugangsdaten können bei Bedarf kontrolliert über einen Passwort-Manager verteilt werden.

Ist Bitwarden für kleine Unternehmen geeignet?

Ja. Bitwarden bietet mit Teams und Enterprise Geschäftstarife für Unternehmen unterschiedlicher Größe. Teams umfasst bereits zentrale Freigabe- und Verwaltungsfunktionen; Enterprise ergänzt unter anderem zusätzliche Richtlinien, SSO, Kontowiederherstellung und Self-Hosting.

Was kostet Bitwarden für Unternehmen?

Bitwarden listet aktuell Teams mit 4 US-Dollar pro Benutzer und Monat und Enterprise mit 6 US-Dollar pro Benutzer und Monat bei jährlicher Abrechnung. Steuern sind dabei nicht enthalten. Preise können sich ändern.

Kann Bitwarden selbst gehostet werden?

Ja. Die Self-Hosting-Option gehört aktuell zum Enterprise-Tarif. Dabei muss das Unternehmen beziehungsweise der betreuende Dienstleister Betrieb, Updates, Backup und Absicherung der Serverinfrastruktur selbst gewährleisten.

Was passiert, wenn ein Mitarbeiter das Unternehmen verlässt?

Der Benutzer kann aus der Organisation beziehungsweise seinen Gruppen entfernt werden und verliert damit den Zugriff auf die entsprechenden Unternehmenssammlungen. Kritische externe Systeme und aktive Sitzungen sollten beim Offboarding zusätzlich geprüft werden.

Sollte der Passwort-Manager mit MFA geschützt werden?

Ja. Gerade weil der Passwort-Manager besonders sensible Zugangsdaten enthält, sollte der Account zusätzlich zum Master-Passwort mit einem geeigneten zweiten Faktor geschützt werden.