Sie wollen einen Passwortmanager im Unternehmen selbst betreiben und prüfen, ob Vaultwarden, Bitwarden oder Passbolt passt? Wir installieren, hosten und betreiben Vaultwarden und Passbolt und richten Bitwarden auf Ihrer Infrastruktur ein. Vaultwarden gibt es auch im Paket Secure Access und Identität. Vaultwarden-Betrieb ansehen · Erstgespräch buchen (unverbindlich und kostenlos)
Vaultwarden, Bitwarden und Passbolt lassen sich auf eigener Infrastruktur betreiben und verwalten Zugangsdaten für Teams. Sie unterscheiden sich bei Lizenz, Editionsgrenzen (SSO, SCIM, Verzeichnisanbindung), Betriebsmodell, Herstellersupport und Prüfungen. Dieser Vergleich stellt die Unterschiede mit Primärquellen und Lizenzzitaten nebeneinander. Was die Quellen nicht hergeben, steht als "nicht gefunden" im Text. Stand: 10. November 2026.
Inhaltsverzeichnis
- Kurz beantwortet
- Was unterscheidet Vaultwarden, Bitwarden und Passbolt auf einen Blick?
- Welche Lizenz gilt, und was ist kostenpflichtig?
- Welche Funktionen stecken in welcher Edition?
- Wer steht hinter dem Projekt?
- Welche Versionen gelten im November 2026?
- Wie viel Server braucht welcher Passwortmanager?
- Wie sicher ist der Betrieb?
- Was sagen BSI und NIS2 zu Passwortmanagern?
- Welche verbreiteten Irrtümer gibt es?
- Wann passt welche Lösung?
- Stand und Methodik
- Unser Vorgehen bei WZ-IT
- Weiterführende Guides
- Quellen
Kurz beantwortet
Die Zuordnung ist unsere Einschätzung auf Basis der unten belegten Unterschiede, keine Herstellerangabe.
| Anforderung | Naheliegende Wahl (Einschätzung) | Begründung |
|---|---|---|
| Kleines Team, keine Lizenzkosten, SSO per OpenID Connect | Vaultwarden | AGPL-3.0, OIDC-SSO seit Version 1.35.0, Zielgruppe laut Wiki kleinere Organisationen |
| SCIM-Provisionierung | Bitwarden Enterprise oder Passbolt Pro | SCIM steht laut Bitwarden-Plantabelle in Teams und Enterprise, eine selbst gehostete Organisation mit SCIM nur mit Enterprise; Passbolt Pro bietet SCIM ab Version 5.5 für Entra ID und Okta. Für Vaultwarden nicht gefunden |
| Herstellersupport mit Reaktionszeiten | Passbolt Pro oder Enterprise | Preisseite: Support am nächsten Werktag in Pro, 4 Stunden in Enterprise; die Vertragsbedingungen (§ 3.3) sagen dazu, Passbolt bemühe sich im Rahmen angemessener Anstrengungen um Antworten innerhalb der Fristen des jeweiligen Plans. Bitwarden nennt Priority-24/7-E-Mail-Support, eine SLA haben wir nicht gefunden. Vaultwarden hat Community-Kanäle |
| Nur Open-Source-Lizenzen im Produktivbetrieb, auch mit SSO oder SCIM | Vaultwarden (SSO) oder Passbolt Pro (SSO, SCIM) | Bei Bitwarden liegen SSO und SCIM unter der Bitwarden License, die keine Open-Source-Lizenz ist; der AGPL-Kern ohne diese Module (OSS-Build laut LICENSE_FAQ) bleibt eine Option ohne SSO und SCIM. Passbolt nennt für alle Editionen AGPL V3, Pro braucht einen Abonnementschlüssel |
| Geteilte Zugänge für ein IT-Team (Server, Dienstkonten, CLI) | Passbolt | Auf Teams ausgerichtet, CLI, API und rollenbasierte Zugriffskontrolle laut Preisseite schon in der Community Edition |
| Verzeichnis (AD/LDAP) und Audit-Log aus einer Hand | Passbolt Pro oder Bitwarden (Teams nur in der Cloud, Enterprise in Cloud oder Self-Hosting) | Passbolt Pro: LDAP und Activity Log laut Matrix; Bitwarden: Directory Connector und Event Logs in Teams und Enterprise, Teams hat keine Self-Host-Option |
| Compliance-Nachweise vom Hersteller | Bitwarden oder Passbolt | Bitwarden nennt ISO 27001, SOC 2 Type 2 und jährliche Audits, Passbolt veröffentlicht Auditberichte. Der Geltungsbereich für eine selbst betriebene Instanz ist auf beiden Seiten nicht genannt |
Was unterscheidet Vaultwarden, Bitwarden und Passbolt auf einen Blick?
