In diesem Artikel
Für die Geschäftsleitung löst ein Passwortmanager für Unternehmen ein Risiko und eine Abhängigkeit zugleich. Das Risiko: das wiederverwendete Passwort, der billigste Weg in ein KMU. Die Abhängigkeit: kritische Zugänge, die nur eine Person kennt und die mit ihr das Haus verlassen. Das Werkzeug speichert die Zugangsdaten verschlüsselt, erzeugt für jeden Dienst ein starkes, eigenes Passwort und füllt es selbst aus; jeder Mitarbeitende merkt sich nur das Master-Passwort, geschützt durch MFA. Gut eingeführt, ist es eine Cybersecurity-Maßnahme, für die das Team dankbar ist, statt sie zu umgehen.
Warum ist das wiederverwendete Passwort das größte Risiko eines KMU?
Weil eine Liste genügt. Das Passwort für die Unternehmens-E-Mail ist eine Variante dessen für das ERP; das für das ERP ist dasselbe wie für einen privaten Onlineshop, der vor zwei Jahren ein Datenleck hatte; diese Liste wird verkauft. Man muss sie nur ausprobieren.
Die Ursache des Problems ist Arithmetik. Jeder Mitarbeitende hat mit 30 bis 80 Zugangsdaten zu tun: E-Mail, Verwaltungssoftware, Lieferantenportale, Onlinebanking, Cloud-Anwendungen, WLAN, Drucker, Social-Media-Konten der Marke. Niemand behält 80 lange, unterschiedliche Passwörter im Kopf, und die improvisierte Lösung ist immer dieselbe — wiederholen, auf einen Zettel am Monitor schreiben oder eine „passwords.xlsx“ anlegen.
Was eine Unternehmenslösung von einer privaten App unterscheidet
- Team-Tresore Der Zugang zum Finanzamtsportal, zum Werbekonto oder zum Router gehört dem Unternehmen, nicht dem Gedächtnis einer Person. Ein Weggang bedeutet keinen Zugangsverlust mehr.
- Administrationskonsole Das Unternehmen fügt Benutzer hinzu und entfernt sie, setzt Regeln wie Mindestlänge und verpflichtende MFA durch und stellt Tresore bei Bedarf wieder her.
- Nutzungsprotokoll Es wird festgehalten, wer welche Zugangsdaten wann geöffnet hat, eine Information, die ein Audit oder NIS2 verlangen werden.
- Hygienewarnungen Schwache, wiederholte oder in bekannten Leaks enthaltene Passwörter werden markiert.
- Anbindung an Microsoft 365 Die Anmeldung erfolgt mit dem Unternehmenskonto, und wird dieses gesperrt, ist auch der Zugang zum Tresor gesperrt.
Welche Kriterien sollten bei der Wahl zählen?
- Zero-Knowledge Ende-zu-Ende-Verschlüsselung: Nicht einmal der Anbieter kann den Inhalt der Tresore sehen.
- Erzwungene MFA Für alle Benutzer, ohne Ausnahmen.
- Berechtigungen nach Gruppen Ein Tresor pro Abteilung, mit kontrollierten Zugängen.
- Auf allen Bildschirmen Browsererweiterung und Smartphone-App.
- Governance Administrative Wiederherstellung und exportierbarer Aktivitätsverlauf.
- Datenschutz Unternehmen und Infrastruktur in der EU oder DSGVO-gleichwertige Garantien.
- Stabile Kosten Preis pro Benutzer, ohne Überraschungen.
Bewährte Unternehmenslösungen erfüllen praktisch alle diese Anforderungen. Den Ausschlag gibt am Ende die Benutzerfreundlichkeit, denn sie bestimmt die tatsächliche Akzeptanz. Eine Alternative, die ausscheidet: die geteilte Datei, auch verschlüsselt — ohne Verlauf, ohne Wiederherstellung und nicht skalierbar.
Wie bringt man ihn in drei Wochen zum Laufen?
- Erste Woche: Grundlagen — Auswahl der Lösung, Anlage der Organisation, Integration mit Microsoft 365 und Festlegen der Regeln (MFA verpflichtend, mindestens 14 Zeichen). Tresore pro Abteilung anlegen und die Zugangsdaten übertragen, die heute in Tabellen und auf Zetteln stehen. Die Administrator-Zugangsdaten — Firewall, Switches, Server, Domains — kommen in einen Tresor, der nur dem IT-Team offensteht.
