Quelltext der Seite Vaultwarden: Organisationen, Sammlungen und Benutzerverwaltung

{{Steckbrief
| gilt_fuer   = Vaultwarden 1.37.x mit Web-Tresor der Bitwarden-Version 2026.x; Organisationen, Sammlungen, Gruppen, Richtlinien, Ereignisprotokoll
| bereich     = IT-Security
| dauer       = Grundstruktur ca. 1–2 Stunden; je Mitarbeiter ca. 5 Minuten
| rechte      = Eigentümer oder Administrator der Organisation; für Server-Schalter Zugriff auf die Vaultwarden-Konfiguration
| stand       = Oktober 2026
}}
'''Organisationen in Vaultwarden''' sind der Weg, Passwörter im Unternehmen kontrolliert zu teilen: Einträge gehören der Organisation statt einzelnen Mitarbeitern, liegen in '''Sammlungen''' und werden über Gruppen und Rollen freigegeben. Richtlinien legen Mindeststandards fest, das Ereignisprotokoll zeigt, wer wann auf was zugegriffen hat. Diese Anleitung zeigt eine bewährte Struktur, die nötigen Server-Schalter, die Kontowiederherstellung und den sauberen Ablauf beim Ausscheiden eines Mitarbeiters.

[[Datei:Vaultwarden-Organisationen.png|thumb|center|750px|Organisationen in Vaultwarden: Organisation Firma mit Sammlungen nach Abteilung und System (IT-Infrastruktur, Buchhaltung, Marketing, Notfall); Gruppen aus Verzeichnis oder manuell mit Berechtigungen Kann ansehen, Kann bearbeiten, Kann verwalten; Rollen Eigentümer, Administrator, Benutzer; Richtlinien wie Zwei-Faktor-Pflicht, Master-Passwort-Anforderungen, Einzelne Organisation, Kontowiederherstellung; Server-Schalter ORG_GROUPS_ENABLED und ORG_EVENTS_ENABLED; Offboarding: Zugriff entziehen, geteilte Passwörter ändern.]]

== Grundbegriffe der Organisationen in Vaultwarden ==
{| class="wikitable"
! Begriff !! Bedeutung
|-
| '''Persönlicher Tresor''' || gehört dem Benutzer; nur er sieht die Einträge
|-
| '''Organisation''' || gemeinsamer Bereich; Einträge gehören der Organisation und bleiben, wenn Mitarbeiter gehen
|-
| '''Sammlung''' || Ordner innerhalb der Organisation, über den Berechtigungen vergeben werden; Unter-Sammlungen per Schrägstrich, z. B. <code>IT/Netzwerk</code>
|-
| '''Gruppe''' || Zusammenfassung von Mitgliedern, die Zugriff auf Sammlungen erhält
|-
| '''Ordner''' || nur persönliche Sortierung, ohne Wirkung auf Berechtigungen
|}

== Schritt 1: Server-Schalter setzen ==
Einige Funktionen der Organisationen sind in Vaultwarden standardmäßig aus:
{| class="wikitable"
! Einstellung !! Standard !! Wirkung
|-
| <code>ORG_GROUPS_ENABLED</code> || <code>false</code> || Gruppen in Organisationen
|-
| <code>ORG_EVENTS_ENABLED</code> || <code>false</code> || Ereignisprotokoll
|-
| <code>EVENTS_DAYS_RETAIN</code> || leer (unbegrenzt) || Aufbewahrungsfrist der Ereignisse in Tagen
|-
| <code>ORG_CREATION_USERS</code> || leer (alle) || wer Organisationen anlegen darf
|-
| <code>SMTP_*</code> || – || nötig für Einladungen per E-Mail und Kontowiederherstellung
|}
Nach dem Ändern den Container neu erstellen.

