Master-Key Master-Passwort wird clientseitig mit PBKDF2 / Argon2id zu Schlüssel abgeleitet
Ihre Passwörter gehören Ihnen. Auch der Schlüssel dazu.
Vaultwarden als vollständig betreuter Dienst — wahlweise in unseren deutschen Rechenzentren oder bei Ihnen vor Ort. Kompatibel mit allen offiziellen Bitwarden-Anwendungen, inklusive SSO, SCIM, LDAP und revisionssicherer Protokollierung. Ohne Lizenz je Nutzer.
Geeignet fürUnternehmen und Einrichtungen, die Passwörter zentral verwalten wollen, ohne je Nutzer zu bezahlen
Zero-Knowledge · DSGVO · ISO 27001 · Schrems-II-sicherTHEMEN
Ihre Passwörter gehören Ihnen – nicht in eine US-Cloud.Warum wechseln→
Managed. Egal wo die Hardware steht.Deployment-Modelle→
Alles, was ein Enterprise-Passwort-Manager können muss.Plattform-Funktionen→
Vom Passwort zum gesicherten Vault-Eintrag – in fünf Schichten.Architektur→
ECKDATEN
Zero-KnowledgeWir können Ihre Tresore nicht lesen
Keine Lizenz je NutzerOpen Source, nur Betrieb wird bezahlt
SaaS oder on-premisesDeutsches Rechenzentrum oder Ihr Serverraum
Migration inklusive1Password, Keeper, LastPass
vault · mandantLive
zero-knowledgeentschlüsselt nur auf dem endgerät
sso / scimentra id · okta · ldap angebunden
audit-logrevisionssicher, wer wann was
lizenz je nutzerentfällt — open source
schlüssel bleibt bei Ihnen · betrieb durch hostspezial
Verschlüsselung Zero-KnowledgeAnbindung SSO · SCIM · LDAPBetrieb SaaS oder on-premZertifiziert ISO 27001
AUF EINEN BLICK
Das Wichtigste auf einen Blick
- Geeignet für
- Unternehmen und Einrichtungen, die Passwörter zentral verwalten wollen, ohne je Nutzer zu bezahlen — von 20 bis mehrere tausend Konten
- Ausgangssituation
- Passwörter liegen in Tabellen, auf Zetteln und in Köpfen. Oder ein Anbieter rechnet je Nutzer ab und die Kosten wachsen mit dem Team
- Wir übernehmen
- Betrieb Ihrer eigenen Vaultwarden-Instanz, Anbindung an Entra ID, Okta oder LDAP, Sicherung, Wiederherstellung, Migration aus 1Password, Keeper oder LastPass
- Bei Ihnen bleibt
- Die Entscheidung über Ihre Fachanwendungen und der Zugang zu Ihren Daten. Eigentum und Hoheit wechseln nicht.
- Vorhandene Systeme
- Was heute läuft, sehen wir uns vor dem Angebot an. Was bleiben kann und was ersetzt werden muss, steht schriftlich fest, bevor Sie beauftragen.
- Ihr Ergebnis
- Wir können Ihre Tresore nicht lesen. Entschlüsselt wird ausschließlich auf dem Endgerät
- Preisrahmen
- Festpreis je Monat statt Preis je NutzerZum Vergleich: 200 Mitarbeitende bei einem Anbieter mit Nutzerpreis kosten rund 19.000 € im Jahr
- Reaktionszeit
- 99,9 % Verfügbarkeit, Support nach vereinbarter ServiceklasseInterner Aufwand nach der Einführung: unter 4 Stunden im Monat
- Dauer
- 1 bis 2 Wochen bis zum Betrieb, Migration inbegriffen
- Erster Schritt
- Gespräch über Nutzerzahl, Anbindung und den heutigen Zustand
/01 — 11Warum wechseln
Ihre Passwörter gehören Ihnen – nicht in eine US-Cloud.
Preisspirale
1Password Business kostet 7,99 $/User – x 200 MA = 19.000 € p. a. Tendenz steigend.
LastPass-Hack 2022
Master-Tresore kopiert, Angreifer knacken offline. Okta, Dropbox, Cisco – alle traf es.
US-CLOUD Act
Keeper, LastPass, Dashlane – US-Firmen müssen Daten an US-Behörden herausgeben.
Self-Hosting-Aufwand
Updates, Backups, Monitoring, TLS, Notfall – kein KMU-IT-Team hat Kapazität dafür.
NIS2 & Schrems II
Kritische Identitätsdaten in US-Cloud = verschärftes Haftungsrisiko seit Inkrafttreten von NIS2 in Deutschland am 6. Dezember 2025.
Vendor Lock-in
Proprietäre Formate, künstliche Import-Hürden, geplante Obsoleszenz billiger Tarife.
/02 — 11Deployment-Modelle
Managed. Egal wo die Hardware steht.
- Kein CAPEX – rein OPEX, kalkulierbarer Monatspreis
- Zweiter Standort inklusive – zwei DE-Standorte in Oberfranken
- Skalierung per Klick – CPU, RAM, Storage ohne Hardware-Bestellung
- DDoS-Schutz & WAF aus deutscher Netzanbindung
- AV-Vertrag nach Art. 28 DSGVO, deutsches Recht
- Daten bleiben bei Ihnen – kein Egress, kein Drittanbieter-Zugriff auf Blobs
- Air-Gap-tauglich – Updates via Artifact-Export, ohne Internet-Zugriff
- KRITIS / OT-ready – Deployment im internen Security-Zone, BSI-Grundschutz-konform
- Remote-Betrieb durch uns – Updates, Backups, Monitoring, 24/7 optional
- Wissenstransfer – Runbooks, Schulung, optionaler 3rd-Level aus unserem Haus
/03 — 11Plattform-Funktionen
Alles, was ein Enterprise-Passwort-Manager können muss.