| Merkmal | Vaultwarden | Bitwarden Self-Hosted | Passbolt |
|---|---|---|---|
| Lizenz (Stand November 2026) | AGPL-3.0 | AGPL-3.0 und Bitwarden License je Verzeichnis | AGPL-3.0 (Community Edition), Pro laut Preisseite ebenfalls AGPL V3 |
| Träger | Maintainer-Team, inoffiziell | Bitwarden, Inc. | Passbolt SA, Sitz laut README in Luxemburg |
| Zielgruppe laut Quelle | Einzelpersonen, Familien und kleinere Organisationen | Laut Preisseite für Unternehmen jeder Größe; Self-Hosting ist laut Lizenzierungs-Hilfe kostenlos, Funktionen schaltet eine Lizenzdatei frei; Organisationen auf dem eigenen Server gibt es nach der Plantabelle nur mit Families oder Enterprise | Passwortmanager für Teams |
| Aktuelle Version | 1.37.5 (01.11.2026) | v2026.10.1 (28.10.2026) | 5.17.0 (20.10.2026) |
| Clients | Offizielle Bitwarden-Clients; der Server implementiert nur die API-Seite | Offizielle Bitwarden-Clients | Browser-Erweiterungen, Mobile-Apps, CLI |
| Datenbank | SQLite, MySQL, PostgreSQL | Standard: MSSQL (Express-Image oder extern, laut Bitwarden-Hilfe werden SQL Server 2022 und 2025 unterstützt und empfohlen); Lite: auch PostgreSQL, SQLite, MySQL/MariaDB | In den geprüften Seiten nicht erhoben |
| Verschlüsselung (Herstellerangabe) | Keine eigene Angabe gefunden, die Clients stammen von Bitwarden | Zero-Knowledge-Ansatz | OpenPGP, Ende-zu-Ende |
| Support | Community: Matrix, GitHub Discussions, Discourse | Priority-24/7-E-Mail-Support für zahlende Kunden | CE: Community; Pro und Enterprise mit SLA |
| Preis (Abruf 10.11.2026) | Keine Lizenzkosten | Cloud: Teams 4 USD, Enterprise 6 USD pro Nutzer und Monat; Selbst gehostete Organisationen nur mit Enterprise (6 USD) oder Families (bis 6 Nutzer), das Self-Hosting selbst ist kostenlos | CE kostenlos, Pro 4,50 Euro pro Nutzer und Monat |
Weitere Passwortmanager für Unternehmen, etwa Psono, Passwork oder Password Depot, sind nicht Teil dieses Vergleichs und wurden nicht geprüft.
Welche Lizenz gilt, und was ist kostenpflichtig?
| Produkt und Teil | Lizenz | Kostenpflichtig | Beleg |
|---|---|---|---|
| Vaultwarden Server | AGPL-3.0 | Nein | LICENSE.txt |
| Bitwarden Server (Standardverzeichnisse) | AGPL-3.0 | Self-Hosting kostenlos, Organisationen brauchen eine Lizenzdatei | LICENSE_AGPL.txt, Hilfe: Lizenzierung |
Bitwarden Verzeichnis bitwarden_license (u. a. SSO, SCIM) |
Bitwarden License v1.0 ("source available") | Für Produktivnutzung ja | LICENSE_BITWARDEN.txt, LICENSE_FAQ.md |
| Passbolt Community Edition | AGPL-3.0 | Nein | LICENSE.txt |
| Passbolt Pro und Enterprise | AGPL V3 laut Preisseite | Abonnement, Schlüssel nötig | Preisseite und FAQ |
Zur Bitwarden-Lizenzstruktur: Die LICENSE.txt lautet "Source code in this repository is covered by one of two licenses: (i) the GNU Affero General Public License (AGPL) v3.0 (ii) the Bitwarden License v1.0. The default license throughout the repository is AGPL v3.0 unless the header specifies another license. Bitwarden Licensed code is found only in the /bitwarden_license directory." In diesem Verzeichnis liegen unter anderem die Module Scim und Sso. Die Bitwarden License gewährt in Abschnitt 2.1 eine Lizenz "for the sole purposes of internal development and internal testing, and only in a non-production environment". Die LICENSE_FAQ ergänzt, dass für die Produktivnutzung "a paid subscription" nötig ist und dass die Bitwarden License nicht als Open-Source-Lizenz nach der OSI-Definition gilt. Dasselbe Dokument nennt, dass das Modul Api standardmäßig Commercial.Core unter der Bitwarden License enthält, dies sich aber mit /p:DefineConstants="OSS" beim Bauen abschalten lässt. Dies ist keine Rechtsberatung.
