Die neue Version bietet ein anpassbares Notizfeld, erweiterte Ereignisbeschreibungen im Aktivitätsprotokoll sowie verschiedene weitere Verbesserungen und Fehlerbehebungen.

Verbesserungen

• Möglichkeit hinzugefügt, die Größe des Notizfelds beim Erstellen und Bearbeiten von Einträgen anzupassen
• Verhalten des Menüpunkts „Daten exportieren" geändert: Er wird nun inaktiv, wenn keine Daten zum Exportieren vorhanden sind
• Beschreibung der E-Mail-Bestätigungsereignisse für Benutzer im Aktivitätsprotokoll verbessert

Fehlerbehebungen

• Problem behoben, bei dem Passwörter mit Sonderzeichen beim Speichern eines LDAP-Servers falsch verarbeitet werden konnten
• Problem behoben, bei dem Suchergebnisse mit leerer Suchanfrage und ohne angewendete Filter für einen bestimmten Tresor falsch angezeigt wurden
• Problem behoben, bei dem nach dem Verlassen der Suche in einem ausgewählten Tresor nur Ordner angezeigt wurden, während Passwörter und Shortcuts erst nach erneutem Öffnen des Tresors geladen wurden
• Problem behoben, bei dem nicht alle Passwörter während des Datenexports exportiert wurden
• Problem behoben, bei dem das Zurücksetzen des Masterpassworts eines Benutzers fälschlicherweise die Berechtigung zur Verwaltung von Masterpasswort-Komplexitätsrichtlinien erforderte
• Problem behoben, bei dem das über einen Link aufgerufene Registrierungsformular einen 401-Fehler zurückgab, wenn die Selbstregistrierung deaktiviert war
• Problem behoben, das das Hinzufügen einer WebAuthn-Anmeldeinformation mit leerem Transports-Feld verhinderte

Was ist Passwortverwaltung?

Erfahren Sie, was Passwortverwaltung ist, warum sie wichtig ist und wie sie Ihre Konten durch Verschlüsselung, sichere Speicherung und Zugriffskontrolle schützt.

Passwork BlogEirik Salmi

Fallstudie: Stadt Melle und Passwork

Passwork hat die interne Sicherheit der Stadt Melle durch ein zuverlässiges System für die Passwortverwaltung verbessert.

Passwork BlogAna Moore

Passwork 7.3: Biometrische Authentifizierung und Passkeys

In der neuen Version wurden Unterstützung für Passkeys und Biometrie, ein E-Mail-Adress-Verifizierungsmechanismus für Benutzer, die Möglichkeit, mehrere URLs für ein einzelnes Passwort anzugeben, unabhängige Shortcut-Farbanpassung sowie zahlreiche Verbesserungen und Fehlerbehebungen hinzugefügt.

Passwork BlogEirik Salmi

La nueva versión añade un campo de notas redimensionable, descripciones de eventos mejoradas en el Registro de acciones y varias otras mejoras y correcciones de errores.

Mejoras

• Se añadió la capacidad de redimensionar el campo de Nota al crear y editar entradas
• Se cambió el comportamiento del elemento de menú Exportar datos: ahora se desactiva cuando no hay datos para exportar
• Se mejoró la descripción de los eventos de confirmación de correo electrónico de usuario en el Registro de actividad

Correcciones de errores

• Se corrigió un problema donde las contraseñas con caracteres especiales podían procesarse incorrectamente al guardar un servidor LDAP
• Se corrigió un problema donde los resultados de búsqueda con una consulta de búsqueda vacía y sin filtros aplicados se mostraban incorrectamente para una bóveda especificada
• Se corrigió un problema donde después de salir de la búsqueda en una bóveda seleccionada, solo se mostraban las carpetas mientras que las contraseñas y los accesos directos no se cargaban hasta volver a entrar en la bóveda
• Se corrigió un problema donde no se exportaban todas las contraseñas durante el proceso de exportación de datos
• Se corrigió un problema donde restablecer la contraseña maestra de un usuario requería incorrectamente permiso para gestionar las políticas de complejidad de la contraseña maestra
• Se corrigió un problema donde el formulario de registro accedido mediante enlace devolvía un error 401 cuando el autorregistro estaba deshabilitado
• Se corrigió un problema que impedía añadir una credencial WebAuthn con un campo de transports vacío

¿Qué es la gestión de contraseñas?

Aprenda qué es la gestión de contraseñas, por qué es importante y cómo protege sus cuentas con cifrado, almacenamiento seguro y control de acceso.

Passwork BlogEirik Salmi

Caso de estudio: Ciudad de Melle y Passwork

Passwork ha mejorado la seguridad interna en la Ciudad de Melle mediante la creación de un sistema fiable para la gestión de contraseñas.

Passwork BlogAna Moore

Passwork 7.3: Autenticación biométrica y passkeys

En la nueva versión, se ha añadido soporte para passkeys y biometría, un mecanismo de verificación de direcciones de correo electrónico para usuarios, la opción de especificar múltiples URL para una sola contraseña, personalización independiente del color de los accesos directos, así como numerosas mejoras y correcciones.

Passwork BlogEirik Salmi

The new version adds a resizable note field, enhanced event descriptions in Action log, and several other improvements and bug fixes.

Improvements

• Added the capability to resize the Note field when creating and editing entries
• Changed the behavior of the Export data menu item: it now becomes inactive when there is no data to export
• Improved the description of user email confirmation events in the Activity log

Bug fixes

• Fixed an issue where passwords with special characters could be processed incorrectly when saving an LDAP server
• Fixed an issue where search results with an empty search query and no filters applied displayed incorrectly for a specified vault
• Fixed an issue where after exiting search in a selected vault, only folders were displayed while passwords and shortcuts did not load until re-entering the vault
• Fixed an issue where not all passwords were being exported during the data export process
• Fixed an issue where resetting a user's master password incorrectly required permission to manage master password complexity policies
• Fixed an issue where the sign-up form accessed via link returned a 401 error when self-registration was disabled
• Fixed an issue that prevented adding a WebAuthn credential with an empty transports field

What is password management?

Learn what password management is, why it matters, and how it protects your accounts with encryption, secure storage, and access control.

Passwork BlogEirik Salmi

Case study: City of Melle and Passwork

Passwork has improved the internal security at the City of Melle by creating a reliable system for password management.

Passwork BlogAna Moore

Passwork 7.3: Biometric authentication and passkeys

In the new version, we’ve added support for passkeys and biometrics, an email address verification mechanism for users, the option to specify multiple URLs for a single password, independent shortcut color customization, as well as numerous improvements and fixes.

Passwork BlogEirik Salmi

Ein Unternehmens-Passwortmanager ist eine zentrale Sicherheitskontrolle, die organisatorische Anmeldedaten (Benutzerpasswörter, Service-Account-Secrets, API-Schlüssel und Zertifikate) in einem strukturierten Tresor mit rollenbasierten Berechtigungen, Audit-Logging und Identity-Provider-Integration speichert, verschlüsselt und den Zugriff darauf steuert.

Das Problem bei den meisten Kaufratgebern ist, dass sie die falsche Frage beantworten. „Welches Tool sollte ich kaufen?" hängt vollständig von Ihrer Infrastruktur, Ihren Compliance-Anforderungen und Ihrem Team ab. Die bessere Frage lautet: „Was sollte ich bewerten und wie?" Genau das beantwortet dieser Leitfaden.

Wichtigste Erkenntnisse

• Die Verschlüsselungsarchitektur ist der erste Filter. Nicht alle AES-256-Implementierungen sind gleich. Entscheidend ist, wo Schlüssel generiert werden und ob der Anbieter jemals auf Ihre Klartextdaten zugreifen kann.
• RBAC-Granularität trennt echte Zugriffskontrolle von Checkbox-Compliance. Ein einfaches Admin/Mitglied-Modell ist technisch gesehen RBAC. Least Privilege ist jedoch das, was NIST SP 800-207 tatsächlich für Zero-Trust-Architektur verlangt.
• Verzeichnisintegration ist bei Skalierung unverzichtbar. Ohne AD/LDAP-Synchronisation hängen Benutzerbereitstellung und -deprovisionierung von manuellen Schritten ab. Ab 50+ Benutzern ist diese Lücke der Punkt, an dem unvollständiges Offboarding zu Credential-Leaks führt.
• Compliance-Zertifizierungen mappen sich nicht von selbst. ISO 27001 bestätigt, dass der Anbieter ein dokumentiertes Sicherheitsmanagementsystem hat. Ob seine Architektur Ihre DSGVO-Artikel-32-, NIS2-Artikel-21- oder SOC-2-CC6.1-Anforderungen erfüllt, ist eine Mapping-Übung, die Sie vor der Vorauswahl durchführen müssen.
• Das Deployment-Modell ist eine Compliance- und Betriebsentscheidung, keine Sicherheitsentscheidung. Zero-Knowledge-Architektur bietet dieselbe kryptografische Isolation On-Premise wie in der Cloud. Entscheiden Sie basierend auf Datenresidenz-Anforderungen und der Kapazität Ihres Teams, Patching, Backup und Failover selbst zu verantworten.
• Ein Tresor ohne Audit-Logs ist eine Blackbox. Credential-Lesezugriffe, Berechtigungsänderungen, fehlgeschlagene Logins und Massenexporte müssen alle manipulationssichere, zeitgestempelte Einträge erzeugen — und diese Einträge müssen in Ihr SIEM fließen.
• Offboarding ist der Punkt, an dem die Credential-Hygiene zusammenbricht. Die Vier-Schritte-Checkliste (identifizieren, rotieren, widerrufen, auditieren) funktioniert nur, wenn das Tool Ihnen ein vollständiges Zugriffsbild liefert, bevor Sie das Konto schließen.
• Der Preis pro Benutzer ist nicht die TCO. SIEM-Konnektoren und erweitertes Reporting werden häufig als Premium-Add-ons verkauft. Wenden Sie die vollständige TCO-Formel auf jeden vorausgewählten Anbieter an, bevor Sie Listenpreise vergleichen.
• Secrets Management und Passwortmanagement sind zwei verschiedene Zugriffsmuster, die in einem Tool vereint sein sollten. Menschliche Anmeldedaten werden interaktiv abgerufen; Maschinen-Secrets werden programmatisch über API oder CLI abgerufen. Überprüfen Sie beides, bevor Sie davon ausgehen, dass eine einzelne Lizenz Ihre DevOps-Workflows abdeckt.
• UX ist eine Sicherheitseigenschaft. Der kryptografisch sicherste Passwortmanager versagt, wenn Ihr Team ihn umgeht. Adoption ist die Metrik, die bestimmt, ob das Tool Ihr Risiko reduziert oder nur Ihr Budget.

1. Verschlüsselungsarchitektur und Zero-Knowledge-Modell

Nicht alle AES-256-Implementierungen sind gleich. Der Verschlüsselungsstandard ist weniger wichtig als die Frage, wo Schlüssel generiert werden, wo sie gespeichert sind und ob der Anbieter jemals auf Ihre Klartextdaten zugreifen kann. Eine echte Zero-Knowledge-Architektur bedeutet, dass Verschlüsselung und Entschlüsselung clientseitig erfolgen. Der Server speichert nur Ciphertext. Der Anbieter hat keinen mathematischen Weg zu Ihren Anmeldedaten — selbst bei einem Gerichtsbeschluss oder einer Kompromittierung seiner eigenen Infrastruktur.

Der SpyCloud 2025 Annual Identity Exposure Report fand 159.313 gestohlene Anmeldedatensätze speziell von Passwortmanager-Nutzern, die aus dem kriminellen Untergrund wiedergewonnen wurden. Tresor-Anbieter sind Ziele. Architektur ist die letzte Verteidigungslinie, wenn der Perimeter versagt.

Passwork implementiert dieses Modell direkt: Verschlüsselung und Entschlüsselung erfolgen clientseitig mit AES-256, der Server speichert nur verschlüsselte Blobs, und der Quellcode ist für unabhängige Audits verfügbar. Wenn Sie die Implementierung verifizieren möchten, anstatt einem Marketing-Versprechen zu vertrauen, ist das der Weg.

Was Sie während eines POC überprüfen sollten:

1. Fordern Sie das Sicherheits-Whitepaper des Anbieters an und suchen Sie die Key-Derivation-Spezifikation. Falls sie fehlt, fragen Sie direkt: „Welcher Algorithmus leitet den Tresor-Verschlüsselungsschlüssel vom Masterpasswort ab?"
2. Erfassen Sie den Netzwerkverkehr während einer Login-Session. Sie sollten nur verschlüsselte Payloads sehen (keine Klartext-Anmeldedaten im Transit).
3. Fragen Sie: „Wenn Ihre Infrastruktur morgen vollständig kompromittiert würde, was würde ein Angreifer aus unserem Tresor erhalten?" Die Antwort sollte lauten: verschlüsselte Blobs, die nur mit dem Schlüssel des Benutzers entschlüsselbar sind.

2. Granularität der Zugriffskontrolle

Rollenbasierte Zugriffskontrolle (RBAC) ist ein Zugriffskontrollmodell, bei dem Berechtigungen Rollen statt einzelnen Benutzern zugewiesen werden, und Benutzer Berechtigungen erhalten, indem sie diesen Rollen zugewiesen werden. In einem Credential-Store bedeutet das, dass Zugriffsrechte auf Rollenebene definiert werden (DevOps-Team, Finanzen, IT-Admin) und Berechtigungen automatisch folgen, wenn ein Benutzer einer Rolle beitritt oder sie verlässt.

Jeder Unternehmens-Passwortmanager behauptet, RBAC zu unterstützen. Die eigentliche Frage ist, wie granular das Berechtigungsmodell in der Praxis wird. Ein einfaches „Admin / Mitglied"-Binär ist technisch gesehen RBAC. Es ist jedoch nicht Least Privilege — ein Prinzip, das NIST SP 800-207 als grundlegend für Zero-Trust-Architektur identifiziert: Jedes Subjekt sollte mit den minimalen Zugriffsrechten arbeiten, die zur Erfüllung seiner Aufgabe erforderlich sind, und nicht mehr.

Ein Entwickler, der Lesezugriff auf einen bestimmten Satz von API-Schlüsseln benötigt, sollte nicht automatisch Schreibzugriff auf Infrastruktur-Anmeldedaten erben, nur weil er einen Team-Tresor mit einem Sysadmin teilt.

Ein ausgereiftes Zugriffskontrollmodell sollte mindestens unterstützen:

• Berechtigungen pro Tresor und pro Ordner (Lesen, Schreiben, Admin), unabhängig voneinander
• Gruppenbasierten Zugriff, damit das Onboarding eines neuen Teammitglieds automatisch die richtigen Berechtigungen erbt
• Temporäre Zugriffsgenehmigungen mit automatischem Ablauf
• Funktionstrennung — die Person, die eine Anmeldedatei erstellt, ist nicht unbedingt die Person, die sie teilen kann

Was Sie während eines POC überprüfen sollten:

1. Erstellen Sie einen Benutzer mit Nur-Lese-Zugriff auf Ordner A und Schreibzugriff auf Ordner B. Bestätigen Sie, dass die Berechtigungen unabhängig voneinander gelten.
2. Testen Sie das Offboarding: Entfernen Sie einen Benutzer und überprüfen Sie, ob sein Zugriff auf alle geteilten Tresore sofort widerrufen wird.
3. Erstellen Sie eine Auditor-Rolle und bestätigen Sie, dass das Konto Aktivitätsprotokolle und das Sicherheits-Dashboard einsehen kann, aber keine Anmeldedaten ändern, kopieren oder teilen kann.

Passwork implementiert dies durch zwei parallele Zugriffskontrollebenen:

• Gruppen steuern den Datenzugriff — sie bestimmen, welche Tresore, Ordner und Secrets ein Benutzer sehen und mit welchem Berechtigungslevel (Lesen, Schreiben, Admin) er interagieren kann.
• Rollen steuern die Systemadministration — sie kontrollieren, wer Passwork selbst konfigurieren, Benutzer verwalten und Einstellungen anpassen kann.

Die beiden Ebenen sind unabhängig voneinander, was bedeutet, dass Sie einem Benutzer breiten Datenzugriff ohne jegliche administrative Rechte geben können, oder einer Person eine eng begrenzte Admin-Rolle gewähren können, die überhaupt keinen Zugriff auf Anmeldedaten hat.

In der Praxis kann diese Trennung so aussehen:

3. Integration der Identitätsinfrastruktur

Ein Unternehmens-Passwortmanager muss sich in Ihren bestehenden Identity Provider (IdP) integrieren und mit Ihrem Verzeichnisdienst für automatisiertes User-Lifecycle-Management synchronisieren.

SSO übernimmt die Authentifizierung. Verzeichnisintegration übernimmt die Bereitstellung und Deprovisionierung. Ohne sie muss, wenn ein Mitarbeiter das Unternehmen verlässt, jemand manuell seinen Tresor-Zugriff widerrufen. In einer Organisation mit 500 Arbeitsplätzen ist diese Lücke der Punkt, an dem Credential-Leaks entstehen (durch unvollständiges Offboarding).

LDAP- und Active-Directory-Integration ist wichtig für Organisationen, die noch nicht vollständig auf Cloud-Identität umgestellt haben. Gruppen-zu-Tresor-Mapping ermöglicht es Ihnen, Ihre bestehende AD-Gruppenstruktur direkt in Tresor-Berechtigungen zu spiegeln, was die manuelle Arbeit eliminiert, diese Struktur innerhalb des Passwortmanagers zu replizieren.

Was Sie während eines POC überprüfen sollten:

1. Testen Sie SAML SSO-Login End-to-End mit Ihrem IdP. Überprüfen Sie, dass Session-Timeout- und Re-Authentifizierungsrichtlinien vom IdP respektiert werden.
2. Mappen Sie eine AD/LDAP-Gruppe auf einen Tresor. Fügen Sie einen Testbenutzer zu dieser Gruppe im Verzeichnis hinzu. Bestätigen Sie, dass der Tresor-Zugriff innerhalb des erwarteten Synchronisationsfensters erscheint.
3. Entfernen Sie den Testbenutzer aus der Verzeichnisgruppe. Bestätigen Sie, dass der Tresor-Zugriff bei der nächsten Synchronisation ohne manuellen Eingriff widerrufen wird.

Passwork bietet native LDAP- und Active-Directory-Integration sowohl bei der Standardlizenz als auch bei der Erweiterten Lizenz. SAML SSO und LDAP-Gruppen-Mapping ermöglichen eine automatisierte Synchronisation von Verzeichnisgruppen direkt zu Tresor-Berechtigungen.

4. Compliance- und Zertifizierungsstatus

ISO 27001 kann bestätigen, dass der Anbieter ein dokumentiertes Informationssicherheits-Managementsystem betreibt, das eine unabhängige Prüfung bestanden hat. Was es nicht bestätigt, ist, ob seine Architektur Ihre spezifischen regulatorischen Anforderungen erfüllt — dieses Mapping liegt in Ihrer Verantwortung.

Mappen Sie Ihre Anforderungen auf Kontrollen, bevor Sie Anbieter bewerten. Die folgende Tabelle zeigt die häufigsten Mappings:

DSGVO Artikel 32 verlangt „geeignete technische und organisatorische Maßnahmen" zum Schutz personenbezogener Daten. Für das Credential-Management bedeutet das Verschlüsselung im Ruhezustand, Zugriffsprotokollierung und einen dokumentierten Prozess zum Widerruf des Zugriffs, wenn ein Mitarbeiter das Unternehmen verlässt.

NIS2 Artikel 21 erweitert ähnliche Pflichten auf einen breiteren Satz von Sektoren als die Vorgängerrichtlinie. Organisationen in den Bereichen Energie, Transport, Gesundheit und digitale Infrastruktur stehen nun expliziten Anforderungen an Zugriffskontrollrichtlinien und Vorfallprotokollierung gegenüber — beides adressiert ein Passwortmanager direkt.

