Passwortmanagement im Unternehmen: Der Leitfaden für KMU 2026

Passwortmanagement im Unternehmen heißt: Alle Zugangsdaten liegen verschlüsselt an einem zentralen Ort. Jede Person sieht nur, was sie für ihre Rolle braucht, und beim Austritt einer Mitarbeiterin oder eines Mitarbeiters ist sofort klar, welche Zugänge geändert werden müssen. Ein Passwortmanager für Unternehmen ist dafür das Werkzeug. Den Unterschied machen aber Rollen, Freigaben, Protokolle und ein sauberer Prozess drumherum. Dieser Leitfaden zeigt, worauf kleine und mittlere Unternehmen in Deutschland achten sollten: Funktionen, Betriebsmodelle, Kosten, rechtlicher Rahmen und eine Einführung in sechs Schritten.

TL;DR

• Prozess statt Tool: Ein Passwortmanager wirkt erst zusammen mit Rollenkonzept, Offboarding, Notfallzugang und Schulung.
• Pflichtkriterien: Ende-zu-Ende-Verschlüsselung, rollenbasierte Freigaben, Audit-Log, Multi-Faktor-Authentifizierung, Datenhosting mit klarer DSGVO-Grundlage.
• Betriebsmodell bewusst wählen: Cloud senkt den Aufwand, On-Premise gibt maximale Datenhoheit, eine selbst gehostete Open-Source-Lösung braucht eigene IT-Kapazität.
• Regulatorik: Die NIS2-Richtlinie nennt Zugriffskontrolle, Cyberhygiene und Multi-Faktor-Authentifizierung ausdrücklich. Ob sie Ihr Unternehmen direkt betrifft, hängt von Sektor und Größe ab.
• Zukunft: Passkeys ersetzen Passwörter schrittweise. Ein zentraler Tresor bleibt trotzdem nötig, für Altsysteme, Admin-Konten und Notfallzugänge.

Inhaltsverzeichnis

• Warum Passwortmanagement ein Prozess ist, kein Einzeltool
• Was ein Passwortmanager für Firmen können muss
• Cloud, On-Premise oder selbst gehostet: Betriebsmodelle im Vergleich
• Passwörter, MFA und Passkeys: Wohin die Entwicklung geht
• Passwortmanagement einführen: In 6 Schritten zum sauberen Prozess
• Was kostet ein Passwortmanager für Unternehmen?
• Unsere Sicht: Passwortmanagement gehört in die Gesamt-IT
• KON-VAULT: Passwortmanagement made in Germany
• Häufige Fragen zum Passwortmanagement im Unternehmen
• Quellen

Warum Passwortmanagement ein Prozess ist, kein Einzeltool

In vielen KMU sieht die Ausgangslage ähnlich aus:

• Zugangsdaten stehen in Excel-Listen, Notizbüchern oder im Browser einzelner Mitarbeitender.
• Gemeinsame Konten (Social Media, Lieferantenportale, Router, Buchhaltung) werden per E-Mail oder Messenger geteilt.
• Beim Austritt weiß niemand genau, welche Passwörter die Person kannte.
• Admin-Konten werden von mehreren Personen mit demselben Passwort genutzt.

Das Problem ist selten fehlendes Sicherheitsbewusstsein. Es fehlt an Struktur. Genau hier setzt die europäische Gesetzgebung an: Die NIS2-Richtlinie (EU) 2022/2555 beschreibt grundlegende Cyberhygiene als Bündel von Maßnahmen: Passwortänderungen, die Einschränkung von Administratorkonten, Backups, Identitäts- und Zugriffsmanagement sowie Schulungen. Im Katalog der Risikomanagementmaßnahmen nennt sie unter anderem Konzepte für die Zugriffskontrolle, die Sicherheit des Personals und den Einsatz von Multi-Faktor-Authentifizierung.

Wichtig für die Einordnung: Ob ein deutsches Unternehmen direkt unter NIS2 fällt, hängt von Sektor, Größe und der nationalen Umsetzung ab. Viele kleine Betriebe sind nicht unmittelbar verpflichtet. Als Orientierung taugt der Maßnahmenkatalog trotzdem, weil er beschreibt, was gute Praxis ist. Und wer Zulieferer eines betroffenen Unternehmens ist, bekommt die Anforderungen oft über Verträge und Audits gespiegelt. Ob Ihr Betrieb betroffen ist, klären Sie am besten mit Ihrer IT-Rechtsberatung oder Ihrem Datenschutzbeauftragten.

