Passbolt

Was ist Passbolt?

Passbolt ist ein quelloffener Passwort- und Zugangsdaten-Manager der Passbolt SA aus Belvaux in Luxemburg. Der Anbieter beschreibt das Produkt als Plattform, die zuerst für sicherheitsbewusste IT-Teams gebaut wurde, aber einfach genug für den Einsatz im ganzen Unternehmen bleiben soll.

Der Unterschied zu einem klassischen Passwort-Safe liegt im Teilen. Passbolt setzt auf OpenPGP: Jeder Nutzer hat ein eigenes Schlüsselpaar, der private Schlüssel wird auf dem Gerät erzeugt und gespeichert und passiert den Server nie. Jedes Passwort wird einzeln verschlüsselt, für jeden Empfänger separat. Wird ein Geheimnis kompromittiert, sind die anderen davon nicht betroffen.

Bemerkenswert ist, wie der Anbieter selbst mit Marketingbegriffen umgeht. Auf die Frage, ob Passbolt „zero knowledge“ sei, antwortet er in der eigenen FAQ mit Nein, weil der Begriff vage sei und stärkere Garantien suggeriere, als ein System tatsächlich liefert. Stattdessen spricht er von Ende-zu-Ende-Verschlüsselung. Das ist eine seltene Form von Ehrlichkeit in dieser Kategorie.

Nach eigenen Angaben nutzen über 50.000 Organisationen weltweit Passbolt, darunter Bosch, das französische Innenministerium, GLS, die Humboldt-Universität zu Berlin und die TU Graz.

Für wen eignet sich Passbolt?

Der Anbieter führt eigene Seiten für IT-Teams, DevOps-Teams, Security-Teams, das Gesundheitswesen, Hochschulen und öffentliche Verwaltungen. Der rote Faden: Organisationen, die Zugangsdaten strukturiert teilen müssen und dabei nachweisen wollen, wer worauf Zugriff hatte.

Für DevOps-Teams ist der Zugriff über CLI und REST API das Argument. Zugangsdaten lassen sich aus Skripten und Pipelines abrufen, statt sie in Code oder Konfigurationsdateien zu hinterlegen. Passbolt versteht sich dabei ausdrücklich als Ergänzung zu Vault oder Cloud-Secret-Managern, nicht als deren Ersatz: Jene zielen auf Maschinengeheimnisse, Passbolt auf die menschliche Zugriffsebene.

Weniger passend ist das Tool für Einzelnutzer und sehr kleine Teams. Jeder bezahlte Tarif verlangt mindestens 10 Nutzer. Wer zu fünft arbeitet, zahlt also für zehn oder bleibt bei der kostenlosen Community Edition, die dafür Self-Hosting voraussetzt. Wie sich so eine Infrastrukturentscheidung sauber aufsetzen lässt, ist Teil unserer Beratung und Betreuung.

Passbolt im Arbeitsalltag

So funktioniert das Produkt laut Hersteller. Zugangsdaten liegen in privaten oder geteilten Ordnern, ergänzt um Tags, Kommentare und Beschreibungen. Neben Passwörtern nimmt der Tresor TOTP-Codes, verschlüsselte Notizen und eigene Felder auf. Geteilt wird einzeln oder ordnerweise, mit fein abgestuften Rechten je Nutzer oder Gruppe.

Im Browser füllt die Erweiterung Formulare aus, speichert neue Zugangsdaten und generiert Passwörter. Dieselben Funktionen gibt es in der Desktop-App für Windows und in den Apps für iOS und Android. Für Skripte und Pipelines gibt es CLI, REST API und SDKs.

Administrativ zieht Passbolt Nutzer und Gruppen per LDAP oder Active Directory, erzwingt SSO und Mehr-Faktor-Anmeldung und protokolliert Aktivitäten. Das Protokoll lässt sich als Syslog oder Logdatei nach außen geben. Verliert jemand seine Passphrase, greift die Account Recovery mit Admin-Freigabe.

Wie das in einer echten Organisation aussieht, beschreibt der Anbieter in einer eigenen Fallstudie: Beim luxemburgischen Government IT Centre CTIE mit 600 Beschäftigten sei die Einführung ohne große Schulung ausgekommen, ein Handout habe gereicht, und neue Beschäftigte kämen seither schneller an die nötigen Zugangsdaten. Diese Darstellung stammt vom Anbieter und ist von uns nicht unabhängig geprüft.

Preise und Pläne

Abgerechnet wird pro Nutzer. Wichtig für die Kalkulation: Jeder bezahlte Tarif setzt mindestens 10 Nutzer voraus, unabhängig davon, wie viele Leute wirklich arbeiten.

