KeePass und andere Lösungen für Passwortmanagement im Unternehmen

Kurz zusammengefasst: Ein Passwortmanager unterstützt Unternehmen dabei, für jeden Dienst eigene starke Zugangsdaten zu verwenden und kontrolliert zu verwalten. KeePass bietet eine verschlüsselte Datenbank und lokale Datenhaltung. Verwaltete Dienste können je nach Produkt Synchronisation, Freigaben und zentrale Administration bereitstellen. Entscheidend sind ein passendes Verschlüsselungsmodell, klare Berechtigungen, Mehrfaktor-Authentisierung, Backups und getestete Wiederherstellungsverfahren.

Nutzen und Einordnung

Viele Unternehmen verwalten Zugangsdaten noch in Tabellen, Notizen, E-Mail-Verläufen oder gemeinsam genutzten Browserprofilen. Dadurch können wiederverwendete Passwörter, unklare Zuständigkeiten und fehlende Nachweise entstehen, wer auf ein Konto zugreifen darf. Ein Passwortmanager bündelt diese Informationen in einem geschützten Tresor und kann lange, zufällige und für einzelne Dienste unterschiedliche Passwörter erzeugen.

Der Sicherheitsgewinn entsteht vor allem durch die Verwendung unterschiedlicher Zugangsdaten. Wird ein einzelnes Konto kompromittiert, ist dadurch nicht automatisch dasselbe Passwort für weitere Dienste bekannt. Der Tresor selbst wird durch ein Hauptgeheimnis und je nach Produkt durch zusätzliche Faktoren geschützt. Ein Passwortmanager ersetzt jedoch keine Rechtekonzepte, Updates, Backups oder Mehrfaktor-Authentisierung für die angebundenen Dienste.

Prüfen Sie zuerst, welche Konten besonders kritisch sind: E-Mail, Identitätsverwaltung, Finanzsysteme, Fernwartung, Cloudspeicher und Administrationszugänge.
Legen Sie fest, ob persönliche Konten, technische Konten und Notfallzugänge getrennt verwaltet werden.
Beziehen Sie Windows, macOS, iOS, Android und die verwendeten Browser in die Auswahl ein.

KeePass: lokale Datenbank mit hoher Kontrolle

KeePass speichert Einträge in einer verschlüsselten Datenbankdatei. Die offizielle Dokumentation nennt unter anderem AES, ChaCha20 und Twofish für die Datenbankverschlüsselung sowie Schlüsselableitungsverfahren wie Argon2. Neben Passwörtern können auch Benutzernamen, Notizen und weitere Felder geschützt gespeichert werden. Zu den dokumentierten Funktionen gehören unter anderem Gruppen, Suche, Passwortgenerator, Auto-Type und der Import aus verschiedenen Formaten.

Der Tresor kann mit einem Hauptpasswort, einer Schlüsseldatei oder einer Kombination geschützt werden. Bei der Kombination werden Wissen und Besitz verbunden. Die Schlüsseldatei muss getrennt von der Datenbank aufbewahrt und unabhängig gesichert werden. KeePass weist darauf hin, dass verlorene Bestandteile des Hauptschlüssels ohne Hintertür zum Verlust der Daten führen können.

Die lokale Datenhaltung kann für Betriebe geeignet sein, die Speicherort und Betriebsumgebung selbst festlegen möchten. Dafür müssen Synchronisation zwischen Geräten, verschlüsselte Backups, Versionierung, Wiederherstellung und der geregelte Zugriff mehrerer Personen eingerichtet und dokumentiert werden. Plugins können den Funktionsumfang erweitern; sie müssen deshalb ebenfalls regelmäßig geprüft und aktualisiert werden.

Verwenden Sie eine aktuelle KeePass-Version aus einer vertrauenswürdigen Quelle und prüfen Sie Updates sowie Plugins regelmäßig.
Bewahren Sie Datenbank und Schlüsseldatei nicht am selben Ort auf.
Testen Sie die Wiederherstellung mit einer Kopie, bevor der Tresor produktiv verwendet wird.

Weitere Lösungsarten im Vergleich

Verwaltete Passwortmanager können je nach Produkt Tresore zwischen Geräten synchronisieren und Funktionen wie Browser-Erweiterungen, mobile Apps, Freigaben, Gruppen, Protokollierung oder zentrale Richtlinien anbieten. Für Teams kann das die Verwaltung beim Eintritt, Wechsel und Austritt von Beschäftigten unterstützen. Vor einer Entscheidung müssen Datenstandort, Verschlüsselungsmodell, Administrationsrechte, Exportmöglichkeiten, Notfallzugang, Vertragsbedingungen und die Wiederherstellung bei einer Kontosperrung geprüft werden.

Ein selbst gehosteter Dienst kann die Kontrolle über Infrastruktur und Datenhaltung erhöhen. Das Unternehmen übernimmt dann selbst die Verantwortung für Installation, Absicherung, Updates, Backup, Monitoring, Verfügbarkeit und den Schutz des Administrationskontos. Dieser Betriebsaufwand muss dauerhaft mit ausreichender Kompetenz und Zeit abgedeckt werden.

Browserintegrierte Tresore sind bequem. Für Organisationen sollte geprüft werden, ob sie zentrale Richtlinien, getrennte Rollen, sichere Freigaben und eine nachvollziehbare Verwaltung ermöglichen. Der BSI-Mindeststandard für Webbrowser empfiehlt grundsätzlich externe Passwortmanager, die den Anforderungen der jeweiligen Organisation entsprechen. Unabhängig vom Produkt sollte der Tresor selbst Mehrfaktor-Authentisierung unterstützen, sofern diese Funktion verfügbar ist.

