Was Passbolt ist

Passbolt ist ein Passwortmanager für Teams und Organisationen. Jedes Geheimnis wird mit OpenPGP für jede berechtigte Person einzeln verschlüsselt und signiert; der private Schlüssel bleibt auf dem Gerät der Nutzer. Es gibt Browsererweiterungen, eine Windows-Anwendung und Apps für iOS und Android.

Entwickelt wird Passbolt von der Passbolt SA in Belvaux, Luxemburg, gegründet 2017. Der Code steht unter der AGPL v3. Die Community Edition ist frei, die Pro Edition setzt ein Abonnement voraus und ergänzt Funktionen wie Kontowiederherstellung, Richtlinien und Protokolle.

Wofür es eingesetzt wird

Unternehmen und Behörden nutzen Passbolt, um Zugangsdaten zentral zu verwalten und gezielt mit Personen und Gruppen zu teilen. Die Pro Edition bindet Verzeichnisdienste über LDAP oder Active Directory an und unterstützt Anmeldung über Microsoft, Google, OpenID Connect und AD FS sowie SCIM.

Der Server läuft im eigenen Rechenzentrum, auch abgeschottet ohne Internet. Daten lassen sich als KDBX oder CSV importieren und exportieren, etwa beim Umstieg von KeePass.

Prüfraster im Detail

Antworten: ja, teilweise, nein oder nicht belegbar. Bewertet wird Passbolt im Selbstbetrieb; Fragen zu Anbieter, Vertrag und Datenverarbeitung sind für selbst betriebene Software sinngemäß gelesen.

Rechtsraum eingeschränkt

Prüffrage	Antwort	Begründung
1.1 Sitz des Anbieters und der Konzernmutter in EU, EWR oder Schweiz?	ja	Hersteller und Vertragspartner ist die Passbolt SA, eine Gesellschaft luxemburgischen Rechts mit Sitz in Belvaux. Eine Konzernmutter ist nicht bekannt. Beleg: About · Pro Edition Subscription Terms (Stand 23.07.2026)
1.2 Frei von Drittstaatsgesetzen mit Herausgabepflicht ohne EU-Rechtsweg (z. B. US CLOUD Act, FISA 702)?	ja	Auslegung: Im Selbstbetrieb liegen alle Daten beim Betreiber, und der Server sendet laut Hersteller keine Nutzungsdaten an Passbolt. Hersteller und genannte Geldgeber haben ihren Sitz überwiegend in Luxemburg; eine Muttergesellschaft in einem Drittstaat ist nicht bekannt. Beleg: Security · About
1.3 Technischer Schutz, der Zugriff auch auf behördliche Anordnung verhindert?	ja	Geheimnisse werden mit OpenPGP Ende-zu-Ende verschlüsselt; der private Schlüssel verlässt das Gerät nicht im Klartext. Der Server braucht keinen Drittdienst und kann ohne Internetzugang betrieben werden. Beleg: Security · passbolt_api – README
1.4 Eigentümer- und Kontrollstruktur öffentlich belegt, ohne Kontrollwechsel zu einem Eigentümer außerhalb von EU, EWR oder Schweiz in den letzten 24 Monaten?	teilweise	Passbolt nennt als Geldgeber unter anderem Luxinnovation, das luxemburgische Wirtschaftsministerium, Expon Capital und mehrere Business-Angel-Netzwerke sowie Finanzierungsrunden 2020 und 2024. Gesellschafter und Anteile sind nicht veröffentlicht; ein Beleg aus Register oder Geschäftsbericht liegt nicht vor. Ein Kontrollwechsel ist nicht bekannt. Beleg: About

