Passbolt vs. Bitwarden: Welcher Self-Hosted Passwort-Manager passt zu deinem Team?

Passwörter sind das Fundament digitaler Sicherheit – und im Team-Umfeld wird deren sicheres Management schnell zur Herausforderung. Zwei Namen dominieren die Diskussion unter Self-Hostern und IT-Teams: Passbolt und Bitwarden. Beide sind Open Source, beide kannst du selbst hosten, und beide verfolgen einen ähnlichen Ansatz – aber im Detail unterscheiden sie sich erheblich. Dieser Vergleich hilft dir, die richtige Wahl für deine Organisation zu treffen.

Was ist Passbolt?

Passbolt wurde 2016 mit einem klaren Fokus entwickelt: Passwörter im Team sicher teilen. Das Tool ist vollständig Open Source (AGPL-3.0) und nutzt OpenPGP als Basis für End-to-End-Verschlüsselung. Jeder Nutzer hat ein persönliches PGP-Schlüsselpaar; Passwörter werden für jeden Empfänger individuell verschlüsselt.

Passbolt ist in PHP (CakePHP) geschrieben, setzt MariaDB/MySQL als Datenbank ein und benötigt einen E-Mail-Server für Einladungen und Benachrichtigungen. Es gibt eine kostenlose Community-Edition sowie kostenpflichtige Business- und Enterprise-Varianten – aber auch die Community-Edition ist für die meisten Teams ausreichend.

Stärken von Passbolt:

  • Team-Sharing steht im Mittelpunkt des Designs
  • Solide kryptografische Basis mit OpenPGP (GnuPG)
  • Browser-Extension für Chrome, Firefox, Edge und Brave
  • CLI-Tool für Automatisierung und Skriptintegration
  • LDAP/AD-Integration in der Business-Edition
  • Audit-Logs für Compliance-Anforderungen

Was ist Bitwarden?

Bitwarden wurde ebenfalls 2016 gestartet, entwickelte sich aber in eine andere Richtung: universeller Passwort-Manager für Einzelpersonen und Teams. Die Architektur setzt auf AES-256-Verschlüsselung mit PBKDF2 für die Schlüsselableitung – ein bewährter, gut verstandener Standard.

Bitwarden ist in C# (.NET) geschrieben und bietet Clients für alle Plattformen. Für Teams, die weniger Ressourcen benötigen, gibt es außerdem Vaultwarden als inoffizielle Rust-Implementierung – die wir in einem separaten Artikel zu Bitwarden vs. Vaultwarden behandeln.

Stärken von Bitwarden:

  • Plattformübergreifend: Browser, Desktop (Windows/macOS/Linux), iOS, Android
  • TOTP-Authentifikator direkt eingebaut (Premium-Feature)
  • Passwortgenerator mit hoher Konfigurierbarkeit
  • SSH-Key-Management (seit 2024)
  • Send-Feature für zeitlich begrenztes Teilen von Daten
  • Offizielle APIs und CLI für DevOps-Integration

Installation und Betrieb

Passbolt installieren

Passbolt bietet ein offizielles Docker-Compose-Setup sowie Pakete für Ubuntu/Debian. Die einfachste Methode:

git clone https://github.com/passbolt/passbolt_docker.git
cd passbolt_docker
cp .env.example .env
# .env konfigurieren (SMTP, Domain, etc.)
docker compose up -d

Nach der Installation muss ein Admin-Account über die CLI erstellt werden:

docker exec passbolt /usr/share/php/passbolt/bin/cake \
  passbolt register_user -u admin@example.com -f Admin -l User -r admin

Passbolt benötigt zwingend HTTPS und einen SMTP-Server – ohne E-Mail-Versand funktioniert das Einladungssystem nicht. Ressourcenbedarf: ca. 512 MB RAM für ein kleines Deployment, empfohlen werden 1–2 GB.

