Bitwarden einrichten – Anleitung für Unternehmen

Bitwarden ist ein Passwort-Manager, mit dem Unternehmen Zugangsdaten zentral speichern, verwalten und kontrolliert mit Mitarbeitern teilen können.

Die eigentliche Installation beziehungsweise Registrierung ist schnell erledigt.

Die wichtigere Frage lautet jedoch:

Wie richtet man Bitwarden in einem Unternehmen richtig ein?

Denn eine professionelle Bitwarden-Umgebung besteht nicht einfach aus einem gemeinsamen Tresor für alle Mitarbeiter.

Stattdessen sollten von Anfang an:

• Benutzer
• Organisation
• Gruppen
• Sammlungen
• Berechtigungen
• Administratorrollen
• MFA
• Passwortregeln
• Onboarding
• Offboarding

strukturiert geplant werden.

Bei größeren Unternehmen können zusätzlich:

• SSO
• SCIM
• Directory Sync
• Self-Hosting

hinzukommen.

In dieser Anleitung zeigen wir Schritt für Schritt, wie sich Bitwarden für Unternehmen einrichten lässt und welche Best Practices sich für kleine und mittelständische Unternehmen empfehlen.

Was ist Bitwarden?

Bitwarden ist ein Passwort-Manager für private Benutzer und Unternehmen.

Zugangsdaten werden in einem verschlüsselten Tresor gespeichert.

Darin können unter anderem abgelegt werden:

• Benutzernamen
• Passwörter
• Passkeys
• sichere Notizen
• Identitäten
• Kreditkarteninformationen
• weitere sensible Zugangsinformationen

Für Unternehmen ist insbesondere die sogenannte Organisation wichtig.

Eine Bitwarden Organisation verbindet Benutzer mit zentral verwalteten Unternehmenszugängen und ermöglicht deren kontrollierte Freigabe.

Bitwarden stellt dafür eine eigene Admin-Konsole zur Verfügung, über die Administratoren unter anderem Mitglieder, Sammlungen und Organisationseinstellungen verwalten können.

Persönlicher Tresor und Organisation unterscheiden

Eines der wichtigsten Bitwarden-Konzepte ist die Trennung zwischen:

persönlichen Zugangsdaten

und:

Unternehmenszugangsdaten

Jeder Benutzer besitzt zunächst einen persönlichen Bitwarden-Tresor.

Darin können persönliche Einträge gespeichert werden.

Zusätzlich kann der Benutzer Mitglied einer Unternehmensorganisation sein.

In dieser Organisation befinden sich die Zugangsdaten, die dem Unternehmen gehören.

Beispielsweise:

Persönlicher Tresor

• persönliches Benutzerkonto
• individuelle Arbeitszugänge

Unternehmensorganisation

• Firewall
• Website
• Social Media
• Lieferantenportal
• Telefonanlage
• NAS
• gemeinsame Administratorzugänge

Diese Trennung sollte bei der Einführung von Anfang an berücksichtigt werden.

Wem gehören Zugangsdaten in einer Bitwarden Organisation?

Ein wichtiger Unterschied:

Einträge, die einer Bitwarden Organisation zugeordnet werden, gehören organisatorisch nicht mehr einem einzelnen Mitarbeiter, sondern der Organisation.

Sie werden anschließend über sogenannte Sammlungen an Benutzer beziehungsweise Gruppen freigegeben.

Gerade für Unternehmen ist das wichtig.

Ein Mitarbeiter sollte beim Ausscheiden nicht der einzige Besitzer eines geschäftskritischen Passworts sein.

Bitwarden Teams oder Enterprise?

Für Unternehmen bietet Bitwarden aktuell insbesondere die Tarife:

Teams

und

Enterprise

an.

Bitwarden listet derzeit bei jährlicher Abrechnung:

Teams: 4 US-Dollar pro Benutzer und Monat

Enterprise: 6 US-Dollar pro Benutzer und Monat.

Bitwarden positioniert Teams für kleinere beziehungsweise wachsende Unternehmen und Enterprise für Unternehmen mit umfangreicheren Kontroll- und Integrationsanforderungen.

Wann reicht Bitwarden Teams?

Teams eignet sich beispielsweise für Unternehmen, die hauptsächlich benötigen:

• gemeinsame Unternehmenszugänge
• Sammlungen
• Benutzergruppen
• Ereignisprotokolle
• zentrale Benutzerverwaltung
• Directory Connector
• sichere Passwortfreigabe

Für viele kleine Unternehmen kann das bereits ausreichend sein.

Wann ist Bitwarden Enterprise sinnvoll?

Enterprise wird besonders interessant bei Anforderungen wie:

• Enterprise-Richtlinien
• Single Sign-On
• SCIM
• administrative Kontowiederherstellung
• erweiterte Rollen
• Self-Hosting

Enterprise-Richtlinien stehen laut Bitwarden speziell für Enterprise-Organisationen zur Verfügung. Auch SSO wird für Enterprise-Organisationen bereitgestellt.

Bitwarden für Unternehmen einrichten – Schritt für Schritt

Schritt 1: Bestehende Passwörter analysieren

Bevor Bitwarden eingerichtet wird, sollte zunächst geprüft werden:

Wo liegen Unternehmenspasswörter aktuell?

Typische Orte sind:

• Browser
• Excel-Dateien
• Word-Dokumente
• Notizzettel
• E-Mails
• persönliche Passwort-Manager
• Smartphones
• Dokumentationen

Noch sollten diese Daten nicht einfach unstrukturiert importiert werden.

Zunächst muss geklärt werden:

• Welche Zugänge gehören dem Unternehmen?
• Welche sind persönlich?
• Welche werden gemeinsam verwendet?
• Welche sind veraltet?
• Welche Benutzer benötigen Zugriff?

Schritt 2: Unternehmensstruktur planen

Vor dem Anlegen von Sammlungen sollte festgelegt werden, wie Zugangsdaten gegliedert werden sollen.

