Im Teamchat steht seit einem Jahr die Zeile „Login Newsletter-Tool“, dahinter das Kennwort und drei Daumen. Die Praktikantin, die damals mitgelesen hat, ist längst weg, der Verlauf bleibt. Laut Verizon beginnt gut jeder fünfte untersuchte Einbruch mit gestohlenen Zugangsdaten.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 11 Abschnitte
- Wo liegen die Zugangsdaten eines Teams heute wirklich?
- Warum sind gestohlene Zugangsdaten so oft der erste Schritt?
- Was verlangen NIST und BSI heute von Kennwörtern?
- Was kann ein Tresor im Team besser als die Tabelle?
- Eigener Server oder Cloud: Was passt zu welchem Team?
- Wie führt ein Team den Tresor ein, ohne dass er verwaist?
- Was ändert sich beim Austritt eines Kollegen?
- Wo hört der Schutz eines Tresors auf?
- Was heißt das für Ihr Team in den nächsten vier Wochen?
- Glossar: 12 wichtige Fachbegriffe zur Passwortverwaltung im Team
- FAQ: Wohin mit den Passwörtern des ganzen Teams?
Geteilte Zugänge sind in kleinen Firmen der Normalfall: das Konto für den Newsletter, das Admin-Login der Website, der Zugriff auf die Werbeplattform. Dieser Beitrag zeigt, wo solche Daten heute liegen, was Behörden verlangen und wie ein Team sie so verwaltet, dass beim nächsten Austritt niemand nachts ein Dutzend Konten umstellen muss.
Das Wichtigste in Kürze
- Missbrauchte Zugangsdaten waren 2025 laut Verizon mit 22 % der häufigste erste Zugang bei Einbrüchen, knapp vor ausgenutzten Schwachstellen mit 20 %.
- Tabelle, Chat und Browser-Speicher teilen Zugänge ohne Rechte, Verlauf und Entzug. Ein Tresor mit Freigaben für Gruppen löst genau diese drei Lücken.
- Aktuelle Vorgaben setzen auf Länge statt Zeichenmix und auf Wechsel bei konkretem Anlass statt nach Kalender.
- Der Tresor ersetzt keine zweite Anmeldestufe und kein Misstrauen gegenüber Phishing. Er macht den Schaden eines einzelnen Fehlers kleiner.
1Welchen Anteil hatte der Missbrauch gestohlener Zugangsdaten laut Verizon 2025 als erster Zugang bei Einbrüchen?Aufklappen ↓
Auflösung aufdecken ↓
2Wie lang muss ein Kennwort nach dem US-Standard NIST SP 800-63B-4 mindestens sein, wenn es als einziger Faktor dient?Aufklappen ↓
Auflösung aufdecken ↓
3Was sieht der Standard bei Passwortwechseln nach festem Kalender vor?Aufklappen ↓
Auflösung aufdecken ↓
4Welche Länge nennt das BSI für ein langes, weniger komplexes Kennwort?Aufklappen ↓
Auflösung aufdecken ↓
5Was passiert bei verschlüsseltem Teilen im Tresor, wenn jemand das Team verlässt?Aufklappen ↓
Auflösung aufdecken ↓
Wo liegen die Zugangsdaten eines Teams heute wirklich?
Meist verstreut: in Tabellen, Chatverläufen, Notizen und im Gedächtnis einzelner Kollegen. Jeder dieser Orte kennt weder Rechte noch Protokoll, und keiner meldet sich, wenn jemand geht.
Die gemeinsame Tabelle entsteht, weil jemand am Montag schnell einen Zugang weitergeben muss, und sie bleibt, weil sie funktioniert.
Jeder mit Zugriff auf die Datei sieht alles. Dass sie kopiert wurde, merkt niemand.
Ein Chatverlauf ist schlimmer, denn er ist durchsuchbar, wird gesichert und wandert in Exporte.
Der Browser-Speicher wirkt komfortabel. Er speichert Eingaben pro Gerät und Profil, doch ein geteilter Zugang muss von mehreren Menschen genutzt werden können. Am Ende hilft sich das Team mit Screenshots und dem Satz „Frag mal Jonas“.
