Passwort-Manager im Unternehmen: Warum Vaultwarden + deutsches Hosting

Ein Passwort-Manager im Unternehmen ist kein Komfort-Werkzeug, sondern eine technische Schutzmaßnahme. Sobald mehrere Menschen auf dieselben Systeme zugreifen — CRM, Buchhaltung, Domain-Registrar, Social-Media-Konten —, entstehen geteilte Zugangsdaten. Und geteilte Zugangsdaten wandern erfahrungsgemäß in Chats, Excel-Tabellen und Haftnotizen. Dieser Artikel zeigt dir, was rechtlich gefordert ist, wie du eine saubere Lösung aufbaust und warum Vaultwarden dabei eine gute Wahl ist.

Warum die Excel-Liste ein echtes Problem ist

Die typische Ausgangslage in kleinen und mittleren Unternehmen sieht so aus: Ein paar Passwörter stehen in einer Tabelle auf dem Fileserver, ein paar stecken in Browser-Profilen einzelner Mitarbeiter, den Rest kennt „der Kollege, der das damals eingerichtet hat". Das erzeugt drei konkrete Risiken.

• Kein Entzug beim Austritt. Verlässt jemand das Unternehmen, kennt diese Person weiterhin alle Passwörter, die sie je gesehen hat. Ohne zentrale Verwaltung müsstest du sie einzeln ändern — was in der Praxis niemand tut.
• Kein Überblick über Mehrfachnutzung. Wird ein Passwort bei einem Dienst geleakt, weißt du nicht, wo es sonst noch verwendet wurde.
• Keine Nachvollziehbarkeit. Bei einem Sicherheitsvorfall kannst du nicht belegen, wer wann Zugriff auf welchen Zugang hatte.

Was die DSGVO tatsächlich verlangt

Ein Passwort-Manager ist in keinem Gesetz namentlich vorgeschrieben. Die Pflicht ergibt sich indirekt: Nach Art. 32 Abs. 1 DSGVO treffen Verantwortliche und Auftragsverarbeiter „unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung […] geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten". Ausdrücklich genannt werden dabei unter anderem die Verschlüsselung personenbezogener Daten und die Fähigkeit, Vertraulichkeit und Integrität der Systeme auf Dauer sicherzustellen (Quelle: Verordnung (EU) 2016/679, Art. 32).

Übersetzt heißt das: Wenn eine Tabelle mit Klartext-Passwörtern der einzige Schutz vor unbefugtem Zugriff auf personenbezogene Daten ist, entspricht das nicht dem Stand der Technik. Ein verschlüsselter Passwort-Tresor mit rollenbasierten Freigaben schon eher. Art. 32 Abs. 1 lit. d verlangt zusätzlich ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit dieser Maßnahmen — ein Passwort-Manager mit Auswertung schwacher oder mehrfach genutzter Passwörter liefert dafür die Datenbasis.

Vaultwarden: kompatibel zu Bitwarden, ohne dessen Ballast

Vaultwarden ist eine quelloffene Server-Implementierung der Bitwarden-API, geschrieben in Rust und unter AGPL-3.0 veröffentlicht (Quelle: Repository dani-garcia/vaultwarden, Stand: August 2026). Das Projekt hieß früher bitwarden_rs und ist nicht mit dem Hersteller Bitwarden verbunden.

Der praktische Vorteil: Du nutzt die offiziellen Bitwarden-Clients — Browser-Erweiterung, Desktop-App, iOS, Android, CLI — und verbindest sie einfach mit deiner eigenen Server-Adresse. Deine Mitarbeiter arbeiten also mit ausgereifter, weit verbreiteter Software, während die Datenhaltung komplett bei dir liegt.

Funktional deckt Vaultwarden ab, was ein Team braucht:

• Ende-zu-Ende-Verschlüsselung — der Server sieht nur verschlüsselte Blobs, entschlüsselt wird ausschließlich auf dem Client.
• Geteilte Team-Tresore (Organisationen und Collections) — Zugriff wird pro Gruppe vergeben, nicht pro Person weitergereicht. Scheidet jemand aus, entziehst du die Mitgliedschaft an einer Stelle.
• Zwei-Faktor-Authentifizierung und integrierte TOTP-Generierung.
• Sicheres Teilen einzelner Geheimnisse, statt sie per Messenger zu verschicken.

