Die österreichische Datenschutzbehörde hat für 2026 erneut Schwerpunktprüfungen angekündigt, diesmal mit Fokus auf Art. 32 DSGVO, also die technische Absicherung von Verarbeitungsprozessen. Für März 2026 sind laut Angaben der DSB Verfahren gegen ausgewählte Verantwortliche und Auftragsverarbeiter vorgesehen, ein zweiter Prüfteil folgt im Juni und wird mit dem Coordinated Enforcement Framework des Europäischen Datenschutzausschusses kombiniert. Wer in Österreich beruflich mit Zugangsdaten arbeitet, bekommt dadurch einen sehr konkreten Grund, den eigenen Passwortmanager genauer zu prüfen. Zwei Kandidaten stechen dabei heraus: Bitwarden, der quelloffene Platzhirsch mit jährlicher Audit-Tradition seit 2018, und NordPass, das Tochterprodukt von Nord Security mit mehreren Cure53-Prüfungen und wachsendem Business-Fokus. Dieser Artikel vergleicht beide anhand von Verschlüsselung, Audit-Historie, Preisen und Praxis-Tauglichkeit für Österreich.
Beide Tools zählen zu den meistgenutzten Passwortmanagern im deutschsprachigen Raum, tauchen in App-Store-Charts regelmäßig unter den Top-Ergebnissen für “Passwortmanager” auf und werben beide aktiv mit ihrer Audit-Transparenz. Das ist kein Zufall: Nach Jahren, in denen Passwortmanager selbst zum Angriffsziel wurden, etwa durch Phishing-Kampagnen gegen Master-Passwörter oder Schwachstellen in Browser-Erweiterungen, verlangen sicherheitsbewusste Nutzer heute handfeste Beweise statt Marketingversprechen. Genau hier setzt dieser Vergleich an: Statt Werbetexte gegenüberzustellen, prüfen wir, was unabhängige Auditoren tatsächlich gefunden haben, was beide Anbieter offiziell zu ihren Preisen und Funktionen angeben, und wie sich das auf den Alltag in Österreich übersetzt.
Bitwarden und NordPass im Kurzporträt
Bitwarden ist ein quelloffener Passwortmanager, dessen kompletter Code öffentlich einsehbar ist, inklusive Server-Backend. Ein Review vom März 2026 bezeichnet Bitwarden als “Best Open-Source Password Manager” und hebt hervor, dass sämtliche Audit-Berichte ohne Login frei abrufbar sind. Genau diese Transparenz ist Bitwardens zentrales Verkaufsargument gegenüber Anbietern, deren Quellcode niemand von außen nachlesen kann.
NordPass gehört zu Nord Security, demselben Konzern, der auch NordVPN betreibt. Anders als Bitwarden veröffentlicht NordPass seinen Quellcode nicht öffentlich, verlässt sich stattdessen auf wiederholte externe Prüfungen durch die Berliner Sicherheitsfirma Cure53. Seit dem Marktstart 2019 hat NordPass laut einer Analyse von privacytestlab.com aus August 2026 keine öffentlich bekannte Kompromittierung eines Nutzer-Tresors erlebt. Der Konzernmutter Nord Security musste allerdings 2018, also vor dem NordPass-Launch, einen Servervorfall bei NordVPN eingestehen. Dieser historische Fleck taucht in unabhängigen Reviews bis heute als Kontext auf, auch wenn er NordPass selbst nicht direkt betrifft.
Funktional unterscheiden sich beide Produkte weniger stark als ihre Sicherheitsarchitektur vermuten lässt. Beide bieten Passwort-Generatoren, automatisches Ausfüllen von Login-Formularen, sichere Notizen, Kreditkartenspeicher und plattformübergreifende Synchronisation über Windows, macOS, Linux, Android und iOS sowie Browser-Erweiterungen für Chrome, Firefox, Edge und Safari. Der eigentliche Unterschied zeigt sich erst beim genaueren Blick auf Verschlüsselung, Audit-Tiefe und Geschäftsmodell, drei Bereiche, in denen Bitwarden und NordPass bewusst unterschiedliche Prioritäten setzen.
Verschlüsselung im Detail: AES-256-CBC gegen XChaCha20
Beim Verschlüsselungsverfahren gehen beide Anbieter unterschiedliche Wege. Bitwarden setzt laut der Bitwarden-Review von privacypick.com (September 2026) weiterhin auf AES-256-CBC zur Verschlüsselung der Tresordaten sowie HMAC-SHA-256 zur Integritätsprüfung. Client-seitig verwendet Bitwarden standardmäßig 600.000 PBKDF2-Iterationen, um das Master-Passwort gegen Brute-Force-Angriffe zu härten. Diese Zahl liegt deutlich über dem, was viele ältere Passwortmanager noch als Standard ausliefern, und folgt den aktuellen OWASP-Empfehlungen für PBKDF2-basierte Schlüsselableitung.
NordPass wählt einen anderen technischen Ansatz und setzt auf XChaCha20, ein modernes AEAD-Verschlüsselungsverfahren, das laut einer französischsprachigen Bewertung von pwdfortress.com (Juni 2026) im Rahmen der Cure53-Audits mitgeprüft wurde. XChaCha20 gilt in der Kryptografie-Community als robuste Alternative zu AES, besonders wegen des größeren Nonce-Raums, der Fehler bei der Schlüsselwiederverwendung praktisch ausschließt. Für Endanwender ist der Unterschied kaum spürbar, für Sicherheitsteams, die eine Toolwahl begründen müssen, aber durchaus relevant. Wer moderne AEAD-Konstruktionen bevorzugt, tendiert zu NordPass, wer die etablierte und extern am häufigsten geprüfte AES-Implementierung will, bleibt bei Bitwarden.
In der Praxis entscheidet weniger der Algorithmus selbst über die Sicherheit als seine Implementierung. Sowohl AES-256-CBC als auch XChaCha20 gelten unter Kryptografen als sicher, solange Nonces korrekt erzeugt und Schlüssel sauber abgeleitet werden. Für IT-Teams, die eine Toolentscheidung dokumentieren müssen, liefert dieser Unterschied trotzdem ein Argument: Bitwardens Kombination aus AES-256-CBC und einer hohen PBKDF2-Iterationszahl ist der in Sicherheits-Frameworks wie NIST SP 800-63B am häufigsten referenzierte Ansatz, während NordPass mit XChaCha20 auf ein Verfahren setzt, das ursprünglich aus dem Umfeld von Signal und WireGuard stammt und dort als besonders fehlerresistent gilt.