Acht Funktionsbereiche, die ein modernes Identity-Vault-System im Unternehmen abdecken muss. Alle Bausteine sind Teil des Managed-Pakets – ohne Zusatzmodul, ohne Upsell.
Dediziert · Isoliert
Ihre eigene Vaultwarden-Instanz – nicht shared, nicht multitenant.
- Eigene Subdomainvault.ihr-unternehmen.de mit Let's-Encrypt oder Ihrem DV/OV/EV-Cert
- Isolierte DatenbankPostgreSQL-Instanz nur für Sie, verschlüsseltes Volume at rest
- Ressourcen garantiertCPU, RAM, IOPS reserviert – kein Noisy-Neighbor-Effekt
- Root-Export jederzeitVoll-Backup Ihrer Daten auf Anforderung – keine Geiseln
SSO · SCIM / LDAP
SSO mit Entra ID, AD, Okta oder Keycloak – in 30 Minuten.
Einmal-Anmeldung statt einem weiteren Passwort. Vaultwarden spricht SAML 2.0, OIDC und SCIM 2.0 – damit funktioniert jeder Enterprise-IdP. Für LDAP-reine Umgebungen (klassisches AD) läuft unser LDAP-Bridge-Connector.
- SAML 2.0 / OIDCEntra ID, Okta, Keycloak, Auth0, Google Workspace, Ping
- SCIM 2.0 Auto-ProvisioningUser angelegt / deaktiviert – Vault folgt automatisch
- LDAP-BridgeFür klassisches AD: Gruppen → Collections, kontinuierlicher Sync
- Just-in-Time-ProvisioningErster SSO-Login legt User automatisch an, Rollen aus Gruppen
Multi-Team · RBAC
Organisationen, Collections, granulare Berechtigungen.
Strukturieren Sie Passwörter wie Ihre Organisation: Organisationen bündeln Teams, Collections gruppieren Einträge nach Projekt oder Abteilung, Gruppen erben Rechte. Jeder sieht nur, was er sehen darf.
- Unlimited OrganisationenMutterkonzern, Tochter, Joint-Ventures sauber getrennt
- Gruppen & VererbungAD-Gruppen landen 1:1 als Bitwarden-Groups
- Read / Edit / ManageFeingranular pro Collection – Hide-Passwords-Mode für Shared-Accounts
- Enterprise-PoliciesMaster-Pass-Mindestlänge, 2FA-Pflicht, Passwort-Generator-Regeln erzwungen
FIDO2 · TOTP
Zwei-Faktor-Authentifizierung – bis zu Passkeys und YubiKey.
Jeder Vault-Zugriff darf mit zweitem Faktor abgesichert werden – FIDO2 / WebAuthn mit YubiKey, Passkeys, TOTP (Google Authenticator, Authy), Duo oder E-Mail-OTP. Enterprise-Policies erzwingen 2FA flächendeckend.
- FIDO2 / WebAuthnYubiKey 5, NitroKey, SoloKey, Windows Hello, Touch ID
- Passkey-SupportPasswortloser Login per Smartphone, iCloud-Keychain, Google Password Mgr
- TOTP im VaultTOTP-Codes für andere Dienste werden im Vault generiert
- Duo & E-Mail-OTPFallback für Umgebungen ohne Hardware-Token
Bitwarden Send · Shared Vaults
Secrets sicher teilen – intern und an Externe.
Schluss mit Passwörtern in E-Mails, Chat oder Excel-Tabellen. Bitwarden Send erzeugt zeitlich begrenzte, passwortgeschützte Links – ohne dass Externe einen Account brauchen. Intern werden Credentials über Collections ge-shared.
- Send-Links mit AblaufNach X Stunden oder Y Zugriffen automatisch gelöscht
- Dateien + NotizenBis zu 500 MB pro Send – PDF, ZIP, Zertifikate
- Link-PasswortZusätzlicher PIN-Schutz für heikle Freigaben
- Audit auf EmpfangWer hat wann geöffnet – protokolliert, filterbar
Audit-Log · Revisionssicher
Revisionssichere Audit-Logs – für DSGVO, ISO 27001, NIS2.
Jede Aktion im Vault wird protokolliert: wer hat wann welches Secret gesehen, geändert, geteilt oder exportiert. Logs sind append-only, SHA-256-gehasht und mindestens 3 Jahre retention (konfigurierbar bis 10 Jahre).
- Vollständiges Event-LogLogin, View, Edit, Share, Export, 2FA-Challenge, Admin-Aktion
- SIEM-ExportSyslog, Splunk HEC, Elastic, Graylog – JSON-strukturiert
- Breach-ReportHaveibeenpwned-Abgleich aller gespeicherten Passwörter
- Weak-Password-ReportSchwache, wiederverwendete oder zu alte Passwörter pro Team
3-2-1 · standortgetrennt
Backup & Disaster Recovery – 3-2-1, zwei deutsche Rechenzentren.
Datenverlust eines Passwort-Manager-Vaults ist ein Existenzrisiko. Unsere Backup-Strategie folgt 3-2-1-Regel: tägliche Snapshots, zwei unabhängige Kopien in zwei RZ-Standorten (Süd & Ost), eine Offsite-Kopie. Alle Backups sind verschlüsselt.
