Cloud-Dienst oder eigener Server: der Unterschied in einer Tabelle
Ein Passwort-Manager für Firmen besteht aus zwei Teilen: den Apps auf den Geräten der Mitarbeiter und einem Server, der die verschlüsselten Daten speichert und zwischen den Geräten abgleicht. Beim Hosting geht es nur um eine Frage: Wer betreibt diesen Server?
Beim Cloud-Dienst betreibt ihn der Anbieter. Sie legen ein Konto an und zahlen eine Gebühr. Beim Selbsthosten läuft die Software auf einem Server, den Ihre Firma gemietet oder gekauft hat. Dafür ist auch der Begriff On-Premise üblich.
| Frage | Cloud-Dienst | Eigener Server |
|---|---|---|
| Wo liegen die Daten? | Auf Servern des Anbieters, Standort je nach Anbieter und Tarif | Auf dem Server, den Sie ausgewählt haben |
| Wer ist Vertragspartner für den Server? | Der Anbieter des Dienstes | Ihre Firma |
| Wer spielt Updates ein? | Der Anbieter | Sie selbst oder ein Dienstleister |
| Wer sichert die Daten? | Der Anbieter nach seinen Regeln | Sie selbst oder ein Dienstleister |
| Wie wird abgerechnet? | Häufig pro Nutzer und Monat | Servermiete, dazu eigene Arbeitszeit oder Wartung |
| Was passiert bei einem Wechsel? | Export der Daten und Umzug zu einem anderen Dienst | Server und Daten bleiben bei Ihnen |
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt Passwort-Manager grundsätzlich. Als einen Nachteil cloudbasierter Dienste nennt es, dass Sie den Zugang zu Ihren sensiblen Daten in der Regel einem Unternehmen anvertrauen. Nachzulesen ist das beim BSI auf der Seite Passwörter verwalten mit dem Passwort-Manager.
Das heißt nicht, dass ein Cloud-Dienst unsicher ist oder ein eigener Server von selbst sicherer. Der eigene Server verschiebt die Verantwortung: Was vorher der Anbieter erledigt hat, liegt jetzt bei Ihnen.
Was Eigenbetrieb an Arbeit bedeutet
Die Installation ist einmalige Arbeit. Der größere Teil kommt danach und hört nicht auf, solange der Tresor läuft. Vier Aufgaben fallen regelmäßig an.
Updates für Betriebssystem und Tresor-Software
Auf dem Server laufen ein Betriebssystem und die Tresor-Software. Für beide erscheinen laufend Updates, die Fehler beheben und Sicherheitslücken schließen. Jemand muss sie einspielen und danach prüfen, ob der Tresor noch läuft.
Dazu kommt ein Punkt, der oft unterschätzt wird. Die Apps auf den Geräten Ihrer Mitarbeiter aktualisieren sich in der Regel von selbst, über den App-Store oder den Browser. Der Server tut das nicht. Bleibt er lange auf einem alten Stand, passen Apps und Server irgendwann nicht mehr zusammen, und die Anmeldung kann scheitern.
Zertifikat
Der Tresor ist über eine verschlüsselte Verbindung erreichbar, erkennbar am https in der Adresse. Dafür braucht der Server ein SSL-Zertifikat. Zertifikate laufen nach einer festen Zeit ab und müssen erneuert werden.
Die Erneuerung lässt sich automatisieren. Auch eine Automatik kann ausfallen, zum Beispiel nach einer Änderung an der Domain. Ist das Zertifikat abgelaufen, melden Browser und Apps einen Verbindungsfehler, und der Tresor ist für das Team nicht mehr wie gewohnt nutzbar.
Sicherung
Ein Server kann ausfallen, und ein Eintrag kann versehentlich gelöscht werden. Ohne Sicherung sind die Zugänge dann weg. Eine Sicherung, die auf demselben Server liegt, hilft bei einem Ausfall des Servers nicht.