Eine mögliche Struktur für ein kleines Unternehmen:

Geschäftsführung

Buchhaltung

Vertrieb

Marketing

IT

Allgemein

Die tatsächliche Struktur sollte zur Organisation passen.

Ein kleines Unternehmen mit fünf Mitarbeitern benötigt keine unnötig komplexe Rechtearchitektur.

Ein Unternehmen mit 100 Mitarbeitern sollte dagegen nicht nur eine einzige Sammlung:

Alle Passwörter

verwenden.

Schritt 3: Bitwarden Administratoraccount erstellen

Zunächst wird ein persönlicher Bitwarden-Account für einen verantwortlichen Administrator erstellt.

Dieser sollte eine geschäftliche persönliche E-Mail-Adresse verwenden.

Beispielsweise besser:

[email protected]

als:

[email protected]

Warum?

Administratoren sollten eindeutig Personen zugeordnet werden können.

Gemeinsam verwendete Administratoraccounts erschweren:

• Nachvollziehbarkeit
• MFA
• Offboarding
• Auditierung

Schritt 4: Starkes Master-Passwort festlegen

Das Master-Passwort schützt den Zugang zum Bitwarden-Tresor.

Es sollte deshalb:

• lang
• einzigartig
• nicht anderweitig verwendet

sein.

Ein Beispiel für eine schlechte Wahl wäre:

Firma2026!

Besser eignet sich beispielsweise eine lange zufällige Passphrase.

Das Master-Passwort sollte niemals:

• per E-Mail verschickt
• in Excel gespeichert
• auf einem öffentlichen Notizzettel aufbewahrt

werden.

Schritt 5: MFA für Administratoren aktivieren

Bei Administratoraccounts sollte anschließend direkt Multi-Faktor-Authentifizierung aktiviert werden.

Geeignete Methoden können beispielsweise sein:

• Authenticator-App
• FIDO2/WebAuthn-Sicherheitsschlüssel
• Duo
• andere von Bitwarden unterstützte Verfahren

Der Bitwarden-Tresor enthält möglicherweise Zugriff auf:

• Domainverwaltung
• Microsoft 365
• Firewall
• Backup
• Server
• Banking

Der Zugang sollte deshalb besonders geschützt werden.

Schritt 6: Bitwarden Organisation erstellen

Nach Erstellung des Benutzeraccounts wird eine Organisation angelegt.

Dazu wird in der Bitwarden Web-App eine neue Organisation erstellt.

Dabei werden unter anderem:

• Organisationsname
• Rechnungsadresse beziehungsweise Rechnungs-E-Mail
• gewünschter Tarif

festgelegt.

Nach der Erstellung steht die Admin-Konsole zur Verfügung.

Sie ist die zentrale Verwaltung für:

• Benutzer
• Gruppen
• Sammlungen
• Einstellungen
• Berichte
• Richtlinien

Bitwarden beschreibt die Admin-Konsole ausdrücklich als zentrale Oberfläche zur Verwaltung einer Organisation.

Schritt 7: Zweiten Administrator anlegen

Eine Unternehmensorganisation sollte möglichst nicht nur einen einzigen verantwortlichen Administrator besitzen.

Ein mögliches Konzept:

Owner 1

Geschäftsführer oder IT-Verantwortlicher

Owner 2

zweiter verantwortlicher Administrator

Damit besteht ein zusätzlicher Notfallzugang, falls eine Person:

• krank
• nicht erreichbar
• ausgeschieden

ist.

Allerdings sollten auch nicht unnötig viele Benutzer Owner-Rechte besitzen.

Owner, Admin oder Benutzer?

Nicht jeder Mitarbeiter sollte Administrator sein.

Die Rechte sollten nach dem Prinzip:

so viel wie nötig, so wenig wie möglich

vergeben werden.

Typische Rollen:

Owner

Höchste Organisationsrechte.

Nur sehr wenige Personen.

Administrator

Für administrative Aufgaben innerhalb der Organisation.

Benutzer

Normaler Mitarbeiter.

Er erhält nur Zugriff auf die für ihn vorgesehenen Sammlungen.

Je nach Enterprise-Konfiguration können zusätzliche beziehungsweise benutzerdefinierte Rollen eingesetzt werden.

Schritt 8: Sammlungen erstellen

Sammlungen sind eines der wichtigsten Konzepte von Bitwarden.

Eine Sammlung fasst Unternehmenszugänge logisch zusammen.

Beispielsweise:

Sammlung IT

• Firewall
• NAS
• Server
• Proxmox
• Switches
• WLAN

Sammlung Marketing

• Facebook
• Instagram
• LinkedIn
• WordPress

Sammlung Buchhaltung

• Lieferantenportale
• Abrechnungssysteme
• Zahlungsdienste

Sammlung Geschäftsführung

• Versicherungen
• Unternehmensportale
• geschäftskritische Zugänge

Bitwarden beschreibt Sammlungen als logische Gruppierung von organisationsbezogenen Tresoreinträgen. Unternehmenszugänge müssen dabei mindestens einer Sammlung zugewiesen sein.

Ordner und Sammlungen nicht verwechseln

Bitwarden besitzt sowohl:

Ordner

als auch:

Sammlungen

Diese erfüllen unterschiedliche Zwecke.

Ordner

organisieren hauptsächlich Einträge im persönlichen Tresor eines Benutzers.

Sammlungen

organisieren Unternehmenszugänge und steuern deren Freigabe.

Für ein Unternehmen sind deshalb Sammlungen das wichtigste Werkzeug für die zentrale Berechtigungsstruktur.

Schritt 9: Gruppen erstellen

Ab mehreren Mitarbeitern sollten Berechtigungen möglichst nicht einzeln pro Benutzer verwaltet werden.

Stattdessen werden Gruppen angelegt.

