# 1Password

> Legt Passwörter, Schlüssel und Zugangsdaten eines Unternehmens in Tresore mit Rechten je Person und Gruppe, sodass ein Zugang beim Ausscheiden an einer Stelle entzogen wird und nicht in Browsern, Tabellen und Chatverläufen weiterlebt.

- Anbieter: AgileBits Inc., firmierend als 1Password, Toronto, Kanada
- Kanonische URL: https://www.convios.com/de/werkzeugkasten/1password
- Sprachfassung: https://www.convios.com/en/toolbox/1password
- Bereich: Governance & Sicherheit · Cluster: Zugangsdatenverwaltung
- Rolle: Fertigprodukt · Herkunft: Etabliert, KI nachgerüstet
- Stand: 2026-08-17 · Geprüft: 2026-08-17 · Autor: Dr. Oliver Gausmann, Convios GmbH
- Werkzeugkasten: https://www.convios.com/de/werkzeugkasten — Markdown: https://www.convios.com/de/werkzeugkasten.md

## Urteil

Verhindert Rückstand: Wer eine zentrale Zugangsdatenverwaltung betreibt, gewinnt damit keinen Kunden. Wer keine hat, verliert Aufträge: Der Sicherheitsfragebogen eines Konzerneinkaufs fragt nach der Verwaltung privilegierter Zugänge, die Cyberversicherung fragt danach, und beim ersten Audit nach ISO 27001 steht die Frage ohnehin auf dem Tisch. Der Nutzen ist einseitig und der Anbieter austauschbar, denn Keeper, Bitwarden und der eigene Verzeichnisdienst beantworten dieselbe Frage. Was 1Password von den Übrigen trennt, ist das Schlüsselmodell: Der Anbieter kann die Tresorinhalte selbst dann nicht lesen, wenn eine Behörde ihn dazu auffordert, und genau das steht in seiner Datenschutzerklärung. Diese Bauweise kostet an anderer Stelle, nämlich bei der Wiederherstellung.

## Eignung nach Unternehmensgröße

- Solopreneur: geeignet — Für Einzelpersonen nennt der Anbieter Preise offen: 2,99 US-Dollar im Monat bei Jahreszahlung, 3,99 US-Dollar bei monatlicher Zahlung, für Familien 4,49 beziehungsweise 5,99 US-Dollar. Damit endet die Preistransparenz. Wer allein arbeitet, braucht die Freigabeketten und die Ausleitung von Protokollen nicht, und der Einzeltarif trägt den Zweck vollständig.
- KMU: geeignet — Hier sitzt der Anwendungsfall, und hier beginnt die Preisverhandlung. Die Preisseite führt am 17. August 2026 fünf Produkte für Geschäftskunden und zu jedem den Satz, man möge ein Angebot anfordern. Ein Einstiegspreis steht öffentlich an keiner Stelle. Wer die Ausleitung der Protokolle in ein eigenes Auswertungssystem braucht, landet beim Tarif Business, denn die Events-API hängt an dieser Stufe. Das ist die Schwelle, an der die Rechnung für ein Haus mit dreißig Köpfen entschieden wird.
- Konzern: geeignet — Die Prüfpunkte des Einkaufs sind bedient: Auftragsverarbeitungsvertrag als offenes Dokument, vollständige Unterauftragnehmer-Liste mit Land und Zweck, Anmeldung über den eigenen Verzeichnisdienst, Nutzerabgleich über SCIM, Protokollausleitung in Splunk, Microsoft Sentinel, Datadog und ein Dutzend weitere. Eine Frage bleibt und gehört auf die Tagesordnung: Der Kern lässt sich in der EU führen, die zugekauften Bereiche Privileged Access und Apono laufen laut Unterauftragnehmer-Liste ausschließlich in den Vereinigten Staaten.

## Tragfähigkeit des Anbieters

Etabliert: Einundzwanzig Jahre am Markt, eine Eigenkapitalrunde von 620 Mio. US-Dollar aus dem Januar 2022 und seither fünf Zukäufe, der letzte im Juni 2026. Die Rechtsdokumente werden gepflegt: Auftragsverarbeitungsvertrag und Unterauftragnehmer-Liste tragen beide den 30. Juli 2026. Mehr als 1.400 Beschäftigte und über 100.000 Geschäftskunden sind Angaben des Unternehmens.

