KeePass-Migration zu Passwork: Export, Import, Prüfung

Eine Migration von KeePass zu Passwork legt fest, wo jedes Passwort abgelegt wird, wer darauf zugreifen kann und wie sich das Ergebnis nachweisen lässt – bevor der alte Workflow stillgelegt wird. Wer noch abwägt, ob ein Wechsel überhaupt sinnvoll ist, findet die Antwort in Passwort- und Zugriffsverwaltung für KMU: Reicht KeePass aus?. Dieser Leitfaden setzt die Entscheidung voraus und beschreibt die praktische Umsetzung.

Das Wichtigste in Kürze

Exportieren Sie KeePass in eine kontrollierte XML- oder CSV-Datei, niemals an einen unverwalteten Ort.
Wählen Sie das Format bewusst: XML für Hierarchien, CSV für flache, zugeordnete Daten.
Bewahren Sie die KeePass-Quelle auf, bis die Migration einen dokumentierten Abnahmetest besteht.

Die Migration von KeePass zu Passwork vor dem Export planen

Bestätigen Sie den Ziel-Tresor, den Verantwortlichen, das Zugriffsmodell und den Rollback-Punkt, bevor Sie KeePass exportieren. Der Rollback-Punkt ist die unveränderte Quelldatenbank, die bis zur Freigabe der Abnahme aufbewahrt wird. Ohne diesen Schritt wird aus einer Migration von Zugangsdaten eine unkontrollierte Dateiübertragung ohne Verantwortlichen und ohne Rückweg.

Bevor Sie die Exportfunktion verwenden, gehen Sie diese Schritte durch:

Erstellen Sie eine Bestandsaufnahme der Quelle mit Gruppen, Eintragsanzahl sowie eventuellen Anhängen oder benutzerdefinierten Feldern.
Weisen Sie jedem gemeinsam genutzten Zugangsdatensatz einen Verantwortlichen zu, insbesondere bei IT- und Servicekonten.
Markieren Sie veraltete oder doppelte Einträge zum Ausschluss, statt totes Gewicht zu importieren.
Bestätigen Sie, wer zur Durchführung von Export und Import berechtigt ist.
Entwerfen Sie den Tresor- und Ordnerplan des Ziels in Passwork, bevor Daten verschoben werden.
Legen Sie ein Wartungsfenster fest, wenn die betroffenen Zugangsdaten produktive Systeme betreffen.

Autorisierung verdient besondere Aufmerksamkeit, wenn ein Auftragnehmer oder Managed-Service-Provider beteiligt ist. Die Beteiligung Dritter war laut dem 2026 Data Breach Investigations Report von Verizon für 48 % der Sicherheitsverstöße verantwortlich – ein Anstieg gegenüber 30 % im Vorjahr. Wenn eine externe Partei den Export oder Import durchführt, wenden Sie dieselbe Freigabe, denselben Zugriff nach dem Prinzip der geringsten Privilegien und dieselbe zeitliche Begrenzung an wie bei einem internen Administrator.

Planen Sie den Zugriff in Passwork vor dem Import. Ein eigenständiger KeePass-Export definiert nicht die Benutzer, Gruppen oder Rechte, die für das Ziel gelten sollen. Ordnen Sie Verantwortliche und erforderlichen Zugriff bewusst zu, und konfigurieren Sie die erforderlichen Tresor- und Ordner-Zugriffsrechte, bevor Datensätze für Benutzer verfügbar sind.

Eine Migration sollte den Zugriff erhalten oder bewusst verbessern, da Passwork Tresor- und Ordnerrechte explizit vergibt, statt sie aus einem KeePass-Export abzuleiten.

KeePass-XML oder CSV vor dem Export wählen

Verwenden Sie KeePass-XML, wenn der Erhalt der Hierarchie wichtig ist. Verwenden Sie CSV nur, wenn eine flache Tabelle und eine manuelle Feldzuordnung akzeptabel sind. Jeder Passwortmanager verwendet sein eigenes Datenbankformat – die eigene Dokumentation von KeePass stellt ausdrücklich klar, dass es keinen gemeinsamen Standard gibt, auf den man sich verlassen kann. CSV und XML garantieren nicht, dass ein anderes Produkt Feldbedeutungen oder Hierarchien auf die gleiche Weise interpretiert. Prüfen Sie den Export, bevor Sie ihn importieren.