Bitwarden installieren

Bitwarden bietet ein offizielles Installer-Skript:

curl -Lso bitwarden.sh https://go.btwrdn.co/bw-sh
chmod +x bitwarden.sh
./bitwarden.sh install
./bitwarden.sh start

Das Setup erfordert einen Bitwarden-Account für die Installation-ID (für Updates und Lizenz-Validierung). Bitwarden ist ressourcenintensiver: Die offizielle Installation setzt mehrere Docker-Container ein (nginx, api, identity, admin, portal usw.) und benötigt mindestens 2 GB RAM, für produktiven Betrieb eher 4 GB.

Sicherheitsarchitektur im Vergleich

Feature Passbolt Bitwarden
Verschlüsselung OpenPGP (RSA/ECC) AES-256-CBC
Schlüsselableitung PBKDF2 / Argon2 PBKDF2-SHA256 (100.000+ Iterationen)
Zero-Knowledge ✅ Ja ✅ Ja
E2E-Verschlüsselung ✅ PGP pro Eintrag ✅ Master-Password-basiert
Open Source ✅ AGPL-3.0 ✅ GPL-3.0
Sicherheitsaudits Mehrere externe Audits Mehrere externe Audits

Passbolt's PGP-Ansatz hat einen entscheidenden Vorteil beim Team-Sharing: Jedes Passwort wird für jeden Empfänger einzeln verschlüsselt. Das bedeutet, dass ein kompromittierter Nutzer-Account nur die Passwörter entschlüsseln kann, die explizit für ihn freigegeben wurden.

Bitwarden verwendet ein Vault-Konzept: Der Master-Key verschlüsselt den gesamten Vault. Beim Team-Sharing werden Einträge in gemeinsame Sammlungen (Collections) verschoben, die dann für Nutzer-Gruppen zugänglich sind.

Team-Features und Freigaben

Passbolt: Sharing-first Design

Passbolt wurde speziell für das Teilen gebaut. Passwörter werden als ressourcenbasierte Entitäten behandelt, die du direkt mit einzelnen Nutzern oder Gruppen teilen kannst:

  • Direktes Sharing: Wähle ein Passwort → teile mit Nutzer/Gruppe → definiere Berechtigung (Can read / Can update / Owner)
  • Gruppen: Strukturiere Teams in Gruppen (Dev, DevOps, Marketing) und vergib Zugriffsrechte auf Gruppenebene
  • Ordner: Organisiere Passwörter in Ordnern; Ordnerberechtigungen werden in Passbolt 3.x explizit vergeben, nicht implizit vererbt

Bitwarden: Organisations-Modell

Bitwarden arbeitet mit Organizations und Collections:

  • Organizations: Trennlinie zwischen privatem Vault und Team-Passwörtern
  • Collections: Sammlungen innerhalb einer Organization (vergleichbar mit Ordnern)
  • Gruppen: Nutzergruppen mit Zugriff auf bestimmte Collections (Business-Plan)
  • Policy-Management: Passwort-Anforderungen, Zwei-Faktor-Pflicht, Browser-Extension-Einschränkungen

Der wesentliche Unterschied: Bitwarden-Teams erfordern einen kostenpflichtigen Plan für Gruppen und erweiterte Policies. Die kostenlose Self-Hosted-Version erlaubt zwar Organizations, aber ohne Gruppen-Features.

Benutzeroberfläche und User Experience

Passbolt hat eine funktionale Weboberfläche, die primäre Nutzungsschnittstelle ist jedoch die Browser-Extension. Direkt auf der jeweiligen Website lassen sich Passwörter eintragen und neue Einträge speichern. Mobile Apps gibt es nicht – Passbolt ist auf Browser-basierte Nutzung ausgerichtet.

Bitwarden hat 2023–2024 eine vollständige UI-Überarbeitung vollzogen und bietet heute eine moderne, übersichtliche Oberfläche – sowohl in der Web-App als auch in den Desktop- und Mobile-Clients. Die iOS- und Android-Apps sind ausgereift und werden aktiv weiterentwickelt.