Was Sie den Anbieter fragen sollten:

• Können Sie Ihr ISO-27001-Zertifikat und die Geltungsbereichserklärung bereitstellen?
• Wie unterstützt Ihre Architektur DSGVO Artikel 32 — speziell Verschlüsselung im Ruhezustand und Zugriffsprotokollierung?
• Unterstützt Ihr Produkt die Anforderungen von NIS2 Artikel 21 bezüglich Zugriffskontrolle und Audit-Logging?

Passwork ist ISO 27001 zertifiziert, DSGVO- und NIS2-konform und hat Penetrationstests durch das Bug-Bounty-Programm von HackerOne durchlaufen. Für europäische Organisationen deckt diese Kombination den Kern dessen ab, was ein Sicherheits- oder Compliance-Team während der Anbieterbewertung fragen wird.

5. Deployment-Modell: On-Premise vs. Cloud vs. Hybrid

Die Annahme, dass On-Premise von Natur aus sicherer ist als Cloud, hält einer Überprüfung nicht stand. Eine Zero-Knowledge-Cloud-Architektur bietet Ihnen dieselbe kryptografische Isolation wie Self-Hosting — der Anbieter kann nicht auf Ihren Klartext zugreifen, unabhängig davon, wo der Server steht. Was sich ändert, ist das Betriebsmodell, die Compliance-Dokumentation und wer das Infrastrukturrisiko trägt.

Self-Hosting ist für eine Reihe von Szenarien sinnvoll:

• Air-Gapped-Umgebungen
• Strenge Datenresidenz-Anforderungen
• Regulatorische Rahmenwerke, die vollständige Kontrolle darüber verlangen, wo Daten physisch gespeichert werden
• Organisationen, deren interne Sicherheitsrichtlinien einfach verlangen, dass Anmeldedaten niemals ihre eigene Infrastruktur verlassen

Für europäische Organisationen hält ein souveränes EU-Cloud-Deployment die Daten innerhalb der EU-Gerichtsbarkeit auf einer Infrastruktur, die nicht der rechtlichen Reichweite außerhalb der EU unterliegt. Es ist ein zunehmend verbreiteter Mittelweg zwischen vollständigem Self-Hosting und Standard-SaaS.

Passwork kann On-Premise innerhalb Ihrer eigenen Infrastruktur, in der Private Cloud Ihrer Organisation oder in einer souveränen EU-Cloud-Umgebung bereitgestellt werden. Die Cloud-Option ist für Teams verfügbar, die verwaltete Infrastruktur bevorzugen. Beide Modelle laufen auf derselben Zero-Knowledge-AES-256-Architektur.

6. Audit-Logging und SIEM-Integration

Ein Passwort-Tresor ohne Audit-Logs ist eine Blackbox. Sie können keinen Vorfall untersuchen, keine Compliance nachweisen oder anomale Zugriffsmuster erkennen, ohne einen vollständigen Ereignisbericht. Sichtbarkeit ist das, was einen Passwort-Tresor von einem Passwort-Governance-Tool unterscheidet.

Laut dem SpyCloud Annual Identity Exposure Report meldeten 91 % der Organisationen im vergangenen Jahr einen identitätsbezogenen Vorfall. Ohne Protokolle können Sie die erste Frage in jeder Incident Response nicht beantworten: „Worauf wurde zugegriffen, von wem und wann?"

Die mindestens protokollierbaren Ereignisse für den Unternehmenseinsatz:

• Tresor-Zugriff (Lesen, Schreiben, In-Zwischenablage-Kopieren)
• Berechtigungsänderungen (Erteilungen, Widerrufe, Rollenmodifikationen)
• Fehlgeschlagene Authentifizierungsversuche und Sperrungen
• Ereignisse zur Benutzerbereitstellung und -deprovisionierung
• Export- und Massen-Download-Vorgänge
• Administrative Konfigurationsänderungen

SIEM-Integration ist wichtig, wenn Sie ein SOC haben. Protokolle, die nur in der eigenen UI des Passwortmanagers leben, sind nicht in großem Maßstab verwertbar. Achten Sie auf syslog-Export, Webhook-Unterstützung oder native Konnektoren zu Splunk, Microsoft Sentinel oder Ihrem SIEM Ihrer Wahl.

Was Sie während eines POC überprüfen sollten:

1. Führen Sie einen Credential-Lesezugriff, eine Berechtigungsänderung und einen fehlgeschlagenen Login durch. Bestätigen Sie, dass alle drei unterschiedliche, zeitgestempelte Protokolleinträge erzeugen.
2. Exportieren Sie Protokolle in Ihre SIEM-Testumgebung. Überprüfen Sie, ob das Format korrekt geparst wird und Ereignisse abfragbar sind.
3. Prüfen Sie, ob Protokolle manipulationssicher sind — kann ein Admin seinen eigenen Audit-Trail löschen?

Passwork protokolliert jede Aktion im gesamten System: Credential-Lesezugriffe, Berechtigungsänderungen, fehlgeschlagene Logins, Exporte und administrative Ereignisse. Das Audit-Log unterstützt granulare Filterung nach Benutzer, Tresor, Ereignistyp und Zeitbereich.

Benachrichtigungsregeln sind pro Ereigniskategorie konfigurierbar, sodass Ihr Sicherheitsteam bei den Aktionen, die wichtig sind, benachrichtigt wird, ohne Rauschen durch Routineoperationen. Für SOC-Teams integriert sich Passwork direkt mit SIEM-Plattformen, sodass Ereignisdaten ohne manuellen Export in Ihre bestehenden Detection-and-Response-Workflows fließen.

7. Offboarding und Credential-Hygiene

Jede Organisation hat ein Credential-Schulden-Problem. Es sammelt sich leise an: Geteilte Konten, die die Menschen überdauern, die sie erstellt haben, Service-Anmeldedaten, die an eine persönliche E-Mail gebunden sind, API-Schlüssel, die 2022 „temporär" waren. Ein Passwortmanager muss diese Schulden aufdecken.

Offboarding ist der Punkt, an dem Credential-Hygiene entweder hält oder zusammenbricht. Wenn ein Mitarbeiter das Unternehmen verlässt, ist die Frage, auf welche geteilten Anmeldedaten er Zugriff hatte, welche er möglicherweise lokal kopiert hat und welche Service-Accounts unter seinem Namen provisioniert wurden.

Die Offboarding-Credential-Checkliste hat vier Schritte:

1. Identifizieren Sie alle Tresore und Ordner, auf die der ausscheidende Benutzer Zugriff hatte — einschließlich Nur-Lese-Zugriff, der routinemäßig übersehen wird.
2. Rotieren Sie alle geteilten Anmeldedaten, die er lesen konnte. Lesezugriff bedeutet, dass die Anmeldedaten sichtbar waren — gehen Sie davon aus, dass sie notiert wurden.
3. Widerrufen Sie persönliche API-Tokens und Service-Account-Anmeldedaten, die an diese Person ausgegeben wurden.
4. Auditieren Sie das 30-Tage-Aktivitätsprotokoll für diesen Benutzer, bevor Sie den Zugriff widerrufen. Massenexporte oder ungewöhnliche Lesemuster in den letzten Wochen sind es wert, untersucht zu werden, bevor Sie das Konto schließen.

Verzeichnisintegration hilft hier erheblich. Wenn ein Benutzer aus einer AD- oder LDAP-Gruppe entfernt wird, wird der mit dieser Gruppe verbundene Tresor-Zugriff bei der nächsten Synchronisation widerrufen. Die Lücke schließt sich von Tagen auf Minuten. Ohne Verzeichnisintegration hängt das Offboarding davon ab, dass ein Mensch daran denkt, den Zugriff in einem separaten System zu widerrufen.

Was Sie während eines POC überprüfen sollten:

1. Deprovisionieren Sie einen Testbenutzer aus Ihrem Verzeichnis. Bestätigen Sie, dass der Tresor-Zugriff innerhalb des erwarteten Synchronisationsfensters widerrufen wird.
2. Rufen Sie das Aktivitätsprotokoll des ausscheidenden Benutzers für die letzten 30 Tage ab. Überprüfen Sie, ob das Protokoll vollständig, nach Ereignistyp filterbar und für den Offboarding-Bericht exportierbar ist.
3. Prüfen Sie, ob geteilte Anmeldedaten, auf die der Benutzer Lesezugriff hatte, irgendwo markiert werden — entweder vom System oder durch einen manuellen Audit-Workflow.

Das Audit-Log von Passwork gibt Ihnen einen vollständigen Aktivitätsverlauf pro Benutzer, sodass die Offboarding-Überprüfung eine Abfrage ist, keine manuelle Rekonstruktion. Die Zugriffswiderrufung durch Entfernung aus der AD/LDAP-Gruppe erfolgt bei der Synchronisation automatisch.

Das Sicherheits-Dashboard zeigt alle aktiven Zugriffe, die an einen ausscheidenden Mitarbeiter gebunden sind — Tresore, Ordner und geteilte Anmeldedaten werden in einer Ansicht hervorgehoben, sodass nichts übersehen wird, bevor das Konto geschlossen wird.

8. Gesamtbetriebskosten

Der Preis pro Benutzer ist der Startpunkt. Bevor Sie unterschreiben, schauen Sie genau hin, was jeder Anbieter tatsächlich in seinem Basisplan enthält, im Vergleich zu dem, was später auf der Rechnung hinzugefügt wird.

Die Fragen, die es wert sind, jedem Anbieter auf Ihrer Shortlist gestellt zu werden:

• Welche Funktionen sind in der Basisstufe enthalten, und was erfordert ein Upgrade?
• Ist SCIM-Provisioning enthalten, oder erfordert es einen Enterprise-Plan?
• Was ist das Support-SLA, und welche Stufe schaltet es frei?
• Gibt es Limits pro Tresor oder pro Secret, die Überschreitungsgebühren auslösen?

Ein nützliches Framework zum Vergleich der Gesamtausgaben über Anbieter hinweg:

TCO = (Preis pro Benutzer × Benutzeranzahl × 12)
    + Implementierungskosten (Engineering-Zeit + Anbieter-Onboarding)
    + Schulungskosten (Stunden × Stundensatz × Benutzeranzahl)
    + Premium-Add-ons (SIEM-Konnektor, erweitertes Reporting)
    + Jährliche Erneuerungs- oder Abonnementgebühr

Wenden Sie dies auf jeden vorausgewählten Anbieter an, bevor Sie Listenpreise vergleichen. Die Lücke zwischen beworbenen und tatsächlichen jährlichen Kosten ist oft der Punkt, an dem sich Entscheidungen ändern.

Die Preisgestaltung von Passwork deckt sowohl einen Passwortmanager als auch einen Secrets Manager unter einer einzigen Lizenz ab — ein Tool für menschliche Anmeldedaten und Maschinenidentitäten, zu einem Preis.

Laut der TCO-Forschung von Passwork berichten Organisationen von Gesamtbetriebskosten, die über einen Drei-Jahres-Horizont 30 % niedriger sind im Vergleich zu vergleichbaren Enterprise-Credential-Management-Tools, getrieben durch transparente Preise pro Benutzer und kein Feature-Gating bei Kernfunktionalität.

9. Secrets Management und DevOps-Bereitschaft

Menschliche Anmeldedaten sind ein Problem. Service-Accounts, API-Schlüssel, CI/CD-Tokens, SSH-Schlüssel und Datenbankverbindungsstrings sind ein separates Problem. Die beiden Kategorien erfordern unterschiedliche Zugriffsmuster: Menschen greifen interaktiv über eine Browser-Erweiterung oder mobile App auf Anmeldedaten zu. Maschinen greifen programmatisch über eine API oder CLI zur Laufzeit auf Secrets zu.

Wenn Ihre Organisation CI/CD-Pipelines, Kubernetes-Workloads oder automatisierte Deployment-Prozesse ausführt, sind hartcodierte Secrets in Umgebungsvariablen oder Konfigurationsdateien ein echtes Risiko. Die Frage, die Sie einem Anbieter stellen sollten, ist nicht „Unterstützen Sie Secrets Management?" — die meisten werden ja sagen. Die Frage ist: „Kann mein GitHub-Actions-Workflow eine Datenbank-Anmeldedatei zur Deployment-Zeit abrufen, ohne dass sie jemals eine Konfigurationsdatei berührt?"

Das erfordert eine REST API mit fein abgestuften Zugriffstokens, ein CLI-Utility für Terminal-basierten Abruf und idealerweise ein SDK für programmatische Integration. Überprüfen Sie auch, ob das Tool Secret-Rotation unterstützt — die Aktualisierung einer Anmeldedatei im Tresor und die Weitergabe der Änderung an nachgelagerte Systeme ohne manuellen Eingriff.

Was Sie während eines POC überprüfen sollten:

1. Rufen Sie ein Test-Secret über die CLI ab. Bestätigen Sie, dass die Anmeldedatei niemals auf die Festplatte oder in die Shell-History geschrieben wird.
2. Konfigurieren Sie eine GitHub-Actions- oder GitLab-CI-Pipeline, um ein Secret zur Laufzeit aus dem Tresor abzurufen. Überprüfen Sie, dass das Secret nicht in Build-Logs erscheint.
3. Testen Sie Secret-Rotation: Aktualisieren Sie eine Anmeldedatei im Tresor und bestätigen Sie, dass nachgelagerte Systeme die Änderung ohne manuellen Eingriff übernehmen.
4. Überprüfen Sie die Granularität der Zugriffstokens: Können Sie ein Token auf einen einzelnen Tresor oder Ordner beschränken, anstatt der Pipeline Zugriff auf den gesamten Credential-Store zu gewähren?

Passwork deckt beide Seiten ab, ohne ein separates Tool oder eine separate Lizenz. Die REST API deckt jede Aktion ab, die in der UI verfügbar ist, es gibt ein CLI-Utility für Terminal-basierten Abruf und ein Python-SDK für programmatische Integration. Zugriffstokens sind auf Tresor-Ebene beschränkt, sodass eine Pipeline Zugriff auf genau das erhält, was sie braucht, und nichts anderes. Für technische Implementierungsdetails siehe die technischen Leitfäden von Passwork.

10. Benutzererfahrung und Adoptionsdynamik

Der kryptografisch sicherste Passwortmanager ist wertlos, wenn Ihr Team ihn umgeht. UX ist eine Sicherheitseigenschaft. Wenn die Browser-Erweiterung fünf Sekunden braucht, um ein Anmeldeformular automatisch auszufüllen, oder das Kopieren eines Passworts aus der Web-UI die Navigation durch vier Klicks und einen Bestätigungsdialog erfordert, werden die Leute das Tool innerhalb eines Monats nicht mehr nutzen.

Die Nutzung von Passwortmanagern stieg von 20 % im Jahr 2019 auf 32 % im Jahr 2023 (Pew Research Center). Das ist Wachstum, aber es bedeutet auch, dass 68 % der Benutzer immer noch keinen nutzen.

Von 19,03 Milliarden geleakten Passwörtern, die von Cybernews (2025) analysiert wurden, waren 94 % wiederverwendet oder dupliziert. Das Verhalten, das diese Zahl erzeugt, ist der Weg des geringsten Widerstands. Ein Passwortmanager gewinnt Adoption, indem er weniger Reibung verursacht als die Alternativen, nicht indem er abstrakt sicherer ist.

Adoptionsrisikofaktoren, die vor dem Kauf zu bewerten sind:

• Browser-Erweiterungskompatibilität mit Ihren primären Browsern und internen Webanwendungen
• Mobile-App-Qualität (iOS und Android) für Teams, die unterwegs auf Anmeldedaten zugreifen
• Autofill-Zuverlässigkeit bei nicht standardmäßigen Anmeldeformularen
• Onboarding-Zeit für nicht-technische Benutzer (Ziel: unter 30 Minuten bis zur ersten produktiven Nutzung)
• Massenimport-Fähigkeit aus bestehenden Quellen (CSV, Browser-Export, andere Tresore)

Wie Sie einen aussagekräftigen UX-Piloten gestalten:

Wählen Sie 10–15 Benutzer aus drei Gruppen aus: einen Power-User (Sysadmin), einen typischen Büroanwender und einen Skeptiker, der sich aktiv gegen neue Tools wehrt. Führen Sie den Piloten 3–4 Wochen lang durch. Messen Sie: Wie viele Anmeldedaten hat jeder Benutzer gespeichert? Wie oft haben sie den Tresor umgangen und stattdessen einen Browser oder eine Notizen-App verwendet? Was hat nicht funktioniert? Das Feedback des Skeptikers ist das wertvollste Signal, das Sie vor einem vollständigen Rollout erhalten werden.

Das Framework in der Praxis anwenden

Das 10-Faktoren-Framework zur Auswahl eines Unternehmens-Passwortmanagers ist keine Checkliste, die man an einem Nachmittag durcharbeitet. Jedes Kriterium hat Abhängigkeiten: Ihre Compliance-Anforderungen bestimmen, welches Deployment-Modell machbar ist. Ihre Identitätsinfrastruktur bestimmt, welche Integrationen unverzichtbar sind. Die technische Kapazität Ihres Teams bestimmt, ob Self-Hosting realistisch oder nur ein Wunsch ist.

Beginnen Sie mit den Kriterien 4 (Compliance), 3 (Identitätsintegration) und 5 (Deployment-Modell) — diese drei zusammen werden die meisten Anbieter von Ihrer Shortlist eliminieren, bevor Sie Zeit für POC-Tests aufwenden. Verwenden Sie dann die Kriterien 1 (Verschlüsselung), 6 (Audit-Logging) und 7 (Offboarding), um die Finalisten zu validieren. Die Kriterien 8 (TCO), 9 (Secrets Management) und 10 (UX) schließen die Entscheidung ab.

Der richtige Unternehmens-Passwortmanager ist derjenige, der zu Ihrer Sicherheitsarchitektur passt, Ihre Compliance-Anforderungen erfüllt, sich in Ihre bestehende Identitätsinfrastruktur integriert und jeden Tag von Ihrem Team genutzt wird.

Häufig gestellte Fragen

Schatten-IT 2026: Risiken, Erkennung und Management

Schatten-IT umfasst 2026 KI-Agenten, verwaiste SaaS-Konten und unkontrollierte LLM-Sitzungen — Risiken, die die meisten Organisationen nicht sehen. Erfahren Sie, was sich geändert hat, welche Kosten entstehen und wie ein 6-Schritte-Framework zur Governance diese Lücken schließt.

Passwork BlogAlex Muntyan

Passwortverwaltung für Teams: Die Lösung für jedes KMU

Passwörter in Slack und Browsern zu speichern, gefährdet Ihr Unternehmen. Erfahren Sie, warum persönliche Tools für Teams scheitern, wie Sie ausscheidende Mitarbeiter mit einem Klick sicher offboarden und warum die neuesten NIST-Richtlinien gegen erzwungene Passwortrotation sprechen.

Passwork BlogAlex Muntyan

Unsichere Passwortfreigabe: Risiken 2026 und sichere Lösungen

Jedes Mal, wenn Anmeldeinformationen durch Slack oder E-Mail geteilt werden, verlieren Sie Rechenschaftspflicht, Audit-Spur und Compliance. Dieser Leitfaden behandelt die Risiken unsicherer Passwortfreigabe 2026 und wie Sie zu vault-vermitteltem Zugriff migrieren.

Passwork BlogAlex Muntyan

Un gestor de contraseñas corporativo es un control de seguridad centralizado que almacena, cifra y gobierna el acceso a las credenciales organizacionales (contraseñas de usuario, secretos de cuentas de servicio, API keys y certificados) dentro de una bóveda estructurada con permisos basados en roles, registro de auditoría e integración con proveedores de identidad.

