Passwortmanager für Unternehmen: Warum das Tool allein nicht reicht
- Marko Tittel
- vor 1 Stunde
- 7 Min. Lesezeit
TL;DR
Ein Passwortmanager für Unternehmen ist die technische Grundlage – er speichert Zugänge sicher, ersetzt aber keine organisatorischen Regeln.
Entscheidend ist nicht das Tool selbst, sondern: Wem gehört ein Zugang, wer braucht ihn, was passiert bei Zuständigkeitswechsel oder Ausfall.
Persönliche Accounts bleiben persönlich; gemeinsame Zugänge gehören in einen freigegebenen Bereich mit klarer Verantwortlichkeit; administrative Zugänge nur nach Need-to-know/Least-Privilege (BSI ORP.4).
Berechtigungen haben einen Lebenszyklus: Vergabe, Anpassung, Entzug – insbesondere beim Offboarding.
Geschäftskritische Zugänge (Hosting, Domain, Kundenportal) dürfen nicht an einer einzelnen Person hängen – Vertretung und Recovery/MFA müssen mitgedacht sein.
Der Passwortmanager muss der einzige verbindliche Weg sein – keine Passwörter per Mail, Excel oder Zettel daneben.
Aus dem Alltag eines Unternehmens: Ein wichtiger Zugang wird gebraucht. Vielleicht zum Hosting, zu einem Kundenportal oder zu einem anderen Dienst, der gerade nicht warten kann. Das Passwort ist nicht vergessen, klebt auch nicht auf einem Post-it am Monitor und liegt nicht in irgendeiner Excel-Datei. Eigentlich wurde alles richtig gemacht: Es steckt sicher im Passwortmanager.
Das Problem ist nur: Der zuständige Mitarbeiter ist heute nicht erreichbar und der Zugang liegt ausschliesslich in seinem persönlichen Tresor.
Spätestens jetzt zeigt sich, dass ein Passwortmanager allein noch keine funktionierende Passwortstrategie ergibt. Er kann Zugangsdaten sicher speichern und verwalten. Er entscheidet aber nicht, wem ein Account im Unternehmen gehört, wer darauf zugreifen darf und was passiert, wenn sich Zuständigkeiten ändern oder jemand plötzlich ausfällt.
Genau diese organisatorischen Fragen sind wichtiger als die Frage, welcher Passwortmanager eingesetzt wird.
Ein Passwortmanager löst nicht das Organisationsproblem
Ein Passwortmanager nimmt Unternehmen eine Menge Arbeit ab. Passwörter müssen nicht mehr im Kopf behalten, in Tabellen gesammelt oder über verschiedene Ablageorte verteilt werden. Das NIST unterstützt den Einsatz von Passwortmanagern ausdrücklich und weist unter anderem darauf hin, dass sie die Verwendung stärkerer Passwörter begünstigen können [1, Abschnitt 3.1.1.2 „Password Verifiers"].
Trotzdem beantwortet der Passwortmanager eine Reihe wichtiger Fragen nicht: Wem gehört dieser Zugang eigentlich? Wer braucht ihn wirklich? Wer darf Berechtigungen vergeben? Und wer kümmert sich darum, wenn ein Mitarbeiter andere Aufgaben übernimmt oder das Unternehmen verlässt?
Diese Entscheidungen bleiben beim Unternehmen.
Der Passwortmanager schafft also die technische Grundlage. Damit daraus funktionierendes Passwortmanagement wird, braucht es zusätzlich Regeln für Zugänge, Berechtigungen und Zuständigkeiten.
Nicht jeder Zugang ist gleich
Nicht jeder Account im Unternehmen sollte nach demselben Muster behandelt werden. Ein persönlicher Benutzerzugang hat andere Anforderungen als ein gemeinsam benötigter Zugang oder ein administrativer Account mit weitreichenden Rechten.
Persönliche Accounts
Wo ein Dienst individuelle Benutzerkonten unterstützt, sollte auch jeder Mitarbeiter sein eigenes Konto verwenden. Das erleichtert nicht nur die Verwaltung, sondern sorgt auch dafür, dass Zugriffe und Änderungen einer konkreten Person zugeordnet werden können.
Ein gemeinsamer Benutzername mit einem Passwort für das ganze Team mag zunächst bequem erscheinen. Spätestens wenn ein Mitarbeiter das Unternehmen verlässt, Berechtigungen geändert werden müssen oder nachvollzogen werden soll, wer eine bestimmte Aktion durchgeführt hat, zeigt sich der Nachteil.