Für besonders kritische Konten sollten passwortlose Verfahren oder phishingresistente Mehrfaktor-Authentisierung geprüft werden, wenn der jeweilige Dienst dies unterstützt. Ein Passwortmanager allein verhindert weder Phishing noch Schadsoftware, gestohlene Sitzungen oder falsch vergebene Zugriffsrechte.

Kleine Teams mit wenigen gemeinsam genutzten Konten können mit KeePass und einem klaren Backup- und Freigabeprozess auskommen.
Wachsende Teams können von zentralen Rollen, Gruppen, Offboarding und Protokollierung eines verwalteten Dienstes profitieren, sofern das gewählte Produkt diese Funktionen nachweislich anbietet.
Vergleichen Sie Produkte anhand dokumentierter Funktionen und der betrieblichen Anforderungen statt anhand des Produktnamens.

Einführung als betrieblicher Prozess

Starten Sie mit einer Bestandsaufnahme. Erfassen Sie Dienste, Eigentümer, technische Konten, Abhängigkeiten, aktuelle Freigaben und den Status der Mehrfaktor-Authentisierung. Danach definieren Sie Verantwortlichkeiten: Wer legt Einträge an, wer genehmigt Freigaben, wer ändert Zugangsdaten bei einem Austritt und wer kontrolliert Backups?

Legen Sie eine einheitliche Struktur für Tresore und Gruppen fest. Persönliche Zugangsdaten gehören grundsätzlich in persönliche Tresore. Gemeinsame Konten benötigen einen dokumentierten Eigentümer, einen begrenzten Nutzerkreis und einen geregelten Wechsel des Passworts. Notfallzugänge sollten getrennt, besonders geschützt und regelmäßig getestet werden.

Die Einführung sollte mit einem kleinen, überschaubaren Bereich beginnen. Migrieren Sie Daten kontrolliert, löschen Sie unverschlüsselte Exporte unmittelbar nach erfolgreicher Prüfung und dokumentieren Sie die Zielstruktur. Schulen Sie Beschäftigte in Hauptpasswort, Mehrfaktor-Authentisierung, Phishing und dem Umgang mit Freigaben. Überprüfen Sie danach regelmäßig Berechtigungen, Wiederherstellung und nicht mehr benötigte Einträge.

Definieren Sie eine schriftliche Passwort- und Tresorrichtlinie.
Planen Sie mindestens zwei unabhängige, verschlüsselte Backup-Ziele und regelmäßige Wiederherstellungstests.
Entziehen Sie Zugriffe sofort bei Rollenwechseln und beim Ausscheiden von Beschäftigten.

Beispiel aus der Praxis

Beispiel: Ein Maschinenbauunternehmen mit 28 Beschäftigten nutzt Microsoft 365, eine Warenwirtschaft, Fernwartung und mehrere Lieferantenportale. Bisher liegen Zugangsdaten in einer gemeinsamen Tabelle. Das Unternehmen entscheidet sich zunächst für einen zentral verwalteten Passwortmanager mit persönlichen Tresoren und einem getrennten Tresor für wenige gemeinsam benötigte Konten. Die IT inventarisiert die Zugänge, aktiviert Mehrfaktor-Authentisierung für Microsoft 365 und den Passwortmanager, ordnet jedem technischen Konto einen Verantwortlichen zu und richtet einen dokumentierten Notfallzugang ein. Für zwei ältere Anlagen ohne moderne Benutzerverwaltung bleibt ein lokaler KeePass-Tresor bestehen. Datenbank, Schlüsseldatei und Backup werden getrennt verwahrt; eine Wiederherstellung wird vierteljährlich mit einer Testkopie geprüft. Beim Austritt eines Mitarbeiters werden persönliche Zugriffe deaktiviert, gemeinsame Zugangsdaten geprüft und bei Bedarf geändert.

Chancen für Unternehmen

Einheitliche, zufällige und nicht wiederverwendete Passwörter können das Risiko senken, dass ein kompromittierter Dienst weitere Konten gefährdet.
Zentrale Rollen und Freigaben können Onboarding, Offboarding und die regelmäßige Überprüfung von Berechtigungen erleichtern.
Ein sauberer Tresorprozess macht technische Konten, Notfallzugänge und Zuständigkeiten sichtbar.
KeePass kann für lokale oder abgeschottete Szenarien eine kontrollierbare Option sein, wenn das Unternehmen Betrieb, Sicherung und Wiederherstellung selbst abdeckt.
Die Kombination aus Passwortmanager, Mehrfaktor-Authentisierung und geprüften Backups kann die Widerstandsfähigkeit gegenüber typischen Kontenangriffen verbessern.

Grenzen und Prüfpunkte

Ein Passwortmanager schützt nicht zuverlässig vor Phishing, Schadsoftware, gestohlenen Sitzungen oder falsch vergebenen Zugriffsrechten.
Bei KeePass können verlorene Hauptschlüsselbestandteile den vollständigen Datenverlust verursachen; Backups und Wiederherstellung müssen deshalb praktisch getestet werden.
Lokale Datenbanken erfordern eigene Regeln für Synchronisation, Konflikte, Backup, Versionen und gleichzeitige Bearbeitung.
Bei Cloudlösungen müssen Anbieterabhängigkeiten, Datenschutz, Vertragslage, Datenstandort, Ausfallverfahren und Export vorab geprüft werden.
Plugins, mobile Ports und Browser-Erweiterungen erweitern Funktionen, vergrößern aber die zu pflegende und zu bewertende Komponentenmenge.
Ein Tresor mit zu weit gefassten Freigaben kann die Vertraulichkeit verschlechtern. Jede Freigabe sollte fachlich begründet, zeitlich überprüfbar und auf den notwendigen Personenkreis begrenzt sein.