Ein Passwort-Manager für das ganze Unternehmen

In vielen Betrieben sieht die Passwort-Realität ähnlich aus: Die Zugangsdaten für das wichtigste Kundenportal liegen in einer Excel-Datei auf einem Netzlaufwerk, das Passwort für den Social-Media-Account kennt nur eine einzige Person, und wenn jemand das Unternehmen verlässt, stellt sich die unangenehme Frage, welche Zugänge er oder sie alles kannte. Ein Passwort-Manager für das ganze Unternehmen räumt genau diesen Zustand auf. Allerdings ist die Anschaffung der Software der leichte Teil – entscheidend sind Vorbereitung, Zuständigkeiten und konsequenter Betrieb. Dieser Artikel führt durch die wichtigsten Schritte und benennt auch, wann sich die Anschaffung nicht lohnt.

Warum private Lösungen im Unternehmen scheitern

Viele Mitarbeitende nutzen längst private Passwort-Manager oder die Speicherfunktion des Browsers. Das ist für den Einzelnen bequem, für das Unternehmen aber ein Risiko. Die Daten gehören faktisch der Person, nicht dem Betrieb. Geht die Person, gehen die Zugänge mit – oder schlimmer: Sie bleiben auf privaten Geräten erreichbar.

Hinzu kommen geteilte Konten: die zentrale E-Mail-Adresse, der Händlerzugang bei einem Lieferanten, das Online-Portal des Steuerberaters, der Cloud-Speicher. Solche Zugänge lassen sich nicht einer einzelnen Person zuordnen. Ohne zentrale Verwaltung weiß nach einiger Zeit niemand mehr, wer worauf zugreifen kann. Genau dafür sind Unternehmenslösungen gebaut: Sie trennen die Zugangsdaten von den Personen und machen Berechtigungen steuerbar und nachvollziehbar.

Was die Lösung können muss

Bevor Sie Anbieter vergleichen, legen Sie Ihre Anforderungen fest. Für kleine und mittlere Unternehmen zählen vor allem diese Punkte:

• Zentrale Verwaltung: Neue Mitarbeitende werden angelegt, austretende vollständig entfernt – ohne dass Tresorinhalte verloren gehen.
• Gruppen und Rollen: Tresore lassen sich nach Abteilungen oder Funktionen strukturieren, etwa Buchhaltung, Vertrieb, Geschäftsführung.
• Kontrolliertes Teilen: Zugänge lassen sich innerhalb einer Gruppe bereitstellen, ohne dass sie per E-Mail oder Zettel weiterwandern.
• Protokollierung: Administratoren sehen, wer wann auf welchen Eintrag zugegriffen hat. Das hilft bei der Aufklärung von Vorfällen und ist ein Baustein für die Nachweispflichten der Datenschutz-Grundverordnung.
• Zwei-Faktor-Anmeldung: Der Manager selbst muss durch einen zweiten Faktor abgesichert werden, idealerweise verpflichtend für alle Nutzer.
• Notfallzugang: Es gibt ein dokumentiertes Verfahren für den Fall, dass ein Master-Passwort verloren geht oder der Administrator ausfällt.
• Export: Die Daten lassen sich vollständig und in einem brauchbaren Format auslesen, falls Sie den Anbieter wechseln.

Produkte wie Bitwarden, 1Password, Dashlane oder KeePass-basierte Lösungen decken diese Anforderungen unterschiedlich ab. KeePass etwa speichert lokal und ohne Abhängigkeit von einem Dienstleister, bietet aber von Haus aus keine zentrale Benutzerverwaltung. Cloud-Produkte nehmen Ihnen Betrieb und Aktualisierung ab, dafür geben Sie die Hoheit über die Speicherung an einen Anbieter. Welche Richtung passt, hängt von Ihren Gegebenheiten ab – nicht von Ranglisten im Internet.

Vorbereitung: Erst inventarisieren, dann auswählen

Der häufigste Fehler ist, die Software vor der Bestandsaufnahme zu kaufen. Nehmen Sie sich zuerst drei Fragen vor:

Wo liegen die Passwörter heute? Typische Fundstellen sind Browser-Speicherungen, Excel-Listen, Notizbücher und das Gedächtnis einzelner Personen. Diese Fundstellen müssen Sie kennen, um sie später abzulösen.

Welche Konten existieren überhaupt? Erstellen Sie eine Liste aller Systeme: E-Mail, Warenwirtschaft, Online-Banking, Behördenportale, Hosting, Domains, Lizenzen, soziale Netzwerke. Gerade Domain- und Hosting-Zugänge werden gern vergessen – dabei gehören sie zu den kritischsten überhaupt.

Wer braucht welchen Zugang? Ordnen Sie die Konten Rollen zu, nicht Personen. So bleibt die Struktur stabil, wenn jemand wechselt.