Hinzu kommt die menschliche Abkürzung. Teams mit fünf Dutzend Konten erfinden ein Muster und hängen die Jahreszahl an. Das BSI hält dagegen, ein Kennwort solle nur für einen einzigen Zugang genutzt werden.
Ein Muster spart zehn Sekunden pro Anmeldung und kostet beim ersten Vorfall ein Vielfaches.
Welche Zugänge teilt ein Team überhaupt?
Es lohnt sich, die Liste einmal aufzuschreiben, bevor irgendein Werkzeug gekauft wird. In der Praxis tauchen drei Gruppen auf. Die erste sind persönliche Konten, die eigentlich niemand teilen sollte, etwa das Postfach einer Person. Die zweite sind geteilte Dienstkonten: Social-Media-Profil, Newsletter-System, Domain-Verwaltung, Hosting-Oberfläche. Die dritte sind technische Geheimnisse wie Schlüssel für Schnittstellen oder Zugänge zu Servern.
Für die dritte Gruppe gelten schärfere Regeln, denn dort steckt oft direkter Zugriff auf Kundendaten. Wie Entwickler solche Schlüssel getrennt ablegen, beschreibt Dr. Web am Beispiel von SSH-Schlüsseln, API-Keys und .env-Dateien. Für das restliche Team reicht zunächst die Inventur der ersten beiden Gruppen.
Eine Faustregel hilft bei der Sortierung: Jeder Zugang bekommt einen Besitzer, einen Zweck und eine Liste der Personen, die ihn tatsächlich brauchen. Wenn eines davon fehlt, ist der Eintrag ein Kandidat für die Streichung. Viele Teams entdecken dabei Zugänge zu Diensten, die seit Jahren niemand mehr nutzt und die trotzdem Kundendaten halten.
Warum sind gestohlene Zugangsdaten so oft der erste Schritt?
Weil sie weniger Aufwand verlangen als jede Lücke: Ein gültiges Login braucht keinen Exploit und fällt nicht auf. Laut Verizon eröffneten 2025 missbrauchte Zugangsdaten mit 22 % die meisten untersuchten Einbrüche.
Der Bericht wertete über 22.000 Sicherheitsvorfälle aus, darunter 12.195 bestätigte Datenverletzungen. Auf Platz zwei steht die Ausnutzung von Schwachstellen mit 20 %, Phishing folgt mit 16 %. Die Zahlen gelten für die Stichprobe der Studie, nicht für jedes Unternehmen. Sie zeigen aber, wo Angreifer den kürzesten Weg sehen.
Anteil am ersten Zugang bei den im Verizon-Bericht 2025 ausgewerteten Vorfällen, in Prozent
Die Größenordnung liefert der Bitkom-Studienbericht zum Wirtschaftsschutz 2025. Danach waren 87 % der befragten Unternehmen innerhalb von zwölf Monaten von Diebstahl, Spionage oder Sabotage betroffen. Der Schaden für die deutsche Wirtschaft beträgt laut Bitkom 289,2 Milliarden Euro, davon entfallen rund 202,4 Milliarden Euro auf Cyberangriffe. Ein Zugang muss dafür nicht einmal beim eigenen Team abfließen. Verizon stellt fest, dass der Anteil der Vorfälle mit Beteiligung Dritter auf 30 % gestiegen ist und sich damit verdoppelt hat. Wie das aussieht, zeigt das Datenleck bei Lidl, bei dem Unbefugte bei einem externen IT-Dienstleister eine Datei mit Kundendaten kopierten.
Für kleine Teams ist das unbequem, denn der eigene Schutz endet nicht an der Bürotür.
Jeder Dienstleister, dem Sie ein Login geben, wird Teil Ihres Risikos. Eine Liste darüber, wer wann welchen Zugang bekam, fehlt meist, denn keine Tabelle schreibt sich von selbst fort.