Bitwardens Audit-Historie: Cure53, ETH Zürich und Unit 42
Bitwarden beauftragt laut privacypick.com seit 2018 jährlich eine externe Prüfung, überwiegend durch Cure53, mit Source-Code-Review und Penetrationstests für Web-Vault, Browser-Erweiterung, Desktop-App und Mobile-Clients. Diese Kontinuität über nun acht Jahre hinweg ist im Passwortmanager-Markt selten und liefert eine lange, nachvollziehbare Historie öffentlich einsehbarer Berichte.
Für den Zeitraum 2024 bis 2025 kamen zwei zusätzliche Prüfungen hinzu. Die ETH Zürich führte ein Kryptografie-Audit durch, das explizit mit einem vollständig bösartigen Server als Bedrohungsmodell arbeitete, um die Zero-Knowledge-Versprechen von Bitwarden auf die Probe zu stellen. Parallel dazu bewertete Unit 42, die Threat-Intelligence-Einheit von Palo Alto Networks, gezielt die mobilen Apps. Diese Erweiterung auf Mobile-Security ist bemerkenswert, weil ältere Audits historisch häufiger nur Desktop und Web abdeckten, während ein Großteil der Alltagsnutzung inzwischen über Smartphones läuft.
Bemerkenswert ist auch, wie Bitwarden mit den Ergebnissen umgeht. Statt Audit-Berichte nur intern zu verwenden oder in Zusammenfassungen zu kürzen, veröffentlicht das Unternehmen laut graylynxai.com die vollständigen Cure53-Reports frei zugänglich, ohne Registrierung oder Login. Diese Praxis unterscheidet Bitwarden von vielen Wettbewerbern, die Audit-Ergebnisse nur auf Anfrage oder in geschönter Marketing-Form teilen. Für IT-Sicherheitsverantwortliche in Österreich, die im Rahmen von Lieferantenbewertungen konkrete Nachweise brauchen, spart das Zeit, weil kein separates Auskunftsersuchen an den Anbieter nötig ist.
NordPass’ Audit-Historie: Vier Cure53-Prüfungen seit 2020
NordPass lässt seine Codebasis seit 2020 wiederholt von Cure53 prüfen. Die erste Prüfung im Jahr 2020 untersuchte Desktop-Apps, Browser-Erweiterungen und Mobile-Apps und fand laut privacytestlab.com neun Schwachstellen, die alle vor Abschluss des Audits behoben wurden. 2021 folgte eine Prüfung des Admin-Panels und der Infrastruktur rund um das Nord-Account-System. 2022 untersuchte Cure53 laut pwdfortress.com erneut die Kryptografie sowie den Code der Web-, Browser-Extension- und Mobile-Clients und fand drei geringfügige Schwachstellen, ebenfalls alle vor Veröffentlichung des Reports korrigiert. Der bislang letzte Durchgang 2024 fand laut privacytestlab.com keine kritischen Schwachstellen in der geprüften Codebasis.
Für Unternehmenskunden kommt bei NordPass Business zusätzliche Compliance hinzu: Das Angebot ist 2026 als SOC 2 Type II zertifiziert und laut privacytestlab.com auch ISO-27001-konform beschrieben. Diese Zertifizierungen decken operative Sicherheitsprozesse und interne Kontrollen ab, ein Nachweis, den österreichische Firmenkunden gegenüber der eigenen Datenschutzbehörde häufig vorlegen müssen. Bitwarden veröffentlicht zwar seine Audit-Reports offen, nennt in den ausgewerteten Quellen aber keine vergleichbare SOC-2- oder ISO-27001-Zertifizierung für das eigene Business-Angebot.
Auffällig an NordPass’ Audit-Historie ist der klare Trend: Während die frühen Prüfungen 2020 noch neun Schwachstellen zutage förderten, wenn auch alle vor Veröffentlichung behoben, sank diese Zahl 2022 auf drei geringfügige Funde und lag 2024 laut privacytestlab.com bei null kritischen Schwachstellen. Diese Entwicklung lässt sich als Reifungsprozess lesen: Je öfter eine Codebasis extern geprüft wird, desto weniger neue Angriffsflächen bleiben typischerweise übrig, vorausgesetzt, die gefundenen Probleme werden konsequent behoben, was in allen vier dokumentierten Runden der Fall war.
Die ETH-Zürich-Studie: 12 Angriffsszenarien und das Zero-Knowledge-Versprechen
Der spannendste Einzelbefund aus der jüngeren Audit-Geschichte betrifft ausschließlich Bitwarden. Forscher der ETH Zürich identifizierten im Rahmen ihres 2025er-Audits laut graylynxai.com zwölf theoretische Angriffsszenarien, die die Kryptografie und das Zero-Knowledge-Modell von Bitwarden herausfordern sollen. Wichtig ist die Einordnung: Es handelt sich um theoretische Szenarien unter einem Bedrohungsmodell mit vollständig bösartigem Server, nicht um in der Praxis ausgenutzte Sicherheitslücken. Die vollständigen Ergebnisse sollen im August 2026 auf dem USENIX Security Symposium präsentiert werden, einer der angesehensten akademischen Konferenzen für IT-Sicherheit weltweit.
Für Leser bedeutet das zweierlei. Erstens zeigt die Studie, wie belastbar Zero-Knowledge-Versprechen unter akademischer Prüfung tatsächlich sind, ein Prozess, den viele Anbieter scheuen, weil er Schwachstellen sichtbar macht, die in Marketing-Texten nie auftauchen. Zweitens ist gerade diese Offenheit ein Pluspunkt für Bitwarden: Ein geschlossenes System hätte solche akademischen Untersuchungen mit vollem Server-Zugriff kaum ermöglicht. NordPass hat bislang keine vergleichbare akademische Kryptografie-Studie mit malicious-server-Modell öffentlich vorzuweisen, stützt sich stattdessen auf die wiederkehrenden Cure53-Prüfungen.