Daraus folgt: Ein Passwortmanager allein ersetzt kein Offboarding-, Rollen- und Notfallkonzept. Er macht diese Konzepte aber erst praktikabel.

Was ein Passwortmanager für Firmen können muss

Private Passwortmanager lösen ein Problem: Eine Person merkt sich ein Master-Passwort statt hunderter einzelner. Im Unternehmen kommen Teams, Rollen, Verantwortlichkeiten und Nachweispflichten dazu. Das Bundesamt für Sicherheit in der Informationstechnik hat Passwortmanager in einer eigenen Untersuchung zu IT-Sicherheit und Datenschutz geprüft. Der Fokus lag dort auf Verbraucherprodukten. Die beiden Prüfdimensionen, technische Sicherheit und Umgang mit Daten, sind aber genau die richtigen Fragen für jede Business-Auswahl.

Die folgende Checkliste hilft beim Vergleich von Angeboten:

Ende-zu-Ende-Verschlüsselung richtig verstehen

Der Begriff steht auf fast jeder Produktseite. Entscheidend ist, wo der Schlüssel liegt. Bei echter Ende-zu-Ende-Verschlüsselung verlässt der Klartext das Endgerät nie. Der Betreiber speichert nur verschlüsselte Daten und kann sie selbst nicht lesen. Die Kehrseite: Geht das Master-Passwort verloren und ist kein Wiederherstellungsweg eingerichtet, sind die Daten weg. Wie das Prinzip funktioniert und wo seine Grenzen liegen, erklären wir im Beitrag Ende-zu-Ende-Verschlüsselung erklärt.

Sicheres Teilen statt Copy-and-paste

Im Team ist Teilen der Normalfall. Ein guter Passwortmanager teilt Einträge, ohne dass das Passwort im Klartext durch E-Mail oder Chat wandert. Im Idealfall muss der Empfänger das Passwort gar nicht sehen, sondern nutzt es per Autofill. Welche Methoden sich im Alltag bewährt haben und welche Sie vermeiden sollten, zeigt unser Überblick Passwörter sicher teilen.

KI-BildKI-generiertes Bild

Cloud, On-Premise oder selbst gehostet: Betriebsmodelle im Vergleich

Die Wahl des Betriebsmodells entscheidet über Aufwand, Datenhoheit und laufende Kosten. Drei Modelle dominieren den Markt:

Lokale Passwortdateien, also ein verschlüsselter Tresor als Datei auf einem Rechner oder Netzlaufwerk, sind ein Sonderfall. Für Einzelpersonen funktionieren sie gut. Im Team stoßen sie schnell an Grenzen: Es gibt keine feingranularen Rechte pro Eintrag, kein zentrales Audit-Log und Konflikte beim gleichzeitigen Bearbeiten. Beim Austritt einer Person müssen Sie den gesamten Tresor neu verschlüsseln oder darauf vertrauen, dass keine Kopie existiert.

Unsere Faustregel: Wenn Sie keine eigene IT-Abteilung mit Bereitschaftsdienst haben, ist ein verwalteter Cloud-Service mit deutschem Hosting meist die sicherere Wahl. Das liegt nicht an besserer Kryptografie, sondern daran, dass Updates, Backups und Monitoring zuverlässig passieren.

Passwörter, MFA und Passkeys: Wohin die Entwicklung geht

Passwörter verschwinden nicht über Nacht, aber ihre Rolle verändert sich. Das BSI beschreibt Passkeys in der Technischen Richtlinie TR-03188 als kryptografische Anmeldeinformationen und sichere Alternative zu Passwörtern, die inzwischen auf den meisten Laptops und Smartphones unterstützt werden.

Das Prinzip erklärt das BSI in seinem Material zum Account-Schutz: Bei der Einrichtung entsteht ein Schlüsselpaar, der private Schlüssel bleibt auf dem Gerät, und bei jeder Anmeldung beantwortet das Gerät eine dynamische Anfrage des Dienstes. Ein abgefangenes Passwort gibt es damit schlicht nicht.

Was das für Unternehmen bedeutet:

• Neue Dienste: Wo Passkeys angeboten werden, lohnt sich die Umstellung, vor allem für E-Mail, Cloud-Speicher und Admin-Oberflächen.
• Altsysteme: Router, Druckerverwaltung, Branchensoftware und viele Lieferantenportale arbeiten weiter mit Passwörtern. Die gehören in den zentralen Tresor.
• Geteilte Konten: Passkeys sind an Personen und Geräte gebunden. Für Funktionskonten, die mehrere Personen nutzen, bleibt der Passwortmanager die praktikable Lösung.
• MFA überall: Wo weder Passkey noch Passwortmanager-Autofill möglich ist, ist ein zweiter Faktor die wichtigste Absicherung.