Zur AGPL, die alle drei Server-Kerne nutzen: Die Präambel beschreibt sie als "a free, copyleft license for software and other kinds of works, specifically designed to ensure cooperation with the community in the case of network server software". Nach Abschnitt 13 muss, wer das Programm ändert, allen Nutzern, die über ein Netzwerk damit interagieren, den Zugang zum Quelltext der geänderten Version anbieten. Wer den Server unverändert betreibt, löst diese Pflicht nach dem Wortlaut nicht aus ("if you modify the Program"). Das ist keine vollständige Betriebsfreigabe: Bei Weitergabe der Software greifen weitere Pflichten der AGPL, und wer Bitwarden als Dienst anbieten will, findet in der LICENSE_FAQ eigene Hinweise zu Diensteangeboten. Dies ist keine Rechtsberatung. Zu Passbolt kommt ein Markenvorbehalt: Das README nennt "Passbolt" eine eingetragene Marke der Passbolt SA und lehnt eine Markenlizenz nach AGPL Abschnitt 7(e) ab.
Zu Vaultwarden steht im Wiki: "Vaultwarden supports some paid features and offers that functionality for free."
Was kosten die Tarife?
Alle Beträge stammen von den Herstellerseiten, abgerufen am 10. November 2026.
| Angebot | Preis | Bezugsgröße | Beleg |
|---|---|---|---|
| Bitwarden Teams (Cloud, keine Self-Host-Option) | 4 US-Dollar | pro Nutzer und Monat, jährlich abgerechnet, ohne Steuern | Preisseite |
| Bitwarden Enterprise (Cloud oder Self-Hosting) | 6 US-Dollar | pro Nutzer und Monat, jährlich abgerechnet, ohne Steuern | Preisseite, Hilfe |
| Passbolt Community Edition | 0 Euro | unbegrenzte Nutzer, AGPLv3 | Preisseite |
| Passbolt Pro (selbst gehostet) | 4,50 Euro | pro Nutzer und Monat, jährlich abgerechnet, mindestens 10 Nutzer, Mengenrabatt nach 100 Nutzern, ohne Steuern laut Vertragsbedingungen | Preisseite, Bedingungen |
| Passbolt Cloud Business | 5 Euro | pro Nutzer und Monat bei monatlicher Abrechnung, mindestens 10 Nutzer, Hosting in Belgien und Deutschland | Cloud-Preisseite |
| Passbolt Cloud Sovereign | 7 Euro | pro Nutzer und Monat, jährlich abgerechnet, mindestens 10 Nutzer, Hosting in Luxemburg | Cloud-Preisseite |
| Vaultwarden | 0 | keine Lizenzkosten, Betrieb nicht eingerechnet | LICENSE.txt |
Eigene Rechnung für 100 Nutzer bei jährlicher Abrechnung, ohne Rabatte und ohne Betriebskosten:
| Angebot | Rechnung | Ergebnis pro Jahr |
|---|---|---|
| Bitwarden Teams | 100 x 4 x 12 | 4.800 US-Dollar (Cloud, ohne Self-Host-Option) |
| Bitwarden Enterprise | 100 x 6 x 12 | 7.200 US-Dollar |
| Passbolt Pro | 100 x 4,50 x 12 | 5.400 Euro (ohne Steuern laut Pro-Vertragsbedingungen § 4.6) |
Die Währungen sind nicht umgerechnet. Server, Betrieb, Backups und Updates kommen bei Selbstbetrieb hinzu.
Welche Funktionen stecken in welcher Edition?
Die Tabellen geben die Herstellerangaben wieder. "Nicht gefunden" bedeutet, dass wir die Funktion in der genannten Dokumentation nicht gefunden haben, nicht dass sie sicher fehlt.