Spezifikationen im direkten Vergleich
Die folgende Tabelle fasst die wichtigsten technischen und organisatorischen Unterschiede zusammen, basierend auf offiziellen Angaben sowie den zitierten Reviews von CNET, privacytestlab.com, privacypick.com und graylynxai.com.
| Merkmal | Bitwarden | NordPass |
|---|---|---|
| Verschlüsselung | AES-256-CBC + HMAC-SHA-256 | XChaCha20 |
| Standard-Schlüsselableitung | 600.000 PBKDF2-Iterationen (client-seitig) | Proprietäres Verfahren, im Cure53-Audit geprüft |
| Quelloffen | Ja, vollständig inklusive Server-Code | Nein |
| Auditor(en) | Cure53, ETH Zürich, Unit 42 | Cure53 |
| Audits seit | 2018 (jährlich) | 2020 |
| Letzter Audit | 2025 (ETH Zürich + Cure53) | 2024 (Cure53) |
| Bekannte, behobene Schwachstellen | Details je Report öffentlich, keine kritischen Lücken in aktuellen Runden | 9 (2020), 3 geringfügige (2022), keine kritischen (2024) |
| Datenschutzvorfälle seit Marktstart | Keine bekannt | Keine bekannt (Mutterkonzern Nord Security: Servervorfall 2018 bei NordVPN) |
| Geräte-Limit im Gratis-Tarif | Unbegrenzt | Ein aktives Gerät gleichzeitig |
| Passkey-Unterstützung | Ja | Ja |
| Biometrische Entsperrung | Ja (kostenpflichtige Tarife) | Ja (Free, Premium, Family) |
| SOC 2 Type II (Business) | Nicht ausgewiesen | Ja (2026) |
| ISO 27001 (Business) | Nicht ausgewiesen | Ja (2026) |
| Data Breach Scanner | Vault-Health-Reports (Premium) | Ja (Premium und höher) |
| Email-Maskierung | Email-Alias-Integration | Ja (Premium und höher) |
Auf den ersten Blick wirkt die Tabelle wie ein knapper Sieg für Bitwarden, weil in mehr Zeilen ein klarer Vorteil steht. Wichtig ist aber die Gewichtung: Für Privatpersonen zählen vor allem Verschlüsselung, Audit-Historie und das Geräte-Limit im Gratis-Tarif, drei Bereiche, in denen Bitwarden vorne liegt. Für Unternehmenskunden verschiebt sich das Gewicht Richtung SOC 2, ISO 27001 und Euro-Abrechnung, wo NordPass die praktischeren Nachweise liefert. Eine reine Zeilenzählung führt deshalb in die Irre, die Zielgruppe entscheidet, welche Zeilen wirklich zählen.
Browser-Erweiterungen und Plattformabdeckung
Beide Anbieter decken die relevanten Plattformen für den österreichischen Alltag ab: Desktop-Apps für Windows, macOS und Linux, mobile Apps für Android und iOS sowie Browser-Erweiterungen für Chrome, Firefox, Edge, Safari, Brave und Opera. Das ist bei einem Passwortmanager keine Kür, sondern die Grundvoraussetzung, damit Zugangsdaten überall dort verfügbar sind, wo man sie braucht, egal ob im Büro am Windows-Rechner, unterwegs am iPhone oder zu Hause am Linux-Laptop.
Der praktische Unterschied liegt im Geräte-Limit der jeweiligen Gratis-Version, nicht in der grundsätzlichen Plattformverfügbarkeit. Während Bitwarden im kostenlosen Tarif beliebig viele Geräte gleichzeitig synchronisiert, zwingt NordPass Nutzer der Free-Version dazu, sich bei einem Gerätewechsel jedes Mal neu anzumelden, weil nur eine aktive Sitzung erlaubt ist. Für Einzelpersonen mit nur einem Gerät spielt das keine Rolle, für alle anderen wird der Umstieg auf einen kostenpflichtigen Tarif bei NordPass deutlich früher relevant als bei Bitwarden.
Auch die Browser-Erweiterungen selbst unterscheiden sich in der Alltagsnutzung kaum: Beide bieten automatisches Ausfüllen von Login-Formularen, eine Kontextmenü-Integration per Rechtsklick und eine Erkennung neuer Konten beim Anlegen eines Accounts auf einer Webseite, die dann automatisch zum Speichern im Tresor vorschlägt. Wer regelmäßig zwischen mehreren Browsern wechselt, etwa Firefox am Desktop und Safari am iPhone, profitiert in beiden Fällen von einer nahezu verzögerungsfreien Synchronisation neuer Einträge über alle verbundenen Geräte hinweg.
Team-Funktionen und Passwort-Freigabe für Unternehmen
Für kleine und mittlere Unternehmen in Österreich ist die Team-Verwaltung oft das entscheidende Kriterium, wichtiger als der reine Verschlüsselungsalgorithmus. Bitwarden Teams und Enterprise erlauben laut offizieller Preisseite die zentrale Verwaltung von Zugriffsrechten über organisierte Sammlungen, in denen sich Zugangsdaten gruppenweise freigeben lassen, ohne dass einzelne Mitarbeitende das Master-Passwort eines Kollegen kennen müssen. Die Administration läuft über eine Web-Konsole, die Rollen, Gruppen und Zugriffsprotokolle abbildet.
NordPass Business und Enterprise bieten ein vergleichbares Modell mit Ordnern und Rollen, ergänzt um die SOC-2- und ISO-27001-Zertifizierung, die bei Ausschreibungen oder Lieferantenaudits oft direkt abgefragt wird. Für IT-Verantwortliche, die im Rahmen der NIS2-Umsetzung oder der DSB-Schwerpunktprüfung 2026 Nachweise über Zugriffskontrollen liefern müssen, sind beide Lösungen grundsätzlich geeignet. Der Unterschied liegt darin, in welcher Form der Nachweis vorliegt: als öffentlicher Audit-Report bei Bitwarden oder als anerkanntes Zertifikat bei NordPass.
