Passwortmanager für Unternehmen: Die 8 besten 2026 im Vergleich

Der beste Passwortmanager für Unternehmen ist 2026 für die meisten Firmen Bitwarden: Er vereint offenen Quellcode, SOC 2 Type II und ISO 27001, EU-Hosting oder Self-Hosting sowie SCIM-Provisionierung ab 4 $ pro Nutzer. 1Password folgt knapp dahinter und ist die richtige Wahl, wenn die Akzeptanz bei den Mitarbeitenden am wichtigsten ist. Passbolt führt bei der europäischen Datensouveränität, und Proton Pass Business ist die preiswerte Option für Firmen, die SSO, SCIM und SIEM in einem Tarif für 4,99 $ unter Schweizer Recht wollen.

Wir haben elf Passwortmanager für Unternehmen nach einem einheitlichen, veröffentlichten und gewichteten Bewertungsschema (sechs Kriterien, 100 Punkte) bewertet; acht haben es in die Auswahl geschafft. Jeden Preis haben wir im November 2026 auf der Preisseite des Anbieters geprüft, so wie er in unserer Region angezeigt wird, und das ergänzt, was die meisten Rankings auslassen: welcher Tarif SSO tatsächlich freischaltet, wo Ihr Tresor gehostet wird und wie sich jedes Tool auf NIS2 und ISO 27001 abbilden lässt.

Kurz gesagt (bewertet anhand offizieller Herstellerdokumentation und Preisseiten, geprüft am 8. November 2026; Preise netto ohne MwSt.)

• Bester Gesamtsieger: Bitwarden (87/100). Teams ab 4 $ pro Nutzer und Monat mit SCIM, Enterprise für 6 $ mit SSO und Self-Hosting (Bitwarden-Preise).
• Beste Nutzererfahrung: 1Password (84,5/100). Business für 8,99 $ pro Nutzer mit SSO, automatisierter Provisionierung, SIEM-Event-Streaming und EU-Region (1Password-Preise).
• Am besten für EU-Souveränität und DevOps: Passbolt (82/100), selbst gehostet oder in einer souveränen Cloud in Luxemburg (Passbolt-Preise).
• Am besten für Datenschutz und Schweizer Recht: Proton Pass Business (80,5/100). SSO, SCIM, Aktivitätsprotokolle und SIEM-Integration für 4,99 $ pro Nutzer (Proton Pass Business).
• Am besten für regulierte Branchen und den öffentlichen Sektor: Keeper (78/100). FedRAMP-High-autorisiert, Enterprise für 6 $ mit SSO und SCIM (Keeper-Preise).
• Beste kostenlose Self-Hosting-Option für kleine Teams: Psono (75,5/100) aus Deutschland, voller Business-Funktionsumfang kostenlos bis 10 Nutzer (Psono-Preise).
• Nicht in den Top 8: Zoho Vault, RoboForm und LastPass. Bei LastPass wurden 2022 verschlüsselte Tresor-Backups gestohlen, die britische Datenschutzbehörde ICO verhängte ein Bußgeld von 1,2 Mio. £.
• Preise Stand November 2026, netto; die Währung variiert je nach Region.

Was ist ein Passwortmanager für Unternehmen?

Ein Passwortmanager für Unternehmen ist ein Zero-Knowledge-Tresor, der Firmenzugangsdaten speichert und teilt, ergänzt um eine zentrale Verwaltung: Benutzerprovisionierung, geteilte Tresore pro Team, Zugriffsrichtlinien, Audit-Logs und Wiederherstellung, wenn Mitarbeitende das Unternehmen verlassen. Anders als eine Consumer-App lässt er die IT entscheiden, wer welche Zugangsdaten sieht, dies gegenüber Auditoren nachweisen und Zugriffe in Minuten entziehen.

Die Kategorie ist wichtig, weil gestohlene Zugangsdaten nach wie vor der einfachste Weg ins Netzwerk sind. Der Verizon Data Breach Investigations Report 2025, der 12.195 bestätigte Sicherheitsverletzungen analysiert hat, zeigt: Missbrauch von Zugangsdaten war mit 22 % der häufigste initiale Angriffsvektor, vor der Ausnutzung von Schwachstellen mit 20 %, und die Beteiligung Dritter hat sich von 15 % auf 30 % verdoppelt (Descope-Zusammenfassung des Verizon DBIR 2025). Ein Passwortmanager stoppt nicht jeden Angriff, aber er beseitigt wiederverwendete und schwache Passwörter und protokolliert, wer worauf zugegriffen hat.

Was muss ein Passwortmanager für Teams 2026 können?

Ein Passwortmanager für Teams sollte 2026 fünf Dinge bieten: SSO mit Ihrem Identity Provider, SCIM oder Verzeichnissynchronisation für automatisches Onboarding und Offboarding, granulare Richtlinien, exportierbare Audit-Logs (idealerweise an ein SIEM) und Unterstützung für Passkeys.

Passkeys sind von der Roadmap in den Rollout übergegangen. Laut einer Studie der FIDO Alliance, die auf einer Sapio-Research-Umfrage unter 400 Entscheidern in US- und UK-Unternehmen mit mehr als 500 Beschäftigten beruht (durchgeführt im September 2024), haben 87 % der befragten Unternehmen Passkeys eingeführt oder sind gerade dabei (FIDO Alliance). Ein Business-Tresor, der Passkeys neben Passwörtern speichert und synchronisiert, erleichtert diesen Übergang erheblich.

Die Marktgröße zeigt in dieselbe Richtung, auch wenn die Schätzungen stark auseinandergehen: Fortune Business Insights beziffert den Markt für Passwortmanagement 2025 auf 3,22 Mrd. USD, The Business Research Company auf 3,75 Mrd. USD. Für Käufer sehen die Einstiegspreise ähnlich aus; die echten Unterschiede liegen in der Tarifstaffelung, im Hosting und in den Zertifizierungen.

