1Password
AgileBits Inc., firmierend als 1Password, Toronto, Kanada ·1password.com· Stand: 2026-08-17
Dieses Werkzeug mit KI durchgehen
Unser Urteil
Wer eine zentrale Zugangsdatenverwaltung betreibt, gewinnt damit keinen Kunden. Wer keine hat, verliert Aufträge: Der Sicherheitsfragebogen eines Konzerneinkaufs fragt nach der Verwaltung privilegierter Zugänge, die Cyberversicherung fragt danach, und beim ersten Audit nach ISO 27001 steht die Frage ohnehin auf dem Tisch. Der Nutzen ist einseitig und der Anbieter austauschbar, denn Keeper, Bitwarden und der eigene Verzeichnisdienst beantworten dieselbe Frage. Was 1Password von den Übrigen trennt, ist das Schlüsselmodell: Der Anbieter kann die Tresorinhalte selbst dann nicht lesen, wenn eine Behörde ihn dazu auffordert, und genau das steht in seiner Datenschutzerklärung. Diese Bauweise kostet an anderer Stelle, nämlich bei der Wiederherstellung.
Belege:Rechtsträger, Sitz und das vollständige Verzeichnis der Rechtsdokumente samt der Nennung von ISO- und SOC-2-NachweisenZur QuelleTrennung zwischen Tresorinhalten, Verwaltungs- und Diagnosedaten, die Trainingsklausel auf Grundlage berechtigten Interesses, die Wahl des Speicherorts und die Behördenauskunft nur in verschlüsselter FormZur QuelleAuftragsverarbeitung durch AgileBits, Standardvertragsklauseln als Anhang I und britische Übermittlungsvereinbarung als Anhang II, Löschung binnen sechzig Tagen auf Verlangen und binnen eines Jahres nach VertragsendeZur QuelleUnterauftragnehmer mit Zweck und Land, Amazon Web Services als alleiniger Betreiber der Rechenzentren, Hosting von Privileged Access und Apono ausschließlich in den Vereinigten Staaten, geteilte Elemente stets in der Europäischen UnionZur QuelleStand der Nutzungsbedingungen vom 12. September 2024 und das Fehlen jeder Regelung zu künstlicher Intelligenz im VertragstextZur QuelleFehlender Preis für alle fünf Produkte für Geschäftskunden, durchgehend ersetzt durch die Aufforderung zur AngebotsanfrageZur QuellePreise für Einzelpersonen und Familien in beiden ZahlweisenZur QuelleBindung der Events-API an den Tarif Business, Reichweite der Ereignisse und die namentlich genannten GegenstellenZur QuelleZukauf von Apono am 15. Juni 2026 und die Ausrichtung auf Zugriffsvergabe für Menschen, Maschinen und KI-AgentenZur QuelleEigenkapitalrunde über 620 Mio. US-Dollar unter Führung von ICONIQ Growth und die Zahl der Geschäftskunden nach eigener AngabeZur QuelleSelbst offengelegter Vorfall im Zusammenhang mit der bei Okta abgeflossenen Sitzung, samt Zeitpunkt und UmfangZur QuelleGründungsjahr und Belegschaftsgröße nach eigener AngabeZur QuelleZugang zu den Zertifikaten allein über ein Formular mit Name, Firma, Position, Firmengröße und LandZur Quelle
Für wen es taugt
Solopreneur
geeignet
Für Einzelpersonen nennt der Anbieter Preise offen: 2,99 US-Dollar im Monat bei Jahreszahlung, 3,99 US-Dollar bei monatlicher Zahlung, für Familien 4,49 beziehungsweise 5,99 US-Dollar. Damit endet die Preistransparenz. Wer allein arbeitet, braucht die Freigabeketten und die Ausleitung von Protokollen nicht, und der Einzeltarif trägt den Zweck vollständig.
KMU
geeignet
Hier sitzt der Anwendungsfall, und hier beginnt die Preisverhandlung. Die Preisseite führt am 17. August 2026 fünf Produkte für Geschäftskunden und zu jedem den Satz, man möge ein Angebot anfordern. Ein Einstiegspreis steht öffentlich an keiner Stelle. Wer die Ausleitung der Protokolle in ein eigenes Auswertungssystem braucht, landet beim Tarif Business, denn die Events-API hängt an dieser Stufe. Das ist die Schwelle, an der die Rechnung für ein Haus mit dreißig Köpfen entschieden wird.