Auswahl	Wann geeignet	Vor dem Import prüfen	Wichtiger Hinweis
KeePass XML	Ordner und Gruppen sind wichtig, und das Ziel unterstützt KeePass-XML.	Ordnerpfade, Eintragsanzahl, Titel, Benutzername, Passwort, URL, Notizen und alle Sonderfelder.	Die Portabilität von XML hängt weiterhin davon ab, wie viele Felder das Ziel tatsächlich liest.
CSV	Ein flacher Import ist akzeptabel, oder die Daten benötigen eine explizite Spaltenzuordnung.	Trennzeichen, Kopfzeile, Zeichenkodierung, Spalten-zu-Feld-Zuordnung und eine Stichprobe von Nicht-ASCII-Daten.	Die dokumentierte CSV-Spezifikation von KeePass umfasst nur Titel, Benutzername, Passwort, URL und Notizen; Anhänge und andere Metadaten sind dort ausgeschlossen.

Keines der beiden Formate garantiert, dass jeder Anhang, jedes benutzerdefinierte Feld, jeder Verlaufseintrag oder jede Berechtigung übertragen wird. Legen Sie frühzeitig ein Ausnahmeregister an, damit diese Punkte vor dem Cutover geprüft werden.

KeePass exportieren, ohne ein unverwaltetes Geheimnis zu erzeugen

Behandeln Sie den Export als temporären Zugangsdaten-Datensatz, nicht als gewöhnliches Dokument. Erstellen Sie ihn nur auf einer freigegebenen Administrator-Workstation. Bewahren Sie ihn an einem eingeschränkten lokalen Ort auf, und behalten Sie ihn nur so lange, wie es zum Importieren und Prüfen der Daten nötig ist.

Halten Sie den Export vollständig von E-Mail, Chat und privatem Cloud-Speicher fern. Wie und wann die Datei vernichtet wird, sollte sich nach der Daten-Richtlinie Ihrer Organisation richten, nicht nach der Empfehlung eines bestimmten Tools.

Eine praktikable Abfolge sieht so aus:

Sichern Sie die Quell-Datenbank von KeePass, und öffnen Sie sie.
Exportieren Sie das gewählte Format (XML oder CSV) in den eingeschränkten lokalen Pfad.
Benennen Sie die Datei mit Datum und Umfang, jedoch ohne Geheimnisse im Dateinamen selbst.
Dokumentieren Sie den Speicherort der Datei und den Bearbeiter, der sie erstellt hat.
Bestätigen Sie, dass die Datei nirgends versehentlich freigegeben oder synchronisiert wurde.
Importieren Sie sie umgehend, statt sie liegen zu lassen.

Kombinieren Sie starke, einzigartige Passwörter mit phishing-resistenter MFA, und machen Sie einen Passwortmanager zu einem festen Bestandteil Ihrer Standard-Zugangskontrollen. Ein temporärer Export kann außerhalb der normalen Zugriffskontrollen des Quell-Tresors liegen. Bewahren Sie ihn auf einer freigegebenen Administrator-Workstation auf, und entfernen Sie ihn nach Import und Abnahmeprüfung.

Das Passwork-Ziel vorbereiten und die Daten importieren

Erstellen Sie den Ziel-Tresor und das vorgesehene Zugriffsmodell, bevor Sie eine Datei hochladen. Das Importtool von Passwork akzeptiert JSON, KeePass-XML und CSV in einen gewählten Tresor, Ordner oder das Stammverzeichnis.

Beispiel der Importfunktion von Passwork

XML-Importe können die Quellstruktur beibehalten oder sie abflachen, und CSV-Importe enthalten einen Vorschauschritt mit Einstellungen für Trennzeichen und Feldzuordnung.

Gehen Sie den Import in dieser Reihenfolge durch:

Erstellen oder wählen Sie den Ziel-Tresor.
Entscheiden Sie, ob die Ordnerstruktur der Quelle beibehalten oder ignoriert werden soll.
Konfigurieren Sie die Tresor- und Ordner-Zugriffsrechte, bevor Sie jemanden zur Nutzung einladen.
Wählen Sie „Daten importieren“, und laden Sie die exportierte Datei hoch.
Legen Sie bei CSV das Trennzeichen fest, und prüfen Sie die Vorschau sorgfältig.
Ordnen Sie jede Quellspalte oder jedes Quellfeld dem richtigen Passwork-Passwortkartenfeld zu.
Nutzen Sie vor einem Produktivimport die Vorschau, um Ziel, Trennzeichen und Feldzuordnung zu bestätigen.
Führen Sie bei einem großen oder geschäftskritischen Umfang einen Pilotlauf in einer separaten Testinstanz oder einem isolierten Test-Tresor ohne Zugriff für normale Benutzer durch. Bestätigen Sie dort die Zuordnung und den Ausnahmeprozess, bevor Sie in den Produktiv-Tresor importieren.
Schließen Sie den Produktivimport ab, sobald der Pilotlauf erfolgreich war.