El problema con la mayoría de las guías de compra es que responden a la pregunta equivocada. «¿Qué herramienta debería comprar?» depende completamente de su infraestructura, sus obligaciones de cumplimiento y su equipo. La mejor pregunta es: «¿Qué debería evaluar y cómo?» Eso es lo que responde este marco de trabajo.

Conclusiones clave

• La arquitectura de cifrado es el primer filtro. No todas las implementaciones de AES-256 son iguales. Lo que importa es dónde se generan las claves y si el proveedor puede acceder alguna vez a su texto plano.
• La granularidad de RBAC separa el control de acceso real del cumplimiento de casillas. Un modelo plano de admin/miembro es técnicamente RBAC. El privilegio mínimo es lo que NIST SP 800-207 realmente requiere para una arquitectura de confianza cero.
• La integración de directorio es innegociable a escala. Sin sincronización con AD/LDAP, el aprovisionamiento y desaprovisionamiento de usuarios depende de pasos manuales. Con más de 50 usuarios, esa brecha es donde la baja incompleta se convierte en fugas de credenciales.
• Las certificaciones de cumplimiento no se mapean solas. ISO 27001 confirma que el proveedor tiene un sistema de gestión de seguridad documentado. Si su arquitectura satisface sus obligaciones específicas de GDPR Artículo 32, NIS2 Artículo 21 o SOC 2 CC6.1 es un ejercicio de mapeo que debe hacer antes de preseleccionar.
• El modelo de despliegue es una decisión de cumplimiento y operativa, no de seguridad. La arquitectura de conocimiento cero proporciona el mismo aislamiento criptográfico en las instalaciones y en la nube. Elija en función de los requisitos de residencia de datos y la capacidad de su equipo para gestionar parches, copias de seguridad y conmutación por error.
• Una bóveda sin registros de auditoría es una caja negra. Las lecturas de credenciales, los cambios de permisos, los inicios de sesión fallidos y las exportaciones masivas deben generar registros con marca de tiempo a prueba de manipulaciones, y esos registros deben fluir hacia su SIEM.
• La baja es donde colapsa la higiene de credenciales. La lista de verificación de cuatro pasos (identificar, rotar, revocar, auditar) solo funciona si la herramienta le proporciona una imagen de acceso completa antes de cerrar la cuenta.
• El precio por puesto no es el TCO. Los conectores SIEM y los informes avanzados se venden frecuentemente como complementos premium. Aplique la fórmula completa de TCO a cada proveedor preseleccionado antes de comparar precios de etiqueta.
• La gestión de secretos y la gestión de contraseñas son dos patrones de acceso diferentes que deberían vivir en una sola herramienta. Las credenciales humanas se acceden de forma interactiva; los secretos de máquinas se recuperan programáticamente a través de API o CLI. Verifique ambos antes de asumir que una sola licencia cubre sus flujos de trabajo de DevOps.
• La experiencia de usuario es una propiedad de seguridad. El gestor de contraseñas más criptográficamente sólido falla si su equipo lo evita. La adopción es la métrica que determina si la herramienta reduce su riesgo o solo su presupuesto.

1. Arquitectura de cifrado y modelo de conocimiento cero

No todas las implementaciones de AES-256 son iguales. El estándar de cifrado importa menos que dónde se generan las claves, dónde residen y si el proveedor puede acceder alguna vez a su texto plano. Una verdadera arquitectura de conocimiento cero significa que el cifrado y descifrado ocurren del lado del cliente. El servidor almacena solo texto cifrado. El proveedor no tiene ningún camino matemático hacia sus credenciales, incluso bajo una orden judicial o una brecha de su propia infraestructura.

El Informe Anual de Exposición de Identidad 2025 de SpyCloud encontró 159.313 registros de credenciales robadas específicamente de usuarios de gestores de contraseñas recapturados del submundo criminal. Los proveedores de bóvedas son objetivos. La arquitectura es la última línea de defensa cuando el perímetro falla.

Passwork implementa este modelo directamente: el cifrado y descifrado ocurren del lado del cliente usando AES-256, el servidor almacena solo blobs cifrados, y el código fuente está disponible para auditoría independiente. Si desea verificar la implementación en lugar de confiar en una afirmación de marketing, ese es el camino.

Qué verificar durante una POC:

1. Solicite el documento técnico de seguridad del proveedor y localice la especificación de derivación de claves. Si está ausente, pregunte directamente: «¿Qué algoritmo deriva la clave de cifrado de la bóveda de la contraseña maestra?»
2. Capture el tráfico de red durante una sesión de inicio de sesión. Debería ver solo cargas cifradas (sin credenciales en texto plano en tránsito).
3. Pregunte: «Si su infraestructura fuera completamente comprometida mañana, ¿qué obtendría un atacante de nuestra bóveda?» La respuesta debería ser: blobs cifrados, descifrables solo con la clave del usuario.

2. Granularidad del control de acceso

El control de acceso basado en roles (RBAC) es un modelo de control de acceso en el que los permisos se asignan a roles en lugar de a usuarios individuales, y los usuarios adquieren permisos al ser asignados a esos roles. En un almacén de credenciales, eso significa que los derechos de acceso se definen a nivel de rol (equipo de DevOps, finanzas, admin de TI) y los permisos siguen automáticamente cuando un usuario se une o abandona un rol.

Todos los gestores de contraseñas empresariales afirman soportar RBAC. La verdadera pregunta es qué tan granular es el modelo de permisos en la práctica. Un binario plano de «admin / miembro» es técnicamente RBAC. Sin embargo, no es privilegio mínimo — un principio que NIST SP 800-207 identifica como fundamental para la arquitectura de confianza cero: cada sujeto debe operar con los derechos de acceso mínimos requeridos para completar su tarea, y nada más.

Un desarrollador que necesita acceso de lectura a un conjunto de API keys no debería heredar acceso de escritura a credenciales de infraestructura simplemente porque comparte una bóveda de equipo con un administrador de sistemas.

Un modelo de control de acceso maduro debería soportar como mínimo:

• Permisos por bóveda y por carpeta (lectura, escritura, admin) independientes entre sí
• Acceso basado en grupos para que la incorporación de un nuevo miembro del equipo herede los permisos correctos automáticamente
• Concesiones de acceso temporal con expiración automática
• Segregación de funciones — la persona que crea una credencial no es necesariamente la persona que puede compartirla

Qué verificar durante una POC:

1. Cree un usuario con acceso de solo lectura a la Carpeta A y acceso de escritura a la Carpeta B. Confirme que los permisos se mantienen independientemente.
2. Pruebe la baja: elimine un usuario y verifique que su acceso a todas las bóvedas compartidas se revoca inmediatamente.
3. Cree un rol de auditor y confirme que la cuenta puede ver los registros de actividad y el panel de seguridad pero no puede modificar, copiar ni compartir ninguna credencial.

Passwork implementa esto a través de dos capas de control de acceso paralelas:

• Los grupos gobiernan el acceso a datos — determinan qué bóvedas, carpetas y secretos puede ver e interactuar un usuario, y a qué nivel de permiso (lectura, escritura, admin).
• Los roles gobiernan la administración del sistema — controlan quién puede configurar Passwork en sí, gestionar usuarios y ajustar configuraciones.

Las dos capas son independientes, lo que significa que puede dar a un usuario amplio acceso a datos sin ningún derecho administrativo, u otorgar un rol de admin de alcance limitado a alguien que no tiene acceso a datos de credenciales en absoluto.

En la práctica, esa separación puede verse así:

3. Integración de infraestructura de identidad

Un gestor de contraseñas corporativo debe integrarse con su proveedor de identidad (IdP) existente y sincronizarse con su servicio de directorio para la gestión automatizada del ciclo de vida del usuario.

SSO gestiona la autenticación. La integración de directorio gestiona el aprovisionamiento y desaprovisionamiento. Sin ella, cuando un empleado se va, alguien tiene que revocar manualmente su acceso a la bóveda. En una organización de 500 puestos, esa brecha es donde ocurren las fugas de credenciales (por bajas incompletas).

La integración con LDAP y Active Directory importa para organizaciones que no han migrado completamente a identidad en la nube. El mapeo de grupo a bóveda le permite reflejar su estructura de grupos de AD existente directamente en los permisos de la bóveda, eliminando el trabajo manual de replicar esa estructura dentro del gestor de contraseñas.

Qué verificar durante una POC:

1. Pruebe el inicio de sesión SAML SSO de extremo a extremo con su IdP. Verifique que se respeten las políticas de tiempo de espera de sesión y reautenticación del IdP.
2. Mapee un grupo de AD/LDAP a una bóveda. Añada un usuario de prueba a ese grupo en el directorio. Confirme que el acceso a la bóveda aparece dentro de la ventana de sincronización esperada.
3. Elimine el usuario de prueba del grupo del directorio. Confirme que el acceso a la bóveda se revoca en la siguiente sincronización sin intervención manual.

Passwork proporciona integración nativa con LDAP y Active Directory en los planes estándar y avanzado. SAML SSO y el mapeo de grupos LDAP permiten la sincronización automatizada de grupos de directorio directamente a los permisos de la bóveda.

4. Postura de cumplimiento y certificación

ISO 27001 puede confirmar que el proveedor opera un sistema de gestión de seguridad de la información documentado que ha pasado una auditoría independiente. Lo que no confirma es si su arquitectura satisface sus obligaciones regulatorias específicas — ese mapeo es su responsabilidad.

Mapee sus requisitos a controles antes de evaluar proveedores. La tabla a continuación muestra los mapeos más comunes:

El Artículo 32 del GDPR requiere «medidas técnicas y organizativas apropiadas» para proteger los datos personales. Para la gestión de credenciales, eso se traduce en cifrado en reposo, registro de acceso y un proceso documentado para revocar el acceso cuando un empleado se va.

El Artículo 21 de NIS2 extiende obligaciones similares a un conjunto más amplio de sectores que su directiva predecesora. Las organizaciones en energía, transporte, salud e infraestructura digital ahora enfrentan requisitos explícitos en torno a políticas de control de acceso y registro de incidentes — ambos abordados directamente por un gestor de contraseñas.

Qué preguntar al proveedor:

• ¿Puede proporcionar su certificado ISO 27001 y declaración de alcance?
• ¿Cómo soporta su arquitectura el Artículo 32 del GDPR — específicamente cifrado en reposo y registro de acceso?
• ¿Su producto soporta los requisitos del Artículo 21 de NIS2 en torno a control de acceso y registro de auditoría?

Passwork tiene certificación ISO 27001, cumple con GDPR y NIS2, y ha sido sometido a pruebas de penetración a través del programa de bug bounty de HackerOne. Para organizaciones europeas, esa combinación cubre el núcleo de lo que un equipo de seguridad o cumplimiento pedirá durante la evaluación de proveedores.

5. Modelo de despliegue: En las instalaciones vs. nube vs. híbrido

La suposición de que en las instalaciones es inherentemente más seguro que la nube no resiste el escrutinio. Una arquitectura de nube de conocimiento cero le proporciona el mismo aislamiento criptográfico que el autoalojamiento — el proveedor no puede acceder a su texto plano independientemente de dónde esté el servidor. Lo que cambia es el modelo operativo, la documentación de cumplimiento y quién posee el riesgo de infraestructura.

El autoalojamiento tiene sentido para una variedad de escenarios:

• Entornos aislados (air-gapped)
• Requisitos estrictos de residencia de datos
• Marcos regulatorios que exigen control total sobre dónde residen físicamente los datos
• Organizaciones cuyas políticas de seguridad internas simplemente requieren que los datos de credenciales nunca salgan de su propia infraestructura

Para organizaciones europeas, un despliegue en nube soberana de la UE mantiene los datos dentro de la jurisdicción de la UE en infraestructura no sujeta a alcance legal no europeo. Es un camino intermedio cada vez más común entre el autoalojamiento completo y el SaaS estándar.

Passwork puede desplegarse en las instalaciones dentro de su propia infraestructura, en la nube privada de su organización, o en un entorno de nube soberana de la UE. La opción de nube está disponible para equipos que prefieren infraestructura gestionada. Ambos modelos funcionan con la misma arquitectura AES-256 de conocimiento cero.

6. Registro de auditoría e integración SIEM

Una bóveda de contraseñas sin registros de auditoría es una caja negra. No se puede investigar un incidente, demostrar cumplimiento o detectar patrones de acceso anómalos sin un registro de eventos completo. La visibilidad es lo que separa una bóveda de contraseñas de una herramienta de gobernanza de contraseñas.

Según el Informe Anual de Exposición de Identidad de SpyCloud, el 91% de las organizaciones reportaron un incidente relacionado con identidad en el último año. Sin registros, no se puede responder la primera pregunta en cualquier respuesta a incidentes: «¿Qué se accedió, por quién y cuándo?»

Los eventos mínimos registrables para uso empresarial:

• Acceso a bóveda (lectura, escritura, copiar al portapapeles)
• Cambios de permisos (concesiones, revocaciones, modificaciones de rol)
• Intentos de autenticación fallidos y bloqueos
• Eventos de aprovisionamiento y desaprovisionamiento de usuarios
• Operaciones de exportación y descarga masiva
• Cambios de configuración administrativa

La integración SIEM importa si tiene un SOC. Los registros que viven solo dentro de la propia UI del gestor de contraseñas no son accionables a escala. Busque exportación a syslog, soporte de webhook o conectores nativos a Splunk, Microsoft Sentinel o su SIEM de elección.

Qué verificar durante una POC:

1. Realice una lectura de credencial, un cambio de permiso y un inicio de sesión fallido. Confirme que los tres generan entradas de registro distintas con marca de tiempo.
2. Exporte registros a su entorno de prueba SIEM. Verifique que el formato se analiza correctamente y los eventos son consultables.
3. Compruebe si los registros son a prueba de manipulaciones — ¿puede un admin eliminar su propia pista de auditoría?

Passwork registra cada acción en todo el sistema: lecturas de credenciales, cambios de permisos, inicios de sesión fallidos, exportaciones y eventos administrativos. El registro de auditoría soporta filtrado granular por usuario, bóveda, tipo de evento y rango de tiempo.

Las reglas de notificación son configurables por categoría de evento, para que su equipo de seguridad reciba alertas sobre las acciones que importan sin ruido de operaciones rutinarias. Para equipos SOC, Passwork se integra con plataformas SIEM directamente, por lo que los datos de eventos fluyen hacia sus flujos de trabajo de detección y respuesta existentes sin exportación manual.

7. Baja e higiene de credenciales

Toda organización tiene un problema de deuda de credenciales. Se acumula silenciosamente: cuentas compartidas que sobreviven a las personas que las crearon, credenciales de servicio vinculadas a un correo electrónico personal, API keys que fueron «temporales» en 2022. Un gestor de contraseñas debe sacar a la luz esta deuda.

La baja es donde la higiene de credenciales se mantiene o colapsa. Cuando un empleado se va, la pregunta es a qué credenciales compartidas tenía acceso, cuáles puede haber copiado localmente y qué cuentas de servicio se aprovisionaron bajo su nombre.

La lista de verificación de credenciales para la baja tiene cuatro pasos:

1. Identifique todas las bóvedas y carpetas a las que el usuario saliente tenía acceso — incluyendo acceso de solo lectura, que rutinariamente se pasa por alto.
2. Rote cualquier credencial compartida que pudiera leer. Acceso de lectura significa que la credencial era visible, asuma que fue anotada.
3. Revoque tokens de API personales y credenciales de cuentas de servicio emitidas a ese individuo.
4. Audite el registro de actividad de 30 días para ese usuario antes de revocar el acceso. Las exportaciones masivas o patrones de lectura inusuales en las semanas finales vale la pena investigarlos antes de cerrar la cuenta.

La integración de directorio ayuda significativamente aquí. Cuando un usuario se elimina de un grupo de AD o LDAP, el acceso a la bóveda vinculado a ese grupo se revoca en la siguiente sincronización. La brecha se cierra de días a minutos. Sin integración de directorio, la baja depende de que un humano recuerde revocar el acceso en un sistema separado.

Qué verificar durante una POC:

1. Desaprovisione un usuario de prueba de su directorio. Confirme que el acceso a la bóveda se revoca dentro de la ventana de sincronización esperada.
2. Obtenga el registro de actividad del usuario saliente de los últimos 30 días. Verifique que el registro esté completo, sea filtrable por tipo de evento y exportable para el registro de baja.
3. Compruebe si las credenciales compartidas a las que el usuario tenía acceso de lectura están marcadas en algún lugar — ya sea por el sistema o a través de un flujo de trabajo de auditoría manual.

El registro de auditoría de Passwork le proporciona un historial de actividad completo por usuario, por lo que la revisión de baja es una consulta, no una reconstrucción manual. La revocación de acceso a través de la eliminación de grupos de AD/LDAP es automática en la sincronización.

El panel de seguridad muestra todos los accesos activos vinculados a un empleado saliente — bóvedas, carpetas y credenciales compartidas se destacan en una sola vista, para que nada se pase por alto antes de cerrar la cuenta.

8. Costo total de propiedad

El precio por puesto es el punto de partida. Antes de firmar, mire cuidadosamente qué incluye realmente cada proveedor en su plan base versus qué se añade a la factura después.

Las preguntas que vale la pena hacer a cada proveedor en su lista corta:

• ¿Qué características están incluidas en el nivel base y qué requiere una actualización?
• ¿Está incluido el aprovisionamiento SCIM o requiere un plan empresarial?
• ¿Cuál es el SLA de soporte y qué nivel lo desbloquea?
• ¿Hay límites por bóveda o por secreto que disparen cargos por exceso?

Un marco útil para comparar el gasto total entre proveedores:

TCO = (per-user price × user count × 12)
    + implementation cost (engineering time + vendor onboarding)
    + training cost (hours × hourly rate × user count)
    + premium add-ons (SIEM connector, advanced reporting)
    + annual renewal or subscription fee

Aplique esto a cada proveedor preseleccionado antes de comparar precios de etiqueta. La brecha entre el costo anual anunciado y el real es a menudo donde cambian las decisiones.

El precio de Passwork cubre tanto un gestor de contraseñas como un gestor de secretos bajo una sola licencia — una herramienta para credenciales humanas e identidades de máquinas, a un precio.

Según la investigación de TCO de Passwork, las organizaciones reportan un costo total de propiedad 30% menor en un horizonte de tres años en comparación con herramientas de gestión de credenciales empresariales comparables, impulsado por precios transparentes por usuario y sin restricción de características en la funcionalidad básica.

9. Gestión de secretos y preparación para DevOps

Las credenciales humanas son un problema. Las cuentas de servicio, API keys, tokens de CI/CD, claves SSH y cadenas de conexión de base de datos son un problema separado. Las dos categorías requieren diferentes patrones de acceso: los humanos acceden a las credenciales de forma interactiva a través de una extensión de navegador o aplicación móvil. Las máquinas acceden a los secretos programáticamente a través de una API o CLI en tiempo de ejecución.

Si su organización ejecuta pipelines de CI/CD, cargas de trabajo de Kubernetes o cualquier proceso de despliegue automatizado, los secretos codificados en variables de entorno o archivos de configuración son un riesgo real. La pregunta para hacer a un proveedor no es «¿soportan gestión de secretos?» — la mayoría dirá que sí. La pregunta es: «¿Puede mi flujo de trabajo de GitHub Actions recuperar una credencial de base de datos en el momento del despliegue sin que toque nunca un archivo de configuración?»

Eso requiere una REST API con tokens de acceso de grano fino, una utilidad CLI para recuperación basada en terminal, e idealmente un SDK para integración programática. Verifique también que la herramienta soporte rotación de secretos — actualizar una credencial en la bóveda y propagar el cambio a sistemas posteriores sin intervención manual.