Konzern
geeignet
Die Prüfpunkte des Einkaufs sind bedient: Auftragsverarbeitungsvertrag als offenes Dokument, vollständige Unterauftragnehmer-Liste mit Land und Zweck, Anmeldung über den eigenen Verzeichnisdienst, Nutzerabgleich über SCIM, Protokollausleitung in Splunk, Microsoft Sentinel, Datadog und ein Dutzend weitere. Eine Frage bleibt und gehört auf die Tagesordnung: Der Kern lässt sich in der EU führen, die zugekauften Bereiche Privileged Access und Apono laufen laut Unterauftragnehmer-Liste ausschließlich in den Vereinigten Staaten.
Kaufen, wechseln oder bauen
Standardprodukt
Der Verzeichnisdienst, den Sie schon bezahlen
Microsoft Entra ID liegt in den meisten Häusern bereits im Abonnement und macht Passwörter für alles überflüssig, was einmalige Anmeldung beherrscht. Konzerne bleiben dabei, weil der Verzeichnisdienst ohnehin die Quelle für Ein- und Austritt ist und weil eine Zugangsverwaltung weniger zu prüfen ist als zwei. Für privilegierte Konten auf Servern und in Datenbanken greifen sie zu CyberArk, das Sitzungen aufzeichnet und Kennwörter selbsttätig wechselt. Die Lücke bleibt dieselbe, für die 1Password gekauft wird: der Dienst ohne Anbindung an den Verzeichnisdienst, das geteilte Konto beim Zahlungsdienstleister, der Schlüssel im Auslieferungsskript.
KI-nativ
Zugriff für Maschinen und Agenten
Die junge Klasse lässt den Menschen beiseite und greift die Konten auf, die keinem gehören: Dienstkonten, Auslieferungsketten, seit kurzem KI-Agenten. Astrix Security und Entro Security inventarisieren diese Zugänge und entziehen sie, wenn sie nicht mehr gebraucht werden. Der Preisunterschied lässt sich in beide Richtungen nicht beziffern, weil auch dort keiner der Anbieter Beträge veröffentlicht. Aufgeben muss man, was die etablierte Klasse mitbringt: die Verwaltung der menschlichen Zugänge. Wie die beiden Hälften zusammenwachsen, zeigt der Anbieter selbst, denn Apono aus genau dieser Klasse gehört seit dem 15. Juni 2026 zu 1Password.
Eigenbau
Vaultwarden für Menschen, Infisical für Maschinen
Der Eigenbau ist hier wohlfeil und darum ernst zu nehmen. Vaultwarden ist ein quelloffener Server, der mit den Bitwarden-Anwendungen spricht und auf einem kleinen Mietserver für rund zehn Euro im Monat läuft. Für die Schlüssel in Auslieferungsketten steht Infisical aus diesem Katalog bereit, ebenfalls im Selbstbetrieb. Aufgesetzt ist beides nach Anbieter-Dokumentation an einem Tag. Gerechnet mit 1.200 Euro Tagessatz kostet die Einrichtung also rund 1.200 Euro einmalig plus 120 Euro Serverkosten im Jahr. Die Einrichtung ist der billige Teil. Teuer wird die Wiederherstellung: Wenn eine Geschäftsführerin ihr Hauptpasswort verliert, muss jemand einen Wiederherstellungsweg gebaut haben, der seinerseits geprüft ist. Dazu kommen die Browsererweiterungen für vier Browser auf drei Betriebssystemen, die nach jedem Browserwechsel nachgezogen werden, der Notfallzugang beim Ausfall des Erbauers und ein Protokoll, das ein Prüfer akzeptiert. Diese vier Dinge sind der Preis, und sie fallen jeden Monat an, nicht einmal.
Unser Rat
- Solopreneur: Nehmen, der Einzeltarif trägt den Zweck und kostet unter drei US-Dollar im Monat.
- KMU: Kaufen, die Ausleitung der Protokolle aber in dasselbe Angebot verhandeln.
- Konzern: Erst klären, was ohnehin über den Verzeichnisdienst läuft, dann den Rest zuschneiden.
Wer dahinter steht
Tragfähigkeit: Etabliert
Einundzwanzig Jahre am Markt, eine Eigenkapitalrunde von 620 Mio. US-Dollar aus dem Januar 2022 und seither fünf Zukäufe, der letzte im Juni 2026. Die Rechtsdokumente werden gepflegt: Auftragsverarbeitungsvertrag und Unterauftragnehmer-Liste tragen beide den 30. Juli 2026. Mehr als 1.400 Beschäftigte und über 100.000 Geschäftskunden sind Angaben des Unternehmens.
