Passwortmanager und Zwei-Faktor-Authentifizierung im kleinen Betrieb einführen

Ein Zettel unter der Tastatur, eine Excel-Liste auf dem Firmenrechner, dasselbe Passwort für E-Mail, Bankzugang und Lieferantenportal: So sieht es in vielen kleinen Betrieben aus. Das ist verständlich, denn niemand kann sich vierzig verschiedene, sichere Passwörter merken. Genau dafür gibt es Passwortmanager. Zusammen mit einem zweiten Faktor beim Login schließen sie die häufigste Lücke, über die Angreifer in Firmenkonten gelangen. In diesem Artikel zeigen wir, wie Sie beides im Betrieb einführen, ohne den Alltag lahmzulegen.

Warum Passwörter allein nicht mehr reichen

Das Problem ist selten ein „zu einfaches“ Passwort, sondern ein wiederverwendetes. Wird ein beliebiger Onlinedienst gehackt, landen die Zugangsdaten in Listen, die Angreifer automatisiert bei anderen Diensten ausprobieren. Wer sein Passwort vom Newsletter-Konto auch für das Firmen-Postfach nutzt, hat damit beide Konten verloren.

Hinzu kommt Phishing: Eine täuschend echte Mail vom „Microsoft-Support“ oder vom „Paketdienst“ führt auf eine gefälschte Login-Seite. Dort hilft auch das beste Passwort nichts, wenn es eingetippt wird.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt deshalb drei Dinge:

• Für jeden Zugang ein eigenes Passwort, verwaltet in einem Passwortmanager, der nur noch ein starkes Master-Passwort braucht
• Zwei-Faktor-Authentisierung (2FA) überall dort, wo ein Dienst sie anbietet
• Passkeys, wo sie verfügbar sind, als sichere Alternative zum Passwort

Einen regelmäßigen Passwortwechsel ohne Anlass sieht das BSI seit 2020 in seinem IT-Grundschutz-Kompendium nicht mehr vor. Geändert wird, wenn es einen Grund gibt: etwa einen Verdacht auf Missbrauch, einen Phishing-Vorfall oder ein Datenleck beim Anbieter. Mehr Hintergrund zur Absicherung kleiner Firmen finden Sie in unserem Beitrag IT-Sicherheit für Kleinunternehmen.

Was ein gutes Passwort laut BSI ausmacht

Wenn Sie Passwörter vom Manager erzeugen lassen, müssen Sie darüber kaum nachdenken. Für das Master-Passwort und die wenigen Zugänge, die Sie im Kopf haben müssen, nennt das BSI grobe Richtwerte:

Für ein Master-Passwort hat sich die Merksatz- oder Wortmethode bewährt: fünf bis sechs zufällig gewählte Wörter, durch Leerzeichen getrennt. Das ist lang, gut zu tippen und trotzdem schwer zu erraten.

Den passenden Passwortmanager auswählen

Es gibt zahlreiche Produkte, von kostenlosen Open-Source-Lösungen bis zu Business-Tarifen mit Verwaltungsoberfläche. Statt einer Produktempfehlung hier die Kriterien, die für kleine Betriebe zählen:

Checkliste für die Auswahl

• Ende-zu-Ende-Verschlüsselung: Der Anbieter selbst darf Ihre Passwörter nicht lesen können.
• Gemeinsame Tresore: Lassen sich Zugänge für bestimmte Personen oder Gruppen freigeben, etwa „Buchhaltung“ oder „Werkstatt“?
• Rechte entziehen: Wenn jemand den Betrieb verlässt, muss sich der Zugriff mit wenigen Klicks sperren lassen.
• Alle Geräte: Windows, Mac, Smartphone und die gängigen Browser sollten unterstützt werden.
• Passkeys und 2FA-Codes: Moderne Manager können Passkeys speichern und teilweise auch Einmalcodes erzeugen.
• Notfallzugang: Was passiert, wenn der Inhaber krank ist oder das Master-Passwort vergessen wurde?
• Serverstandort und Datenschutz: Für viele Betriebe ist ein Anbieter mit Sitz oder Rechenzentrum in der EU einfacher zu begründen. Klären Sie im Zweifel mit Ihrem Datenschutzbeauftragten, ob ein Auftragsverarbeitungsvertrag nötig ist.
• Export: Sie sollten Ihre Daten jederzeit mitnehmen können, falls Sie den Anbieter wechseln.

Ob Cloud-Variante oder selbst betriebene Lösung, hängt vor allem davon ab, wer sich um Updates und Sicherung kümmert. Für die meisten kleinen Betriebe ist ein seriöser Cloud-Dienst die realistischere Wahl. Hintergründe dazu stehen in unserem Artikel Cloud für kleine Unternehmen.