So haben wir die Passwortmanager für Unternehmen bewertet (Methodik)

Um den besten Passwortmanager für Unternehmen zu ermitteln, haben wir jedes Tool auf sechs gewichteten Kriterien mit 0 bis 10 Punkten bewertet, jede Note mit ihrem Gewicht multipliziert und die Ergebnisse zu einer Gesamtpunktzahl von maximal 100 addiert. Grundlage sind offizielle Herstellerdokumentation, Trust Center und Preisseiten, geprüft am 8. November 2026. Es handelt sich um einen Vergleich von Dokumentation und Preisen, nicht um einen praktischen Labortest, und jede Note folgt den unten stehenden Stufen. Technova vertreibt keines der Tools weiter.

#	Kriterium	Gewicht	10 bedeutet	5 bedeutet	0 bedeutet
1	Sicherheitsarchitektur und Historie	25	Zero-Knowledge, aktuelle unabhängige Audits, öffentliches Bug-Bounty, kein Leak von Tresordaten	Audits veraltet oder begrenzt	Tresordaten von Kunden gestohlen und/oder Bußgeld einer Aufsichtsbehörde
2	Administration und Identitätsintegration	20	SSO, SCIM oder Verzeichnissynchronisation, Richtlinien, Audit-Logs und SIEM in einem Tarif unterhalb des Top-Tarifs	Siehe Admin-Stufen unten	Keine zentrale Verwaltung
3	Compliance und Datensouveränität	20	SOC 2 Type II, ISO 27001 und EU-Hosting nachgewiesen, dazu Nicht-US-Jurisdiktion und Self-Hosting	Souveränität ohne nachgewiesene Attestierung	Nichts nachweisbar
4	Preis-Leistung	15	Günstigster Tarif mit Workforce-SSO oder SCIM für 25 Plätze bei höchstens 3 € pro Nutzer	Etwa 6 € pro Nutzer	10 € oder mehr pro Nutzer (Note 4)
5	Bedienbarkeit und Akzeptanz	10	Native Apps auf allen Plattformen, starkes Autofill, Passkeys, kostenloser Familientarif für Mitarbeitende	Weniger Plattformen oder technische Oberfläche	Schwer einzuführen
6	Bereitstellungsflexibilität und Offenheit	10	Open Source, Self-Hosting und offizielle CLI oder API	Proprietär, nur mit offizieller CLI oder API	Geschlossenes SaaS ohne CLI, API oder Self-Hosting

Admin-Stufen. Der „Top-Tarif“ ist der umfassendste Tarif der jeweiligen Produktlinie, einschließlich eines Enterprise-Tarifs auf Anfrage; Suite-Pakete (etwa Proton Workspace) und Mengenpreis-Varianten eines bestehenden Tarifs gelten nicht als eigener Tarif. 10: Workforce-SSO, SCIM oder Verzeichnissynchronisation, Audit-Logs und SIEM-Integration sind alle in einem Tarif unterhalb des Top-Tarifs dokumentiert. 9: SSO sowie SCIM oder Verzeichnissynchronisation unterhalb des Top-Tarifs, aber ohne dokumentierten SIEM-Export in diesem Tarif. 8: SSO oder SCIM unterhalb des Top-Tarifs, das andere nur im Top-Tarif. 7: SSO sowie SCIM oder Verzeichnissynchronisation nur im Top-Tarif. 6: SSO nur im Top-Tarif, ohne nachgewiesene Verzeichnisprovisionierung in diesem Tarif.

Preisstufen. 10 (≤ 3 €), 9 (≤ 4 €), 8 (≤ 5 €), 7 (≤ 6 €), 6 (≤ 9 €) und 4 (≥ 10 €), wobei USD und EUR als gleichwertig gelten. Wir bepreisen den günstigsten Tarif mit Workforce-SSO (Entra ID, Okta oder generisches SAML/OIDC) oder SCIM bei 25 Plätzen, weil ein Unternehmen genau das kauft. Ein auf Google Workspace beschränktes SSO zählt nicht, daher wird NordPass mit Enterprise statt Teams bewertet; ein AD- oder LDAP-Verzeichniskonnektor ohne SCIM oder Workforce-SSO zählt ebenfalls nicht.

Compliance-Stufen. 9: SOC 2 Type II, ISO 27001 sowie Hosting in der EU oder der Schweiz, alles auf den eigenen Seiten des Anbieters dokumentiert. 8: zwei der drei. 5: Souveränität (EU-Anbieter oder Self-Hosting) ohne nachgewiesene Attestierung. 3: nur eine DSGVO-Erklärung. Kein Tool erreichte 10.

Flexibilitätsstufen. 10: Open Source, Self-Hosting und offizielle CLI oder API. 6: Open-Source-Clients und offizielle CLI oder API, aber kein Self-Hosting. 5: proprietäres SaaS mit offizieller CLI oder allgemeiner API. 4: Self-Hosting verfügbar, aber keine offizielle CLI oder allgemeine API. 0: geschlossenes SaaS ohne all dies. SCIM-Provisionierung und SIEM-Konnektoren allein sind Integrationen, keine allgemeine API, und heben ein Tool nicht aus der untersten Stufe.

„Bei der Tarifstaffelung laufen Budgets für Passwortmanager aus dem Ruder“, sagt Alfons Marques, Gründer von Technova Partners. „Der beworbene Preis enthält selten SSO oder SCIM, und genau nach diesen beiden Funktionen fragt der Auditor.“

Die 8 besten Passwortmanager für Unternehmen 2026 im Vergleich

Bitwarden führt unsere Bewertung 2026 mit 87/100 an, vor 1Password (84,5), Passbolt (82) und Proton Pass Business (80,5). Keeper (78), Dashlane (76), Psono (75,5) und NordPass (74,5) komplettieren die Top 8; von den elf bewerteten Tools haben es diese acht in die Auswahl geschafft.