- Rechtsperson und Sitz: AgileBits Inc., firmierend als 1Password, 4711 Yonge St, 10th Floor, Toronto, Ontario M2N 6K8, KanadaRechtsträger, Sitz und das vollständige Verzeichnis der Rechtsdokumente samt der Nennung von ISO- und SOC-2-NachweisenZur Quelle · Stand 2026-08-17
- Gründung und Belegschaft nach eigener Angabe: 2005 gegründet, mehr als 1.400 BeschäftigteGründungsjahr und Belegschaftsgröße nach eigener AngabeZur Quelle · Stand 2026-08-17
- Letzte gemeldete Eigenkapitalrunde: 620 Mio. US-Dollar, geführt von ICONIQ Growth, gemeldet am 19. Januar 2022, dabei über 100.000 Geschäftskunden nach eigener AngabeEigenkapitalrunde über 620 Mio. US-Dollar unter Führung von ICONIQ Growth und die Zahl der Geschäftskunden nach eigener AngabeZur Quelle · Stand 2022-01-19
- Jüngster Zukauf: Apono, Anbieter bedarfsgerechter Zugriffsvergabe, gemeldet am 15. Juni 2026; ein Kaufpreis wurde nicht mitgeteiltZukauf von Apono am 15. Juni 2026 und die Ausrichtung auf Zugriffsvergabe für Menschen, Maschinen und KI-AgentenZur Quelle · Stand 2026-06-15
- Pflegestand der Rechtsdokumente: Auftragsverarbeitungsvertrag Fassung 4.8 und Unterauftragnehmer-Liste Fassung 202607, beide vom 30. Juli 2026; die Nutzungsbedingungen dagegen vom 12. September 2024Auftragsverarbeitung durch AgileBits, Standardvertragsklauseln als Anhang I und britische Übermittlungsvereinbarung als Anhang II, Löschung binnen sechzig Tagen auf Verlangen und binnen eines Jahres nach VertragsendeZur Quelle · Stand 2026-07-30
- Dokumentierter Vorfall und Umgang damit: Am 23. Oktober 2023 selbst offengelegt: Über eine bei Okta abgeflossene Sitzung griff ein Angreifer am 29. September 2023 auf die Okta-Verwaltung von 1Password zu. Betroffen waren mitarbeiterseitige Anwendungen; ein Zugriff auf Nutzerdaten wurde nach eigener Untersuchung nicht festgestellt.Selbst offengelegter Vorfall im Zusammenhang mit der bei Okta abgeflossenen Sitzung, samt Zeitpunkt und UmfangZur Quelle · Stand 2023-10-23
Ausstiegskosten: Mittel
Die Daten kommen heraus. Jeder Tresor lässt sich als CSV oder im hauseigenen Format 1PUX ausleiten, und der Anbieter hält in der Datenschutzerklärung ausdrücklich fest, dass er niemanden aus den eigenen Daten aussperrt. Der Export ist zugleich das Risiko, denn er erzeugt eine unverschlüsselte Datei mit sämtlichen Zugängen des Hauses, die während des Umzugs irgendwo liegt. Was der Export nicht mitnimmt, ist die Ordnung darüber: welche Gruppe welchen Tresor sieht, welche Freigabe befristet war, wer wann zugegriffen hat. Diese Struktur wird beim neuen Anbieter von Hand nachgebaut. Dazu kommen die Verweise der Form op:// in Bauplänen und Auslieferungsketten, die nach einem Wechsel sämtlich zu ersetzen sind.