- Tägliche SnapshotsDB + Attachments, verschlüsselt mit Kunden-Key
- Zweitstandort in DeutschlandSicherungskopie in einem zweiten deutschen Rechenzentrum, eigener Brandabschnitt
- Restore-Drills monatlichWiederherstellung wird tatsächlich getestet, dokumentiert
- Point-in-Time-RecoveryWiederherstellung auf beliebigen Zeitpunkt der letzten 30 Tage
Turnkey · < 1 Arbeitstag
Migration ist inklusive – aus jedem Passwort-Manager.
Wir übernehmen den kompletten Wechsel. 1Password, Keeper, LastPass, Dashlane, Bitwarden Cloud, KeePass – alle großen Exports laufen durch unseren Migrations-Workflow. Collections, Gruppenzuordnungen und 2FA-Seeds bleiben erhalten.
- Alle StandardformateCSV, JSON, 1pux, lpcsv, Dashlane-CSV, KDBX
- Collections-Mapping1Password-Vaults → Bitwarden-Collections, 1:1 übernommen
- TOTP-Seeds migriert2FA-Codes wandern mit – kein Re-Enrollment nötig
- Onboarding-Webinar30 Min. für alle Mitarbeitenden, Frage-Runde inklusive
// Alle acht Bereiche sind Teil des Pakets — ohne Zusatzmodul, ohne Aufpreis für „Enterprise". Genau das unterscheidet den Betrieb von den Tarifmodellen der Anbieter.
/04 — 11Architektur
Vom Passwort zum gesicherten Vault-Eintrag – in fünf Schichten.
Zero-Knowledge-Architektur: Der Server sieht niemals Klartext-Passwörter. Verschlüsselung findet ausschließlich im Client statt – auf Ihrem Laptop, Ihrem Handy, im Browser. Selbst bei vollständigem Server-Kompromiss wären alle Daten ohne Master-Passwort wertlos.
Verschlüsselung AES-256-CBC je Eintrag, HMAC-SHA256 zur Integritätssicherung
Sync-Server Vaultwarden speichert nur verschlüsselte Blobs – sieht niemals Klartext
Stufe 01Client
Master-Schlüsselaus dem Master-Passwort mit Argon2id abgeleitet — auf Ihrem Gerät, nie auf dem Server
Stufe 02Client
VerschlüsselungAES-256 je Eintrag, HMAC-SHA256 zur Integritätssicherung
Stufe 03Server
Sync-DienstVaultwarden speichert nur verschlüsselte Blöcke — sieht nie Klartext
Stufe 04Server
Datenbank & Sicherungverschlüsseltes Volume, WAL-Archivierung, tägliche Offsite-Snapshots
Stufe 05Client
Entschlüsselungnur Ihr Gerät mit dem Master-Passwort macht den Block wieder lesbar
// Zero-Knowledge heißt wörtlich: Bei vollständigem Zugriff auf unseren Server wären alle Tresore ohne Ihr Master-Passwort wertlos. Wir können sie nicht lesen — auch nicht auf Anfrage.
/05 — 11Clients & Integrationen
Die offiziellen Bitwarden-Apps – auf jeder Plattform.
Vaultwarden implementiert die Bitwarden-API 1:1. Ihre Mitarbeitenden installieren die offiziellen Bitwarden-Apps aus App Store, Google Play oder Browser-Stores und zeigen sie auf Ihre Vault-URL. Keine exotischen Clients, kein proprietärer Lock-in.
Desktop
Browser
Mobil
Kommandozeile & API
Identität
Übernahme aus
// Vaultwarden bildet die Bitwarden-API eins zu eins ab. Ihre Leute installieren die offiziellen Bitwarden-Anwendungen und tragen Ihre Vault-Adresse ein — keine exotischen Clients, keine Herstellerbindung.
/06 — 11Vergleich
Managed Vaultwarden gegenüber den US-Platzhirschen.
| Kriterium | Managed Vaultwarden | 1Password Business | Keeper Business | LastPass Business |
|---|---|---|---|---|
| Datenhaltung | Deutschland (2 RZ) | USA / Kanada | USA | USA |
| Schrems-II-sicher | Ja | Nein | Nein | Nein |
| Preis-Modell | Festpreis / Monat | € pro User | € pro User | € pro User |
| Dedizierte Instanz | Ja | Shared-Cloud | Shared-Cloud | Shared-Cloud |
| Open Source | Ja (AGPL / GPL) | Proprietär | Proprietär | Proprietär |
| Eigene Subdomain | vault.ihrefirma.de | my.1password.com | keepersecurity.eu | lastpass.com |
| Bitwarden-Apps kompatibel | Alle offiziellen | Nein | Nein | Nein |
| SSO (SAML/OIDC) | Inklusive | Nur Enterprise-Tarif | Enterprise-Tarif | Enterprise-Tarif |
| SCIM-Provisioning | Inklusive | Enterprise | Enterprise | Enterprise |
| Migration & Onboarding | Inklusive | Self-Service | Self-Service | Self-Service |
| Daten-Export (Lock-in) | Standardformate jederzeit | Proprietäres 1pux | Eingeschränkt | Eingeschränkt |
| Letzter großer Breach | Keiner | – | – | 2022 (Master-Tresore kopiert) |
| DSGVO-AV-Vertrag | Deutscher Standard | SCC via US-Mutter | SCC via US-Mutter | SCC via US-Mutter |
| Persönlicher Ansprechpartner | Fester Account-Manager | Ticket-Support | Ticket-Support | Ticket-Support |
/07 — 11Zielgruppen
Passgenau für Ihre Situation.
Vier typische Ausgangslagen, in denen Managed Vaultwarden zum schnellen Return on Investment wird. Wählen Sie Ihr Szenario für detaillierte Pain-Points, Lösung und KPIs.
