IT-Sicherheit
Passbolt
Passbolt ist ein quelloffener, selbstgehosteter Team-Passwortmanager auf OpenPGP-Basis: pro Empfänger Ende-zu-Ende verschlüsselt, der Server sieht nie Klartext.
- Team-Passwortmanager, self-hosted
- Ende-zu-Ende über OpenPGP
- Pro Empfänger verschlüsselt
- Browser-Extension, Mobile, CLI
- Community AGPL-3.0
Passbolt ist ein quelloffener Passwortmanager, der von Grund auf für Teams gebaut ist und die Sicherheit ins Zentrum stellt. Die Besonderheit liegt in der Kryptografie: Passbolt basiert auf OpenPGP, jeder Nutzer hat ein eigenes Schlüsselpaar, und Geheimnisse werden pro Empfänger Ende-zu-Ende verschlüsselt. Der Server speichert nur unlesbaren Chiffretext.
Dieser Artikel erklärt das OpenPGP-basierte Sicherheitsmodell, den Sharing-Mechanismus über Neuverschlüsselung, die Clients und die Anmeldung, die Editionen samt Account-Recovery, die Schlüsselverlust-Problematik sowie die Abgrenzung zum dynamischen Runtime-Secrets-Management.
1. OpenPGP als Fundament
Jeder Passbolt-Nutzer besitzt ein persönliches OpenPGP-Schlüsselpaar. Alle kryptografischen Operationen finden clientseitig statt (in der Browser-Erweiterung oder der App); der Server bekommt nur fertig verschlüsselte Daten zu sehen und kennt zu keinem Zeitpunkt ein Klartext-Passwort. Das ist echte Ende-zu-Ende-Verschlüsselung: Selbst wenn der Server kompromittiert wird, fällt dem Angreifer nur Chiffretext in die Hände.
2. Teilen heißt neu verschlüsseln
Anders als bei einem zentral abgelegten Passwort wird in Passbolt ein Geheimnis für jeden Berechtigten separat mit dessen öffentlichem Schlüssel verschlüsselt. Teilen ein Eintrag drei Personen, liegen drei verschlüsselte Kopien in der Datenbank. Wird der Zugriff entzogen, wird die Kopie gelöscht; eine neue Freigabe erfordert eine erneute Verschlüsselung für den Empfänger. Berechtigungen lassen sich pro Eintrag und über Gruppen granular vergeben.
Passbolt verschlüsselt Beziehungen, nicht nur Passwörter: Jede Freigabe ist eine eigene, gezielte Verschlüsselung für genau einen Empfänger, nicht ein gemeinsamer Schlüssel für alle.
3. Clients und Anmeldung
Bedient wird Passbolt über eine Browser-Erweiterung (Chrome, Firefox und weitere), mobile Apps und eine CLI; ein nativer Desktop-Client ist je nach Plattform unterschiedlich weit. Die Anmeldung läuft über ein GPG-gestütztes Challenge-Response-Verfahren (neuere Variante mit JWT) und lässt sich um MFA ergänzen (TOTP, YubiKey, Querverweis MFA).
4. Editionen und Account-Recovery
Die Community Edition (AGPL-3.0) ist kostenlos und für unbegrenzt viele Nutzer einsetzbar. Die kostenpflichtige Pro/Cloud-Edition ergänzt unter anderem LDAP-/AD-Provisioning, SSO (OIDC/SAML), Audit-Logs und Passwort-Richtlinien sowie das Account-Recovery: ein kryptografisches Treuhand-Modell, bei dem ein Organisations-Wiederherstellungsschlüssel den privaten Schlüssel eines Nutzers wieder zugänglich machen kann. In der Community Edition gibt es dieses zentrale Recovery nicht.
5. Die Kehrseite der Ende-zu-Ende-Verschlüsselung
Echte Ende-zu-Ende-Verschlüsselung hat einen Preis: Verliert ein Nutzer in der Community Edition seinen privaten Schlüssel und die Passphrase (und gibt es kein Account-Recovery), sind seine Daten unwiederbringlich verloren, kryptografisch sauber, operativ schmerzhaft. Schlüssel-Backup und Passphrase-Sicherung sind daher Pflichtdisziplin. Das OpenPGP-Modell erhöht außerdem die Einstiegshürde gegenüber rein serverseitigen Ansätzen.
6. Statische Credentials, nicht dynamische Runtime-Secrets
Zur Einordnung: Passbolt ist primär ein kollaborativer Passwort- und Credential-Manager für Teams, die Zugangsdaten sicher verwalten, teilen und auditieren. Über API, CLI und SDKs lässt es sich durchaus in Automatisierungen einbinden, etwa um statische Geheimnisse wie API-Keys oder Service-Passwörter bereitzustellen. Für klassisches Runtime-Secrets-Management mit dynamisch erzeugten, kurzlebigen Credentials, Leasing, automatischer Rotation und Revocation ist dagegen ein Secrets-Manager wie Vault typischerweise die passendere Architektur. Beide ergänzen sich, lösen aber unterschiedliche Kernprobleme.
7. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Echte Ende-zu-Ende-Verschlüsselung über OpenPGP | OpenPGP-Schlüssel-Management erhöht die Einstiegshürde |
| Sharing pro Empfänger, granulare Berechtigungen | Community Edition ohne zentrales Account-Recovery |
| Self-hosted, Datenhoheit, EU-Anbieter, geprüft (Audits) | Schlüsselverlust ohne Recovery = Datenverlust |
| Community Edition frei (AGPL-3.0), unbegrenzte Nutzer | LDAP/SSO/Audit/Policies nur in der Pro-Edition |
| Browser-, Mobile- und CLI-Clients, MFA, API/SDK | kein Ersatz für dynamisches Runtime-Secrets-Management |
Häufige Fragen zu Passbolt
Nein. Passbolt verschlüsselt alle Geheimnisse clientseitig über OpenPGP, der Server speichert ausschließlich Chiffretext und kennt zu keinem Zeitpunkt ein Klartext-Passwort. Geteilte Einträge werden für jeden Berechtigten separat mit dessen öffentlichem Schlüssel verschlüsselt. Selbst bei einer Server-Kompromittierung erhält ein Angreifer nur unlesbare verschlüsselte Daten, nicht die Passwörter selbst.
In der kostenlosen Community Edition bedeutet der Verlust des privaten Schlüssels samt Passphrase, dass die zugehörigen Daten unwiederbringlich verloren sind, das ist die kryptografisch saubere Kehrseite der Ende-zu-Ende-Verschlüsselung. Die kostenpflichtige Pro-Edition bietet ein Account-Recovery über ein Treuhand-Modell mit Organisations-Wiederherstellungsschlüssel. Unabhängig davon gehören sicheres Schlüssel-Backup und Passphrase-Verwahrung zur Pflicht.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
Passbolt im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.