Auch das BSI fordert, dass jede Benutzerkennung eindeutig einem registrierten Benutzer zugeordnet werden kann und nicht mehrere Benutzer unter derselben Kennung arbeiten [2, ORP.4.M1, S. 2].
Persönliche Accounts sollten deshalb persönlich bleiben und nicht aus Bequemlichkeit zu gemeinsamen Team-Zugängen werden.
Gemeinsam benötigte Zugänge
Nicht jeder Dienst bietet individuelle Benutzerkonten für mehrere Mitarbeiter. Manchmal lässt sich ein gemeinsam genutzter Zugang deshalb nicht vermeiden.
Dann sollte dieser Zugang aber nicht im persönlichen Tresor eines einzelnen Mitarbeiters liegen. Er gehört in einen gemeinsam verwalteten Bereich des Passwortmanagers und sollte nur für die Personen freigegeben werden, die ihn tatsächlich benötigen.
Ausserdem braucht es eine klare Zuständigkeit. Jemand sollte verantwortlich dafür sein, dass das hinterlegte Passwort aktuell bleibt und die Zugriffsberechtigungen angepasst werden, wenn sich im Team etwas ändert. Auch das BSI empfiehlt bei gemeinsam verwendeten Kennungen eine eindeutig benannte verantwortliche Person und weist darauf hin, dass solche Kennungen möglichst vermieden werden sollten, wenn dadurch die Zuordnung zu handelnden Personen erschwert wird [2, ORP.4.M2, S. 4].
Gemeinsame Zugänge sind damit kein Ersatz für persönliche Benutzerkonten. Wo individuelle Accounts möglich sind, bleiben sie die bessere Lösung.
Administrative Zugänge
Bei administrativen Accounts ist Zurückhaltung besonders wichtig. Wer einen Dienst lediglich benutzt, benötigt deshalb noch lange keine Administratorrechte.
Das Prinzip dahinter ist simpel: Berechtigungen sollten nur so weit vergeben werden, wie sie für die jeweilige Aufgabe tatsächlich benötigt werden. Das BSI beschreibt hierfür ausdrücklich die Prinzipien Need-to-know und Least Privilege [2, ORP.4.M2, S. 3].
Administrative Zugänge sollten deshalb nur den Personen zur Verfügung stehen, die sie für ihre Aufgaben wirklich brauchen. Das reduziert nicht nur das Risiko eines versehentlichen Fehlers. Es macht auch deutlich einfacher, den Überblick darüber zu behalten, wer weitreichende Änderungen an einem System vornehmen kann.
Der Passwortmanager hilft dabei, solche Zugänge kontrolliert abzulegen und freizugeben. Welche administrativen Rechte damit verbunden sind und wer sie erhalten soll, bleibt aber eine organisatorische Entscheidung.
Berechtigungen brauchen einen Lebenszyklus
Zugriffsrechte sind nicht für die Ewigkeit gedacht. Mitarbeiter kommen ins Unternehmen, wechseln Aufgaben, übernehmen neue Zuständigkeiten oder verlassen den Betrieb wieder. Externe Dienstleister benötigen einen Zugang vielleicht nur für ein einzelnes Projekt.
Das BSI betrachtet deshalb nicht nur die Vergabe von Berechtigungen, sondern ausdrücklich auch deren Änderung und Entzug als Teil des Identitäts- und Berechtigungsmanagements. Bei personellen Veränderungen sollen nicht mehr benötigte Benutzerkennungen und Berechtigungen entfernt werden [2, ORP.4.M2, S. 3-4].
Zugriff gezielt vergeben
Wer einen Zugang für seine Arbeit benötigt, sollte ihn bekommen. Wer ihn nicht mehr benötigt, sollte ihn auch wieder verlieren.
Solche Berechtigungen können sich schnell ansammeln. Ein Mitarbeiter hilft bei einem Projekt aus, bekommt Zugriff auf einen Dienst und behält ihn anschliessend, obwohl das Projekt längst beendet ist.
Dafür braucht ein KMU kein kompliziertes Rollenmodell. Schon eine einfache Regel hilft: Berechtigungen werden für einen konkreten Bedarf vergeben und erneut geprüft, sobald sich Aufgaben oder Zuständigkeiten ändern.
Offboarding
Besonders deutlich wird das beim Ausscheiden eines Mitarbeiters. Dann sollte nicht erst die Suche beginnen, auf welche Systeme diese Person eigentlich Zugriff hatte.