Tool	Sitz	Günstigster Tarif mit SSO/SCIM	Sicherheit (25)	Admin (20)	Compliance (20)	Preis (15)	Bedienbarkeit (10)	Flexibilität (10)	Gesamt /100
Bitwarden	USA	Teams 4 $ (SCIM), Enterprise 6 $ (SSO)	9	8	9	9	7	10	87,0
1Password	Kanada	Business 8,99 $	9	10	9	6	10	5	84,5
Passbolt	Luxemburg	Pro 4,50 €	8	9	8	8	6	10	82,0
Proton Pass Business	Schweiz	Professional 4,99 $	9	7	9	8	8	6	80,5
Keeper	USA	Enterprise 6,00 $	9	7	9	7	8	5	78,0
Dashlane	USA / Frankreich	Omnix 8 €	8	9	8	6	8	5	76,0
Psono	Deutschland	Enterprise 2,50 € bei 25 Plätzen (kostenlos bis 10 Nutzer)	7	9	5	10	5	10	75,5
NordPass	Litauen	Enterprise 5,39 € (2-Jahres-Tarif)	8	7	8	7	9	5	74,5

Kriterien werden mit 0 bis 10 bewertet; das Gewicht jedes Kriteriums steht in Klammern, die Gesamtpunktzahl ist die gewichtete Summe (Note × Gewicht ÷ 10). Sicherheit = Sicherheitsarchitektur und Historie; Admin = Administration und Identitätsintegration; Compliance = Compliance und Datensouveränität; Preis = Preis-Leistung; Bedienbarkeit = Bedienbarkeit und Akzeptanz; Flexibilität = Bereitstellungsflexibilität und Offenheit. Preise pro Nutzer und Monat bei jährlicher Abrechnung, sofern nicht anders angegeben, Stand November 2026, netto; die Währung variiert je nach Region. Prüfen Sie vor dem Kauf die verlinkte Herstellerseite.

1. Bitwarden: bester Passwortmanager für Unternehmen insgesamt (87/100)

Bitwarden ist ein Open-Source-Passwortmanager, der durch die Balance aus Sicherheitsnachweisen, Provisionierung und Preis überzeugt. Der Anbieter veröffentlicht jährliche Quellcode-Audits und Penetrationstests und gibt an, nach SOC 2 Type II und SOC 3 sowie nach ISO 27001 zertifiziert und HIPAA-konform zu sein, mit DSGVO-Abdeckung über EU-Standardvertragsklauseln (Bitwarden Compliance). Die Daten liegen in Microsoft Azure in den USA oder der EU.

SCIM und Directory Connector sind sowohl in Teams als auch in Enterprise verfügbar (Bitwarden SCIM), sodass automatisches Offboarding nicht den Top-Tarif erfordert. SSO und Self-Hosting hingegen schon, daher 8 Punkte bei der Administration.

Tarif	Preis (Nov. 2026)	Wichtigste Funktionen
Teams	4 $ pro Nutzer/Monat, jährliche Abrechnung	Geteilte Sammlungen, SCIM, Directory Connector
Enterprise	6 $ pro Nutzer/Monat	SSO, Self-Hosting, kostenloser Families-Tarif für alle Nutzer
Add-on Secrets Manager	6 $ (Teams) / 12 $ (Enterprise) pro Nutzer/Monat	Maschinen-Secrets für DevOps

Quelle: Bitwarden Business-Preise. Für die Business-Tarife gibt es eine kostenlose Testphase.

Ideal für: die meisten KMU und den Mittelstand sowie jedes Team, das Open Source mit der Option auf späteres Self-Hosting will. Einschränkung: Die Oberfläche ist eher funktional als elegant, und SSO kostet den Enterprise-Preis.

2. 1Password: beste Nutzererfahrung für Scale-ups (84,5/100)

1Password ist der kommerzielle Passwortmanager mit der stärksten Akzeptanz. Sein Zwei-Schlüssel-Modell kombiniert das Kontopasswort mit einem 128-Bit-Secret-Key, sodass eine gestohlene Serverkopie für einen Angriff auf einen Tresor nicht ausreicht. Das Unternehmen gibt an, nach SOC 2 Type 2 zertifiziert zu sein (1Password Sicherheit), hält die Zertifizierungen ISO 27001:2022, 27017, 27018 und 27701 und betreibt auf HackerOne nach eigenen Angaben das größte Bug-Bounty-Programm der Branche.

Der Business-Tarif unterhalb des Enterprise-Tarifs auf Anfrage nennt die Integration mit Okta, Entra ID, OneLogin, Duo und weiteren Anbietern, die automatisierte Provisionierung von Nutzern und Gruppen aus Ihrem Identity Provider sowie das Streaming von Events an SIEM-Tools wie Splunk, Elastic, Sumo Logic und Panther (1Password Business-Preise). SSO, Provisionierung, Audit-Events und SIEM-Export unterhalb des Top-Tarifs ergeben 10 Punkte bei der Administration. Für europäische Kunden hostet 1Password.eu die Daten in der Europäischen Union und rechnet in Euro ab (1Password Regionen).

Tarif	Preis (Nov. 2026)	Wichtigste Funktionen
Teams Starter Pack	2,49 $ pro Nutzer/Monat, jährliche Abrechnung	Mindestens 10, höchstens 20 Nutzer; kostenloser Families-Tarif pro Nutzer
Business	8,99 $ pro Nutzer/Monat, jährliche Abrechnung	SSO, automatisierte Provisionierung, SIEM-Event-Streaming, Watchtower, kostenloser Families-Tarif pro Nutzer
Enterprise	Auf Anfrage	Individuelle Schulungen, dedizierter Customer Success Manager

Quelle: 1Password Business-Preise. 14 Tage Testphase ohne Kreditkarte.

Ideal für: Scale-ups und Teams von Wissensarbeitern, bei denen die Akzeptanz über den Erfolg entscheidet. Einschränkung: der teuerste SSO-Tarif unter den großen Anbietern und kein Self-Hosting. Eine offizielle CLI und APIs gibt es, der Code ist aber proprietär, daher 5 Punkte bei der Flexibilität.

3. Passbolt: am besten für EU-Souveränität und DevOps-Teams (82/100)

Passbolt ist ein Open-Source-Passwortmanager (AGPLv3) für Teams, entwickelt in Luxemburg auf Basis von OpenPGP. Er ist die stärkste Option für Organisationen, deren Zugangsdaten niemals eine EU-kontrollierte Infrastruktur verlassen sollen: Sie können ihn selbst hosten, Passbolt Cloud in Belgien und Deutschland auf Google Cloud nutzen oder Cloud Sovereign wählen, gehostet in einem souveränen privaten Rechenzentrum in Luxemburg (Passbolt Cloud-Preise).

