Passwork vs 1Password: Welcher Passwort-Manager ist besser für EU-Unternehmen?

Die Wahl eines Credential-Managers für ein europäisches Unternehmen im Jahr 2026 ist ebenso eine Compliance-Entscheidung wie eine Produktentscheidung. 

Der Missbrauch von Anmeldedaten bleibt einer der häufigsten Wege in Unternehmensumgebungen. Der Data Breach Investigations Report 2026 von Verizon bestätigt, dass 50 % der Ransomware-Opfer innerhalb von 95 Tagen vor dem Angriff ein Credential- oder Infostealer-Ereignis hatten. 

Gleichzeitig hat die DSGVO-Durchsetzung echte Durchschlagskraft. Im April 2026 verhängte die italienische Garante gegen das Beratungsunternehmen Ambrosetti ein Bußgeld von 85.000 € für die Speicherung von Passwörtern im Klartext und die Verwendung von MD5-Hashing, wobei ausdrücklich auf DSGVO-Artikel 32 als Grundlage verwiesen wurde. NIS2 ist kein Entwurf mehr: 23 von 27 EU-Mitgliedstaaten haben es laut dem ECSO-Transpositions-Tracker in nationales Recht umgesetzt. 

Bei der Bewertung von Lösungen wie Passwork und 1Password spielen Faktoren jenseits der Funktionen eine Rolle. Dieser Artikel vergleicht beide Produkte aus dieser Perspektive: Jurisdiktion, Datensouveränität, Bereitstellungsflexibilität, Audit-Bereitschaft, langfristige Compliance mit DSGVO und NIS2 sowie Gesamtbetriebskosten.

Die wichtigsten Erkenntnisse

• Beide Plattformen bieten Enterprise-Passwortverwaltung, verwenden jedoch unterschiedliche architektonische Ansätze. 1Password ist ein cloudbasierter Dienst, der auf seinem Secret-Key-Sicherheitsmodell aufbaut, während Passwork eine selbstgehostete Bereitstellung mit clientseitiger AES-256-Verschlüsselung bietet.
• Das Bereitstellungsmodell bestimmt, wer die Infrastruktur kontrolliert und wer dafür verantwortlich ist. Bei einer selbstgehosteten Bereitstellung verwaltet Ihre Organisation die Umgebung. Bei einem SaaS-Dienst betreibt der Anbieter die Infrastruktur und unterliegt den Gesetzen seiner eigenen Jurisdiktion.
• Datenresidenz und Datensouveränität adressieren unterschiedliche Aspekte der Daten-Governance. Die Wahl eines EU-Rechenzentrums bestimmt, wo Ihre Daten gespeichert werden. Es bestimmt jedoch nicht allein, welche Landesgesetze auf den Dienstanbieter Anwendung finden können.
• DSGVO und NIS2 konzentrieren sich darauf, wie Organisationen den Zugriff auf Anmeldedaten schützen und verwalten. Organisationen sollten in der Lage sein, angemessene technische Kontrollen, Zugangsverwaltung, Protokollierung und Audit-Nachweise nachzuweisen.
• Bei 100 Benutzern kostet Passwork Standardlizenz 3.600 €/Jahr gegenüber ca. 9.588 $/Jahr für 1Password Business. Passwork wird mit 3 €/Benutzer/Monat (Standardlizenz) oder 4,5 €/Benutzer/Monat (Erweiterte Lizenz) berechnet. 1Password Business kostet 7,99 $/Benutzer/Monat. Enterprise-Stufen werden bei beiden Anbietern individuell angeboten.
• Wählen Sie 1Password, wenn Ihr Team operativen Komfort und eine ausgefeilte Cloud-Erfahrung gegenüber strikter Datensouveränität priorisiert. Wählen Sie Passwork, wenn Ihre Organisation der DSGVO, NIS2 oder DORA unterliegt und nachweisen muss, dass Anmeldedaten niemals Ihre eigene Infrastruktur verlassen.