Regulatorik und Daten
| Auftragsverarbeitungbelegt, ohne Auflage: Auftragsverarbeitungsvertrag öffentlich abrufbar und ohne weitere Bedingung Bestandteil des Vertrags; oder er entfällt nachvollziehbar begründet, weil kein Anbieter Kundendaten verarbeitet.belegt, an eine Auflage gebunden: Vertrag existiert, ist aber an einen Tarif gebunden, nur nach Anfrage einsehbar oder allein in den Nutzungsbedingungen geregelt statt als eigenes Dokument.belegt, aber ungünstig: Kein Auftragsverarbeitungsvertrag im üblichen Sinn: entweder weil der Anbieter für das Kerngeschäft eigenständig Verantwortlicher ist und stattdessen eine andere Konstruktion gilt, oder weil öffentlich offen bleibt, ob überhaupt einer angeboten wird.an einem kritischen Punkt offen: Weder ein Vertrag noch ein dokumentierter Weg zu einem Vertrag; der Einkauf hätte nichts, worauf er sich stützen kann. | belegt, ohne Auflageöffentlich als PDF, Fassung 4.8 vom 30. Juli 2026Auftragsverarbeitung durch AgileBits, Standardvertragsklauseln als Anhang I und britische Übermittlungsvereinbarung als Anhang II, Löschung binnen sechzig Tagen auf Verlangen und binnen eines Jahres nach VertragsendeZur QuelleDer Vertrag steht ohne Anmeldung im Rechtsdokumenten-Verzeichnis und erklärt sich selbst zum Bestandteil des jeweiligen Hauptvertrags, sodass er ohne gesonderten Abschluss gilt. AgileBits tritt darin als Auftragsverarbeiter auf. Wer eine unterzeichnete Ausfertigung für die eigene Akte braucht, muss den Vertrieb ansprechen; das Verzeichnis sagt das ausdrücklich. Die Wirksamkeit hängt daran nicht. Der Nachweis im Audit hängt daran.Stand 2026-07-30 |
|---|---|
| Speicherortbelegt, ohne Auflage: EU-Speicherort ohne Zusatzkosten und ohne Tarifbindung, oder der Ort ist vollständig selbst bestimmbar, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: EU-Speicherort möglich, aber an einen Tarif, einen gesondert zu aktivierenden Zusatz oder einen Umzug in eine getrennte Umgebung gebunden; oder die EU-Region ist nicht die Voreinstellung.belegt, aber ungünstig: Kein EU-Speicherort, der Ort ist aber eindeutig benannt, sodass die Folgen bewertbar sind.an einem kritischen Punkt offen: Der Speicherort ist öffentlich nicht benannt oder vom Kunden nicht steuerbar, sodass sich die Verarbeitung nicht verorten lässt. | belegt, an eine Auflage gebundenEU, USA oder Kanada wählbar, aber nur für den KernUnterauftragnehmer mit Zweck und Land, Amazon Web Services als alleiniger Betreiber der Rechenzentren, Hosting von Privileged Access und Apono ausschließlich in den Vereinigten Staaten, geteilte Elemente stets in der Europäischen UnionZur QuelleDie Datenschutzerklärung sagt zu, dass die verschlüsselten Tresorinhalte dort liegen, wo der Kunde es bei der Anmeldung wählt, zur Wahl stehen die Europäische Union, die Vereinigten Staaten und Kanada. Zwei Einschränkungen stehen erst in der Unterauftragnehmer-Liste: Ein geteiltes Element wird für die Dauer der Freigabe in der Europäischen Union abgelegt, unabhängig von der gewählten Region, und die Bereiche Privileged Access sowie Apono laufen ausschließlich in den Vereinigten Staaten. Wer den Kern in der Europäischen Union führt und später privilegierte Zugriffe dazubucht, verlässt die gewählte Region an dieser Stelle wieder. Für Verwaltungs- und Diagnosedaten gilt die Wahl ohnehin nicht: Die Datenschutzerklärung hält fest, dass sie aus anderen Ländern abgerufen und dorthin übermittelt werden.Stand 2026-07-30 |
| Subunternehmerbelegt, ohne Auflage: Vollständige öffentliche Liste der Unterauftragnehmer mit Zweck und Land; oder es gibt keine, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Liste existiert und ist benannt, aber nur nach Anfrage oder nach Zugang zu einem Vertrauensportal einsehbar, oder sie nennt Zweck und Land nicht vollständig.belegt, aber ungünstig: Keine geführte Liste; namentlich stehen nur einzelne Dienste in der Datenschutzerklärung, überwiegend solche der eigenen Website.an einem kritischen Punkt offen: Weder eine Liste noch eine Nennung der Verarbeiter des Produkts, und kein dokumentierter Weg, sie zu erfahren. | belegt, ohne Auflagevollständige öffentliche Liste mit Zweck und LandUnterauftragnehmer mit Zweck und Land, Amazon