Passwörter im Unternehmen sicher verwalten.
Ein Passwortmanager ist im Betrieb kein Komfortwerkzeug, sondern Grundausstattung. Dieser Beitrag ordnet die drei gängigen Ansätze ein, benennt Stärken und Grenzen und zeigt, worauf es bei der Einführung ankommt.
Zuletzt aktualisiert am · Herausgeber: Basix IT GmbH
Warum die Auswahl so oft hängen bleibt
Es gibt viele Anbieter und sehr unterschiedliche Konzepte. Wer im Unternehmen entscheidet, braucht keine Produktliste, sondern eine Einordnung. Entscheidend sind drei Fragen: Wo liegt die Passwortdatenbank, wer greift darauf zu und wer verantwortet Sicherung und Wiederherstellung?
Was ein Passwortmanager im Betrieb löst
- Eigene Passwörter je ZugangJeder Dienst bekommt ein langes, eindeutiges Passwort. Niemand muss es sich merken, niemand schreibt es auf einen Zettel.
- Gemeinsame Zugänge an einer StelleZugangsdaten für Portale, Lieferanten und Fachanwendungen liegen zentral statt in Notizen, Tabellen und E-Mails.
- Geordneter WechselWenn ein Mitarbeiter das Unternehmen verlässt, ist nachvollziehbar, welche Zugänge geändert werden müssen.
Was er nicht ersetzt
- Ein tragfähiges SicherungskonzeptDie Passwortdatenbank braucht eine geprüfte Sicherung und einen Wiederherstellungsweg, den jemand schon einmal ausprobiert hat.
- Klare BerechtigungenNicht jeder Mitarbeiter braucht jeden Zugang. Die Aufteilung gehört vor die Einführung, nicht danach.
- Den zweiten FaktorEin Passwortmanager schützt die Passwörter. Kritische Zugänge brauchen zusätzlich eine zweite Absicherung.
Drei Ansätze im Vergleich
Lokal, cloudbasiert oder selbst im eigenen Netz betrieben. Jeder Ansatz hat eine klare Stärke und eine ebenso klare Schwäche. Die Wahl hängt davon ab, wie viele Personen und Geräte auf die Zugänge kommen müssen.
| Kriterium | Lokal gespeichert | Cloudbasiert | Selbst gehostet im Netz |
|---|---|---|---|
| Wo die Daten liegen | Ausschließlich auf dem jeweiligen Gerät. | Beim Anbieter, häufig außerhalb Deutschlands. | Auf einem Server oder Speichersystem im eigenen Netz. |
| Zusammenarbeit | Nur mit zusätzlichem Aufwand. Kein automatischer Abgleich zwischen Geräten. | Abgleich über mehrere Geräte und Personen ist eingebaut. | Mehrere Personen und Geräte greifen zu. Gleichzeitiges Bearbeiten kann zu Konflikten führen. |
| Stärken | Volle Kontrolle über die Daten, offene Programme verfügbar, keine laufenden Lizenzkosten. | Bequem, gute Benutzerführung, automatische Sicherung, auch für ungeübte Anwender geeignet. | Kontrolle bleibt im Unternehmen, zentral nutzbar, ohne externen Anbieter, geringe laufende Kosten. |
| Grenzen | Sicherung und Wiederherstellung liegen vollständig beim Anwender. Geräteverlust wiegt schwer. | Vertrauen in den Anbieter ist nötig. Datenstandort und Vertragslage sollten geprüft werden. Anbieter sind ein lohnendes Angriffsziel. | Netzzugriff, Verschlüsselung und Sicherung müssen intern sauber umgesetzt werden. |
| Passt, wenn | eine Person allein mit einem Gerät arbeitet. | viele Standorte und mobile Zugriffe im Vordergrund stehen und der Anbieter bewusst gewählt wird. | ein Team gemeinsam arbeitet und die Daten im Unternehmen bleiben sollen. |
Was Basix in den meisten Fällen empfiehlt
Wo die Daten im Unternehmen bleiben sollen, ist eine Passwortdatenbank mit KeePassXC im eigenen Netz eine tragfähige Lösung, ergänzt um einen Hardware-Schlüssel im Challenge-Response-Verfahren. Es entstehen keine laufenden Lizenzkosten, und der Zugriff ist zusätzlich an ein Gerät gebunden, das man in der Hand hält.