Passbolt verfügt über einen SOC-2-Type-II-Bericht und ein Cure53-Audit. Der Anbieter bezeichnet sich als an ISO 27001 ausgerichtet; nach ISO 27001 zertifiziert ist er nicht, weshalb er bei der Compliance 8 statt 9 Punkte erhält. Der Pro-Tarif unterhalb des individuellen Enterprise-Tarifs ergänzt LDAP-Synchronisation, SSO und Audit-Logs; einen dokumentierten SIEM-Export in Pro haben wir nicht gefunden, daher 9 Punkte bei der Administration.

Tarif	Preis (Nov. 2026)	Wichtigste Funktionen
Community (selbst gehostet)	Kostenlos, unbegrenzte Nutzer	Grundlegendes Teilen
Pro (selbst gehostet)	4,50 € pro Nutzer/Monat, jährliche Abrechnung, mindestens 10 Nutzer	LDAP, SSO (Microsoft, Google, OpenID), Kontowiederherstellung, Audit-Logs
Cloud Business	4,50 € jährlich oder 5 € monatlich, mindestens 10 Nutzer	Gehostet in Belgien und Deutschland, 7 Tage Testphase
Cloud Sovereign	7 € pro Nutzer/Monat, jährlich	Souveränes Rechenzentrum in Luxemburg

Quelle: Passbolt-Preise. Enterprise ist individuell, mit 4-Stunden-SLA.

Ideal für: Behörden, DevOps- und Engineering-Teams sowie NIS2-pflichtige Einrichtungen mit strengen Souveränitätsanforderungen. Einschränkung: Die auf OpenPGP basierende Bedienung ist für Mitarbeitende außerhalb der IT technischer.

4. Proton Pass Business: am besten für Datenschutz und Schweizer Recht (80,5/100)

Proton Pass Business stammt von der Proton AG in Genf, dem Unternehmen hinter Proton Mail, und verbindet Schweizer Jurisdiktion mit einem der umfangreichsten Admin-Funktionspakete pro Dollar in diesem Vergleich. Die Clients sind Open Source und von Cure53 auditiert. Proton erhielt im Mai 2024 die ISO-27001-Zertifizierung und im Juli 2025 eine SOC-2-Type-II-Attestierung durch Schellman (Proton SOC 2); der SOC-2-Bericht deckt das Unternehmen als Ganzes ab.

Der Professional-Tarif umfasst SSO und SCIM, detaillierte Aktivitätsprotokolle, Unternehmensrichtlinien und SIEM-Integration sowie eine CLI und einen SSH-Agenten. Die Preisseite von Proton zeigt keinen Pass-Tarif oberhalb von Professional (Workspace Standard ist ein Suite-Paket, größere Kunden werden an ein allgemeines Vertriebsformular verwiesen). Nach unseren Stufen liegen SSO und SCIM also im höchsten Pass-Tarif, was 7 Punkte bei der Administration ergibt. Der niedrige Preis dieses Tarifs wird stattdessen in der Preisnote belohnt (8 bei 4,99 $). Open-Source-Clients plus CLI ohne Self-Hosting ergeben 6 Punkte bei der Flexibilität.

Tarif	Preis (Nov. 2026)	Wichtigste Funktionen
Pass Essentials	1,99 $ pro Nutzer/Monat, jährlich	Geteilte Tresore, Passkeys auf allen Geräten, kein SSO oder SCIM
Pass Professional	4,99 $ pro Nutzer/Monat, jährlich	SSO, SCIM, Aktivitätsprotokolle, Richtlinien, SIEM, CLI
Workspace Standard	12,99 $ pro Nutzer/Monat	Paket aus Mail, Drive, VPN und Pass

Quelle: Proton Pass for Business. Die Seite nennt ein Minimum von 3 Nutzern.

Ideal für: europäische Unternehmen sowie Kanzleien, Gesundheits- und Beratungsfirmen, die eine Nicht-US-Jurisdiktion ohne Self-Hosting und mit knappem Budget wollen. Einschränkung: Die Admin-Konsole ist jünger als die der Marktführer, und es gibt kein Self-Hosting.

5. Keeper: am besten für regulierte Branchen und Behörden (78/100)

Keeper Security ist der am stärksten zertifizierte Anbieter in diesem Vergleich. Das Unternehmen gibt an, nach SOC 2 und ISO 27001 zertifiziert sowie für FedRAMP High und StateRAMP autorisiert zu sein (Keeper Sicherheit), hält ISO 27017 und 27018 und verweist auf mehr als zehn Jahre SOC-2-Compliance. Gehostet wird in mehreren AWS-Regionen, darunter die EU, sowie in GovCloud für US-Behörden.

Business ergänzt geteilte Team-Ordner, delegierte Administration und einen kostenlosen Familientarif pro Nutzer. SSO/SAML, SCIM und AD/LDAP gibt es erst in Enterprise, dem höchsten veröffentlichten Tarif von Keeper, daher 7 Punkte bei der Administration trotz des tiefen RBAC und der APIs. Diese Entwickler-APIs ergeben 5 Punkte bei der Flexibilität; der Passwortmanager ist proprietär und lässt sich nicht selbst hosten.

Tarif	Preis (Nov. 2026)	Wichtigste Funktionen
Business Starter	2,00 $ pro Nutzer/Monat, jährliche Abrechnung	5 bis 10 Nutzer
Business	4,00 $ pro Nutzer/Monat	Geteilte Team-Ordner, delegierte Administration, kostenloser Familientarif
Enterprise	6,00 $ pro Nutzer/Monat	SCIM, AD/LDAP, SSO/SAML, RBAC, APIs

Quelle: Keeper Business-Preise. Kostenlose Testphase in allen Tarifen; Secrets Manager, Fernzugriff und erweitertes Reporting sind kostenpflichtige Add-ons.

Ideal für: Finanzdienstleister, Gesundheitswesen und Zulieferer des öffentlichen Sektors. Einschränkung: SSO und SCIM nur in Enterprise, kein Self-Hosting für den Passwortmanager.

