Das Passwort auf dem Zettel unter der Tastatur
In fast jedem kleinen Betrieb gibt es sie: die Excel-Liste mit Passwörtern, den Zettel am Monitor oder das eine Passwort, das überall gleich ist. Das ist bequem, aber gefährlich. Wird ein Dienst gehackt, probieren Angreifer die erbeuteten Zugangsdaten automatisch bei anderen Diensten aus.
Die Lösung besteht aus zwei Bausteinen: einem Passwortmanager für das Team und einer zweiten Anmeldestufe (MFA) für alles Wichtige.
Warum ein Passwortmanager?
Ein Passwortmanager erzeugt für jeden Dienst ein eigenes, langes Passwort und merkt es sich. Sie selbst merken sich nur noch ein starkes Hauptpasswort.
Für Teams kommen wichtige Vorteile dazu:
- Geteilte Tresore: Zugänge zu Lieferantenportalen oder Social Media werden sicher geteilt, ohne sie per E-Mail zu verschicken.
- Sauberes Ausscheiden: Verlässt jemand das Team, entziehen Sie den Zugriff mit einem Klick.
- Notfallzugang: Ist die verantwortliche Person krank, kommt eine Vertretung an die nötigen Zugänge.
- Warnungen: Viele Programme melden schwache, doppelte oder bei Datenlecks aufgetauchte Passwörter.
Worauf Sie bei der Auswahl achten sollten
- Ende-zu-Ende-Verschlüsselung: Der Anbieter darf Ihre Passwörter selbst nicht lesen können.
- Serverstandort und Vertrag: Bei Cloud-Lösungen auf Anbieter mit Rechenzentren in der EU und einem Auftragsverarbeitungsvertrag achten.
- Teamfunktionen: geteilte Tresore, Rollen, Notfallzugang.
- Bedienbarkeit: Browser-Erweiterung und App fürs Handy. Wenn es umständlich ist, wird es nicht genutzt.
- Unterstützung für Passkeys: Moderne Passwortmanager können auch Passkeys speichern.
Es gibt sowohl Cloud-Dienste als auch Open-Source-Lösungen, die man selbst betreiben kann. Für kleine Teams ist eine gut gewählte Cloud-Lösung meist die praktischere Wahl.
MFA: die zweite Tür
Selbst das beste Passwort kann durch Phishing gestohlen werden. MFA sorgt dafür, dass zusätzlich ein zweiter Nachweis nötig ist.
Von stark nach schwach:
- Passkeys oder Sicherheitsschlüssel: schützen auch gegen Phishing. Mehr dazu im Beitrag zu Passkeys.
- Authenticator-App mit Nummernabgleich: guter Standard für die meisten Dienste.
- Einmalcodes per App: besser als nichts.
- SMS: nur, wenn nichts anderes geht.
Wo MFA zuerst hingehört: E-Mail, Microsoft 365 oder Google Workspace, Online-Banking, Fernzugang, Passwortmanager selbst, Domain- und Hosting-Konto, Social-Media-Konten der Firma.
Einführung in vier Wochen
- Woche 1: Passwortmanager auswählen, Testkonto anlegen, Struktur der Tresore festlegen.
- Woche 2: Kurze Schulung (30 Minuten), alle Mitarbeitenden richten ihren Zugang und MFA ein.
- Woche 3: Gemeinsame Zugänge in geteilte Tresore übertragen, Excel-Listen und Zettel vernichten.
- Woche 4: Wichtigste Passwörter ändern, Notfallzugang testen.
Typische Fehler
- Schwaches Hauptpasswort: Es sollte ein langer Satz sein, den man sich merken kann.
- Wiederherstellungscodes verlieren: Ausdrucken und sicher verwahren.
- MFA nur für die Chefin: Angreifer nehmen das schwächste Konto.
- „MFA-Müdigkeit“: Niemals eine Anmeldeanfrage bestätigen, die man nicht selbst ausgelöst hat.
Häufige Fragen
Ist es nicht riskant, alle Passwörter an einem Ort zu haben? Ein gut verschlüsselter Passwortmanager mit MFA ist deutlich sicherer als wiederverwendete oder aufgeschriebene Passwörter.
Was kostet das? Teamlösungen gibt es in vielen Preisstufen. Für kleine Teams bleibt es meist im Rahmen eines kleinen Software-Abos pro Person.
Fazit
Passwortmanager plus MFA ist die Maßnahme mit dem besten Verhältnis von Aufwand zu Wirkung. Wenn Sie die Einführung begleitet haben möchten, schauen Sie sich unsere IT-Sicherheitsleistungen an.