Datenhoheit erfüllt

Prüffrage	Antwort	Begründung
2.1 Speicherort der Kundendaten einschließlich Backups in EU, EWR oder Schweiz vertraglich festgelegt oder vom Betreiber selbst bestimmbar?	ja	Auslegung: Im Selbstbetrieb bestimmt der Betreiber den Standort von Server, Datenbank und Backups. An Passbolt gehen keine Kundendaten; die gespeicherten Geheimnisse sind zudem Ende-zu-Ende verschlüsselt. Beleg: Security
2.2 Betrieb im eigenen Rechenzentrum oder bei frei wählbarem Dienstleister möglich?	ja	Community und Pro Edition werden auf eigenen Servern installiert, per Skript, Docker oder VM-Appliance, vom kleinen Gerät bis zum hochverfügbaren Aufbau. Der Betrieb bei einem frei gewählten Dienstleister ist ebenso möglich. Beleg: Pricing – Pro Edition · Security
2.3 Telemetrie und Diagnosedaten abschaltbar oder vollständig dokumentiert?	ja	Laut README und Sicherheitsseite erhebt Passbolt keine Telemetrie, und selbst betriebene Server senden keine Nutzungs- oder Analysedaten an den Hersteller. Der Betrieb in einer abgeschotteten Umgebung ist vorgesehen. Beleg: passbolt_api – README · Security
2.4 Training von KI-Modellen des Anbieters mit Kundendaten vertraglich ausgeschlossen, ohne dass der Kunde widersprechen muss?	ja	Auslegung: Im Selbstbetrieb gehen keine Kundendaten an Passbolt, und die Geheimnisse sind Ende-zu-Ende verschlüsselt. KI-Funktionen werden in den eingesehenen Unterlagen nicht beschrieben. Ein ausdrücklicher vertraglicher Ausschluss besteht nicht. Beleg: Security · Pro Edition Subscription Terms (Stand 23.07.2026)

Quellcode & Lizenz eingeschränkt

Prüffrage	Antwort	Begründung
3.1 Quellcode der Kernfunktionen unter einer OSI-Lizenz verfügbar?	ja	Der Server-Code steht laut Lizenzdatei unter der GNU AGPL v3 öffentlich auf GitHub. Auch die Abonnementbedingungen der Pro Edition bezeichnen die Software als Open Source unter AGPL v3 oder später. Beleg: passbolt_api – LICENSE · Pro Edition Subscription Terms (Stand 23.07.2026)
3.2 Produktivbetrieb ohne proprietäre Pflichtbestandteile möglich?	ja	Die Community Edition lässt sich ohne Abonnement produktiv betreiben, einschließlich Import und Export. Die Pro Edition setzt einen Subskriptionsschlüssel voraus; Funktionen wie SSO, LDAP-Abgleich und SCIM gibt es nur dort. Beleg: Pricing – Pro Edition · passbolt_api – LICENSE
3.3 Weiterbetrieb nach Vertragsende ohne Funktionsverlust möglich?	teilweise	Laut Abonnementbedingungen kann die Pro Edition nach Ablauf ohne Verlängerung automatisch deaktiviert werden. Die Daten bleiben beim Betreiber, und die Community Edition ist weiter nutzbar, dann ohne die Pro-Funktionen. Einen Weg zum Wechsel auf die Community Edition beschreiben die Bedingungen nicht. Beleg: Pro Edition Subscription Terms (Stand 23.07.2026) · Pricing – Pro Edition