6. Dashlane: am besten für die Erkennung von Zugangsdatenrisiken (76/100)

Dashlane mit Sitz in New York und Wurzeln in Paris hat sein Business-Angebot rund um die Plattform Omnix neu ausgerichtet. SSO und SCIM sind im Passwortmanagement-Tarif enthalten, statt dem individuellen Enterprise-Tarif vorbehalten zu sein (Admin 9), und ein separates Modul namens Credential Protection ergänzt Risikoerkennung und Phishing-Warnungen. Die Preisseite von Dashlane führt SIEM- und SOAR-Integration unter Credential Protection auf, nicht im Passwortmanagement-Tarif, daher bleibt es bei 9 Punkten für die Administration. Laut Trust Center veröffentlicht Dashlane einen jährlichen SOC-2-Type-II-Bericht (Berichtszeitraum November 2024 bis Oktober 2025) und hält ISO/IEC 27001:2022. Eine EU-Hosting-Region haben wir auf den öffentlichen Seiten nicht dokumentiert gefunden, daher 8 Punkte bei der Compliance. Dashlane bietet außerdem eine offizielle CLI, deren Business-Befehle es Admins erlauben, Mitglieder zu verwalten, Audit-Logs und Berichte abzurufen und die AD-Synchronisation auszuführen, mit Zugangsdaten aus der Seite Developer Access der Admin Console (Dashlane CLI für Unternehmen). Das Produkt ist proprietär und nicht selbst hostbar, daher 5 Punkte bei der Flexibilität.

Tarif	Preis (Nov. 2026)	Wichtigste Funktionen
Omnix Password Management	8 € zzgl. MwSt. pro Nutzer/Monat, jährliche Abrechnung	SSO, SCIM, 14 Tage kostenlos testen
Credential Protection	4 € zzgl. MwSt. pro Nutzer/Monat, nur über den Vertrieb	Erkennung von Zugangsdatenrisiken, Phishing-Schutz
Enterprise	Individuell	Größere Bereitstellungen

Quelle: Dashlane-Preise. Der frühere Standard-Tarif für 10 Plätze erscheint nicht mehr auf der offiziellen Seite, wird aber auf Drittseiten noch genannt.

Ideal für: Security-Teams, die Passwortmanagement und Warnungen zu Zugangsdatenrisiken in einem Produkt wollen. Einschränkung: einer der höheren Preise pro Nutzer und kein Self-Hosting.

7. Psono: bester kostenloser selbst gehosteter Passwortmanager für kleine Teams (75,5/100)

Psono ist ein Open-Source-Passwortmanager zum Selbsthosten von der esaqa GmbH im fränkischen Vorra, also der einzige deutsche Anbieter in den Top 8. Die Business-Edition ist bis 10 Nutzer mit vollem Funktionsumfang kostenlos, einschließlich Single Sign-on über LDAP, SAML und OIDC, Audit-Logging, Richtlinien sowie einem SSH-, RDP- und VNC-Gateway (Psono-Preise). Ab 10 Nutzern kostet Enterprise 2,50 € pro Nutzer; diesen Preis haben wir für ein Unternehmen mit 25 Plätzen angesetzt.

Tarif	Preis (Nov. 2026)	Wichtigste Funktionen
Community	0 €, unbegrenzte Nutzer	Open-Source-Kern
Kostenlose Business-Edition	0 €, bis 10 Nutzer	Voller Funktionsumfang inkl. SSO und Audit-Logs
Enterprise	2,50 € pro Nutzer/Monat, jährliche Abrechnung, mindestens 25 Nutzer	Support und SLAs

Eine SaaS-Option gibt es ebenfalls. Psono veröffentlicht ein Trust Center unter trust.esaqa.com; einen SOC-2-Bericht oder ein ISO-27001-Zertifikat konnten wir nicht verifizieren, daher 5 Punkte bei der Compliance, trotz starker Datensouveränität beim Selbsthosten.

Ideal für: technisch versierte KMU und IT-Teams unter 10 Personen, die einen eigenen Server betreiben können. Einschränkung: kleinerer Anbieter, keine nachgewiesene Zertifizierung, und die Sicherheit der Installation hängt von Ihrem eigenen Hosting ab.

8. NordPass Business: einfachste Einführung (74,5/100)

NordPass Business von Nord Security aus Vilnius, Litauen, ist der Passwortmanager, mit dem nicht technische Mitarbeitende am schnellsten zurechtkommen. Er verschlüsselt mit XChaCha20, hält ISO/IEC 27001:2022 (im Dezember 2025 ohne Abweichungen erneuert) und einen SOC-2-Type-2-Bericht (NordPass SOC 2) und verfügt über ein Cure53-Audit sowie eine HIPAA-Bewertung. Die Presse berichtet von einer Option mit EU-Rechenzentrum, auf den eigenen Seiten von NordPass haben wir sie aber nicht dokumentiert gefunden, daher 8 Punkte bei der Compliance. SSO mit Entra und Okta sowie Provisionierung gibt es nur in Enterprise (Admin 7). Seit Oktober 2026 steht in allen Business- und Personal-Tarifen eine offizielle NordPass-CLI zur Verfügung, und darüber ausgeführte Tresoraktionen erscheinen im Activity Log der Administration (NordPass CLI). Das ergibt 5 Punkte bei der Flexibilität; der Dienst bleibt proprietär und ausschließlich in der Cloud.

Tarif	Preis (Nov. 2026, 2-Jahres-Tarif)	Wichtigste Funktionen
Teams	1,79 € pro Nutzer/Monat	Nur als 10er-Paket, SSO mit Google Workspace
Business	3,59 € pro Nutzer/Monat, mindestens 5 Nutzer	Breach-Monitoring, Vanta-Integration
Enterprise	5,39 € pro Nutzer/Monat	SSO mit Entra ID, MS ADFS und Okta; Provisionierung; Sentinel und Splunk

Quelle: NordPass Business-Tarife, in Euro angezeigt. Jahres- und Monatstarife sind teurer. Kostenlose Testphase verfügbar.

Ideal für: Unternehmen, die schnelle Akzeptanz und Breach-Monitoring mit wenig IT-Aufwand brauchen. Einschränkung: geschlossenes SaaS ohne Self-Hosting.