Identität und Provisionierung
| Funktion | Vaultwarden | Bitwarden | Passbolt |
|---|---|---|---|
| SSO | OpenID Connect seit 1.35.0, Keycloak, Authentik und Authelia dokumentiert, Master-Passwort bleibt Pflicht; SAML nicht gefunden | Nur Enterprise ("Passwordless SSO integration"), laut Preisseite | CE nein; Pro: Microsoft, Google, OpenID, AD FS laut Matrix |
| SCIM | Nicht gefunden | Teams und Enterprise laut Plantabelle; selbst gehostete Organisation nur Enterprise | Pro ab 5.5 für Entra ID und Okta, nur /Users-Endpunkte |
| Verzeichnis (AD/LDAP) | Wiki führt Directory-Connector-Unterstützung, LDAP über den Fremddienst vaultwarden_ldap | Directory Connector in Teams (nur Cloud) und Enterprise | Pro: LDAP-Provisionierung (AD, OpenLDAP) |
| Audit- und Event-Log | Event Logs für Organisationen, müssen aktiviert werden | Teams (nur Cloud) und Enterprise: über 50 Ereignistypen | CE nein; Pro: Activity Log, Ausgabe als Syslog |
| MFA | E-Mail, Authenticator, FIDO2, YubiKey, Duo; Richtlinie "Require two-step login" | Zweistufige Anmeldung, Organisations-2FA per Duo in Teams | CE: Schlüssel und Passphrase, zusätzliche Faktoren (TOTP, YubiKey, Duo); Pro: MFA-Policy, die laut Doku nur an die Einrichtung erinnert und die Anmeldung nicht blockiert |
| Passkeys | "Login with Passkeys" laut Wiki noch nicht umgesetzt | "Passkey management and usage" in jedem Konto | Passkeys als MFA-Provider ab 5.17.0 |
Betrieb und Support
| Aspekt | Vaultwarden | Bitwarden | Passbolt |
|---|---|---|---|
| Organisationsfunktionen | Organisationen, Gruppen, Collections, Richtlinien im Server enthalten (teils per Umgebungsvariable zu aktivieren) | Organisation auf dem eigenen Server nur per Lizenzdatei, eine Organisation pro Abonnement | Gruppen und Rechte schon in der CE, Tags und bestimmte administrative Policies (etwa die MFA-Policy) in Pro |
| Support | Community-Kanäle, keine kommerzielle Option gefunden | Priority-24/7-E-Mail für Zahlende, SLA nicht gefunden | CE Community; Pro nächster Werktag; Enterprise 4 Stunden (Geschäftszeiten) |
| Installations-ID | Für den Grundbetrieb nicht nötig; mobile Push-Benachrichtigungen brauchen laut Wiki eine Installations-ID und einen Key von Bitwarden | Pflicht: Installations-ID und Key von bitwarden.com/host (Registrierung, Push-Relay, Lizenzprüfung) | Pro: Abonnementschlüssel, ohne ihn läuft Pro nicht |
Wer steht hinter dem Projekt?
Vaultwarden. Ein Community-Projekt. Laut README ist es nicht mit Bitwarden verbunden, ein aktiver Maintainer ist aber bei Bitwarden angestellt und trägt in seiner Freizeit bei. Eine Gesellschaft oder ein kommerzielles Supportangebot haben wir nicht gefunden.
Bitwarden. Bitwarden, Inc. entwickelt Server und Clients und bietet eine Cloud (nach eigener Angabe auf Microsoft Azure, Regionen USA und EU) sowie die Self-Hosted-Edition. Die LICENSE.txt schließt Rechte an Marken und Logos aus.
Passbolt. Passbolt SA ist Markeninhaber, laut README hat das Unternehmen seinen Sitz in der EU, genauer in Luxemburg und sammelt nach eigener Aussage keine Telemetrie.
Welche Versionen gelten im November 2026?
| Produkt | Version | Datum | Hinweis | Quelle |
|---|---|---|---|---|
| Vaultwarden | 1.37.5 | 01.11.2026 | Web-Vault 2026.10.1, enthält zwei Sicherheitskorrekturen, deren Advisories noch nicht öffentlich sind | Release |
| Vaultwarden | 1.37.4 | 05.10.2026 | Sieben Advisories, darunter GHSA-69q9-v8p6-xvx3 (High, 8.1) | Release |
| Vaultwarden | 1.35.0 | 27.12.2025 | Erste Version mit OIDC-SSO und Release-Attestierung | Release |
| Bitwarden Server | v2026.10.1 | 28.10.2026 | Versionierung nach Jahr und Monat | Releases |
| Passbolt | 5.17.0 | 20.10.2026 | Passkeys als MFA-Provider | Releases |
Wie viel Server braucht welcher Passwortmanager?
| Aspekt | Vaultwarden | Bitwarden Standard | Bitwarden Lite | Passbolt |
|---|---|---|---|---|
| RAM | Keine Mindestwerte in der Dokumentation, Randnotiz: rund 10 MB für den Betrieb | Mindestens 2 GB, empfohlen 4 GB | Mindestens 200 MB | Empfohlene Mindest-VM: 2 GB |
| CPU | Nicht genannt | x64, 1,4 GHz; empfohlen 2 GHz Dual Core | Nicht genannt | 2 Kerne |
| Speicher | Nicht genannt | 12 GB, empfohlen 25 GB | Mindestens 1 GB | 20 GB |
| Datenbank | SQLite, MySQL, PostgreSQL | MSSQL Express (10 GB Maximalgröße) oder externer SQL Server 2022 oder 2025 | MSSQL, PostgreSQL, SQLite, MySQL/MariaDB | In den geprüften Seiten nicht erhoben |
| Laufzeit | Container-Image, Web-Vault nur über HTTPS | Docker Engine 26+, Skript für Linux und Windows, Helm | Docker Engine 26+ | PHP ab 8.2, Docker, Kubernetes, Pakete für gängige Distributionen |
Quellen: Vaultwarden-Wiki und README, Bitwarden Linux-Installation und Lite-Installation, Passbolt-Anforderungen und composer.json. Die Werte haben unterschiedliche Bezugsgrößen (Mindestwert, Empfehlung, Randnotiz) und sind kein Kapazitätsvergleich unter gleicher Last. Bei Lite wird die Datenbank nicht mitgeliefert; Wartung und Backups liegen laut Bitwarden vollständig beim Betreiber.