Wechselwillige
Aus US-Cloud raus – ohne Workflow-Bruch.
Ihre Mitarbeitenden nutzen heute 1Password, Keeper oder LastPass. Die Verträge laufen aus, die Preise steigen, der Datenschutzbeauftragte wird unruhig – aber niemand will den bestehenden Workflow verlieren. Genau dafür existiert Managed Vaultwarden: gleicher Komfort der Bitwarden-Apps, andere Datenhoheit, bessere AGB.
< 1 TagMigrationsdauer
40 – 70 %Savings p.a.
0 Std.User-Retraining
12 MonateVertragsbindung
- Preiserhöhungen jedes JahrPro-User-Fees klettern 10–20 % pro Renewal – das Budget explodiert.
- DSB-Veto nach Schrems IIUS-Hosting von Identitätsdaten ist für viele regulierte Kunden nicht mehr tragbar.
- Breach-HistorieLastPass 2022, OneLogin 2017 – Vertrauensschaden sitzt tief.
- Enterprise-Features hinter PaywallSSO, SCIM, Reporting nur im teuersten Tarif.
- Festpreis statt Pro-UserVergabe-konform über UVgO / VgV, Haushaltsplanung transparent.
- Deutscher AV-VertragDatenschutzbeauftragter hat unterschriftsreifes Papier – Schrems II erledigt.
- Turnkey-MigrationWir exportieren aus 1P/Keeper/LastPass, importieren strukturerhaltend.
- Alle Enterprise-Features inklusiveSSO, SCIM, Gruppen, Policies, Audit-Log – kein Upsell.
KMU ohne IT-Team
Passwort-Manager wollen, IT-Team fehlt? Wir übernehmen.
Der Geschäftsführer hat verstanden, dass Passwort-Excel keine Option mehr ist. Der externe IT-Dienstleister ist aber mit Tagesgeschäft ausgelastet. Self-hosted Vaultwarden zu warten – Updates, Backups, TLS-Rotation, Patch-Windows – passt einfach nicht in die Kapazitäten. Managed Vaultwarden schließt genau diese Lücke: enterprise-taugliche Lösung ohne IT-Overhead.
< 1 ArbeitstagTyp. Setup-Zeit
0 Std./MonatIT-Aufwand intern
< 4 Std.Support-Reaktion
99,9 %Verfügbarkeit
- Excel- und Klebezettel-ChaosJeder kennt den Zustand – und niemand möchte den Vorfallbericht schreiben.
- Cyber-Versicherung fordert PWMPrämienrelevant, teils Pflicht – aber die Umsetzung braucht Zeit.
- Kein eigenes IT-Team für BetriebSelf-hosted = Verantwortung für Updates, Backups, Sicherheit – das Risiko will niemand übernehmen.
- Mitarbeiter-FluktuationWenn jemand geht, müsste jedes geteilte Passwort neu gesetzt werden.
- Einmaliger Rollout mit SchulungGeschäftsführer, Buchhaltung, Vertrieb – alle bekommen ein Onboarding-Webinar.
- Betrieb komplett bei unsUpdates, Backups, Monitoring, Notfall – Sie haben einen Ansprechpartner, nicht vier.
- Cyber-Versicherungs-NachweisISO-27001-zertifizierter Betrieb – Versicherer akzeptiert sofort.
- Offboarding per KlickAustretender Mitarbeiter verliert Vault-Zugriff sofort, Shared-Secrets bleiben bei Collection.
Regulierte Branchen
NIS2, DORA, KRITIS – Identitätsschutz ist Compliance-Pflicht.
Seit 6. Dezember 2025 gilt NIS2 in Deutschland, seit Januar 2025 DORA – beide fordern explizit starken Identitätsschutz, sichere Verwaltung privilegierter Credentials und revisionssichere Nachweise. Managed Vaultwarden liefert die technische Grundlage: on-prem in Deutschland, audit-fähig, mit dokumentierten Notfallprozessen.
10 JahreAudit-Log-Retention
99,95 %Verfügbarkeit SLA
24 Std.Meldefrist NIS2
4 / 1 Std.RTO / RPO
- Privileged Access schlecht dokumentiertAdmin-Passwörter in ehemaligen Admin-Heads, keine Nachweisbarkeit bei Audit.
- DORA-Meldefristen sind kurz4h-Frühmeldung bei IKT-Vorfall – wer kompromittierte Credentials nicht lokalisieren kann, verfehlt sie.
- US-Cloud mit KRITIS unvereinbarBSI-Grundschutz und B3S fordern de-facto EU-/DE-Hosting für Identitätsdaten.
- Zero-Trust-Anforderungen steigenPasswort-Hygiene, 2FA-Pflicht, regelmäßige Rotation – manuell nicht leistbar.
- Append-only Audit-LogJede View, jeder Edit, jeder Share – 10 Jahre SHA-256-gehasht revisionssicher.
- Privileged-Access-CollectionsDomain-Admin, Root, DB-Owner in dedizierten Collections mit Hide-Passwords.
- SIEM-Export für 24/7-SOCSyslog / Splunk HEC / Elastic – Events fließen in Ihr SOC.
- Enterprise-Policies erzwungen2FA-Pflicht, Mindest-Master-Pass-Länge, keine Export-Rechte für normale User.
MSP & IT-Dienstleister
Für IT-Dienstleister: Mandantenfähig, White-Label-tauglich.
Als Managed-Service-Provider verwalten Sie Credentials Ihrer Kunden – plus eigene. Pro-User-Tarife der Platzhirsche machen die Marge kaputt. Unsere MSP-Variante ist pro Mandant dediziert, unter Ihrer Subdomain, mit Ihrem Branding – abrechenbar als Ihre eigene Leistung.
