Sicherer als Zettel und Liste, mit fünf Schwachstellen
Ein Passwort-Manager ist für eine Firma die sicherere Wahl. Das BSI hat 2025 zehn Produkte untersucht, Mängel gefunden und trotzdem geschrieben: „Aus Sicht des BSI überwiegt der Nutzen bei weitem.“ Schwerer wiegen nach dieser Einschätzung die Risiken ohne Tresor: Wer schwache oder mehrfach benutzte Passwörter hat, fällt leichter auf Phishing herein.
Ein Tresor verlagert das Risiko: Statt vieler schwacher Stellen gibt es eine starke, die gut geschützt sein muss. Gegen jede der fünf Schwachstellen gibt es ein Mittel, das auch eine kleine Firma umsetzen kann.
| Schwachstelle | Was dagegen hilft |
|---|---|
| Alle Passwörter an einem Ort | Verschlüsselung auf dem Gerät, Sammlungen je Abteilung, langes Master-Passwort |
| Das Master-Passwort | Zweiter Faktor am Tresor, Regel für den Fall des Vergessens |
| Phishing | Ausfüllen nur auf der gespeicherten Adresse, Anmeldung am Tresor nur über App oder eigene Adresse |
| Ein Gerät mit Schadsoftware | Updates, eingeschränkte Benutzerkonten, Regel, auf welchen Geräten der Tresor läuft |
| Der Server | Updates, laufende Prüfung, Sicherung an einem zweiten Ort |
Alle Passwörter an einem Ort
Das BSI nennt diesen Nachteil offen: Gelingt ein Angriff auf einen Passwort-Manager, können alle Passwörter auf einmal gestohlen werden. Was ein Angreifer dann in der Hand hält, hängt an der Verschlüsselung. Bei Ende-zu-Ende-Verschlüsselung verschlüsseln die Apps jeden Eintrag auf dem Gerät, bevor er den Server erreicht. Wer den Server knackt oder eine Sicherung stiehlt, bekommt verschlüsselte Daten und keine lesbaren Passwörter.
Um sie zu lesen, müsste er das Master-Passwort eines Nutzers erraten. Die Apps machen jeden Versuch teuer: Sie leiten den Schlüssel standardmäßig in 600.000 Rechenrunden aus dem Master-Passwort ab, so steht es in der Dokumentation der Apps und als Voreinstellung im Quellcode der Server-Software. Je länger und zufälliger das Master-Passwort ist, desto mehr dieser Versuche braucht es. Wie Mitarbeiter ein gutes Master-Passwort wählen und behalten, steht auf der Seite zum Master-Passwort.
Sammlungen begrenzen den Schaden, wenn doch ein Konto in falsche Hände gerät. Wer das Konto der Buchhaltung übernimmt, sieht die Sammlung Buchhaltung und nicht die der Geschäftsführung. Wie Sie die Sammlungen aufteilen, erklärt der Ratgeber Passwörter im Team teilen.
Das Master-Passwort braucht einen zweiten Faktor
Das Master-Passwort öffnet das Konto. Wird es erraten, abgefangen oder auf einer falschen Seite eingetippt, hält nur noch der zweite Faktor den Angreifer auf. Das BSI rät, hochsensible Konten ergänzend zum Passwort-Manager mit einem zweiten Faktor zu schützen, und nennt als Beispiel E-Mail-Konten. Der Tresor mit allen Zugängen einer Firma ist so ein Konto.
Bei Passwortheld ist der zweite Faktor am Tresor für alle Mitarbeiter Pflicht, Eigentümer und Administratoren richten ihn selbst ein. Er liegt auf einem Gerät des Nutzers, nicht im Tresor. Das zählt doppelt, sobald Sie auch die Bestätigungscodes anderer Dienste im Tresor ablegen: Liegen Passwort und Code am selben Ort, hängt der Schutz am Tresor selbst. Einzelheiten dazu im Ratgeber Bestätigungscodes im Team teilen.
Das umgekehrte Risiko ist das Vergessen. Laut BSI sind im schlechtesten Fall alle Daten weg. In einer Firma lässt sich das mit einer Kontowiederherstellung durch einen Verantwortlichen auffangen, mit einer Kehrseite, die auf der Seite zum Master-Passwort beschrieben ist.
Phishing: wo der Tresor schützt und wo nicht
Ein erfundenes Beispiel aus einem Messebaubetrieb mit elf Mitarbeitern: Die Disponentin bekommt eine Mail, das Konto beim Paketdienst sei gesperrt. Der Link führt auf eine Seite, die aussieht wie die echte. Die Browser-Erweiterung bietet dort keinen Eintrag an, weil die Adresse nicht zur gespeicherten passt. Das fällt ihr auf, und sie öffnet die echte Seite über den Eintrag im Tresor. Dort ist das Konto in Ordnung.
So arbeitet der Abgleich in den Apps: Standard ist laut Dokumentation, dass die Hauptdomain der Seite zur gespeicherten Adresse passen muss. Auch das BSI zählt die Warnung vor möglichen Phishing-Seiten zu den Vorteilen eines Passwort-Managers, etwa wenn die aufgerufene Adresse von der gespeicherten abweicht.
Die Grenze liegt beim Menschen. Kopiert jemand das Passwort von Hand aus der App und fügt es in die falsche Seite ein, hilft der Abgleich nichts. Bestätigungscodes aus SMS oder App schützen ebenfalls nicht, wenn die Täter Passwort und Code in Echtzeit weiterreichen. Für den Tresor selbst legen Sie deshalb eine feste Regel fest: Das Master-Passwort tippen Mitarbeiter nur in die App oder unter der eigenen Adresse des Tresors ein, etwa tresor.ihre-firma.de, und nie nach einem Klick auf einen Link aus einer Mail. Was nach einer Eingabe auf einer gefälschten Seite zu tun ist, beschreibt die Seite Passwort auf Phishing-Seite eingegeben.