Was Angreifer mit einem einzelnen Login anfangen
Ein erbeutetes Login wird selten sofort ausgenutzt. Häufiger probieren Angreifer es bei anderen Diensten aus, denn Menschen verwenden Kombinationen mehrfach. Dieses als Credential Stuffing bekannte Vorgehen läuft automatisiert und kostet fast nichts. Hat ein Team ein Muster für alle Konten, genügt ein einziger Treffer.
Für Teams kommt ein zweites Problem dazu: Das Muster kennen alle, die den Zugang teilen, und manche davon haben das Unternehmen längst verlassen.
- Missbrauchte Zugangsdaten: häufigster erster Zugang, weil sie unauffällig sind und keinen Exploit brauchen.
- Dienstleister: jeder zusätzliche Zugang für Dritte erweitert die Angriffsfläche.
- Muster im Team: ein erratener Zugang öffnet gleich mehrere Dienste.
Was verlangen NIST und BSI heute von Kennwörtern?
Länge statt Zeichenmix und Wechsel nur bei Anlass. Das US-Normeninstitut NIST fordert 15 Zeichen für Kennwörter als einzigen Faktor, das BSI nennt 25 Zeichen für lange, wenig komplexe Varianten.
Der Standard NIST SP 800-63B-4 hält fest, dass ein Kennwort als alleiniger Faktor mindestens 15 Zeichen lang sein muss. Ist es nur Teil einer Mehrfaktor-Anmeldung, dürfen es acht Zeichen sein. Jedes Unicode-Zeichen zählt dabei einzeln. Der Standard verbietet außerdem ausdrücklich, Zusammensetzungsregeln wie eine Pflicht zu Sonderzeichen vorzuschreiben.
Auch den Zwangswechsel nach Kalender sieht der Standard nicht mehr vor: Anbieter sollen Nutzer nicht zu regelmäßigen Änderungen auffordern. Erzwungen wird der Wechsel, sobald es Hinweise auf eine Kompromittierung gibt. Stattdessen sieht der Standard einen Abgleich mit Listen bekannter, häufig genutzter oder bereits erbeuteter Kennwörter vor.
Das BSI argumentiert für Privatnutzer und Betriebe ähnlich, nennt aber andere Zahlen. Ein langes und weniger komplexes Kennwort sollte mindestens 25 Zeichen lang sein. Kurz und komplex heißt mindestens acht Zeichen aus vier Zeichenarten. Als besonders empfehlenswert gilt die Kombination aus acht Zeichen mit drei Zeichenarten plus Zwei-Faktor-Anmeldung, und die Behörde rät zu einem Passwortmanager, damit man sich nur noch ein starkes Kennwort merken muss.
Beide Quellen verfolgen dieselbe Idee: Eine gute Verteidigung besteht aus einem langen, einmaligen Kennwort pro Dienst und einer zweiten Stufe. Menschen merken sich so viele Zeichen nicht. Bei 40 geteilten Zugängen braucht das Team deshalb ein Werkzeug, das lange Zeichenfolgen erzeugt und ablegt.
Warum Regeln im Alltag oft scheitern
Die alte Regel „Groß, klein, Zahl, Sonderzeichen, alle 90 Tage neu“ erzeugt Muster wie „Sommer2026!“, die sich vorhersagen lassen. Bei erzwungenem Wechsel entsteht „Herbst2026!“. NIST hat die Konsequenz gezogen und die Pflicht abgeschafft. Für ein Team bedeutet das: weniger Kalenderrituale, dafür ein klarer Prozess für den Anlass, etwa einen Austritt oder einen Vorfall.
Ein Wechsel nach Anlass setzt voraus, dass jemand weiß, wo die Zugänge liegen. Genau hier hilft eine Verwaltung. Ohne Überblick lässt sich kein einziges Konto gezielt ersetzen, und nach einem Vorfall weiß niemand, welche Konten betroffen sind.
Der Abgleich mit Listen bekannter Kennwörter, den NIST vorsieht, ist für ein Team ebenfalls ein Gewinn. Manche Tresore prüfen beim Anlegen eines Eintrags, ob das gewählte Kennwort schon einmal erbeutet wurde, und warnen vor der Verwendung. Menschen erledigen das nicht von Hand, weil sie die Listen nie sehen. Ein Werkzeug erledigt es in Millisekunden und ohne Diskussion.