Beispielsweise:

Gruppe Geschäftsführung

Gruppe Marketing

Gruppe Vertrieb

Gruppe Buchhaltung

Gruppe IT

Anschließend wird beispielsweise:

Gruppe Marketing

der:

Sammlung Marketing

zugewiesen.

Alle Mitglieder der Gruppe erhalten damit die entsprechenden Berechtigungen.

Bitwarden empfiehlt solche Gruppenstrukturen ausdrücklich für skalierbare Berechtigungsvergabe. Gruppen können beispielsweise nach Abteilungen, Funktion oder Standort aufgebaut werden.

Gruppen oder einzelne Benutzer?

Bei einem Unternehmen mit drei Mitarbeitern kann die direkte Zuweisung noch übersichtlich sein.

Bei 20 Mitarbeitern wird das schnell schwierig.

Beispiel:

Ohne Gruppen:

20 Mitarbeiter müssen einzeln verschiedenen Sammlungen zugewiesen werden.

Mit Gruppen:

Mitarbeiter wird einmal:

Marketing

zugeordnet.

Damit erhält er automatisch Zugriff auf alle für Marketing vorgesehenen Sammlungen.

Das erleichtert:

• Onboarding
• Abteilungswechsel
• Offboarding

erheblich.

Schritt 10: Berechtigungen richtig vergeben

Nicht jeder Benutzer einer Sammlung muss dieselben Rechte besitzen.

Bitwarden ermöglicht unterschiedliche Sammlungsberechtigungen.

Dabei kann unter anderem gesteuert werden, ob Benutzer:

• Einträge verwenden
• Einträge verändern
• Sammlungen verwalten
• Berechtigungen verwalten

dürfen.

Bitwarden weist ausdrücklich darauf hin, dass Sammlungsberechtigungen bestimmen, welche Aktionen Benutzer beziehungsweise Gruppen mit den Einträgen einer bestimmten Sammlung durchführen dürfen.

Best Practice: Least Privilege

Auch bei Passwörtern sollte das Prinzip:

Least Privilege

gelten.

Ein Mitarbeiter erhält nur Zugriff auf die Informationen, die er für seine Arbeit benötigt.

Beispielsweise:

Marketing benötigt:

• WordPress
• Facebook
• Instagram

aber nicht:

• Firewall
• Backupserver
• Hypervisor

Die IT benötigt möglicherweise:

• Firewall
• Server
• NAS

aber nicht:

• Banking

Eine gute Bitwarden-Struktur verhindert unnötig breite Zugriffsrechte.

Schritt 11: Unternehmenszugänge importieren

Nachdem:

• Organisation
• Sammlungen
• Gruppen
• Berechtigungen

vorbereitet sind, können vorhandene Zugangsdaten importiert werden.

Bitwarden unterstützt Importe aus zahlreichen Passwort-Managern und Dateiformaten.

Vor dem Import sollte geprüft werden:

• Sind alte Zugänge noch notwendig?
• Gibt es Dubletten?
• Sind persönliche Daten enthalten?
• Welcher Sammlung gehört der Eintrag?

Es ist häufig besser, die bestehende Passwortlandschaft beim Import gleich aufzuräumen.

Schritt 12: Unsichere Passwörter ersetzen

Nach dem Import sollten besonders kritische Zugangsdaten überprüft werden.

Typische Probleme:

Firma123

Sommer2026!

Passwort1

oder:

dasselbe Passwort für mehrere Dienste.

Für jeden Dienst sollte möglichst ein eigenes zufälliges Passwort verwendet werden.

Bitwarden kann dafür sichere Passwörter generieren.

Damit muss der Mitarbeiter sich diese nicht merken.

Schritt 13: Browser-Erweiterung installieren

Für die tägliche Nutzung sollte die Bitwarden Browser-Erweiterung auf den Unternehmensgeräten installiert werden.

Damit können Benutzer:

• Logins erkennen
• Zugangsdaten automatisch ausfüllen
• neue Logins speichern
• Passwörter generieren

Die Erweiterung ist besonders wichtig für die Akzeptanz bei Mitarbeitern.

Wenn die Nutzung kompliziert ist, entstehen schnell wieder:

• Browserpasswörter
• Notizzettel
• Excel-Dateien

Der Passwort-Manager sollte deshalb möglichst bequem in den Arbeitsalltag integriert werden.

Schritt 14: Desktop- und Smartphone-App einrichten

Je nach Arbeitsweise können zusätzlich installiert werden:

• Bitwarden Desktop App
• iOS App
• Android App

Gerade Mitarbeiter im Außendienst benötigen Zugangsdaten häufig auch unterwegs.

Dabei sollte jedoch geprüft werden, ob Unternehmensrichtlinien zur Verwendung privater Geräte bestehen.

Schritt 15: Autofill sinnvoll konfigurieren

Autofill ist komfortabel.

Trotzdem sollte es bewusst verwendet werden.

Mitarbeiter sollten weiterhin:

• Domainnamen prüfen
• verdächtige Anmeldeseiten erkennen
• nicht blind jede Autofill-Aufforderung akzeptieren

Ein Passwort-Manager kann Phishingrisiken reduzieren, ersetzt aber keine Sicherheitsaufmerksamkeit.

Schritt 16: MFA für alle Mitarbeiter

Nicht nur Administratoren sollten MFA nutzen.

Gerade in Unternehmen ist es sinnvoll, die Nutzung eines zweiten Faktors möglichst breit umzusetzen.

Enterprise-Organisationen können laut Bitwarden über eine entsprechende Richtlinie verlangen, dass Mitglieder Zwei-Faktor-Authentifizierung verwenden.

Das ist wesentlich besser als lediglich eine Empfehlung:

Bitte aktiviert MFA, wenn ihr irgendwann Zeit habt.

Schritt 17: Enterprise-Richtlinien konfigurieren

Bei Bitwarden Enterprise stehen zentrale Richtlinien zur Verfügung.

Damit können Sicherheitsanforderungen organisationsweit durchgesetzt werden.