Zwei-Faktor-Verfahren im Vergleich

Nicht jeder zweite Faktor schützt gleich gut. Das BSI hat die gängigen Verfahren in einer technischen Betrachtung bewertet. Die wichtigsten Unterschiede, vereinfacht:

• SMS-Code: besser als nichts, aber anfällig. Codes lassen sich abfangen, und gegen Phishing in Echtzeit hilft das Verfahren nicht.
• Authenticator-App (TOTP): Die App erzeugt meist alle 30 Sekunden einen neuen Code. Deutlich besser als SMS, aber ebenfalls nicht gegen Echtzeit-Phishing gefeit, wenn jemand den Code auf einer gefälschten Seite eingibt.
• Hardware-Schlüssel und Passkeys: Die Anmeldung ist an die echte Adresse des Dienstes gebunden. Eine gefälschte Login-Seite bekommt schlicht keine gültige Antwort. Diese Verfahren gelten als resistent gegen übliche Phishing-Angriffe.

Was sind Passkeys?

Ein Passkey ersetzt das Passwort durch ein kryptografisches Schlüsselpaar. Der geheime Teil bleibt auf Ihrem Gerät oder im Passwortmanager, entsperrt wird er per Fingerabdruck, Gesichtserkennung oder PIN. Es gibt nichts, was man abtippen oder auf einer falschen Seite preisgeben könnte. Google, Microsoft, Apple und viele weitere Dienste bieten Passkeys inzwischen an. Prüfen Sie bei jedem wichtigen Konto, ob die Option in den Sicherheitseinstellungen auftaucht.

Gemeinsame Zugänge im Team

In kleinen Betrieben teilen sich oft mehrere Personen ein Konto: das Info-Postfach, den Instagram-Account, das Großhändler-Portal. Das ist praktisch, aber riskant, wenn das Passwort per WhatsApp herumgeht.

So machen Sie es besser:

1. Persönliche Konten bevorzugen. Wo der Dienst mehrere Benutzer erlaubt, bekommt jede Person einen eigenen Zugang. Dann ist nachvollziehbar, wer was getan hat, und beim Ausscheiden wird nur ein Konto gesperrt.
2. Geteilte Zugänge im Manager ablegen. Was sich nicht trennen lässt, kommt in einen gemeinsamen Tresor. Niemand muss das Passwort sehen oder abschreiben.
3. 2FA für geteilte Konten klären. Hängt der zweite Faktor am privaten Handy einer Mitarbeiterin, ist das ein Problem, sobald sie Urlaub hat oder geht. Manche Passwortmanager können TOTP-Codes gemeinsam bereitstellen; alternativ hilft ein Firmen-Smartphone oder ein zweiter registrierter Hardware-Schlüssel.
4. Beim Ausscheiden handeln. Rechte im Manager entziehen und die Passwörter aller geteilten Konten ändern, die die Person kannte.

Einführung Schritt für Schritt

Eine Umstellung an einem Nachmittag klappt selten. Bewährt hat sich ein Vorgehen in Etappen:

1. Bestandsaufnahme: Schreiben Sie auf, welche Zugänge es im Betrieb gibt. E-Mail, Banking, Steuer- und Buchhaltungssoftware, Website, Domain, Social Media, Lieferantenportale, Router.
2. Kritische Konten zuerst: E-Mail ist der Generalschlüssel, denn darüber lassen sich fast alle anderen Passwörter zurücksetzen. Danach folgen Banking, Domain und Website-Verwaltung.
3. Manager auswählen und testen: Erst der Inhaber oder die IT-verantwortliche Person, dann das Team.
4. Master-Passwort und Notfallzugang festlegen: Hinterlegen Sie einen Wiederherstellungsschlüssel ausgedruckt an einem sicheren Ort, etwa im Tresor.
5. 2FA aktivieren: Konto für Konto, mit Passkey oder Authenticator-App statt SMS, wo möglich. Wiederherstellungscodes gehören ebenfalls an einen sicheren Ort.
6. Kurze Einweisung: Zwanzig Minuten reichen, um zu zeigen, wie die Browser-Erweiterung funktioniert und wie ein neues Passwort gespeichert wird.
7. Alte Listen löschen: Excel-Dateien, Notizbuch-Seiten und Zettel verschwinden, sobald alles im Manager steht.

Denken Sie auch an die Sicherung: Der Passwortmanager selbst sollte Teil Ihrer Backup-Strategie sein, entweder über den Export oder über die Wiederherstellungsfunktion des Anbieters.

Typische Stolpersteine

• Das Handy als einziger Faktor: Geht es verloren, sind Sie ausgesperrt. Registrieren Sie wenn möglich einen zweiten Faktor oder bewahren Sie die Wiederherstellungscodes auf.
• Browser-Passwortspeicher parallel: Wenn Passwörter teils im Browser, teils im Manager liegen, behält niemand den Überblick. Entscheiden Sie sich für einen Ort.
• Ausnahmen für den Chef: Gerade das Konto des Inhabers hat die meisten Rechte. Es braucht den besten Schutz, nicht den bequemsten.

Was Mousewerk für Sie übernehmen kann

Wir helfen Betrieben in Kassel und Nordhessen dabei, einen Passwortmanager auszuwählen, ihn einzurichten und Zwei-Faktor-Schutz für die wichtigsten Konten zu aktivieren, inklusive kurzer Einweisung für das Team. Mehr dazu finden Sie bei unserer IT-Betreuung in Kassel.

Sprechen Sie uns an. Das erste Gespräch ist kostenlos.