Passwort-Manager im Unternehmen: Sicher, effizient, mitarbeiterfreundlich
In fast jedem Unternehmen, das wir übernehmen, existiert sie: die Excel-Tabelle mit den Zugangsdaten. Manchmal liegt sie auf einem Laufwerk, auf das die halbe Belegschaft Zugriff hat, manchmal steckt sie als Notizzettel unter der Tastatur. Sie ist kein Zeichen von Nachlässigkeit, sondern eine völlig nachvollziehbare Reaktion auf ein Problem, das niemand gelöst hat: Ein durchschnittlicher Arbeitsplatz braucht heute Zugang zu zwei Dutzend Diensten, und kein Mensch merkt sich zwanzig verschiedene starke Passwörter.
Ein Passwort-Manager im Unternehmen ist deshalb keine Komfortfunktion, sondern die Voraussetzung dafür, dass eine Passwortrichtlinie im Alltag überhaupt eingehalten werden kann.
Dieser Ratgeber erklärt, worin sich geschäftliche Lösungen von privaten unterscheiden, worauf Sie bei der Auswahl achten sollten und wie die Einführung abläuft, ohne dass Ihre Mitarbeiter sie stillschweigend umgehen.
Warum die Passwortliste das eigentliche Risiko ist
Eine gemeinsam genutzte Zugangsdatenliste hat drei Eigenschaften, die sie für Angreifer besonders wertvoll machen. Sie ist zentral, sie ist unverschlüsselt, und niemand merkt, wenn jemand sie kopiert. Wer sich einmal Zugriff auf ein einziges Konto verschafft hat, findet dort die Schlüssel zu allen anderen Systemen gleich mit.
Dazu kommt ein zweiter Effekt, der im Alltag noch mehr Schaden anrichtet: Wenn Passwörter mühsam zu verwalten sind, entstehen Muster. Aus Firmenname2024! wird im nächsten Quartal Firmenname2025!. Solche Varianten sind für automatisierte Angriffe kein Hindernis, weil die eingesetzten Wörterbücher genau diese Bildungsregeln kennen.
Das dritte Problem betrifft den Austritt von Mitarbeitern. Ohne zentrale Verwaltung weiß niemand zuverlässig, welche Zugänge eine ausscheidende Person kannte. In der Praxis bleiben Konten deshalb oft monatelang aktiv, obwohl sie längst gesperrt gehören.
Warum das zählt: Nicht die schwachen Passwörter selbst sind das Kernproblem, sondern das Fehlen eines Systems, in dem starke Passwörter praktikabel wären.
Was ein Passwort-Manager im Unternehmen leistet
Eine geschäftliche Lösung ist deutlich mehr als ein verschlüsselter Tresor. Sie bildet ab, wer im Unternehmen welchen Zugang braucht, und trennt sauber zwischen persönlichen und geteilten Anmeldedaten.
- Verschlüsselte Ablage aller Zugangsdaten, entschlüsselt ausschließlich auf dem Endgerät des Nutzers
- Geteilte Tresore für Teams, etwa gemeinsame Konten für Buchhaltung, Social Media oder Lieferantenportale
- Rechtevergabe pro Eintrag: lesen, nutzen, bearbeiten oder weitergeben
- Automatisches Ausfüllen im Browser, wodurch Phishing-Seiten auffallen, weil das Ausfüllen dort schlicht nicht funktioniert
- Passwortgenerator mit hinterlegten Vorgaben zu Länge und Zeichenumfang
- Protokollierung, wer wann auf welchen Eintrag zugegriffen hat
- Sofortiger Entzug aller Zugriffe beim Austritt einer Person, ohne dass jedes einzelne Passwort geändert werden muss
Der Sicherheitsgewinn entsteht dabei weniger durch die Verschlüsselung als durch die Struktur: Zum ersten Mal existiert eine belastbare Antwort auf die Frage, welche Zugänge es überhaupt gibt.
Der Unterschied zwischen privaten und geschäftlichen Lösungen
Viele Mitarbeiter nutzen privat bereits einen Passwort-Manager, oft den im Browser eingebauten. Für den beruflichen Einsatz reicht das nicht, und zwar aus organisatorischen, nicht aus technischen Gründen.
Browser-gespeicherte Passwörter hängen am persönlichen Profil des Nutzers. Sie lassen sich nicht kontrolliert teilen, nicht zentral entziehen und nicht nachvollziehbar protokollieren. Verlässt jemand das Unternehmen, verlässt der Tresor es mit.