Was kann ein Tresor im Team besser als die Tabelle?
Er regelt, wer einen Zugang sehen darf, protokolliert Änderungen und entzieht Rechte, ohne dass jemand das Kennwort neu verteilen muss. Außerdem verschlüsselt er Einträge, bevor sie das Gerät verlassen.
Ein guter Tresor hat drei Fähigkeiten, die kein Tabellenblatt hat. Er vergibt Rechte an Gruppen und Rollen: Das Marketing sieht das Newsletter-Login, der Einkauf nicht. Er führt einen Verlauf, der festhält, wer einen Eintrag geändert hat. Und er gibt einen Zugang frei, ohne das Kennwort preiszugeben, etwa über Autofill im Browser.
Der Generator erzeugt ein langes, zufälliges Passwort per Klick, und niemand muss sich Muster ausdenken. Nur so erreicht ein Team im Alltag die 15 Zeichen aus dem NIST-Standard im Alltag zu erreichen, denn kein Mensch tippt freiwillig 15 zufällige Zeichen jedes Mal neu.
Gute Lösungen verschlüsseln schon auf dem Gerät. Beim Anbieter Psono, der von der esaqa GmbH aus Vorra in Bayern stammt, beginnt die Verschlüsselung laut Herstellerseite auf der Clientseite, bevor Transport- und Speicherverschlüsselung folgen. Der Server hält nur die verschlüsselten Daten, entschlüsselt wird im Client. Die Plattform gibt es für Windows, macOS, Linux, iOS und Android sowie als Erweiterung für Chrome, Firefox, Edge und Safari.
Ein Tresor lohnt sich, sobald mehr als zwei Menschen dieselben Zugänge brauchen.
Für Einzelkämpfer reicht oft das, was Betriebssystem oder Browser mitbringen. Ein Team mit Praktikanten, Freelancern und externer Agentur braucht Rollen. Bei der Suche nach einem Passwort Manager für Unternehmen zählen neben dem Preis Rollen, Protokoll und die Frage, ob der Tresor auf eigenen Servern laufen soll.
Vier Stationen, an denen ein Team-Login entweder sauber bleibt oder aus dem Ruder läuft
Wer hat den Zugang eingerichtet, wofür dient er, wer darf ihn nutzen?
Der Zugang geht an Rollen, nicht per Chat-Nachricht an Einzelne
Nach einem Vorfall oder Personalwechsel, nicht nach Kalender
Die Freigabe fällt weg, geteilte Zugänge werden sofort ersetzt
Worauf es bei der Auswahl ankommt
Fünf Fragen trennen die Angebote besser als jede Preisliste. Wer verschlüsselt wann? Lässt sich der Server selbst betreiben oder nur mieten? Wie funktioniert der Notfallzugang, wenn die Chefin ihr Hauptkennwort vergisst? Gibt es ein Protokoll? Und was kostet der Wechsel, wenn der Anbieter wegfällt?
Viele vergessen die letzte Frage: Ein Tresor ist ein Datenlager, aus dem sich Einträge exportieren lassen müssen. Eine Lösung, die nur in eine Richtung funktioniert, macht das Team abhängig. Prüfen Sie den Export, bevor der erste Zugang wandert, nicht danach.
- Rollen und Gruppen: wer sieht welchen Zugang, ohne das Kennwort zu tippen.
- Verschlüsselung am Gerät: der Server speichert nur verschlüsselte Inhalte.
- Export und Notfallzugang: ohne beides entsteht eine neue Abhängigkeit.
NIST verlangt 15 Zeichen fürs Kennwort, doch im Teamchat steht es im Klartext.
Michael Dobler, Herausgeber Dr. Web
Eigener Server oder Cloud: Was passt zu welchem Team?
Die Cloud spart Betrieb, der eigene Server spart Abhängigkeit. Welche Seite überwiegt, hängt an Personal, Datenschutzvorgaben und Risikobereitschaft, nicht an der Technik.