Qué verificar durante una POC:

1. Recupere un secreto de prueba a través del CLI. Confirme que la credencial nunca se escribe en disco ni en el historial del shell.
2. Configure un pipeline de GitHub Actions o GitLab CI para obtener un secreto de la bóveda en tiempo de ejecución. Verifique que el secreto no aparezca en los registros de compilación.
3. Pruebe la rotación de secretos: actualice una credencial en la bóveda y confirme que los sistemas posteriores recogen el cambio sin intervención manual.
4. Compruebe la granularidad del token de acceso: ¿puede limitar un token a una sola bóveda o carpeta, en lugar de conceder acceso al pipeline a todo el almacén de credenciales?

Passwork cubre ambos lados de esto sin una herramienta o licencia separada. La REST API cubre cada acción disponible en la UI, hay una utilidad CLI para recuperación basada en terminal, y un SDK de Python para integración programática. Los tokens de acceso tienen alcance a nivel de bóveda, por lo que un pipeline obtiene acceso exactamente a lo que necesita y nada más. Para detalles de implementación técnica, consulte las guías técnicas de Passwork.

10. Experiencia de usuario y dinámica de adopción

El gestor de contraseñas más criptográficamente sólido es inútil si su equipo lo evita. La UX es una propiedad de seguridad. Si la extensión del navegador tarda cinco segundos en autocompletar un formulario de inicio de sesión, o copiar una contraseña desde la UI web requiere navegar por cuatro clics y un diálogo de confirmación, la gente dejará de usar la herramienta en un mes.

El uso de gestores de contraseñas aumentó del 20% en 2019 al 32% en 2023 (Pew Research Center). Eso es crecimiento, pero también significa que el 68% de los usuarios aún no usan uno.

De 19.03 mil millones de contraseñas filtradas analizadas por Cybernews (2025), el 94% fueron reutilizadas o duplicadas. El comportamiento que crea ese número es el camino de menor resistencia. Un gestor de contraseñas gana adopción siendo menos fricción que las alternativas, no siendo más seguro en abstracto.

Factores de riesgo de adopción a evaluar antes de comprar:

• Compatibilidad de la extensión del navegador con sus navegadores principales y aplicaciones web internas
• Calidad de la aplicación móvil (iOS y Android) para equipos que acceden a credenciales en movimiento
• Fiabilidad del autocompletado en formularios de inicio de sesión no estándar
• Tiempo de incorporación para usuarios no técnicos (objetivo: menos de 30 minutos hasta el primer uso productivo)
• Capacidad de importación masiva desde fuentes existentes (CSV, exportación de navegador, otras bóvedas)

Cómo diseñar un piloto de UX significativo:

Seleccione 10-15 usuarios en tres grupos: un usuario avanzado (administrador de sistemas), un usuario de oficina típico, y un escéptico que resiste activamente las nuevas herramientas. Ejecute el piloto durante 3-4 semanas. Mida: ¿Cuántas credenciales almacenó cada usuario? ¿Cuántas veces evitaron la bóveda y usaron un navegador o aplicación de notas en su lugar? ¿Qué falló? La retroalimentación del escéptico es la señal más valiosa que obtendrá antes de un despliegue completo.

Poniendo el marco de trabajo en acción

El marco de selección de gestor de contraseñas empresarial de 10 factores no es una lista de verificación para completar en una tarde. Cada criterio tiene dependencias: sus obligaciones de cumplimiento determinan qué modelo de despliegue es viable. Su infraestructura de identidad determina qué integraciones son innegociables. La capacidad técnica de su equipo determina si el autoalojamiento es realista o aspiracional.

Comience con los criterios 4 (cumplimiento), 3 (integración de identidad) y 5 (modelo de despliegue) — esos tres juntos eliminarán a la mayoría de los proveedores de su lista corta antes de que dedique tiempo a pruebas de POC. Luego use los criterios 1 (cifrado), 6 (registro de auditoría) y 7 (baja) para validar a los finalistas. Los criterios 8 (TCO), 9 (gestión de secretos) y 10 (UX) cierran la decisión.

El gestor de contraseñas corporativo correcto es el que se ajusta a su arquitectura de seguridad, satisface sus obligaciones de cumplimiento, se integra con su infraestructura de identidad existente y es utilizado por su equipo todos los días.

Preguntas frecuentes

Shadow IT en 2026: riesgos, detección y gestión

El Shadow IT en 2026 abarca agentes de IA, cuentas SaaS huérfanas y sesiones LLM sin supervisión — riesgos que la mayoría de las organizaciones no pueden ver. Descubra qué ha cambiado, cuánto cuesta y cómo un marco de gobernanza de 6 pasos cierra la brecha.

Passwork BlogAlex Muntyan

Gestión de contraseñas para equipos: solución para pymes

Almacenar contraseñas en Slack y navegadores expone su empresa a filtraciones. Descubra por qué las herramientas personales no funcionan para equipos, cómo dar de baja a empleados de forma segura con un clic y por qué las directrices NIST desaconsejan la rotación forzada de contraseñas.

Passwork BlogAlex Muntyan

Compartir contraseñas inseguras: riesgos 2026 y soluciones

Cada vez que una credencial se comparte por Slack o correo, pierde responsabilidad, auditoría y cumplimiento. Esta guía cubre los riesgos del intercambio inseguro de contraseñas en 2026 y cómo migrar al acceso mediado por bóveda.

Passwork BlogAlex Muntyan

A corporate password manager is a centralized security control that stores, encrypts, and governs access to organizational credentials (user passwords, service account secrets, API keys, and certificates) within a structured vault with role-based permissions, audit logging, and identity provider integration.

The problem with most buying guides is that they answer the wrong question. "Which tool should I buy?" depends entirely on your infrastructure, your compliance obligations, and your team. The better question is: "What should I evaluate, and how?" That's what this framework answers.

Key takeaways

• Encryption architecture is the first filter. Not all AES-256 implementations are equal. What matters is where keys are generated and whether the vendor can ever access your plaintext.
• RBAC granularity separates real access control from checkbox compliance. A flat admin/member model is technically RBAC. Least privilege is what NIST SP 800-207 actually requires for zero trust architecture.
• Directory integration is non-negotiable at scale. Without AD/LDAP sync, user provisioning and deprovisioning depend on manual steps. At 50+ users, that gap is where incomplete offboarding turns into credential leaks.
• Compliance certifications don't map themselves. ISO 27001 confirms the vendor has a documented security management system. Whether their architecture satisfies your GDPR Article 32, NIS2 Article 21, or SOC 2 CC6.1 obligations is a mapping exercise you have to do before shortlisting.
• Deployment model is a compliance and operational decision, not a security one. Zero-knowledge architecture provides the same cryptographic isolation on-premise and in the cloud. Choose based on data residency requirements and your team's capacity to own patching, backup, and failover.
• A vault without audit logs is a black box. Credential reads, permission changes, failed logins, and bulk exports must all generate tamper-evident, timestamped records, and those records must flow into your SIEM.
• Offboarding is where credential hygiene collapses. The four-step checklist (identify, rotate, revoke, audit) only works if the tool gives you a complete access picture before you close the account.
• Per-seat price is not TCO. SIEM connectors, and advanced reporting are frequently sold as premium add-ons. Apply the full TCO formula to every shortlisted vendor before comparing sticker prices.
• Secrets management and password management are two different access patterns that should live in one tool. Human credentials are accessed interactively; machine secrets are retrieved programmatically via API or CLI. Verify both before assuming a single license covers your DevOps workflows.
• UX is a security property. The most cryptographically sound password manager fails if your team routes around it. Adoption is the metric that determines whether the tool reduces your risk or just your budget.

1. Encryption architecture and zero-knowledge model

Not all AES-256 implementations are equal. The encryption standard matters less than where keys are generated, where they live, and whether the vendor can ever access your plaintext. A true zero-knowledge architecture means encryption and decryption happen client-side. The server stores only ciphertext. The vendor has no mathematical path to your credentials, even under a court order or a breach of their own infrastructure.

The SpyCloud 2025 Annual Identity Exposure Report found 159,313 stolen credential records specifically from password manager users recaptured from the criminal underground. Vault providers are targets. Architecture is the last line of defense when the perimeter fails.

Passwork implements this model directly: encryption and decryption happen client-side using AES-256, the server stores only encrypted blobs, and the source code is available for independent audit. If you want to verify the implementation rather than trust a marketing claim, that's the path.

What to verify during a POC:

1. Request the vendor's security whitepaper and locate the key derivation specification. If it's absent, ask directly: "What algorithm derives the vault encryption key from the master password?"
2. Capture network traffic during a login session. You should see only encrypted payloads (no plaintext credentials in transit).
3. Ask: "If your infrastructure were fully compromised tomorrow, what would an attacker obtain from our vault?" The answer should be: encrypted blobs, decryptable only with the user's key.

2. Access control granularity

Role-based access control (RBAC) is an access control model in which permissions are assigned to roles rather than to individual users, and users acquire permissions by being assigned to those roles. In a credential store, that means access rights are defined at the role level (DevOps team, finance, IT admin) and permissions follow automatically when a user joins or leaves a role.

Every enterprise password manager claims RBAC support. The real question is how granular the permission model gets in practice. A flat "admin / member" binary is technically RBAC. It is not, however, least privilege — a principle NIST SP 800-207 identifies as foundational to zero trust architecture: every subject should operate with the minimum access rights required to complete their task, and no more.

A developer who needs read access to one set of API keys should not inherit write access to infrastructure credentials simply because they share a team vault with a sysadmin.

A mature access control model should support at minimum:

• Per-vault and per-folder permissions (read, write, admin) independent of each other
• Group-based access so onboarding a new team member inherits the right permissions automatically
• Temporary access grants with automatic expiry
• Segregation of duties — the person who creates a credential is not necessarily the person who can share it

What to verify during a POC:

1. Create a user with read-only access to Folder A and write access to Folder B. Confirm the permissions hold independently.
2. Test offboarding: remove a user and verify their access to all shared vaults is revoked immediately.
3. Create an auditor role and confirm the account can view activity logs and the security dashboard but cannot modify, copy, or share any credential.

Passwork implements this through two parallel access control layers:

• Groups govern data access — they determine which vaults, folders, and secrets a user can see and interact with, at what permission level (read, write, admin).
• Roles govern system administration — they control who can configure Passwork itself, manage users, and adjust settings.

The two layers are independent, which means you can give a user broad data access without any administrative rights, or grant a narrowly scoped admin role to someone who has no access to credential data at all.

In practice, that separation may look like this:

3. Identity infrastructure integration

A corporate password manager must integrate with your existing identity provider (IdP) and sync with your directory service for automated user lifecycle management.

SSO handles authentication. Directory integration handles provisioning and deprovisioning. Without it, when an employee leaves, someone has to manually revoke their vault access. In a 500-seat organization, that gap is where credential leaks happen (from incomplete offboarding).

LDAP and Active Directory integration matters for organizations that haven't moved fully to cloud identity. Group-to-vault mapping lets you mirror your existing AD group structure directly into vault permissions, eliminating the manual work of replicating that structure inside the password manager.

What to verify during a POC:

1. Test SAML SSO login end-to-end with your IdP. Verify that session timeout and re-authentication policies from the IdP are respected.
2. Map an AD/LDAP group to a vault. Add a test user to that group in the directory. Confirm vault access appears within the expected sync window.
3. Remove the test user from the directory group. Confirm vault access is revoked on the next sync without manual intervention.

Passwork provides native LDAP and Active Directory integration on both Standard and Advanced plans. SAML SSO and LDAP group mapping allow automated synchronization of directory groups directly to vault permissions.

4. Compliance and certification posture

ISO 27001 can confirm the vendor runs a documented information security management system that has passed independent audit. What it does not confirm is whether their architecture satisfies your specific regulatory obligations — that mapping is your responsibility.

Map your requirements to controls before you evaluate vendors. The table below shows the most common mappings:

GDPR Article 32 requires "appropriate technical and organisational measures" to protect personal data. For credential management, that translates to encryption at rest, access logging, and a documented process for revoking access when an employee leaves.

NIS2 Article 21 extends similar obligations to a broader set of sectors than its predecessor directive. Organizations in energy, transport, health, and digital infrastructure now face explicit requirements around access control policies and incident logging — both of which a password manager directly addresses.

What to ask the vendor:

• Can you provide your ISO 27001 certificate and scope statement?
• How does your architecture support GDPR Article 32 — specifically encryption at rest and access logging?
• Does your product support NIS2 Article 21 requirements around access control and audit logging?

Passwork is ISO 27001 certified, GDPR and NIS2 compliant, and has undergone penetration testing through HackerOne's bug bounty program. For European organizations, that combination covers the core of what a security or compliance team will ask for during vendor assessment.

5. Deployment model: On-premise vs. cloud vs. hybrid

The assumption that on-premise is inherently more secure than cloud does not hold up to scrutiny. A zero-knowledge cloud architecture gives you the same cryptographic isolation as self-hosting — the vendor cannot access your plaintext regardless of where the server sits. What changes is the operational model, the compliance paper trail, and who owns the infrastructure risk.

Self-hosting makes sense for a range of scenarios:

• Air-gapped environments
• Strict data residency requirements
• Regulatory frameworks that mandate full control over where data physically resides
• Organizations whose internal security policies simply require that credential data never leaves their own infrastructure

For European organizations, a sovereign EU cloud deployment keeps data within EU jurisdiction on infrastructure not subject to non-EU legal reach. It is an increasingly common middle path between full self-hosting and standard SaaS.

Passwork can be deployed on-premise within your own infrastructure, in your organization's private cloud, or in a sovereign EU cloud environment. The cloud option is available for teams that prefer managed infrastructure. Both models run on the same zero-knowledge AES-256 architecture.

6. Audit logging and SIEM integration

A password vault without audit logs is a black box. You cannot investigate an incident, demonstrate compliance, or detect anomalous access patterns without a complete event record. Visibility is what separates a password vault from a password governance tool.

According to the SpyCloud Annual Identity Exposure Report, 91% of organizations reported an identity-related incident in the past year. Without logs, you cannot answer the first question in any incident response: "What was accessed, by whom, and when?"

The minimum loggable events for enterprise use:

• Vault access (read, write, copy-to-clipboard)
• Permission changes (grants, revocations, role modifications)
• Failed authentication attempts and lockouts
• User provisioning and deprovisioning events
• Export and bulk download operations
• Administrative configuration changes

SIEM integration matters if you have a SOC. Logs that live only inside the password manager's own UI are not actionable at scale. Look for syslog export, webhook support, or native connectors to Splunk, Microsoft Sentinel, or your SIEM of choice.

What to verify during a POC:

1. Perform a credential read, a permission change, and a failed login. Confirm all three generate distinct, timestamped log entries.
2. Export logs to your SIEM test environment. Verify the format parses correctly and events are queryable.
3. Check whether logs are tamper-evident — can an admin delete their own audit trail?

Passwork logs every action across the system: credential reads, permission changes, failed logins, exports, and administrative events. The audit log supports granular filtering by user, vault, event type, and time range.

Notification rules are configurable per event category, so your security team gets alerted on the actions that matter without noise from routine operations. For SOC teams, Passwork integrates with SIEM platforms directly, so event data flows into your existing detection and response workflows without manual export.

7. Offboarding and credential hygiene

Every organization has a credential debt problem. It accumulates quietly: shared accounts that outlive the people who created them, service credentials tied to a personal email, API keys that were "temporary" in 2022. A password manager must surface this debt.

Offboarding is where credential hygiene either holds or collapses. When an employee leaves, the question is which shared credentials they had access to, which ones they may have copied locally, and which service accounts were provisioned under their name.

The offboarding credential checklist has four steps:

1. Identify all vaults and folders the departing user had access to — including read-only access, which is routinely overlooked.
2. Rotate any shared credentials they could read. Read access means the credential was visible, assume it was noted.
3. Revoke personal API tokens and service account credentials issued to that individual.
4. Audit the 30-day activity log for that user before revoking access. Bulk exports or unusual read patterns in the final weeks are worth investigating before you close the account.

Directory integration helps significantly here. When a user is removed from an AD or LDAP group, vault access tied to that group is revoked on the next sync. The gap closes from days to minutes. Without directory integration, offboarding depends on a human remembering to revoke access in a separate system.

What to verify during a POC:

1. Deprovision a test user from your directory. Confirm vault access is revoked within the expected sync window.
2. Pull the departing user's activity log for the past 30 days. Verify the log is complete, filterable by event type, and exportable for the offboarding record.
3. Check whether shared credentials the user had read access to are flagged anywhere — either by the system or through a manual audit workflow.

Passwork's audit log gives you a full activity history per user, so the offboarding review is a query, not a manual reconstruction. Access revocation through AD/LDAP group removal is automatic on sync.

The Security dashboard surfaces all active accesses tied to a departing employee — vaults, folders, and shared credentials are highlighted in one view, so nothing gets missed before the account is closed.

8. Total cost of ownership

Per-seat price is the starting line. Before signing, look carefully at what each vendor actually includes in their base plan versus what gets added to the invoice later.

The questions worth asking every vendor on your shortlist:

• What features are included at the base tier, and what requires an upgrade?
• Is SCIM provisioning included, or does it require an enterprise plan?
• What is the support SLA, and what tier unlocks it?
• Are there per-vault or per-secret limits that trigger overage charges?

A useful framework for comparing total spend across vendors:

TCO = (per-user price × user count × 12)
    + implementation cost (engineering time + vendor onboarding)
    + training cost (hours × hourly rate × user count)
    + premium add-ons (SIEM connector, advanced reporting)
    + annual renewal or subscription fee

Apply this to each shortlisted vendor before you compare sticker prices. The gap between advertised and actual annual cost is often where decisions change.

Passwork's pricing covers both a password manager and a secrets manager under a single license — one tool for human credentials and machine identities, at one price.

According to Passwork's TCO research, organizations report a total cost of ownership 30% lower over a three-year horizon compared to comparable enterprise credential management tools, driven by transparent per-user pricing and no feature gating on core functionality.

9. Secrets management and DevOps readiness

Human credentials are one problem. Service accounts, API keys, CI/CD tokens, SSH keys, and database connection strings are a separate problem. The two categories require different access patterns: humans access credentials interactively through a browser extension or mobile app. Machines access secrets programmatically through an API or CLI at runtime.

If your organization runs CI/CD pipelines, Kubernetes workloads, or any automated deployment process, hardcoded secrets in environment variables or config files are a real risk. The question to ask a vendor is not "do you support secrets management?" — most will say yes. The question is: "Can my GitHub Actions workflow retrieve a database credential at deploy time without it ever touching a config file?"

That requires a REST API with fine-grained access tokens, a CLI utility for terminal-based retrieval, and ideally an SDK for programmatic integration. Verify also that the tool supports secret rotation — updating a credential in the vault and propagating the change to downstream systems without manual intervention.

What to verify during a POC:

1. Retrieve a test secret via the CLI. Confirm the credential is never written to disk or shell history.
2. Configure a GitHub Actions or GitLab CI pipeline to pull a secret from the vault at runtime. Verify the secret does not appear in build logs.
3. Test secret rotation: update a credential in the vault and confirm downstream systems pick up the change without manual intervention.
4. Check access token granularity: can you scope a token to a single vault or folder, rather than granting pipeline access to the entire credential store?

Passwork covers both sides of this without a separate tool or license. The REST API covers every action available in the UI, there is a CLI utility for terminal-based retrieval, and a Python SDK for programmatic integration. Access tokens are scoped at the vault level, so a pipeline gets access to exactly what it needs and nothing else. For technical implementation details, see the Passwork technical guides.

10. User experience and adoption dynamics

The most cryptographically sound password manager is worthless if your team routes around it. UX is a security property. If the browser extension takes five seconds to autofill a login form, or copying a password from the web UI requires navigating through four clicks and a confirmation dialog, people will stop using the tool within a month.