Geschäftliche Produkte bringen zusätzlich eine Wiederherstellungsfunktion mit: Wenn ein Mitarbeiter sein Hauptpasswort vergisst, kann ein festgelegter Kreis von Administratoren den Zugang wiederherstellen, ohne dabei selbst die Inhalte einsehen zu können. In privaten Varianten ist ein vergessenes Hauptpasswort dagegen endgültig.
Warum das zählt: Ohne Wiederherstellungsverfahren wird der erste vergessene Zugang zum Anlass, das ganze System wieder zu verlassen.
Passwortrichtlinie: Was heute tatsächlich gilt
Viele Richtlinien in Unternehmen stammen aus einer Zeit, in der andere Empfehlungen galten. Der erzwungene Passwortwechsel alle 90 Tage gehört dazu. Das BSI rät davon inzwischen ausdrücklich ab, weil regelmäßige Wechsel nachweislich zu schwächeren, vorhersehbaren Passwörtern führen.
Zeitgemäß ist stattdessen eine Kombination aus wenigen, klaren Regeln: ausreichende Länge statt komplizierter Zeichenvorgaben, ein Wechsel nur bei konkretem Verdacht auf Kompromittierung, ein Abgleich gegen bekannte Leak-Datenbanken und ein zweiter Faktor überall dort, wo er verfügbar ist.
Der zweite Faktor ist dabei der wirksamste Einzelbaustein. Wie er funktioniert und wie Sie ihn einführen, haben wir in unserem Ratgeber zur Multi-Faktor-Authentifizierung ausführlich beschrieben.
Der Passwort-Manager macht diese Richtlinie überhaupt erst durchsetzbar. Ein zufällig erzeugtes Passwort mit zwanzig Zeichen ist für den Nutzer genauso bequem wie ein schlechtes, weil er es ohnehin nie tippt.
Cloud oder selbst gehostet: die Auswahlkriterien
Beide Modelle sind vertretbar. Cloud-Lösungen sind schneller eingeführt und werden automatisch aktuell gehalten, selbst gehostete Varianten geben Ihnen die volle Kontrolle über den Speicherort, verlangen dafür aber eigene Pflege.
- Zero-Knowledge-Architektur: Der Anbieter darf technisch keinen Zugriff auf Ihre Inhalte haben
- Serverstandort und Auftragsverarbeitungsvertrag nach DSGVO
- Unterstützung Ihrer Anmeldeverfahren, etwa Anbindung an Microsoft Entra ID
- Zweiter Faktor für den Tresor selbst, idealerweise per Hardware-Schlüssel
- Exportfunktion in einem offenen Format, damit Sie den Anbieter wechseln können
- Unabhängig geprüfte Sicherheit, etwa durch veröffentlichte Auditberichte
- Apps für alle Geräte, die bei Ihnen tatsächlich im Einsatz sind
Für die meisten mittelständischen Unternehmen ist die Cloud-Variante die pragmatischere Wahl. Der Betrieb einer selbst gehosteten Lösung lohnt sich vor allem dann, wenn regulatorische Vorgaben den Speicherort erzwingen.
Ein Kriterium, das gern übersehen wird, ist die Notfallfähigkeit. Was passiert, wenn der Cloud-Dienst des Anbieters gerade dann nicht erreichbar ist, wenn Sie dringend an ein Zugangsdatum müssen? Gute Lösungen halten eine verschlüsselte Kopie des Tresors lokal auf dem Endgerät vor und funktionieren auch offline. Prüfen Sie das vor der Entscheidung, es ist der Unterschied zwischen einer Unannehmlichkeit und einem Stillstand.
Ebenfalls einzuplanen sind die Notfallzugänge für die Geschäftsführung. Es sollte mindestens zwei Personen geben, die im Ernstfall an die kritischen Zugänge kommen, und ein versiegeltes Verfahren für den Fall, dass beide ausfallen. Ein Umschlag im Tresor mit dem Wiederherstellungsschlüssel ist dabei keine altmodische Lösung, sondern gängige Praxis.
Die Einführung in fünf Schritten
Der häufigste Fehler bei der Einführung ist die Reihenfolge: Erst wird ausgerollt, dann aufgeräumt. Umgekehrt funktioniert es deutlich besser.