- Rechtsperson und Sitz: AgileBits Inc., firmierend als 1Password, 4711 Yonge St, 10th Floor, Toronto, Ontario M2N 6K8, Kanada (Quelle: https://1password.com/legal-center, Stand 2026-08-17)
- Gründung und Belegschaft nach eigener Angabe: 2005 gegründet, mehr als 1.400 Beschäftigte (Quelle: https://1password.com/about, Stand 2026-08-17)
- Letzte gemeldete Eigenkapitalrunde: 620 Mio. US-Dollar, geführt von ICONIQ Growth, gemeldet am 19. Januar 2022, dabei über 100.000 Geschäftskunden nach eigener Angabe (Quelle: https://www.prnewswire.com/news-releases/1password-closes-620m-at-6-8b-valuation-to-bring-human-centric-security-to-all-301463885.html, Stand 2022-01-19)
- Jüngster Zukauf: Apono, Anbieter bedarfsgerechter Zugriffsvergabe, gemeldet am 15. Juni 2026; ein Kaufpreis wurde nicht mitgeteilt (Quelle: https://1password.com/press/2026/june/1password-acquires-apono, Stand 2026-06-15)
- Pflegestand der Rechtsdokumente: Auftragsverarbeitungsvertrag Fassung 4.8 und Unterauftragnehmer-Liste Fassung 202607, beide vom 30. Juli 2026; die Nutzungsbedingungen dagegen vom 12. September 2024 (Quelle: https://1password.com/files/legal/agilebits-dpa-012026.pdf, Stand 2026-07-30)
- Dokumentierter Vorfall und Umgang damit: Am 23. Oktober 2023 selbst offengelegt: Über eine bei Okta abgeflossene Sitzung griff ein Angreifer am 29. September 2023 auf die Okta-Verwaltung von 1Password zu. Betroffen waren mitarbeiterseitige Anwendungen; ein Zugriff auf Nutzerdaten wurde nach eigener Untersuchung nicht festgestellt. (Quelle: https://1password.com/blog/okta-incident, Stand 2023-10-23)

## Ausstiegskosten

Mittel: Die Daten kommen heraus. Jeder Tresor lässt sich als CSV oder im hauseigenen Format 1PUX ausleiten, und der Anbieter hält in der Datenschutzerklärung ausdrücklich fest, dass er niemanden aus den eigenen Daten aussperrt. Der Export ist zugleich das Risiko, denn er erzeugt eine unverschlüsselte Datei mit sämtlichen Zugängen des Hauses, die während des Umzugs irgendwo liegt. Was der Export nicht mitnimmt, ist die Ordnung darüber: welche Gruppe welchen Tresor sieht, welche Freigabe befristet war, wer wann zugegriffen hat. Diese Struktur wird beim neuen Anbieter von Hand nachgebaut. Dazu kommen die Verweise der Form op:// in Bauplänen und Auslieferungsketten, die nach einem Wechsel sämtlich zu ersetzen sind.