Psono bietet beides an: als Open-Source-Software, die auf eigenen Servern läuft, und als gehostete Variante. Laut Herstellerseite lässt sich der Quelltext öffentlich prüfen, und alle Komponenten dürfen im eigenen Rechenzentrum laufen. Für Behörden, Kanzleien und Betriebe mit strengen Vorgaben zählt das.
Der eigene Server kostet Aufwand. Jemand muss Updates einspielen, Sicherungen prüfen und den Dienst erreichbar halten. Wenn der Betrieb ausfällt, steht das Team ohne Zugänge da. Bei einer Cloud-Lösung übernimmt der Anbieter diese Pflicht, dafür geben Sie die Hoheit über den Standort ab. Beides ist legitim, solange die Entscheidung bewusst fällt.
Die DSGVO verlangt in Artikel 32 angemessene technische Maßnahmen. Ein Tresor mit Rollen und Protokoll gehört dazu, ein Chatverlauf nicht. Das ersetzt keine Rechtsberatung. Bei der Dokumentation der Maßnahmen hilft ein nachvollziehbarer Ablauf.
Open Source heißt nicht automatisch sicher
Offener Quelltext erlaubt eine Prüfung, erledigt sie aber nicht. Entscheidend ist, ob tatsächlich jemand hinschaut: unabhängige Audits, ein erkennbarer Umgang mit gemeldeten Lücken und eine aktive Weiterentwicklung. Verlangen Sie vom Anbieter Belege, egal ob er offen arbeitet oder nicht. Ein Hinweis auf „Made in Germany“ ersetzt den Prüfbericht nicht.
Der Vorteil von Open Source liegt woanders: Sie sind nicht auf den Anbieter angewiesen, wenn der Dienst endet. Der Quelltext bleibt, das Team kann den Betrieb übernehmen. Weil der Zugang zu allen anderen Diensten an dieser Lösung hängt, zählt das Argument.
Wie führt ein Team den Tresor ein, ohne dass er verwaist?
In kleinen Schritten und mit Pflicht für alle: erst die zehn wichtigsten Zugänge, dann der Rest. Entscheidend ist, dass die Leitung selbst damit arbeitet und der alte Ort nach dem Umzug gesperrt wird.
Die meisten Einführungen scheitern an den Gewohnheiten des Teams. Zwei Wochen nach dem Start liegen die wichtigen Zugänge wieder im Chat, weil es schneller geht. Dagegen hilft ein Ablauf mit klaren Etappen:
- Inventur: alle geteilten Zugänge auflisten, Besitzer und Zweck ergänzen.
- Aufräumen: nicht mehr genutzte Konten kündigen, doppelte zusammenführen.
- Umzug: die zehn kritischsten Zugänge in den Tresor, jeweils mit neuem, langem Kennwort.
- Sperren: alte Tabellen und Notizen löschen, damit es keinen zweiten Ort gibt.
- Schulung: eine halbe Stunde für alle, danach Erinnerung beim Onboarding.
Der vierte Schritt ist der unbequemste. Solange die alte Tabelle existiert, wird sie weiter gepflegt. Bleibt die alte Tabelle bestehen, gibt es zwei Wahrheiten, und der Nutzen schwindet.
Wenn die Geschäftsführung den Tresor sichtbar nutzt, folgt das Team. Wenn sie nur Regeln verlangt, ohne selbst mitzumachen, bleibt es ein Papiertiger. Ein Beispiel: Bittet die Chefin per Chat um das Login zur Werbeplattform, bekommt sie es zwar in Sekunden, doch das Team lernt daraus, dass der Tresor nur für die anderen gilt. Sagt sie stattdessen „Das steht im Tresor, ich gebe dir Zugriff“, macht sie den Tresor zur Regel. Auch die Anmeldung hilft: Wenn Mitarbeiter den Tresor als Weg zu den Diensten erleben und nicht als zusätzliche Hürde, sinkt der Widerstand deutlich.