- Bestandsaufnahme: Welche Dienste werden genutzt, welche Konten sind geteilt, welche Zugänge gehören eigentlich längst gelöscht
- Struktur festlegen: Tresore nach Abteilungen und Aufgaben, nicht nach einzelnen Personen
- Pilotgruppe mit fünf bis zehn Personen aus unterschiedlichen Bereichen, drei bis vier Wochen lang
- Rollout in Wellen mit einer kurzen Einweisung pro Abteilung, nicht per Rundmail
- Nacharbeit: Nach etwa acht Wochen alte Listen und Notizen aktiv einsammeln und löschen
Rechnen Sie für ein Unternehmen mit fünfzig Arbeitsplätzen mit etwa sechs bis acht Wochen bis zum stabilen Betrieb. Der Aufwand liegt fast vollständig in der Bestandsaufnahme, nicht in der Technik.
Die typischen Einwände aus der Belegschaft
„Alle Passwörter an einem Ort, ist das nicht gefährlicher?“ Das ist der Einwand, der am häufigsten kommt, und er verdient eine ehrliche Antwort. Ja, der Tresor ist ein lohnendes Ziel. Er ist aber verschlüsselt, durch einen zweiten Faktor geschützt und protokolliert Zugriffe. Die Alternative ist kein sicherer Zustand, sondern eine unverschlüsselte Datei ohne jede Protokollierung.
„Das dauert länger als vorher.“ Nach der Eingewöhnung ist das Gegenteil der Fall, weil das Ausfüllen automatisch passiert. Die ersten zwei Wochen sind allerdings tatsächlich anstrengend, und dieser Punkt sollte offen angesprochen werden, statt ihn schönzureden.
„Wir hatten noch nie einen Vorfall.“ Der häufigste Einstiegsweg in Unternehmen sind gestohlene Zugangsdaten, meist über gefälschte Anmeldeseiten. Welche Wege Angreifer sonst noch nutzen, zeigt unser Überblick zu den häufigsten Angriffswegen in Unternehmen.
Ein letzter Punkt betrifft die Regulierung: Wer unter die NIS2-Richtlinie fällt, muss Zugriffskontrolle nicht nur betreiben, sondern nachweisen können. Eine Excel-Liste erfüllt diese Anforderung nicht, ein Passwort-Manager mit Protokollierung schon. Das ist für viele Geschäftsführungen inzwischen das ausschlaggebende Argument.
Unser Rat für die Kommunikation im Unternehmen: Führen Sie das Werkzeug nicht als Sicherheitsmaßnahme ein, sondern als Arbeitserleichterung. Der Sicherheitsgewinn stellt sich ohnehin ein, die Akzeptanz aber nur, wenn die Belegschaft einen Nutzen für sich selbst erkennt. Der Hinweis, dass der Manager auch die privaten Zugänge übernehmen kann, wirkt dabei erfahrungsgemäß besser als jede Schulung.
Häufige Fragen
Ist ein Passwort-Manager auch für kleine Unternehmen sinnvoll?
Gerade dort. Je kleiner das Team, desto mehr geteilte Konten gibt es üblicherweise und desto weniger formale Prozesse regeln deren Weitergabe. Der Nutzen tritt schon ab etwa fünf Arbeitsplätzen deutlich ein.
Was passiert, wenn der Anbieter gehackt wird?
Bei einer Zero-Knowledge-Architektur liegen die Daten beim Anbieter ausschließlich verschlüsselt, der Schlüssel verlässt Ihr Endgerät nie. Ein Angreifer erbeutet dann unlesbare Datenblöcke. Voraussetzung ist ein starkes Hauptpasswort und ein aktivierter zweiter Faktor.
Muss man Passwörter noch regelmäßig wechseln?
Nein. Das BSI rät von festen Wechselintervallen ab, weil sie zu vorhersehbaren Mustern führen. Gewechselt wird bei konkretem Verdacht auf Kompromittierung, etwa nach einem Datenleck beim Anbieter.
Ersetzt ein Passwort-Manager die Multi-Faktor-Authentifizierung?
Nein, beide ergänzen sich. Der Manager sorgt für starke, einmalig verwendete Passwörter, der zweite Faktor schützt das Konto auch dann, wenn ein Passwort doch einmal abfließt.
Ordnung in die Zugangsdaten bringen
Die Einführung eines Passwort-Managers scheitert selten an der Software, sondern an der Bestandsaufnahme davor. Wir übernehmen diesen Teil: Wir erfassen die genutzten Dienste, räumen verwaiste Konten aus und richten eine Tresorstruktur ein, die zu Ihren Abteilungen passt.
Sprechen Sie uns an, wenn Sie den Wechsel weg von Listen und Notizzetteln planen.