Web Services als alleiniger Betreiber der Rechenzentren, Hosting von Privileged Access und Apono ausschließlich in den Vereinigten Staaten, geteilte Elemente stets in der Europäischen UnionZur QuelleDie Liste in der Fassung vom 30. Juli 2026 führt jeden Empfänger mit Name, betroffenem Produkt, Tätigkeit und Verarbeitungsland auf. Als Betreiber der Rechenzentren ist allein Amazon Web Services genannt, mit Kanada, der Europäischen Union und den Vereinigten Staaten. Die vier Schwestergesellschaften Apono, Kolide, Trelica und Apono Tech in Israel stehen mit eigenem Eintrag darin, was die Zukäufe der vergangenen Jahre nachvollziehbar macht. Unter den weiteren Empfängern stehen mit Google, Datadog, Sentry und Mixpanel auch solche, die Nutzungsdaten auswerten.Stand 2026-07-30 |
| Drittlandübermittlungbelegt, ohne Auflage: Keine Übermittlung in ein Drittland, oder die Übermittlung findet statt und die Grundlage ist benannt und im Vertrag verankert, etwa Standardvertragsklauseln, Angemessenheitsbeschluss oder EU-US-Datenschutzrahmen.belegt, an eine Auflage gebunden: Übermittlung findet statt, eine Grundlage ist genannt, aber ohne Zuordnung, welcher Empfänger auf welcher Grundlage arbeitet.belegt, aber ungünstig: Übermittlung findet statt und die eigenen Unterlagen widersprechen sich, oder die genannte Grundlage bezieht sich erkennbar nur auf einen Randbereich wie die Marketing-Website.an einem kritischen Punkt offen: Übermittlung findet erkennbar statt und eine Grundlage wird nirgends genannt. | belegt, an eine Auflage gebundenStandardvertragsklauseln im Vertrag, Zuordnung je Empfänger nicht öffentlichAuftragsverarbeitung durch AgileBits, Standardvertragsklauseln als Anhang I und britische Übermittlungsvereinbarung als Anhang II, Löschung binnen sechzig Tagen auf Verlangen und binnen eines Jahres nach VertragsendeZur QuelleDer Auftragsverarbeitungsvertrag führt die Standardvertragsklauseln der Europäischen Kommission nach Modul 2 als Anhang I im Volltext mit und die britische Übermittlungsvereinbarung der Aufsichtsbehörde ICO als Anhang II. Beide sind damit Vertragsbestandteil im Wortlaut. Für den Sitz des Anbieters greift zusätzlich der Angemessenheitsbeschluss der Kommission für Kanada, der für dem dortigen Datenschutzgesetz unterliegende Organisationen gilt. Welcher der einundzwanzig gelisteten Empfänger auf welcher der beiden Grundlagen arbeitet, ordnet keines der öffentlichen Dokumente einzeln zu.Stand 2026-07-30 |
| Training mit Kundendatenbelegt, ohne Auflage: Vertraglich oder in der Datenschutzerklärung ausdrücklich ausgeschlossen, mit Erstreckung auf die eingesetzten Modellanbieter; oder es gibt keine Datenübertragung an einen Anbieter.belegt, an eine Auflage gebunden: Ausschluss ab einem bestimmten Tarif, oder die Zusage steht nur auf einer Dokumentationsseite statt im Vertrag, oder die Frage stellt sich für das Werkzeug sachlich kaum und der Anbieter schweigt dazu.belegt, aber ungünstig: Nutzung ist die Voreinstellung und nur ein Widerspruch beendet sie; oder der Anbieter trainiert eigene Modelle auf bereinigten Kundendaten.an einem kritischen Punkt offen: Keine Aussage, obwohl das Werkzeug KI-Funktionen auf Kundeninhalten betreibt. | belegt, aber ungünstigTresorinhalte ausgeschlossen, Verwaltungsdaten eingeschlossenTrennung zwischen Tresorinhalten, Verwaltungs- und Diagnosedaten, die Trainingsklausel auf Grundlage berechtigten Interesses, die Wahl des Speicherorts und die Behördenauskunft nur in verschlüsselter FormZur QuelleDas ist der Befund, der die Prüfung lohnt. Die Datenschutzerklärung unterscheidet drei Klassen. Die Tresorinhalte nennt sie Secure Data und hält fest, der Anbieter habe keine Möglichkeit, sie zu entschlüsseln oder lesbar weiterzugeben. Davon getrennt stehen Service Data und Diagnostic Data, und genau für diese beiden nebst den Kontaktdaten nimmt der Anbieter ein berechtigtes Interesse in Anspruch, um neue Technik zu entwickeln und zu trainieren. Wer die Aufzählung eine Ebene tiefer liest, findet unter Service Data auch die Namen der Tresore. Der Inhalt bleibt also verschlossen. Die Beschriftung der Schränke bleibt es nicht. Die Datenschutzerklärung räumt ein Widerspruchsrecht ein; wer es nicht ausübt, bleibt in dieser Verarbeitung.Stand 2025-12-29 |