- Zweite Woche: Pilotgruppe — fünf bis zehn Personen aus verschiedenen Bereichen, mindestens eine aus der Geschäftsleitung. Eine 20-minütige Einweisung, Installation von Erweiterung und App, Import der im Browser gespeicherten Passwörter. Alles, was Fragen aufwarf, wird notiert.
- Dritte Woche: Ausrollen — 20-minütige Einweisungen pro Gruppe und eine einzige Regel: Ab jetzt kommt jedes neue Passwort aus dem Manager, und alte, wiederholte Passwörter werden bei der nächsten Nutzung ersetzt. Am ersten Tag den Tausch aller Passwörter zu verlangen, ist das Rezept für Ablehnung.
Warum scheitern solche Projekte?
- Fehlende Erklärung Was man nicht versteht, umgeht man.
- Vergessener Browser Bleiben die alten Passwörter in Chrome oder Edge, hat der Benutzer zwei Quellen und gibt die neue auf.
- Keine gemeinsamen Tresore Die Zugangsdaten zirkulieren weiter per E-Mail.
- Smartphone ignoriert Die Hälfte der Zugriffe erfolgt bereits am Telefon.
- Autofill im Browser aktiv Konkurriert mit dem Manager und ist weniger sicher.
Welchen Unterschied merkt man nach einem Quartal?
Alle neuen und die meisten alten Dienste haben lange, eigene Passwörter. Niemand muss das Passwort eines anderen kennen. Der Weggang eines Mitarbeitenden wird zu einem Vorgang von Minuten: Das Konto wird gesperrt, und die gemeinsamen Tresore bleiben im Besitz des Unternehmens.
Anfragen zum Zurücksetzen von Passwörtern beim Helpdesk verschwinden fast. Und wenn der Versicherer oder ein NIS2-Verfahren fragt, wie Zugangsdaten verwaltet werden, gibt es eine dokumentierte Antwort.
Wo passt das in die Identitätsstrategie?
Es ist die zweite Schutzschicht der Identität, direkt nach der Zwei-Faktor-Verifizierung (MFA). MFA stoppt den Angreifer, selbst wenn das Passwort gestohlen wurde; der Manager verhindert, dass das Passwort schwach oder wiederholt ist. Beide Maßnahmen bilden den Ausgangspunkt des Zero-Trust-Modells in vier Schritten für KMU und stützen die Passwortregel in den sieben internen Richtlinien, die jedes Unternehmen haben sollte.
In den Verträgen für Managed Cybersecurity von DataRoad - IT Services and Consulting sind die Einführung des Managers und die Administration der IT-Tresore im Service enthalten.
Häufige Fragen
Was, wenn der Anbieter des Managers selbst angegriffen wird?
Mit Ende-zu-Ende-Verschlüsselung erhält der Angreifer nur unlesbare Tresore, die nur das Master-Passwort jedes Benutzers öffnet. Deshalb muss das Master-Passwort lang und MFA verpflichtend sein.
Reicht der in Chrome oder Edge integrierte Manager für das Unternehmen?
Nein. Er taugt für den privaten Gebrauch, bietet aber keine Team-Tresore, keine Administrationskonsole, keinen Verlauf und keine Wiederherstellung und ist an einen Browser und ein persönliches Konto gebunden.
Was passiert, wenn ein Mitarbeitender sein Master-Passwort vergisst?
Ein benannter Administrator stellt den Zugang über die administrative Wiederherstellung wieder her, eine Funktion, die nur die Unternehmensversionen bieten.
Was kostet das?
In der Regel wenige Euro pro Benutzer und Monat. Der Vergleichsmaßstab ist ein einziger Vorfall mit gestohlenen Zugangsdaten — oder der verlorene Zugang zum Finanzamtsportal, weil die einzige Person, die das Passwort kannte, gegangen ist.
Nächster Schritt: ein Passwortmanager, den das Team tatsächlich nutzt
Wir wählen mit Ihnen die Lösung, konfigurieren Organisation und Tresore und führen die Einweisungen mit dem Team durch. Mehr über unsere Cybersecurity und Managed Firewalls. Unverbindliches Angebot.
Über 10 Arbeitsplätze · Servicevertrag · Remote-, Vor-Ort- und Telefonsupport.
Rufen Sie +351 211 459 950* an oder schreiben Sie an sales@dataroad.pt.
*Anruf ins portugiesische Festnetz.