Ebenfalls geprüft: Zoho Vault, RoboForm und LastPass

Drei bekannte Tools haben die Top 8 verpasst, jedes aus einem anderen Grund: Zoho Vault wegen Tarifstaffelung und Preis, RoboForm wegen nicht nachgewiesener Compliance und LastPass wegen seiner Sicherheitsvorfälle.

Tool	Sicherheit (25)	Admin (20)	Compliance (20)	Preis (15)	Bedienbarkeit (10)	Flexibilität (10)	Gesamt /100
Zoho Vault	6	8	9	6	7	5	70,0
RoboForm	6	9	3	9	8	4	64,5
LastPass	0	10	8	6	8	5	58,0

Zoho Vault (70,0/100) bietet eine starke Compliance-Abdeckung: Zoho gibt an, SOC-2-Type-2-konform zu sein, hält ISO/IEC 27001 für seine Cloud-Dienste, führt Vault unter seinen SOC-2- und HIPAA-Diensten und betreibt EU-Rechenzentren in Amsterdam und Dublin (Zoho Compliance). AD/LDAP- und Azure-AD-Integration gibt es ab Professional (4,50 €, mindestens 5 Nutzer), Single Sign-on, Okta/OneLogin-Integration und SIEM-Integration erfordern jedoch Enterprise für 7,20 € pro Nutzer (Standard 0,90 €), den umfassendsten Tarif von Zoho; der Flex-Tarif ist ein Mengenpreis auf Anfrage (Zoho Vault-Preise). Das ergibt Admin 8, und der Preis richtet sich nach Enterprise, da ein Verzeichniskonnektor allein weder als SSO noch als SCIM zählt. Professional und Enterprise enthalten außerdem eine Kommandozeilenschnittstelle, daher 5 Punkte bei der Flexibilität.

RoboForm (64,5/100) bietet mit 3,33 $ pro Nutzer inklusive SSO, SCIM und Richtlinien ein ausgezeichnetes Preis-Leistungs-Verhältnis, wir fanden aber nur eine DSGVO-Erklärung und keinen Nachweis für SOC 2 oder ISO 27001. Self-Hosting ist Installationen ab 1.000 Nutzern vorbehalten, und eine offizielle CLI oder öffentliche Admin-API haben wir nicht gefunden, daher 4 Punkte bei der Flexibilität.

LastPass (58,0/100) gibt an, über ISO 27001, SOC 2 Type II, SOC 3 und BSI C5 zu verfügen (LastPass Sicherheit), doch seine Historie setzt die Sicherheitsnote auf 0. Im August 2022 kompromittierten Angreifer eine Entwicklungsumgebung, bis Dezember 2022 hatten sie verschlüsselte Tresor-Backups von rund 30 Millionen Nutzern gestohlen. Im Dezember 2025 verhängte die britische ICO gegen LastPass ein Bußgeld von 1,2 Mio. £, weil keine ausreichend robusten technischen und organisatorischen Sicherheitsmaßnahmen umgesetzt worden waren; betroffen waren bis zu 1,6 Millionen Nutzer im Vereinigten Königreich (ICO; BleepingComputer). TRM Labs hat seitdem mehr als 35 Mio. $ an Krypto-Diebstählen bis 2025 auf Tresore zurückgeführt, die aus diesen Daten geknackt wurden (The Hacker News, Dezember 2025). Rein nach Funktionen läge LastPass deutlich höher: Business (6,50 € pro Nutzer, unterhalb von Business Max für 10 €) bietet föderierte Anmeldung, SCIM-Provisionierung, Verzeichnisintegrationen mit Entra ID, Okta, Google Workspace und Active Directory sowie SIEM-Integrationen mit Splunk und Microsoft Sentinel, was Admin 10 ergibt; Teams (4,42 €) hat nichts davon (LastPass-Preise). LastPass pflegt außerdem eine offizielle Open-Source-CLI (lastpass-cli), daher 5 Punkte bei der Flexibilität. Funktionsumfang wiegt die Sicherheitsvorfälle nicht auf.

KeePass und KeePassXC bleiben ein kostenloser Offline-Referenzpunkt, aber eine lokale Datenbankdatei bietet aber weder zentrale Verwaltung noch Provisionierung oder Audit-Trail, daher haben wir sie nicht bewertet.

1Password vs. Bitwarden für Unternehmen: Was sollten Sie wählen?

Wählen Sie Bitwarden, wenn Preis, Open Source und Self-Hosting am wichtigsten sind; wählen Sie 1Password, wenn Akzeptanz und Bedienkomfort im Vordergrund stehen. Beide haben SOC 2 Type II, ISO 27001 und eine EU-Hosting-Option, die Compliance allein entscheidet also selten.

	Bitwarden	1Password
Tarif mit SSO	Enterprise, 6 $	Business, 8,99 $
Günstigster Tarif mit SCIM	Teams, 4 $	Business, 8,99 $
EU-Hosting	Azure-EU-Region	1Password.eu
Self-Hosting	Ja, Enterprise	Nein
Quellcode	Open Source	Proprietär
Verschlüsselungsmodell	Zero-Knowledge, Master-Passwort	Zero-Knowledge, Passwort plus Secret Key
Kostenloser Familientarif für Mitarbeitende	Ja, Enterprise	Ja, Teams Starter Pack und Business
SIEM-Event-Export	Nicht bewertet (Admin wegen SSO nur in Enterprise auf 8 begrenzt)	Business, an Splunk, Elastic, Sumo Logic, Panther

Für ein Unternehmen mit 25 Personen, das SSO will, beträgt der Lizenzunterschied 2,99 $ pro Nutzer und Monat, also rund 897 $ im Jahr. Technisch geprägte Teams kommen gut mit Bitwarden zurecht; gemischte Teams aus Vertrieb, Finanzen und Operations nehmen 1Password mit weniger Schulungsaufwand an.

„Die meisten Passwortmanager-Projekte scheitern am Offboarding, nicht an der Verschlüsselung“, sagt Alfons Marques. „Jeder seriöse Anbieter verschlüsselt gut. Der Auditor fragt, wie schnell ein ausscheidender Mitarbeiter den Zugriff auf den geteilten Finanz-Tresor verloren hat. Verbinden Sie SCIM deshalb vom ersten Tag an mit Ihrem Identity Provider.“

Welcher selbst gehostete Passwortmanager ist der beste für Unternehmen?