| Aufbewahrung und Löschungbelegt, ohne Auflage: Löschfristen nach Vertragsende beziffert und die Löschung oder Rückgabe zugesagt; oder die Fristen bestimmt der Betreiber selbst, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Löschung ist zugesagt, die Fristen sind aber nur teilweise beziffert, oder Sicherungskopien sind ausdrücklich ausgenommen.belegt, aber ungünstig: Nur der Grundsatz der Erforderlichkeit ohne jede Frist nach Vertragsende, oder Fristen sind allein für Randbereiche wie Website-Protokolle genannt.an einem kritischen Punkt offen: Keine Aussage zu Aufbewahrung und Löschung. | belegt, ohne Auflage60 Tage auf Verlangen, spätestens ein Jahr nach VertragsendeAuftragsverarbeitung durch AgileBits, Standardvertragsklauseln als Anhang I und britische Übermittlungsvereinbarung als Anhang II, Löschung binnen sechzig Tagen auf Verlangen und binnen eines Jahres nach VertragsendeZur QuelleDie beiden Fristen stehen im Auftragsverarbeitungsvertrag unter Ziffer 11: Auf Verlangen löscht oder gibt der Anbieter die Kundendaten binnen sechzig Tagen zurück, ohne Verlangen jedenfalls binnen eines Jahres nach dem Ende der Leistungen. Wer nur die Datenschutzerklärung liest, findet davon nichts; sie bleibt bei der Formel, man bewahre so lange auf, wie es die genannten Zwecke erfordern. Für die Akte des Datenschutzbeauftragten zählt daher der Vertrag. Ein Jahr ist die Obergrenze und lang genug, um sie im Vertrag ausdrücklich zu verkürzen.Stand 2026-07-30 |
| Zertifikatebelegt, ohne Auflage: Mehrere anerkannte Nachweise, benannt mit Norm, Fassung und Geltungsbereich, und bezogen auf den Anbieter selbst.belegt, an eine Auflage gebunden: Ein anerkannter Nachweis für den Anbieter belegt, der Bericht aber nur auf Anfrage, oder der Nachweis hängt an einem Tarif, oder der Geltungsbereich bleibt teilweise offen.belegt, aber ungünstig: Nur pauschale Nennung ohne Norm-Fassung und Geltungsbereich, oder bloße Selbstauskunft, oder die Nachweise gehören dem Infrastrukturanbieter statt dem Anbieter, oder der Prüfzeitraum ist erkennbar veraltet, oder die eigenen Angaben widersprechen sich.an einem kritischen Punkt offen: Kein Nachweis genannt und keine Sicherheits- oder Vertrauensseite vorhanden. | belegt, an eine Auflage gebundenISO 27001, 27017, 27018, 27701 und SOC 2 Typ 2 benannt, Nachweise nur nach FormularZugang zu den Zertifikaten allein über ein Formular mit Name, Firma, Position, Firmengröße und LandZur QuelleDas Rechtsdokumenten-Verzeichnis nennt vier ISO-Normen und ein SOC-2-Testat des Typs 2, und zwar für den Anbieter selbst; die Rechenzentrumsbetreiber führen eigene. Wer die Urkunde sehen will, füllt ein Formular mit Name, Firma, Position, Firmengröße und Land aus. Öffentlich steht damit weder die Fassung der jeweiligen Norm noch der Geltungsbereich noch der Prüfzeitraum. Für die erste Prüfung im Einkauf reicht die Nennung. Die Akte braucht die Urkunde selbst.Stand 2026-08-17 |
| EU-KI-Verordnung, Artikel 50belegt, ohne Auflage: Der Anbieter macht eine belegte Aussage, die die eigene Pflicht trägt, etwa Modelldokumentation und Zertifizierung nach ISO/IEC 42001; oder das Werkzeug enthält nachvollziehbar begründet kein KI-System im Sinne der Verordnung.belegt, an eine Auflage gebunden: Der Anbieter äußert sich zur Verordnung oder ordnet die eigene Funktion ein, eine benannte Zusage zu den Transparenzpflichten aus Artikel 50 fehlt aber; oder das Werkzeug enthält kein KI-System, das gegenüber Menschen auftritt, und der Anbieter schweigt.belegt, aber ungünstig: Das Produkt enthält KI-Funktionen, der Anbieter schweigt dazu oder trägt ein Selbstetikett ohne Nachweis; die Kennzeichnung ist vom Betreiber aber selbst setzbar.an einem kritischen Punkt offen: KI spricht im Produkt unmittelbar mit Endkunden und der Anbieter sagt zu Artikel 50 nichts; die Kennzeichnung lässt sich ohne Zusage des Anbieters nicht sicher setzen. | belegt, an eine Auflage gebundenkeine Aussage zur Verordnung, Vertragswerk älter als das KI-AngebotStand der Nutzungsbedingungen vom 12. September 2024 und das Fehlen jeder Regelung zu künstlicher Intelligenz im VertragstextZur QuelleDer Anbieter