Das Hauptkennwort trägt alles andere
Alle Einträge ruhen auf einem einzigen Master-Passwort. Das BSI rät dazu, nur noch dieses eine starke Kennwort im Kopf zu behalten. Es sollte lang sein, nirgends sonst verwendet werden und zusätzlich durch eine zweite Stufe geschützt sein. Dr. Web hat bereits beschrieben, warum ein Kennwort für alles zum Risiko wird, und für den Tresor gilt das doppelt. Ein Satz aus vier zufälligen Wörtern erreicht schnell 25 Zeichen und lässt sich trotzdem merken.
Wenn jemand das Hauptkennwort verliert, darf kein Eintrag unwiederbringlich verloren gehen. Planen Sie den Notfall also ein. Je nach Lösung gibt es dafür Wiederherstellungsschlüssel oder einen zweiten Administrator. Legen Sie diese Verfahren fest, bevor sie gebraucht werden, und bewahren Sie die Unterlagen getrennt vom Tresor auf.
Was ändert sich beim Austritt eines Kollegen?
Die Freigabe fällt weg und alle geteilten Zugänge, die die Person kannte, werden ersetzt. Persönliche Konten schließt das Team, Dienstkonten bekommen neue Kennwörter und gegebenenfalls einen neuen Besitzer.
In der Tabelle bleibt jedes Kennwort im Kopf der ehemaligen Kollegin, auch wenn ihr Zugang zur Datei endet. Im Tresor lässt sich dagegen nachvollziehen, welche Einträge sie sehen durfte. Für genau diese Einträge tauscht das Team die Kennwörter aus.
Der Tausch unterstellt niemandem etwas, er gehört zur Routine, wie der Schlüsseltausch beim Auszug aus einer Wohnung. Der NIST-Standard sieht einen Wechsel nach Anlass ausdrücklich vor.
Eine Checkliste für den Austritt nennt die Konten der Person, die geteilten Zugänge in ihrer Freigabe, die Dienste mit Mehrfaktor-Geräten und die Wiederherstellungsadressen. Gerade die letzten werden vergessen: Wenn die private Mailadresse eines Ehemaligen als Wiederherstellung hinterlegt ist, kann er ein Kennwort zurücksetzen, obwohl er offiziell nichts mehr darf. Dasselbe gilt für Dienstleister. Wenn ein Projekt ausläuft, sollten Agentur und Freelancer ihre Freigabe verlieren, ohne dass jemand daran denken muss. Befristete Freigaben, die der Tresor automatisch beendet, nehmen dem Team diese Aufgabe ab.
- Freigabe entziehen: sofort am letzten Arbeitstag, nicht erst Wochen später.
- Geteilte Zugänge ersetzen: alles, was die Person sehen durfte.
- Wiederherstellung prüfen: keine Adresse und keine Nummer von Ehemaligen.
Wo hört der Schutz eines Tresors auf?
Bei Phishing, bei kompromittierten Geräten und beim Hauptkennwort. Ein Tresor senkt das Risiko durch schwache und wiederverwendete Kennwörter, ersetzt aber weder Aufmerksamkeit noch eine zweite Anmeldestufe.
Phishing bleibt der Fall, der jeden Tresor umgeht. Wenn jemand sein Kennwort auf einer gefälschten Seite eingibt, hilft kein Generator. Gute Lösungen füllen Zugangsdaten nur auf der gespeicherten Adresse aus und verweigern auf Fälschungen die Eingabe. Diese Warnung klicken viele Menschen weg, deshalb gehört sie ins Training.
Befallene Geräte sind ein weiteres Risiko. Wenn Schadsoftware den Bildschirm oder die Tastatur mitliest, nutzt der beste Tresor nichts. Aktuelle Betriebssysteme, Updates und Vorsicht bei Anhängen gehören deshalb zur Verwaltung dazu.
Bei der zweiten Anmeldestufe weist das BSI weist darauf hin, dass ein zusätzlicher Faktor ein höheres Maß an Sicherheit bietet als Benutzername und Kennwort allein. Hardware-gestützte Verfahren gelten als besonders sicher. Für Teams heißt das: Wo ein Dienst eine zweite Stufe anbietet, schalten Sie sie ein, mindestens für Administratoren, Zahlungsdienste und E-Mail.