Password manager usage rose from 20% in 2019 to 32% in 2023 (Pew Research Center). That's growth, but it also means 68% of users still aren't using one.

Of 19.03 billion leaked passwords analyzed by Cybernews (2025), 94% were reused or duplicated. The behavior that creates that number is the path of least resistance. A password manager wins adoption by being less friction than the alternatives, not by being more secure in the abstract.

Adoption risk factors to assess before buying:

• Browser extension compatibility with your primary browsers and internal web apps
• Mobile app quality (iOS and Android) for teams that access credentials on the go
• Autofill reliability on non-standard login forms
• Onboarding time for non-technical users (target: under 30 minutes to first productive use)
• Bulk import capability from existing sources (CSV, browser export, other vaults)

How to design a meaningful UX pilot:

Select 10–15 users across three groups: a power user (sysadmin), a typical office user, and a skeptic who actively resists new tools. Run the pilot for 3–4 weeks. Measure: How many credentials did each user store? How many times did they bypass the vault and use a browser or notes app instead? What broke? The skeptic's feedback is the most valuable signal you'll get before a full rollout.

Putting the framework to work

The 10-Factor Enterprise Password Manager Selection Framework is not a checklist to race through in an afternoon. Each criterion has dependencies: your compliance obligations shape which deployment model is viable. Your identity infrastructure determines which integrations are non-negotiable. Your team's technical capacity determines whether self-hosting is realistic or aspirational.

Start with criteria 4 (compliance), 3 (identity integration), and 5 (deployment model) — those three together will eliminate most vendors from your shortlist before you spend time on POC testing. Then use criteria 1 (encryption), 6 (audit logging), and 7 (offboarding) to validate the finalists. Criteria 8 (TCO), 9 (secrets management), and 10 (UX) close the decision.

The right corporate password manager is the one that fits your security architecture, satisfies your compliance obligations, integrates with your existing identity infrastructure, and gets used by your team every day.

Frequently asked questions

Shadow IT in 2026: Risks, detection, and how to manage it

Shadow IT in 2026 spans AI agents, orphaned SaaS accounts, and unmonitored LLM sessions — risks most organizations can’t see. Learn what’s changed, what it costs, and how a 6-step governance framework closes the gap.

Passwork BlogAlex Muntyan

Password management for teams: The fix every SMB needs

Storing passwords in Slack and browsers exposes your business to breaches. Discover why personal tools fail teams, how to securely offboard departing employees in one click, and why the latest NIST guidelines recommend against forced password rotation.

Passwork BlogAlex Muntyan

Insecure password sharing: 2026 risks and secure solutions

Every time a credential moves through Slack or email, you lose accountability, audit trail, and compliance posture in one step. This guide covers the real risks of insecure password sharing in 2026, why employees do it anyway, and how to migrate to vault-mediated access without disrupting your team.

Passwork BlogAlex Muntyan

In der neuen Version wurde eine Suchfilterung nach aktuellem Verzeichnis hinzugefügt sowie kleinere Verbesserungen am Importprozess, an der Lokalisierung und an der Benutzeroberfläche vorgenommen. Das Update ist im Kundenportal verfügbar.

Suche im Tresor oder Posteingang

Eine Option zur Einschränkung der Suche auf den aktuellen Tresor oder Posteingang wurde hinzugefügt. Unterhalb der Suchleiste ist nun ein Kontrollkästchen verfügbar, das bei Aktivierung die Suche auf den ausgewählten Bereich beschränkt.

Weitere Änderungen

• Ein Problem wurde behoben, bei dem schnelles Wechseln zwischen Verzeichnissen und den Seiten Kürzlich, Favoriten oder Posteingang eine falsche oder leere Passwortliste anzeigen konnte.
• Ein Problem wurde behoben, bei dem der Import von Dateien mit langen Notizen zum Einfrieren des Prozesses führen konnte.
• Ein Problem bei der Verarbeitung von MongoDB-Verbindungszeichenfolgen wurde behoben.

Passwork 7.3: Biometrische Authentifizierung und Passkeys

In der neuen Version wurden Unterstützung für Passkeys und Biometrie, ein E-Mail-Adress-Verifizierungsmechanismus für Benutzer, die Option zur Angabe mehrerer URLs für ein einzelnes Passwort, unabhängige Shortcut-Farbanpassung sowie zahlreiche Verbesserungen und Fehlerbehebungen hinzugefügt.

Passwork BlogEirik Salmi

Was ist Passwortverwaltung?

Erfahren Sie, was Passwortverwaltung ist, warum sie wichtig ist und wie sie Ihre Konten durch Verschlüsselung, sichere Speicherung und Zugriffskontrolle schützt.

Passwork BlogEirik Salmi

Fallstudie: Stadt Melle und Passwork

Passwork hat die interne Sicherheit der Stadt Melle verbessert, indem ein zuverlässiges System für die Passwortverwaltung geschaffen wurde.

Passwork BlogAna Moore

En la nueva versión, se ha añadido el filtrado de búsqueda por directorio actual y se han realizado mejoras menores en el proceso de importación, la localización y la interfaz de usuario. La actualización está disponible en el portal de clientes.

Búsqueda en bóveda o bandeja de entrada

Se ha añadido una opción para limitar la búsqueda a la bóveda actual o a la bandeja de entrada. Ahora hay disponible una casilla de verificación debajo de la barra de búsqueda que, cuando está habilitada, restringe la búsqueda al área seleccionada.

Otros cambios

• Se ha corregido un problema donde al cambiar rápidamente entre directorios y las páginas de recientes, favoritos o bandeja de entrada podía mostrar una lista de contraseñas incorrecta o vacía
• Se ha corregido un problema donde la importación de archivos con notas largas podía causar que el proceso se congelara
• Se ha corregido un problema en el manejo de la cadena de conexión de MongoDB

Passwork 7.3: Autenticación biométrica y passkeys

En la nueva versión, se ha añadido soporte para passkeys y biometría, un mecanismo de verificación de dirección de correo electrónico para usuarios, la opción de especificar múltiples URL para una sola contraseña, personalización independiente del color de accesos directos, así como numerosas mejoras y correcciones.

Passwork BlogEirik Salmi

¿Qué es la gestión de contraseñas?

Descubra qué es la gestión de contraseñas, por qué es importante y cómo protege sus cuentas con cifrado, almacenamiento seguro y control de acceso.

Passwork BlogEirik Salmi

Caso de estudio: La ciudad de Melle y Passwork

Passwork ha mejorado la seguridad interna en la ciudad de Melle creando un sistema fiable para la gestión de contraseñas.

Passwork BlogAna Moore

In the new version, we've added search filtering by current directory and made minor improvements to the import process, localization, and UI. The update is available in the Customer portal.

Search in vault or Inbox

Added an option to limit search to the current vault or Inbox. A checkbox is now available below the search bar that, when enabled, restricts search to the selected area.

Other changes

• Fixed an issue where quickly switching between directories and Recents, Favorites, or Inbox pages could display an incorrect or empty password list
• Fixed an issue where importing files with long notes could cause the process to freeze
• Fixed an issue in MongoDB connection string handling

Passwork 7.3: Biometric authentication and passkeys

In the new version, we’ve added support for passkeys and biometrics, an email address verification mechanism for users, the option to specify multiple URLs for a single password, independent shortcut color customization, as well as numerous improvements and fixes.

Passwork BlogEirik Salmi

What is password management?

Learn what password management is, why it matters, and how it protects your accounts with encryption, secure storage, and access control.

Passwork BlogEirik Salmi

Case study: City of Melle and Passwork

Passwork has improved the internal security at the City of Melle by creating a reliable system for password management.

Passwork BlogAna Moore

Die neue Version führt biometrische Authentifizierung und Passkeys ein, die Möglichkeit, mehrere URLs für ein einzelnes Passwort hinzuzufügen, E-Mail-Adressverifizierung für Benutzer, E-Mail-basierte Authentifizierung sowie zahlreiche weitere Verbesserungen und Fehlerbehebungen.

Biometrische Authentifizierung und Passkeys

Passwork unterstützt jetzt biometrische Authentifizierung, Passkeys und Sicherheitsschlüssel basierend auf dem WebAuthn-Standard. Sie können sich jetzt bei Passwork mit Ihrem Fingerabdruck, Face ID, PIN-Code oder einem Hardware-Sicherheitsschlüssel (YubiKey und ähnliche Geräte) anmelden.

Auf der Einstellungsseite Authentifizierung können Sie neue Anmeldemethoden hinzufügen, bestehende verwalten, Ihr Passwort ändern oder passwortlose Authentifizierung über Biometrie oder Hardware-Sicherheitsschlüssel aktivieren.

Die neue Rolleneinstellung Passkey anstelle von Passwort verwenden ermöglicht es Benutzern, sich mit einem Passkey anstelle ihres lokalen oder Domain-Passworts zu authentifizieren.

Sie können einen Passkey für einen einzelnen Benutzer auf dessen Seite im Bereich Benutzerverwaltung über das Modalfenster Authentifizierung zurücksetzen.

Erfahren Sie mehr über Authentifizierungsmethoden in unserem Benutzerhandbuch.

Mehrere URLs pro Eintrag

Sie können jetzt mehrere URLs zu einem einzelnen Eintrag hinzufügen. Dies ist nützlich, wenn ein Konto für den Zugriff auf verschiedene Adressen verwendet wird: Test- und Produktionsumgebungen, regionale Versionen einer Website oder verwandte Unternehmensdienste. Die Browser-Erweiterung schlägt automatisch das Ausfüllen von Anmeldedaten auf jeder der angegebenen URLs vor.

E-Mail-Verifizierung

Passwork unterstützt jetzt die obligatorische E-Mail-Verifizierung für Benutzer. Wenn ein Benutzer seine E-Mail-Adresse hinzufügt oder ändert, sendet Passwork eine Verifizierungs-E-Mail mit einem Bestätigungslink.

Sie können die obligatorische E-Mail-Bestätigung in Systemeinstellungen → Registrierung → Obligatorische E-Mail-Bestätigung aktivieren.

Ohne E-Mail-Verifizierung können ungültige Adressen im System erscheinen. Dies kann Probleme verursachen: Benachrichtigungen erreichen Benutzer nicht, die Passwortzurücksetzung schlägt fehl und Sicherheitsrisiken entstehen. Die E-Mail-Bestätigung stellt sicher, dass Nachrichten nur an legitime Empfänger zugestellt werden.

E-Mail-basierte Authentifizierung

Passwork bietet jetzt die Möglichkeit, sich mit einer verifizierten E-Mail-Adresse anstelle eines Logins anzumelden, um die Authentifizierung zu vereinfachen und Anmeldefehler zu reduzieren. Nach Aktivierung dieser Einstellung bleibt die Anmeldung mit Benutzername weiterhin verfügbar, und alle E-Mail-Adressen werden auf Eindeutigkeit im System geprüft.

Sie können die E-Mail-basierte Authentifizierung in Passwork unter Systemeinstellungen → Registrierung → Mit E-Mail anmelden aktivieren.

Verbesserungen

• Der Benutzerfilter im Aktivitätsprotokoll wurde verbessert: Die Suche berücksichtigt jetzt nicht nur den Aktionsinitiator, sondern auch verknüpfte Benutzer.
• Ein Problem wurde behoben, bei dem der Ordnerfilter im Sicherheits-Dashboard und Aktivitätsprotokoll möglicherweise keine Daten aus verschachtelten Unterordnern einbezog, wenn ein übergeordneter Ordner ausgewählt wurde.
• Die automatische Sperrung der Authentifizierungseinstellungen-Seite nach 5 Minuten Inaktivität wurde hinzugefügt.
• Eine Option wurde hinzugefügt, um für jeden Shortcut individuell eine Farbe festzulegen, ohne die Farbe des ursprünglichen Passworts zu ändern.
• Trusted Proxies-Unterstützung wurde hinzugefügt (siehe Dokumentation für Details).
• Verbesserungen an der Benutzeroberfläche und Lokalisierung wurden vorgenommen.

Fehlerbehebungen

• Ein Problem wurde behoben, bei dem die Option „Bearbeiten" in der Benutzerverwaltung nicht aktiviert wurde, wenn die Option „Benutzer-E-Mail bearbeiten" in den Rolleneinstellungen aktiviert war.
• Die fehlerhafte Anzeige des Banners mit der Aufforderung, ein Dienstkonto hinzuzufügen, auf der LDAP-Server-Bearbeitungsseite nach dem Neuladen der Seite wurde korrigiert.
• Ein Problem wurde behoben, bei dem die Schaltfläche „Aktualisieren" im Benutzerbearbeitungs-Modal inaktiv bleiben konnte, wenn nicht gespeicherte Änderungen vorhanden waren.
• Ein Problem im Einrichtungsassistenten wurde behoben, bei dem eine fehlerhafte Meldung „Datenbank existiert bereits" auf der Datenbankverbindungsseite angezeigt werden konnte.
• Ein Problem wurde behoben, bei dem nach dem Speichern von Änderungen im Modal „Tresor-Zugang" oder „Ordner-Zugang" eine fehlerhafte Meldung „Änderungen verwerfen?" beim Versuch angezeigt wurde, das Fenster zu schließen.
• Ein Problem wurde behoben, bei dem Benachrichtigungen über fehlgeschlagene PIN-Code-Eingabeversuche in der Browser-Erweiterung möglicherweise nicht gesendet wurden.

Fallstudie: Stadt Melle und Passwork

Passwork hat die interne Sicherheit der Stadt Melle verbessert, indem ein zuverlässiges System für die Passwortverwaltung geschaffen wurde.

Passwork BlogAna Moore

Was ist Passwortverwaltung?

Erfahren Sie, was Passwortverwaltung ist, warum sie wichtig ist und wie sie Ihre Konten mit Verschlüsselung, sicherer Speicherung und Zugangskontrolle schützt.

Passwork BlogEirik Salmi

Leitfaden zum Advanced Encryption Standard (AES)

Erfahren Sie, wie AES-Verschlüsselung funktioniert, warum sie der Standard für Datensicherheit ist und wie AES-256 alles von Passwörtern bis zu STRENG GEHEIMEN Daten schützt.

Passwork BlogEirik Salmi

La nueva versión introduce autenticación biométrica y por passkey, la opción de añadir múltiples URL para una sola contraseña, verificación de direcciones de correo electrónico para usuarios, autenticación basada en correo electrónico y numerosas otras mejoras y correcciones.

Autenticación biométrica y passkeys

Se ha añadido soporte para autenticación biométrica, passkeys y llaves de seguridad basadas en el estándar WebAuthn. Ahora es posible iniciar sesión en Passwork utilizando huella dactilar, Face ID, código PIN o una llave de seguridad de hardware (YubiKey y dispositivos similares).

En la página de configuración de Autenticación, puede añadir nuevos métodos de inicio de sesión, gestionar los existentes, cambiar su contraseña o habilitar la autenticación sin contraseña mediante biometría o llaves de seguridad de hardware.

La nueva configuración de rol Usar passkey en lugar de contraseña permite a los usuarios autenticarse con una passkey en lugar de su contraseña local o de dominio.

Puede restablecer una passkey para un usuario individual en su página en la sección Gestión de usuarios a través de la ventana modal Autenticación.

Obtenga más información sobre los métodos de autenticación en nuestro manual de usuario.

Múltiples URL por entrada

Ahora es posible añadir múltiples URL a una sola entrada. Esto es útil cuando una cuenta se utiliza para acceder a diferentes direcciones: entornos de prueba y producción, versiones regionales de un sitio web o servicios relacionados de la empresa. La extensión del navegador sugerirá automáticamente completar las credenciales en cualquiera de las URL especificadas.

Verificación de correo electrónico

Passwork ahora soporta la verificación obligatoria de correo electrónico para usuarios. Cuando un usuario añade o cambia su dirección de correo electrónico, Passwork envía un correo de verificación con un enlace de confirmación.

Puede habilitar la confirmación obligatoria de correo electrónico en Configuración del sistema → Registro → Confirmación obligatoria de correo electrónico.

Sin verificación de correo electrónico, pueden aparecer direcciones inválidas en el sistema. Esto puede crear problemas: las notificaciones no llegan a los usuarios, el restablecimiento de contraseña falla y surgen riesgos de seguridad. La confirmación de correo electrónico asegura que los mensajes se entreguen solo a destinatarios legítimos.

Autenticación basada en correo electrónico

Se ha añadido la posibilidad de iniciar sesión en Passwork utilizando una dirección de correo electrónico verificada en lugar de un nombre de usuario para simplificar la autenticación y reducir los errores de inicio de sesión. Después de habilitar esta configuración, el inicio de sesión basado en nombre de usuario permanece disponible, y todas las direcciones de correo electrónico se verificarán para asegurar su unicidad en el sistema.

Puede habilitar la autenticación basada en correo electrónico en Passwork en Configuración del sistema → Registro → Iniciar sesión con correo electrónico.

Mejoras

• Se mejoró el filtro de usuarios en el Registro de actividad: la búsqueda ahora considera no solo al iniciador de la acción sino también a los usuarios vinculados.
• Se corrigió un problema donde el filtro de carpetas en el Panel de seguridad y el Registro de actividad podría no incluir datos de subcarpetas anidadas al seleccionar una carpeta principal.
• Se añadió el bloqueo automático de la página de configuración de autenticación después de 5 minutos de inactividad.
• Se añadió una opción para establecer un color para cada acceso directo individualmente sin cambiar el color de la contraseña inicial.
• Se añadió soporte para Trusted Proxies (consulte la documentación para más detalles).
• Se realizaron mejoras en la interfaz de usuario y la localización.

Corrección de errores

• Se corrigió un problema donde la opción Editar en Gestión de usuarios no se activaba cuando la opción «Editar correo electrónico del usuario» estaba habilitada en la configuración de roles.
• Se corrigió la visualización incorrecta del banner que solicita añadir una cuenta de servicio en la página de edición del servidor LDAP después de recargar la página.
• Se corrigió un problema donde el botón Actualizar en la ventana modal de edición de usuario podía permanecer inactivo cuando había cambios sin guardar.
• Se corrigió un problema en el asistente de configuración donde un mensaje incorrecto «La base de datos ya existe» podía mostrarse en la página de conexión de base de datos.
• Se corrigió un problema donde después de guardar cambios en la ventana modal de Acceso a bóveda o Acceso a carpeta, se mostraba un mensaje incorrecto «¿Descartar cambios?» al intentar cerrar la ventana.
• Se corrigió un problema donde las notificaciones sobre intentos fallidos de ingreso de código PIN en la extensión del navegador podrían no enviarse.

Caso de estudio: Ciudad de Melle y Passwork

Passwork ha mejorado la seguridad interna en la Ciudad de Melle al crear un sistema confiable para la gestión de contraseñas.

Passwork BlogAna Moore

¿Qué es la gestión de contraseñas?

Aprenda qué es la gestión de contraseñas, por qué es importante y cómo protege sus cuentas con cifrado, almacenamiento seguro y control de acceso.

Passwork BlogEirik Salmi

Guía del Estándar de Cifrado Avanzado (AES)

Aprenda cómo funciona el cifrado AES, por qué es el estándar para la seguridad de datos y cómo AES-256 protege todo, desde contraseñas hasta datos TOP SECRET.

Passwork BlogEirik Salmi

The new version introduces biometric and passkey authentication, the option to add multiple URLs for a single password, email address verification for users, email-based authentication, and numerous other improvements and fixes.

Biometric authentication and passkeys

We've added support for biometric authentication, passkeys, and security keys based on the WebAuthn standard. You can now sign in to Passwork using your fingerprint, Face ID, PIN code, or a hardware security key (YubiKey and similar devices).

On the Authentication settings page, you can add new sign-in methods, manage existing ones, change your password, or enable passwordless authentication through biometrics or hardware security keys.

