Passwörter sind in den meisten Unternehmen ein stilles Chaos. Ein paar landen in einem Excel-Sheet auf dem Fileserver, ein paar kleben als Notizzettel am Monitor, viele stecken im Browser, und die richtig wichtigen kennen genau zwei Leute – von denen einer bald in Rente geht. Solange nichts passiert, fällt das nicht auf. Wenn dann aber jemand kurzfristig auf einen Zugang muss oder ein Mitarbeiter das Unternehmen verlässt, wird aus dem stillen Chaos schnell ein handfestes Problem.
Ein zentraler Passwortmanager löst das. Die Frage ist nur: Wo läuft der, und wem vertraut man damit die Schlüssel zum halben Unternehmen an?
Bitwarden, Vaultwarden – und warum wir es selbst betreiben
Bitwarden ist einer der etabliertesten Passwortmanager, offen dokumentiert und mit sauberen Apps für alle Plattformen. Vaultwarden ist eine schlanke, ressourcenschonende Server-Variante, die mit denselben Bitwarden-Apps und Browser-Erweiterungen zusammenarbeitet. Für den Nutzer sieht also alles vertraut aus – die Frage „welche App" ändert sich nicht.
Was sich ändert, ist der Ort, an dem der Tresor liegt. Und genau da machen wir es bewusst anders als der Standardweg „einfach den Cloud-Dienst buchen": Wir betreiben Vaultwarden im eigenen Rechenzentrum in Deutschland, nicht in einer fremden Cloud irgendwo jenseits des Atlantiks.
Warum selbst hosten statt Cloud-Abo
Man kann Bitwarden fertig als Dienst mieten. Für viele ist das okay. Für Unternehmen, die genau wissen wollen, wo ihre Zugangsdaten liegen, ist der selbst betriebene Weg aber oft der ruhigere:
- Datenhoheit: Der Tresor liegt auf Servern in Deutschland, in unserer Hand – nicht bei einem Anbieter, dessen Standort und Rechtsraum man nur aus den AGB kennt.
- Keine Fremdabhängigkeit bei einem der sensibelsten Datenbestände überhaupt. Wenn hier ein Anbieter die Preise anzieht, die Bedingungen ändert oder ausfällt, will man nicht mit dem kompletten Passwortbestand daran hängen.
- Integration in den bestehenden Betrieb: Backups, Monitoring, Updates – alles läuft über dieselben Abläufe, die wir für den Rest der Infrastruktur ohnehin schon haben.
Wichtig zur Einordnung: Der Tresor ist bei Bitwarden/Vaultwarden Ende-zu-Ende verschlüsselt. Entschlüsselt wird erst auf dem Gerät des Nutzers, mit dessen Master-Passwort. Der Server sieht die Passwörter selbst nie im Klartext. Das ist gut – aber es macht das Hosting nicht überflüssig. Denn ein Passwortmanager, der nicht erreichbar ist oder dessen Daten verloren gehen, ist im Ernstfall genauso ein Problem wie unsichere Passwörter. Verfügbarkeit und Backup bleiben also unsere Aufgabe.
Was bei uns konkret dazugehört
Ein Passwortmanager ist kein „einmal aufsetzen und vergessen"-Dienst. Damit man sich im Alltag wirklich darauf verlassen kann, gehört mehr dazu als der reine Container:
- Betrieb im deutschen Rechenzentrum, sauber hinter HTTPS, mit klar geregeltem Zugriff.
- Backups des verschlüsselten Tresors – regelmäßig, versioniert und im Ernstfall auch wirklich wiederherstellbar. Ein verlorener Passwort-Tresor ohne Backup wäre eine kleine Katastrophe.
- Monitoring, damit ein Ausfall auffällt, bevor der erste Mitarbeiter anruft, dass er nicht mehr an seine Zugänge kommt.
- Updates, damit die Software aktuell und sicher bleibt, ohne dass sich jemand intern darum kümmern muss.
Dazu kommen die Funktionen, die den Alltag im Team ausmachen: Organisationen und Sammlungen, um Zugänge kontrolliert zu teilen, Zwei-Faktor-Authentifizierung für den Zugang zum Tresor, und geregelte Notfallzugriffe, falls jemand ausfällt.
Der eigentliche Gewinn: Schluss mit geteilten Passwörtern
Der größte Effekt ist gar nicht technisch, sondern organisatorisch. Sobald es einen zentralen, sauber betriebenen Passwortmanager gibt, verschwinden nach und nach die üblichen Baustellen:
- keine geteilten Sammel-Logins mehr, bei denen niemand weiß, wer das Passwort alles kennt
- kein Excel-Sheet mit Zugangsdaten auf einem Netzlaufwerk
- kein Rätselraten, welche Passwörter ein ausgeschiedener Mitarbeiter noch im Kopf hatte
- nachvollziehbare, kontrollierte Freigaben statt Zugangsdaten per Chat
Und wenn jemand neu dazukommt oder das Unternehmen verlässt, ist das eine saubere Sache von Minuten statt eine Zettelwirtschaft.
Für wen sich das lohnt
Für eine Handvoll privater Logins ist ein eigener Server übertrieben. Sobald aber mehrere Leute mit gemeinsamen Zugängen arbeiten, sensible Systeme im Spiel sind oder Zugangsdaten geordnet übergeben werden müssen, wird ein zentraler Passwortmanager schnell zum wichtigen Baustein – und ein selbst betriebener erst recht.
Das passt genau zu der Art, wie wir Infrastruktur verstehen: im eigenen Rechenzentrum mit klarer Datenhoheit, zuverlässig gesichert und ohne dass sich jemand intern um Updates und Störungen kümmern muss – eben als Teil von Managed IT. Wenn dabei ohnehin die Frage aufkommt, wie es um Zugänge, Passwörter und Berechtigungen steht, schauen wir uns das gerne im Rahmen eines IT-Sicherheits-Checks an.