Persönliche Benutzerkonten müssen deaktiviert, Freigaben im Passwortmanager entfernt und administrative Rechte entzogen werden. Bei gemeinsam verwendeten Zugangsdaten sollte geprüft werden, ob der ausgeschiedene Mitarbeiter das Passwort kannte oder einsehen konnte. Ist das der Fall, sollte das Credential geändert werden.
Auch hinterlegte MFA-Verfahren und Wiederherstellungswege gehören in diese Prüfung.
Das Offboarding ist damit kein isolierter Vorgang am letzten Arbeitstag. Es ist der letzte Schritt im Lebenszyklus einer Berechtigung. Und der funktioniert nur zuverlässig, wenn vorher bekannt ist, welche Zugänge und Rechte überhaupt existieren [2, ORP.4.M2 „Entzug von Berechtigungen", S. 4].
Geschäftskritische Zugänge dürfen nicht an einzelnen Personen hängen
Manche Zugänge sind für den laufenden Betrieb so wichtig, dass ihr Ausfall schnell zum Problem wird. Das kann die Domainverwaltung sein, das Hosting, ein zentrales Kundenportal oder ein anderer Dienst, ohne den wichtige Abläufe nicht weitergehen.
Gerade solche Zugänge dürfen organisatorisch nicht an einer einzelnen Person hängen.
Vertretung
Urlaub, Krankheit oder kurzfristige Nichterreichbarkeit sind nichts Aussergewöhnliches. Spätestens dann zeigt sich, ob ein Unternehmen wirklich weiss, wie es an einen wichtigen Zugang kommt.
Für geschäftskritische Accounts sollte deshalb vorher feststehen, wer verantwortlich ist und wie eine Vertretung funktioniert. Das bedeutet nicht, dass vorsorglich jeder Mitarbeiter Zugriff auf alles bekommt. Es bedeutet lediglich, dass ein wichtiger Account auch dann kontrolliert erreichbar bleibt, wenn die normalerweise zuständige Person ausfällt.
Recovery/MFA
Das Passwort allein ist nicht immer der komplette Zugang.
Zu einem Account können beispielsweise ein zweiter Authentisierungsfaktor, Recovery-Codes oder hinterlegte Wiederherstellungsadressen gehören. NIST behandelt die Account-Wiederherstellung deshalb ausdrücklich als eigenen Prozess und nennt unter anderem Recovery-Codes und vorab festgelegte Recovery-Kontakte als mögliche Verfahren [1, Abschnitt 4.2 und 4.2.1].
Für ein Unternehmen bedeutet das ganz praktisch: Bei einem geschäftskritischen Account sollte nicht nur geklärt sein, wo das Passwort liegt. Auch der Weg zurück in den Account muss funktionieren, wenn ein Authentisierungsgerät verloren geht oder die ursprünglich zuständige Person nicht verfügbar ist.
Liegt der einzige zweite Faktor auf dem privaten Smartphone eines Mitarbeiters oder zeigt die einzige Recovery-Adresse auf dessen persönliches Postfach, kann das Unternehmen trotz korrekt gespeichertem Passwort vor verschlossener Tür stehen.
Ein geschäftskritischer Zugang ist erst dann wirklich unter Kontrolle, wenn das Unternehmen im Bedarfsfall auch tatsächlich wieder in den Account kommt.
Der Passwortmanager muss der verbindliche Weg sein
Klare Regeln helfen wenig, wenn sie im Alltag regelmässig umgangen werden.
Der Klassiker: Ein Kollege braucht schnell einen Zugang und bekommt das Passwort per E-Mail oder Messenger geschickt. Ein anderer speichert es vorsichtshalber zusätzlich in einer Excel-Datei. Und irgendwo existiert noch ein Zettel, den seit Monaten niemand mehr zuordnen kann.
Damit entstehen wieder Kopien ausserhalb des Passwortmanagers. Passwörter werden geändert, aber nicht überall aktualisiert. Alte Versionen bleiben bestehen und niemand weiss mehr sicher, welche davon noch gültig ist.
Deshalb sollte der Passwortmanager nicht nur vorhanden sein, sondern als verbindlicher Ablage- und Freigabeweg genutzt werden. Gemeinsame Zugangsdaten gehören dorthin und nicht zusätzlich in persönliche Notizen, Tabellen oder Chatverläufe.