Der beste selbst gehostete Passwortmanager für Unternehmen ist Bitwarden Enterprise, wenn Sie ein etabliertes Produkt mit SOC 2 und ISO 27001 wollen, Passbolt, wenn Sie ein in der EU entwickeltes Open-Source-Tool mit SSO ab 4,50 € suchen, und Psono, wenn Sie weniger als 10 Nutzer haben und Business-Funktionen kostenlos nutzen wollen.

Self-Hosting gibt Ihnen die Kontrolle darüber, wo Daten liegen. Das zählt für Behörden, Zulieferer der Verteidigungsindustrie und Unternehmen mit strengen Souveränitätsklauseln. Es macht aber auch Patching, Backups, Verfügbarkeit und Monitoring zu Ihrer Aufgabe, und der Auditor wird für jeden dieser Punkte Nachweise verlangen.

Tool	Lizenz	Self-Hosting ab	SSO beim Self-Hosting	Nachgewiesene Attestierungen
Bitwarden	Open Source	Enterprise, 6 $	Ja	SOC 2 Type II, ISO 27001
Passbolt	AGPLv3	Community (kostenlos) und Pro, 4,50 €	Pro	SOC 2 Type II, nur an ISO 27001 ausgerichtet
Psono	Open Source	Alle Editionen, kostenlos bis 10 Nutzer	Ja	Keine nachgewiesen
RoboForm	Proprietär	Nur ab 1.000 Nutzern	Ja	Keine nachgewiesen

EU-Datenresidenz, DSGVO und wo Ihr Tresor liegt

Im Sinne der DSGVO ist ein Passwortmanager ein Auftragsverarbeiter für personenbezogene Daten von Beschäftigten. Sie brauchen also einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO und eine klare Antwort auf die Frage nach dem Hosting-Standort. Zero-Knowledge-Verschlüsselung bedeutet, dass der Anbieter Tresorinhalte nicht lesen kann, aber Kontometadaten, Namen, E-Mail-Adressen und Logs liegen weiterhin auf seinen Servern.

Tool	Hosting in EU/EWR oder Land mit Angemessenheitsbeschluss	Jurisdiktion des Anbieters
Bitwarden	Azure-EU-Region oder Self-Hosting	USA
1Password	1Password.eu	Kanada
Proton Pass Business	Schweiz (EU-Angemessenheitsbeschluss)	Schweiz
Passbolt	Cloud Belgien/Deutschland, souveräne Cloud Luxemburg oder Self-Hosting	Luxemburg
Keeper	AWS-EU-Region	USA
Psono	Self-Hosting an beliebigem Standort	Deutschland
Dashlane	Auf öffentlichen Seiten nicht dokumentiert	USA / Frankreich
NordPass	Option mit EU-Rechenzentrum (laut Presseberichten)	Litauen

Die Schweiz gehört nicht zur EU, verfügt aber über einen EU-Angemessenheitsbeschluss, sodass Übermittlungen an Proton nach der DSGVO keine zusätzlichen Garantien erfordern. Für Unternehmen in der DACH-Region, die US-Jurisdiktion vermeiden wollen, schließen Proton (Schweiz), Passbolt (Luxemburg) und Psono (Deutschland) sie auf Anbieterebene aus; Bitwarden schließt sie auf Infrastrukturebene aus, wenn Sie selbst hosten, und dokumentiert EU-Standardvertragsklauseln sowie das EU-US Data Privacy Framework.

Wie ein Passwortmanager NIS2 und ISO 27001 unterstützt

Ein Passwortmanager für Unternehmen ist einer der günstigsten Wege, die Anforderungen an die Zugriffskontrolle unter NIS2 und ISO 27001 nachzuweisen. Artikel 21 Absatz 2 Buchstabe i der NIS2-Richtlinie verlangt „Sicherheit des Personals, Konzepte für die Zugriffskontrolle und Management von Anlagen“, Buchstabe j „Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, ...“ soweit angemessen (Richtlinie (EU) 2022/2555). In Deutschland setzt das NIS2-Umsetzungsgesetz (NIS2UmsuG) diese Pflichten um, Aufsichtsbehörde ist das BSI.

Anforderung	Was der Passwortmanager liefert
NIS2 Art. 21 Abs. 2 lit. i, Konzepte für die Zugriffskontrolle	Geteilte Tresore nach Rolle, Offboarding per SCIM, Admin-Richtlinien
NIS2 Art. 21 Abs. 2 lit. j, MFA	Erzwungene MFA für den Tresor, SSO mit Ihrem Identity Provider, Passkeys
ISO 27001:2022 A.5.15 Zugangssteuerung	Rollenbasierte Berechtigungen für Tresore und Sammlungen
ISO 27001:2022 A.5.17 Informationen zur Authentifizierung	Generierte eindeutige Passwörter, sicheres Teilen, Rotation
ISO 27001:2022 A.5.18 Zugangsrechte	Provisionierung und Deprovisionierung per SCIM oder Verzeichnissynchronisation
ISO 27001:2022 A.8.5 Sichere Authentifizierung	Durchsetzung von SSO, MFA und Passkeys
ISO 27001:2022 A.8.15 Protokollierung	Audit-Logs, exportiert an ein SIEM

Wenn Sie NIS2 abgrenzen oder eine Zertifizierung vorbereiten, beziehen unser NIS2-Compliance-Service und unser Service zur ISO-27001-Einführung den Passwortmanager in das Nachweispaket der Kontrollen ein.

Welcher Passwortmanager passt zu Ihrem Unternehmen?

Wählen Sie nach Unternehmensprofil, nicht nach beworbenem Preis. Die folgende Matrix spiegelt unsere Bewertungen und die Tarifstaffelung wider.

