Vault-Duell: Bitwarden Business gegen 1Password
Passwort-Tresore scheitern selten an AES-256. Sie scheitern an Onboarding, SSO und Recovery. Bitwarden und 1Password liefern beide Business-Funktionen – die Trennung liegt bei Hosting, Admin-UX und Betriebskosten.
Das Wichtigste in Kürze
- Beide sind enterprise-fähig. SSO, SCIM, Policies und Audit-Logs sind in den Business-/Enterprise-Linien vorhanden.
- Self-Host trennt die Modelle. Bitwarden kann on-prem oder selbst gehostet laufen. 1Password bleibt Cloud-first.
- UX vs. Kontrolle. 1Password punktet oft bei Nutzerführung und SSO-Unlock. Bitwarden punktet bei Open Source und Kostenkontrolle.
- Secrets Manager ist Extra. Maschinen-Secrets und Entwickler-Secrets gehören in einen eigenen Prozess zusätzlich zum User-Vault.
Verwandt: Adaptive MFA: Warum Standardregeln brechen · Was ist ein Passkey? Definition und Standards
Methodik: Feature-Vergleich aus öffentlicher Doku (Stand 2026). Client-Red-Team war nicht Teil des Reviews. Methodik: Feature-Vergleich aus öffentlicher Doku (Stand 2026). Client-Red-Team war nicht Teil des Reviews. Was ist ein Business-Passwort-Manager? Ein Business-Passwort-Manager ist ein zentral verwalteter Tresor für Zugangsdaten und Secrets mit Organisationsrichtlinien, Verzeichnis-Anbindung und Auditierbarkeit. Er ersetzt geteilte Excel-Listen und Browser-Speicher als kontrollierte Identitäts-Hilfsschicht.
Testsetup und Methodik
Verglichen wurden öffentlich dokumentierte Business-Funktionen von Bitwarden (Teams/Enterprise) und 1Password Business Stand 2026: SSO, SCIM/Directory, Policies, Recovery, Self-Host und Admin-Reporting. Kein Red-Team gegen die Clients. Fokus: was Security und IT im Mittelstand operativ steuern können.
Preisangaben in Fachmedien schwanken je Plan und Nutzerzahl. Entscheidend für die Akte sind Feature-Gates vor dem Cent-Betrag auf der Marketingseite. Vor dem Vertragsabschluss immer die aktuelle Vendor-Preisliste und die benötigten Policy-Features gegenchecken.
| Kriterium | Bitwarden | 1Password Business |
|---|---|---|
| Hosting | Cloud und Self-Host/Enterprise | Cloud (Self-Host entfällt) |
| SSO | SAML/OIDC (passwordless: Enterprise) | SSO-Unlock mit gängigen IdPs |
| Provisioning | SCIM / Directory Connector | SCIM Bridge / Automated Provisioning |
| Open Source | Kernprodukte auditierbar | Proprietär, geprüfte Sicherheit |
| Typische Stärke | Kontrolle, Kosten, Hosting-Wahl | Admin-UX, Nutzerakzeptanz |
Wo Hosting und Recovery entscheiden
Beide verschlüsseln Vault-Inhalte clientseitig und bieten Organisations-Policies (2FA-Zwang, Master-Password-Anforderungen, Gerätetrust). Für Audits zählen Event-Logs und die Frage, ob SIEM-Export oder API-Anbindung im gewählten Plan steckt.
Self-Hosting bei Bitwarden hilft bei Datenresidenz und Air-Gap-nahen Szenarien, verschiebt aber Patch- und Backup-Verantwortung ins eigene Team. 1Password reduziert Betriebsaufwand, bindet Datenhaltung an den Cloud-Anbieter. Das ist eine Governance-Entscheidung jenseits einer reinen Feature-Liste.
Account Recovery und Offboarding entscheiden über Incidents. Ohne klaren Recovery-Workflow entstehen Shadow-Vaults oder Dauer-Zugänge nach Austritt. SCIM allein reicht nicht, wenn Collections und geteilte Items nicht periodisch reviewed werden.
Entscheidungshebel
Hosting-Souveränität oder Nutzerreibung – das ist die echte Achse
Security gewinnt nur, wenn der Tresor genutzt wird und Recovery dokumentiert ist.
Welches Vault zum Team passt
Bitwarden Business/Enterprise ist die bessere Wahl, wenn Self-Host, Open-Source-Transparenz und Kostenkontrolle Priorität haben und ein Team den Betrieb stemmt. 1Password Business ist die bessere Wahl, wenn hohe Nutzerakzeptanz, polierte Admin-Workflows und Cloud-Betriebsmodell im Vordergrund stehen.
Für DACH-Mittelstand mit Entra-ID: beide Pfade sind gangbar. Pflicht im PoC: SSO-Login, SCIM-Join/Leave, 2FA-Policy, Export- und Recovery-Drill, Sammlung geteilter Privileged Accounts. Der Gewinner ist das System, das nach 30 Tagen weniger Shadow-Passwörter erzeugt.
Bitwarden nehmen wenn
- Self-Host oder strikte Residenz zählt
- Budget und Auditierbarkeit eng sind
- Tech-Teams Policy selbst pflegen
1Password nehmen wenn
- Nutzerreibung minimiert werden muss
- Cloud-SaaS akzeptiert ist
- Admin-UX den Rollout trägt
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Reicht ein kostenloser Privat-Tresor fürs Unternehmen?
Nein. Ohne Organisations-Policies, SCIM und zentrale Logs entstehen unkontrollierte Shares und blinde Offboardings. Business-Funktionen sind Steuerungsinstrumente und erst danach Komfort.
Ist Self-Host automatisch sicherer?
Nur mit Patch-Disziplin, Backup, Härtung und Monitoring. Self-Host verschiebt Verantwortung. Schlecht betrieben ist es riskanter als ein gut kontrolliertes SaaS.
Wie behandelt man Shared Admin-Accounts?
In getrennten Collections mit engem Kreis, MFA-Zwang, Logging und periodischem Secret-Rotation-Review. Idealerweise auf persönliche, nachvollziehbare Zugänge umstellen.
Braucht es parallel einen Secrets Manager?
Sobald CI/CD, Service-Accounts und Maschinenidentitäten wachsen, ja. User-Vaults sind für Menschen gebaut. Maschinen-Secrets brauchen eigene Lifecycle-Controls.
Was ist das Mindest-PoC?
Zwei Wochen, eine Fachabteilung, SSO, SCIM, Policy-Zwang, Recovery-Drill und Messung der Shadow-Password-Quote vor/nach. Ohne Nutzungsmessung bleibt der Vergleich spekulativ.
Lesetipps der Redaktion
LesetippWas ist SOAR? Definition, Playbooks und AbgrenzungLesetippCyberresilienz: APIs und Patch-Fenster steuernLesetippOpenAI-Modelle hackten Hugging Face: was jetzt zu prüfen ist
Mehr aus dem MBF Media Netzwerk
cloudmagazinStudie: Mehr Cloud-Budget füllt die Security-Lücke nichtMyBusinessFutureKI im Osten: Warum KMU den Abstand schließen müssenDigital ChiefsKimi stoppt Abos: 7 Checks fürs KI-Capex
Bildquelle: KI-generiert (Juli 2026)