Wie sicher ist der Betrieb?
Welche externen Prüfungen gibt es?
| Projekt | Prüfung | Quelle |
|---|---|---|
| Vaultwarden | BSI-Projekt CAOS 3.0 mit der mgm security partners GmbH: Vaultwarden 1.30.3 und Browser-Erweiterung 2024.3.1, Analyse 12.02. bis 16.05.2024, Bericht vom 12.06.2024. Server: je zwei Schwachstellen mittlerer und hoher Kritikalität, drei CVE beantragt (Angaben aus dem Ergebnisbericht). Laut BSI-Pressemitteilung (Veröffentlichung 14.10.2024) haben die Entwickler die Schwachstellen analysiert und bereits reagiert | BSI-Ergebnisbericht (PDF), BSI-Pressemitteilung |
| Vaultwarden | Pentest der ERNW Enno Rey Netzwerke GmbH für einen Kunden im Oktober 2024, teilweises Source-Audit, drei Schwachstellen, darunter ein Authentication Bypass (CVE-2024-55225, Versionen vor 1.32.5) | ERNW-Blog, Wiki: Audits |
| Bitwarden | Zertifizierungen und Attestierungen laut Hersteller: ISO 27001, SOC 2 Type 2, SOC 3. Audits: jährliche Drittaudits, für 2025 führt die Seite neun Berichte auf (u. a. Cure53, ETH Zürich, Unit 42, Fracture Labs). Bug-Bounty über HackerOne | Bitwarden: Audits |
| Passbolt | Audits: Cure53 2021, Berichte unter anderem zu SCIM (Cure53, Februar 2026), zu Pro 5.4 (Quarkslab, Vorprüfung für die ANSSI-Zertifizierung CSPN, November 2025, laut Bericht ohne Garantie einer Zertifizierung) und ein DSGVO-Audit (Examin, Juli 2026). Attestierung: SOC 2 Type II 2021 (Bericht auf Anfrage) | Passbolt: Security |
Das BSI-Ergebnis gilt für Version 1.30.3. Ob die damals genannten Punkte in der aktuellen Version unverändert gelten, haben wir nicht geprüft. Der Bericht nennt unter anderem, Vaultwarden sehe keinen Offboarding-Prozess für Organisationsmitglieder vor, bei dem die Organisationsschlüssel ausgetauscht werden. Pentests und Code-Audits prüfen ein Produkt zu einem Zeitpunkt, SOC-Berichte und ISO 27001 betreffen Organisation oder Dienst; keines davon ist ein Zertifikat für Ihre eigene Instanz. Den Geltungsbereich der Bitwarden- und Passbolt-Nachweise für eine selbst betriebene Instanz nennen die Seiten nicht.
Welche Sicherheitsmeldungen gab es 2026?
Die Zahlen sind nicht vergleichbar und ergeben kein Sicherheitsranking. Vaultwarden veröffentlicht Schwachstellen als GitHub-Advisories, bei Bitwarden und Passbolt laufen Meldungen über andere Verfahren. Eine höhere Zahl bedeutet deshalb nicht, dass ein Produkt unsicherer ist.