Zum Eigenbetrieb gehört deshalb eine regelmäßige, verschlüsselte Sicherung an einen zweiten Ort. Ebenso wichtig ist der Test: Erst wenn eine Rücksicherung einmal geklappt hat, wissen Sie, dass die Sicherung brauchbar ist.
Erreichbarkeit prüfen
Fällt der ganze Tresor aus, merkt es das Team sofort. Fällt nur ein Teil aus, etwa die automatische Erneuerung des Zertifikats oder die nächtliche Sicherung, merkt es zunächst niemand. Deshalb braucht es eine laufende Prüfung, die sich meldet, bevor der Schaden da ist.
Außerdem braucht es eine zweite Person, die den Server kennt. Sonst steht alles still, wenn die eine Person im Urlaub oder krank ist.
Was passiert, wenn niemand aktualisiert
Am Anfang passiert nichts. Genau das ist das Problem: Ein Tresor ohne Pflege läuft oft lange unauffällig weiter. Die Folgen kommen später und meist mehrere auf einmal.
- Offene Sicherheitslücken: Bekannte Lücken im Betriebssystem oder in der Tresor-Software bleiben offen. Der Server ist aus dem Internet erreichbar und damit auch für Angreifer sichtbar.
- Apps und Server passen nicht mehr zusammen: Die Apps sind aktuell, der Server ist es nicht. Anmeldung oder Abgleich können dann scheitern.
- Abgelaufenes Zertifikat: Browser und Apps weisen die Verbindung zum Tresor ab.
- Sicherung ohne Wert: Die Sicherung läuft seit Monaten nicht mehr oder lässt sich nicht zurückspielen. Das fällt erst auf, wenn sie gebraucht wird.
- Wissen bei einer Person: Nur ein Mitarbeiter weiß, wie der Server aufgebaut ist. Verlässt er die Firma, geht das Wissen mit.
Ein erfundenes Beispiel: Ein Planungsbüro mit sieben Mitarbeitern lässt den Tresor von einem technisch versierten Kollegen einrichten. Zwei Jahre später wechselt er die Stelle. Niemand kennt das Kennwort für den Server, die letzte Sicherung ist ein halbes Jahr alt. Der Tresor läuft noch, aber niemand kann ihn pflegen.
Was beim Weggang eines Mitarbeiters mit den Zugängen zu tun ist, steht in der Checkliste für Passwörter, wenn ein Mitarbeiter geht.
Hinweis: Ein ungepflegter eigener Server ist kein Gewinn gegenüber einem Cloud-Dienst. Der Vorteil des eigenen Servers besteht nur, solange sich jemand verlässlich um ihn kümmert.
Wem der Server gehört und wo er steht
Ein eigener Server muss kein Gerät in Ihrem Büro sein. Für kleine Firmen liegt ein gemieteter Server im Rechenzentrum nahe: Um Strom, Kühlung und Internetanbindung kümmert sich dort der Betreiber.
Wichtig sind zwei Fragen. Die erste: Auf wessen Namen läuft der Mietvertrag? Läuft er auf Ihre Firma, gehört der Server mit allen Daten zu Ihnen. Sie können den Betreuer wechseln, ohne den Tresor umzuziehen. Läuft er auf einen Dienstleister, hängen Sie an dessen Vertrag.
Die zweite: Wo steht der Server? Bei einem Mietserver wählen Sie den Anbieter und damit den Standort selbst. Wer einen Passwort-Manager mit Server in Deutschland sucht, mietet bei einem Anbieter mit deutschem Rechenzentrum.
Der Standort allein beantwortet keine Datenschutzfragen. Dazu gehören auch Verträge, Zugriffsrechte und die Frage, wer den Server betreut. Dieser Text ist keine Rechtsberatung.
Mittelweg: eigener Server, Wartung durch einen Dienstleister
Zwischen Cloud-Dienst und Eigenbetrieb gibt es einen dritten Weg. Der Server läuft auf den Namen Ihrer Firma, die laufende Arbeit übernimmt ein Dienstleister. So arbeitet Passwortheld, ein Dienst von Schönfelder EDV in Dresden. Wir betreuen per Fernwartung, deshalb deutschlandweit.