Selbst gehostet gibt es drei Stufen. Die Community Edition ist kostenlos und hat kein Nutzerlimit. Sie enthält Passwortverwaltung und Teilen, private und geteilte Ordner, Nutzer- und Gruppenverwaltung, Browser-Erweiterungen, CLI, offene API und rollenbasierte Rechte. Die Pro Edition kostet 4,50 € pro Nutzer und Monat bei jährlicher Abrechnung und bringt Tags, LDAP-Provisionierung, SSO mit Microsoft, Google und OpenID, Account Recovery, Aktivitätsprotokoll und eine VM-Appliance dazu. Sie deckt genau eine Instanz ab. Die Enterprise Edition gibt es nur auf Anfrage.

In der Cloud liegen die Preise etwas anders. Cloud Business kostet 5 € pro Nutzer und Monat bei monatlicher Zahlung, bei jährlicher Zahlung gibt es 10 % Nachlass. Gehostet wird in Google-Rechenzentren in Belgien und Deutschland. Cloud Sovereign kostet 7 € pro Nutzer und Monat, wird jährlich im Voraus bezahlt und läuft in einem souveränen privaten Rechenzentrum in Luxemburg mit ISO-27001-Zertifizierung. Cloud Enterprise ist ein individuelles Angebot mit eigener Domain, 24/7-Überwachung und vier Stunden SLA.

Zwei Details, die leicht untergehen. Die Cloud lässt sich sieben Tage kostenlos testen, danach werden die Testdaten nach einer Karenzzeit von sieben Tagen gelöscht. Und eigene Vertragsbedingungen, etwa aus einer Bestellung, prüft der Anbieter erst ab einem Jahreswert von 20.000 EUR. Stand: September 2026.

Stärken und Schwächen

Die Offenheit ist konsequent. Auch die bezahlten Editionen stehen unter AGPL v3, der Quellcode ist einsehbar, und der Anbieter lässt mehrmals im Jahr extern auditieren und veröffentlicht die Berichte. Dazu kommt die Verschlüsselungsarchitektur: privater Schlüssel auf dem Gerät, Verschlüsselung pro Eintrag, Schutz gegen Phishing über Token, Farbkombination und URL-Abgleich. Für die Cloud nennt der Anbieter SOC 2 Type II, dazu läuft das ANSSI-CSPN-Zertifizierungsverfahren.

Die Schwächen liegen in den Konditionen, nicht in der Technik. Zehn Nutzer Minimum sind für kleine Teams eine harte Kante. Die Pro Edition gibt es nur im Jahresabo und nur für eine Instanz, wer Test- und Produktivsystem trennen will, braucht also zwei Abos. Und wer echte EU-Datensouveränität ohne Google als Auftragsverarbeiter will, zahlt 7 € statt 5 € und muss jährlich vorauszahlen. Der Anbieter benennt diesen Punkt selbst offen, was für ihn spricht, den Aufpreis aber nicht kleiner macht.

Alternativen zu Passbolt

Bitwarden ist die naheliegende Alternative, ebenfalls quelloffen und ebenfalls mit Self-Hosting-Option. Passbolt selbst führt dazu eine eigene Vergleichsseite.

Password Depot kommt aus Deutschland und zielt stärker auf klassische Büroumgebungen als auf DevOps-Pipelines. Keeper deckt die Enterprise-Ecke ab. Aus dem Umfeld ohne eigenen Eintrag bei uns nennt der Anbieter außerdem KeePass und Vaultwarden als Umstiegskandidaten.

Überblick

Wir halten Passbolt für die richtige Wahl, wenn im Team regelmäßig Zugangsdaten wandern und jemand später beantworten muss, wer wann worauf Zugriff hatte. Die Kombination aus quelloffenem Code, Verschlüsselung pro Eintrag und Rechtevergabe auf Ordner- und Eintragsebene ist in dieser Preisklasse ungewöhnlich stark, und für Teams mit CI/CD-Pipelines ist der CLI-Zugriff bares Geld wert.

Aus unserer Projekterfahrung: Der Einstieg ist technischer als bei den bekannten Consumer-Managern. Das liegt weniger an der Oberfläche als am Schlüsselkonzept, denn Nutzer müssen verstehen, dass ihre Passphrase nicht zurückgesetzt werden kann, sondern eine Account Recovery mit Admin-Freigabe braucht. Wer das im Onboarding nicht sauber erklärt, produziert Support-Tickets. Der Anbieter selbst berichtet aus einer Behörde, dass ein Handout gereicht habe. Das deckt sich mit unserer Erfahrung, wenn eine IT-Abteilung die Einführung begleitet.

Rechne die Zehn-Nutzer-Grenze vorher durch. Für ein Fünf-Personen-Team ist entweder die kostenlose Community Edition mit eigenem Server die ehrlichere Wahl, oder eine Alternative ohne Mindestabnahme.