Passwork dokumentiert fünf Zugriffslevel: Verboten, Nur Lesen, Lesen und Bearbeiten, Vollständiger Zugang und Administrator. Zusätzlich gibt es die separate Option „Ohne Zugriff verbinden“ für Benutzer, die mit einem Tresor verknüpft sind, aber keine direkten Rechte besitzen. Wenden Sie standardmäßig das Prinzip der geringsten Privilegien an, und erweitern Sie den Zugriff nur, wenn eine bestimmte Rolle dies erfordert.

Den KeePass-zu-Passwork-Migrationsabnahmetest durchführen

Ein erfolgreicher Import beweist, dass Datensätze angelegt wurden. Eine erfolgreiche Migration beweist, dass Datensätze, Struktur, Zugriff und Nachweise einem vereinbarten Abnahmestandard entsprechen. Der KeePass-zu-Passwork-Migrationsabnahmetest ist eine Checkliste mit sechs Kontrollen, die aus „der Import ist abgeschlossen“ ein dokumentiertes, freigabereifes Ergebnis macht.

Kontrolle	Was zu prüfen ist	Bestehenskriterium
1. Datensatzanzahl	Vergleichen Sie die geplante Anzahl der KeePass-Einträge mit den importierten Datensätzen, unter Berücksichtigung dokumentierter Ausschlüsse.	Jede Abweichung hat einen Verantwortlichen und eine schriftliche Begründung.
2. Hierarchie	Vergleichen Sie eine repräsentative Auswahl der Quellgruppenpfade mit den Tresor- und Ordnerpfaden in Passwork.	Die erforderlichen Ordner existieren in der gewählten Zielstruktur.
3. Stichprobenprüfung der Zugangsdaten	Öffnen Sie eine risikobasierte Stichprobe: privilegierte Konten, gemeinsam genutzte IT-Konten, Unicode-Einträge, URLs und lange Notizen.	Titel, Benutzername, Passwort, URL und Notizen sind korrekt, ohne unerwartete Kürzung.
4. Ausnahmeregister	Prüfen Sie Anhänge, benutzerdefinierte Felder, Verlauf und nicht unterstützte Datensatztypen.	Jede Ausnahme wird manuell migriert, umgewandelt, als ausgeschlossen akzeptiert oder zur Rotation eingeplant.
5. Zugriffstest	Testen Sie einen autorisierten Benutzer und einen Benutzer, dem der Zugriff verweigert werden soll; testen Sie Servicekonten in einem kontrollierten Zeitfenster.	Autorisierte Benutzer haben nur den vorgesehenen Zugriff; nicht autorisierte Benutzer werden abgewiesen.
6. Audit- und Cutover-Nachweis	Erfassen Sie Bearbeiter, Zeitpunkt, Umfang, Ergebnis und jede Ausnahmeentscheidung.	Die Migration ist nachvollziehbar und freigabereif.

Der Tresorverlauf von Passwork erfasst das Hinzufügen, Bearbeiten und Löschen von Passwörtern sowie Zugriffsänderungen mit Zeitstempel und ausführendem Benutzer. Ist die erforderliche Rolleneinstellung aktiviert, ergänzt das systemweite Activity-Log einen umfassenderen Audit-Trail.

Nutzen Sie diese Nachweise zur Unterstützung von Kontrolle 6, nicht als Ersatz für die Kontrollen 1 bis 5. Protokolle bestätigen, was nach dem Import geschehen ist. Sie bestätigen nicht, dass die Daten oder der Zugriff von Anfang an korrekt waren.

Den Cutover sicher durchführen und den temporären Export stilllegen

Führen Sie den Cutover erst durch, wenn der technische Verantwortliche und der Zugriffsverantwortliche die Freigabe erteilt haben. Kommunizieren Sie anschließend den neuen Speicherort, entfernen Sie den temporären Export, und bewahren Sie die Quelldatenbank für das vereinbarte Rollback-Fenster auf.