Das Compliance-Schlachtfeld: Datenresidenz vs. Datensouveränität

Europäische Organisationen, die Passwort-Manager evaluieren, müssen zwischen Datenresidenz und Datensouveränität unterscheiden. Datenresidenz definiert, wo Daten gespeichert werden. Datensouveränität definiert, welches Rechtssystem sie regiert. Eine cloudbasierte Lösung kann EU-Datenresidenz bieten, während sie dennoch einer nicht-europäischen Jurisdiktion unterliegt. Selbstgehostete Lösungen schließen diese Lücke, indem Anmeldedaten vollständig innerhalb der eigenen Infrastruktur der Organisation verbleiben — unter einem einzigen, vorhersehbaren Rechtsrahmen.

1Password bietet EU-Datenresidenz: Kunden können eine europäische Hosting-Region auswählen, und Tresor-Daten befinden sich auf Servern innerhalb der EU. Dies allein löst jedoch nicht alle Jurisdiktionsbedenken für Organisationen mit strengen Souveränitätsanforderungen.

Was grenzüberschreitender Datenzugriff für Cloud-Anbieter bedeutet

Wenn ein cloudbasierter Credential-Manager von einem Unternehmen außerhalb der EU betrieben wird, ist die zentrale Compliance-Frage nicht, wo sich die Server befinden, sondern welches Rechtssystem dieses Unternehmen zur Datenoffenlegung zwingen kann.

Jeder nicht-europäische Anbieter kann rechtmäßige Anfragen von Behörden in seiner Heimatjurisdiktion erhalten. Das anwendbare Recht hängt davon ab, wo der Anbieter eingetragen ist, nicht wo die Daten gespeichert werden.

Der U.S. CLOUD Act (2018) ist das bekannteste Beispiel. Er ermöglicht es US-amerikanischen Strafverfolgungsbehörden, von in den USA eingetragenen Anbietern die Herausgabe von weltweit gespeicherten Daten zu verlangen.

1Password ist kein US-Unternehmen. AgileBits Inc. ist in Kanada eingetragen, sodass der CLOUD Act nicht in gleicher Weise gilt wie für US-Anbieter. Kanada nimmt jedoch an internationalen Rahmenwerken für die Zusammenarbeit der Strafverfolgungsbehörden wie Five Eyes teil, was bedeutet, dass grenzüberschreitende rechtliche Anfragen weiterhin zu berücksichtigen sind.

DSGVO-Artikel 48 besagt, dass eine ausländische Gerichtsentscheidung allein keine gültige Rechtsgrundlage für die Übermittlung personenbezogener Daten aus der EU darstellt. Diese Einschränkung gilt in erster Linie für Ihre Organisation als Verantwortlicher.

Wie jeder cloudbasierte Credential-Manager, der von einer nicht-europäischen Einheit betrieben wird, führt 1Password eine Ebene jurisdiktioneller Komplexität ein, die eine selbstgehostete Bereitstellung nicht hat.

Wie eine On-Premise-Bereitstellung die Lücke schließt

Das selbstgehostete Modell von Passwork bedeutet, dass kein Dritter Ihre Anmeldedaten besitzt. Bereitgestellt auf Ihrer eigenen Infrastruktur innerhalb der EU-Jurisdiktion verlassen Tresorinhalte niemals Ihre Umgebung. Kein externes Unternehmen kann eine ausländische Regierungsanordnung für Daten erhalten, auf die es keinen Zugriff hat. Die Gesetze, die Ihre Daten regieren, sind die Gesetze der Jurisdiktion, in der sich Ihre Server befinden.

Passwork ist als selbstgehostete Lösung und in einer souveränen EU-Cloud verfügbar und gibt Ihnen die volle Kontrolle über Ihre Daten und Infrastruktur. Erkunden Sie die Bereitstellungsoptionen — passwork.pro

Funktionsvergleich: Passwork vs. 1Password

Passwork und 1Password auf der Business-Stufe teilen eine gemeinsame Basis: AES-256-Verschlüsselung, RBAC, SSO und Entwicklertools. Die Unterschiede zeigen sich auf architektonischer Ebene. Die selbstgehostete Bereitstellung von Passwork gibt der Organisation direkte Kontrolle über Verschlüsselungsschlüssel, Audit-Logs und den Admin-Perimeter — ohne Abhängigkeit von Anbieter-Infrastruktur oder ausgehender Konnektivität zu externen Diensten.

