Privat gilt zunächst: alles ist besser als nichts
Ich werde immer wieder gefragt, welchen Passwort-Manager man nutzen sollte. Für den privaten Einsatz lautet meine erste Antwort: Wählen Sie einen vertrauenswürdigen Anbieter und verwenden Sie überhaupt einen Passwort-Manager. Fallen Sie nicht auf beliebige Lockangebote im App- oder Play-Store herein.
KeePass beziehungsweise KeePassXC eignet sich für technisch versierte Nutzer, die ihre Daten selbst verwalten möchten. Auch die in Apple- und Google-Ökosysteme integrierten Passwortfunktionen sind besser, als überall dasselbe Kennwort zu verwenden. Entscheidend ist, dass die Lösung gepflegt wird, starke zufällige Passwörter erzeugt und auf allen benötigten Geräten zuverlässig verfügbar ist.
Eine pauschale Produktempfehlung altert schnell. Deshalb sollte man nicht nur auf Funktionslisten, sondern auch auf Sicherheitsarchitektur, Updatehistorie, Wiederherstellung und den Umgang des Anbieters mit Sicherheitsvorfällen achten.
Im Unternehmen reicht ein privater Tresor nicht
Eine Organisation braucht einen gemanagten Passwort-Manager. Gemeinsame Zugangsdaten müssen gezielt geteilt, Rollen zentral verwaltet und Zugriffe beim Wechsel oder Austritt von Beschäftigten entzogen werden können. Private Konten und persönliche Tresore sind dafür keine belastbare Lösung.
Zur Auswahl gehören aus meiner Sicht mindestens zentrale Administration, Mehrfaktor-Authentisierung, nachvollziehbare Freigaben, Notfallzugriff, Exportmöglichkeiten und eine dokumentierte Sicherheitsarchitektur. Für privilegierte Konten kommen häufig zusätzliche Anforderungen hinzu.
- Kann die IT Benutzer, Gruppen und Berechtigungen zentral verwalten?
- Wie funktioniert Wiederherstellung, ohne dass ein einzelner Administrator alle Geheimnisse kennt?
- Können gemeinsam genutzte Zugangsdaten personenbezogen und nachvollziehbar freigegeben werden?
- Was passiert mit Tresoren und Zugängen beim Austritt?
- Gibt es einen brauchbaren Export und einen getesteten Notfallplan?
Warum wir Passbolt einsetzen
Wir nutzen Passbolt, einen Open-Source-Passwort-Manager, den wir selbst auf einem Linux-System betreiben. Das passt zu unserem Wunsch nach technischer Kontrolle und einer nachvollziehbaren, offenen Architektur. Unsere Server betreiben wir bei Hetzner.
Wer nicht selbst hosten kann oder will, kann Passbolt auch als Cloud-Dienst beziehen. Der Anbieter sitzt in Luxemburg und bietet europäische Betriebsmodelle an. Der Serverstandort allein macht einen Dienst allerdings noch nicht automatisch datenschutzkonform. Vertrag, Zugriffsmodell, Verschlüsselung, Administration und eigener Einsatzzweck müssen zusammenpassen.
Passbolt ist deshalb keine allgemeingültige Empfehlung für jedes Unternehmen. Es ist eine konkrete Entscheidung, die zu unserer technischen Erfahrung und unserem Betriebsmodell passt.
Die Einführung entscheidet über den Erfolg
Der technisch beste Tresor hilft wenig, wenn Beschäftigte Passwörter weiterhin in Browsern, Tabellen oder privaten Konten speichern. Vor der Einführung muss geklärt werden, welche Zugangsdaten in den Passwort-Manager gehören, wie Freigaben beantragt werden und wer im Notfall handeln darf.
Eine kurze Schulung mit echten Alltagssituationen ist wirksamer als eine lange Richtlinie. Danach sollte die IT prüfen, ob Teams tatsächlich umgestiegen sind und ob noch gemeinsame oder verwaiste Konten außerhalb des Systems bestehen.
Der Beitrag gibt eine allgemeine fachliche Einordnung und ersetzt keine Prüfung des konkreten Einzelfalls.