| Projekt | Befund (1. Januar bis 10. November 2026) | Quelle |
|---|---|---|
| Vaultwarden | 33 veröffentlichte Advisories (eigene Zählung über die GitHub-API nach Veröffentlichungsdatum: 8 High, 24 Medium, 1 Low; 16 mit CVE-ID; Februar 1, März 4, April 6, Mai 4, Oktober 18). Beispiele: CVE-2026-47158 (CSRF im SSO-Login, 8,3), CVE-2026-43913 (unbestätigter Owner konnte den Organisations-Vault leeren, 8,1), GHSA-69q9-v8p6-xvx3 (entzogene Mitglieder behielten Zugriff, 8,1, behoben in 1.37.4), CVE-2026-26012 (Zugriff auf Ciphers ohne Collection-Rechte, 6,5). Release 1.37.5 enthält zwei weitere Korrekturen, deren Advisories (GHSA-x9cq-f669-vrr4, GHSA-9pjj-f9g5-3x4c) noch nicht öffentlich sind | GitHub Advisories |
| Bitwarden Server | Keine veröffentlichten GitHub-Advisories im Repository; Meldungen laufen laut SECURITY.md über HackerOne. CVE-Datenbanken haben wir nicht geprüft | GitHub Advisories |
| Passbolt | Keine GitHub-Advisories; Security-Einträge im Changelog bei acht von zehn stabilen Releases 2026, viele davon Abhängigkeiten. Beispiele aus 5.17.0 (20.10.2026): blinde SSRF über den Avatar-Upload (PB-54638), MFA-Brute-Force-Limiter zählte falsche TOTP-Codes nicht (PB-54640), Umgehung des SSRF-Schutzes bei SSO-Provider-URLs (PB-54703) | Changelog |
Die Einträge gehören unterschiedlichen Fehlerklassen an (Zugriffskontrolle in Organisationen, SSO-Flows, SSRF, MFA-Begrenzung); bei Vaultwarden und Passbolt kehren SSO-Anbindung und SSRF-Schutz wieder, das ist unsere Einschätzung. Unsere Empfehlung für den Betrieb: Updates zeitnah einspielen, den Dienst nur über TLS erreichbar machen, ausgehende Verbindungen des Servers begrenzen und Sicherheitsmeldungen beobachten. Bei Passbolt (PHP ab 8.2) gehört auch die PHP-Laufzeit in den Patch-Prozess. Zum Patch-Takt siehe CVE-Monitoring und Managed Operations.
Was sagen BSI und NIS2 zu Passwortmanagern?
In Artikel 21 Absatz 2 der NIS-2-Richtlinie und in § 30 Absatz 2 BSIG wird kein Produkt Passwortmanager genannt. Artikel 21 Absatz 2 der NIS-2-Richtlinie verlangt, dass die Maßnahmen "zumindest Folgendes umfassen", darunter unter Buchstabe i "Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen" und unter Buchstabe j "Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung". Das deutsche § 30 Absatz 2 BSIG führt entsprechende Punkte als Nummer 9 und 10 auf. Absatz 1 verlangt "geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen". Ob ein Passwortmanager dazu beiträgt und welcher passt, richtet sich nach der Einrichtung; nach dem geprüften Wortlaut ist er nicht ausdrücklich vorgeschrieben. Durchführungsrechtsakte und Sektorvorgaben haben wir nicht geprüft. Dies ist keine Rechtsberatung. Die Einordnung der NIS2-Pflichten steht im Beitrag Vaultwarden 1.36.0 und NIS2.
Das BSI beschreibt auf seiner Seite zu Passwort-Managern für Verbraucher: "Ja, in der Regel lohnt sich der Einsatz eines Passwort-Managers." Als Nachteil nennt es, dass im schlechtesten Fall alle Passwörter auf einmal gestohlen werden. Eine eigene Empfehlung für Unternehmen haben wir auf dieser Seite nicht gefunden.
Welche verbreiteten Irrtümer gibt es?
| Irrtum | Befund | Beleg |
|---|---|---|
| "Vaultwarden ist Bitwarden." | Vaultwarden ist eine inoffizielle Server-Implementierung und laut Projekt nicht mit Bitwarden, Inc. verbunden | README, FAQ |
| "Self-hosted bedeutet automatisch sicher." | Der Betreiber trägt Updates, Backups, TLS und Zugriff. Vaultwarden hat 2026 bis zum 10. November 33 veröffentlichte Advisories, das BSI fand 2024 Schwachstellen hoher Kritikalität | Advisories, BSI |
| "Passbolt ist nur etwas für Entwickler." | Passbolt nennt sich Passwortmanager für Teams, mit Browser-Erweiterungen und Mobile-Apps; CLI und API sind zusätzlich vorhanden. Einführung und Schlüsselverwaltung brauchen Planung | README, Preisseite |
| "Bitwarden-Clients funktionieren nur mit dem offiziellen Server." | Die Clients lassen sich auf einen Self-hosted-Server umstellen, Vaultwarden gibt Kompatibilität an. Supportanfragen gehen laut Vaultwarden an das Vaultwarden-Projekt | Bitwarden-Hilfe, README |
| "Vaultwarden ist ungeprüft." | BSI-Studie zu 1.30.3 (2024) und ERNW-Pentest (2024). Keine Prüfung der aktuellen Version und kein Zertifikat gefunden | Wiki: Audits |
| "Bitwarden Self-Hosted ist kostenlos." | Das Self-Hosting selbst ist kostenlos, Organisationen brauchen eine Lizenzdatei. Für Unternehmensorganisationen dokumentiert Bitwarden Enterprise als Self-Hosting-Tarif (6 US-Dollar pro Nutzer und Monat); SSO und SCIM liegen unter der Bitwarden License | Hilfe, Preisseite |
Wann passt welche Lösung?