Bitwarden empfiehlt, diese Richtlinien vor dem Einladen der Benutzer zu konfigurieren, da einige Einstellungen bestehende Benutzer beeinflussen beziehungsweise nicht vollständig rückwirkend durchgesetzt werden können.

Mögliche Richtlinien betreffen beispielsweise:

• MFA
• Master-Passwort-Anforderungen
• Organisationsmitgliedschaften
• Tresoreinstellungen
• Account Recovery
• SSO

Die genauen Richtlinien sollten passend zum Unternehmen gewählt werden.

Nicht jede Richtlinie maximal restriktiv setzen

Ein häufiger Fehler bei Sicherheitssoftware lautet:

Alles aktivieren, was irgendwie sicher klingt.

Das kann zu unnötiger Komplexität führen.

Die Richtlinien sollten deshalb zunächst in einer kleinen Pilotgruppe getestet werden.

Erst anschließend erfolgt die unternehmensweite Einführung.

Schritt 18: Account Recovery einrichten

Ein Mitarbeiter vergisst sein Master-Passwort.

Was passiert jetzt?

Bei einer rein persönlichen Passwortverwaltung kann das problematisch sein.

Bitwarden Enterprise bietet administrative Möglichkeiten zur Kontowiederherstellung.

Dadurch kann ein entsprechend berechtigter Administrator einen Recovery-Prozess unterstützen.

Gerade in Unternehmen sollte dieser Prozess vor dem ersten tatsächlichen Notfall eingerichtet und dokumentiert werden.

Master-Passwort des Mitarbeiters kennen?

Nein.

Der Administrator sollte nicht einfach eine Liste besitzen mit:

Mitarbeiter → Master-Passwort

Das würde das Sicherheitskonzept des Passwort-Managers unterlaufen.

Stattdessen sollten die vorgesehenen Recovery-Funktionen genutzt werden.

Schritt 19: SSO prüfen

Unternehmen mit einem zentralen Identity Provider können Bitwarden Enterprise über SSO integrieren.

Beispielsweise mit:

• Microsoft Entra ID
• Okta
• anderen SAML-/OIDC-Anbietern

Dadurch können Benutzer Bitwarden über die bereits vorhandene Unternehmensidentität authentifizieren.

Bitwarden unterstützt für Enterprise-Organisationen SSO über SAML 2.0 beziehungsweise OpenID Connect.

SSO ersetzt nicht automatisch alle Bitwarden-Sicherheitsmechanismen

Bei der Einrichtung muss unterschieden werden zwischen:

• Authentifizierung
• Entschlüsselung des Tresors

Bitwarden stellt dafür unterschiedliche SSO- beziehungsweise Entschlüsselungsmodelle bereit.

Deshalb sollte SSO nicht einfach ohne Planung aktiviert werden.

Gerade bei größeren Installationen empfiehlt sich ein Test mit wenigen Benutzern.

Schritt 20: Benutzer automatisch synchronisieren

Bei größeren Unternehmen wird die manuelle Benutzerverwaltung irgendwann unnötig aufwendig.

Dann können beispielsweise:

• Directory Connector
• SCIM

verwendet werden.

Bitwarden Directory Connector

Directory Connector kann Benutzer und Gruppen aus einem vorhandenen Verzeichnis mit Bitwarden synchronisieren.

Das kann beispielsweise interessant sein bei:

• Active Directory
• LDAP
• Microsoft Entra ID

Dadurch müssen Benutzerstrukturen nicht vollständig doppelt gepflegt werden.

Bitwarden SCIM

SCIM geht noch einen Schritt weiter und ermöglicht automatisierte Benutzer- und Gruppenbereitstellung über einen Identity Provider.

Bitwarden beschreibt SCIM ausdrücklich als Mechanismus zur automatischen Bereitstellung und Entfernung von Organisationsmitgliedern und Gruppen. Die aktuelle Hilfe ordnet diese SCIM-Integrationen Enterprise-Organisationen zu.

Das ist insbesondere bei größeren Unternehmen praktisch.

Beispiel:

Mitarbeiter wird in Entra ID angelegt.

↓

Benutzer wird über SCIM in Bitwarden bereitgestellt.

↓

Benutzer erhält über Gruppe entsprechende Berechtigungen.

Onboarding neuer Mitarbeiter

Ein definierter Onboarding-Prozess ist besonders wichtig.

Bitwarden verwendet beim manuellen Onboarding einen dreistufigen Prozess:

Einladen

↓

Akzeptieren

↓

Bestätigen

Erst nach vollständiger Aufnahme sollte der Mitarbeiter seine Unternehmenszugänge verwenden.

Eine praktische Onboarding-Checkliste könnte lauten:

1. Benutzeraccount erstellen
2. Mitarbeiter einladen
3. Einladung akzeptieren lassen
4. Mitglied bestätigen
5. Gruppe zuweisen
6. MFA prüfen
7. Browser-Erweiterung installieren
8. kurze Einweisung durchführen

Warum muss ein neuer Benutzer bestätigt werden?

Bei Bitwarden reicht das reine Annehmen einer Einladung nicht immer als vollständiger Aufnahmeprozess.

Die zusätzliche Bestätigung durch einen berechtigten Administrator ist Teil des Sicherheitsmodells.

Dadurch wird verhindert, dass ein falscher beziehungsweise nicht korrekt verifizierter Benutzer einfach Unternehmenszugänge erhält.

Mitarbeiter schulen

Ein Passwort-Manager funktioniert nur, wenn die Mitarbeiter ihn tatsächlich verwenden.

Eine kurze Einführung sollte deshalb erklären:

• Was gehört in den persönlichen Tresor?
• Was gehört in die Organisation?
• Wie verwende ich Sammlungen?
• Wie speichere ich neue Passwörter?
• Wie generiere ich sichere Passwörter?
• Wie funktioniert MFA?
• Was darf ich nicht per E-Mail verschicken?