The new role setting Use passkey instead of password allows users to authenticate with a passkey instead of their local or domain password.

You can reset a passkey for an individual user on their page in the User management section through the Authentication modal window.

Learn more about authentication methods in our user manual.

Multiple URLs per entry

You can now add multiple URLs to a single entry. This is useful when one account is used to access different addresses: test and production environments, regional versions of a website, or related company services. The browser extension will automatically suggest filling in credentials on any of the specified URLs.

Email verification

Passwork now supports mandatory email verification for users. When a user adds or changes their email address, Passwork sends a verification email with a confirmation link.

You can enable mandatory email confirmation in System settings → Registration → Mandatory email confirmation.

Without email verification, invalid addresses can appear in the system. This can create problems: notifications don't reach users, password reset fails, and security risks emerge. Email confirmation ensures that messages are delivered only to legitimate recipients.

Email-based authentication

We've added the ability to sign in to Passwork using a verified email address instead of a login to simplify authentication and reduce login errors. After enabling this setting, username-based sign-in remains available, and all email addresses will be checked for uniqueness in the system.

You can enable email-based authentication in Passwork in System settings → Registration→ Sign in with email.

Improvements

• Improved the user filter in the Activity log: search now considers not only the action initiator but also linked users
• Fixed an issue where the folder filter in Security dashboard and Activity log might not include data from nested subfolders when selecting a parent folder
• Added automatic locking of the authentication settings page after 5 minutes of inactivity
• Added an option to set a color for each shortcut individually without changing the color of the initial password
• Added Trusted Proxies support (see documentation for details)
• Made improvements to the UI and localization

Bug fixes

• Fixed an issue where the Edit option in User management was not activated when the "Edit user email" option was enabled in role settings
• Fixed incorrect display of the banner prompting to add a service account on the LDAP server edit page after reloading the page
• Fixed an issue where the Update button in the user edit modal could remain inactive when there were unsaved changes
• Fixed an issue in the setup wizard where an incorrect "Database already exists" message could be displayed on the database connection page
• Fixed an issue where after saving changes in the Vault access or Folder access modal, an incorrect "Discard changes?" message was displayed when attempting to close the window
• Fixed an issue where notifications about failed PIN code entry attempts in the browser extension might not be sent

Case study: City of Melle and Passwork

Passwork has improved the internal security at the City of Melle by creating a reliable system for password management.

Passwork BlogAna Moore

What is password management?

Learn what password management is, why it matters, and how it protects your accounts with encryption, secure storage, and access control.

Passwork BlogEirik Salmi

Guide to Advanced Encryption Standard (AES)

Learn how AES encryption works, why it’s the standard for data security, and how AES-256 protects everything from passwords to TOP SECRET data.

Passwork BlogEirik Salmi

Die Stadt Melle, eine Gemeinde in Niedersachsen mit mehr als 48.000 Einwohnern, ist bekannt für ihren modernen Ansatz in der Stadtverwaltung und bei Bürgerservices. Die Kommunalverwaltung übernimmt ein breites Spektrum an Aufgaben: Stadtentwicklung, Bildung, Sozialfürsorge, Umweltschutz, Kulturinitiativen, kommunale Infrastruktur und wirtschaftliche Unterstützung für die Region.

In den letzten Jahren hat Melle stark in die digitale Transformation investiert, Online-Bürgerservices eingeführt, interne Verwaltungsabläufe modernisiert und die technologische Grundlage verbessert, die den täglichen kommunalen Betrieb unterstützt. Die Verwaltung ist bekannt für ihr Engagement für Transparenz, Effizienz und Servicequalität — und erhält regelmäßig positive Anerkennung von den Bürgern für ihre gut organisierten städtischen Dienste und ihre proaktive, lösungsorientierte Verwaltungsführung.

Als städtische Institution verpflichtet sich die Verwaltung, höchste Standards beim Datenschutz und bei der betrieblichen Integrität einzuhalten. Das IT-Team der Stadt ist kontinuierlich bestrebt, moderne Technologien zu implementieren, die Arbeitsabläufe optimieren, die Sicherheit erhöhen und die Mitarbeiter bei ihren täglichen Aufgaben unterstützen. Dieses Engagement führte dazu, dass der bisherige Ansatz im Passwortmanagement neu bewertet wurde — mit dem Ziel, eine Lösung zu finden, die sowohl die Sicherheitsanforderungen erfüllt als auch benutzerfreundlich für die Mitarbeiter ist.

Herausforderung: Einheitliches Passwortmanagement ohne Sicherheitsrisiken

Die Stadtverwaltung Melle erkannte die Notwendigkeit, die Zugangsdatensicherheit in den Arbeitsabläufen der Mitarbeiter zu verbessern. Verschiedene Abteilungen nutzten unterschiedliche Passwortmanagement-Lösungen, wobei die meisten den in Microsoft Edge integrierten Passwortmanager verwendeten. Dies führte zu isolierten Systemen mit eingeschränkter zentraler Übersicht, keiner Transparenz über Benutzeraktionen und uneinheitlichen Sicherheitsstandards in der gesamten Organisation. 

Über die Sicherheit hinaus wollte das IT-Team das Passwortmanagement für die Mitarbeiter vereinfachen. Die Stadtverwaltung beschäftigt Menschen mit unterschiedlichem technischen Kenntnisstand, sodass Benutzerfreundlichkeit ebenso wichtig war wie Schutz. 

„Das war uns besonders wichtig, damit wir kein zusätzliches Passwort haben, keine weitere Hürde für die Leute. Also wirklich nur ihr Windows-Passwort und dann am Ende des Tages die PIN für die Browser-Erweiterung." — Andre Kahlen, Systemadministrator

Das bedeutete, eine Lösung mit LDAP-Unterstützung zu finden — die es Benutzern ermöglicht, sich mit ihren bestehenden Windows-Zugangsdaten zu authentifizieren und eine zusätzliche Hürde bei der Einführung zu eliminieren. Dies führte dazu, dass das IT-Team die strategische Entscheidung traf, eine zentral verwaltete, unternehmenstaugliche Passwortmanagement-Lösung zu evaluieren und einzuführen.

Das Hauptziel war es, eine Plattform zu finden, die drei Kernanforderungen vereint:

• Sicherheit: Hohe Sicherheit, die den strengen Datenschutzbestimmungen und internen Sicherheitsrichtlinien entspricht.
• Benutzerfreundlichkeit: Außergewöhnliche Benutzerfreundlichkeit mit nahtloser Integration in die bestehende IT-Infrastruktur.
• Kontrolle: Einfache, zentralisierte Administration, die Daten zugänglich hält und gleichzeitig schnellen technischen Support bietet.

Die Stadt Melle benötigte einen Dienst, der die Arbeitsabläufe aller Abteilungen vereinheitlichen, transparentes Zugriffsmanagement etablieren und sichere Passwortspeicherung gewährleisten konnte.

Lösung: Aufbau einer belastbaren Infrastruktur

Um einen Passwortmanager auszuwählen, führte das IT-Team eine gründliche Analyse der auf dem Markt verfügbaren Lösungen durch. Nach sorgfältiger Abwägung entschied man sich für Passwork aufgrund seiner Sicherheitsfunktionen, granularen Kontrolle und benutzerfreundlichen Oberfläche — all dies entsprach den Kriterien genau.

Passworks Fähigkeit, zentrale Kontrolle zu bieten und gleichzeitig einen sicheren Bereich für Benutzer bereitzustellen, war für das IT-Team von Vorteil. Die Tresor-Struktur wurde ebenfalls als entscheidender Faktor betrachtet.

„Wir wollen die Kontrolle behalten, da wir viele Personen, besonders außerhalb der IT, mit Passwörtern arbeiten lassen. Einer der Vorteile von Passwork ist die zentralisierte Verwaltung."

Dieses Maß an Kontrolle war für die Kommune essenziell, da Administratoren eine große Menge sensibler Daten verwalten und Schutz benötigen, der unbefugten Zugriff auf vertrauliche Informationen effektiv verhindert.

Das Team testete erfolgreich alle deklarierten Funktionen und analysierte die Sicherheit auf Datenbankebene. Die Entscheidung basierte auf einer intensiven drei- bis viermonatigen Testphase mit etwa acht Mitgliedern der IT-Abteilung. Der gesamte Passwork-Implementierungsprozess, von der ersten Auswahl bis zur endgültigen Implementierung, dauerte über ein Jahr.

Technische Integration

Die LDAP-Integration war essenziell, um Benutzerreibungen zu minimieren. Nach dem Testen implementierte die Stadtverwaltung Passwork in ihrer Infrastruktur mit folgender Konfiguration:

• LDAP-Integration für zentralisiertes Benutzermanagement basierend auf Active Directory
• Die Self-hosted-Lösung mit einer zusätzlichen Instanz für Mitarbeiter mit erhöhten Sicherheitsanforderungen in einem isolierten Netzwerksegment
• Snapshot-basierte und klassische Backups, um sicherzustellen, dass Daten im Falle eines Vorfalls schnell wiederhergestellt werden können

„Wir haben die LDAP-Integration eingerichtet, um Benutzerkonten und Berechtigungen zentral zu verwalten, was sehr wichtig war. Wir haben uns entschieden, die Lösungen in mehrere Instanzen aufzuteilen. Der Zugriff ist auf diese Weise stark eingeschränkt."

Nach der erfolgreichen Implementierung musste das IT-Team die Arbeit der Mitarbeiter im neuen System strukturieren.

Organisation der Datenarbeit in Passwork

Das Ziel war es, ein ausgewogenes und flexibles System aufzubauen, das Kontrolle mit der Freiheit eines persönlichen Informationsbereichs für Mitarbeiter kombiniert. Das IT-Team etablierte eine klare Governance-Struktur:

• Zentralisierte Administration — IT-Admins erhielten automatisch Zugriff auf alle Tresore, um die Kontrolle zu behalten
• Personalisierte Schulungen zu sicheren Passwort-Export- und Import-Verfahren, um eine sichere Datenmigration zu gewährleisten
• Onboarding-Sitzungen für jeden Benutzer während der Einrichtung, um Vertrauen aufzubauen und eine reibungslose Einführung sicherzustellen
• Klare Richtlinien darüber, welche Informationen in gemeinsame Organisations-Tresore und welche in persönliche Tresore gehören

Mit Passwork erhielten Benutzer die Flexibilität, Tresore basierend auf ihren Arbeitsablauf-Anforderungen zu erstellen und zu organisieren.

Benutzer-Onboarding

Während des Rollouts stellte das IT-Team fest, dass zentralisierte Schulungssitzungen ineffektiv waren — viele Mitarbeiter fanden es schwierig, alle Informationen auf einmal aufzunehmen. Stattdessen wurde eine neue Methode gewählt: ein personalisierter Ansatz, der Benutzer ermutigen sollte, das Produkt zu akzeptieren, starke, generierte Passwörter zu verwenden, Zugangsdaten sicher zu teilen und Passwork effektiv zu nutzen.

„Die Passwork-Akzeptanz ist sehr gut: Mitarbeiter nehmen neue Funktionen leicht an. Es gibt eine persönliche Einweisung für jeden Benutzer, den wir einrichten. Dies umfasst auch Sicherheitsanforderungen und leitet an, wie das Tool effektiv genutzt werden kann. Mitarbeiter organisieren bereits ihren Bereich nach ihrer Struktur und denken darüber nach, wie sie Tresore gestalten können." 

Mitarbeiter haben jederzeit Zugriff auf Benutzeranleitungen, und die IT-Abteilung bietet kontinuierliche Unterstützung, um aufkommende Fragen zu beantworten.

Ergebnis: Sicherheit und Effizienz in Arbeitsabläufen

Nach mehr als einem Jahr im Einsatz ist die Stadt Melle weiterhin sehr zufrieden mit Passwork. Die Lösung wird heute aktiv von Büromitarbeitern genutzt. Folgende Punkte wurden als besonders positiv hervorgehoben.

Einheitlicher sicherer Bereich für Datenspeicherung

Die Kommune hat Browser-basierte Lösungen aufgegeben: Alle Passwörter werden nun in einem sicheren System mit mehrstufiger Verschlüsselung gespeichert. Der Zugriff darauf ist streng kontrolliert und protokolliert — dies hilft, Datenlecks zu verhindern und ermöglicht bei Bedarf die Untersuchung von Vorfällen.

Positive Benutzerakzeptanz

Viele Mitarbeiter haben das Tool angenommen und denken proaktiv darüber nach, wie sie Organisations-Tresore strukturieren können.

Zuverlässiger Kundensupport

Das Passwork-Supportteam spielte eine wichtige Rolle bei der erfolgreichen Implementierung und dem Upgrade von Version 6 auf das kürzlich veröffentlichte Passwork 7.

„Der Kundensupport war bisher mit seinen schnellen Antworten ausgezeichnet. Ich habe immer Antworten auf meine Fragen, immer mit den richtigen Skripten oder der richtigen Syntax, die ich eingeben musste, alles bereits vorbereitet. Perfekt." 

Die Stadt Melle plant, Passwork weiter auszurollen, bis alle Benutzer erfolgreich eingearbeitet sind. Das IT-Team hat begonnen, systematisch Feature-Anfragen zu sammeln, um das System an die spezifischen Anforderungen der IT-Infrastruktur der Stadtverwaltung anzupassen und sicherzustellen, dass es den betrieblichen Anforderungen entspricht.

Fazit

Passwork hat die interne Sicherheit der Stadt Melle verbessert, indem ein zuverlässiges System für das Passwortmanagement geschaffen wurde. Durch sorgfältige Evaluation und eine sicherheitsorientierte Implementierungsstrategie verlief die Einführung reibungslos. Ein maßgeschneiderter Onboarding-Ansatz führte zu hoher Benutzerakzeptanz, während die Zuverlässigkeit der Plattform und der reaktionsschnelle technische Support ihre Position als unverzichtbares Werkzeug im täglichen Verwaltungsbetrieb festigten.

Was ist Passwortmanagement?

Erfahren Sie, was Passwortmanagement ist, warum es wichtig ist und wie es Ihre Konten mit Verschlüsselung, sicherer Speicherung und Zugriffskontrolle schützt.

Passwork BlogEirik Salmi

Kindernothilfe: Vereinfachung der globalen Mitarbeiterzusammenarbeit mit Passwork

Kindernothilfe (KNH) ist eine deutsche gemeinnützige Organisation, die sich der Unterstützung gefährdeter Kinder in verarmten und benachteiligten Regionen weltweit widmet. Gegründet 1959, hat sie als eine der größten europäischen Wohltätigkeitsorganisationen für Kinderhilfe bedeutende Beiträge geleistet. In über 30 Ländern tätig, betont Kindernothilfe die Bedeutung der Sicherstellung der

Passwork BlogEirik Salmi

Leitfaden zum Advanced Encryption Standard (AES)

Erfahren Sie, wie AES-Verschlüsselung funktioniert, warum sie der Standard für Datensicherheit ist und wie AES-256 alles von Passwörtern bis hin zu STRENG GEHEIMEN Daten schützt.

Passwork BlogEirik Salmi

La ciudad de Melle, un municipio en Baja Sajonia con más de 48.000 residentes, es reconocida por su enfoque moderno en la administración municipal y los servicios al ciudadano. El gobierno local gestiona una amplia gama de responsabilidades: desarrollo urbano, educación, atención social, protección medioambiental, iniciativas culturales, infraestructura municipal y apoyo económico a la región.

En los últimos años, Melle ha invertido considerablemente en la transformación digital, introduciendo servicios en línea para los ciudadanos, modernizando los flujos de trabajo administrativos internos y mejorando la base tecnológica que respalda las operaciones municipales diarias. La administración es conocida por su compromiso con la transparencia, la eficiencia y la calidad del servicio — recibiendo regularmente reconocimiento positivo de los residentes por sus servicios municipales bien organizados y su gobernanza proactiva y orientada a soluciones.

Como institución municipal, la administración está comprometida a mantener los más altos estándares de protección de datos e integridad operativa. El equipo de TI de la ciudad busca continuamente implementar tecnologías modernas que optimicen los flujos de trabajo, mejoren la seguridad y apoyen a sus empleados en sus tareas diarias. Este compromiso los llevó a reevaluar su enfoque de gestión de contraseñas, buscando una solución que cumpliera con sus requisitos de seguridad y que a la vez fuera fácil de usar para los empleados.

Desafío: Gestión unificada de contraseñas sin riesgos de seguridad

La administración municipal de Melle reconoció la necesidad de mejorar la seguridad de las credenciales en los flujos de trabajo de los empleados. Los diferentes departamentos dependían de diversas soluciones de gestión de contraseñas, y la mayoría utilizaba la integrada en Microsoft Edge. Esto resultó en sistemas aislados con supervisión central limitada, sin visibilidad de las acciones de los usuarios y estándares de seguridad inconsistentes en toda la organización. 

Más allá de la seguridad, el equipo de TI quería simplificar la gestión de contraseñas para los empleados. La administración municipal emplea a personas con diferentes niveles de competencia técnica, por lo que la facilidad de uso era tan importante como la protección. 

«Eso era especialmente importante para nosotros, para no tener una contraseña adicional, otra barrera para las personas. Realmente solo su contraseña de Windows y luego el PIN para la extensión del navegador al final del día.» — Andre Kahlen, administrador de sistemas

Esto significaba encontrar una solución con soporte LDAP — que permitiera a los usuarios autenticarse con sus credenciales de Windows existentes y eliminara una barrera adicional para la adopción. Esto llevó al equipo de TI a tomar la decisión estratégica de evaluar e introducir una solución de gestión de contraseñas empresarial y gestionada de forma centralizada.

El objetivo principal era encontrar una plataforma que combinara tres requisitos fundamentales:

• Seguridad: alta seguridad que se alinee con las estrictas regulaciones de protección de datos y las políticas de seguridad internas.
• Usabilidad: facilidad de uso excepcional con integración perfecta en la infraestructura de TI existente.
• Control: administración centralizada y sencilla que mantenga los datos accesibles mientras proporciona soporte técnico rápido.

La ciudad de Melle requería un servicio que pudiera unificar los flujos de trabajo en todos los departamentos, establecer una gestión de acceso transparente y garantizar el almacenamiento seguro de contraseñas.

Solución: Construir una infraestructura resiliente

Para seleccionar un gestor de contraseñas, el equipo de TI realizó un análisis exhaustivo de las soluciones disponibles en el mercado. Tras una cuidadosa consideración, eligieron Passwork por sus funciones de seguridad, control granular e interfaz fácil de usar — todo lo cual coincidía estrechamente con sus criterios.

La capacidad de Passwork para proporcionar control centralizado mientras ofrece un espacio seguro para los usuarios fue beneficiosa para el equipo de TI. La estructura de bóvedas también se consideró un factor decisivo.

«Queremos mantener el control, ya que asignamos a muchas personas, especialmente aquellas fuera de TI, para que gestionen contraseñas. Una de las ventajas de Passwork es la gestión centralizada.»

Este nivel de control era esencial para el municipio, ya que los administradores manejan una gran cantidad de datos sensibles y requieren protección que prevenga eficazmente el acceso no autorizado a información confidencial.

El equipo probó con éxito todas las funciones declaradas y analizó la seguridad a nivel de base de datos. La decisión se basó en una fase de pruebas intensiva de tres a cuatro meses que involucró a unos ocho miembros del departamento de TI. Todo el proceso de implementación de Passwork, desde la selección inicial hasta la implementación final, tomó más de un año.