Unternehmensprofil	Erste Wahl	Alternative
KMU mit 10 bis 50 Beschäftigten, Microsoft 365 oder Google Workspace	Bitwarden Teams	Proton Pass Professional
Scale-up, gemischte nicht technische Teams	1Password Business	Dashlane
Reguliert (Finanzen, Gesundheit, Zulieferer der öffentlichen Hand)	Keeper Enterprise	1Password Business
EU-Souveränitätsanforderung oder besonders wichtige Einrichtung nach NIS2	Passbolt (souveräne Cloud oder selbst gehostet)	Proton Pass Professional
Datenschutzorientierte Kanzlei oder Beratung	Proton Pass Professional	Bitwarden Enterprise (EU)
Unter 10 Nutzer, eigene IT	Kostenlose Business-Edition von Psono	Bitwarden Teams
Derzeit auf LastPass	Migration zu Bitwarden oder 1Password	Proton Pass Professional

Ein Passwortmanager ist nur eine Ebene eines umfassenderen Programms: Unser Leitfaden zur Unternehmens-Cybersicherheit deckt den Rest ab, unser Cybersicherheits-Leitfaden für KMU setzt Prioritäten für kleinere Teams, unser Leitfaden zur Netzwerksicherheit im Unternehmen erklärt, wie Sie die Server segmentieren, auf denen ein selbst gehosteter Tresor läuft, und unsere Cybersecurity-Services unterstützen Sie bei Auswahl und Einführung.

Häufig gestellte Fragen zu Passwortmanagern für Unternehmen

Welcher ist der beste Passwortmanager für Unternehmen 2026?

Bitwarden erzielte in unserem Vergleich vom November 2026 mit 87/100 die höchste Punktzahl, dank offenem Quellcode, SOC 2 Type II und ISO 27001, EU-Hosting oder Self-Hosting und SCIM ab 4 $ pro Nutzer. 1Password (84,5) ist die beste Wahl für die Nutzererfahrung, Passbolt (82) für EU-Souveränität und Proton Pass Business (80,5) für Datenschutz unter Schweizer Jurisdiktion.

Was kostet ein Passwortmanager für Unternehmen pro Nutzer?

Rechnen Sie mit etwa 1 bis 10 $ pro Nutzer und Monat bei jährlicher Abrechnung (Preise Stand November 2026, netto). Einstiegstarife beginnen bei 0,90 € (Zoho Vault Standard), 1,99 $ (Proton Essentials) oder 2,00 $ (Keeper Starter), SSO kostet aber meist mehr: 4,99 $ bei Proton, 6 $ bei Bitwarden und Keeper, 8,99 $ bei 1Password, bis zu 10 € bei LastPass Business Max. Psono und Passbolt Community sind beim Selbsthosten kostenlos.

Welche Passwortmanager bieten SSO und SCIM in einem mittleren Tarif?

Proton Pass Professional (4,99 $) umfasst SSO, SCIM, Aktivitätsprotokolle und SIEM-Integration, ist allerdings der höchste Pass-Tarif. 1Password Business (8,99 $) bietet SSO, Provisionierung und SIEM-Event-Streaming unterhalb des Enterprise-Tarifs, und Dashlane Omnix (8 €) enthält SSO und SCIM. Bitwarden legt SCIM in Teams (4 $) und SSO in Enterprise (6 $), während Keeper und NordPass beides Enterprise vorbehalten.

Was ist der Unterschied zwischen einem Business- und einem Enterprise-Passwortmanager?

Ein Business-Tarif deckt geteilte Tresore, grundlegende Richtlinien und Verwaltung für kleine Teams ab. Ein Enterprise-Tarif ergänzt Workforce-SSO, SCIM oder Verzeichnissynchronisation, den Export von Audit-Logs an ein SIEM, rollenbasierte Zugriffe und manchmal Self-Hosting. Viele Anbieter beschränken SSO auf den Enterprise-Tarif, vergleichen Sie also Tarife, nicht Marken.

Unterstützen Passwortmanager für Unternehmen Passkeys?

Zunehmend ja, prüfen Sie es aber in der Dokumentation des jeweiligen Anbieters. Proton nennt Passkey-Unterstützung auf allen Geräten bereits im Tarif Pass Essentials für 1,99 $ (proton.me/business/pass), und der kostenlose Tarif von Zoho Vault umfasst unbegrenzte Passwörter, Passkeys und Speicher (zoho.com/vault/pricing). Da 87 % der befragten US- und UK-Unternehmen Passkeys einführen (FIDO Alliance, Umfrage 2024), sollten Sie prüfen, ob Ihr Tresor sie auf allen Plattformen Ihrer Mitarbeitenden synchronisiert.

Ist ein selbst gehosteter Passwortmanager sicherer als ein Cloud-Dienst?

Nicht automatisch. Self-Hosting gibt Ihnen die Kontrolle über den Datenstandort, aber Sie übernehmen Patching, Backups, Verfügbarkeit und Monitoring. Ein zertifizierter SaaS-Tresor mit Zero-Knowledge-Verschlüsselung ist oft sicherer als ein selbst gehosteter Server, den niemand pflegt. Entscheiden Sie sich für Self-Hosting, wenn Souveränitätsvorgaben es verlangen, und statten Sie es personell angemessen aus.

Ist LastPass für Unternehmen noch sicher?

Bei LastPass wurden 2022 verschlüsselte Tresor-Backups von rund 30 Millionen Nutzern gestohlen, und die britische ICO verhängte im Dezember 2025 ein Bußgeld von 1,2 Mio. £. TRM Labs hat mehr als 35 Mio. $ an Krypto-Diebstählen bis 2025 auf Tresore zurückgeführt, die aus diesen Daten geknackt wurden (The Hacker News, 2025). Wir setzen LastPass auf den letzten Platz der elf bewerteten Tools und empfehlen eine Migration samt Rotation kritischer Zugangsdaten.

Helfen Passwortmanager bei der NIS2-Compliance?

Ja. NIS2 Artikel 21 Absatz 2 Buchstaben i und j verlangen Konzepte für die Zugriffskontrolle und Multi-Faktor-Authentifizierung. Ein Passwortmanager für Unternehmen mit SSO, erzwungener MFA, SCIM-Offboarding und Audit-Logs liefert für beides direkte Nachweise und lässt sich außerdem auf die ISO-27001:2022-Controls 5.15, 5.17, 5.18, 8.5 und 8.15 abbilden.

Brauchen Sie Unterstützung bei Auswahl, Migration oder Dokumentation eines Passwortmanagers für NIS2 oder ISO 27001? Sprechen Sie uns an, und wir ordnen ihn Ihren Kontrollen zu.