Eine 20-minütige Einführung kann deutlich mehr bringen als eine perfekte technische Einrichtung, die niemand versteht.

Unternehmenszugänge nicht in persönlichen Tresoren lassen

Ein wichtiges organisatorisches Problem entsteht, wenn Mitarbeiter geschäftliche Zugangsdaten ausschließlich in ihrem persönlichen Tresor speichern.

Beispielsweise:

Hosting Masteraccount

liegt ausschließlich im persönlichen Tresor des Administrators.

Wenn dieser Mitarbeiter das Unternehmen verlässt, kann daraus ein Problem entstehen.

Geschäftskritische gemeinsame Zugangsdaten sollten deshalb der Unternehmensorganisation zugeordnet werden.

Persönliche Logins trotzdem erlauben?

Natürlich kann jeder Mitarbeiter individuelle geschäftliche Zugänge besitzen.

Beispielsweise:

[email protected]

für Microsoft 365.

Dieser Zugang kann im persönlichen Tresor liegen, wenn keine zentrale Freigabe notwendig ist.

Dagegen gehört beispielsweise ein gemeinsamer:

admin@hosting-provider

Zugang eher in eine Unternehmenssammlung.

Gemeinsame Konten möglichst reduzieren

Bitwarden ermöglicht es, gemeinsame Passwörter sicher zu teilen.

Das bedeutet jedoch nicht, dass Unternehmen plötzlich möglichst viele gemeinsame Benutzerkonten einsetzen sollten.

Wenn eine Anwendung individuelle Benutzer unterstützt:

besser individuelle Accounts verwenden.

Beispielsweise nicht:

[email protected]

für zehn Mitarbeiter,

wenn die Anwendung zehn persönliche Benutzerkonten unterstützt.

Bitwarden sollte schlechte Benutzerstrukturen nicht konservieren.

Schritt 21: Offboarding definieren

Einer der wichtigsten Anwendungsfälle eines Unternehmens-Passwort-Managers ist das Ausscheiden eines Mitarbeiters.

Ein sauberer Prozess könnte lauten:

1. Benutzerzugang deaktivieren beziehungsweise entfernen
2. Bitwarden-Mitgliedschaft entziehen
3. Gruppenmitgliedschaften entfernen
4. kritische Sitzungen prüfen
5. bekannte gemeinsame Passwörter bewerten
6. wichtige Zugangsdaten gegebenenfalls ändern
7. andere Unternehmensaccounts deaktivieren
8. Dokumentation aktualisieren

Durch das Entfernen des Mitarbeiters aus der Bitwarden Organisation verliert dieser den Zugriff auf die dort freigegebenen Sammlungen.

Das ersetzt jedoch nicht die Prüfung externer Systeme.

Müssen beim Mitarbeiterwechsel alle Passwörter geändert werden?

Nicht automatisch.

Wenn der Mitarbeiter nie Kenntnis beziehungsweise Zugriff auf bestimmte Passwörter hatte, besteht kein Grund, diese zu ändern.

Bei besonders kritischen gemeinsam genutzten Zugangsdaten kann ein Wechsel trotzdem sinnvoll sein.

Beispielsweise:

• Firewall-Administrator
• Domainregistrar
• Root-Zugang
• zentraler Hostingzugang

Ein Passwort-Manager erleichtert zumindest die Übersicht darüber, welche Unternehmenszugänge betroffen sein könnten.

Schritt 22: Ereignisprotokolle verwenden

Business-Tarife stellen Ereignis- beziehungsweise Auditinformationen für die Organisation bereit.

Damit können Administratoren bestimmte Aktivitäten nachvollziehen.

Das ist besonders relevant für:

• Sicherheitsüberprüfung
• Fehlersuche
• Benutzerverwaltung
• Offboarding

Solche Logs sollten jedoch nicht als Werkzeug zur unnötigen Mitarbeiterüberwachung verwendet werden.

Es sollte klar definiert sein, wer sie aus welchem Grund einsehen darf.

Schritt 23: Vault Health überprüfen

Nach der Migration sollten unsichere Zugangsdaten identifiziert werden.

Relevant sind beispielsweise:

• schwache Passwörter
• mehrfach verwendete Passwörter
• kompromittierte Passwörter
• unsichere Webseiten
• alte Zugänge

Die Einführung von Bitwarden ist eine gute Gelegenheit, historisch gewachsene Passwortprobleme aufzuräumen.

Schritt 24: Notfallzugänge planen

Es sollte geklärt sein:

Was passiert, wenn sämtliche Administratoren ausfallen?

Besonders kritische Unternehmenszugänge benötigen gegebenenfalls einen dokumentierten Notfallprozess.

Dabei kann beispielsweise ein sicher hinterlegter Break-Glass-Zugang eine Rolle spielen.

Dieser sollte:

• besonders geschützt
• dokumentiert
• selten verwendet
• regelmäßig geprüft

werden.

Bitwarden Self-Hosting – sinnvoll?

Bitwarden Enterprise kann auch selbst gehostet werden.

Dabei betreibt das Unternehmen die Plattform auf eigener Infrastruktur.

Beispielsweise:

Internet

↓

Reverse Proxy / Firewall

↓

Bitwarden Server

↓

Datenbank

Das kann interessant sein, wenn besondere Anforderungen an Infrastruktur und Kontrolle bestehen.

Self-Hosting bedeutet jedoch zusätzliche Verantwortung.

Was muss beim Bitwarden Self-Hosting betrieben werden?

Der Betreiber ist unter anderem verantwortlich für:

• Serverbetrieb
• Betriebssystem
• TLS-Zertifikate
• Updates
• Backup
• Monitoring
• Datenbank
• Firewall
• Verfügbarkeit
• Wiederherstellung

Deshalb ist Self-Hosting nicht automatisch sicherer als die Bitwarden Cloud.

Eine schlecht gepflegte eigene Installation kann das Gegenteil bewirken.