Betrieb & Nachweise eingeschränkt

Prüffrage	Antwort	Begründung
4.1 Aktuelles BSI-C5-Testat oder ISO-27001-Zertifikat?	nein	Passbolt nennt Audits von Cure53 (zuletzt 2026), ein Audit von Quarkslab zur Vorbereitung einer ANSSI-Zertifizierung und einen SOC-2-Typ-II-Bericht von 2021. Ein ISO-27001-Zertifikat oder BSI-C5-Testat der Passbolt SA wird nicht genannt; die aufgeführten ISO-Zertifikate gehören dem Hosting-Anbieter von Passbolt Cloud. Beleg: Security · Security – more
4.2 Öffentlicher Prozess für Sicherheitslücken?	ja	Sicherheitslücken werden per E-Mail an das Security-Team gemeldet, Eingang wird binnen 48 Stunden bestätigt. Bestätigte Lücken erhalten bei Bedarf eine CVE-Kennung und werden nach koordinierter Offenlegung in Security Bulletins veröffentlicht. Beleg: Security vulnerability disclosure
4.3 Vertragspartner und Support in der EU, Vertrag nach deutschem oder EU-Recht?	ja	Vertragspartner für die Pro Edition ist die Passbolt SA in Luxemburg; es gilt luxemburgisches Recht, Streitfälle gehen an das Schiedszentrum der luxemburgischen Handelskammer. Support leistet Passbolt nach dem gewählten Plan. Beleg: Pro Edition Subscription Terms (Stand 23.07.2026)
4.4 Liste der Unterauftragsverarbeiter öffentlich, vollständig und mit Standorten, Änderungen vorab angekündigt?	teilweise	Auslegung: Im Selbstbetrieb verarbeitet Passbolt keine gespeicherten Geheimnisse. Für Support und Abrechnung nennt die Datenschutzerklärung Dienstleister wie HubSpot, Slack und Stripe, aber ohne Standorte je Dienstleister und ohne Vorabankündigung von Änderungen; einige sitzen außerhalb der EU. Beleg: Privacy Policy (Stand 04.11.2026)
4.5 Zugriff auf Kundendaten in Betrieb und Administration nur durch Personen in EU, EWR oder Schweiz, und Support-Zugriffe von außerhalb nur mit Zustimmung des Kunden im Einzelfall?	ja	Auslegung: Im Selbstbetrieb liegen Betrieb und Administration beim Betreiber, und die Geheimnisse sind Ende-zu-Ende verschlüsselt. Passbolt erhält im Supportfall nur Konfigurationsdateien und Protokolle, die der Kunde selbst bereitstellt. Beleg: Pro Edition Subscription Terms (Stand 23.07.2026) · Security

Exit & Interoperabilität erfüllt

Prüffrage	Antwort	Begründung
5.1 Export in offenen, dokumentierten Formaten?	ja	Import und Export sind in der Community Edition enthalten, in den Formaten KDBX (KeePass) und CSV. Beleg: Pricing – Pro Edition
5.2 Offene Standards für Anmeldung und Schnittstellen?	ja	Die Pro Edition unterstützt Bereitstellung über LDAP und Active Directory, SSO über OpenID Connect sowie SCIM. Die Verschlüsselung beruht auf dem offenen Standard OpenPGP. Beleg: Pricing – Pro Edition · Security
5.3 Vollständiger Export ohne Mitwirkung oder Zusatzkosten des Anbieters?	ja	Der Export ist Teil der freien Community Edition und braucht keine Mitwirkung des Herstellers. Im Selbstbetrieb hat der Betreiber zudem vollen Zugriff auf Server und Datenbank. Beleg: Pricing – Pro Edition

Was wir nicht klären konnten

Diese Punkte sind öffentlich nicht belegt. Sie werden bei der nächsten Aktualisierung erneut geprüft.

Wer die Anteile an der Passbolt SA hält, weil Passbolt nur Geldgeber nennt und kein Register- oder Geschäftsberichtsauszug eingesehen wurde.
Ob die Pro Edition nach Ablauf des Abonnements tatsächlich abgeschaltet wird und wie der Wechsel zur Community Edition abläuft, weil die Bedingungen das offenlassen.
Ob die angekündigte ANSSI-Zertifizierung erteilt wurde, weil die Sicherheitsseite nur das vorbereitende Audit nennt.
Wo Supportfälle mit Konfigurationsdateien und Protokollen verarbeitet werden, weil die Datenschutzerklärung Support-Dienstleister ohne Standorte nennt.

Fragen vor einer Entscheidung

Reicht die Community Edition, oder werden SSO, LDAP-Abgleich, SCIM und Kontowiederherstellung der Pro Edition benötigt?
Wie werden private OpenPGP-Schlüssel und Passphrasen der Nutzer gesichert, falls jemand sein Gerät verliert?
Welche Clients, etwa Browser, Windows oder Mobilgeräte, müssen unterstützt werden?
Wer betreibt und aktualisiert den Server, und wie werden Sicherheitsupdates zeitnah eingespielt?

Passbolt