Bei der Bereitstellung neuer Mitarbeiter-Zugänge unterscheiden sich beide Produkte kaum: Ein Admin legt ein Konto an, weist es einer oder mehreren Gruppen zu, und die freigegebenen Zugangsdaten erscheinen automatisch im Tresor der betroffenen Person. Scheidet jemand aus dem Unternehmen aus, lässt sich der Zugriff in beiden Tools zentral und sofort entziehen, ohne dass Passwörter einzeln geändert werden müssen, ein Sicherheitsgewinn gegenüber der verbreiteten Praxis, Zugangsdaten in geteilten Excel-Tabellen oder Notiz-Apps zu verwalten.
Preise für Österreich: Was Bitwarden und NordPass wirklich kosten
Beim Preis zeigt sich ein Unterschied, der über reine Zahlen hinausgeht: Bitwarden weist seine Preise laut der offiziellen Preisseite in US-Dollar aus, während NordPass auf seiner offiziellen Seite explizit Euro-Preise für den europäischen Markt nennt. Für österreichische Nutzer, die Wechselkursschwankungen vermeiden wollen, ist das ein praktischer Pluspunkt für NordPass.
| Tarif | Bitwarden | NordPass |
|---|---|---|
| Kostenlos | 0 $, unbegrenzte Passwörter und Geräte | 0 €, unbegrenzte Passwörter, ein Gerät gleichzeitig |
| Premium (Einzelperson) | 19,80 $/Jahr (1,65 $/Monat) | ab 1,23 €/Monat, im 1-Jahres-Plan 23,88 $ laut CNET-Review |
| Familie | 47,88 $/Jahr für bis zu 6 Nutzer (3,99 $/Monat) | 44,28 $ im ersten Jahr für 6 Nutzer laut CNET-Review |
| Teams (Business) | 4 $/Nutzer/Monat, jährliche Abrechnung | ab 1,79 €/Monat laut offizieller Preisseite |
| Enterprise | 6 $/Nutzer/Monat, jährliche Abrechnung | rund 8 $/Nutzer/Monat laut CNET-Review |
Die Gratis-Tarife unterscheiden sich in einem Detail, das in der Praxis oft übersehen wird: Bitwarden erlaubt in der kostenlosen Version laut offizieller Produktseite unbegrenzt viele Geräte gleichzeitig, während NordPass im Free-Tarif laut mehreren Reviews nur ein aktives Gerät zur selben Zeit zulässt. Wer also kostenlos zwischen Laptop, Smartphone und Tablet synchronisieren will, kommt an Bitwarden praktisch nicht vorbei, solange man nicht zahlen möchte.
Für Unternehmen lohnt sich ein genauerer Blick auf die Business-Tarife, weil sich die Kosten mit wachsender Mitarbeiterzahl schnell summieren. Bitwarden Teams liegt bei 4 $ pro Nutzer und Monat, Enterprise bei 6 $, beide bei jährlicher Abrechnung. NordPass startet laut offizieller Preisseite bei 1,79 € pro Nutzer und Monat für Teams, während Business und Enterprise laut CNET-Review im Bereich von rund 6 $ beziehungsweise 8 $ pro Nutzer und Monat liegen. Bei einem Team von zehn Personen macht der Unterschied zwischen den günstigsten Einstiegstarifen beider Anbieter über ein Jahr gerechnet mehrere hundert Euro aus, ein Faktor, den Kleinunternehmen in die Kalkulation einbeziehen sollten.
Ein weiterer Punkt, den Einzelnutzer oft übersehen, ist die Preisentwicklung nach dem ersten Jahr. NordPass Premium ist laut PCMag-Review im ersten Jahr auf 23,88 $ reduziert und kehrt danach zum regulären Preis von 35,88 $ pro Jahr zurück, ein Muster, das im Abo-Markt für Software weit verbreitet ist. Bitwarden verzichtet laut den ausgewerteten Quellen auf einen vergleichbaren Erstjahres-Rabatt, der Jahrespreis von 19,80 $ bleibt über die Vertragslaufzeit konstant. Wer langfristig kalkuliert, sollte deshalb nicht nur den Einstiegspreis, sondern auch den Preis ab dem zweiten Jahr vergleichen. Ein Blick auf die Kündigungsfristen und Verlängerungsbedingungen im jeweiligen Kundenkonto lohnt sich zusätzlich, da automatische Vertragsverlängerungen bei beiden Anbietern der Standardfall sind, sofern nicht rechtzeitig widersprochen wird.
Open Source gegen Closed Source: Transparenz als Sicherheitsfaktor
Bitwardens offener Quellcode bedeutet, dass jede Sicherheitsforscherin und jeder unabhängige Entwickler den kompletten Code einsehen, auf Schwachstellen prüfen und Verbesserungsvorschläge einreichen kann. Diese Offenheit erklärt auch, warum akademische Institutionen wie die ETH Zürich überhaupt in der Lage waren, ein derart tiefgehendes Kryptografie-Audit mit vollem Bedrohungsmodell durchzuführen. Kritiker wenden ein, dass Offenheit allein keine Sicherheit garantiert, ohne kontinuierliche Prüfung bleibt auch offener Code angreifbar.
NordPass verfolgt die entgegengesetzte Strategie: Der Code bleibt proprietär, dafür kompensiert das Unternehmen mit wiederkehrenden externen Audits durch Cure53 und mit Compliance-Zertifikaten wie SOC 2 und ISO 27001, die speziell auf Unternehmenskunden zugeschnitten sind. Für Firmen, die in Ausschreibungen ein Zertifikat statt eines Github-Links vorlegen müssen, ist das oft der praktischere Nachweis. Für Einzelentwickler und Sicherheitsteams, die den Code selbst lesen wollen, bleibt Bitwarden die einzige Option der beiden.