5 KundenMin. Tenants
50 – 70 %Marge typisch
< 30 Min.Setup neuer Tenant
24/7 APIPartner-Portal
- Pro-User-Fees zerstören MargeBei 1Password oder Keeper bleibt für den MSP kaum Deckungsbeitrag.
- Keine echte MandantentrennungUS-Anbieter liefern nur "Collections" – juristisch unsauber bei KRITIS-Kunden.
- White-Label-Optionen fehlenEndkunde sieht immer das Logo des Platzhirschen.
- Rollout beim Kunden manuellJeder Tenant ein Einzelprojekt – Skalierung schwer.
- Festpreis je TenantSie kaufen günstig ein, verkaufen zu Ihrem Preis – Marge bleibt bei Ihnen.
- Echte dedizierte InstanzJeder Kunde bekommt eigene Vaultwarden-Instanz, eigene DB, eigene Subdomain.
- White-LabelLogo, Farben, Support-E-Mail anpassbar – Endkunde sieht Ihren Brand.
- Partner-API für ProvisioningNeuen Tenant per API anlegen, Abrechnung automatisch.
Behörden & Verwaltung
Öffentliche Verwaltung: BSI-Grundschutz-konform, OZG-tauglich.
Kommunen, Landesbehörden, Bundesbehörden – Passwort-Hygiene ist Pflicht nach BSI IT-Grundschutz ORP.4, OZG-kritische Fachverfahren brauchen kontrollierte Credential-Verwaltung. Cloud-Lösungen aus den USA scheiden praktisch aus – der BSI-Mindeststandard fordert EU-/DE-Hosting, AV-Verträge nach deutschem Recht und dokumentierte Mandantenfähigkeit. Managed On-Prem in einem BSI-zertifizierten Verwaltungs-Rechenzentrum ist typischerweise die bevorzugte Variante.
UVgO & VgVVergabe-fähig
ORP.4BSI-Grundschutz
DE-RZ / on-premHosting
deutsches RechtAV-Vertrag
- Fachverfahrens-ZooHKR, Einwohnermeldewesen, GIS – jedes mit eigenen Admin-Credentials.
- US-Cloud aus Compliance-Sicht unmöglichBSI, LfDI und RH haben 1Password/LastPass/Keeper faktisch verboten.
- Budget & VergabePro-User-SaaS passt nicht in Jahreshaushalt, Upsells belastend.
- Rechenzentrum-KonsolidierungKommunale ITZs fordern Deployment in eigenem RZ (ITZBund, Dataport etc.).
- Managed On-Prem im Verwaltungs-RZWir deployen in Ihr Dataport-/ITZBund-/kommunales RZ – Betrieb remote durch uns.
- Festpreis statt Pro-UserVergabe-konform über UVgO / VgV, Haushaltsplanung transparent.
- BSI-Grundschutz-BausteinORP.4 dokumentiert, Anforderungen prüfbar erfüllt.
- Entra-ID/AD-SyncFür Bund- und Länder-AD samt Rolle/Laufbahn-Gruppen.
Gesundheitswesen
Kliniken, Praxen, Labore: §203 StGB ist nicht verhandelbar.
§203 StGB (Verletzung von Privatgeheimnissen) macht Ärzte und deren IT-Dienstleister persönlich haftbar für Patientendaten-Lecks. Passwort-Manager-Tresore enthalten de facto Zugänge zu PACS, KIS, Laborinformationssystem, E-Rezept-Konnektor – damit mittelbar Patientendaten. Ein US-Cloud-Hack ist kein Ausrutscher, sondern strafrechtlich relevante Fahrlässigkeit. Krankenhauszukunftsgesetz ( KHZG ) und B3S Krankenhaus fordern zusätzlich dokumentierte IT-Sicherheit.
§203 StGBStrafnorm
KHZG FTZ 10Förderfähig
§203 StGB-festAV-Vertrag
Klinik-RZ / SaaSDeployment
- §203 StGB-RisikoEin kompromittierter PACS/KIS-Zugang ist persönliche Strafbarkeit der Geschäftsführung.
- Notfall-Zugriff bei SchichtwechselEilig geteilte Passwörter auf Notizblock – zertifikatspflichtige Systeme kollabieren daran.
- Lieferanten-ZugängeRadiologie, Laborsystem, Wartungsaccounts – alle brauchen revisionssichere Freigabe.
- Ransomware-WelleKliniken sind Top-Ziel (Medatixx, Mediclin etc.) – kompromittierte Admin-Credentials die Einfallstür.
- AV-Vertrag §203-festMit Verpflichtungserklärung & Datengeheimnis – DSB-ready.
- Notfall-Zugriff als CollectionDedizierte "Emergency"-Collection, Zugriff protokolliert mit Begründung.
- Privileged-Access-Shared-VaultAdmin-Passwörter für PACS/KIS/Lab nur Hide-Passwords-Mode, Auto-Rotation nach Nutzung.
- KHZG-FörderfähigFTZ 10 (IT-Sicherheit) – zuschussfähig, Antragsunterlagen liefern wir mit.
Kanzleien & Berater
Berufsgeheimnisträger: Kanzleien, Steuerberater, WP, Notare.
Anwälte ( BRAO §2, §43a ), Steuerberater ( StBerG §57 ), Wirtschaftsprüfer ( WPO §43 ), Notare ( BNotO §18 ) unterliegen einer berufsrechtlichen Verschwiegenheitspflicht. Cloud-Dienstleister aus den USA sind seit Schrems II nur mit erheblichen Zusatzmaßnahmen tragbar – für Passwort-Tresore mit Zugängen zu DATEV, RA-MICRO, Kanzleisoftware, Gerichtspostfach (beA) ist die Latte besonders hoch. Mit Managed Vaultwarden bleiben Mandantendaten-Zugänge nachweislich in Deutschland.
