Wie du den Zettel unter der Tastatur durch einen eigenen Passwort-Tresor ersetzt

Unter der Tastatur an der Kasse klebt ein Zettel. Die Zugangsdaten für das Portal des Steuerberaters stehen in einer Excel-Liste im Ordner Buchhaltung, das WLAN-Passwort ging vor zwei Jahren per Messenger an eine Aushilfe, die längst nicht mehr da ist, und drei Leute benutzen dieselbe Kombination aus Firmenname und Gründungsjahr, weil man sich die merken kann.

Das ist keine Schlamperei. Das ist, was passiert, wenn ein Betrieb über die Jahre sechzig Zugänge ansammelt und es keinen Ort gibt, an den sie gehören. Der Zettel ist die naheliegende Lösung für ein echtes Problem. Er ist nur eine schlechte.

Jeder bekommt einen eigenen Tresor, und da passt mehr rein als Passwörter

Der erste Schritt ist unspektakulär. Jede Person im Betrieb bekommt ein Konto mit einem eigenen, verschlüsselten Bereich. Ein Passwort merken statt sechzig, den Rest holt die App.

Drin liegen nicht nur Zugangsdaten. Bitwarden, dessen Datenformat Vaultwarden spricht, kennt neben Logins auch sichere Notizen, Karten, Identitäten und SSH-Schlüssel als eigene Eintragstypen. Und an jeden Eintrag lassen sich Dateien hängen, bis 500 MB je Datei und 5 GB je Konto. Auf einem eigenen Server legst du diese Grenzen selbst fest.

Damit wird aus dem Passwortspeicher ein Ort für alles, was sonst im Mailpostfach der Chefin liegt. Der Wiederherstellungscode für das Bankportal. Das Foto der Schlüsselnummer für den Nachschlüssel. Der PDF-Vertrag mit dem Kundennummernblatt, direkt am Eintrag des Anbieters statt in einem Ordner, den nur einer findet.

Firmenzugänge gehören dem Betrieb, nicht der Person

Jetzt der Teil, der den Betrieb angeht. Firmenzugänge haben im privaten Tresor eines Mitarbeiters nichts verloren. Sie gehören in eine Organisation mit Sammlungen, getrennt nach Abteilung oder Projekt. Die Buchhaltung sieht die Sammlung Buchhaltung, die Baustelle Nord sieht ihre eigene, der Zugang zum Lieferantenportal liegt einmal an einer Stelle statt fünfmal auf Papier. Wer welche Sammlung sehen darf, entscheidet ein Mensch bei der Einrichtung, nicht ein Standard.

Der Unterschied zeigt sich am Tag einer Kündigung. Mit Organisation entziehst du der Person den Zugriff, die Einträge bleiben beim Betrieb, fertig. Ohne Organisation stehst du vor der Wahl, dreißig Passwörter zu ändern oder eben keins. In der Praxis wird es keins, und der Zettel unter der Tastatur gilt weiter.

Es darf im Alltag nicht nerven

Ein Passwort-Tresor geht am Tag zwanzigmal auf. Wenn er dabei hakt, gewinnt der Zettel zurück.

Deshalb ist die Bitwarden-Kompatibilität kein technisches Detail, sondern der Grund, warum die Sache im Betrieb hält. Die offiziellen Apps und Browser-Erweiterungen sprechen mit dem eigenen Server, sobald dort die Adresse eingetragen ist. Windows, Mac, Linux, iPhone, Android, die gängigen Browser. Der Kollege im Lager merkt keinen Unterschied zur gemieteten Variante, und genau das ist der Punkt.

Zwei Dinge gehören dazu gesagt. Vaultwarden ist ein inoffizieller Server, der Funktionsumfang kann je nach Bitwarden-Version abweichen. Und das Projekt hat 2024 eine Codeprüfung des BSI durchlaufen und die gefundenen Punkte binnen Wochen behoben, noch bevor der Bericht in der Presse stand.

In Community-Diskussionen liest man beides. Im Kuketz-Forum wägen Nutzer Bitwarden gegen Vaultwarden ab und kommen je nach Bereitschaft, einen Server zu pflegen, zu unterschiedlichen Ergebnissen. In der Community von simon42 berichten Anwender von ihrem laufenden Betrieb, und im Bitwarden-Unterforum auf Reddit tauchen die immer gleichen Stolperstellen auf. Erreichbarkeit von unterwegs, Aktualisierungen, und die Frage, was passiert, wenn niemand mehr da ist, der sich kümmert. Ein wiederkehrender Rat aus diesen Runden lautet, dass jemand ohne Lust auf Serverpflege besser ein Abo nimmt. Der Rat ist richtig, und er ist unvollständig.

Warum im eigenen Haus

Das Argument ist nicht der Preis. Der Preis ist ein Nebeneffekt.

Das Argument ist, wem die Daten gehören und wie leicht du wieder wegkommst. Souveränität hat hier Stufen, und du wählst die Tiefe. Ein gemieteter Dienst ist eine legitime Wahl. Ein eigener Server in Deutschland geht eine Stufe tiefer, dein verschlüsselter Datenbestand liegt dann auf einer Maschine, deren Zugang du kontrollierst. In beiden Fällen bleibt der Anbieter austauschbar, weil das Datenformat offen ist und ein Export in den jeweils anderen Weg passt. Diese Austauschbarkeit ist der eigentliche Gewinn. Sie ist der Grund, warum wir unseren eigenen Passwortsafe selbst betreiben, so wie die übrige Infrastruktur, auf der diese Seite läuft.

Drei Wege, und zwei Festlegungen vorher

Es gibt nicht zwei Möglichkeiten, sondern drei.

• Selbst machen. Eigener Server, eigene Aktualisierungen, eigene Sicherungen. Günstig im Geld, teuer in Aufmerksamkeit.
• Mieten. Konto beim Anbieter, Preis pro Kopf, Pflege ist nicht dein Thema. Der schnellste Weg weg vom Zettel.
• Betreiben lassen. Dieselbe Software auf einem Server, der dir gehört, gepflegt von jemandem, den du dafür bezahlst. Die Daten bleiben bei dir, das nächtliche Telefon klingelt woanders.

Bevor du einen der drei Wege wählst, lege zwei Dinge fest.

Erstens, wer wird geweckt, wenn der Dienst am Freitagabend steht. Ein Name, keine Rolle. Wenn dieser Name niemandem einfällt, ist selbst machen die falsche Antwort.

Zweitens, wie kommst du an die Passwörter, wenn genau dieser Server eine Woche ausfällt. Die Apps halten eine verschlüsselte Kopie lokal und funktionieren offline weiter, aber darauf allein baut man keinen Notfallplan. Dazu gehört ein regelmäßiger, verschlüsselter Export an einem zweiten Ort und ein Handvoll Zugänge, die auch ohne Tresor erreichbar sind, damit der Weg zurück nicht durch den ausgefallenen Dienst führt.

Wer diese beiden Antworten weder selbst geben noch an jemanden abgeben will, mietet besser. Das ist keine Niederlage, das ist eine saubere Entscheidung.

Und sie ist immer noch die kleinere Frage. Der Vergleich, der zählt, ist nicht eigener Server gegen Abo. Der Vergleich ist Tresor gegen Zettel unter der Tastatur, und der geht deutlich aus.