wirbt auf jeder Seite mit Zugriffssteuerung für KI-Agenten und führt einen eigenen Lösungsbereich dafür. In den Nutzungsbedingungen und in der Datenschutzerklärung steht dazu nichts: Beide erwähnen künstliche Intelligenz allein in der Navigation, die um den Vertragstext herum gerendert wird. Die Nutzungsbedingungen tragen den Stand vom 12. September 2024 und damit ein Datum vor den beworbenen Produkten. Für die eigene Pflicht aus Artikel 50 der Verordnung ist das hinnehmbar, weil im Produkt keine KI gegenüber Menschen auftritt und Inhalte erzeugt. Wer die Steuerung für Agenten einsetzt, trägt die Einordnung des eigenen Einsatzes selbst.Stand 2024-09-12 |
| Protokollierungbelegt, ohne Auflage: Nachvollziehbares Protokoll über Zugriffe und Änderungen in allen Tarifen enthalten, mit benannter Frist und Ausleitung in eigene Systeme; oder die Nachvollziehbarkeit liegt vollständig in eigener Hand, weil das Werkzeug im eigenen Betrieb läuft.belegt, an eine Auflage gebunden: Protokoll vorhanden, aber an einen höheren Tarif oder einen kostenpflichtigen Zusatz gebunden, oder die Ausleitung fehlt in den unteren Stufen; Reichweite und Frist sind benannt.belegt, aber ungünstig: Protokolle sind nur anbieterseitig beschrieben, oder Reichweite und Frist bleiben offen, sodass sich Nachweispflichten nicht planen lassen.an einem kritischen Punkt offen: Öffentlich nicht belegt, ob der Kunde überhaupt ein auswertbares Protokoll erhält. | belegt, an eine Auflage gebundenAusleitung in eigene Auswertungssysteme, ab dem Tarif BusinessBindung der Events-API an den Tarif Business, Reichweite der Ereignisse und die namentlich genannten GegenstellenZur QuelleDie Events-API liefert Anmeldeversuche, die Nutzung einzelner Einträge und Verwaltungsereignisse an das eigene Auswertungssystem, und die Anleitung nennt die Gegenstellen namentlich, darunter Splunk, Microsoft Sentinel, Datadog, Elastic und CrowdStrike. Gebunden ist die Schnittstelle an den Tarif Business; die Anleitung sagt das im ersten Absatz. Über die Aufbewahrung entscheidet damit der Kunde im eigenen System, was die Frage nach der Frist beim Anbieter erübrigt. Wer unterhalb dieses Tarifs bleibt, hat die Ereignisse nur in der Oberfläche des Anbieters.Stand 2026-08-17 |
Was es wirklich kostet
Einstieg
Für Einzelpersonen 2,99 US-Dollar im Monat bei Jahreszahlung und 3,99 US-Dollar bei monatlicher Zahlung, für Familien 4,49 beziehungsweise 5,99 US-Dollar. Für die fünf Produkte für Geschäftskunden nennt die Preisseite am 17. August 2026 keinen Betrag, sondern durchgehend die Aufforderung, ein Angebot anzufordern.Fehlender Preis für alle fünf Produkte für Geschäftskunden, durchgehend ersetzt durch die Aufforderung zur AngebotsanfrageZur Quelle
Stand 2026-08-17
Was teuer wird
Der Zuschnitt in fünf getrennt verkaufte Produkte. Passwortverwaltung, Entdeckung genutzter Dienste, privilegierte Zugriffe, Geräteprüfung und die gemeinsame Klammer darüber sind einzeln bepreist. Wer mit dem Passwortmanager beginnt und später Nachweise über privilegierte Zugriffe braucht, kauft ein zweites Produkt. Als Zusatzfunktion gibt es das nicht. Die zweite Schwelle ist der Tarif Business, weil die Ausleitung der Protokolle daran hängt. Beträge lassen sich hier nicht nennen, weil der Anbieter für Geschäftskunden keine veröffentlicht.
Was es verdrängt
- Geteilte Passwörter in Tabellen, Chatverläufen und Haftnotizen
- Ein Sammelkonto beim Dienstleister, dessen Passwort niemand mehr wechselt
- Der Zugang, der nach dem Austritt eines Mitarbeiters bestehen bleibt, weil niemand die Liste hat
Schnittstellen
- Anmeldung über den eigenen Verzeichnisdienst und Nutzerabgleich über SCIM
- Events-API zur Ausleitung an Splunk, Microsoft Sentinel, Datadog, Elastic, CrowdStrike und weitere, ab dem Tarif Business
- Kommandozeilenwerkzeug und Software-Baukästen zum Abruf von Schlüsseln in Auslieferungsketten über Verweise der Form op://
- Vollexport je Tresor als CSV oder im hauseigenen Format 1PUX
Passende Methoden
- „Kontext: Graben oder Mauer?“-TestDer Test trennt, was Vorsprung schafft, von dem, was nur Rückstand verhindert, und eine Zugangsdatenverwaltung fällt beim ehrlichen Durchspielen zuverlässig auf die zweite Seite.