Die Abschlussfolge:

Kommunizieren Sie den neuen Arbeitsspeicherort an die betroffenen Teams.
Aktualisieren Sie alle dokumentierten Betriebsabläufe, die auf den alten Tresor verweisen.
Rotieren Sie risikoreiche, gemeinsam genutzte und zuvor offengelegte Zugangsdaten gemäß Ihrer Richtlinie.
Entfernen Sie den Zugriff auf die temporäre Exportdatei.
Bewahren Sie die ursprüngliche KeePass-Quelle für den vereinbarten Zeitraum am freigegebenen Rollback-Ort auf.
Stellen Sie den alten gemeinsam genutzten Workflow ein, sobald beide Verantwortlichen zustimmen.

Eine Person, die das Team verlassen hat oder deren Berechtigung entzogen wurde, kann sich weiterhin an ein altes Passwort erinnern – selbst wenn der Tresor bereits gesperrt ist. Rotieren Sie Zugangsdaten immer dann, wenn ein Offboarding- oder Risikoereignis dies rechtfertigt, nicht nur zum Abschluss der Migration. Die Offboarding-Hinweise von Passwork ziehen dieselbe Trennlinie zwischen dem Entzug des Zugriffs und der Rotation der Zugangsdaten selbst.

Fazit

Wählen Sie XML oder CSV, erstellen Sie den Zugriffsplan für das Ziel, und importieren Sie die Daten. Betrachten Sie das Ergebnis als vorläufig, bis alle sechs Kontrollen bestanden sind. Wird die Validierung übersprungen, bleiben fehlende Anhänge, unvollständige Feldzuordnungen oder unbeabsichtigter Zugriff möglicherweise bis nach dem Cutover unentdeckt.

Wenn Ihr Team einen gemeinsam genutzten KeePass-Workflow ablöst, beginnen Sie mit dem Importleitfaden von Passwork, um die Daten zu laden, und konfigurieren Sie anschließend die Tresor- und Ordner-Zugriffsrechte vor dem Cutover. Einen umfassenderen Blick auf die Planung einer unternehmensweiten Migration von Zugangsdaten über dieses eine Format hinaus bietet Warum es 2026 keine Passwortmanager-Migration per Klick gibt.

Bereit, eine gemeinsam genutzte KeePass-Datei endgültig abzulösen? Erfahren Sie, wie Passwork Tresore, Ordner und Zugriffsrechte strukturiert.

Häufig gestellte Fragen

Kann Passwork eine KeePass-KDBX-Datei direkt importieren?

Die dokumentierten Importformate von Passwork sind JSON, KeePass-XML und CSV, nicht direkt KDBX. Exportieren Sie die KeePass-Datenbank zunächst in ein unterstütztes Format, und prüfen Sie dann den aktuellen Importleitfaden, bevor Sie eine Migration planen, da sich die unterstützten Formate zwischen den Versionen ändern können.

Sollte ich für Passwork KeePass-XML oder CSV verwenden?

Verwenden Sie KeePass-XML, wenn die Hierarchie wichtig ist und das Ziel sie unterstützt. Verwenden Sie stattdessen CSV für einen flachen, bewusst zugeordneten Import. Prüfen Sie in jedem Fall die Felderabdeckung, und protokollieren Sie Ausnahmen, da die Formatunterstützung keine Übereinstimmung für jeden Metadatentyp zwischen Produkten garantiert.

Woran erkenne ich, dass die Migration erfolgreich war?

Ein erfolgreicher Import allein reicht nicht aus. Führen Sie die sechs Kontrollen des Migrationsabnahmetests durch: Datensatzanzahl, Hierarchie, Stichprobenprüfung der Zugangsdaten, Ausnahmeregister, Zugriffstest und Audit-Nachweis. Bestehen alle sechs, erhalten Sie eine dokumentierte Go- oder No-Go-Entscheidung statt einer Vermutung.

Wann kann ich die KeePass-Exportdatei löschen?

Löschen Sie sie, nachdem Import und Abnahmeprüfung abgeschlossen sind, gemäß der Aufbewahrungs- und Sicherheitsrichtlinie Ihrer Organisation. Halten Sie dies getrennt von der KeePass-Quelldatenbank, die an Ihrem freigegebenen Rollback-Ort aufbewahrt wird. Löschen Sie die einzige bekanntermaßen fehlerfreie Quelldatenbank nicht, bevor der technische Verantwortliche die Freigabe erteilt hat.