In der Sicherheitscommunity wird diese Debatte seit Jahren geführt, ohne eindeutigen Sieger. Befürworter offener Software argumentieren, dass mehr Augen auf dem Code langfristig mehr Fehler finden, ein Prinzip, das als Linus’sches Gesetz bekannt ist. Befürworter geschlossener Software halten dagegen, dass regelmäßige, professionell durchgeführte Audits durch spezialisierte Firmen wie Cure53 in der Praxis oft gründlicher sind als gelegentliche Community-Reviews eines offenen Repositorys. Für den konkreten Vergleich zwischen Bitwarden und NordPass zeigt sich: Beide Ansätze haben in den vergangenen Jahren funktioniert, keiner der beiden Anbieter musste bislang eine kritische, aktiv ausgenutzte Schwachstelle eingestehen.
DSGVO-Schwerpunktprüfung 2026: Was die österreichische Datenschutzbehörde prüft
Die DSB konzentriert sich 2026 laut eigener Ankündigung im ersten Prüfteil auf die Vorgaben zur Sicherheit der Verarbeitung nach Art. 32 DSGVO, inklusive Risikobewertung sowie Dokumentationspflichten aus Art. 30, dem Verzeichnis von Verarbeitungstätigkeiten, und gegebenenfalls Art. 35, der Datenschutz-Folgenabschätzung. Für Unternehmen, die Passwortmanager als Teil ihrer IT-Sicherheitsarchitektur einsetzen, heißt das konkret: Wer im März 2026 geprüft wird, muss belegen können, dass die eingesetzten Tools angemessen abgesichert sind und diese Absicherung dokumentiert ist.
Der zweite Prüfteil wird im Juni 2026 bekanntgegeben und zusätzlich mit einem Fragebogen des Coordinated Enforcement Framework kombiniert, an dem sich Österreich laut Mitteilung des Europäischen Datenschutzausschusses beteiligt. Beide Passwortmanager liefern hier verwertbares Beweismaterial: Bitwardens öffentliche Audit-Historie seit 2018 und NordPass’ SOC-2- sowie ISO-27001-Zertifizierung lassen sich beide als Nachweis für angemessene technische Maßnahmen im Sinne von Art. 32 DSGVO anführen. Welches Dokument in einer konkreten Prüfung mehr Gewicht hat, hängt vom Prüfer ab, aber beide Anbieter liefern belastbares Material, was bei vielen Konkurrenzprodukten ohne veröffentlichte Audits nicht der Fall ist.
Relevant ist außerdem, wo die Daten verarbeitet werden. Beide Anbieter richten sich mit Rechenzentren und Vertragsbedingungen an europäische Kunden und werben mit DSGVO-Konformität, was für Unternehmen in Österreich die Auftragsverarbeitungsverträge deutlich vereinfacht. Wer im Rahmen der Schwerpunktprüfung 2026 ein Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO führen muss, sollte in jedem Fall dokumentieren, welcher der beiden Anbieter eingesetzt wird, seit wann, und welche der oben genannten Audit- oder Zertifizierungsnachweise als Beleg für angemessene technische Maßnahmen hinterlegt sind. Diese Dokumentation lässt sich in wenigen Minuten erstellen, spart im Ernstfall einer Prüfung aber wertvolle Zeit.
Der Audit-Trend in der Privacy-Branche: IVPN und Proton VPN als Vergleich
Bitwarden und NordPass stehen nicht allein mit ihrer Audit-Strategie. Der VPN-Anbieter IVPN kündigte im Juni 2026 laut eigenem Blogbeitrag seinen achten jährlichen Sicherheitsaudit mit Cure53 an, angesetzt für zwei Wochen im Juli. Proton VPN wiederum verweist laut einem Review von techtoolshq.com aus August 2026 auf fünf aufeinanderfolgende jährliche Infrastruktur-Audits durch die polnische Sicherheitsfirma Securitum, mit denen der No-Logs-Anspruch geprüft wurde. Die Berichte sind ebenfalls öffentlich, ohne NDA und ohne Paywall.
Das Muster ist eindeutig: Privacy-orientierte Dienste versuchen, regulatorischem Druck durch DSGVO-Schwerpunktprüfungen und CEF-Maßnahmen proaktiv mit nachweisbaren technischen Prüfungen zu begegnen. Die folgende Tabelle zeigt die Audit-Historie von Bitwarden und NordPass im Detail, chronologisch sortiert.
| Jahr | Anbieter | Auditor | Umfang | Ergebnis |
|---|---|---|---|---|
| 2018–2023 | Bitwarden | Cure53 (jährlich) | Source Code, Pentests aller Clients | Berichte öffentlich verfügbar |
| 2020 | NordPass | Cure53 | Desktop, Browser-Extension, Mobile | 9 Schwachstellen, vor Abschluss behoben |
| 2021 | NordPass | Cure53 | Admin-Panel, Nord-Account-Infrastruktur | Nicht im Detail öffentlich beziffert |
| 2022 | NordPass | Cure53 | Kryptografie, Code Review (Web/Extension/Mobile) | 3 geringfügige Schwachstellen, vor Publikation behoben |
| 2024 | NordPass | Cure53 | Kryptografie-Grundlagen, Source Code | Keine kritischen Schwachstellen |
| 2025 | Bitwarden | ETH Zürich | Kryptografie, Zero-Knowledge-Modell (malicious server) | 12 theoretische Angriffsszenarien, Präsentation USENIX August 2026 |
| 2025 | Bitwarden | Unit 42 (Palo Alto Networks) | Mobile-App-Sicherheit | Bestandteil des Audit-Trails 2024–2025 |
Bemerkenswert an dieser Tabelle ist die zeitliche Verdichtung im Jahr 2025: Gleich zwei unabhängige Institutionen, die ETH Zürich und Unit 42, nahmen Bitwarden innerhalb desselben Zeitraums unter die Lupe, während NordPass im selben Jahr keinen neuen öffentlichen Audit-Report veröffentlichte, der letzte bekannte Durchgang stammt aus 2024. Für 2026 kündigen beide Unternehmen an, ihren jeweiligen Prüfrhythmus fortzusetzen, konkrete Termine für die nächste Runde waren zum Redaktionsschluss aber noch nicht öffentlich bestätigt.