Sie mieten einen kleinen Server bei netcup auf den Namen Ihrer Firma und zahlen ihn direkt dort. Er steht in einem deutschen Rechenzentrum von netcup. Wir richten darauf den Tresor ein und halten ihn aktuell. Wir hosten nie selbst.
| Aufgabe | Im Eigenbetrieb | Mit Wartung durch Passwortheld |
|---|---|---|
| Server mieten und bezahlen | Sie | Sie, direkt bei netcup |
| Tresor einrichten, Adresse und SSL-Zertifikat | Sie | Wir, im Preis enthalten |
| Updates für Betriebssystem und Tresor-Software | Sie | Wir |
| Erreichbarkeit und Zertifikat prüfen | Sie | Wir |
| Sicherung | Sie | Wir nur mit Backup-Paket, sonst Sie |
| Mitarbeiter einladen, Konten sperren | Sie | Ihr Verantwortlicher in der Firma |
| Hilfe im Alltag | Sie selbst | Wir, nach Aufwand |
Die Wartung kostet 16,99 € im Monat inkl. MwSt., als fester Preis ohne Nutzergrenze. Die Mindestlaufzeit beträgt 12 Monate, danach ist die Wartung mit einem Monat Frist kündbar. Dazu kommt die Servermiete bei netcup. Das Angebot richtet sich nur an Unternehmer.
Was im Preis enthalten ist
- Einrichtung mit eigener Adresse (zum Beispiel tresor.ihre-firma.de) und SSL-Zertifikat
- Sammlungen pro Abteilung, zum Beispiel Einkauf, Buchhaltung, Geschäftsführung und IT
- Zwei-Faktor-Pflicht für alle Nutzer des Tresors
- Updates für Betriebssystem und Tresor-Software
- Laufende Prüfung von Erreichbarkeit und Zertifikat
- Behebung von Störungen, die durch unsere Updates entstehen
Was nicht im Preis enthalten ist
Sicherung: Die tägliche Sicherung ist ein Zusatzpaket für 7,99 € im Monat inkl. MwSt. Es umfasst eine verschlüsselte Sicherung an einen zweiten Ort außerhalb Ihres Servers, 30 Tage Aufbewahrung, die Kontrolle der Sicherung, einen Test der Rücksicherung einmal im Quartal und die Wiederherstellung nach einem Ausfall.
Ohne Backup-Paket sichern wir den Tresor nicht, auch nicht vor Updates. Sie sichern dann selbst. Wie Sie den Tresor verschlüsselt exportieren, zeigen wir Ihnen bei der Einrichtung.
Support: Hilfe im Alltag rechnen wir nach Aufwand ab: 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde. Auch die Übernahme vorhandener Passwörter, Schulungen für das Team und Einsätze außerhalb der Servicezeiten (Montag bis Freitag, 8 bis 18 Uhr) sind nicht enthalten. Es gibt keinen Notdienst rund um die Uhr und keine Garantie für die Verfügbarkeit.
Kein Lock-in
Der Server gehört Ihnen. Nach einer Kündigung bleibt er mit allen Daten bei Ihnen. Sie können den Tresor selbst weiterbetreiben oder von jemand anderem betreuen lassen.
Passwortheld basiert auf der Open-Source-Software Vaultwarden, der Quellcode ist öffentlich einsehbar. Welche Apps Ihr Team nutzt, steht in den häufigen Fragen auf der Startseite. Die Inhalte des Tresors sind Ende-zu-Ende-verschlüsselt und werden erst auf den Geräten der Nutzer entschlüsselt. Wir können Ihre Passwörter nicht lesen und Master-Passwörter nicht zurücksetzen.
Deshalb gehört ein Notfallzugang für die Geschäftsführung zur Einrichtung. Wie er im Einzelnen abläuft, legen wir mit Ihnen fest. Mehr dazu im Ratgeber zum Notfallzugriff auf Firmenpasswörter.
