Europäische Alternativen zu 1Password

1Password ist der meistgenutzte Passwortmanager für Einzelpersonen, Familien und kleine bis mittelgroße Teams, operativ US-geführt (AgileBits, Inc. mit Sitz in Toronto und San Francisco) mit US-Unterauftragsverarbeitern und US-basiertem Venture Capital. Das kryptographische Design (Secret Key plus Zero-Knowledge-Verschlüsselung) sorgt dafür, dass der Anbieter Vault-Inhalte selbst bei US-rechtlicher Anordnung nicht entschlüsseln kann, ein für sich genommen starker Schutz. Was Beschaffungsteams trotzdem zur Alternativensuche bewegt, sind Unternehmenseigentum und Standort, nicht die Kryptografie, weshalb diese Seite vier europäische Alternativen anhand von vier Fragen prüft: Wem gehört das Unternehmen rechtlich, wo liegen die Daten physisch, ist der Vault Ende-zu-Ende-verschlüsselt, und hält die Plattform ein anerkanntes europäisches Compliance-Framework (ISO 27001, BSI C5, EUCS, SecNumCloud)? Wo EU-Anbieter-Präferenz als schriftliche Beschaffungs-Policy gilt, folgt die Alternativensuche dieser Policy und keiner technischen Lücke.

Bevor ein einziges Zugangsdaten-Set umzieht: Passbolt ist der stärkste Team-Passwortverwaltungs-Pick mit Open-Source-Codebase und einem luxemburgischen Unternehmen dahinter (Luxemburg, EU-eigentum, Standard-Cloud auf Google Cloud in Belgien und Deutschland, CLOUD-Act-Risiko: Erheblich; Cloud Sovereign und Cloud Enterprise laufen aus einem souveränen luxemburgischen Rechenzentrum), Proton Pass ist die geschmeidigste Einzel-und-Familien-Alternative mit dem stärksten privatsphäre-orientierten Ökosystem (Schweiz, Genf, Schweizer-eigentum, EU-gehostet, CLOUD-Act-Risiko: Gering), und Psono ist die selbst hostbarste Wahl für Organisationen, die maximale Souveränität wollen (Deutschland, EU-eigentum, EU-gehostet, Open Source + kommerzielle Cloud).

Der Umzug kostet weniger Funktionsumfang, als man erwarten könnte:

• Ende-zu-Ende-Verschlüsselung mit Zero-Knowledge-Architektur; jede Alternative liefert das standardmäßig.
• Browser-Autofill über Chrome, Firefox, Safari, Edge; Proton Pass und Psono haben polierte Erweiterungen.
• Mobile Apps mit biometrischem Unlock auf iOS und Android.
• Passwort-Erzeugung mit anpassbaren Regeln.
• Sichere Notizen für Nicht-Credential-Geheimnisse.
• 2FA-/TOTP-Speicherung als Teil des Passwort-Eintrags.
• Vault-Sharing mit rollenbasiertem Zugriff.

Und das bleibt (noch) auf der Strecke:

• 1Password Watchtower, also die Breach-Monitoring- und Passwort-Health-Scoring-Funktion. Proton Pass und Passbolt haben grundlegende Passwort-Health-Checks; die Breach-Monitoring-Funktion ist noch nicht auf 1Passwords Tiefe.
• 1Passwords Travel Mode (selektives Verstecken von Vaults beim Grenzübertritt). Keine europäische Alternative liefert diese spezifische Funktion; der Workaround ist, separate Vaults für reise-sensible Daten zu nutzen und Auto-Sync-Ausschluss zu konfigurieren.
• 1Password Developer Tools: SSH-Schlüssel-Handhabung mit plattform-nativer Integration, CLI für Secrets in Skripten. Passbolt hat eine CLI; die SSH-Schlüssel-UX ist noch nicht auf Parität.
• 1Passwords Markenbekanntheit und das polierte Marketing-Material. Europäische Alternativen haben weniger konsumentenseitige Politur, aber das Security-Modell ist vergleichbar oder stärker.

Fünf Schritte bringen den Vault sicher hinüber, in dieser Reihenfolge.