## Regulatorik und Daten

| Punkt | Befund | Belegstand | Stand |
|---|---|---|---|
| Auftragsverarbeitung | öffentlich als PDF, Fassung 4.8 vom 30. Juli 2026 — Der Vertrag steht ohne Anmeldung im Rechtsdokumenten-Verzeichnis und erklärt sich selbst zum Bestandteil des jeweiligen Hauptvertrags, sodass er ohne gesonderten Abschluss gilt. AgileBits tritt darin als Auftragsverarbeiter auf. Wer eine unterzeichnete Ausfertigung für die eigene Akte braucht, muss den Vertrieb ansprechen; das Verzeichnis sagt das ausdrücklich. Die Wirksamkeit hängt daran nicht. Der Nachweis im Audit hängt daran. | belegt | 2026-07-30 |
| Speicherort | EU, USA oder Kanada wählbar, aber nur für den Kern — Die Datenschutzerklärung sagt zu, dass die verschlüsselten Tresorinhalte dort liegen, wo der Kunde es bei der Anmeldung wählt, zur Wahl stehen die Europäische Union, die Vereinigten Staaten und Kanada. Zwei Einschränkungen stehen erst in der Unterauftragnehmer-Liste: Ein geteiltes Element wird für die Dauer der Freigabe in der Europäischen Union abgelegt, unabhängig von der gewählten Region, und die Bereiche Privileged Access sowie Apono laufen ausschließlich in den Vereinigten Staaten. Wer den Kern in der Europäischen Union führt und später privilegierte Zugriffe dazubucht, verlässt die gewählte Region an dieser Stelle wieder. Für Verwaltungs- und Diagnosedaten gilt die Wahl ohnehin nicht: Die Datenschutzerklärung hält fest, dass sie aus anderen Ländern abgerufen und dorthin übermittelt werden. | teilweise belegt | 2026-07-30 |
| Subunternehmer | vollständige öffentliche Liste mit Zweck und Land — Die Liste in der Fassung vom 30. Juli 2026 führt jeden Empfänger mit Name, betroffenem Produkt, Tätigkeit und Verarbeitungsland auf. Als Betreiber der Rechenzentren ist allein Amazon Web Services genannt, mit Kanada, der Europäischen Union und den Vereinigten Staaten. Die vier Schwestergesellschaften Apono, Kolide, Trelica und Apono Tech in Israel stehen mit eigenem Eintrag darin, was die Zukäufe der vergangenen Jahre nachvollziehbar macht. Unter den weiteren Empfängern stehen mit Google, Datadog, Sentry und Mixpanel auch solche, die Nutzungsdaten auswerten. | belegt | 2026-07-30 |
| Drittlandübermittlung | Standardvertragsklauseln im Vertrag, Zuordnung je Empfänger nicht öffentlich — Der Auftragsverarbeitungsvertrag führt die Standardvertragsklauseln der Europäischen Kommission nach Modul 2 als Anhang I im Volltext mit und die britische Übermittlungsvereinbarung der Aufsichtsbehörde ICO als Anhang II. Beide sind damit Vertragsbestandteil im Wortlaut. Für den Sitz des Anbieters greift zusätzlich der Angemessenheitsbeschluss der Kommission für Kanada, der für dem dortigen Datenschutzgesetz unterliegende Organisationen gilt. Welcher der einundzwanzig gelisteten Empfänger auf welcher der beiden Grundlagen arbeitet, ordnet keines der öffentlichen Dokumente einzeln zu. | teilweise belegt | 2026-07-30 |