Dazu gibt es die Alternative zum Kennwort: Anmeldungen mit Passkeys, bei denen kein Geheimnis mehr eingegeben wird, setzen sich allmählich durch. Die Verwaltung bleibt dennoch nötig, weil viele Dienste noch Kennwörter verlangen. Ein Tresor ist deshalb eine Übergangslösung mit langer Laufzeit.
Was heißt das für Ihr Team in den nächsten vier Wochen?
Inventur, Aufräumen, Umzug der zehn wichtigsten Zugänge und eine Regel für den Austritt. Mehr braucht ein kleines Team nicht, um die häufigste Lücke zu schließen.
Unsere Einschätzung: Bei geteilten Zugängen passen Aufwand und Risiko am schlechtesten zusammen. Ein Tresor kostet Geld und Gewöhnung, spart im Ernstfall aber Zeit und liefert Gewissheit darüber, wer was sehen konnte.
Wählen Sie ein Werkzeug nach Rollen, Protokoll, Export und Betriebsmodell, nicht nach der Länge der Funktionsliste. Legen Sie den Ablauf für Austritte fest, bevor der nächste ansteht. Und schalten Sie die zweite Anmeldestufe dort ein, wo sie angeboten wird.
Wer heute damit beginnt, hat im Januar ein Team, in dem niemand mehr „Frag mal Jonas“ sagt.
Glossar: 12 wichtige Fachbegriffe zur Passwortverwaltung im Team
Brute-Force-Angriff
Beim Brute-Force-Angriff probiert ein Programm systematisch Zeichenfolgen durch, bis eine passt. Lange Kennwörter erhöhen die Zahl der Möglichkeiten drastisch und machen das Verfahren unpraktikabel. Deshalb setzen BSI und NIST auf Länge statt auf Zeichenmix.
Credential Stuffing
Credential Stuffing nennt man das automatische Ausprobieren erbeuteter Zugangsdaten bei anderen Diensten. Es funktioniert, weil Menschen Kennwörter mehrfach nutzen. Für Teams mit gemeinsamem Muster ist ein einziger Treffer der Schlüssel zu mehreren Konten.
Geteiltes Konto
Ein geteiltes Konto wird von mehreren Personen mit denselben Zugangsdaten genutzt, etwa das Login zum Newsletter-System. Es ist bequem, macht aber unklar, wer was getan hat, und verlangt beim Austritt einer Person den Tausch der Kennwörter.
Hauptkennwort
Das Hauptkennwort (auch Master-Passwort) schützt den gesamten Tresor. Es sollte lang, einmalig und nur im Kopf gespeichert sein. Verlieren Nutzer es ohne Wiederherstellung, sind die Einträge in der Regel unwiederbringlich verschlüsselt.
Mehrfaktor-Anmeldung
Die Mehrfaktor-Anmeldung (MFA, oft auch 2FA) verlangt zusätzlich zum Kennwort einen zweiten Nachweis, etwa einen Code aus einer App oder einen Sicherheitsschlüssel. Sie schützt auch dann, wenn das Kennwort bereits in fremde Hände geraten ist.
Offboarding
Offboarding beschreibt den geordneten Austritt einer Person aus dem Unternehmen. Dazu gehört, Freigaben zu entziehen, geteilte Zugänge zu ersetzen und Wiederherstellungsadressen zu prüfen. Ohne festen Ablauf bleiben Zugänge oft monatelang offen.
Open Source
Open Source bedeutet, dass der Quelltext einer Software öffentlich einsehbar ist. Fachleute können ihn prüfen, und Anwender können den Betrieb selbst übernehmen. Eine automatische Sicherheitsgarantie ist das nicht, erst die tatsächliche Prüfung zählt.
Passkey
Ein Passkey ersetzt das Kennwort durch ein kryptografisches Schlüsselpaar, das auf dem Gerät liegt. Der Nutzer bestätigt die Anmeldung per Fingerabdruck, Gesicht oder PIN. Da kein Kennwort übertragen wird, laufen Phishing und Credential Stuffing ins Leere.