§203 StGBSchweigepflicht
konform§43e BRAO
100 % DEDatenhoheit
berufsrechtsfestAV-Vertrag
- US-Cloud berufsrechtlich fragwürdig§43e BRAO verlangt Schutz von Mandanteninteressen – US-Subpoena widerspricht dem.
- Verpflichtung Beschäftigter auf VerschwiegenheitJeder Dienstleister mit Datenzugang muss schriftlich verpflichtet sein.
- beA, DATEV, RA-MICRO-ZugängeZentraler Passwort-Manager ist Pflicht – aber Mandantenakte darf nie verlinkt werden.
- Haftungskaskade bei BreachKanzlei haftet persönlich, Deckungszusagen der Berufshaftpflicht an IT-Sicherheit gebunden.
- AV + Verpflichtung §203Alle bei uns tätigen Personen schriftlich auf Berufsgeheimnis verpflichtet.
- Mandanten-Trennung per CollectionPro Mandat eine Collection, nur zuständige Sachbearbeiter zugreifbar.
- Audit-Log für HaftpflichtRevisionssicher dokumentiert – im Schadensfall Entlastungsnachweis.
- Kleine Paketgröße ab 5 UserAuch 3er-Kanzlei oder StB-Sozietät enterprise-fähig ausstattbar.
DevOps & Entwickler
DevOps & Entwickler: CI/CD-Secrets, API-Tokens, IaC-Credentials.
Moderne Teams verwalten nicht nur User-Passwörter – sie brauchen einen Ort für AWS-Access-Keys, GitHub-Tokens, Datenbank-Credentials, Kubernetes-Secrets, TLS-Zertifikate. Bitwarden-CLI ( bw ), REST-API und SDKs machen Vaultwarden zum programmierbaren Secret-Store – nutzbar in GitLab-CI, GitHub Actions, Ansible, Terraform. Kein extra HashiCorp-Vault-Cluster nötig, wenn Ihr Use-Case nicht Dynamic-Secrets fordert.
< 40 msAPI-Latenz
unlimitedRate-Limit
scoped · rotatableOrg-Tokens
on-changeWebhooks
- Secrets in .env-FilesLanden in git, in Logs, in Docker-Images – GitHub findet sie zuerst.
- HashiCorp Vault zu aufwendigClustering, TTL, Unseal-Keys – Overkill für Teams < 50 Developer.
- Token-Rotation manuellGitHub-PAT, AWS-Keys, DB-Passwörter – alle 90 Tage. Niemand macht's.
- Compliance fordert TrennungEntwickler-Credentials dürfen nicht im gleichen Vault liegen wie Mandanten-PWs.
- bw CLI in Build-Pipelinesbw get password aws-prod – ersetzt .env, wird nie committed.
- K8s External-Secrets-OperatorSecrets aus Vaultwarden in Kubernetes-Namespaces synchronisiert.
- Org-Tokens mit ScopeNur Collection "ci-prod" zugreifbar, Token rotierbar per Admin-Klick.
- Getrennte OrganisationenDev-Team & Company-Admins sauber getrennt, gemeinsame Audit-Sicht.
Bildung & Forschung
Hochschulen, Schulen, Forschung: Föderierte Identitäten, DFN-Umfeld.
Hochschulen und Forschungseinrichtungen arbeiten mit DFN-AAI, Shibboleth, eduGAIN – und brauchen einen Passwort-Manager, der sich in diese föderierte Welt einfügt. Vaultwarden spricht SAML 2.0 / OIDC nativ, Mandantenfähigkeit trennt Fakultäten und Institute, Audit-Log erfüllt GDD-Orientierungshilfe und DSGVO-Vorgaben der Landesdatenschutzbeauftragten. Preismodell ohne Pro-User-Lizenzen passt zu akademischen Budgets.
Shibboleth · SAMLIdP-Anbindung
DFN-AAI · eduGAINFederation
Festpreis / SitzPreismodell
pro FakultätMandanten
- Pro-User-Tarife unrealistisch20.000 Studierende × 4 €/Monat sprengt jedes ZIM-Budget.
- Forschungsdaten-ZugängeHPC-Cluster, Datenbanken, Citrix – zentrale Verwaltung fehlt meist.
- DSGVO-LDSG-Aufsicht strengLandesdatenschutzbeauftragte verlangen DE-Hosting für Identitätsdaten.
- FakultätsautonomieJedes Institut will eigene Policies – braucht saubere Mandantentrennung.
- Shibboleth/SAML nativAnbindung an Uni-IdP samt eduPersonAffiliation-Rollen.
- Pro-Sitzplatz-FestpreisNicht pro Matrikel – nur aktive Admins & Forschende zählen.
- Fakultäts-OrganisationenJede Fakultät eigene Policies, zentral nur Support durch ZIM/RZ.
- Managed On-Prem im Uni-RZIm campusinternen Rechenzentrum, Betrieb durch uns remote.
// Der häufigste Fall: Wechsel aus der US-Cloud ohne Bruch im Arbeitsablauf. Gleiche Anwendungen, andere Datenhoheit — Migration typischerweise an einem Tag, ohne Schulung, weil sich für die Anwender nichts ändert.
/08 — 11Security · Datenschutz · Compliance
Ein Passwort-Manager muss selbst maximal sicher sein.
