Passwörter im Betrieb: Schluss mit Klebezettel und Excel-Liste

Ein Rundgang, den ich zu oft erlebe

Beim ersten Termin in einem neuen Betrieb brauche ich selten länger als zehn Minuten, um die wichtigsten Passwörter zu finden: Das WLAN-Passwort klebt am Router, die Zugangsdaten fürs Online-Banking stehen im Notizbuch der Buchhaltung, und auf dem Server liegt eine Datei namens Passwörter.xlsx — für alle lesbar, zuletzt geändert vor drei Jahren.

Das ist kein Vorwurf. Ohne Werkzeug ist es schlicht unmöglich, dutzende Zugänge sicher zu verwalten — also behilft man sich. Aber die Risiken sind real:

• Ein Passwort für alles: Wird ein Dienst gehackt, sind alle anderen Konten mit demselben Passwort ebenfalls offen. Genau darauf zielen Phishing-Angriffe ab.
• Keine Kontrolle beim Personalwechsel: Ein Mitarbeiter verlässt den Betrieb — welche Zugänge kannte er? Bei Zettelwirtschaft weiß das niemand. Die Passwörter bleiben oft jahrelang unverändert.
• Der Chef als Flaschenhals: Alle wichtigen Zugänge existieren nur im Kopf oder Notizbuch einer Person. Fällt sie aus, steht der Betrieb vor verschlossenen Türen.

Was ein Passwortmanager ändert

Ein Passwortmanager ist ein verschlüsselter Tresor für alle Zugangsdaten. Sie merken sich ein einziges, starkes Hauptpasswort — alles andere erledigt das Programm:

• Erzeugen: Für jeden Dienst ein eigenes, langes Zufallspasswort. Niemand muss sich Kx9!vTq2#mPz merken — der Manager füllt es automatisch aus.
• Teilen ohne Zuruf: Zugänge werden in Team-Ordnern geteilt, statt per Zettel oder E-Mail weitergegeben. Das Büro sieht die Büro-Zugänge, die Werkstatt ihre — und das Online-Banking nur, wer es wirklich braucht.
• Entzug per Klick: Verlässt jemand den Betrieb, wird sein Konto deaktiviert und die kritischen Passwörter werden einmal getauscht. Zehn Minuten statt böser Überraschung.
• Notfallzugriff: Der Inhaber-Zugang ist dokumentiert hinterlegt — der Betrieb bleibt handlungsfähig, auch wenn eine Person ausfällt.

Cloud-Dienst oder eigener Server?

Bekannte Passwortmanager laufen als Abo-Dienst in der Cloud — monatliche Kosten pro Nutzer, Daten beim Anbieter. Das funktioniert, aber es gibt eine Alternative, die ich bevorzuge: eine selbst gehostete Lösung auf dem eigenen Server (bewährt ist hier Vaultwarden, kompatibel mit den offiziellen Bitwarden-Apps).

Die Vorteile liegen auf der Hand: keine laufenden Lizenzkosten pro Mitarbeiter, die verschlüsselten Daten bleiben im Haus, und die Apps für Browser, PC und Smartphone sind dieselben komfortablen wie beim Abo-Dienst. Ob Cloud oder eigener Server generell besser zu Ihrem Betrieb passt, ist eine eigene Abwägung — beim Passwortmanager spricht für kleine Betriebe vieles für die eigene Lösung.

Wichtig, egal welche Variante: Der Tresor selbst gehört in die Datensicherung. Ein verschlüsseltes Backup nach der 3-2-1-Regel stellt sicher, dass die Zugänge auch nach einem Serverausfall verfügbar sind.

Zwei-Faktor-Anmeldung: der zweite Schlüssel

Ein Passwortmanager löst das Passwort-Problem — die Zwei-Faktor-Anmeldung (2FA) löst das Diebstahl-Problem. Dabei braucht die Anmeldung zusätzlich einen zweiten Faktor, meist einen sechsstelligen Code vom Smartphone. Selbst wenn ein Passwort gestohlen wird, kommt der Angreifer damit nicht hinein.

Meine Empfehlung für den Anfang: 2FA zuerst dort aktivieren, wo der Schaden am größten wäre — E-Mail-Konten (wer Ihr Postfach kontrolliert, kann fast jedes andere Passwort zurücksetzen), Online-Banking und der Zugang zur eigenen Cloud.

So führen Sie das ein, ohne Ihr Team zu verlieren

1. Mit den Chef-Zugängen anfangen: Erst die eigenen Passwörter in den Tresor, zwei Wochen selbst damit arbeiten.
2. Dann das Büro: Die zwei, drei Personen mit den meisten Zugängen dazunehmen, Team-Ordner anlegen.
3. Alte Sünden aufräumen: Die Excel-Liste importieren, danach löschen — und die wichtigsten Passwörter einmal neu erzeugen lassen.
4. Regel festlegen: Neue Zugänge entstehen nur noch im Passwortmanager. Ohne diese Regel wächst die Zettelwirtschaft nach.

Der Aufwand ist überschaubar — die Einrichtung samt Schulung ist in den meisten Betrieben an einem Nachmittag erledigt. Verglichen mit dem Schaden eines einzigen gekaperten Kontos ist das die vielleicht günstigste Sicherheitsmaßnahme überhaupt.