Passwort-Health, 2FA und Zusatzfunktionen im Vergleich
Über die reine Passwortspeicherung hinaus bieten beide Anbieter Funktionen, die schwache oder wiederverwendete Passwörter aufspüren. NordPass nennt diese Funktion Password Health und liefert sie laut CNET-Review ab dem Premium-Tarif, ergänzt um einen Data Breach Scanner, der bekannte Datenlecks mit den gespeicherten Zugangsdaten abgleicht. Bitwarden bietet mit den Vault Health Reports laut panicvault.org eine vergleichbare Funktion, die schwache, wiederverwendete und in Datenlecks aufgetauchte Passwörter markiert, ebenfalls ab dem Premium-Tarif.
Bei der Zwei-Faktor-Authentifizierung unterstützen beide Anbieter neben klassischen Authenticator-Apps auch Hardware-Token nach dem FIDO2/WebAuthn-Standard, etwa YubiKeys. Bitwarden integriert zusätzlich einen eigenen TOTP-Generator direkt in den Tresor, sodass Einmalcodes und Passwörter an einem Ort verwaltet werden können, eine Funktion, die laut panicvault.org im Premium-Tarif enthalten ist. NordPass bietet eine vergleichbare integrierte Authenticator-Funktion in den kostenpflichtigen Tarifen. Für Nutzer, die Wert auf eine einzige App für Passwörter und Einmalcodes legen, unterscheiden sich beide Anbieter hier kaum spürbar.
Sicherheitsexperten raten grundsätzlich davon ab, TOTP-Codes und das dazugehörige Passwort im selben Tresor zu speichern, weil damit im Fall eines kompromittierten Master-Passworts beide Faktoren gleichzeitig verloren gehen. Praktisch überwiegt für die meisten Privatnutzer aber der Komfortgewinn, und beide Anbieter weisen in ihrer Dokumentation ausdrücklich darauf hin, dass ein separater Authenticator für besonders kritische Konten wie das E-Mail-Hauptkonto oder Online-Banking weiterhin empfehlenswert bleibt.
Fünf Praxisbeispiele: Wer sollte welches Tool wählen?
Die technischen Unterschiede lassen sich am besten anhand konkreter Nutzungsszenarien greifbar machen. Sechs typische Fälle aus dem österreichischen Alltag zeigen, wo welches Tool die bessere Wahl ist, von der Einzelperson über die Familie bis zur mittelständischen IT-Abteilung.
- Der Einzelentwickler in Wien, der Code selbst lesen will: Bitwarden ist die einzige Option der beiden, die vollständige Code-Transparenz bietet, inklusive Server-Backend. Wer aus Prinzip nichts einsetzt, dessen Code er nicht selbst prüfen kann, landet bei Bitwarden.
- Die vierköpfige Familie in Graz mit gemischten Geräten: Bitwardens unbegrenztes Geräte-Limit im Gratis-Tarif erlaubt Synchronisation über beliebig viele Smartphones, Laptops und Tablets ohne Zusatzkosten, ein klarer Vorteil gegenüber NordPass’ Ein-Geräte-Limit im Free-Tarif.
- Das zehnköpfige Kleinunternehmen mit Kundenverträgen: Wenn Kunden im B2B-Bereich SOC-2- oder ISO-27001-Nachweise verlangen, liefert NordPass Business diese Zertifikate direkt mit, während Bitwarden in den ausgewerteten Quellen keine vergleichbaren Business-Zertifizierungen ausweist.
- Die IT-Abteilung, die selbst hosten will: Nur Bitwarden erlaubt über die quelloffene Community-Edition und Projekte wie Vaultwarden den vollständigen Eigenbetrieb der Server-Infrastruktur, ein Weg, den NordPass als Closed-Source-Produkt nicht anbietet.
- Der Freelancer, der einen günstigen Mehrjahresvertrag sucht: NordPass’ Zwei-Jahres-Rabatte drücken laut CNET-Review den effektiven Monatspreis für Premium spürbar unter Bitwardens Jahrespreis, ein Vorteil für alle, die früh eine längere Bindung eingehen wollen.
- Die Non-Profit-Organisation mit knappem Budget: Bitwardens kostenloser Tarif mit unbegrenzten Geräten und Passwörtern deckt viele Grundbedürfnisse ab, ohne dass ein Jahresbudget für Lizenzen eingeplant werden muss, ein Vorteil gegenüber dem stärker limitierten NordPass-Gratis-Tarif.
Kritikpunkte und offene Fragen bei beiden Anbietern
Kein Passwortmanager ist über jede Kritik erhaben. Bei Bitwarden bemängeln einzelne Reviews, dass die reine Existenz von zwölf theoretischen Angriffsszenarien aus dem ETH-Zürich-Audit, auch wenn sie ein extremes Bedrohungsmodell voraussetzen, in Marketing-Vergleichen gerne verschwiegen wird. Wer volle Transparenz will, sollte die vollständigen Ergebnisse nach der Präsentation auf dem USENIX Security Symposium im August 2026 selbst nachlesen, statt sich auf verkürzte Zusammenfassungen zu verlassen.
Bei NordPass bleibt der wiederkehrende Kritikpunkt die fehlende Code-Transparenz. So gründlich die Cure53-Audits auch dokumentiert sind, niemand außerhalb von NordPass und den beauftragten Prüfern kann den Code zwischen den offiziellen Audit-Terminen selbst einsehen. Wer zwischen zwei Prüfungen eine neue Schwachstelle vermutet, hat keine Möglichkeit, das unabhängig zu verifizieren, ein struktureller Nachteil gegenüber Bitwardens durchgehend offenem Repository. Zusätzlich sorgt das Ein-Geräte-Limit im Gratis-Tarif bei manchen Nutzern für Frustration, weil es in der Kommunikation von NordPass nicht immer so prominent steht wie die übrigen Funktionen.
Beide Anbieter teilen sich außerdem eine strukturelle Einschränkung, die selten thematisiert wird: Die veröffentlichten Audits sind Momentaufnahmen. Ein Cure53- oder ETH-Zürich-Bericht bewertet den Code zum Zeitpunkt der Prüfung, nicht jede spätere Codeänderung. Neue Funktionen, die nach einem Audit ausgeliefert werden, durchlaufen erst beim nächsten Prüfzyklus dieselbe Tiefe an externer Kontrolle. Nutzer, die maximale Sicherheit wollen, sollten deshalb nicht nur auf das Vorhandensein von Audits achten, sondern auch auf deren Aktualität und Frequenz, ein Bereich, in dem Bitwardens jährlicher Rhythmus seit 2018 einen klaren Vorsprung hat.