Phishing
Phishing bezeichnet Täuschungsversuche per Mail, Nachricht oder Webseite, die Zugangsdaten abgreifen wollen. Laut Verizon 2025 eröffnete es 16 % der untersuchten Einbrüche. Ein Tresor erkennt gefälschte Adressen und füllt dort nichts aus.
Self-Hosting
Beim Self-Hosting betreibt ein Unternehmen eine Software auf eigenen Servern statt beim Anbieter. Es behält die Hoheit über Standort und Daten, muss aber Updates, Sicherungen und Verfügbarkeit selbst sicherstellen.
Tresor (Vault)
Der Tresor (englisch Vault) ist der verschlüsselte Speicher einer Passwortverwaltung. Er hält Zugangsdaten, Notizen und Dateien und teilt sie nach Rollen. Gute Lösungen verschlüsseln die Inhalte schon auf dem Gerät.
Verschlüsselung auf Clientseite
Bei der Verschlüsselung auf Clientseite werden Daten auf dem Gerät des Nutzers verschlüsselt, bevor sie zum Server gelangen. Der Anbieter speichert nur Geheimtext. Das begrenzt den Schaden, wenn ein Server angegriffen wird.
FAQ: Wohin mit den Passwörtern des ganzen Teams?
Reicht eine Tabelle mit Passwortschutz für ein kleines Team?
Nur für sehr wenige Zugänge. Eine Tabelle kennt keine Rollen, kein Protokoll und keinen Entzug einzelner Freigaben. Spätestens, wenn Praktikanten, Freelancer oder Agenturen dazukommen, lohnt sich ein Tresor mit Gruppen.
Wie lang soll ein Kennwort im Unternehmen sein?
Der US-Standard NIST SP 800-63B-4 verlangt mindestens 15 Zeichen, das BSI nennt 25 Zeichen für lange, wenig komplexe Varianten. Dient das Kennwort nur als Teil einer Mehrfaktor-Anmeldung, genügen laut NIST acht Zeichen.
Muss ein Team Kennwörter regelmäßig ändern?
Nein, der Standard sieht keinen festen Rhythmus mehr vor. NIST rät davon ab, Nutzer zu regelmäßigen Wechseln zu zwingen. Ein Wechsel ist nötig bei Hinweisen auf eine Kompromittierung, bei einem Austritt oder wenn ein Dienstleister einen Vorfall meldet.
Ist ein Tresor selbst ein Risiko, weil alles an einer Stelle liegt?
Er bündelt das Risiko, senkt aber das Gesamtrisiko. Ein starkes Hauptkennwort, eine zweite Anmeldestufe und Verschlüsselung auf dem Gerät machen den Zugriff schwer. Eine Tabelle oder ein Chat sind für Angreifer deutlich bequemer.
Cloud oder eigener Server für die Passwortverwaltung?
Das hängt an Personal und Vorgaben. Die Cloud nimmt Betrieb und Updates ab, der eigene Server sichert Datenhoheit, verlangt aber Pflege. Manche Anbieter, darunter Psono, bieten beide Wege an.
Was passiert mit geteilten Zugängen, wenn jemand das Unternehmen verlässt?
Die Freigabe wird entzogen, und alle geteilten Zugänge, die die Person kannte, werden ersetzt. Prüfen Sie außerdem, ob ihre Mailadresse oder Telefonnummer als Wiederherstellung hinterlegt ist, und entfernen Sie sie.
Quellen
6 Quellen anzeigenQuellen ausblendenabgerufen am 10.11.2026
- VerizonPressemitteilung zum 2025 Data Breach Investigations Report
- NISTDigital Identity Guidelines: Authentication and Authenticator Management (SP 800-63B-4)
- BSISichere Passwörter erstellen
- BitkomWirtschaftsschutz 2025
- Psono (esaqa GmbH)Passwortmanager für Unternehmen
- Dr. WebDatenleck bei Lidl