Wichtig zur Einordnung: Challenge-Response sichert die Datenbankdatei zusätzlich ab. Es ist technisch keine Zwei-Faktor-Anmeldung im Sinne der Absicherung von Onlinekonten, auch wenn derselbe Hardware-Schlüssel für beides genutzt werden kann. Beides gehört nebeneinander, nicht übereinander.
KeePassXC ist zunächst auf einzelne Anwender ausgelegt. Für die gemeinsame Nutzung im Team klären wir vorher, wer welche Einträge sehen darf, wie gleichzeitige Bearbeitung und Konflikte gehandhabt werden, wie mobile Zugriffe aussehen, wie gesichert wird und was beim Ausscheiden eines Mitarbeiters passiert. Fällt eine dieser Antworten schwer, ist ein bewusst ausgewählter Dienst mit echter Mehrbenutzerverwaltung die praktikablere Wahl.
Was zu dieser Lösung dazugehört
- Datenbank im eigenen NetzEin fester Ablageort mit geregeltem Zugriff statt Kopien auf einzelnen Rechnern.
- Schlüsseldatei getrennt haltenDie zusätzliche Schlüsseldatei liegt nicht im selben Ordner wie die Datenbank.
- Ersatzschlüssel hinterlegenEin zweiter Hardware-Schlüssel wird sicher verwahrt, damit ein Verlust nicht den Zugriff kostet.
- Sicherung erprobenDie Wiederherstellung wird einmal durchgespielt, bevor sie im Ernstfall gebraucht wird.
Der zweite Faktor
Ein Passwort allein reicht bei wichtigen Zugängen nicht mehr aus. Ein zweiter Faktor sorgt dafür, dass ein abgefangenes Passwort für sich genommen wertlos bleibt. Gemeint ist hier die Anmeldung an Onlinekonten, nicht die zusätzliche Absicherung der Passwortdatenbank.
- Hardware-Schlüssel per USB oder NFC. Der Zugang ist an ein Gerät gebunden, das jemand physisch besitzen muss. Ein Ersatzschlüssel gehört von Anfang an dazu.
- Einmalcodes aus einer App. Breit verfügbar und für viele Dienste ausreichend. Bei besonders kritischen Zugängen sollten Code und Passwort nicht an derselben Stelle liegen.
- Codes per Kurznachricht. Besser als kein zweiter Faktor, aber die schwächste der drei Varianten. Nur einsetzen, wenn ein Dienst nichts anderes anbietet.
Erst die kritischen Zugänge absichern
Beginnen Sie dort, wo ein Verlust am meisten wehtut: beim zentralen E-Mail-Postfach, bei Administratorzugängen, beim Fernzugriff auf das Netz und beim Onlinebanking. Der Rest folgt in Ruhe. Wie sich Zugänge, Netz und Endgeräte insgesamt absichern lassen, steht auf der Seite IT-Sicherheit.
So gelingt die Einführung im Team
Ein Passwortmanager wirkt erst, wenn ihn alle nutzen. Deshalb entscheidet die Einführung über den Erfolg, nicht die Produktwahl.
Bestand aufnehmen
Welche Zugänge gibt es, wer nutzt sie, welche sind geschäftskritisch und welche werden längst nicht mehr gebraucht?
Ansatz festlegen
Speicherort, Berechtigungen, Sicherung und zweiter Faktor werden gemeinsam entschieden. Diese Punkte hängen voneinander ab.
In Etappen ausrollen
Mit einem überschaubaren Bereich beginnen, schwache Passwörter dabei gleich erneuern und die Mitarbeiter kurz einweisen.
Wie sind Ihre Zugänge heute organisiert?
Wir sehen uns an, welche Zugangsdaten in Ihrem Unternehmen im Umlauf sind, wo sie gespeichert werden und welcher Ansatz zu Ihrer Größe und Ihrer Arbeitsweise passt. Danach wissen Sie, womit Sie anfangen sollten.