Das klingt unspektakulär. Ist es auch. Aber genau an solchen Gewohnheiten entscheidet sich, ob ein Passwortmanager im Unternehmen tatsächlich für Ordnung sorgt oder nur ein weiterer Speicherort neben fünf anderen wird.
Vier Fragen für den Praxischeck
Ob die eigene Passwortstrategie im Alltag funktioniert, lässt sich mit wenigen Fragen prüfen:
Wem gehört dieser Zugang organisatorisch?
Wer benötigt Zugriff und warum?
Was passiert mit dem Zugriff, wenn sich Zuständigkeiten ändern?
Wie kommt das Unternehmen im Notfall wieder in den Account?
Wenn eine dieser Fragen nur mit „Das müsste eigentlich Kollege X wissen" beantwortet werden kann, ist das ein ziemlich guter Hinweis darauf, dass noch organisatorischer Handlungsbedarf besteht.
Ein Passwortmanager ist dafür die technische Grundlage. Er kann Zugangsdaten sicher speichern, Freigaben steuern und die Verwaltung deutlich vereinfachen. Die eigentliche Kontrolle entsteht aber erst durch klare Zuständigkeiten, saubere Berechtigungen und geregelte Abläufe für Änderungen, Ausfälle und Offboarding. Erst dann wird aus einem sicheren Passwortspeicher auch eine funktionierende Passwortstrategie für das Unternehmen.
FAQ
Welcher Passwortmanager ist für Unternehmen am besten geeignet?
Das lässt sich pauschal nicht beantworten – die Wahl des Tools ist zweitrangig gegenüber der Frage, ob im Unternehmen klare Regeln für Zugänge, Berechtigungen und Verantwortlichkeiten bestehen. Ein technisch gutes Tool ohne diese Regeln löst das eigentliche Problem nicht.
Cloud-basiert oder On-Premise – was ist für KMU sinnvoller?
Beide Modelle können funktionieren, solange sie dieselben Grundanforderungen erfüllen: eindeutige Zuordnung von Zugängen, kontrollierte Freigaben für gemeinsame Accounts und ein klarer Prozess für Berechtigungsentzug. On-Premise-Lösungen verschieben die Verantwortung für Betrieb und Backup zusätzlich ins eigene Haus.
Reicht ein kostenloser Passwortmanager für ein kleines Unternehmen?
Technisch oft ja – die kritischeren Fragen sind aber, ob das Tool geteilte Tresore mit granularen Freigaben unterstützt und ob es sich zuverlässig ins Offboarding integrieren lässt. Ohne diese Funktionen bleibt auch ein kostenpflichtiges Tool unvollständig.
Wie verwalten Unternehmen Passwörter richtig, wenn mehrere Mitarbeiter denselben Dienst nutzen?
Wo individuelle Konten möglich sind, sollten sie genutzt werden. Ist ein gemeinsamer Zugang unvermeidbar, gehört er in einen gemeinsam verwalteten Bereich des Passwortmanagers mit benannter verantwortlicher Person – nicht in den privaten Tresor eines Einzelnen.
Was passiert mit gemeinsamen Zugängen, wenn ein Mitarbeiter das Unternehmen verlässt?
Es muss geprüft werden, ob die Person das Passwort kannte oder einsehen konnte. War das der Fall, muss das Credential geändert werden – zusätzlich zur Deaktivierung persönlicher Konten und dem Entzug administrativer Rechte.
Quellen:
[1] National Institute of Standards and Technology (NIST): NIST Special Publication 800-63B, „Digital Identity Guidelines: Authentication and Authenticator Management"https://pages.nist.gov/800-63-4/sp800-63b.html
[2] Bundesamt für Sicherheit in der Informationstechnik (BSI): „Umsetzungshinweise zum Baustein ORP.4 Identitäts- und Berechtigungsmanagement"https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Umsetzungshinweise/Umsetzungshinweise_2022/Umsetzungshinweis_zum_Baustein_ORP_4_Identitaets_und_Berechtigungsmanagement.pdf?__blob=publicationFile&v=2
Über den Autor
Marko verfügt über langjährige Erfahrung im IT- und Support-Umfeld und beschäftigt sich seit 2024 intensiver mit Cyber Security. Mit Landfrosch IT-Service richtet er sich vor allem an Selbstständige sowie kleine und mittlere Unternehmen. Darüber hinaus schreibt er praxisnahe und leicht verständliche Ratgeber zu IT-Sicherheit, Passwörtern, Backup und weiteren IT-Themen.
Kommentare