Migration: So wechseln Sie zwischen Bitwarden und NordPass
Ein Wechsel zwischen beiden Passwortmanagern läuft technisch über den klassischen Export-Import-Weg, unabhängig von der Richtung. Wichtig ist, den Export unmittelbar nach der Erstellung sicher zu löschen, da die Exportdatei die Zugangsdaten unverschlüsselt im Klartext enthält. Beide Anbieter unterstützen den Import gängiger CSV-Formate aus Konkurrenzprodukten, sodass ein Wechsel in beide Richtungen technisch unkompliziert ist. Der eigentliche Aufwand liegt selten im Datenimport selbst, sondern in der anschließenden Kontrolle, ob wirklich jeder Eintrag korrekt übernommen wurde, besonders bei benutzerdefinierten Feldern, sicheren Notizen und hinterlegten Zwei-Faktor-Geheimnissen.
- Vollständiges Backup des bisherigen Tresors erstellen, bevor irgendetwas verändert wird.
- Im bisherigen Passwortmanager die Exportfunktion im Kontobereich aufrufen und ein unverschlüsseltes CSV oder JSON generieren.
- Die Exportdatei an einem lokalen, nicht cloud-synchronisierten Ort zwischenspeichern.
- Im Zielprodukt (Bitwarden oder NordPass) ein neues Konto anlegen und ein starkes, einzigartiges Master-Passwort setzen.
- Zwei-Faktor-Authentifizierung im neuen Konto sofort aktivieren, bevor Daten importiert werden.
- Die Importfunktion im Zielprodukt aufrufen und das passende Dateiformat auswählen.
- Stichprobenartig prüfen, ob Logins, Notizen und gegebenenfalls Passkeys korrekt übernommen wurden.
- Browser-Erweiterungen des alten Anbieters deaktivieren oder deinstallieren, um Autofill-Konflikte zu vermeiden.
- Die lokale Exportdatei sicher und unwiderruflich löschen, etwa durch Überschreiben oder ein Tool zur sicheren Löschung.
- Das alte Konto erst nach einer Testphase von einigen Tagen endgültig kündigen oder löschen.
Bei Firmenkonten empfiehlt sich zusätzlich, den Wechsel mit der IT-Sicherheitsverantwortlichen Person abzustimmen und die Migration außerhalb der Kernarbeitszeit durchzuführen, damit im Fall von Importfehlern genügend Zeit für eine Korrektur bleibt.
Vor- und Nachteile im Überblick
Nach der Detailanalyse von Verschlüsselung, Audit-Historie, Preisen und Funktionen lassen sich die Stärken und Schwächen beider Anbieter kompakt gegenüberstellen. Die folgende Übersicht fasst zusammen, was in den vorherigen Abschnitten im Detail belegt wurde.
Bitwarden – Vorteile:
- Vollständig quelloffen, inklusive Server-Code
- Längste durchgehende Audit-Historie im Vergleich, jährlich seit 2018
- Unbegrenzte Geräte bereits im kostenlosen Tarif
- Selbsthosting über die Community-Edition und Vaultwarden möglich
- Akademisches Kryptografie-Audit der ETH Zürich mit vollem Bedrohungsmodell
Bitwarden – Nachteile:
- Keine ausgewiesene SOC-2- oder ISO-27001-Zertifizierung für Business-Kunden
- Preise ausschließlich in US-Dollar, Wechselkurs für Österreich relevant
- Die ETH-Zürich-Studie identifizierte theoretische Angriffsszenarien, die weiter beobachtet werden sollten
NordPass – Vorteile:
- Euro-Preise direkt für den europäischen Markt
- SOC 2 Type II und ISO 27001 für Business-Kunden
- Moderne XChaCha20-Verschlüsselung
- Günstigere Mehrjahrestarife laut CNET-Review
- Data Breach Scanner und Email-Maskierung bereits in Premium enthalten
NordPass – Nachteile:
- Kein offener Quellcode, keine unabhängige Nachprüfbarkeit durch Dritte
- Gratis-Tarif auf ein aktives Gerät gleichzeitig beschränkt
- Kürzere Audit-Historie, erst seit 2020 statt seit 2018
- Kein Selbsthosting möglich
Das Urteil: Bitwarden oder NordPass?
Beide Produkte bestehen die grundlegende Sicherheitsprüfung: Keiner der beiden Anbieter weist laut den ausgewerteten Quellen eine bekannte Kompromittierung von Nutzer-Tresoren seit dem jeweiligen Marktstart auf, und beide lassen sich regelmäßig extern prüfen. Der Unterschied liegt in der Ausrichtung. Bitwarden gewinnt bei technischer Transparenz und Audit-Tiefe: acht Jahre durchgehende Prüfungen, vollständig offener Code und ein akademisches Kryptografie-Audit der ETH Zürich mit dem strengsten realistischen Bedrohungsmodell, einem vollständig kompromittierten Server. Für Entwicklerinnen, sicherheitsbewusste Privatpersonen und Organisationen, die Selbsthosting in Betracht ziehen, ist das der ausschlaggebende Faktor.
NordPass punktet dort, wo Bitwarden schwächer aufgestellt ist: bei formaler Business-Compliance mit SOC 2 und ISO 27001, bei Euro-Preisen ohne Wechselkursrisiko und bei günstigeren Mehrjahresverträgen. Für Kleinunternehmen in Österreich, die im Rahmen der DSGVO-Schwerpunktprüfung 2026 ein greifbares Zertifikat vorlegen müssen, kann das den Ausschlag geben. Wer Wert auf maximale Kontrolle und Nachprüfbarkeit legt, wählt Bitwarden. Wer ein zertifiziertes, in Euro abgerechnetes Produkt mit modernerer Verschlüsselung sucht, wählt NordPass. Eine klar falsche Wahl gibt es unter den aktuellen Daten bei keinem der beiden Anbieter.