Bitwarden Cloud oder Self-Hosting?

Bitwarden Cloud

Geeignet für viele kleine und mittelständische Unternehmen.

Vorteile:

• kein eigener Server
• geringerer Wartungsaufwand
• schnelle Einrichtung
• Hersteller betreibt Plattform

Self-Hosting

Interessant bei:

• eigener professioneller Infrastruktur
• speziellen Compliance-Vorgaben
• bewusster Datenhoheit
• vorhandener IT-Abteilung
• besonderen Integrationsanforderungen

Die Entscheidung sollte anhand des Betriebsmodells getroffen werden und nicht allein nach dem Argument:

Eigener Server ist immer sicherer.

Bitwarden Self-Hosting und SCIM

Auch selbst gehostete Enterprise-Umgebungen können SCIM verwenden.

Bitwarden dokumentiert dafür unter anderem die Aktivierung des SCIM-Dienstes in der Self-Hosted-Konfiguration und Integrationen mit Identity Providern wie Microsoft Entra ID, Okta, OneLogin und JumpCloud.

Das ist besonders interessant, wenn Self-Hosting mit zentraler Benutzerverwaltung kombiniert werden soll.

Beispiel: Bitwarden für 5 Mitarbeiter

Ein kleines Unternehmen besitzt:

• Geschäftsführer
• Buchhaltung
• Vertrieb
• Marketing
• Technik

Eine einfache Struktur könnte sein:

Gruppen

Geschäftsführung

Buchhaltung

Vertrieb

Marketing

IT

Sammlungen

Allgemein

Buchhaltung

Marketing

IT

Geschäftsführung

Geschäftsführer

Zugriff auf:

• Allgemein
• Geschäftsführung

gegebenenfalls weitere Bereiche

Buchhaltung

Zugriff auf:

• Allgemein
• Buchhaltung

Marketing

Zugriff auf:

• Allgemein
• Marketing

IT

Zugriff auf:

• Allgemein
• IT

Damit bleibt die Struktur einfach und nachvollziehbar.

Beispiel: Bitwarden für 20 Mitarbeiter

Bei 20 Mitarbeitern können Gruppen stärker genutzt werden.

Beispielsweise:

GRP-Geschäftsführung

GRP-Vertrieb

GRP-Buchhaltung

GRP-Marketing

GRP-IT

Danach werden Sammlungen den Gruppen zugewiesen.

Ein neuer Vertriebsmitarbeiter wird lediglich:

GRP-Vertrieb

zugeordnet.

Damit erhält er automatisch die vorgesehenen Unternehmenszugänge.

Beispiel: Bitwarden mit Microsoft Entra ID

Bei einem größeren Unternehmen kann ein automatisiertes Konzept entstehen:

Microsoft Entra ID

↓

SCIM

↓

Bitwarden

↓

Gruppen

↓

Sammlungen

Ein neuer Mitarbeiter wird dann zentral im Identity Provider verwaltet.

Je nach Aufbau werden Benutzer und Gruppen automatisiert in Bitwarden bereitgestellt beziehungsweise entfernt.

Das reduziert doppelte Administration.

Bitwarden mit Microsoft 365

Bitwarden ersetzt Microsoft 365 nicht.

Die Systeme ergänzen sich.

Microsoft 365 stellt beispielsweise bereit:

• Benutzeridentitäten
• E-Mail
• Teams
• SharePoint
• OneDrive

Bitwarden verwaltet dagegen:

• Passwörter
• gemeinsame Unternehmenszugänge
• sichere Notizen
• Passkeys
• Zugangsinformationen

Bei Enterprise-Umgebungen kann Microsoft Entra ID zusätzlich als Identity Provider für SSO beziehungsweise Provisioning eingebunden werden.

Bitwarden und MFA-Codes

Bitwarden kann je nach Tarif und Konfiguration auch TOTP-Codes verwalten.

Dabei sollte eine Sicherheitsfrage bedacht werden:

Wenn:

Passwort

und:

zweiter Faktor

im selben Tresor liegen, ist die Bedienung zwar sehr komfortabel, die Trennung der Faktoren ist jedoch geringer.

Für besonders kritische Administratorzugänge können separate Hardware-Sicherheitsschlüssel sinnvoll sein.

Nicht jede Anwendung benötigt dasselbe Sicherheitsmodell.

Bitwarden und Passkeys

Bitwarden unterstützt auch moderne Zugangsdaten wie Passkeys.

Dadurch entwickelt sich die Plattform zunehmend von einem reinen Passwortspeicher zu einer zentralen Verwaltung digitaler Zugangsdaten.

Auch wenn Passkeys in Zukunft häufiger eingesetzt werden, bleibt eine strukturierte Unternehmensverwaltung wichtig.

Sollten Administratoren ihre privaten Passwörter in Bitwarden speichern?

Private und geschäftliche Daten sollten möglichst sauber getrennt werden.

Das Unternehmen sollte klare Regeln dafür definieren.

Geschäftskritische Zugänge gehören in die Unternehmensorganisation.

Private Zugangsdaten sollten nicht in Unternehmenssammlungen gespeichert werden.

Bitwarden Backup

Auch bei einem Passwort-Manager sollte das Thema Wiederherstellung berücksichtigt werden.

Bei Self-Hosting ist ein professionelles Backup zwingend erforderlich.

Dazu gehören insbesondere:

• Datenbank
• Konfiguration
• Schlüsselmaterial
• relevante Anhänge

Bitwarden empfiehlt beispielsweise vor Änderungen an selbst gehosteten SCIM-Installationen ausdrücklich ein Backup der relevanten Datenbankdaten.

Bitwarden Export als Backup?

Ein Export kann ergänzend sinnvoll sein.

Allerdings ist besondere Vorsicht erforderlich.

Ein unverschlüsselter Export kann sämtliche Unternehmenspasswörter im Klartext enthalten.