Zero-Knowledge-Architektur
Der Server kennt niemals Klartext-Passwörter. Verschlüsselung findet ausschließlich im Client statt, Master-Key wird via Argon2id aus dem Master-Passwort abgeleitet und verlässt den Client nie.
BSI-auditierter Kern
Vaultwarden-Codebase wurde 2024 im Auftrag des BSI durch eine unabhängige Sicherheitsprüfung untersucht. Alle gefundenen Issues sind upstream gefixed. Open-Source-Code bleibt dauerhaft auditfähig.
Deutsche Rechenzentren
Alle Daten (Live + Backup) in zwei ISO-27001-zertifizierten Rechenzentren in Deutschland. Keine Replikation in die USA, keine CDN-Ausleitung personenbezogener Daten.
Schrems-II-sicher
Kein Datenzugriff durch US-Behörden. Unsere Muttergesellschaft ist deutsch, die Infrastruktur ist deutsch, der AV-Vertrag nach Art. 28 DSGVO ist Standard. CLOUD Act greift nicht.
Backup 3-2-1 verschlüsselt
Drei Kopien, zwei Medien, eine Offsite. Alle Backups mit kundenspezifischem Key verschlüsselt. Point-in-Time-Recovery für letzte 30 Tage. Monatliche Restore-Drills – dokumentiert.
Audit-Log revisionssicher
Append-only Log jedes Events – Login, View, Edit, Share, Export, Admin-Aktion. SHA-256 verkettet, 3 Jahre Mindest-Retention (bis 10 Jahre konfigurierbar). NIS2-/DORA-fest.
/09 — 11So starten wir
In vier Schritten zur produktiven Vault-Instanz.
Erstgespräch
Anforderungen klären: Nutzerzahl, IdP, Compliance-Kontext, Ziel-SSO.
Setup
Wir deployen Ihre dedizierte Instanz: Container, DB, Subdomain, TLS, Backup, Monitoring.
Migration & SSO
Import aus 1P/Keeper/LastPass, Entra-ID- oder AD-Anbindung, SCIM-Sync aktiv.
Betrieb & Support
Updates, Backups, Monitoring, fester Ansprechpartner. Rollout-Webinar für Team.
/10 — 11Häufige Fragen
FAQ zu Managed Vaultwarden
/01Funktionieren die offiziellen Bitwarden-Apps?+
Ja – alle offiziellen Bitwarden-Clients (Desktop für Windows/macOS/Linux, Mobile für iOS/Android, Browser-Extensions für Chrome/Firefox/Safari/Edge/Brave, CLI, Apple Watch) sind vollständig kompatibel. Vaultwarden implementiert die Bitwarden-API 1:1. Ihre Mitarbeitenden installieren die App aus dem Store und tragen Ihre Server-URL ein – das ist der einzige Unterschied zum Bitwarden-Cloud-Konto.
/02Wie sicher ist Vaultwarden wirklich?+
Alle Passwörter werden client-seitig mit AES-256 verschlüsselt. Der Master-Key wird per Argon2id (memory-hard) aus dem Master-Passwort abgeleitet und verlässt Ihr Gerät nie. Der Server sieht ausschließlich verschlüsselte Blobs. Das Projekt wurde 2024 im Auftrag des BSI einer unabhängigen Sicherheitsprüfung unterzogen – alle gefundenen Issues sind upstream gefixed und im aktuellen Release enthalten. Als Open-Source-Lösung ist jede Codezeile dauerhaft überprüfbar.
/03Wie lange dauert die Migration von 1Password, Keeper oder LastPass?+
In der Regel weniger als einen Arbeitstag. Alle großen Passwort-Manager können ihre Daten in Standardformaten (CSV, JSON, 1pux, KDBX) exportieren. Unser Migrations-Workflow überträgt Einträge, Collections, Anhänge und TOTP-Seeds strukturerhaltend. Wir begleiten den gesamten Prozess und führen im Anschluss einen Abgleich durch.
/04Wo werden meine Passwörter gespeichert?+
Ausschließlich in zwei ISO-27001-zertifizierten Rechenzentren in Deutschland – produktives Rechenzentrum und Backup-Rechenzentrum, beide in Deutschland. Keine Replikation in andere Länder, kein CDN mit personenbezogenen Daten, kein Offshore-Support. Damit sind DSGVO, BDSG und Schrems-II-Anforderungen lückenlos erfüllt.
/05Können wir Active Directory, Entra ID oder Okta anbinden?+
Ja. Vaultwarden unterstützt SAML 2.0, OIDC und SCIM 2.0 – damit funktionieren alle Enterprise-IdPs nativ: Microsoft Entra ID, Okta, Keycloak, Auth0, Google Workspace, Ping Identity. Für reine AD-Umgebungen bieten wir zusätzlich unseren LDAP-Bridge-Connector, der Gruppen automatisch auf Bitwarden-Collections mappt. Einrichtungsaufwand: typischerweise 30–90 Minuten.
/06Was passiert mit meinen Daten, wenn ich kündige?+
Sie erhalten einen vollständigen Export in Standardformaten (JSON für Vaultwarden/Bitwarden, CSV für Import in andere Manager). Kein Vendor Lock-in, keine Geiselhaft – Ihre Daten gehören Ihnen. Nach der Übergabe werden alle Daten auf unseren Systemen unwiderruflich gelöscht; die Löschung wird Ihnen schriftlich bestätigt.