| Training mit Kundendaten | Tresorinhalte ausgeschlossen, Verwaltungsdaten eingeschlossen — Das ist der Befund, der die Prüfung lohnt. Die Datenschutzerklärung unterscheidet drei Klassen. Die Tresorinhalte nennt sie Secure Data und hält fest, der Anbieter habe keine Möglichkeit, sie zu entschlüsseln oder lesbar weiterzugeben. Davon getrennt stehen Service Data und Diagnostic Data, und genau für diese beiden nebst den Kontaktdaten nimmt der Anbieter ein berechtigtes Interesse in Anspruch, um neue Technik zu entwickeln und zu trainieren. Wer die Aufzählung eine Ebene tiefer liest, findet unter Service Data auch die Namen der Tresore. Der Inhalt bleibt also verschlossen. Die Beschriftung der Schränke bleibt es nicht. Die Datenschutzerklärung räumt ein Widerspruchsrecht ein; wer es nicht ausübt, bleibt in dieser Verarbeitung. | teilweise belegt | 2025-12-29 |
| Aufbewahrung und Löschung | 60 Tage auf Verlangen, spätestens ein Jahr nach Vertragsende — Die beiden Fristen stehen im Auftragsverarbeitungsvertrag unter Ziffer 11: Auf Verlangen löscht oder gibt der Anbieter die Kundendaten binnen sechzig Tagen zurück, ohne Verlangen jedenfalls binnen eines Jahres nach dem Ende der Leistungen. Wer nur die Datenschutzerklärung liest, findet davon nichts; sie bleibt bei der Formel, man bewahre so lange auf, wie es die genannten Zwecke erfordern. Für die Akte des Datenschutzbeauftragten zählt daher der Vertrag. Ein Jahr ist die Obergrenze und lang genug, um sie im Vertrag ausdrücklich zu verkürzen. | belegt | 2026-07-30 |
| Zertifikate | ISO 27001, 27017, 27018, 27701 und SOC 2 Typ 2 benannt, Nachweise nur nach Formular — Das Rechtsdokumenten-Verzeichnis nennt vier ISO-Normen und ein SOC-2-Testat des Typs 2, und zwar für den Anbieter selbst; die Rechenzentrumsbetreiber führen eigene. Wer die Urkunde sehen will, füllt ein Formular mit Name, Firma, Position, Firmengröße und Land aus. Öffentlich steht damit weder die Fassung der jeweiligen Norm noch der Geltungsbereich noch der Prüfzeitraum. Für die erste Prüfung im Einkauf reicht die Nennung. Die Akte braucht die Urkunde selbst. | teilweise belegt | 2026-08-17 |
| EU-KI-Verordnung, Artikel 50 | keine Aussage zur Verordnung, Vertragswerk älter als das KI-Angebot — Der Anbieter wirbt auf jeder Seite mit Zugriffssteuerung für KI-Agenten und führt einen eigenen Lösungsbereich dafür. In den Nutzungsbedingungen und in der Datenschutzerklärung steht dazu nichts: Beide erwähnen künstliche Intelligenz allein in der Navigation, die um den Vertragstext herum gerendert wird. Die Nutzungsbedingungen tragen den Stand vom 12. September 2024 und damit ein Datum vor den beworbenen Produkten. Für die eigene Pflicht aus Artikel 50 der Verordnung ist das hinnehmbar, weil im Produkt keine KI gegenüber Menschen auftritt und Inhalte erzeugt. Wer die Steuerung für Agenten einsetzt, trägt die Einordnung des eigenen Einsatzes selbst. | teilweise belegt | 2024-09-12 |
| Protokollierung | Ausleitung in eigene Auswertungssysteme, ab dem Tarif Business — Die Events-API liefert Anmeldeversuche, die Nutzung einzelner Einträge und Verwaltungsereignisse an das eigene Auswertungssystem, und die Anleitung nennt die Gegenstellen namentlich, darunter Splunk, Microsoft Sentinel, Datadog, Elastic und CrowdStrike. Gebunden ist die Schnittstelle an den Tarif Business; die Anleitung sagt das im ersten Absatz. Über die Aufbewahrung entscheidet damit der Kunde im eigenen System, was die Frage nach der Frist beim Anbieter erübrigt. Wer unterhalb dieses Tarifs bleibt, hat die Ereignisse nur in der Oberfläche des Anbieters. | teilweise belegt | 2026-08-17 |