- Regulatorik-Dichte-TestDie Dichte der Nachweispflichten entscheidet, ob die Ausleitung von Protokollen ein Zusatz ist oder die Kaufbedingung, und genau daran hängt hier der Sprung in den nächsten Tarif.
- AI-Agents als Team-Mitglieder führenSobald Agenten Aufgaben übernehmen, brauchen sie eigene Zugänge mit eigenen Rechten, und die Frage, wer einem Agenten ein Passwort gibt und wieder entzieht, wird an dieser Stelle entschieden.
Quellen
- 1.Rechtsträger, Sitz und das vollständige Verzeichnis der Rechtsdokumente samt der Nennung von ISO- und SOC-2-Nachweisen (öffnet in neuem Tab)1password.com/legal-center · Stand 2026-08-17
- 2.Trennung zwischen Tresorinhalten, Verwaltungs- und Diagnosedaten, die Trainingsklausel auf Grundlage berechtigten Interesses, die Wahl des Speicherorts und die Behördenauskunft nur in verschlüsselter Form (öffnet in neuem Tab)1password.com/legal/privacy · Stand 2025-12-29
- 3.Auftragsverarbeitung durch AgileBits, Standardvertragsklauseln als Anhang I und britische Übermittlungsvereinbarung als Anhang II, Löschung binnen sechzig Tagen auf Verlangen und binnen eines Jahres nach Vertragsende (öffnet in neuem Tab)1password.com/files/legal/agilebits-dpa-012026.pdf · Stand 2026-07-30
- 4.Unterauftragnehmer mit Zweck und Land, Amazon Web Services als alleiniger Betreiber der Rechenzentren, Hosting von Privileged Access und Apono ausschließlich in den Vereinigten Staaten, geteilte Elemente stets in der Europäischen Union (öffnet in neuem Tab)1password.com/files/legal/1password-subprocessor-list.pdf · Stand 2026-07-30
- 5.Stand der Nutzungsbedingungen vom 12. September 2024 und das Fehlen jeder Regelung zu künstlicher Intelligenz im Vertragstext (öffnet in neuem Tab)1password.com/legal/terms-of-service · Stand 2024-09-12
- 6.Fehlender Preis für alle fünf Produkte für Geschäftskunden, durchgehend ersetzt durch die Aufforderung zur Angebotsanfrage (öffnet in neuem Tab)1password.com/pricing · Stand 2026-08-17
- 7.Preise für Einzelpersonen und Familien in beiden Zahlweisen (öffnet in neuem Tab)1password.com/pricing/personal · Stand 2026-08-17
- 8.Bindung der Events-API an den Tarif Business, Reichweite der Ereignisse und die namentlich genannten Gegenstellen (öffnet in neuem Tab)support.1password.com/events-reporting · Stand 2026-08-17
- 9.Zukauf von Apono am 15. Juni 2026 und die Ausrichtung auf Zugriffsvergabe für Menschen, Maschinen und KI-Agenten (öffnet in neuem Tab)1password.com/press/2026/june/1password-acquires-apono · Stand 2026-06-15
- 10.Eigenkapitalrunde über 620 Mio. US-Dollar unter Führung von ICONIQ Growth und die Zahl der Geschäftskunden nach eigener Angabe (öffnet in neuem Tab)prnewswire.com/… · Stand 2022-01-19
- 11.Selbst offengelegter Vorfall im Zusammenhang mit der bei Okta abgeflossenen Sitzung, samt Zeitpunkt und Umfang (öffnet in neuem Tab)1password.com/blog/okta-incident · Stand 2023-10-23
- 12.Gründungsjahr und Belegschaftsgröße nach eigener Angabe (öffnet in neuem Tab)1password.com/about · Stand 2026-08-17
- 13.Zugang zu den Zertifikaten allein über ein Formular mit Name, Firma, Position, Firmengröße und Land (öffnet in neuem Tab)1password.com/resources/iso27001 · Stand 2026-08-17
Zuletzt geprüft: 2026-08-17 von Dr. Oliver Gausmann, Convios GmbH
Angaben veraltet? Schreiben Sie uns.