Was das kostet
Im Eigenbetrieb
Fest kalkulierbar ist nur die Servermiete. Für einen Firmentresor reicht ein kleiner Mietserver. Als Anhaltspunkt: Der VPS nano G11.5s bei netcup kostet ab 3,69 € im Monat inkl. MwSt. (dort 6 Monate Mindestlaufzeit, Preis Stand 22.09.2026). Je nach Software kommen Lizenzkosten dazu.
Der größere Posten ist die eigene Arbeitszeit: Einrichtung, Updates, Kontrolle der Sicherung, Fehlersuche. Wie viele Stunden das sind, hängt von der Erfahrung der Person ab. Eine ehrliche Pauschalzahl gibt es dafür nicht.
Rechnen Sie mit dem Betrag, den eine Stunde dieser Person Ihre Firma tatsächlich kostet, und mit der Zeit, in der sie für ihre eigentliche Arbeit fehlt. Rechnen Sie auch die Vertretung mit ein.
Mit Wartung
Rechenbeispiel für Passwortheld: 16,99 € Wartung plus 3,69 € Servermiete ergeben 20,68 € im Monat, beide Preise inkl. MwSt. Bei zehn Mitarbeitern sind das rund 2,07 € pro Person und Monat. Mit dem Backup-Paket sind es zusammen 28,67 € im Monat. Für die Wartung gelten 12 Monate Mindestlaufzeit, das Angebot richtet sich nur an Unternehmer.
Der Preis für die Wartung hängt nicht von der Zahl der Nutzer ab. Er steigt also nicht mit jedem neuen Mitarbeiter. Hilfe im Alltag kommt nach Aufwand dazu, wenn Sie sie brauchen.
Wie sich Preise pro Nutzer und Festpreise unterscheiden und welche Posten oft extra kosten, steht im Ratgeber Was ein Passwort-Manager für Unternehmen kostet. Dort finden Sie weitere Rechenbeispiele.
Für wen der eigene Server passt und für wen nicht
Der eigene Server passt, wenn
- Sie selbst festlegen wollen, bei welchem Anbieter und in welchem Land der Server steht.
- der Mietvertrag auf Ihre Firma laufen soll, damit Sie den Betreuer wechseln können.
- mehrere Personen dieselben Zugänge brauchen und ein Preis pro Nutzer mit jedem neuen Kollegen steigen würde.
- es bei Ihnen jemanden gibt, der als Verantwortlicher Mitarbeiter einlädt und Konten sperrt.
Eigenbetrieb ohne Dienstleister passt, wenn
Sie eine eigene IT haben oder einen Mitarbeiter mit Erfahrung im Serverbetrieb, dazu eine Vertretung und feste Zeit für Updates und Sicherung. Fehlt eines davon, wird der Tresor früher oder später zum Risiko.
Der eigene Server passt nicht, wenn
- Sie keinen eigenen Vertrag mit einem Serveranbieter wollen, sondern alles aus einer Hand.
- Sie einen Notdienst rund um die Uhr oder eine zugesagte Verfügbarkeit brauchen. Beides bietet Passwortheld nicht.
- Sie erwarten, dass Support und Schulungen im Monatspreis enthalten sind.
- Sie als Privatperson einen Passwort-Manager suchen.
Standard bei Passwortheld ist ein Server bei netcup. Vorhandene Server, andere Anbieter oder bestehende Installationen übernehmen wir nach Absprache im Erstgespräch.
Unabhängig vom Hosting bleibt die Organisation Ihre Aufgabe: Wer darf welche Zugänge sehen, und wie kommen die Codes der Zwei-Faktor-Anmeldung zu allen, die sie brauchen? Dazu gibt es eigene Ratgeber: Passwörter im Team teilen und Bestätigungscodes (2FA) im Team teilen.
Ob der Mittelweg zu Ihrer Firma passt, klären wir am Telefon: Kostenloses Erstgespräch (15 Minuten).