## Kosten

- Einstieg: Für Einzelpersonen 2,99 US-Dollar im Monat bei Jahreszahlung und 3,99 US-Dollar bei monatlicher Zahlung, für Familien 4,49 beziehungsweise 5,99 US-Dollar. Für die fünf Produkte für Geschäftskunden nennt die Preisseite am 17. August 2026 keinen Betrag, sondern durchgehend die Aufforderung, ein Angebot anzufordern. (Stand 2026-08-17)
- Teuer wird es: Der Zuschnitt in fünf getrennt verkaufte Produkte. Passwortverwaltung, Entdeckung genutzter Dienste, privilegierte Zugriffe, Geräteprüfung und die gemeinsame Klammer darüber sind einzeln bepreist. Wer mit dem Passwortmanager beginnt und später Nachweise über privilegierte Zugriffe braucht, kauft ein zweites Produkt. Als Zusatzfunktion gibt es das nicht. Die zweite Schwelle ist der Tarif Business, weil die Ausleitung der Protokolle daran hängt. Beträge lassen sich hier nicht nennen, weil der Anbieter für Geschäftskunden keine veröffentlicht.

## Drei Wege im Vergleich

### Der Verzeichnisdienst, den Sie schon bezahlen

Microsoft Entra ID liegt in den meisten Häusern bereits im Abonnement und macht Passwörter für alles überflüssig, was einmalige Anmeldung beherrscht. Konzerne bleiben dabei, weil der Verzeichnisdienst ohnehin die Quelle für Ein- und Austritt ist und weil eine Zugangsverwaltung weniger zu prüfen ist als zwei. Für privilegierte Konten auf Servern und in Datenbanken greifen sie zu CyberArk, das Sitzungen aufzeichnet und Kennwörter selbsttätig wechselt. Die Lücke bleibt dieselbe, für die 1Password gekauft wird: der Dienst ohne Anbindung an den Verzeichnisdienst, das geteilte Konto beim Zahlungsdienstleister, der Schlüssel im Auslieferungsskript.

### Zugriff für Maschinen und Agenten

Die junge Klasse lässt den Menschen beiseite und greift die Konten auf, die keinem gehören: Dienstkonten, Auslieferungsketten, seit kurzem KI-Agenten. Astrix Security und Entro Security inventarisieren diese Zugänge und entziehen sie, wenn sie nicht mehr gebraucht werden. Der Preisunterschied lässt sich in beide Richtungen nicht beziffern, weil auch dort keiner der Anbieter Beträge veröffentlicht. Aufgeben muss man, was die etablierte Klasse mitbringt: die Verwaltung der menschlichen Zugänge. Wie die beiden Hälften zusammenwachsen, zeigt der Anbieter selbst, denn Apono aus genau dieser Klasse gehört seit dem 15. Juni 2026 zu 1Password.

### Vaultwarden für Menschen, Infisical für Maschinen

Der Eigenbau ist hier wohlfeil und darum ernst zu nehmen. Vaultwarden ist ein quelloffener Server, der mit den Bitwarden-Anwendungen spricht und auf einem kleinen Mietserver für rund zehn Euro im Monat läuft. Für die Schlüssel in Auslieferungsketten steht Infisical aus diesem Katalog bereit, ebenfalls im Selbstbetrieb. Aufgesetzt ist beides nach Anbieter-Dokumentation an einem Tag. Gerechnet mit 1.200 Euro Tagessatz kostet die Einrichtung also rund 1.200 Euro einmalig plus 120 Euro Serverkosten im Jahr. Die Einrichtung ist der billige Teil. Teuer wird die Wiederherstellung: Wenn eine Geschäftsführerin ihr Hauptpasswort verliert, muss jemand einen Wiederherstellungsweg gebaut haben, der seinerseits geprüft ist. Dazu kommen die Browsererweiterungen für vier Browser auf drei Betriebssystemen, die nach jedem Browserwechsel nachgezogen werden, der Notfallzugang beim Ausfall des Erbauers und ein Protokoll, das ein Prüfer akzeptiert. Diese vier Dinge sind der Preis, und sie fallen jeden Monat an, nicht einmal.

Empfehlung nach Größe:

- Solopreneur: Nehmen, der Einzeltarif trägt den Zweck und kostet unter drei US-Dollar im Monat.
- KMU: Kaufen, die Ausleitung der Protokolle aber in dasselbe Angebot verhandeln.
- Konzern: Erst klären, was ohnehin über den Verzeichnisdienst läuft, dann den Rest zuschneiden.