1. Exportieren Sie Ihren 1Password-Vault. In der 1Password-Desktop-App gibt File → Export → All Items Ihnen die Wahl zwischen 1pif (volle Treue) oder CSV. Nehmen Sie beides: 1pif erhält Item-Typen und Metadaten, CSV ist das Import-Format, das die meisten europäischen Alternativen akzeptieren. Verschlüsseln Sie die Export-Datei mit einer starken Passphrase vor jeder Speicherung; Export-Dateien enthalten Klartext-Credentials.
2. Prüfen Sie, welche Vault-Items tatsächlich aktiv sind. Die meisten persönlichen 1Password-Vaults haben 200–500 Items, aber der Nutzer verwendet aktiv 30–50. Nutzen Sie 1Passwords „Last used“-Zeitstempel, um das aktive Set zu identifizieren. Bei Business-Vaults ist das aktive Set typisch größer, aber team-spezifisch (Engineering-Schlüssel, Drittanbieter-SaaS-Logins, kunden-geteilte Credentials).
3. Importieren Sie ins neue Tool. Passbolt, Proton Pass und Psono akzeptieren alle CSV-Import. Passbolts Import erhält die Ordner-/Kategorie-Struktur; Proton Pass importiert standardmäßig in einen einzigen Vault und erfordert manuelle Re-Organisation. Bei Teams planen Sie, geteilte organisatorische Vaults im neuen Tool einzurichten, bevor Sie individuelle Nutzer-Vaults importieren.
4. Migrieren Sie Browser-Erweiterungen und Mobile-Apps. Installieren Sie die Browser-Erweiterung des neuen Tools auf allen Team-Mitglieder-Browsern und konfigurieren Sie die Mobile-Apps. Lassen Sie 1Password und das neue Tool 2–3 Wochen parallel laufen, damit sich Nutzer an die neue Autofill-UX anpassen können. Die Woche-1-Produktivitätsdelle ist real; die zweite Woche ist zurück auf Normal.
5. Halten Sie 1Password mindestens 90 Tage aktiv. Ein Vault verzeiht keine Eile: erst pausieren, das Konto nicht sofort kündigen. Sie werden ein Legacy-Item finden, das Sie vergessen haben zu migrieren, einen Team-geteilten Vault, der noch von einem Vertragspartner zugegriffen wird, oder einen 2FA-Backup-Code, der nur in 1Password gespeichert ist. Pausieren Sie das 1Password-Konto im niedrigsten Tarif für 90 Tage, dann exportieren-und-löschen Sie vollständig nach diesem Zeitraum.

So ordnen Sie Ihre Situation einer Startauswahl zu:

• Sie sind eine Organisation mit Team-Passwort-Sharing als zentralem Use-Case und wollen Open-Source-Codebase und Selbst-Hostbarkeit. Beginnen Sie mit Passbolt (Luxemburg, EU-eigentum, CLOUD-Act-Risiko: Erheblich in der Standard-Cloud). Open-Source-Codebase, selbst hostbar auf jeder EU-Sovereign-Cloud, mit starker Team-Kollaborations-UX. Wenn Sie das gehostete Produkt kaufen, wählen Sie den Tarif Cloud Sovereign oder Cloud Enterprise: Die Standard-Cloud läuft auf Google Cloud in Belgien und Deutschland hinter Cloudflare, die souveränen Tarife liegen in einem luxemburgischen Rechenzentrum. Beste Passung für Engineering-Teams, Public-Sector-Käufer und Organisationen mit einer SRE-Funktion, die eigene Infrastruktur betreiben kann.
• Sie sind eine Einzelperson, Familie oder ein kleines Team und sind bereits im Proton-Ökosystem (oder wollen es sein). Beginnen Sie mit Proton Pass (Schweiz, Schweizer-eigentum, Genf-gehostet). Gebündelt mit Proton Mail, Calendar, Drive und VPN; sauberste Einzel-Nutzer-UX im europäischen Set. Beste Passung für privatsphäre-orientierte Einzelpersonen und Beratende, die einen Anbieter für persönliche Mail + Passwort + Cloud-Speicher wollen.
• Sie sind Self-Hosting-Enthusiast oder eine souveränitäts-orientierte Organisation, die maximale Kontrolle und minimalen Vendor-Lock-in will. Beginnen Sie mit Psono (Deutschland, EU-eigentum, Open Source). Open-Source-Codebase mit starker Self-Hosting-Dokumentation; der kommerzielle Cloud-Tarif ist verfügbar für Teams, die Managed Hosting ohne Aufgabe der Open-Source-Garantie wollen.
• Sie bündeln Passwortverwaltung mit Cloud-Speicher in einem Consumer-Plan. Beginnen Sie mit pCloud Pass (Schweiz, EU-gehostet). Gebündelt mit pCloud-Cloud-Speicher zu consumer-freundlichen Preisen. Hinweis: pCloud Pass weist eine gewisse Unterauftragsverarbeiter-Exposure auf (CLOUD-Act-Risiko: Gering); das Consumer-Bundle-Wertversprechen ist stark für Einzelnutzer, die einen einzigen Schweizer Anbieter für Speicher und Passwörter wollen.

Welche dieser vier Optionen passt, hängt von einer einzigen bindenden Randbedingung ab, sei es Team-Kollaborations-UX, integriertes Privatsphäre-Ökosystem, Selbst-Hostbarkeit oder Consumer-Bundle mit Cloud-Speicher; die Vergleichstabelle oben lässt sich genau danach sortieren.