Merkmal Passbolt Bitwarden
Web-Oberfläche ✅ Funktional ✅ Modern
Browser-Extension Chrome, Firefox, Edge Chrome, Firefox, Edge, Safari
Desktop-App ❌ Nicht vorhanden ✅ Windows, macOS, Linux
Mobile App ❌ Nicht vorhanden ✅ iOS, Android
TOTP/2FA-Manager ❌ Nein ✅ Premium

Enterprise-Features

Passbolt Business / Enterprise

  • LDAP/AD-Sync: Nutzer aus Active Directory importieren und synchronisieren
  • SSO-Integration: SAML-basiertes Single Sign-On (Enterprise Edition)
  • Compliance-Features: Audit-Logs, Role-based Access Control
  • Preis: ca. 49 EUR/Monat für bis zu 20 Nutzer (Business)

Bitwarden Business / Enterprise

  • SSO: SAML 2.0 / OIDC-Integration
  • Passwort-Policies: Enforced 2FA, Master-Password-Richtlinien, Vault-Timeout
  • Directory Connector: AD/LDAP/Azure AD Synchronisation
  • Event Logs: Erweiterte Audit-Logs für Compliance
  • Preis: ca. 5 EUR/Monat/Nutzer (Teams Plan, Self-Hosted mit 1 Jahr Lizenz)

Self-Hosted Kosten-Modell

Passbolt

Edition Preis Features
Community Kostenlos Basis-Features, unlimitierte Nutzer, kein LDAP
Business ~49 EUR/Monat (20 User) LDAP, SSO, TOTP
Enterprise Auf Anfrage Advanced SSO, Support-SLAs

Bitwarden

Edition Preis Features
Self-Hosted Free Kostenlos 2 Nutzer, keine Organizations
Teams ~5 EUR/Nutzer/Monat Groups, Collections, APIs
Enterprise ~6 EUR/Nutzer/Monat SSO, Advanced Policies, Custom Roles

Wichtig: Bitwarden Self-Hosted benötigt eine Lizenz (auch für kostenlose Instanzen). Diese erhältst du nach kostenloser Registrierung auf bitwarden.com.

Migrationspfad

Beide Tools unterstützen den Import aus gängigen Formaten:

Passbolt Import-Formate: Passbolt CSV, Bitwarden JSON, KeePass XML, LastPass CSV, 1Password

Bitwarden Import-Formate: Über 50 Formate, inkl. Passbolt CSV, KeePass, LastPass, 1Password, Dashlane

Für eine Migration von Passbolt zu Bitwarden (oder umgekehrt) gibt es offizielle CLI-Tools und Dokumentation. Bei größeren Migrationen empfiehlt sich ein Testlauf mit einem Subset der Passwörter.

Wann wähle ich welches Tool?

Passbolt ist die bessere Wahl wenn:

  • Dein primärer Use Case Team-Sharing von Passwörtern ist
  • Du eine PGP-basierte Sicherheitsarchitektur bevorzugst
  • Dein Team technisch versiert ist und mit Browser-Extensions arbeitet
  • Du ohne Mobile-App auskommst (Server-Teams, DevOps)
  • Du maximale Kontrolle über jede einzelne Freigabe haben möchtest

Bitwarden ist die bessere Wahl wenn:

  • Dein Team verschiedene Geräte nutzt (Desktop, Mobile, Browser)
  • Du eine moderne, intuitive Oberfläche für nicht-technische Nutzer brauchst
  • Du TOTP-Management im Passwort-Manager integriert haben möchtest
  • Du einen SSH-Key-Manager benötigst
  • Du in Zukunft auf die Cloud-Version umsteigen möchtest

Fazit

Passbolt und Bitwarden lösen beide dasselbe Problem, aber auf unterschiedliche Weise. Passbolt ist die Security-First-Wahl für Teams, die maximale Kontrolle über Passwort-Freigaben brauchen und keine Mobile-Apps vermissen. Bitwarden ist die All-in-One-Lösung für gemischte Teams mit vielfältigen Geräteanforderungen.

Für die meisten modernen Teams – mit Mischung aus Desktop- und Mobile-Nutzern, nicht-technischen Mitarbeitern und Bedarf an einer modernen Oberfläche – ist Bitwarden die praktischere Wahl. Wer aber im DevOps/Security-Kontext arbeitet, rein browser-basiert vorgeht und maximale kryptografische Kontrolle schätzt, findet in Passbolt eine ausgezeichnete Alternative.

Weiterführende Artikel

Verwandte Technologien im Techradar