Passwort-Management im Unternehmen: Das Ende von Excel und Notizzetteln

Passwort-Management wird in vielen Unternehmen noch über eine Datei auf einem Netzlaufwerk gelöst. Diese Lösung funktioniert nur so lange, bis jemand das Unternehmen verlässt oder die Datei in die Hände von Angreifern gelangt. Schauen wir uns an, wie man es richtig macht – ohne Widerstand im Team.

TL;DR — Die wichtigsten Punkte

• Mitarbeiter müssen sich nur ein starkes Master-Passwort merken, den Rest erledigt der Manager.
• Geteilte Passwörter gehören in Team-Tresore mit Zugriffsprotokollierung.
• Erzwungene Passwortänderungen alle 90 Tage sind veraltet — besser sind MFA und Überwachung von Datenlecks.
• Beim Ausscheiden eines Mitarbeiters werden nur die Passwörter geändert, auf die er Zugriff hatte.

Wie ein strukturierter Zustand aussieht

Ein strukturierter Zustand bedeutet, dass jeder Mitarbeiter einen Passwortmanager mit einem persönlichen Tresor sowie Zugriff auf notwendige Team-Tresore nutzt. Passwörter werden zufällig generiert, sind lang und für jeden Dienst einzigartig. Der Benutzer kennt sie nicht auswendig.

Administrator-Zugänge sind getrennt: Sie werden nur für die Verwaltung genutzt, verfügen über MFA und sind in einem separaten Tresor mit begrenztem Personenkreis und Zugriffsprotokollierung gespeichert.

Warum dies zwingend erforderlich ist

Wiederverwendete Passwörter sind nach wie vor der Hauptgrund für Einbrüche in Geschäftskonten.

• Wird ein Passwort bei einem Drittanbieter geleakt, probiert der Angreifer dieselbe Kombination bei Ihnen.
• Geteilte Passwörter verhindern die Rückverfolgbarkeit — Sie wissen nicht, wer welche Aktion ausgeführt hat.
• Wenn ein Mitarbeiter geht, wissen Sie nicht, welche Passwörter er kannte.
• Manuell erstellte Passwörter sind kurz und vorhersehbar, selbst wenn sie komplexe Regeln erfüllen.

Vorgehensweise — Der empfohlene Prozess

1. Wählen Sie einen Passwortmanager mit Business-Funktionen und Team-Tresoren.
2. Erfassen Sie alle vorhandenen geteilten Passwörter und importieren Sie diese in abteilungsspezifische Tresore.
3. Ändern Sie alle Passwörter, die in Dateien oder E-Mails gespeichert waren.
4. Führen Sie MFA überall dort ein, wo es verfügbar ist, beginnend mit den kritischsten Systemen.
5. Führen Sie eine 30-minütige Schulung durch und installieren Sie Browser-Erweiterungen.
6. Aktivieren Sie das Monitoring für kompromittierte Zugangsdaten und legen Sie Prozesse für Warnmeldungen fest.

Passwort-Richtlinien — Empfehlungen

Häufige Fehler

Der häufigste Fehler ist die Einführung des Tools ohne vorherige Bereinigung. Wenn Sie alte, kompromittierte Passwörter in den Tresor importieren, haben Sie diese nur verschoben.

Ein weiterer Fehler ist das Aussparen der Geschäftsführung. Gerade Management-Konten sind häufige Ziele, daher muss die Einführung sie ohne Ausnahmen einschließen.

Wie VitalIT unterstützt

VitalIT führt Passwortmanager ein, strukturiert Tresore und führt Schulungen durch. Informieren Sie sich über unsere Cybersicherheit.

Verwandte Themen: Passkeys: Die Zukunft der passwortlosen Anmeldung und Phishing-Simulationen.

Häufig gestellte Fragen (FAQ)

Ist ein Passwortmanager sicher?

Ja. Die Daten werden auf dem Gerät verschlüsselt und der Anbieter hat keinen Zugriff darauf, sofern eine Zero-Knowledge-Architektur verwendet wird.

Was passiert, wenn wir das Master-Passwort vergessen?

Business-Versionen ermöglichen die Wiederherstellung über einen Administrator oder einen separat aufbewahrten Wiederherstellungsschlüssel.

Wie viel kostet es?

Einige Euro pro Benutzer und Monat — in der Regel die günstigste Sicherheitsmaßnahme mit der größten Wirkung.

Können wir den Passwortmanager des Browsers nutzen?

Für den privaten Gebrauch reicht es aus, für Unternehmen nicht — es fehlen Team-Tresore, Kontrolle und Audit-Logs.

Was ist mit Service-Konten?

Diese werden in einem separaten Tresor mit eingeschränktem Zugriff gespeichert; die Passwörter sollten lang sein und selten manuell eingegeben werden.