Zum Vergleich der Größenordnung: Bitwarden verlangt für seine gehostete Business-Variante laut Herstellerseite 4 US-Dollar pro Nutzer und Monat im Teams-Plan und 6 US-Dollar im Enterprise-Plan, jeweils bei jährlicher Abrechnung (Stand: August 2026). Vaultwarden ist als Open-Source-Software lizenzkostenfrei — die Kosten verschieben sich vom Nutzerlizenz-Modell hin zum Betrieb des Servers.

Warum der Hosting-Standort bei Passwörtern besonders zählt

„Aber es ist doch alles Ende-zu-Ende-verschlüsselt" — richtig, und trotzdem ist der Standort relevant. Der Server hält zwar keine lesbaren Passwörter, aber sehr wohl aussagekräftige Metadaten: Welche Nutzerkonten existieren, welche E-Mail-Adressen dahinterstehen, wann sich wer anmeldet, wie viele Einträge es gibt und welchen Domains sie zugeordnet sind. Bei einem Passwort-Tresor ist außerdem die Verfügbarkeit geschäftskritisch: Ist er weg, steht das halbe Unternehmen still.

Dazu kommt die Frage des Zugriffs durch Dritte. Wer den Tresor bei einem Anbieter betreibt, der US-Recht unterliegt, muss sich mit Herausgabepflichten und deren Vereinbarkeit mit europäischem Datenschutzrecht auseinandersetzen. Bei einem deutschen Betreiber mit eigener Infrastruktur entfällt diese Diskussion.

Praktisch bedeutet sauberer Betrieb: aktuelle Version, TLS erzwungen, verschlüsselte und getestete Backups, Monitoring der Erreichbarkeit, kontrollierte Registrierung statt offener Anmeldung. Genau daran scheitern Eigenbetrieb-Projekte — nicht am Aufsetzen, sondern am Durchhalten über Jahre.

Vaultwarden bei AllAppsCloud betreiben

Wenn du den Tresor nicht selbst pflegen willst, ist genau das der Punkt für Managed Hosting. AllAppsCloud ist Managed Open Source Hosting der Wodanio GmbH aus einem eigenen deutschen Rechenzentrum — keine weiterverkaufte Hyperscaler-Kapazität. Backups, Updates und Monitoring laufen mit, du administrierst nur noch die Anwendung selbst, nicht den Server darunter. Die ISO-27001-Zertifizierung des Betriebs befindet sich derzeit in der Zertifizierung.

Vaultwarden ist Teil des Katalogs, der aktuell 33 Anwendungen umfasst. Sinnvoll kombinieren lässt es sich zum Beispiel mit Keycloak oder authentik für zentrale Anmeldung an allen Anwendungen, sowie mit Nextcloud, wenn du gleichzeitig Dateien und Zusammenarbeit aus fremden Clouds zurückholen willst. Den vollständigen App-Katalog findest du auf der Website.

AllAppsCloud befindet sich vor dem Start: Die Anwendungen sind mit „Bald" gekennzeichnet, öffentliche Preise gibt es noch nicht. Wenn du Vaultwarden auf dieser Basis betreiben möchtest, trag dich in den Early Access ein — dann bekommst du die Information zum Start direkt.

Häufige Fragen

Ist Vaultwarden dasselbe wie Bitwarden?

Nein. Vaultwarden ist eine unabhängige, quelloffene Server-Implementierung der Bitwarden-API in Rust unter AGPL-3.0-Lizenz und steht nicht in Verbindung mit dem Hersteller Bitwarden. Kompatibel ist es dennoch: Die offiziellen Bitwarden-Clients funktionieren gegen einen Vaultwarden-Server, du trägst dort lediglich deine eigene Server-Adresse ein.

Was passiert, wenn ein Mitarbeiter das Unternehmen verlässt?

Du entfernst die Person aus der Organisation, damit endet ihr Zugriff auf alle geteilten Tresore sofort. Wichtig: Passwörter, die diese Person tatsächlich gesehen hat, solltest du trotzdem rotieren — technischer Entzug ersetzt kein Zurücksetzen bereits bekannter Geheimnisse. Genau dafür brauchst du eine Übersicht, welche Einträge in welcher Collection lagen.

Schreibt die DSGVO einen Passwort-Manager vor?

Nicht namentlich. Art. 32 DSGVO verlangt „geeignete technische und organisatorische Maßnahmen" nach dem Stand der Technik und nennt dabei ausdrücklich Verschlüsselung sowie die dauerhafte Sicherstellung von Vertraulichkeit und Integrität. Ein zentraler, verschlüsselter Tresor mit Rollenkonzept ist der übliche Weg, diese Anforderung für Zugangsdaten zu erfüllen — eine Klartext-Tabelle ist es nicht.