Passwort-Manager für kleine Teams: sicher und DSGVO-konform

Das Passwort für den gemeinsamen Shop-Zugang klebt am Monitor, der Zugang zum Google-Unternehmensprofil steht in einer Excel-Liste, und wenn eine Aushilfe geht, ändert niemand die Kennwörter. So läuft es in vielen kleinen Betrieben, und genau daraus entstehen die ärgerlichsten Zwischenfälle: gekaperte Konten, gesperrte Zugänge, ein Ex-Mitarbeiter, der noch monatelang mitliest. Ein Passwort-Manager räumt damit auf. Er speichert alle Zugangsdaten verschlüsselt an einem Ort, gibt einzelne davon gezielt frei und macht Schluss mit der Zettelwirtschaft. Die Frage ist nur, welches Werkzeug zu einem kleinen Team passt und worauf Sie beim Datenschutz achten müssen.

Warum ein Notizzettel keine Lösung ist

Das Grundproblem ist nicht Bequemlichkeit, sondern Mathematik. Ein Mensch kann sich keine dreißig verschiedenen, langen Passwörter merken, also nimmt er überall dasselbe oder eine leicht abgewandelte Variante. Taucht dieses eine Passwort bei einem Datenleck auf, und solche Leaks passieren ständig, probieren Angreifer es automatisiert bei allen anderen Diensten durch. Ein einziger geknackter Zugang öffnet dann die Tür zu Shop, Bank, Buchhaltung und Postfach.

Geteilte Listen machen es nicht besser, sondern schlimmer. Eine Excel-Tabelle mit Zugangsdaten liegt unverschlüsselt in irgendeinem Ordner, wird per Mail verschickt und landet in fünf Postfächern. Wer einmal Zugriff hatte, behält ihn faktisch für immer, auch nach dem Ausscheiden. Ein Passwort-Manager dreht das um: Jede Person hat einen eigenen Zugang, sieht nur die freigegebenen Einträge, und beim Abgang entziehen Sie den Zugriff mit einem Klick, ohne dass Sie deshalb sämtliche Kennwörter neu vergeben müssen.

Was ein guter Passwort-Manager für Teams können muss

Für den privaten Gebrauch reicht fast jedes Werkzeug. Im Team kommt es auf ein paar Funktionen an, die eine reine Einzellösung nicht bietet:

• Geteilte Tresore oder Ordner. Sie legen fest, wer welche Zugänge sieht. Die Buchhaltung braucht andere Passwörter als der Vertrieb, und nicht jeder muss an die Bankdaten.
• Rollen und Rechte. Ein Administrator verwaltet Mitglieder und Freigaben, alle anderen nutzen nur, was für sie freigegeben ist.
• Zwei-Faktor-Authentifizierung. Der Zugang zum Manager selbst muss durch einen zweiten Faktor geschützt sein, sonst hängt Ihre gesamte Sicherheit an einem einzigen Master-Passwort.
• Sicheres Teilen ohne Kopieren. Ein Passwort wird freigegeben, nicht per Chat verschickt. Ändert es sich, sehen alle sofort die neue Version.
• Sauberer Ausstieg. Beim Personalwechsel entziehen Sie den Zugriff zentral. Was die Person nie im Klartext gesehen hat, muss auch nicht neu vergeben werden.
• Notfallzugang. Für den Fall, dass der Inhaber ausfällt, sollte eine zweite Person an die wichtigsten Zugänge kommen.

Alles Weitere, von der automatischen Anmeldung im Browser bis zum Speichern von Notizen und Dokumenten, ist angenehm, aber kein Ausschlusskriterium.

Vier Lösungen im Vergleich

Die folgenden vier Anbieter sind bei kleinen Teams verbreitet und decken unterschiedliche Bedürfnisse ab. Preise und Funktionsumfang ändern sich regelmäßig, prüfen Sie die aktuellen Angaben deshalb auf der jeweiligen Anbieterseite.

Lösung	Für wen	Standort und Besonderheit	Grober Kostenrahmen
Bitwarden	Teams mit Blick auf Kosten und Transparenz	Quelloffen, EU-Hosting wählbar, sehr günstig	Kostenlose Basis, Team-Tarif im niedrigen einstelligen Eurobereich je Nutzer und Monat
1Password	Teams, die maximalen Komfort wollen	Ausgereifte Bedienung, viele Integrationen	Kein dauerhafter Gratistarif, niedriger einstelliger Betrag je Nutzer und Monat
Proton Pass	Datenschutzbewusste Betriebe	Anbieter in der Schweiz, starker Privatsphäre-Fokus	Kostenlose Stufe, günstiger Ausbau im Paket mit weiteren Diensten
NordPass	Einsteiger, die eine einfache Oberfläche suchen	Bekannter Anbieter, unkomplizierte Bedienung	Kostenlose Stufe mit Einschränkungen, Team-Tarif kostenpflichtig

Für die meisten kleinen Betriebe ist Bitwarden ein guter Startpunkt: quelloffen, mit einem ehrlichen kostenlosen Tarif und der Möglichkeit, die Daten in der EU hosten zu lassen. Wer Wert auf eine besonders runde Bedienung legt und das Budget hat, ist mit 1Password bestens bedient. Steht Datenschutz ganz oben, lohnt ein Blick auf Proton Pass. Wichtiger als die Marke ist ohnehin, dass Sie überhaupt eines dieser Werkzeuge konsequent nutzen.

Cloud oder selbst betrieben?