Sicherheitsarchitektur

Die Secret-Key-Architektur von 1Password erfordert einen 128-Bit-Schlüssel, der als 34-Zeichen-String codiert ist und bei der Geräteeinrichtung generiert wird. Dieser wird mit dem Masterpasswort kombiniert, um den Verschlüsselungsschlüssel abzuleiten. Selbst wenn die Server von 1Password kompromittiert würden, wäre es rechnerisch nicht machbar, verschlüsselte Tresore ohne den Secret Key zu entschlüsseln. Es ist ein gut konzipiertes Cloud-Sicherheitsmodell.

Passwork verwendet clientseitige Zero-Knowledge-Verschlüsselung auf einer selbstgehosteten Instanz. Ver- und Entschlüsselung erfolgen auf dem Client (Benutzergerät). Der Server speichert nur Chiffretext. Da Sie die Plattform hosten, behalten Sie die vollständige Kontrolle über den Anwendungsserver, Verschlüsselungsschlüssel und Audit-Logs. Diese Bereitstellung garantiert eine isolierte Umgebung, frei von gemeinsam genutzter Infrastruktur, Multi-Tenant-Risiken oder Abhängigkeit von Anbieter-Schlüsselverwaltung.

Enterprise-Administration: RBAC, AD/LDAP und SSO

Beide Plattformen decken die Enterprise-Administrationsfunktionen ab, die IT-Teams erwarten.

1Password Business umfasst SCIM-Provisioning, SSO-Integration über Okta und Azure AD sowie eine ausgereifte Admin-Konsole. Sein Extended Access Management-Produkt (verfügbar als separat lizenziertes Add-on) erweitert Gerätevertrauen und Anwendungszugriffskontrollen über den Passwort-Tresor hinaus.

Passwork bietet granulare rollenbasierte Zugriffskontrolle (RBAC), native Active Directory- und LDAP-Integration für Benutzer-Provisioning und Gruppensynchronisation sowie SAML SSO. Um die Verwaltung im großen Maßstab zu vereinfachen, trennt Passwork den Datenzugriff von administrativen Berechtigungen durch zwei unterschiedliche Mechanismen:

• Benutzergruppen steuern den Datenzugriff — Administratoren weisen Berechtigungen für Tresore und Ordner auf Gruppenebene zu. Wenn Benutzer einer Gruppe hinzugefügt werden, erben sie automatisch den Zugriff auf die entsprechenden Passwörter und Anmeldedaten. 
• Rollen definieren Systemrechte — Vordefinierte und benutzerdefinierte Rollen verwalten den Zugriff auf Systemeinstellungen, Benutzerverzeichnisse und Audit-Logs. Dies stellt sicher, dass Standardbenutzer nur mit ihren zugewiesenen Tresoren interagieren, während Administratoren die Infrastruktur verwalten, ohne unter dem Zero-Knowledge-Modell Zugriff auf tatsächliche Passwörter zu haben.

Für Organisationen, die AD-basierte Identitätsinfrastruktur betreiben (die Mehrheit der europäischen Unternehmen), bedeutet die LDAP-Integration, dass Onboarding und Offboarding über bestehende Verzeichnis-Workflows laufen. Sicherheitsgruppen werden automatisch synchronisiert, sodass Tresor-Berechtigungen und administrative Rollen mit Ihrem zentralen Verzeichnis abgestimmt bleiben.

Ein praktischer Unterschied, der erwähnt werden sollte: Da Passwork selbstgehostet ist, befinden sich Admin-Konsole, Audit-Logs und Benutzerverzeichnis alle innerhalb Ihres eigenen Netzwerkperimeters. Administrative Operationen haben keine Abhängigkeit von einem Verfügbarkeits-SLA des Anbieters.

DevOps und Secrets Management

1Password hat stark in Entwicklertools investiert. Seine CLI (op), Secrets Automation und native Integrationen mit GitHub Actions, Kubernetes und CI/CD-Pipelines machen es zu einem leistungsfähigen Secrets Manager für cloud-native Teams. Die Entwicklererfahrung ist ausgereift.

