Vaultwarden: Migration von KeePass und anderen Passwortmanagern

Auf einen Blick

Gilt für	Vaultwarden 1.37.x mit Web-Tresor 2026.x; Import aus KeePass 2.x/KeePassXC, Chrome, Edge, Firefox, Bitwarden Cloud, 1Password, LastPass u. a.; Einführung der Bitwarden-Clients
Bereich	IT-Security
Dauer	Import je Quelle ca. 15 Minuten; Einführung im Unternehmen einige Wochen
Rechte	Benutzerkonto in Vaultwarden; für Importe in die Organisation Administrator oder Eigentümer; für Client-Verteilung Administrator der Geräteverwaltung
Stand	Oktober 2026

Von KeePass zu Vaultwarden migrieren – oder von Browser-Passwortspeichern, Bitwarden Cloud und anderen Passwortmanagern – geht über die Importfunktion des Web-Tresors, die Dutzende Formate kennt. Entscheidend ist, vorher festzulegen, wohin die Einträge gehören: in persönliche Tresore oder in Sammlungen der Organisation. Diese Anleitung zeigt die Importwege, die Unterschiede zwischen KeePass-XML und -CSV, den sicheren Umgang mit Exportdateien und einen Ablauf für die Einführung im Unternehmen.

Migration zu Vaultwarden: Quellen KeePass 2.x/KeePassXC (XML für persönliche Ordner, CSV für Sammlungen der Organisation), Browser-Passwörter aus Chrome, Edge und Firefox als CSV, Bitwarden Cloud als passwortgeschützter JSON-Export, 1Password und LastPass; Import im Web-Tresor unter Werkzeuge bzw. in der Admin-Konsole der Organisation; Exportdateien sofort sicher löschen; danach Clients mit Server-URL einrichten und Browser-Passwortspeicher per Richtlinie abschalten.

Vor der Migration zu Vaultwarden klären

• Persönlich oder Organisation? Firmenzugänge (Server, Banking, Cloud-Dienste) gehören in die Organisation, damit sie beim Ausscheiden eines Mitarbeiters bleiben. Private oder rein persönliche Zugänge in den persönlichen Tresor. Struktur siehe Vaultwarden: Organisationen, Sammlungen und Benutzerverwaltung.
• Aufräumen: Veraltete Einträge vor dem Export löschen ist leichter als danach.
• Anhänge: Die meisten Importformate enthalten keine Datei-Anhänge. Wichtige Anhänge vorher notieren und nachträglich hochladen.
• Exportdateien sind Klartext: CSV- und unverschlüsselte JSON-Exporte enthalten alle Passwörter lesbar. Nur auf verschlüsselten Laufwerken erzeugen, nie per E-Mail oder Chat weitergeben, nach dem Import sofort sicher löschen und den Papierkorb leeren.

Import im Web-Tresor

• Persönlicher Tresor: Werkzeuge › Daten importieren
• Organisation: Organisation öffnen, Admin-Konsole › Importieren; Ziel-Sammlung wählen

1. Format der Quelle auswählen (z. B. KeePass 2 (xml), Chrome (csv), Bitwarden (json)).
2. Datei wählen oder Inhalt einfügen, Daten importieren.
3. Ergebnis prüfen: Anzahl, Ordner bzw. Sammlungen, Stichproben mit URLs, Benutzernamen, TOTP-Schlüsseln und Notizen.

Mehrfach importieren erzeugt Duplikate – im Zweifel erst in einen Testordner bzw. eine Test-Sammlung importieren.

KeePass und KeePassXC

KeePass-Datenbanken lassen sich auf zwei Wegen übernehmen, mit unterschiedlichem Ergebnis:

Weg	Ergebnis	Geeignet für
KeePass XML (KeePass: Datei › Exportieren › KeePass XML (2.x))	Import in den persönlichen Tresor; KeePass-Gruppen werden zu Ordnern unter dem Namen der Datenbank	persönliche Datenbanken
KeePass CSV	Import in die Organisation; KeePass-Gruppen werden zu Sammlungen (Untergruppen als verschachtelte Sammlungen)	gemeinsame Abteilungs- oder IT-Datenbanken
KeePassXC (Datenbank › Exportieren › CSV-Datei)	im Import das Format KeePassX (csv) wählen	KeePassXC-Nutzer

• Ordner nachträglich in Sammlungen umzubauen oder Einträge massenhaft umzuhängen ist aufwendig – den Weg deshalb vorher wählen.
• Das Python-Werkzeug kp2bw überträgt zusätzlich Anhänge, Passkeys und Referenzen direkt aus der KDBX-Datei.
• Benutzerdefinierte Felder werden zu Feldern des Eintrags. KeePass-spezifische Angaben wie Ablaufdaten nach dem Import stichprobenartig prüfen.