Integración técnica

La integración LDAP fue esencial para minimizar la fricción del usuario. Después de las pruebas, la administración municipal desplegó Passwork dentro de su infraestructura con la siguiente configuración:

• Integración LDAP para gestión centralizada de usuarios basada en Active Directory
• La solución autoalojada con una instancia adicional para empleados con requisitos de seguridad elevados en un segmento de red aislado
• Copias de seguridad basadas en snapshots y clásicas para garantizar que los datos puedan restaurarse rápidamente en caso de incidente

«Configuramos la integración LDAP para gestionar de forma centralizada las cuentas de usuario y los permisos, lo cual era muy importante. Decidimos dividir las soluciones en varias instancias. El acceso está muy restringido de esta manera.»

Tras la implementación exitosa, el equipo de TI necesitaba estructurar el trabajo de los empleados en el nuevo sistema.

Organización del trabajo con datos en Passwork

El objetivo era construir un sistema equilibrado y flexible que combinara el control con la libertad de un espacio de información personal para los empleados. El equipo de TI estableció una estructura de gobernanza clara:

• Administración centralizada — los administradores de TI otorgaron automáticamente acceso a todas las bóvedas para mantener el control
• Formación personalizada sobre procedimientos seguros de exportación e importación de contraseñas para garantizar una migración de datos segura
• Sesiones de incorporación para cada usuario durante la configuración para generar confianza y asegurar una adopción fluida
• Directrices claras sobre qué información pertenece a las bóvedas organizacionales compartidas y a las bóvedas personales

Con Passwork, los usuarios ganaron la flexibilidad de crear y organizar bóvedas según los requisitos de su flujo de trabajo.

Incorporación de usuarios

Durante el despliegue, el equipo de TI descubrió que las sesiones de formación centralizadas eran ineficaces — muchos empleados encontraban difícil absorber toda la información de una vez. Se eligió un nuevo método en su lugar: un enfoque personalizado destinado a animar a los usuarios a aceptar el producto, usar contraseñas fuertes y generadas, compartir credenciales de forma segura y aprender a usar Passwork eficazmente.

«La adopción de Passwork está siendo muy buena: los empleados se están adaptando fácilmente a las nuevas funciones. Hay una sesión informativa personal para cada usuario que configuramos. Esto también cubre los requisitos de seguridad y guía sobre cómo utilizar la herramienta de manera efectiva. Los empleados ya están organizando su espacio para adaptarlo a su estructura, pensando en cómo diseñar las bóvedas.» 

El personal siempre tiene acceso a las instrucciones de usuario, y el departamento de TI proporciona soporte continuo para resolver cualquier pregunta que surja.

Resultado: Seguridad y eficiencia en los flujos de trabajo

Después de más de un año en uso, la ciudad de Melle sigue muy satisfecha con Passwork. La solución es utilizada activamente por los empleados de oficina hoy en día. Los siguientes puntos se destacaron como particularmente positivos.

Espacio seguro unificado para el almacenamiento de datos

El municipio ha abandonado las soluciones basadas en navegador: todas las contraseñas ahora se almacenan en un sistema seguro con cifrado multinivel. El acceso a ellas está estrictamente controlado y registrado — esto ayuda a prevenir filtraciones y permite la investigación de incidentes si es necesario.

Aceptación positiva de los usuarios

Muchos empleados han adoptado la herramienta y están pensando proactivamente en cómo estructurar las bóvedas organizacionales.

Soporte al cliente fiable

El equipo de soporte de Passwork desempeñó un papel importante en la implementación exitosa y la actualización de la versión 6 a la recientemente lanzada Passwork 7.

«El soporte al cliente ha sido excelente hasta ahora con sus respuestas rápidas. Siempre tengo respuestas a mis preguntas, siempre con los scripts correctos incluidos o la sintaxis correcta que necesitaba introducir, todo ya preparado. Perfecto.» 

La ciudad de Melle planea continuar desplegando Passwork hasta que todos los usuarios estén incorporados con éxito. El equipo de TI ha comenzado a recopilar sistemáticamente solicitudes de funciones para perfeccionar el sistema y satisfacer los requisitos específicos de la infraestructura de TI de la administración municipal y asegurar que se alinee con sus necesidades operativas.

Conclusión

Passwork ha mejorado la seguridad interna en la ciudad de Melle al crear un sistema fiable para la gestión de contraseñas. A través de una evaluación cuidadosa y una estrategia de implementación centrada en la seguridad, el despliegue se realizó sin problemas. Un enfoque de incorporación personalizado impulsó una alta adopción por parte de los usuarios, mientras que la fiabilidad de la plataforma y el soporte técnico receptivo consolidaron su posición como herramienta esencial en las operaciones administrativas diarias.

¿Qué es la gestión de contraseñas?

Aprenda qué es la gestión de contraseñas, por qué es importante y cómo protege sus cuentas con cifrado, almacenamiento seguro y control de acceso.

Passwork BlogEirik Salmi

Kindernothilfe: Simplificando la colaboración global de empleados con Passwork

Kindernothilfe (KNH) es una organización sin fines de lucro alemana dedicada a apoyar a niños vulnerables en regiones empobrecidas y desfavorecidas de todo el mundo. Fundada en 1959, ha realizado contribuciones significativas como una de las organizaciones benéficas más grandes de Europa dedicadas a la ayuda infantil. Operando en más de 30 países, Kindernothilfe enfatiza la importancia de garantizar los derechos de los niños

Passwork BlogEirik Salmi

Guía del estándar de cifrado avanzado (AES)

Aprenda cómo funciona el cifrado AES, por qué es el estándar para la seguridad de datos y cómo AES-256 protege todo, desde contraseñas hasta datos de alto secreto.

Passwork BlogEirik Salmi

The city of Melle, a municipality in Lower Saxony with more than 48,000 residents, is recognized for its modern approach to city administration and citizen services. The local government manages a wide range of responsibilities: urban development, education, social care, environmental protection, cultural initiatives, municipal infrastructure, and economic support for the region.

In recent years, Melle has invested heavily in digital transformation, introducing online citizen services, modernizing internal administrative workflows, and improving the technological foundation that supports daily municipal operations. The administration is known for its commitment to transparency, efficiency, and service quality — regularly receiving positive recognition from residents for its well-organized city services and proactive, solutions-oriented governance.

As a city institution, the administration is committed to upholding the highest standards of data protection and operational integrity. The city's IT team continuously seeks to implement modern technologies that streamline workflows, enhance security, and support its employees in their daily tasks. This commitment led them to reevaluate their password management approach, seeking a solution that would meet their security requirements while remaining user-friendly for employees.

Challenge: Unified password management without security risks

The city administration of Melle recognized a need to improve credential security across employee workflows. Different departments relied on various password management solutions, with most using the one integrated into Microsoft Edge. This resulted in isolated systems with limited central oversight, no visibility into user actions, and inconsistent security standards across the organization. 

Beyond security, the IT team wanted to simplify password management for employees. The city administration employs people with varying levels of technical proficiency, so ease of use was just as important as protection. 

"That was especially important to us so that we wouldn't have an additional password, another hurdle for people. So really just their Windows password and then the PIN for the browser extension at the end of the day." — Andre Kahlen, system administrator

This meant finding a solution with LDAP support — allowing users to authenticate with their existing Windows credentials and eliminating an additional barrier to adoption. This led the IT team to make a strategic decision to evaluate and introduce a centrally managed, enterprise-grade password management solution.

The main objective was to find a platform that combined three core requirements:

• Security: high security that aligns with strict data protection regulations and internal security policies.
• Usability: exceptional user-friendliness with seamless integration into existing IT infrastructure.
• Control: simple, centralized administration that keeps data accessible while providing fast technical support.

The city of Melle required a service that could unify the workflows across all departments, establish transparent access management, and ensure secure password storage.

Solution: Building a resilient infrastructure

To select a password manager, the IT team conducted a thorough analysis of the available solutions on the market. After careful consideration, they chose Passwork for its security features, granular control, and user-friendly interface — all of which closely matched their criteria.

Passwork's ability to provide centralized control while still offering a secure space for users was beneficial to the IT team. The vault structure was also considered a deciding factor.

"We want to maintain control, since we assign many people, especially those outside of IT, to deal with passwords. One of the advantages of Passwork is centralized management."

This level of control was essential for the municipality, as administrators handle a vast amount of sensitive data and require protection that effectively prevents unauthorized access to confidential information.

The team successfully tested all the declared functions and analyzed database-level security. The decision was based on an intensive three- to four-month testing phase involving about eight members of the IT department. The entire Passwork implementation process, from initial selection to final implementation, took over a year.

Technical Integration

LDAP integration was essential to minimize user friction. After testing, the city administration deployed Passwork within its infrastructure with the following setup:

• LDAP integration for centralized user management based on Active Directory
• The self-hosted solution with an additional instance for employees with heightened security requirements in an isolated network segment
• Snapshot-based and classic backups to ensure data can be quickly restored in case of an incident

"We set up LDAP integration to centrally manage user accounts and permissions, which was highly important. We decided to split the solutions into several instances. Access is heavily restricted this way."

After the successful implementation, the IT team needed to structure the employees' work in the new system.

Organizing work with data in Passwork

The goal was to build a balanced and flexible system that combined control with the freedom of personal information space for employees. The IT team established a clear governance structure:

• Centralized administration — IT admins automatically granted access to all vaults to maintain control
• Personalized training on secure password export and import procedures to ensure safe data migration
• Onboarding sessions for each user during setup to build confidence and ensure smooth adoption
• Clear guidelines on what information belongs in shared organizational vaults and personal vaults

With Passwork, users gained the flexibility to create and organize vaults based on their workflow requirements.

User onboarding

During the rollout, the IT team discovered that centralized training sessions were ineffective — many employees found it challenging to absorb the information all at once. A new method was chosen instead: a personalized approach intended to encourage users to accept the product, use strong, generated passwords, share credentials securely, and learn to use Passwork effectively.

"Passwork adoption is getting very good: employees are taking to new features easily. There is a personal briefing for every user we set up. This also covers security requirements and guides how to effectively utilize the tool. Employees are already organizing their space to fit their structure, thinking about how to design vaults." 

Staff always have access to user instructions, and the IT department provides ongoing support to address any questions that arise.

Result: Security and efficiency in workflows

After more than a year in use, the City of Melle remains highly satisfied with Passwork. The solution is actively used by office employees today. The following points were highlighted as particularly positive.

Unified secure space for data storage

The municipality has abandoned browser-based solutions: all passwords are now stored in a secure system with multi-level encryption. Access to them is strictly controlled and logged — this helps prevent leaks and enables incident investigation if necessary.

Positive user acceptance

Many employees have embraced the tool and are proactively thinking about how to structure organizational vaults.

Reliable customer support

The Passwork support team played an important role in the successful implementation and upgrade from version 6 to the recently released Passwork 7.

"Customer support has been excellent so far with its fast responses. I always have answers to my questions, always with the right scripts included or the right syntax I needed to enter, everything already prepared. Perfect." 

The City of Melle plans to continue rolling out Passwork until all users are successfully onboarded. The IT team has begun systematically gathering feature requests to refine the system to meet the specific requirements of the city administration's IT infrastructure and to ensure it aligns with their operational needs.

Conclusion

Passwork has improved the internal security at the City of Melle by creating a reliable system for password management. Through careful evaluation and a security-focused implementation strategy, the deployment proceeded smoothly. A tailored onboarding approach drove high user adoption, while the platform's reliability and responsive technical support solidified its position as an essential tool in daily administrative operations.

What is password management?

Learn what password management is, why it matters, and how it protects your accounts with encryption, secure storage, and access control.

Passwork BlogEirik Salmi

Kindernothilfe: Simplifying global employee collaboration with Passwork

Kindernothilfe (KNH) is a German non-profit organization dedicated to supporting vulnerable children in impoverished and underprivileged regions worldwide. Founded in 1959, it has made significant contributions as one of Europe’s largest charities dedicated to child aid. Operating in over 30 countries, Kindernothilfe emphasizes the importance of ensuring children’s

Passwork BlogEirik Salmi

Guide to Advanced Encryption Standard (AES)

Learn how AES encryption works, why it’s the standard for data security, and how AES-256 protects everything from passwords to TOP SECRET data.

Passwork BlogEirik Salmi

The browser extension is available for Google Chrome, Microsoft Edge, Mozilla Firefox, and Safari.

• Improved recognition and autofill algorithm for simple and multi-step login forms, including TOTP code fields
• Improved local storage security for the extension in Chromium-based browsers
• Fixed an issue where password icons displayed incorrectly when entry names contained Unicode characters
• Fixed vault list display issues that occurred after deleting folders within a vault and returning to the main screen
• Fixed unintended session reset when removing the PIN code in the extension

Passwortverwaltung bezeichnet die Praxis des sicheren Erstellens, Speicherns, Organisierens und Kontrollierens des Zugriffs auf Passwörter und andere Authentifizierungsdaten. Sie kombiniert menschliche Prozesse mit spezialisierten Softwaretools, um sicherzustellen, dass jedes Konto ein starkes, einzigartiges Passwort verwendet — ohne dass Benutzer sich alle merken müssen.

Ob Sie eine Einzelperson sind, die ihr digitales Leben absichern möchte, oder ein IT-Administrator, der die digitalen Ressourcen eines Unternehmens schützt — das Verständnis von Passwortverwaltung ist essenziell.

Dieser Leitfaden erklärt alles Wissenswerte: Was Passwortverwaltung ist, warum sie wichtig ist, wie sie funktioniert und wie sie effektiv implementiert werden kann. Sie erfahren mehr über verschiedene Arten von Passwort-Managern, wichtige Funktionen und Best Practices, die vor den häufigsten Sicherheitsbedrohungen schützen.

Passwortverwaltung verstehen

Im Kern adressiert Passwortverwaltung eine grundlegende Herausforderung: Menschen sind schlecht darin, sichere Passwörter zu erstellen und zu merken. Wir greifen auf vorhersehbare Muster zurück, verwenden vertraute Kombinationen für mehrere Konten wieder und priorisieren Bequemlichkeit über Sicherheit.

Passwortverwaltungssysteme kompensieren diese inhärenten Einschränkungen, indem sie die kognitive Last und Komplexität übernehmen. Als Praxis und Technologie umfasst Passwortverwaltung mehrere Schlüsselfunktionen:

• Passwortgenerierung: Erstellung starker, zufälliger Passwörter, die Sicherheitsanforderungen erfüllen und gängigen Angriffsmethoden wie Brute-Force- und Wörterbuchangriffen widerstehen.
• Sichere Speicherung: Verschlüsselung und Speicherung von Passwörtern in einem geschützten Tresor, auf den nur autorisierte Benutzer zugreifen können.
• Organisation: Kategorisierung und Verwaltung von Anmeldedaten über Hunderte von Konten hinweg, sodass sie bei Bedarf leicht zu finden sind.
• Zugriffskontrolle: Festlegung, wer auf welche Passwörter zugreifen darf — besonders wichtig in Team- und Unternehmensumgebungen.
• Autofill und Automatisierung: Automatisches Eintragen von Anmeldedaten in Login-Formulare, um Reibungsverluste zu reduzieren und gleichzeitig die Sicherheit zu gewährleisten.
• Audit-Protokolle: Aufzeichnung, wer wann auf welche Anmeldedaten zugegriffen hat, damit Sicherheitsteams verdächtige Aktivitäten erkennen, Vorfälle untersuchen und regulatorische Compliance gewährleisten können.

Passwortverwaltung hat sich von rudimentären Praktiken zu ausgereifter Sicherheitsinfrastruktur entwickelt. Die erste Generation digitaler Passwort-Manager führte grundlegende Verschlüsselung (wie den Blowfish-Algorithmus) und zentralisierte Speicherung ein, adressierte unmittelbare Sicherheitslücken, verfügte aber nicht über die granularen Kontrollen, die Unternehmen benötigen.

Moderne Passwortverwaltungssysteme stellen einen grundlegenden Wandel dar: Sie kombinieren militärische Verschlüsselung, Zero-Knowledge-Architektur, rollenbasierte Zugriffskontrollen und umfassende Audit-Funktionen. Heutige Lösungen setzen Sicherheitsrichtlinien durch, erkennen Anomalien, integrieren sich in bestehende Infrastrukturen und bieten die Transparenz, die Organisationen benötigen, um Compliance aufrechtzuerhalten und in Echtzeit auf Bedrohungen zu reagieren.

Warum ist Passwortverwaltung wichtig?

Laut dem Data Breach Investigations Report 2025 von Verizon dienten gestohlene Anmeldedaten in 22 % aller bestätigten Datenschutzverletzungen als initialer Zugriffsvektor — bei einfachen Webanwendungsangriffen steigt dieser Wert auf 88 %.

Allein in der ersten Jahreshälfte 2025 wurden durch über 8.000 globale Datenschutzverletzungen etwa 345 Millionen Datensätze exponiert — ein Beleg für das anhaltende und katastrophale Ausmaß von Credential-basierten Angriffen. Hinter diesen Statistiken verbirgt sich eine grundlegende Inkompatibilität zwischen menschlicher Kognition und modernen Sicherheitsanforderungen.

Der menschliche Faktor

Unser Gehirn wurde schlicht nicht für dieses Informationstempo konzipiert. Psychologische Forschung zeigt, dass Menschen nur etwa 7±2 Informationseinheiten zuverlässig im Arbeitsgedächtnis behalten können. Dennoch wird erwartet, dass Hunderte einzigartige, komplexe Passwörter verwaltet werden — jedes eine zufällige Zeichenfolge aus Groß- und Kleinbuchstaben, Zahlen und Symbolen.

Angesichts dieser unmöglichen Aufgabe entwickeln Menschen Bewältigungsmechanismen, die die Sicherheit untergraben:

• Vorhersehbare Muster: Hinzufügen von „123" oder „!", um Komplexitätsanforderungen zu erfüllen.
• Passwort-Wiederverwendung: Über 60 % der Menschen verwenden Passwörter für mehrere Konten wieder.
• Aufschreiben von Passwörtern: Haftnotizen am Monitor sind erstaunlich verbreitet.
• Einfache Passwörter: „password", „123456" und „qwerty" gehören weltweit immer noch zu den häufigsten Passwörtern.

Dieses Verhalten ist keine Faulheit. Es ist eine rationale Reaktion auf eine überwältigende kognitive Belastung. Passwort-Müdigkeit ist real und führt zu Sicherheitsabkürzungen.

Die Folgen schlechter Passworthygiene

Wenn Passwortsicherheit versagt, kaskadieren die Konsequenzen:

• Für Einzelpersonen: Identitätsdiebstahl, Finanzbetrug, Datenschutzverletzungen und der zeitaufwändige Prozess der Wiederherstellung kompromittierter Konten. Das durchschnittliche Opfer von Identitätsdiebstahl verbringt 200 Stunden mit der Problemlösung.
• Für Unternehmen: Datenschutzverletzungen kosten durchschnittlich 4,44 Millionen US-Dollar pro Vorfall, laut IBMs Cost of a Data Breach Report. Neben direkten finanziellen Verlusten drohen Organisationen Bußgelder, rechtliche Haftung, Reputationsschäden und Vertrauensverlust bei Kunden.
• Für IT-Teams: Passwortbezogene Helpdesk-Tickets verbrauchen in typischen Organisationen 20-50 % der IT-Support-Ressourcen. Jede „Passwort vergessen"-Anfrage steht für Zeit, die für strategische Initiativen genutzt werden könnte.

Die Vorteile effektiver Passwortverwaltung

Die Implementierung einer ordnungsgemäßen Passwortverwaltung liefert messbare Verbesserungen:

• Erhöhte Sicherheit: Einzigartige, starke Passwörter für jedes Konto eliminieren den Dominoeffekt der Passwort-Wiederverwendung. Selbst wenn ein Passwort kompromittiert wird, bleiben andere Konten sicher.
• Reduzierte kognitive Belastung: Sie merken sich ein Masterpasswort statt Hunderter. Die mentale Entlastung ist sofort und erheblich.
• Zeitersparnis: Autofill eliminiert die Minuten, die mit dem Eintippen oder Zurücksetzen von Passwörtern verbracht werden. Für Organisationen bedeutet dies jährlich Tausende Stunden Produktivitätsgewinn.
• Compliance-Unterstützung: Viele Vorschriften (DSGVO, HIPAA, SOC 2) verlangen von Organisationen den Nachweis einer ordnungsgemäßen Anmeldedatenverwaltung. Passwort-Manager liefern die für die Compliance erforderlichen Audit-Protokolle und Kontrollen.
• Verbesserte Benutzererfahrung: Reibungsloser Zugriff auf Konten ohne Frustration durch Passwortzurücksetzungen oder Kontosperrungen.