Passwork bietet eine vollständige REST API und CLI-Tools für DevOps-Workflows: Einspeisung von Secrets in Pipelines, programmatische Rotation von Anmeldedaten, Verwaltung von API-Schlüsseln und Datenbank-Anmeldedaten zusammen mit menschlichen Passwörtern in einem einheitlichen Tresor.

Für Teams, die in air-gapped oder strikt perimeter-kontrollierten Umgebungen arbeiten, ist der architektonische Unterschied relevant. 1Password bietet zwar einen selbstgehosteten Connect Server, der Secrets lokal zwischenspeichert und die Abhängigkeit von der 1Password-API reduziert, aber die Ersteinrichtung und periodische Synchronisation erfordern weiterhin ausgehende Konnektivität zur Cloud-Infrastruktur von 1Password. 

Passwork erfordert zu keinem Zeitpunkt eine solche Abhängigkeit: Der gesamte Stack läuft vom ersten Tag an innerhalb des eigenen Unternehmensperimeters, ohne Aufrufe zu externen Diensten. Für Organisationen, bei denen ausgehender Datenverkehr zur Cloud eines Anbieters durch Richtlinien oder Architektur nicht erlaubt ist, ist dieser Unterschied eine harte Anforderung.

Zukunftssicherheit: NIS2 und das Post-Quantum-Mandat 2027

NIS2 fügte eine Klausel hinzu, die Anbieter lieber übersehen würden

NIS2-Artikel 21 setzt die Sicherheit Ihrer IKT-Dienstleister auf Ihr Risikoregister. Nicht auf deren — auf Ihres. Ein cloudbasierter Passwort-Manager ist ein IKT-Dienstleister. Unter NIS2 ist Ihre Organisation dafür verantwortlich zu bewerten, ob die Sicherheitslage dieses Anbieters — einschließlich seiner rechtlichen Jurisdiktion und Incident-Response-Verpflichtungen — Ihrer Risikoschwelle entspricht.

Wenn ein Sicherheitsvorfall bei Ihrem Passwort-Manager-Anbieter Ihre Anmeldedaten offenlegt, können NIS2-Incident-Reporting-Verpflichtungen auf Ihrer Seite ausgelöst werden: Erstmeldung innerhalb von 24 Stunden, detaillierter Bericht innerhalb von 72 Stunden.

Die Bereitstellung einer selbstgehosteten Lösung verändert dieses Risikoprofil. Die Angriffsfläche ist Ihre Infrastruktur, die von Ihren Sicherheitskontrollen geregelt und von Ihrem Team auditiert wird. NIS2-Lieferketten-Risikobewertungen werden wesentlich einfacher, wenn die „Lieferkette" für die Credential-Speicherung intern ist.

Das ANSSI-Mandat 2027 für quantensichere Kryptographie

Frankreichs nationale Cybersicherheitsbehörde ANSSI kündigte an, ab 2027 keine Sicherheitsprodukte (einschließlich Passwort-Manager) mehr zu zertifizieren, die keine quantenresistente Verschlüsselung haben. Bis 2030 erwartet ANSSI, dass alle Geschäftsbeschaffungen quantensichere Kryptographie erfordern. Für Organisationen in Frankreich und in der gesamten EU schafft dies eine harte Zertifizierungsfrist innerhalb der nächsten 12–18 Monate.

Die relevante Frage für Beschaffungsteams ist nicht nur, ob ein Anbieter PQC unterstützt, sondern ob die Organisation kontrolliert, wann und wie diese Umstellung erfolgt.

Bei einem cloudbasierten Passwort-Manager erfolgt die Migration der Tresor-Verschlüsselungsschicht nach dem Zeitplan des Anbieters, über gemeinsam genutzte Infrastruktur. Bei einer selbstgehosteten Bereitstellung wendet Ihre Organisation kryptographische Updates (einschließlich NIST-standardisierter PQC-Algorithmen) nach Ihrem eigenen Zeitplan an, ohne Abhängigkeit vom Release-Zyklus eines Anbieters.

Preisgestaltung und Gesamtbetriebskosten

Übersicht der Preise

1Password Business wird mit 7,99 $ pro Benutzer pro Monat (jährliche Abrechnung) berechnet. Der Teams-Plan liegt bei 4,99 $/Benutzer/Monat. Enterprise-Preise erfordern ein individuelles Angebot.