Die folgenden Punkte sind unsere Einschätzung und keine Herstellerangabe.
Vaultwarden liegt nahe, wenn ein kleines bis mittleres Team mit den offiziellen Bitwarden-Clients arbeiten soll, keine Lizenzkosten anfallen sollen und SSO über OpenID Connect genügt. Dazu gehört die Bereitschaft, ohne Herstellersupport zu arbeiten und Updates zeitnah einzuspielen. SCIM, SAML oder einen Vertrag mit Reaktionszeit haben wir für Vaultwarden in den geprüften Quellen nicht gefunden.
Bitwarden Self-Hosted liegt nahe, wenn der Hersteller selbst Vertragspartner sein soll, SCIM, Directory Connector und Hersteller-Zertifizierungen gebraucht werden und für die Organisation auf dem eigenen Server ein Enterprise-Abonnement eingeplant ist. Einzurechnen sind die Installations-ID, die Lizenzdatei, MSSQL in der Standard-Installation und die Bitwarden License für SSO und SCIM.
Passbolt liegt nahe, wenn Teams gemeinsam Zugänge verwalten (IT-Team, Dienstkonten, CLI und API), ein europäischer Hersteller mit veröffentlichten Auditberichten gewünscht ist und der Schlüsselprozess mit persönlichen Recovery-Daten eingeführt werden kann; Pro bietet zusätzlich eine Account Recovery. Die Community Edition ist für kleine Teams ohne SSO und Audit-Log kostenfrei, ab SSO, Verzeichnis oder SCIM braucht es Pro mit mindestens 10 Nutzern.
Stand und Methodik
Stand: 10. November 2026. Grundlage sind Lizenzdateien, Dokumentationen, Preisseiten, Release-Seiten und Sicherheitsmeldungen der drei Projekte sowie die BSI-Veröffentlichungen, abgerufen am 10. November 2026, jeweils mit Link im Text. Preise gelten für den Abruftag; die Rechnung für 100 Nutzer ist unsere eigene. "Nicht gefunden" heißt, dass wir die Funktion in der genannten Dokumentation nicht gefunden haben, kein Beleg für ihr Fehlen. Eigene Einschätzungen sind gekennzeichnet. Die Zählung der Sicherheitsmeldungen deckt 1. Januar bis 10. November 2026 ab und ist kein Qualitätsranking; die Vaultwarden-Zahlen sind unsere eigene Zählung der über die GitHub-API abrufbaren veröffentlichten Advisories nach Veröffentlichungsdatum. Die BSI-Details stammen aus dem Ergebnisbericht, die Pressemitteilung belegt das Veröffentlichungsdatum. Release-Daten sind UTC-Daten der GitHub-API. Offen sind: Datenbankangaben für Passbolt, der Geltungsbereich der Zertifizierungen für selbst betriebene Instanzen, CVE-Einträge zu Bitwarden außerhalb von GitHub und der heutige Stand der BSI-Befunde zu Vaultwarden. Spätere Änderungen sind nicht eingearbeitet.
Unser Vorgehen bei WZ-IT
Vaultwarden. Wir installieren, hosten und betreiben Vaultwarden für Ihr Unternehmen, wahlweise auf unserer Infrastruktur in Deutschland oder an anderen Standorten sowie On-Premise in Ihrer Umgebung, mit 24/7-Monitoring, Backups und Wartung. Reaktionszeiten und Supportzeiten richten sich nach dem gewählten Service Level. Benötigte Clients und Funktionen testen wir versionsbezogen vor dem produktiven Einsatz, weil Vaultwarden eine inoffizielle Implementierung ist. Im Paket Secure Access und Identität betreiben wir Vaultwarden zusammen mit Managed NetBird und Keycloak oder Authentik für die Anmeldung. Das Paket für Git, CI und Registry enthält Vaultwarden für Team-Zugänge ebenfalls, dynamische Secrets für Pipelines sind nicht Teil davon.
Passbolt. Für Passbolt bieten wir Managed Hosting mit dedizierter Instanz, Backup, Monitoring und Service Level an, alternativ den Betrieb in Ihrer Cloud oder On-Premise. Bestehende Passbolt-Instanzen übernehmen wir nach Prüfung von Version, Edition, Datenbank, Mail, Schlüsseln und Backup. SSO, Directory Sync und weitere Funktionen können eine kommerzielle Passbolt-Edition erfordern; Herstellerlizenzen weisen wir separat aus. Persönliche Recovery Kits bleiben bei den Nutzern, ein Server-Restore ersetzt sie nicht; die Pro Edition bietet als Herstellerfunktion zusätzlich eine Account Recovery, die Administratoren aktivieren müssen.