== Schritt 2: Organisation und Struktur anlegen ==
# Als IT-Administrator im Web-Tresor ''Neue Organisation'' wählen, Name und Rechnungsadresse sind frei – in Vaultwarden fallen keine Kosten an.
# '''Sammlungen''' nach Zuständigkeit anlegen, nicht nach Personen:
{| class="wikitable"
! Sammlung !! Zugriff
|-
| <code>IT/Infrastruktur</code> (Firewall, Switches, Hypervisor) || Gruppe IT-Admins: bearbeiten
|-
| <code>IT/Dienstkonten</code> || Gruppe IT-Admins: bearbeiten; Dienstleister: ansehen
|-
| <code>Buchhaltung</code> (Banking, DATEV, Finanzamt) || Gruppe Buchhaltung: bearbeiten
|-
| <code>Marketing/Social Media</code> || Gruppe Marketing: bearbeiten
|-
| <code>Alle Mitarbeiter</code> (WLAN-Gast, Drucker) || alle: ansehen
|-
| <code>Notfall</code> (Domänen-Admin, Registrar, Root-Zugänge) || nur Geschäftsführung und IT-Leitung
|}
# '''Gruppen''' anlegen und den Sammlungen zuordnen. Berechtigungen je Sammlung: ''Kann ansehen'', ''Kann ansehen, außer Passwörter'', ''Kann bearbeiten'', ''Kann bearbeiten, außer Passwörter'', ''Kann verwalten''.
# „Außer Passwörter“ blendet das Passwort aus, lässt aber das Ausfüllen in der Browser-Erweiterung zu. Es ist '''kein''' vollständiger Schutz: Wer ein Passwort ausfüllen kann, kann es mit etwas Aufwand auch auslesen, z. B. aus dem ausgefüllten Formularfeld.

== Schritt 3: Rollen und Mitglieder ==
{| class="wikitable"
! Rolle !! Rechte
|-
| '''Eigentümer''' || alles, inklusive Löschen der Organisation und Verwalten anderer Eigentümer
|-
| '''Administrator''' || Mitglieder, Gruppen, Sammlungen, Richtlinien, Zugriff auf alle Einträge
|-
| '''Benutzer''' || Zugriff nur auf zugewiesene Sammlungen
|}
* Mindestens '''zwei Eigentümer''' festlegen, damit die Organisation beim Ausfall einer Person verwaltbar bleibt.
* '''Benutzerdefinierte Rollen''' gibt es in Vaultwarden nicht. Feinere Rechte über ''Kann verwalten'' pro Sammlung vergeben.
* Mitglieder einladen: ''Admin-Konsole › Mitglieder › Mitglied einladen''. Nachdem der Eingeladene sein Konto angelegt hat, muss ein Administrator ihn noch '''bestätigen'''. Erst dann wird der Organisationsschlüssel für ihn verschlüsselt und er sieht Einträge.
* '''Automatisch einladen''': Die Bitwarden Directory Connector-Anwendung oder der Dienst ''vaultwarden_ldap'' lädt Benutzer aus [[Active Directory]] bzw. [[LDAP]] ein. Passwörter werden dabei nie übertragen, nur Einladungen.
* Mit SSO lassen sich neue Konten auch über den ersten Login anlegen, siehe [[Vaultwarden: Zwei-Faktor-Anmeldung und SSO mit OpenID Connect]].

== Schritt 4: Richtlinien ==
''Admin-Konsole › Richtlinien''. Vaultwarden unterstützt u. a.:
{| class="wikitable"
! Richtlinie !! Empfehlung
|-
| Zweistufige Anmeldung erforderlich || aktivieren
|-
| Master-Passwort-Anforderungen || Mindestlänge 14, Komplexitätsbewertung „stark“
|-
| Passwortgenerator || Mindestlänge 16, Sonderzeichen
|-
| Einzelne Organisation || aktivieren – Mitarbeiter können keine weitere Organisation beitreten oder fremde Firmendaten mitnehmen
|-
| Persönlichen Tresor entfernen || nur, wenn private Nutzung ausgeschlossen werden soll; alle neuen Einträge landen dann in der Organisation
|-
| Send entfernen / Send-Optionen || je nach Richtlinie zum Datentransfer
|-
| Kontowiederherstellungsadministration || aktivieren, siehe unten
|-
| Standard-URI-Übereinstimmung, PIN-Entsperrung entfernen || nach Bedarf
|}
'''Nicht verfügbar:''' Tresor-Timeout als Richtlinie, „Export des Tresors verbieten“ und „SSO erforderlich“. Tresor-Timeouts deshalb per Schulung und gegebenenfalls Geräteverwaltung festlegen.

