Passbolt: Den europäischen Open-Source-Passwortmanager selbst hosten
Der Passwortmanager Passbolt ist Open Source und wird in Luxemburg entwickelt. Wir zeigen, wie man ihn auf eigener Hardware aus dem Heimnetz betreibt.
(Bild: Martina Bruns / KI / heise medien)
Passwortmanager, die in der EU entwickelt und gehostet werden, sind eine gute Alternative zu US-Diensten und attraktiv für Nutzer, die ihre Daten gerne beisammenhalten. Sie erfordern jedoch immer noch, dass Sie dem jeweiligen Anbieter des Dienstes (oder der Infrastruktur, die er nutzt) vertrauen, auch wenn er mit Ende-zu-Ende-Verschlüsselung wirbt. Das Prinzip „Zero Knowledge Encryption“ soll dafür sorgen, dass die Anbieter die Passwörter gar nicht einsehen können, auch wenn sie wollten.
Sicherheitsforscher der ETH Zürich haben jedoch erst Mitte Februar 2026 eine Reihe von Sicherheitslücken in populären cloudbasierten Passwortmanagern gefunden, die mit diesem Prinzip werben. Unter Ausnutzung der Macken konnten die Forscher Passwörter einsehen oder verändern. Die Anbieter der angegriffenen Passwortmanager LastPass, Bitwarden und Dashlane waren kooperativ und haben die Lücken mittlerweile geschlossen.
- Die Community-Edition von Passbolt steht unter der Open-Source-Lizenz AGPL 3.0 und kann auf eigener Hardware gehostet werden.
- Passbolt nutzt offene Verfahren wie OpenPGP zur Ende-zu-Ende-VerschlĂĽsselung. Der private SchlĂĽssel verbleibt bei den Clients.
- Wenn Sie selbst hosten, tragen Sie als Administrator die Verantwortung für die Sicherheit der Instanz. Überlegen Sie, ob Sie diese Aufgabe gewissenhaft erfüllen können.
Das Szenario für die Ausnutzung der Sicherheitslücken war, dass ein Angreifer vollständige Kontrolle über den Backend-Server erlangt hat (Malicious Server Threat Model). Das ist keine niedrige Hürde, aber ein Szenario, in dem Verschlüsselung eigentlich immer noch schützen sollte.
Das war die Leseprobe unseres heise-Plus-Artikels "Passbolt: Den europäischen Open-Source-Passwortmanager selbst hosten". Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.
