1Password oder Bitwarden: Selbsthosting spart nicht nur Lizenzkosten

Für Unternehmen mit SSO ist Bitwarden Enterprise die günstigere Lizenzwahl und bietet zusätzlich Self-Hosting. Die Bitwarden-Tarifübersicht nennt 6 US-Dollar pro Nutzer und Monat bei jährlicher Abrechnung; der Teams-Tarif kostet 4 US-Dollar und enthält SCIM sowie Ereignisprotokolle, aber kein SSO. Die Preisliste von 1Password nennt für Business 8,99 US-Dollar pro Nutzer und Monat bei jährlicher Zahlung und führt Identitätsanbieter-Integrationen, Watchtower-Warnungen und erweiterte Verwaltungsfunktionen auf.

Der niedrigere Bitwarden-Preis gilt unabhängig davon, ob das Unternehmen den Dienst beim Anbieter oder selbst betreibt. Self-Hosting beseitigt die Nutzerlizenzen nicht: Es verlagert Verantwortung für Infrastruktur, Updates und Wiederherstellung ins eigene Team. Wer vor allem einen gehosteten Dienst mit zentralen Sicherheitsberichten sucht, muss deshalb den Aufpreis von 1Password Business gegen den Aufwand des Eigenbetriebs abwägen.

Was 10, 50 und 100 Konten kosten

Aus den jährlichen Listenpreisen ergibt sich für 10 Konten folgende Rechnung: Bitwarden Teams kostet 480 US-Dollar, Bitwarden Enterprise 720 US-Dollar und 1Password Business 1.078,80 US-Dollar pro Jahr. Bei 50 Konten sind es 2.400, 3.600 beziehungsweise 5.394 US-Dollar; bei 100 Konten 4.800, 7.200 beziehungsweise 10.788 US-Dollar. Das sind Rechenbeispiele aus den genannten Tarifen, keine Angebote für einen konkreten Vertrag.

Wenn SSO verlangt wird, ist Bitwarden Enterprise die passende Vergleichsbasis. Gegenüber 1Password Business beträgt der rechnerische Lizenzabstand dann 358,80 US-Dollar bei 10, 1.794 US-Dollar bei 50 und 3.588 US-Dollar bei 100 Konten im Jahr. Bitwarden Teams ist günstiger, erfüllt aber die SSO-Anforderung nicht. Für eine kleine Gruppe ohne diese Anforderung kommt auch das anders bepreiste 1Password Teams Starter Pack infrage; seine Funktionen sind nicht mit Business gleichzusetzen.

Die Beträge sind US-Dollar-Listenpreise vor Steuern. Wechselkurs, Abrechnung in einer anderen Währung und mögliche Vertragsrabatte können den tatsächlich gezahlten Betrag in Deutschland, Österreich oder der Schweiz verändern. Die Rechnung zeigt den Lizenzabstand; sie enthält weder die Arbeitszeit für die Einführung noch laufende Kosten einer selbst betriebenen Installation.

SSO und SCIM erfüllen verschiedene Aufgaben

SSO betrifft die Anmeldung über einen Identitätsanbieter. SCIM überträgt Nutzer und Gruppen für die automatische Bereitstellung und Verwaltung von Zugängen. Deshalb kann ein Team SCIM benötigen, ohne die Anmeldung am Passwortmanager auf SSO umzustellen. Bei Bitwarden ist SCIM bereits im Teams-Tarif enthalten, während SSO den Enterprise-Tarif voraussetzt.

Auch bei 1Password Business sind Provisionierung und Anmeldung getrennt einzurichten. Die 1Password-Anleitung zur Provisionierung beschreibt das Anlegen von Nutzern und Gruppen, den Entzug von Gruppenzugriff und das Sperren von Konten; sie stellt klar, dass diese Einrichtung SSO nicht einschließt. Wer beides benötigt, muss folglich zwei Verbindungen zum Identitätsanbieter berücksichtigen. Eine erfolgreiche Nutzerübernahme allein zeigt noch nicht, dass der gewünschte Anmeldeweg funktioniert.

Für die Einführung zählt zudem, wie die vorhandenen Gruppen zu den Freigaben im Passwortmanager passen. Werden Zugänge über Gruppen statt einzeln vergeben, lassen sich Änderungen beim Eintritt oder Ausscheiden von Beschäftigten zentral abbilden. Die Zuordnung muss trotzdem festlegen, welche gemeinsam verwendeten Zugangsdaten in welchen Tresoren oder Sammlungen liegen und wer sie verwalten darf.

Self-Hosting verschiebt die Betriebskosten

Die Self-Hosting-Option ist bei Bitwarden Enterprise im Tarif enthalten. Für den Eigenbetrieb braucht das Unternehmen aber eine geeignete Serverumgebung, eine Datenbank und Zertifikate. Bitwardens Checkliste für den Eigenbetrieb umfasst außerdem Updates, Überwachung, Sicherungen von Server und Datenbank sowie getestete Wiederherstellungsverfahren. Der geringere Lizenzpreis ist damit nur ein Teil der Gesamtkosten.