== Schritt 5: Kontowiederherstellung und Notfallzugriff ==
* '''Kontowiederherstellung''': Mit der Richtlinie ''Kontowiederherstellungsadministration'' können Administratoren das Master-Passwort eines Mitglieds zurücksetzen. Mitglieder müssen sich dafür einschreiben; die Richtlinie kann das automatisch erzwingen. Setzt SMTP voraus. Wichtig, weil Vaultwarden vergessene Master-Passwörter sonst nicht zurücksetzen kann.
* '''Notfallzugriff''': Persönliche Funktion – ein Benutzer bestimmt eine Vertrauensperson, die nach einer Wartezeit Zugriff erhält oder den Tresor übernimmt. Für Firmendaten ist die Organisation mit mehreren Eigentümern der bessere Weg.

== Schritt 6: Ereignisprotokoll ==
* Mit <code>ORG_EVENTS_ENABLED=true</code> protokolliert Vaultwarden u. a. Anmeldungen, Ansehen und Kopieren von Passwörtern, Änderungen an Einträgen, Sammlungen, Gruppen und Richtlinien.
* Einsehen unter ''Admin-Konsole › Berichte › Ereignisprotokolle''.
* Das Protokoll ist für Nachweise und Vorfallanalyse wertvoll, ermöglicht aber auch die Kontrolle von Mitarbeitern. Aufbewahrungsfrist (<code>EVENTS_DAYS_RETAIN</code>) und Auswertung mit Datenschutz und Betriebsrat abstimmen, siehe [[Vaultwarden: Datenschutz und Betrieb im Unternehmen]].
* Berichte wie ''Wiederverwendete Passwörter'', ''Schwache Passwörter'' und ''Offengelegte Passwörter'' stehen im Web-Tresor zur Verfügung; die Prüfung auf offengelegte Passwörter fragt einen externen Dienst nach Hash-Präfixen ab.

== Offboarding: Mitarbeiter scheidet aus ==
# In der Organisation den '''Zugriff entziehen''' oder das Mitglied entfernen. Entziehen behält die Zuordnung für eine spätere Rückkehr.
# Ist das Konto nicht mehr nötig, im '''Admin-Panel''' unter ''Users'' deaktivieren oder löschen; bei SSO zusätzlich im Identitätsanbieter sperren.
# '''Alle Passwörter ändern''', die der Mitarbeiter kannte – Entziehen der Rechte löscht keine Kopie, die er sich offline, per Export oder im Kopf gemerkt hat. Das Ereignisprotokoll zeigt, welche Einträge er angesehen hat.
# Passwörter aus seinem persönlichen Tresor, die zu Firmendiensten gehören, gelten als unbekannt verwaltet – deshalb Firmenzugänge von Anfang an nur in der Organisation speichern.

== Hinweise ==
* '''Einträge verschieben''': Einträge aus dem persönlichen Tresor über ''Verschieben in Organisation'' der Organisation übergeben; die Zuordnung lässt sich nicht einfach rückgängig machen.
* '''Dienstleister''': eigene Gruppe mit Zugriff nur auf die nötigen Sammlungen; Zugänge nach Projektende entziehen.
* Bei Rollen- und Berechtigungskonzepten für Passwortmanager und privilegierte Zugänge unterstützt Sie das Team [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it].

== Siehe auch ==
* [[Vaultwarden]] – Überblick und alle Artikel der Reihe
* [[Vaultwarden: Migration von KeePass und anderen Passwortmanagern]]
* [[Active Directory]]
* [[Vaultwarden: Absichern und härten]]

== Links und Quellen ==
* [https://bitwarden.com/help/getting-started-organizations/ Bitwarden Help Center: Organisationen]
* [https://www.max-it.de/it-services/cybersecurity/ Cybersecurity von m.a.x. it]

{{Uebermax}}
[[Kategorie:IT-Security]]