## Einordnung

- Setzt Methode um: [„Kontext: Graben oder Mauer?“-Test](https://www.convios.com/de/methodik/kontext-graben-oder-mauer) — Der Test trennt, was Vorsprung schafft, von dem, was nur Rückstand verhindert, und eine Zugangsdatenverwaltung fällt beim ehrlichen Durchspielen zuverlässig auf die zweite Seite.
- Setzt Methode um: [Regulatorik-Dichte-Test](https://www.convios.com/de/methodik/regulatorik-dichte-test) — Die Dichte der Nachweispflichten entscheidet, ob die Ausleitung von Protokollen ein Zusatz ist oder die Kaufbedingung, und genau daran hängt hier der Sprung in den nächsten Tarif.
- Setzt Methode um: [AI-Agents als Team-Mitglieder führen](https://www.convios.com/de/methodik/ai-agents-team-members) — Sobald Agenten Aufgaben übernehmen, brauchen sie eigene Zugänge mit eigenen Rechten, und die Frage, wer einem Agenten ein Passwort gibt und wieder entzieht, wird an dieser Stelle entschieden.
- Alternative: [Infisical](https://www.convios.com/de/werkzeugkasten/infisical)
- Alternative: [Ory](https://www.convios.com/de/werkzeugkasten/ory)
- Verdrängt: Geteilte Passwörter in Tabellen, Chatverläufen und Haftnotizen, Ein Sammelkonto beim Dienstleister, dessen Passwort niemand mehr wechselt, Der Zugang, der nach dem Austritt eines Mitarbeiters bestehen bleibt, weil niemand die Liste hat

## Belege

- Rechtsträger, Sitz und das vollständige Verzeichnis der Rechtsdokumente samt der Nennung von ISO- und SOC-2-Nachweisen — https://1password.com/legal-center (Stand 2026-08-17)
- Trennung zwischen Tresorinhalten, Verwaltungs- und Diagnosedaten, die Trainingsklausel auf Grundlage berechtigten Interesses, die Wahl des Speicherorts und die Behördenauskunft nur in verschlüsselter Form — https://1password.com/legal/privacy (Stand 2025-12-29)
- Auftragsverarbeitung durch AgileBits, Standardvertragsklauseln als Anhang I und britische Übermittlungsvereinbarung als Anhang II, Löschung binnen sechzig Tagen auf Verlangen und binnen eines Jahres nach Vertragsende — https://1password.com/files/legal/agilebits-dpa-012026.pdf (Stand 2026-07-30)
- Unterauftragnehmer mit Zweck und Land, Amazon Web Services als alleiniger Betreiber der Rechenzentren, Hosting von Privileged Access und Apono ausschließlich in den Vereinigten Staaten, geteilte Elemente stets in der Europäischen Union — https://1password.com/files/legal/1password-subprocessor-list.pdf (Stand 2026-07-30)
- Stand der Nutzungsbedingungen vom 12. September 2024 und das Fehlen jeder Regelung zu künstlicher Intelligenz im Vertragstext — https://1password.com/legal/terms-of-service (Stand 2024-09-12)
- Fehlender Preis für alle fünf Produkte für Geschäftskunden, durchgehend ersetzt durch die Aufforderung zur Angebotsanfrage — https://1password.com/pricing (Stand 2026-08-17)
- Preise für Einzelpersonen und Familien in beiden Zahlweisen — https://1password.com/pricing/personal (Stand 2026-08-17)
- Bindung der Events-API an den Tarif Business, Reichweite der Ereignisse und die namentlich genannten Gegenstellen — https://support.1password.com/events-reporting/ (Stand 2026-08-17)
- Zukauf von Apono am 15. Juni 2026 und die Ausrichtung auf Zugriffsvergabe für Menschen, Maschinen und KI-Agenten — https://1password.com/press/2026/june/1password-acquires-apono (Stand 2026-06-15)
- Eigenkapitalrunde über 620 Mio. US-Dollar unter Führung von ICONIQ Growth und die Zahl der Geschäftskunden nach eigener Angabe — https://www.prnewswire.com/news-releases/1password-closes-620m-at-6-8b-valuation-to-bring-human-centric-security-to-all-301463885.html (Stand 2022-01-19)
- Selbst offengelegter Vorfall im Zusammenhang mit der bei Okta abgeflossenen Sitzung, samt Zeitpunkt und Umfang — https://1password.com/blog/okta-incident (Stand 2023-10-23)
- Gründungsjahr und Belegschaftsgröße nach eigener Angabe — https://1password.com/about (Stand 2026-08-17)
- Zugang zu den Zertifikaten allein über ein Formular mit Name, Firma, Position, Firmengröße und Land — https://1password.com/resources/iso27001 (Stand 2026-08-17)