Ein Team mit vorhandener Infrastruktur und geregeltem Betrieb kann diese Aufgaben in bestehende Abläufe aufnehmen. Fehlen Zuständigkeiten für Sicherheitsupdates, Backups und Störungen, entstehen neue laufende Arbeiten. Bei einem Ausfall oder einer misslungenen Aktualisierung muss das Unternehmen selbst dafür sorgen, dass der zentrale Dienst wieder erreichbar wird. Wie teuer das ist, hängt von der eigenen Umgebung und dem geforderten Verfügbarkeitsniveau ab; aus dem Kontopreis lässt es sich nicht ableiten.

Eigenbetrieb verändert zugleich die Kontrolle über den Dienst. Das Unternehmen bestimmt die Bereitstellung in seiner Infrastruktur und übernimmt dafür die zugehörigen Betriebsentscheidungen. Bei 1Password Business stehen stattdessen die Funktionen des gehosteten Angebots im Vordergrund. Wo der Betrieb auf eigener Infrastruktur eine feste Vorgabe ist, kann die veröffentlichte Self-Hosting-Option von Bitwarden daher stärker wiegen als der reine Preisabstand.

Welche Berichte der Aufpreis abdeckt

Bitwarden Teams enthält bereits Ereignisprotokolle und Berichte zum Zustand gespeicherter Zugangsdaten; Enterprise ergänzt unter anderem unternehmensweite Richtlinien und feinere Zugriffsverwaltung. Ein Prüfprotokoll beantwortet dabei eine andere Frage als eine Sicherheitswarnung: Es macht Vorgänge nachvollziehbar, während die Warnung auf ein mögliches Problem mit Zugangsdaten hinweist. Für die Tarifwahl ist entscheidend, welche dieser Informationen zentral benötigt werden.

Bei 1Password Business beschreibt die Dokumentation zu Business-Berichten einen Business-Watchtower-Bericht über schwache, mehrfach verwendete oder kompromittierte Passwörter sowie Berichte zur Kontonutzung und Aktivität. Der Einblick hängt von Berechtigungen ab: Ein Nutzungsbericht zeigt Aktivität in Tresoren, für die die erstellende Person die nötigen Rechte hat. Der höhere Preis kauft also konkrete Verwaltungsansichten, keinen unbegrenzten Einblick in sämtliche persönlichen Tresorinhalte.

Für Sicherheitsteams ist diese Trennung praktisch relevant. Sie müssen nachvollziehen können, wer Zugriff erhielt oder verlor, und zugleich erkennen, wo Zugangsdaten Aufmerksamkeit verlangen. Bitwarden und 1Password decken beide Bereiche ab, bündeln die Funktionen aber unterschiedlich. Der Funktionsumfang des gewählten Tarifs zählt mehr als die bloße Aussage, ein Produkt biete „Berichte“.

Einführung und Offboarding bleiben eigene Arbeit

Bei der Einführung genügt es nicht, gespeicherte Logins zu importieren. Gruppen, Rollen und Freigaben müssen zur Identitätsverwaltung passen; anschließend müssen Provisionierung und gegebenenfalls SSO im vorgesehenen Ablauf zusammenspielen. Besonders bei gemeinsam genutzten Konten entscheidet die Struktur der Tresore oder Sammlungen darüber, ob Beschäftigte nur die Zugänge erhalten, die sie für ihre Aufgaben brauchen. Diese Arbeit fällt bei beiden Produkten an.

Beim Ausscheiden einer Person sind zwei Vorgänge zu unterscheiden. Der persönliche Zugang zum Passwortmanager und zu freigegebenen Bereichen muss entzogen werden. Zugangsdaten für gemeinsam genutzte Dienste, die der Person bekannt waren, können darüber hinaus eine Änderung erfordern. Das Abschalten eines Kontos im Identitätsanbieter ersetzt diese Prüfung nicht, unabhängig davon, wo der Passwortmanager betrieben wird.

Für Unternehmen mit SSO und vorhandenen Kapazitäten für den Eigenbetrieb spricht der Lizenzabstand für Bitwarden Enterprise; Self-Hosting gibt ihnen zusätzlich die Kontrolle über die Bereitstellung. Ohne SSO kann Bitwarden Teams die günstigere passende Stufe sein. 1Password Business ist vor allem dann eine begründete Wahl, wenn seine Identitätsanbieter-Integrationen und zentralen Sicherheitsberichte den Verwaltungsbedarf treffen und der Dienst gehostet bleiben soll.

Lesen Sie auch:

• Lexware Office oder sevdesk: Der richtige Tarif liegt nicht ganz unten
• Miro oder Mural: Moderation ist wichtiger als der günstigere Einstieg
• KI spart einen Arbeitstag – zwei Drittel wissen nicht, wohin mit der Zeit