/07Ist Vaultwarden für große Teams und Konzerne geeignet?+
Ja. Mit Organisationen, Collections, Gruppen und granularen Berechtigungen skaliert Vaultwarden problemlos auf tausende Nutzer. Alle Enterprise-Features – SSO, SCIM-Provisioning, Enterprise-Policies, Audit-Log, Reporting – sind ohne Zusatzkosten enthalten. Für konzernweite Deployments mit Tochtergesellschaften setzen wir pro Mandant eine eigene dedizierte Instanz auf.
/08Erfüllt die Lösung NIS2 und DORA?+
Ja. Unsere Architektur erfüllt NIS2 §30 (starkes Identitätsmanagement) und DORA Art. 9 (IKT-Sicherheits-Grundsätze). Das revisionssichere Audit-Log (Append-only, SHA-256 verkettet, bis zu 10 Jahre Retention) liefert die geforderten Nachweise. Die Verfügbarkeits-SLA (99,95 % in KRITIS-Tarif) und das RTO von 4 Stunden sind DORA-konform. Auf Wunsch liefern wir den passenden Nachweispass für Ihren Auditor.
/09Läuft die Lösung auch on-prem – in unserem eigenen Rechenzentrum?+
Ja, Managed On-Prem ist ein gleichwertiges Betriebsmodell. Vaultwarden läuft auf Ihrer Hardware (Proxmox, VMware, Hyper-V, OpenShift, Kubernetes oder Bare-Metal), in Ihrem Netzsegment. Wir deployen, patchen, sichern und monitoren remote über einen gehärteten SSH-/VPN-Jumphost – Daten verlassen Ihr Haus nicht. Air-Gap-Umgebungen werden via Artifact-Export unterstützt. Ideal für KRITIS-Betreiber, BSI-IT-Grundschutz-Anforderungen oder Konzernvorgaben mit "Daten nur im eigenen RZ". Setup typischerweise 1–2 Wochen, danach fester Monatspreis für Betrieb.
/10Was ist der Unterschied zwischen Managed SaaS und Managed On-Prem?+
Der Funktionsumfang ist identisch – SSO, SCIM, Audit-Log, 2FA, Bitwarden-App-Kompatibilität, alle Enterprise-Policies. Der Unterschied: Bei Managed SaaS läuft Ihre dedizierte Instanz in unseren ISO-27001-Rechenzentren in Deutschland (zwei getrennte Standorte), Setup in <1 Tag, reine OPEX. Bei Managed On-Prem läuft sie auf Ihrer eigenen Infrastruktur – maximale Datenhoheit, Air-Gap-tauglich, ideal für KRITIS und Konzerne mit harter "On-Prem-Only"-Policy. Ein Hybrid-Betrieb (produktiv bei Ihnen, DR bei uns oder umgekehrt) ist ebenfalls möglich. Ein Wechsel zwischen den Modellen ist jederzeit ohne Datenverlust machbar.
/11Was kostet Managed Vaultwarden?+
Wir arbeiten mit Festpreisen pro Instanz und Monat – nicht pro User. Der Preis hängt von SLA-Klasse, gewünschten Zusatzleistungen (SSO-Einrichtung, White-Label, 24/7-Support) und Mandantenzahl ab. Bei 50–500 Mitarbeitenden liegen typische Konstellationen deutlich unter dem Listenpreis von 1Password oder Keeper. Im Erstgespräch nennen wir Ihnen eine konkrete Zahl.
/12Welche SLA bieten Sie?+
Standard-SLA: 99,9 % Verfügbarkeit, Reaktionszeit < 4 Stunden (Mo–Fr), Wiederherstellzeit < 8 Stunden. KRITIS-SLA: 99,95 % Verfügbarkeit, 24/7-Reaktion, RTO 4h / RPO 1h. Alle Parameter werden vertraglich zugesichert und monatlich per Reporting nachgewiesen. Wartungsfenster stimmen wir mit Ihnen ab – nicht umgekehrt.
/13Wie funktioniert das Offboarding ausgetretener Mitarbeiter?+
Bei SCIM-Anbindung wird der Deprovisioning-Event vom IdP automatisch übernommen – der Account ist innerhalb von Sekunden deaktiviert. Der Admin kann zusätzlich Password-Rotation-Workflows für geteilte Accounts auslösen: alle Credentials, auf die der ausgetretene Mitarbeiter Zugriff hatte, werden automatisch zur Rotation markiert. Audit-Log dokumentiert den kompletten Offboarding-Vorgang revisionssicher.
/11 — 11Demo & Angebot
30-Minuten-Live-Demo – echte Vault, echte Migration.
Kein Sales-Pitch, kein PowerPoint. Unser Engineering-Team zeigt die Plattform live: Einrichtung, SSO-Anbindung, Migration aus Ihrem bestehenden Passwort-Manager, Audit-Log-Export. Im Anschluss ein unverbindliches Festpreis-Angebot.
- Live-Demo einer dedizierten Vaultwarden-Instanz
- SSO-Blueprint für Ihren IdP (Entra / Okta / Keycloak / AD)
- Migrations-Test mit 5 Beispieleinträgen aus Ihrem Altsystem
- Unverbindliches Festpreis-Angebot nach Demo
// nächster schritt
Passwortverwaltung besprechen.
Der Wechsel scheitert selten an der Software, sondern an der Einführung. Wir gehen durch, wie sie in Ihrem Haus tatsächlich ankommt.
ISO/IEC 27001 zertifiziert · Zertifikat 202787
$ passwortverwaltung --erstgespraech
Passwortverwaltung besprechen →
09571 873149
30 Minuten, unverbindlich und direkt mit einem technischen Ansprechpartner. Drei Sätze zur Ausgangslage genügen; die Antwort kommt in der Regel innerhalb eines Werktags. Aus der Anfrage entsteht keine Verpflichtung.