Für die konkrete Situation vieler Leser in Österreich lässt sich das so zusammenfassen: Privatpersonen und kleine Teams, die Wert auf maximale Transparenz und einen kostenlosen Mehrgeräte-Einstieg legen, fahren mit Bitwarden besser. Unternehmen, die im Rahmen der DSB-Schwerpunktprüfung 2026 ein anerkanntes Compliance-Zertifikat vorweisen müssen und lieber in Euro abrechnen, sind mit NordPass Business meist schneller am Ziel. Wer sich nicht entscheiden kann, sollte beide Gratis-Tarife parallel testen, das kostet nichts außer ein wenig Einrichtungszeit und zeigt schnell, welche Oberfläche und welches Sicherheitsmodell besser zum eigenen Arbeitsalltag passt.
Ein letzter Punkt gehört in jede Entscheidung: Passwortmanager sind kein Ersatz für gesundes Sicherheitsverhalten. Ein starkes, einzigartiges Master-Passwort, aktivierte Zwei-Faktor-Authentifizierung und regelmäßige Kontrolle der Vault-Health-Berichte bleiben Pflicht, unabhängig davon, ob am Ende Bitwarden oder NordPass im Einsatz ist. Beide Tools liefern die technische Grundlage, die Umsetzung im Alltag liegt weiterhin bei den Nutzerinnen und Nutzern selbst.
Häufig gestellte Fragen
Ist Bitwarden oder NordPass sicherer?
Beide zeigen laut den ausgewerteten Audit-Berichten keine bekannten kritischen, ungepatchten Schwachstellen. Bitwarden hat die längere, durchgehende Audit-Historie seit 2018 und zusätzlich ein akademisches Kryptografie-Audit der ETH Zürich vorzuweisen. NordPass stützt sich auf vier dokumentierte Cure53-Audits seit 2020, zuletzt ohne kritische Befunde im Jahr 2024.
Welches Tool ist für Österreich günstiger?
NordPass weist auf der offiziellen Seite direkt Euro-Preise aus, Bitwarden rechnet in US-Dollar ab. Bei Mehrjahresverträgen liegt NordPass laut CNET-Review im effektiven Monatspreis oft unter Bitwardens Jahrestarif, bei Jahresverträgen sind die Unterschiede geringer.
Kann ich Bitwarden selbst hosten?
Ja, über die quelloffene Community-Edition oder das beliebte Drittprojekt Vaultwarden lässt sich Bitwarden komplett auf eigener Infrastruktur betreiben. NordPass bietet als Closed-Source-Produkt keine Selbsthosting-Option.
Was bedeutet die DSB-Schwerpunktprüfung 2026 für meinen Passwortmanager?
Die österreichische Datenschutzbehörde prüft 2026 unter anderem, ob Unternehmen angemessene technische Maßnahmen nach Art. 32 DSGVO nachweisen können. Öffentlich einsehbare Audit-Berichte, wie sie Bitwarden liefert, oder anerkannte Zertifikate wie SOC 2 und ISO 27001, wie sie NordPass Business vorweist, lassen sich beide als Beleg anführen.
Unterstützen beide Anbieter Passkeys?
Ja, sowohl Bitwarden als auch NordPass unterstützen laut den ausgewerteten Reviews Passkeys als passwortlose Anmeldemethode, zusätzlich zur klassischen Zugangsdatenverwaltung.
Wie unterscheiden sich die Gratis-Tarife konkret?
Bitwarden erlaubt im Gratis-Tarif unbegrenzt viele Geräte gleichzeitig. NordPass beschränkt den Gratis-Tarif auf ein aktives Gerät zur selben Zeit, bietet dafür aber ebenfalls unbegrenzt viele gespeicherte Passwörter.
Was ist XChaCha20 und warum nutzt NordPass es?
XChaCha20 ist ein modernes AEAD-Verschlüsselungsverfahren mit einem größeren Nonce-Raum als klassisches AES. Es gilt als robuste Alternative, die Fehler bei der Wiederverwendung von Schlüsseln praktisch ausschließt, und wurde im Rahmen der Cure53-Audits von NordPass mitgeprüft.
Was zeigt das ETH-Zürich-Audit von Bitwarden konkret?
Die ETH Zürich identifizierte 2025 unter einem Bedrohungsmodell mit vollständig kompromittiertem Server zwölf theoretische Angriffsszenarien gegen das Zero-Knowledge-Modell von Bitwarden. Die vollständigen Ergebnisse werden im August 2026 auf dem USENIX Security Symposium vorgestellt.
Eignet sich NordPass für Unternehmen mit Compliance-Anforderungen?
Ja, NordPass Business ist 2026 SOC 2 Type II zertifiziert und laut privacytestlab.com ISO-27001-konform beschrieben. Für Unternehmen, die im Rahmen von Ausschreibungen oder der DSB-Schwerpunktprüfung 2026 ein anerkanntes Zertifikat vorlegen müssen, ist das ein direkter Vorteil gegenüber Bitwarden, das keine vergleichbare Zertifizierung ausweist.
Wie lange dauert ein Wechsel von Bitwarden zu NordPass oder umgekehrt?
Der reine Export-Import-Vorgang dauert in der Regel wenige Minuten. Realistisch sollte man für eine sorgfältige Migration mit Kontrolle aller Einträge, Aktivierung der Zwei-Faktor-Authentifizierung und sicherer Löschung der Exportdatei etwa 30 bis 60 Minuten einplanen, abhängig von der Anzahl gespeicherter Zugangsdaten.
Sollte ich beide Gratis-Tarife vor einer Kaufentscheidung testen?
Ja, das empfiehlt sich ausdrücklich. Da beide Anbieter einen kostenlosen Einstieg ohne Kreditkarte ermöglichen, lässt sich der Wechsel risikofrei ausprobieren, bevor ein Jahres- oder Mehrjahresvertrag abgeschlossen wird. Wer im Unternehmenskontext entscheidet, sollte zusätzlich die jeweilige Testphase der Business-Tarife nutzen, um die Admin-Konsole und die Freigabe-Workflows unter realen Bedingungen mit mehreren Testkonten zu prüfen.