Grundsätzlich gibt es zwei Wege. Bei der Cloud-Variante liegt Ihr verschlüsselter Tresor auf den Servern des Anbieters, und Sie greifen von überall darauf zu. Das ist der bequeme Standardweg, den fast alle kleinen Teams gehen sollten. Entscheidend ist, dass die Verschlüsselung nach dem Prinzip „Zero Knowledge“ arbeitet: Der Anbieter kann Ihre Passwörter selbst nicht lesen, weil sie erst auf Ihrem Gerät mit dem Master-Passwort entschlüsselt werden. Alle hier genannten Lösungen arbeiten so.

Die Alternative ist der Selbstbetrieb, etwa mit Bitwarden auf einem eigenen Server oder mit einem Werkzeug wie Vaultwarden. Das gibt Ihnen die volle Kontrolle über den Speicherort, verlangt aber laufende Wartung, Updates und ein eigenes Backup-Konzept. Für die allermeisten kleinen Betriebe steht dieser Aufwand in keinem Verhältnis zum Gewinn. Wo Ihre Firmendaten allgemein am besten aufgehoben sind und wie Sie den Speicherort sauber wählen, lesen Sie im Ratgeber zum Cloud-Speicher fürs Büro.

DSGVO und rechtliche Punkte

Ein Passwort-Manager speichert Zugangsdaten, und darin stecken oft auch personenbezogene Informationen, etwa Nutzernamen aus Mailadressen. Damit gilt die Datenschutz-Grundverordnung. Ein paar Dinge gehören abgehakt:

• Auftragsverarbeitung regeln. Nutzen Sie einen Cloud-Anbieter, schließen Sie einen Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO ab. Seriöse Anbieter stellen diesen bereit.
• Speicherort kennen. Prüfen Sie, in welcher Region Ihre verschlüsselten Daten liegen. Ein EU- oder Schweiz-Bezug erspart Ihnen Diskussionen über Datentransfers in die USA.
• Verzeichnis ergänzen. Nehmen Sie den Dienst in Ihr Verzeichnis von Verarbeitungstätigkeiten auf, wie jedes andere Werkzeug, das personenbezogene Daten verarbeitet.
• Zugänge sauber trennen. Private und geschäftliche Passwörter gehören nicht in denselben Firmentresor. Dafür bieten die Manager getrennte Bereiche.

Der Punkt Speicherort ist derselbe, der auch bei Videocalls und Cloud-Diensten immer wieder auftaucht. Die gleiche Logik erklärt der Ratgeber zu DSGVO-konformen Videokonferenz-Tools.

Einführung im Team Schritt für Schritt

Ein Passwort-Manager scheitert selten an der Technik, sondern daran, dass ihn am Ende niemand benutzt. So führen Sie ihn ein, ohne dass er wieder einschläft:

1. Anbieter wählen und Team anlegen. Entscheiden Sie sich für eine Lösung, richten Sie das Konto ein und laden Sie die Mitglieder ein.
2. Master-Passwort ernst nehmen. Jede Person legt ein langes, einmaliges Master-Passwort fest, am besten einen Satz mit mehreren Wörtern. Dieses eine Passwort schützt alle anderen.
3. Zwei-Faktor-Pflicht aktivieren. Machen Sie den zweiten Faktor für alle verbindlich. Ohne ihn ist der Manager nur halb so viel wert.
4. Struktur festlegen. Legen Sie geteilte Ordner nach Bereichen an, etwa Buchhaltung, Vertrieb, Technik, und geben Sie sie gezielt frei. Weniger Ordner sind besser als ein unübersichtliches Geflecht.
5. Bestehende Passwörter übertragen. Importieren Sie vorhandene Listen oder tragen Sie die wichtigsten Zugänge zuerst ein. Nutzen Sie die Gelegenheit, schwache und mehrfach verwendete Passwörter direkt durch neue, zufällige zu ersetzen.
6. Kurz einweisen. Zeigen Sie dem Team in einer halben Stunde, wie es Passwörter speichert, teilt und im Browser einträgt. Diese kurze Einweisung entscheidet darüber, ob das Werkzeug angenommen wird.

Sicherheit lebt nicht vom Werkzeug allein, sondern davon, dass die Menschen im Betrieb typische Angriffsmuster erkennen, etwa Phishing-Mails, die genau dieses Master-Passwort abgreifen wollen. Wer diese Grundlagen im Team verankern will, findet passende Schulungen zu IT-Sicherheit und digitalen Werkzeugen bei cmt.de.

Häufige Fehler, die Sie sich sparen können

Auch mit dem besten Werkzeug lässt sich einiges falsch machen. Diese Stolpersteine tauchen in der Praxis am häufigsten auf:

Das Master-Passwort landet doch wieder auf einem Zettel, weil es zu kompliziert gewählt wurde. Besser ist ein langer, aber merkbarer Satz. Der zweite Faktor wird „später“ eingerichtet und dann vergessen, womit der wichtigste Schutz fehlt. Und es gibt keinen Notfallzugang, sodass beim Ausfall der einen Person, die alles verwaltet, niemand mehr an die Zugänge kommt. Legen Sie deshalb von Anfang an fest, wer im Ernstfall übernehmen kann.

Ein letzter Punkt betrifft die Übersicht insgesamt: Ein Passwort-Manager ersetzt kein sauberes Konzept, wer welche Konten überhaupt braucht. Nutzen Sie die Einführung, um verwaiste Zugänge stillzulegen und geteilte Sammelkonten dort aufzulösen, wo persönliche Zugänge sinnvoller sind. Wie Sie Zugriffe und Zusammenarbeit über die großen Plattformen hinweg ordnen, zeigt der Vergleich von Microsoft 365 und Google Workspace. Der Passwort-Manager ist dann das Werkzeug, das diese Ordnung im Alltag hält, statt dass sie nach zwei Wochen wieder in Notizzetteln zerfällt.