Wie funktioniert Passwortverwaltung?

Das Verständnis der Mechanismen der Passwortverwaltung hilft, sowohl ihre Sicherheit als auch ihre Benutzerfreundlichkeit zu schätzen. Moderne Passwort-Manager balancieren starke Verschlüsselung mit benutzerfreundlichem Zugriff.

Das Masterpasswort-Konzept

Alles beginnt mit Ihrem Masterpasswort — dem einzigen Passwort, das Sie sich merken müssen. Dieses Passwort entsperrt Ihren verschlüsselten Tresor mit allen anderen Anmeldedaten.

Viele Benutzer erstellen Masterpasswörter mithilfe von Passphrasen — zufällige Wörter, die aneinandergereiht werden wie correct-horse-battery-staple — die sowohl sicher als auch einprägsam sind.

Der XKCD-Comic, der dieses Konzept populär machte, demonstrierte eine entscheidende Erkenntnis: Vier oder fünf zufällige gebräuchliche Wörter erzeugen mehr Entropie (Zufälligkeit) als ein kürzeres komplexes Passwort und sind dabei viel leichter zu merken.

Der verschlüsselte Tresor

Ihr Passwort-Tresor ist eine verschlüsselte Datenbank, die alle Ihre Anmeldedaten, Notizen und andere sensible Informationen speichert. Moderne Passwort-Manager verwenden AES-256-Verschlüsselung — denselben Standard, der von Regierungen und Militärs weltweit eingesetzt wird.

Das macht ihn sicher:

• Verschlüsselung im Ruhezustand: Ihre Daten werden verschlüsselt, bevor sie Ihr Gerät verlassen. Selbst das Passwort-Manager-Unternehmen kann Ihre Tresorinhalte nicht lesen.
• Zero-Knowledge-Architektur: Der Dienstanbieter hat niemals Zugriff auf Ihr Masterpasswort oder unverschlüsselte Daten. Wenn deren Server kompromittiert werden, bleiben Ihre Passwörter geschützt.
• Verschlüsselung bei der Übertragung: Bei der Synchronisierung zwischen Geräten reist Ihr verschlüsselter Tresor durch sichere Kanäle (TLS/SSL), was eine weitere Schutzebene hinzufügt.

Die Benutzerreise

So funktioniert Passwortverwaltung in der Praxis:

1. Ersteinrichtung: Sie erstellen Ihr Masterpasswort, richten Ihr Konto und Sicherheitseinstellungen ein — Multi-Faktor-Authentifizierung, Zugriffskontrollen und Tresor-Parameter.
2. Passwörter hinzufügen: Wenn Sie sich bei bestehenden Konten anmelden, erkennt der Passwort-Manager Login-Formulare und bietet an, Ihre Anmeldedaten zu speichern. Sie können Passwörter auch manuell hinzufügen oder aus Browsern oder anderen Passwort-Managern importieren.
3. Passwortgenerierung: Beim Erstellen neuer Konten generiert der Passwort-Manager starke, zufällige Passwörter entsprechend den Anforderungen der Website. Sie müssen nie wieder über die Passworterstellung nachdenken.
4. Autofill: Wenn Sie eine Login-Seite besuchen, erkennt der Passwort-Manager die Website und bietet an, Ihre Anmeldedaten einzutragen. Ein Klick, und Sie sind eingeloggt.
5. Synchronisierung: Ihr verschlüsselter Tresor synchronisiert sich über alle Ihre Geräte — Smartphone, Tablet, Laptop, Desktop. Änderungen auf einem Gerät erscheinen überall.
6. Sicheres Teilen: Wenn Sie Anmeldedaten mit Familienmitgliedern oder Teammitgliedern teilen müssen, verschlüsselt und überträgt der Passwort-Manager diese sicher, ohne sie im Klartext preiszugeben.

Arten von Passwort-Managern

Passwort-Manager unterscheiden sich erheblich in Architektur, Sicherheitsmodell und Bereitstellungsoptionen. Das Verständnis dieser Unterschiede ist für die Auswahl der richtigen Lösung essenziell.

Browserbasierte Passwort-Manager

In Webbrowser wie Chrome, Firefox, Safari und Edge integriert, bieten diese Passwort-Manager grundlegende Funktionalität ohne zusätzliche Software.

Vorteile:

• Kostenlos und sofort verfügbar
• Nahtlose Integration mit dem Browser
• Automatische Synchronisierung über Geräte mit demselben Browser
• Keine Lernkurve

Nachteile:

• Beschränkt auf Browser-Passwörter
• Grundlegende Sicherheitsfunktionen im Vergleich zu dedizierten Lösungen
• Anfällig bei kompromittiertem Browser-Konto
• Eingeschränkte Freigabefunktionen
• Inkonsistente browserübergreifende Funktionalität

Geeignet für: Gelegenheitsnutzer mit einfachen Anforderungen, die hauptsächlich ein Browser-Ökosystem verwenden.

Eigenständige Passwort-Manager

Diese Anwendungen speichern Ihren verschlüsselten Passwort-Tresor lokal auf Ihrem Gerät statt in der Cloud. Sie sind für die individuelle Nutzung konzipiert und priorisieren lokale Kontrolle über Mehräte-Komfort.

Vorteile:

• Vollständige Kontrolle über Ihre Daten
• Keine Abhängigkeit von Cloud-Diensten
• Funktioniert offline
• Maximale Privatsphäre

Nachteile:

• Manuelle Synchronisierung zwischen Geräten
• Risiko von Datenverlust bei Geräteausfall ohne Backups
• Weniger komfortabel für Mehrgeräte-Nutzer
• Erfordert mehr technisches Wissen

Geeignet für: Datenschutzbewusste Benutzer, Personen mit eingeschränkter Internetverbindung oder alle, die lokale Datenspeicherung bevorzugen.

Cloud-basierte Passwort-Manager

Die beliebteste Kategorie: Diese Dienste speichern Ihren verschlüsselten Tresor auf ihren Servern und synchronisieren ihn über alle Ihre Geräte.

Vorteile:

• Nahtlose Synchronisierung über unbegrenzte Geräte
• Von überall mit Internetzugang erreichbar
• Automatische Backups
• Umfangreiche Funktionen (Freigabe, Auditing, Breach-Monitoring)
• Benutzerfreundliche Oberflächen
• Mobile Apps mit biometrischer Authentifizierung

Nachteile:

• Erfordert Vertrauen in den Dienstanbieter
• Abonnementkosten für Premium-Funktionen
• Abhängig von Internetverbindung
• Potenzielles Ziel für Angreifer (obwohl Verschlüsselung die Daten schützt)

Geeignet für: Die meisten Einzelnutzer, Familien und kleine Teams, die Komfort und umfassende Funktionen wünschen.

Enterprise-Passwort-Manager

Für Organisationen konzipiert, bieten diese Lösungen zusätzliche administrative Kontrollen, Compliance-Funktionen, Integration mit Unternehmenssystemen und werden On-Premise bereitgestellt. Diese Architektur eliminiert Abhängigkeiten von externen Anbietern. Sie definieren den Sicherheitsperimeter, verwalten Zugriffskontrollen und bewahren vollständige operative Unabhängigkeit.

Vorteile:

• Vollständige Datenhoheit
• Keine externen Abhängigkeiten oder Cloud-Dienstanbieter
• Automatische Compliance mit Datenlokalisierungsvorschriften
• Integration mit Active Directory, LDAP und SSO-Systemen
• Zentralisierte Administration mit granularer Richtliniendurchsetzung
• Rollenbasierte Zugriffskontrollen und Privileged Access Management
• Umfassende Audit-Protokolle und Compliance-Berichte
• Automatisierte Onboarding-/Offboarding-Workflows
• Schutz vor anbieterseitigen Sicherheitsvorfällen

Nachteile:

• Höhere anfängliche Infrastruktur- und Lizenzkosten
• Komplexere Einrichtung und Administration
• Kann IT-Expertise erfordern
• Organisation verwaltet Backups und Disaster Recovery

Geeignet für: Unternehmen jeder Größe, IT-Teams, die gemeinsame Anmeldedaten verwalten, Organisationen mit Compliance-Anforderungen.

Schlüsselfunktionen von Passwort-Managern

Moderne Passwort-Manager bieten weit mehr als einfache Passwortspeicherung. Das Verständnis dieser Funktionen hilft bei der Evaluierung von Lösungen und der Maximierung ihres Nutzens.

Kernfunktionen

• Passwortgenerierung: Erstellt starke, zufällige Passwörter basierend auf anpassbaren Kriterien (Länge, Zeichentypen, Symboleinschluss). Die besten Generatoren erstellen Passwörter, die mit aktueller Technologie Jahrhunderte lang Brute-Force-Angriffen widerstehen.
• Sichere Speicherung: Verschlüsselter Tresor für Passwörter, wobei viele Manager auch sichere Notizen, Kreditkarteninformationen, Identitätsdokumente und andere sensible Daten speichern.
• Autofill: Erkennt automatisch Login-Formulare und füllt Anmeldedaten mit einem Klick oder Tippen aus. Erweitertes Autofill unterscheidet zwischen ähnlichen Websites, um Phishing-Angriffe zu verhindern.
• Plattformübergreifende Synchronisierung: Hält Ihren Tresor über Windows, macOS, Linux, iOS, Android und Webbrowser synchronisiert.
• Browser-Erweiterungen: Integrationen für Chrome, Firefox, Safari, Edge und andere Browser, die Autofill und Passworterfassung ermöglichen.
• Mobile Apps: Vollwertige Anwendungen für Smartphones und Tablets, oft mit biometrischer Authentifizierung.

Sicherheitsfunktionen

• Multi-Faktor-Authentifizierung (MFA): Fügt einen zweiten Verifizierungsschritt über Ihr Masterpasswort hinaus hinzu. Optionen umfassen Authenticator-Apps (TOTP), SMS-Codes, Hardware-Keys (YubiKey) oder biometrische Verifizierung.
• Biometrische Authentifizierung: Entsperren Sie Ihren Tresor per Fingerabdruck, Gesichtserkennung oder anderen biometrischen Methoden auf unterstützten Geräten.
• Sicherheits-Dashboard: Analysiert Ihre Passwörter und identifiziert:
  • Schwache Passwörter, die Sicherheitsstandards nicht erfüllen
  • Wiederverwendete Passwörter für mehrere Konten
  • Alte Passwörter, die lange nicht geändert wurden
• Zero-Knowledge-Architektur: Stellt sicher, dass selbst das Passwort-Manager-Unternehmen nicht auf Ihre unverschlüsselten Daten zugreifen kann.
• Notfallzugriff: Bestimmen Sie vertrauenswürdige Kontakte, die nach einer Wartezeit auf Ihren Tresor zugreifen können, falls Sie handlungsunfähig werden.

Freigabe- und Kollaborationsfunktionen

• Sicheres Teilen: Teilen Sie einzelne Passwörter oder ganze Ordner mit Familienmitgliedern oder Teammitgliedern, ohne Passwörter im Klartext preiszugeben.
• Team-Konten: Organisieren Sie Passwörter nach Abteilung, Projekt oder Zugangslevel mit rollenbasierten Berechtigungen.
• Zugriffskontrollen: Definieren Sie, wer bestimmte Passwörter anzeigen, nutzen oder ändern darf.
• Freigabeverlauf: Verfolgen Sie, wann Passwörter geteilt, aufgerufen oder geändert wurden.

Erweiterte Funktionen

• Passwortverlauf: Speichert frühere Versionen von Passwörtern, sodass Sie bei Bedarf zurückkehren können.
• Sichere Notizen: Speichern Sie sensible Informationen über Passwörter hinaus — Softwarelizenzen, WLAN-Zugangsdaten, Serverdetails, Wiederherstellungscodes.
• Dateianhänge: Hängen Sie verschlüsselte Dateien an Tresor-Einträge an (Verträge, Zertifikate, Dokumente).
• API-Zugriff: Für Entwickler und Power-User: Programmatischer Zugriff auf den Passwort-Manager.
• CLI-Tools: Kommandozeilen-Schnittstellen zur Integration der Passwortverwaltung in Entwicklungs-Workflows.
• Audit-Protokolle: Detaillierte Aufzeichnungen aller Tresor-Aktivitäten für Sicherheitsüberwachung und Compliance.

Best Practices für die Passwortverwaltung

Einen Passwort-Manager zu besitzen, ist nur der erste Schritt. Diese Best Practices stellen sicher, dass Sie ihn effektiv und sicher nutzen.

1. Erstellen Sie ein unknackbares Masterpasswort

Ihr Masterpasswort ist der einzige Schwachpunkt Ihrer gesamten Passwortsicherheit. Machen Sie es richtig:

• Verwenden Sie mindestens 16 Zeichen (länger ist besser)
• Kombinieren Sie zufällige Wörter zu einer einprägsamen Passphrase
• Vermeiden Sie persönliche Informationen (Namen, Daten, Adressen)
• Verwenden Sie niemals ein Passwort wieder, das Sie anderswo genutzt haben

2. Aktivieren Sie Multi-Faktor-Authentifizierung

Fügen Sie Ihrem Passwort-Manager-Konto eine zweite Sicherheitsebene hinzu. Selbst wenn jemand Ihr Masterpasswort entdeckt, kann er ohne den zweiten Faktor nicht auf Ihren Tresor zugreifen. Authenticator-Apps (Passwork 2FA, Google Authenticator, Authy) sind sicherer als SMS-Codes. Hardware-Sicherheitsschlüssel (YubiKey) bieten den stärksten Schutz.

3. Verwenden Sie einzigartige Passwörter für jedes Konto

Dies ist die Grundregel der Passwortsicherheit. Ihr Passwort-Manager macht es mühelos — lassen Sie ihn für jedes Konto ein einzigartiges Passwort generieren. Wenn eine Website kompromittiert wird, bleiben Ihre anderen Konten sicher.

4. Generieren Sie lange, komplexe Passwörter

Maximieren Sie beim Erstellen von Passwörtern Länge und Komplexität:

• Streben Sie mindestens 16-20 Zeichen an
• Verwenden Sie alle Zeichentypen (Groß-, Kleinbuchstaben, Zahlen, Symbole)
• Lassen Sie den Passwort-Manager sie zufällig generieren

5. Führen Sie regelmäßige Passwort-Audits durch

Planen Sie vierteljährliche Überprüfungen mithilfe des Sicherheits-Dashboards Ihres Passwort-Managers:

• Aktualisieren Sie schwache Passwörter
• Eliminieren Sie wiederverwendete Passwörter
• Ändern Sie alte Passwörter (besonders für kritische Konten)
• Entfernen Sie Passwörter für Konten, die Sie nicht mehr nutzen

6. Reagieren Sie sofort auf Breach-Warnungen

Wenn Ihr Passwort-Manager Sie über ein kompromittiertes Passwort informiert, ändern Sie es sofort. Warten Sie nicht — kompromittierte Anmeldedaten werden oft innerhalb von Stunden ausgenutzt.

7. Organisieren Sie Ihren Tresor durchdacht

Erstellen Sie eine logische Struktur:

• Verwenden Sie Ordner oder Tags zur Kategorisierung von Passwörtern (Arbeit, Privat, Finanzen etc.)
• Fügen Sie Notizen zu Passwörtern mit Sicherheitsfragen, Kontonummern oder anderen relevanten Informationen hinzu
• Markieren Sie kritische Konten zur einfachen Identifizierung

8. Sichern Sie Ihren Tresor regelmäßig

Obwohl Cloud-basierte Passwort-Manager Backups automatisch handhaben, sollten Sie Folgendes in Betracht ziehen:

• Exportieren Sie regelmäßig ein verschlüsseltes Backup
• Speichern Sie das Backup an einem separaten sicheren Ort
• Testen Sie Ihr Backup, um sicherzustellen, dass es funktioniert

9. Richten Sie Notfallzugriff ein

Bestimmen Sie eine vertrauenswürdige Person, die auf Ihren Tresor zugreifen kann, falls Ihnen etwas zustößt. Die meisten Passwort-Manager bieten Notfallzugriffsfunktionen mit konfigurierbaren Wartezeiten.

10. Nutzen Sie sichere Freigabefunktionen

Beim Teilen von Passwörtern mit Teammitgliedern:

• Verwenden Sie die integrierten Freigabefunktionen des Passwort-Managers
• Senden Sie niemals Passwörter per E-Mail, SMS oder Messenger-Apps
• Entziehen Sie den Zugriff sofort, wenn er nicht mehr benötigt wird
• Überprüfen Sie regelmäßig, wer Zugriff auf geteilte Passwörter hat

11. Halten Sie Ihren Passwort-Manager aktuell

Aktivieren Sie automatische Updates, um sicherzustellen, dass Sie die neuesten Sicherheitspatches und Funktionen erhalten. Dies gilt für Browser-Erweiterungen, mobile Apps und Desktop-Anwendungen.

12. Vermeiden Sie häufige Fehler

• Speichern Sie nicht Ihr Masterpasswort in Ihrem Tresor (zirkuläre Abhängigkeit)
• Teilen Sie niemals Ihr Masterpasswort mit irgendjemandem
• Verwenden Sie nicht Autofill des Passwort-Managers auf öffentlichen oder geteilten Computern
• Ignorieren Sie nicht Sicherheitswarnungen Ihres Passwort-Managers
• Gehen Sie nicht davon aus, dass Sie völlig sicher sind — bleiben Sie wachsam

Häufig gestellte Fragen

Fazit

Passwortverwaltung ist keine Option mehr — sie ist essenzielle Infrastruktur für das digitale Leben. Die durchschnittliche Person verwaltet Hunderte von Konten, die jeweils sichere Authentifizierung erfordern. Der Versuch, sich einzigartige, starke Passwörter für jedes Konto zu merken, ist unmöglich, und die Alternativen — Passwort-Wiederverwendung, schwache Passwörter oder schriftliche Notizen — schaffen ernsthafte Sicherheitslücken.

Passwort-Manager lösen dieses Problem. Sie generieren starke Passwörter, speichern sie sicher mit militärischer Verschlüsselung und füllen sie bei Bedarf automatisch aus. Sie merken sich ein Masterpasswort; der Passwort-Manager übernimmt den Rest.

Die Vorteile gehen über Sicherheit hinaus. Passwort-Manager sparen Zeit, reduzieren Frustration, verbessern die Produktivität und unterstützen Compliance-Anforderungen. Für Unternehmen reduzieren sie die Helpdesk-Belastung und schützen vor den kostspieligen Folgen von Datenschutzverletzungen.

Weiterführende Lektüre

Guide to Advanced Encryption Standard (AES)

Learn how AES encryption works, why it's the standard for data security, and how AES-256 protects everything from passwords to TOP SECRET data.

Passwork BlogEirik Salmi

GDPR password security: Guide to effective staff training

Learn proven strategies to train employees for GDPR password security compliance. Reduce breach risks with practical training methods.

Passwork BlogAna Moore

Passwork 7.1: Vault types

Vault types Passwork 7.1 introduces a robust vault types architecture, providing enterprise-grade access control for enhanced security and management. Vault types address a key challenge for administrators: controlling data access and delegating vault management across large organizations. Previously, the choice was limited to two types. Now, you can create

Passwork BlogEirik Salmi