Ein Gerät mit Schadsoftware
Gegen ein befallenes Gerät kann kein Tresor viel ausrichten. Schadprogramme, die Tastatureingaben aufzeichnen, greifen genau die Passwörter ab, die jemand eintippt, also auch das Master-Passwort. Und was die App auf diesem Gerät entschlüsselt anzeigt, liegt dort lesbar vor. Die Dokumentation der Apps legt die Sicherheit des Geräts ausdrücklich in die Verantwortung seines Besitzers.
Das BSI empfiehlt dagegen zwei Dinge, die auch ohne IT-Abteilung gehen: Updates für Betriebssystem und Programme zeitnah einspielen und im Alltag mit Benutzerkonten mit eingeschränkten Rechten arbeiten, damit Schadsoftware nicht das ganze System übernimmt. Legen Sie außerdem fest, auf welchen Geräten der Tresor genutzt wird. Ein Lagerrechner, an dem sich drei Schichten abwechseln, ist kein Ort für ein dauerhaft angemeldetes Konto. Dort meldet sich jeder nach der Arbeit ab.
Besteht Verdacht auf einen Befall, kommt es auf die Reihenfolge an. Laut BSI bereinigen Sie zuerst das Gerät und ändern erst danach die Passwörter, sonst liest die Schadsoftware die neuen gleich mit. Das Master-Passwort steht dabei ganz oben auf der Liste.
Der Server: Updates, Ausfall und Sicherung
Ein Tresor auf einem eigenen Server ist aus dem Internet erreichbar, sonst funktionieren Handy und Homeoffice nicht. Wer ihn betreut, muss bekannte Lücken in Betriebssystem und Tresor-Software deshalb schnell schließen. Das BSI rät allen Nutzern von Passwort-Managern, Updates zeitnah einzuspielen. Was ein ungepflegter Server an Folgen hat, steht im Ratgeber Passwort-Manager selbst hosten.
Ein Beispiel dafür ist die Server-Software, auf der Passwortheld basiert. Im Projekt CAOS 3.0 hat das BSI den Quellcode von Vaultwarden 2024 durch die mgm security partners GmbH untersuchen lassen (Version 1.30.3, Meldung des BSI vom 14.10.2024). Der Bericht nennt je zwei Lücken mittlerer und hoher Kritikalität. Eine davon betraf den Austritt: Vaultwarden sah keinen Austausch des Schlüssels der Organisation vor, und zusammen mit einer zweiten Lücke konnte ein ausgeschiedenes Mitglied weiter auf die Daten der Organisation zugreifen. Laut BSI haben die Entwickler reagiert, die Versionshinweise zu Version 1.32.0 vom August 2024 führen die drei dazu vergebenen CVE-Einträge als behoben. Auf einem selbst betreuten Server muss der Betreiber solche Versionshinweise selbst lesen und das Update einspielen.
Fällt der Server aus, stehen die Mitarbeiter nicht sofort ohne Zugänge da. Laut Hilfe des App-Herstellers lässt sich jede entsperrte App ohne Verbindung zum eigenen Server weiter lesend nutzen. Neue oder geänderte Einträge und neue Mitarbeiter warten, bis der Server wieder läuft.
Gefährlicher ist ein Verlust der Daten, etwa durch einen Defekt oder ein versehentlich gelöschtes Konto. Dagegen hilft nur eine Sicherung außerhalb des Servers, die sich zurückspielen lässt. Ohne Backup-Paket sichern wir den Tresor nicht. Vor Updates legen wir nur eine Kopie auf demselben Server an, sie ersetzt keine Sicherung. Dann sichern Sie selbst. Wie Sie den Tresor verschlüsselt exportieren, zeigen wir bei der Einrichtung.
Was Passwortheld übernimmt und was bei Ihnen bleibt
Passwortheld basiert auf der Open-Source-Software Vaultwarden, ihr Quellcode ist öffentlich einsehbar. Wir richten den Tresor auf Ihrem Server bei netcup ein, spielen Updates für Betriebssystem und Tresor-Software ein und prüfen laufend Erreichbarkeit und Zertifikat. Störungen, die durch unsere Updates entstehen, beheben wir. Die Zwei-Faktor-Pflicht und die Sammlungen pro Abteilung gehören zur Einrichtung. Die Inhalte können wir nicht lesen.
Bei Ihnen bleiben die Dinge, die keine Wartung abnimmt: gute Master-Passwörter, saubere Geräte, Vorsicht bei Links in Mails und das Sperren und Entfernen von Konten, wenn jemand geht. Wer die Firma verlässt, verliert mit der Sperre den Zugriff auf die Sammlungen, sobald seine App sich mit dem Server verbindet. Passwörter, die er kannte, ändern Sie trotzdem, siehe die Checkliste, wenn ein Mitarbeiter geht. Die Sicherung übernehmen wir nur mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt.
Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, dazu kommt die Servermiete bei netcup ab 3,69 € im Monat inkl. MwSt. Das Angebot gilt nur für Unternehmer. Welche Fragen der Datenschutz dazu stellt, steht auf der Seite Passwort-Manager und DSGVO. Ihre eigenen Bedenken besprechen wir gern im kostenlosen Erstgespräch (15 Minuten).
Quellen: BSI: Pressemitteilung zur Untersuchung von Passwortmanagern (09.12.2025); BSI: Passwörter verwalten mit dem Passwort-Manager; BSI: Schadprogramme erkennen und sich schützen; BSI: Codeanalyse von KeePass und Vaultwarden (Meldung 14.10.2024); BSI: Umgang mit Passwörtern. Stand: 14.10.2026.