Bitwarden. Bitwarden bieten wir nicht als Hosting an. Wir installieren und betreiben es als Ihre eigene Instanz auf Ihrer Infrastruktur und in Ihrem Auftrag. Laut dem Lizenzhinweis auf unserer Bitwarden-Seite betreiben wir den unter AGPL-3.0 stehenden Server ohne die Module unter der Bitwarden License; Enterprise-Funktionen unter dieser Lizenz sind ausgeschlossen, und WZ-IT ist nicht Vertragspartner des Herstellers. Bei der Beschaffung einer erforderlichen Herstellerlizenz unterstützen wir auf Wunsch.
Sie wägen Vaultwarden, Bitwarden und Passbolt für Ihr Team ab? Wir besprechen Anforderungen, Identitätsdienst und den Umfang des Betriebs mit Ihnen. Vaultwarden-Betrieb ansehen · Passbolt ansehen · Erstgespräch buchen (unverbindlich und kostenlos)
Weiterführende Guides
- Vaultwarden 1.36.0 und NIS2: Self-Hosted Passwort-Management für KMU
- Warum Unternehmen CVE-Monitoring brauchen
- Keycloak Alternativen: Authentik, ZITADEL und weitere
- OpenBao oder HashiCorp Vault: Secrets-Management nach dem Lizenzwechsel
- Vaultwarden Managed Hosting
- Paket Secure Access und Identität
Quellen
- Vaultwarden: README
- Vaultwarden: LICENSE.txt (AGPL-3.0)
- Vaultwarden Wiki: Home und Funktionsliste
- Vaultwarden Wiki: Audits
- Vaultwarden Wiki: SSO per OpenID Connect
- Vaultwarden Wiki: FAQs
- Vaultwarden Wiki: Container-Images und Datenbanken
- Vaultwarden Wiki: Building binary
- Vaultwarden Wiki: Supporting upstream
- Vaultwarden Wiki: LDAP-Sync
- Vaultwarden Release 1.37.5
- Vaultwarden Release 1.37.4
- Vaultwarden Release 1.37.0
- Vaultwarden Release 1.35.0
- Vaultwarden Security Advisories
- BSI: Codeanalyse KeePass und Vaultwarden (14.10.2024)
- BSI: Ergebnisbericht Vaultwarden (mgm security partners, PDF)
- ERNW Insinuator: Authentication Bypass in Vaultwarden, CVE-2024-55225
- Bitwarden Server: LICENSE.txt
- Bitwarden Server: LICENSE_AGPL.txt
- Bitwarden Server: LICENSE_BITWARDEN.txt
- Bitwarden Server: LICENSE_FAQ.md
- Bitwarden Server: Verzeichnis bitwarden_license
- Bitwarden Server: SECURITY.md
- Bitwarden Server: Releases
- Bitwarden Server: Security Advisories
- Bitwarden: Preise
- Bitwarden: Preise für Unternehmen
- Bitwarden Hilfe: Self-host Bitwarden
- Bitwarden Hilfe: Linux-Installation und Anforderungen
- Bitwarden Hilfe: Lite-Installation
- Bitwarden Hilfe: Lizenzierung von Self-Hosted-Organisationen
- Bitwarden Hilfe: Pläne im Vergleich
- Bitwarden Hilfe: Audits und Zertifizierungen
- Bitwarden Hilfe: Hosting-FAQ (Installations-ID)
- Bitwarden: Installations-ID und Key anfordern
- Bitwarden Hilfe: Clients mit eigenem Server verbinden
- Passbolt API: README
- Passbolt API: LICENSE.txt (AGPL-3.0)
- Passbolt API: CHANGELOG
- Passbolt API: Releases
- Passbolt: Preise Self-Hosted
- Passbolt: Preise Cloud
- Passbolt: Security und Auditberichte
- Passbolt Doku: Serveranforderungen
- Passbolt Doku: SCIM
- Passbolt Doku: MFA-Policy
- Passbolt Doku: Account Recovery
- Passbolt: Vertragsbedingungen Pro
- NIS-2-Richtlinie (EU) 2022/2555 auf EUR-Lex
- BSIG § 30 Risikomanagementmaßnahmen
- BSI: Passwörter verwalten mit einem Passwort-Manager
- Bitwarden Hilfe: Externe Datenbank
- Vaultwarden Wiki: Push-Benachrichtigungen für mobile Clients