Die Preisgestaltung von Passwork ist auf europäische Käufer ausgerichtet:

Bei 100 Benutzern kostet Passwork Standardlizenz 3.600 €/Jahr gegenüber 1Password Business mit etwa 9.588 $/Jahr. Die Differenz wächst mit zunehmender Skalierung.

TCO jenseits der Lizenzgebühr

On-Premise-Bereitstellung erfordert Server-Infrastruktur, Wartung und internen operativen Aufwand. Für Organisationen, die bereits On-Premises-Infrastruktur betreiben (die meisten europäischen Unternehmen in regulierten Sektoren), sind die Grenzkosten für das Hinzufügen einer selbstgehosteten Passwork-Instanz gering. Für Organisationen ohne On-Premises-Präsenz ist der Infrastruktur-Overhead eine echte Überlegung und sollte vor Vertragsunterzeichnung ehrlich eingeschätzt werden.

Die TCO-Berechnung benötigt auch eine Zeile für Compliance-Risiko. Ein Sicherheitsvorfall mit einem cloudbasierten Credential-Speicher kann DSGVO-Artikel 83-Bußgelder von bis zu 10 Millionen € oder 2 % des weltweiten Jahresumsatzes für Verstöße gegen die Sicherheitsanforderungen von Artikel 32 auslösen. DSGVO-Bußgelder haben bis 2026 kumulativ 6,31 Milliarden € überschritten. Der Ambrosetti-Fall (85.000 € für MD5-gehashte Passwörter) zeigt, dass Datenschutzbehörden jetzt die kryptographische Implementierung direkt prüfen — nicht nur Zeitpläne für Benachrichtigungen bei Sicherheitsvorfällen.

Fazit: Welcher Passwort-Manager passt zu EU-basierten Organisationen

Die Wahl eines Passwort-Managers für den Enterprise-Einsatz läuft auf die Frage hinaus: Wo endet Ihr Compliance-Perimeter? Cloud-native Teams mit modernen Identity-Stacks finden eine natürliche Passung in tiefen Ökosystem-Integrationen und plattformübergreifender UX. Organisationen, die unter DSGVO, NIS2 oder DORA operieren, stehen vor einer anderen Einschränkung — nicht Benutzerfreundlichkeit, sondern Jurisdiktion. 

Wählen Sie 1Password Business, wenn:

• Ihr Team global verteilt und cloud-native ist
• Sie Entwicklererfahrung und plattformübergreifende UX über Compliance-Architektur priorisieren
• Ihr regulatorisches Umfeld keine strikte Datensouveränität erfordert
• Sie Extended Access Management oder tiefe Integration mit einem modernen Cloud-Identity-Stack benötigen

Wählen Sie Passwork, wenn:

• Ihre Organisation der DSGVO, NIS2 oder DORA unterliegt und Datensouveränität nachweisen muss
• Sie in kritischer Infrastruktur, Finanzdienstleistungen, Gesundheitswesen oder dem öffentlichen Sektor tätig sind
• Sie AD/LDAP-native Integration innerhalb einer bestehenden On-Premises-Identitätsumgebung benötigen
• Sie sich auf ANSSI-Zertifizierung oder EU-Beschaffung im öffentlichen Sektor vorbereiten
• Ihr Sicherheitsteam die volle Kontrolle über die Verschlüsselungsschicht, Audit-Logs und Schlüsselverwaltung benötigt

Für europäische Unternehmen in regulierten Sektoren ist die Architektur, die bei allen fünf Kriterien „Ja" antwortet, selbstgehostet, On-Premise und jurisdiktionell sauber. 

Passwork bietet europäischen IT-Teams einen selbstgehosteten, DSGVO-konformen Credential-Tresor mit vollständiger Audit-Protokollierung, AD/LDAP-Integration und Zero-Knowledge-Verschlüsselung — alles innerhalb Ihrer eigenen Infrastruktur. Fordern Sie eine Demo an oder erkunden Sie den Leitfaden zur selbstgehosteten Bereitstellung — passwork.pro

Häufig gestellte Fragen