Solche Dateien dürfen nicht:

• auf Desktop liegen bleiben
• per E-Mail verschickt werden
• unverschlüsselt in Cloudspeicher hochgeladen werden

Exporte sollten nur bei klar definiertem Bedarf erstellt und anschließend sicher behandelt werden.

Passwortänderungen dokumentieren?

Ein Passwort-Manager ersetzt viele klassische Passwortlisten.

Es sollte deshalb gerade keine zusätzliche Excel-Liste gepflegt werden, in der dieselben Passwörter nochmals gespeichert werden.

Dokumentiert werden sollte vielmehr:

• welche Systeme existieren
• wer verantwortlich ist
• welche Gruppe Zugriff besitzt
• welcher Notfallprozess gilt

Das Passwort selbst bleibt im Passwort-Manager.

Bitwarden regelmäßig überprüfen

Nach der Einführung ist die Arbeit nicht vollständig abgeschlossen.

Mindestens regelmäßig geprüft werden sollten:

• aktive Benutzer
• ausgeschiedene Mitarbeiter
• Administratorrollen
• Gruppen
• Sammlungen
• MFA
• Sicherheitsberichte
• nicht mehr benötigte Accounts
• alte Unternehmenszugänge

Gerade bei Mitarbeiterwechseln entstehen sonst mit der Zeit unnötige Berechtigungen.

Bitwarden Best Practices für Unternehmen

1. Persönliche Benutzerkonten verwenden

Keine gemeinsamen Bitwarden-Accounts.

2. Mindestens zwei verantwortliche Administratoren

Keinen unnötigen Single Point of Failure schaffen.

3. MFA aktivieren

Insbesondere bei Administratoren.

4. Unternehmenszugänge in Organisation speichern

Nicht ausschließlich im persönlichen Tresor.

5. Sammlungen nach Funktion strukturieren

Nicht alles in eine einzige Sammlung legen.

6. Gruppen statt Einzelberechtigungen

Besonders bei wachsenden Unternehmen.

7. Least Privilege verwenden

Nur benötigte Zugänge freigeben.

8. Enterprise-Richtlinien vor Rollout konfigurieren

Nicht erst nach 100 eingeladenen Benutzern. Bitwarden empfiehlt ebenfalls, Richtlinien möglichst vor dem Einladen der Benutzer festzulegen.

9. Onboarding dokumentieren

Einladen → akzeptieren → bestätigen → Gruppe → MFA.

10. Offboarding dokumentieren

Benutzerzugriff sofort entziehen.

11. Mitarbeiter schulen

Technik allein reicht nicht.

12. Unsichere Passwörter ersetzen

Nicht einfach eine schlechte Excel-Liste 1:1 importieren.

13. Notfallzugänge definieren

Was passiert bei Ausfall der Administratoren?

14. Self-Hosting nur mit Betriebskonzept

Backup, Updates und Monitoring gehören zwingend dazu.

15. Regelmäßige Überprüfung

Berechtigungen ändern sich mit dem Unternehmen.

Häufige Fehler bei der Bitwarden-Einrichtung

Ein gemeinsamer Account für alle Mitarbeiter

Dadurch gehen individuelle Berechtigungen und Nachvollziehbarkeit verloren.

Alle Passwörter in „Default Collection“

Technisch bequem, organisatorisch schlecht.

Jeder Mitarbeiter ist Administrator

Unnötiges Sicherheitsrisiko.

Nur einen Owner verwenden

Problematisch bei Ausfall beziehungsweise Ausscheiden.

Keine MFA

Gerade beim Passwort-Manager besonders kritisch.

Geschäftliche Passwörter im persönlichen Tresor

Das Unternehmen verliert möglicherweise die Kontrolle beim Mitarbeiterwechsel.

Zu viele gemeinsame Benutzerkonten

Bitwarden sollte individuelle Accounts in anderen Anwendungen nicht unnötig ersetzen.

Keine Mitarbeiterschulung

Dann werden Zugangsdaten weiterhin außerhalb des Passwort-Managers gespeichert.

Kein Offboarding

Ehemalige Mitarbeiter bleiben Mitglied der Organisation.

Self-Hosting ohne Backup

Ein Serverfehler kann zum erheblichen Problem werden.

Checkliste: Bitwarden für Unternehmen einrichten

Vorbereitung

• bestehende Passwortlisten erfassen
• Benutzer festlegen
• Unternehmenszugänge identifizieren
• Tarif auswählen

Sicherheit

• starkes Master-Passwort
• MFA
• mindestens zwei verantwortliche Administratoren
• Notfallkonzept

Organisation

• Organisation erstellen
• Gruppen anlegen
• Sammlungen anlegen
• Berechtigungen definieren

Migration

• bestehende Passwörter importieren
• Dubletten entfernen
• unsichere Passwörter ändern
• Unternehmenszugänge richtig zuordnen

Clients

• Browser-Erweiterung
• Desktop-App
• Smartphone-App

Enterprise

gegebenenfalls:

• Richtlinien
• Account Recovery
• SSO
• SCIM
• Directory Connector
• Self-Hosting

Betrieb

• Onboarding
• Offboarding
• Mitarbeitertraining
• regelmäßige Überprüfung
• Backup bei Self-Hosting

Fazit: Bitwarden im Unternehmen richtig einrichten

Bitwarden lässt sich technisch schnell einrichten.

Die eigentliche Herausforderung besteht jedoch nicht darin, die Anwendung zu installieren.

Entscheidend ist eine saubere Struktur.

Eine professionelle Unternehmensumgebung sollte mindestens besitzen:

Organisation

↓

Benutzer

↓

Gruppen

↓

Sammlungen

↓

Berechtigungen

Zusätzlich sollten:

• MFA
• Administratorrollen
• Onboarding
• Offboarding
• Mitarbeiterschulung

von Anfang an berücksichtigt werden.