Passwortmanagement einführen: In 6 Schritten zum sauberen Prozess

Die Software ist in einem Nachmittag eingerichtet. Ein sauberer Prozess braucht etwas mehr Planung. So gehen Sie vor:

1. Bestand aufnehmen. Sammeln Sie alle Systeme, für die es Zugangsdaten gibt: Software, Portale, Hardware, Funktionskonten. Kennzeichnen Sie kritische Zugänge wie Online-Banking, Domain-Verwaltung, E-Mail-Admin und Cloud-Konsolen.
2. Rollen und Tresore definieren. Legen Sie fest, welche Teams welche Tresore bekommen: zum Beispiel Geschäftsführung, Buchhaltung, Vertrieb, IT, Projekt X. Grundsatz: so wenig Rechte wie möglich, so viele wie nötig.
3. Admin-Konten trennen. Administratorrechte gehören nicht zum Alltagskonto. Erstellen Sie getrennte Admin-Zugänge und begrenzen Sie den Kreis der Berechtigten, wie es auch die NIS2-Cyberhygiene vorsieht.
4. Migrieren und rotieren. Importieren Sie bestehende Passwörter und ändern Sie dabei schwache oder mehrfach verwendete Passwörter. Starten Sie mit den kritischen Zugängen aus Schritt 1.
5. Notfall- und Offboarding-Verfahren festlegen. Wer darf im Notfall auf welche Tresore zugreifen? Was passiert am letzten Arbeitstag? Eine Checkliste mit klaren Verantwortlichen verhindert, dass Zugänge offen bleiben.
6. Schulen und nachhalten. Eine kurze Einweisung für alle Mitarbeitenden: Master-Passwort, MFA, sicheres Teilen, Phishing erkennen. Prüfen Sie quartalsweise das Audit-Log und die Liste der Berechtigten.

Praxisbeispiel: Ein Steuerbüro mit zwölf Mitarbeitenden startet mit drei Tresoren: Kanzlei-IT, Mandantenportale und Geschäftsführung. Die Portale der Finanzverwaltung und der Banken landen im Mandanten-Tresor mit Lesezugriff für die Sachbearbeitung. Router, Firewall und E-Mail-Admin liegen im IT-Tresor, auf den nur die Geschäftsführung und der externe IT-Dienstleister zugreifen. Beim Austritt einer Auszubildenden zeigt das System sofort, welche fünf Einträge sie genutzt hat. Genau diese werden rotiert.

Was kostet ein Passwortmanager für Unternehmen?

Die Lizenz ist nur ein Teil der Rechnung. Für eine ehrliche Kalkulation zählen drei Posten:

• Lizenzkosten: Abrechnung fast immer pro Nutzer und Monat. Internationale Anbieter nennen laut einem G2-Vergleich aus 2026 für Team- und Business-Tarife Listenpreise von etwa 4 bis 8 USD pro Nutzer und Monat. Diese US-Dollar-Preise sind nicht ohne Weiteres mit Euro-Angeboten vergleichbar, weil Hosting-Standort, Support und Vertragsinhalte stark variieren. Prüfen Sie Preise immer direkt vor Vertragsabschluss.
• Interner Aufwand: Einrichtung, Migration, Schulung, laufende Administration. Bei selbst gehosteten Lösungen kommen Server, Updates, Backups und Monitoring hinzu.
• Folgekosten im Ernstfall: Ausgesperrte Mitarbeitende, ein verlorenes Admin-Passwort, ein kompromittiertes Konto. Hier entscheidet die Erreichbarkeit des Supports darüber, ob ein Problem Minuten oder Tage kostet.

Rechenbeispiel für ein Team mit 10 Nutzern: Bei 19 € pro Nutzer und Monat liegen die Lizenzkosten bei 190 € im Monat beziehungsweise 2.280 € im Jahr. Dem steht gegenüber, dass kein eigener Server betrieben, gehärtet und gesichert werden muss und bei Problemen ein persönlicher Ansprechpartner erreichbar ist.

Unsere Sicht: Passwortmanagement gehört in die Gesamt-IT

Wir sehen in Kundenprojekten immer wieder dasselbe Muster: Der Passwortmanager ist eingeführt, aber er steht isoliert neben allem anderen. Das Offboarding läuft über eine Excel-Liste, die Hardware-Rückgabe über die Personalabteilung, die Konten über den IT-Dienstleister. Am Ende fällt ein Zugang durchs Raster, meist ein Funktionskonto, das niemand auf dem Schirm hatte.