Browser-Passwörter

Browser	Export
Chrome	Google Passwortmanager › Einstellungen › Passwörter exportieren
Edge	Einstellungen › Kennwörter › … › Kennwörter exportieren
Firefox	about:logins › … › Zugangsdaten exportieren

Nach dem erfolgreichen Import die Passwörter im Browser löschen und den eingebauten Passwortspeicher per Richtlinie abschalten (siehe unten). Sonst speichern Mitarbeiter weiter doppelt.

Bitwarden Cloud und andere Passwortmanager

• Bitwarden Cloud → Vaultwarden: In der Cloud Werkzeuge › Tresor exportieren, Format .json (Verschlüsselt) mit Typ Passwortgeschützt – der Typ Konto-beschränkt lässt sich nur im selben Konto wieder einlesen. Organisationen über die Admin-Konsole der Organisation exportieren und in die neue Organisation importieren.
• 1Password: Export als .1pux bzw. CSV, Format 1Password wählen.
• LastPass: Export als CSV oder direkter Import im Web-Tresor.
• Weitere (Dashlane, Keeper, Proton Pass, Apple-Passwörter u. a.): in der Formatliste des Imports auswählen; die Bitwarden-Hilfe beschreibt jeden Export.

Clients einrichten

• Bitwarden-Apps von der offiziellen Seite oder aus den App-Stores installieren.
• Beim ersten Start im Anmeldefenster unter Anmelden bei die Option selbst gehostet wählen und als Server-URL https://vault.firma.de eintragen. Ohne diesen Schritt landet die Anmeldung bei bitwarden.com.
• Verteilung im Unternehmen: Browser-Erweiterung per Gruppenrichtlinie oder Intune als Pflicht-Erweiterung installieren, Desktop-App per Softwareverteilung. Die Bitwarden-Hilfe beschreibt die Verteilung je Browser und Betriebssystem.
• Browser-Passwortspeicher abschalten: Richtlinie PasswordManagerEnabled auf false in Chrome und Edge, in Firefox PasswordManagerEnabled über policies.json bzw. die Firefox-ADMX.
• Tresor-Timeout in den Clients festlegen (z. B. sperren nach 15 Minuten, beim Sperren des Systems), Entsperren per PIN oder Biometrie erlauben.
• Automatisches Ausfüllen: in der Browser-Erweiterung Beim Laden der Seite ausfüllen nur bewusst aktivieren; die URI-Übereinstimmung „Basisdomain“ ist der sichere Standard.

Einführung im Unternehmen

1. Pilotgruppe (IT und zwei, drei Fachabteilungen) zwei Wochen arbeiten lassen; Struktur der Sammlungen anpassen.
2. Schulung: starkes Master-Passwort als Passphrase, Zwei-Faktor-Anmeldung, Wiederherstellungscode, Passwortgenerator, Ausfüllen, Teilen über Sammlungen statt per E-Mail.
3. Kontowiederherstellung und Zwei-Faktor-Pflicht per Richtlinie aktivieren, bevor alle Mitarbeiter einziehen.
4. Migration je Abteilung mit festem Termin: Import, Prüfung, Löschen der alten Quelle.
5. Altbestand abschalten: KeePass-Dateien auf Netzlaufwerken archivieren und löschen, Excel-Listen vernichten.
6. Danach mit den Berichten des Web-Tresors schwache und wiederverwendete Passwörter finden und ersetzen.

Hinweise

• Rückweg offenhalten: Die alte KeePass-Datenbank bis zum Ende der Pilotphase verschlüsselt aufbewahren, danach löschen.
• TOTP-Schlüssel aus der alten Quelle nach dem Import prüfen: Landen sie im Feld Authentifizierungsschlüssel (TOTP), erzeugt Vaultwarden die Codes. Für Administratorkonten den zweiten Faktor trotzdem getrennt halten.
• Bei Planung und Durchführung der Einführung eines Passwortmanagers unterstützt Sie das Team Cybersecurity von m.a.x. it.

Siehe auch

• Vaultwarden – Überblick und alle Artikel der Reihe
• Vaultwarden: Zwei-Faktor-Anmeldung und SSO mit OpenID Connect
• Vaultwarden: Backup und Wiederherstellung
• Phishing

Links und Quellen

• Bitwarden Help Center: Daten in den Tresor importieren
• Cybersecurity von m.a.x. it

Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen