Zum Inhalt springen
0621 877 55 990
Notfall
DAVINCI Rechenzentrum

Passwortmanager im Unternehmen: Tresore je Team, Freigaben statt Mails, ein Notfallweg für das Masterpasswort

In fast jedem Haus gibt es sie: die Excel-Liste mit Zugängen, den Zettel unter der Tastatur, das Passwort für das Lieferantenportal, das per Mail an drei Kollegen ging. Ein Passwortmanager für das Unternehmen ersetzt das alles – wenn er nicht als privates Programm je Person, sondern als gemeinsames Werkzeug mit Tresoren, Rechten und einem Notfallweg eingerichtet wird.

0621 877 55 990 · rund um die Uhr, 365 Tage im Jahr
Büro mit Arbeitsplätzen, Bildschirmen und TischtelefonenKI-generiertes Bild

  • 14Jahre

    unternehmerisch im IT-Betrieb, GmbH seit 2020

  • InternationaleExpertise

    Betreuung in Deutschland, Europa und dem Nahen Osten

  • 99,9 %Verfügbarkeit

    der Cloud-Services, je Kalendermonat

  • 15 Min.Reaktionszeit

    im Notfall, rund um die Uhr

  • ISO 27001zertifiziert

    Partner-Rechenzentren in Deutschland

Das BSI beschreibt Passwort-Manager als Programme, die Benutzernamen und Passwörter „mittels Verschlüsselung und eines komplexen Masterpassworts“ verwahren – „wie ein Notizbuch, das in einer Schublade eingeschlossen ist“. Der Vorteil: Statt vieler Passwörter muss man sich nur noch eines merken. Das BSI nennt auch die Kehrseite: Geht das Masterpasswort verloren, sind im schlechtesten Fall alle Daten verloren.

Im Unternehmen kommt eine zweite Frage dazu, die bei privater Nutzung keine Rolle spielt: Wem gehören die Zugänge? Das Passwort für das Bankportal, die Domainverwaltung oder die Steuerkanzlei gehört nicht dem Mitarbeiter, der es angelegt hat. Ein Passwortmanager für das Unternehmen muss deshalb so aufgebaut sein, dass Zugänge Teams gehören, nicht Personen – und beim Ausscheiden einer Person vollständig im Haus bleiben.

Der IT-Grundschutz verlangt in ORP.4.A8, den Passwortgebrauch verbindlich zu regeln: Passwörter dürfen nicht mehrfach verwendet werden, für jedes System und jede Anwendung muss ein eigenständiges Passwort verwendet werden. Ohne Passwortmanager ist das im Alltag kaum einzuhalten.

Was ein Passwortmanager für Unternehmen leisten muss

  • Tresore je TeamBuchhaltung, Geschäftsführung, IT, Vertrieb – jeder Bereich hat seinen Tresor, und nur die Mitglieder sehen ihn. Persönliche Tresore bleiben getrennt.
  • Freigaben statt MailsEin Zugang wird im Programm geteilt, nicht per Mail oder Chat. Wer das Team verlässt, verliert den Zugriff, ohne dass das Passwort geändert werden muss – geändert wird es trotzdem.
  • Mehrfaktor-Schutz für den TresorDas BSI fragt in seiner Auswahl-Checkliste ausdrücklich nach einem zweiten Faktor. Im Unternehmen ist er Pflicht: Der Tresor ist das wertvollste Konto im Haus.
  • ProtokollWer hat wann welchen Zugang angesehen oder geändert? Ohne Protokoll lässt sich nach einem Vorfall nicht klären, welche Zugänge zu ändern sind.
  • Ein NotfallwegFür das Masterpasswort der Verwaltung und für den Fall, dass die einzige Person mit Zugriff auf einen Tresor ausfällt. Geregelt, bevor er gebraucht wird.

Cloud oder eigener Server

Beides ist vertretbar, wenn die Verschlüsselung auf dem Gerät stattfindet und der Anbieter die Daten nicht lesen kann. Die Unterschiede liegen im Betrieb.

Cloud-DienstEigener Server
Betrieb und Updatesbeim Anbieterbei Ihnen oder Ihrem Dienstleister
Erreichbarkeit unterwegsohne weiteresüber einen gesicherten Zugang
Datenstandortnach Vertrag des Anbietersselbst bestimmt, etwa in einem deutschen Rechenzentrum
Sicherungbeim Anbieter, Export prüfeneigene Sicherung mit geprobter Rücksicherung

Einführung in vier Schritten

  1. Zugänge einsammelnExcel-Listen, Browser-Speicher, Zettel. Jeder Zugang bekommt einen Tresor und einen Verantwortlichen; alte und unbekannte Zugänge werden gelöscht oder geklärt.
  2. Tresore und Rechte anlegenNach Teams, nicht nach Personen. Die Geschäftsführung bekommt Zugriff auf die Notfallfunktion, nicht automatisch auf jeden Tresor.
  3. Passwörter ersetzenMehrfach verwendete Passwörter werden durch erzeugte ersetzt, beginnend mit E-Mail, Bank, Domainverwaltung und Fernzugängen.
  4. Browser-Speicher abschaltenGespeicherte Passwörter im Browser werden übernommen und dann per Richtlinie abgeschaltet, damit es nur noch einen Ort gibt.

Dazu gehört

Häufige Fragen

Reicht der Passwortspeicher im Browser?
Für ein Unternehmen nicht. Er kennt keine Tresore je Team, keine geregelten Freigaben, kein Protokoll und keinen Notfallweg – und die Zugänge hängen am persönlichen Browserprofil.
Was passiert, wenn jemand das Unternehmen verlässt?
Der Zugriff auf die Team-Tresore wird entzogen, der persönliche Tresor wird nach Ihren Regeln übergeben oder gelöscht. Zugänge, die die Person kannte, werden geändert – das Protokoll zeigt, welche das sind.
Ist ein Passwortmanager nicht ein zentrales Angriffsziel?
Ja, deshalb gehören Mehrfaktor-Schutz, Verschlüsselung auf dem Gerät und ein starkes Masterpasswort dazu. Die Alternative – Excel-Listen, Zettel und mehrfach verwendete Passwörter – ist das größere Ziel.
Brauchen wir dann noch Mehrfaktor-Anmeldung?
Ja. Der Passwortmanager verhindert schwache und mehrfach verwendete Passwörter. Gegen gestohlene Passwörter hilft er nur, wenn er die Eingabe auf gefälschten Seiten verweigert – verlassen sollte man sich darauf nicht.

Quellen und Nachweise

  1. BSI: Passwörter verwalten mit einem Passwort-Manager · Bundesamt für Sicherheit in der Informationstechnikamtlich
  2. BSI IT-Grundschutz-Baustein ORP.4 Identitäts- und Berechtigungsmanagement (Edition 2023), Anforderungen ORP.4.A8, ORP.4.A22, ORP.4.A23 · Bundesamt für Sicherheit in der Informationstechnikamtlich
  3. BSI: Umgang mit Passwörtern – Wiederverwendung, Notieren, Wechsel · Bundesamt für Sicherheit in der Informationstechnikamtlich

Ihr nächster Schritt

Sprechen wir über Ihre IT.

Schildern Sie uns Ihr Anliegen – Sie erhalten innerhalb der nächsten zwei Stunden eine Antwort von jemandem, der entscheiden kann.

Das gehört dazu

MFA einführenMehrfaktor-Anmeldung ist schnell eingeschaltet und schnell verflucht, wenn sie schlecht eingeführt wird: Wer am Montag sein Telefon nicht dabei hat, kommt nicht an seine Mails, und das Multifunktionsgerät scannt nicht mehr ins Postfach. Mit einer klaren Reihenfolge, dem richtigen Verfahren je Rolle und einer Liste der Ausnahmen geht es ohne Stillstand.Ansehen →
PasskeysEin Passkey ersetzt das Passwort durch einen Schlüssel, der auf dem Gerät bleibt und nur auf der echten Adresse funktioniert. Es gibt nichts mehr, das man auf einer gefälschten Seite eintippen könnte. Das BSI nennt Passkeys einen Gewinn an Sicherheit und Komfort. Im Unternehmen sind sie heute vor allem für die Konten sinnvoll, die Angreifer zuerst suchen.Ansehen →
Rollen & AdminkontenAngreifer suchen nach dem ersten Zugang immer dasselbe: ein Konto mit Administratorrechten. In vielen Häusern finden sie es schnell – weil der IT-Verantwortliche mit demselben Konto Mails liest, mit dem er Server verwaltet. Getrennte Konten, Rechte nach Bedarf und zwei Notfallzugänge machen diesen Schritt deutlich schwerer.Ansehen →
Bedingter ZugriffMehrfaktor-Anmeldung beantwortet die Frage „Wer bist du?“. Bedingter Zugriff stellt die nächsten: Von welchem Gerät? Aus welchem Land? Mit welchem Verfahren? Für ein Haus mit Microsoft 365 ist er das Werkzeug, mit dem aus einzelnen Einstellungen eine Zugangsregel wird – vorausgesetzt, die Lizenz passt und niemand sperrt sich aus.Ansehen →
VPN oder Zero TrustDas VPN war jahrelang die Antwort auf die Frage, wie man von außen ins Firmennetz kommt: einmal drin, alles erreichbar. Genau das nutzen Angreifer, die ein VPN-Passwort erbeuten. Zero Trust dreht die Frage um und prüft jede Anmeldung einzeln. Für ein mittelständisches Haus heißt das selten „VPN abschaffen“, sondern: das VPN absichern, Rechte dahinter begrenzen, Cloud-Anwendungen ohne VPN schützen.Ansehen →
OffboardingEin Konto, das nach dem Ausscheiden weiterlebt, ist einer der bequemsten Wege in ein Unternehmen: Niemand vermisst es, niemand sieht, wer es benutzt. Offboarding ist deshalb keine Personalformalie, sondern eine Sicherheitsmaßnahme – mit einer festen Liste, einer Uhrzeit und einem Verantwortlichen.Ansehen →
Zugang & IdentitätDie meisten Angriffe auf ein mittelständisches Haus brechen nicht durch eine Firewall, sie melden sich an – mit einem gestohlenen Passwort. Wer Zugänge im Griff hat, nimmt diesen Weg: Mehrfaktor-Anmeldung für alle, ein Passwortmanager statt Zettel, getrennte Administratorkonten, Regeln für den Zugriff von außen und ein Offboarding, das am letzten Arbeitstag wirklich alles schließt.Ansehen →

Vom Excel-Blatt zum Tresor

Wir wählen mit Ihnen den passenden Passwortmanager, bauen Tresore und Rechte nach Ihren Teams auf, übernehmen die bestehenden Zugänge und regeln den Notfallweg – in der Cloud oder auf einem eigenen Server in einem deutschen Rechenzentrum.

Störung sofort melden