Deshalb denken wir Passwortmanagement nicht als einzelnes Produkt, sondern als Teil der gesamten Betriebsabläufe. Wer bei uns Zugangsdaten verwaltet, kann dieselbe Ansprechperson für Hardware, Rollouts und Support nutzen. Kein Tool-Chaos, keine Schnittstellen zwischen drei Dienstleistern, an denen Informationen verloren gehen.

Unsere Überzeugung aus der Praxis:

• Datenhoheit ist kein Nice-to-have. Für deutsche KMU, Praxen und Dienstleister ist ein Hosting in Deutschland mit klarer DSGVO-Grundlage die einfachste Antwort auf Fragen von Mandanten, Patienten und Auditoren.
• Support entscheidet im Ernstfall. Ein ausgesperrter Geschäftsführer am Freitagabend braucht keine Wissensdatenbank, sondern einen Menschen am Telefon.
• Einfachheit schlägt Funktionsfülle. Ein Tool, das alle Mitarbeitenden wirklich nutzen, ist sicherer als eines mit fünfzig Funktionen, die niemand versteht.

— Tom Herold

KON-VAULT: Passwortmanagement made in Germany

Mit KON-VAULT bieten wir einen Passwort-Manager für Teams mit Ende-zu-Ende-Verschlüsselung und deutschem Datenhosting, entwickelt in unserer eigenen Softwareentwicklung.

• KON-VAULT Cloud: 19 EUR pro Nutzer und Monat, vollständig verwalteter Cloud-Service.
• KON-VAULT On-Premise: 49 EUR pro Nutzer und Monat, für Unternehmen mit eigenen Vorgaben zur Datenhaltung.
• Ein Ansprechpartner: Software, Hardware und IT-Service aus einer Hand, mit 24/7-Hotline und persönlicher Betreuung.

Sie möchten die Einführung nicht selbst stemmen? Über unsere Managed IT-Services übernehmen wir Rollout, Migration und Support, deutschlandweit. Über 500 Unternehmen vertrauen bereits auf unsere Dienstleistungen.

Häufige Fragen zum Passwortmanagement im Unternehmen

Reicht eine lokale Passwortdatei für ein kleines Team?

Für eine einzelne Person ja, für ein Team selten. Lokale Tresordateien bieten keine Rechte pro Eintrag, kein zentrales Audit-Log und kein sauberes Offboarding. Sobald mehr als zwei oder drei Personen Zugänge teilen, ist eine Teamlösung mit Rollen und Protokollierung die sicherere Wahl.

Welche Passwortempfehlungen gibt das BSI?

Das BSI empfiehlt in seinen Materialien zum Account-Schutz, Konten zusätzlich abzusichern und Passkeys zu nutzen, wenn ein Dienst sie anbietet. In der Praxis heißt das: für jeden Dienst ein eigenes, langes Passwort, ein Passwortmanager zur Verwaltung und, wo möglich, ein zweiter Faktor.

Was ist der Nachteil von Passkeys?

Passkeys sind an Personen und Geräte gebunden. Für geteilte Funktionskonten sind sie deshalb unpraktisch, und viele ältere Systeme unterstützen sie noch nicht. Geht ein Gerät verloren, braucht es einen geregelten Wiederherstellungsweg. Ein zentraler Passwortmanager bleibt daher auch mit Passkeys sinnvoll.

Was passiert mit den Passwörtern, wenn jemand das Unternehmen verlässt?

Im Passwortmanager entziehen Sie der Person sofort alle Zugriffe. Anschließend ändern Sie die Passwörter, die sie kannte, mit Vorrang bei kritischen Zugängen. Ein gutes System zeigt Ihnen genau diese Einträge an, sodass nichts übersehen wird.

Quellen

• EUR-Lex: Richtlinie (EU) 2022/2555 (NIS2)
• BSI: Passwortmanager im Test, IT-Sicherheit und Datenschutz im Fokus
• BSI: Technische Richtlinie TR-03188 Passkey Server
• BSI: Account-Schutz, Material für Pädagoginnen und Pädagogen
• G2: Vergleich zweier Passwortmanager mit Preisangaben 2026

Empfehlungen

• Passwörter sicher teilen: Die besten Methoden im Überblick
• KON-VAULT: Passwort-Manager für Teams