Bei größeren Unternehmen können zusätzlich:

• Enterprise-Richtlinien
• SSO
• SCIM
• Directory Sync
• Self-Hosting

sinnvoll sein.

Wer diese Struktur bereits vor dem Import der ersten Passwörter plant, verhindert, dass aus einer alten Excel-Passwortliste lediglich ein digitaler, aber genauso unübersichtlicher Tresor entsteht.

Bitwarden für Ihr Unternehmen einrichten lassen

Sie möchten Bitwarden in Ihrem Unternehmen einführen, bestehende Passwörter migrieren oder eine vorhandene Bitwarden-Umgebung professionell strukturieren?

Unetifi unterstützt kleine und mittelständische Unternehmen bei der Einrichtung und Betreuung von Bitwarden.

Dazu können unter anderem gehören:

• Auswahl von Bitwarden Teams oder Enterprise
• Einrichtung der Organisation
• Benutzerverwaltung
• Gruppen
• Sammlungen
• Berechtigungskonzepte
• MFA
• Enterprise-Richtlinien
• Account Recovery
• SSO
• Microsoft Entra ID
• SCIM
• Directory Sync
• Migration bestehender Passwörter
• Self-Hosting
• Backup
• Updates
• laufender Support

Dabei wird Bitwarden nicht nur installiert, sondern passend zur tatsächlichen Unternehmensstruktur eingerichtet.

So entstehen klare Zuständigkeiten, kontrollierte Freigaben und ein nachvollziehbares Onboarding und Offboarding für Mitarbeiter.

Häufig gestellte Fragen zur Bitwarden-Einrichtung

Wie richte ich Bitwarden für ein Unternehmen ein?

Zunächst wird eine Bitwarden Organisation erstellt. Anschließend sollten Sammlungen, Benutzergruppen und Berechtigungen definiert werden. Erst danach empfiehlt es sich, vorhandene Unternehmenszugänge zu importieren und Benutzer einzuladen.

Was ist eine Bitwarden Organisation?

Eine Organisation verbindet Benutzer und organisationsbezogene Tresoreinträge miteinander. Über die Admin-Konsole können Administratoren Benutzer, Sammlungen, Gruppen und weitere Einstellungen verwalten.

Was ist eine Sammlung in Bitwarden?

Sammlungen gruppieren Unternehmenszugänge und steuern, welche Benutzer beziehungsweise Gruppen Zugriff auf diese Einträge erhalten. Organisationsbezogene Einträge müssen mindestens einer Sammlung zugeordnet sein.

Was ist der Unterschied zwischen einem Ordner und einer Sammlung?

Ordner dienen hauptsächlich der persönlichen Organisation eines Tresors. Sammlungen gehören zur Unternehmensorganisation und werden für die gemeinsame Verwaltung und Berechtigungsvergabe verwendet.

Sollte jeder Mitarbeiter einen eigenen Bitwarden-Account bekommen?

Ja. Gemeinsame Bitwarden-Benutzerkonten sollten vermieden werden. Jeder Mitarbeiter sollte einen persönlichen Account besitzen und über Gruppen beziehungsweise Sammlungen die benötigten Unternehmenszugänge erhalten.

Was ist besser – Bitwarden Teams oder Enterprise?

Teams reicht für viele kleine Unternehmen aus. Enterprise ist vor allem interessant, wenn erweiterte Funktionen wie Enterprise-Richtlinien, SSO, SCIM, Account Recovery oder Self-Hosting benötigt werden.

Was kostet Bitwarden für Unternehmen?

Bitwarden nennt aktuell bei jährlicher Abrechnung 4 US-Dollar pro Benutzer und Monat für Teams und 6 US-Dollar pro Benutzer und Monat für Enterprise, jeweils zuzüglich möglicher Steuern. Preise können sich ändern.

Kann Bitwarden mit Microsoft Entra ID verbunden werden?

Ja. Je nach Tarif und gewünschtem Verfahren kann Microsoft Entra ID beispielsweise für SSO beziehungsweise automatisiertes Provisioning über SCIM verwendet werden.

Was ist Bitwarden SCIM?

SCIM ermöglicht die automatische Bereitstellung und Entfernung von Benutzern und Gruppen über einen Identity Provider. Bitwarden dokumentiert SCIM derzeit für Enterprise-Organisationen.

Kann Bitwarden selbst gehostet werden?

Ja. Bitwarden Enterprise bietet die Möglichkeit zum Self-Hosting. Dabei ist das Unternehmen beziehungsweise der Betreiber allerdings selbst für Server, Updates, Backup, Monitoring und Absicherung der Plattform verantwortlich.

Sollte Bitwarden mit MFA geschützt werden?

Ja. Insbesondere Administratoraccounts sollten zwingend über einen zusätzlichen Faktor abgesichert werden. Bei Enterprise kann die Verwendung von Zwei-Faktor-Authentifizierung auch über eine Organisationsrichtlinie vorgeschrieben werden.

Was passiert, wenn ein Mitarbeiter das Unternehmen verlässt?

Der Mitarbeiter sollte aus der Organisation beziehungsweise seinen Gruppen entfernt werden. Dadurch verliert er Zugriff auf die entsprechenden Unternehmenssammlungen. Zusätzlich sollten kritische externe Accounts und aktive Sitzungen im normalen Offboarding geprüft werden.

Kann ich Passwörter aus Excel in Bitwarden importieren?

Grundsätzlich lassen sich bestehende Zugangsdaten importieren. Vorher sollte die Liste jedoch bereinigt und geprüft werden. Veraltete, doppelte oder unsichere Passwörter sollten möglichst nicht einfach unverändert übernommen werden.

Muss ich nach der Bitwarden-Einrichtung alle Passwörter ändern?

Nicht zwingend. Schwache, mehrfach verwendete oder anderweitig unsichere Passwörter sollten jedoch bei der Einführung ersetzt werden. Für jeden Dienst empfiehlt sich ein eigenes zufälliges Passwort.