Klären Sie in dieser Phase auch die datenschutzrechtliche Seite: In einem Passwort-Manager stecken personenbezogene Daten, mindestens die der eigenen Mitarbeitenden. Bei einer Cloud-Lösung schließen Sie mit dem Anbieter in der Regel einen Vertrag zur Auftragsverarbeitung und nehmen das Werkzeug in Ihr Verzeichnis von Verarbeitungstätigkeiten auf. Ziehen Sie Ihre Datenschutzbeauftragte oder Ihren Datenschutzbeauftragten früh hinzu, falls vorhanden.

Diese Fragen stellen Sie dem Anbieter

Ein seriöser Anbieter beantwortet die folgenden Fragen ohne Ausweichen:

• Wo werden die Daten gespeichert, und welches Recht gilt dort?
• Wie ist das Verschlüsselungsmodell aufgebaut? Kann der Anbieter im Ernstfall selbst auf die Inhalte zugreifen, oder ist das technisch ausgeschlossen?
• Was passiert bei einem vergessenen Master-Passwort? Gibt es eine Wiederherstellung, und wer darf sie auslösen?
• Wie sieht das Verfahren aus, wenn ein Administrator das Unternehmen verlässt?
• Welche Protokolle kann ich als Kunde einsehen?
• Wie exportiere ich alle Daten, und in welchem Format?
• Was passiert bei einem Ausfall des Dienstes? Komme ich offline wenigstens an die wichtigsten Zugänge?
• Lässt der Anbieter seine Sicherheit unabhängig prüfen, und sind die Ergebnisse einsehbar?

Einführung: In Etappen statt im Großeinsatz

Beginnen Sie mit einer Pilotgruppe, etwa der IT und einer Abteilung, die viele geteilte Zugänge nutzt. Dort bauen Sie die Tresorstruktur auf, definieren Namensregeln für Einträge und sammeln Erfahrungen, bevor der Rest des Unternehmens folgt.

Legen Sie verbindlich fest, wie Master-Passwörter auszusehen haben: lang statt kompliziert, als Merksatz aus mehreren Wörtern, nirgendwo sonst verwendet und mit einem zweiten Faktor abgesichert. Diese Regel gilt ausnahmslos, auch für die Geschäftsführung.

Nutzen Sie die Migration für einen Neustart: Geteilte Konten bekommen beim Umzug in den Tresor neue Passwörter. Denn die alten kennt möglicherweise noch jemand, der sie nicht mehr kennen sollte. Planen Sie dafür Zeit ein – das Ändern der Passwörter in allen Portalen ist der aufwendigste Teil der Einführung.

Schulen Sie die Belegschaft kurz und praxisnah. Zeigen Sie den persönlichen Nutzen: automatisches Ausfüllen, kein Merken, kein Zurücksetzen mehr. Wer den Vorteil erlebt, steigt um. Wer nur eine Pflicht vorgesetzt bekommt, sucht Umwege.

Zuständigkeiten festlegen

Ein Passwort-Manager braucht klare Rollen. Die Geschäftsführung entscheidet über Einführung und Regeln und trägt die Verantwortung dafür, dass die Nutzung eingefordert wird. Die IT – intern oder ein externer Dienstleister – betreut die Verwaltung: Benutzer anlegen und entfernen, Tresore pflegen, Protokolle prüfen. Jede Mitarbeiterin und jeder Mitarbeiter ist für das eigene Master-Passwort verantwortlich.

Wichtig ist die Vertretungsregel: Mindestens zwei Personen sollten Administratorrechte haben, und der Notfallzugang muss dokumentiert sein – etwa als versiegelte Wiederherstellungsinformation an einem gesicherten Ort. Sonst steht das Unternehmen vor verschlossener Tür, wenn genau die eine Person ausfällt, die alles verwaltet.

Woran Sie merken, dass etwas schiefläuft

Im laufenden Betrieb gibt es deutliche Warnsignale:

• Mitarbeitende speichern dienstliche Zugänge weiterhin im Browser oder in privaten Werkzeugen.
• Es existiert ein einziger großer Tresor, in dem jeder alles sieht.
• Zugänge werden trotz Manager per E-Mail oder am Telefon weitergegeben.
• Beim Austritt von Mitarbeitenden werden weder Berechtigungen entzogen noch Passwörter getauscht.
• Die Zwei-Faktor-Anmeldung ist deaktiviert oder nur eine Empfehlung.
• Niemand fühlt sich zuständig: Einträge veralten, ausgeschiedene Personen tauchen noch in Gruppen auf, und die Protokolle liest keiner.

Treffen mehrere dieser Punkte zu, ist der Manager nur noch ein teures Ablagesystem – die eigentlichen Risiken liegen weiterhin offen.

Wann sich die Anschaffung nicht lohnt

Ein Passwort-Manager ist kein Selbstzweck. Wenn in Ihrem Unternehmen niemand die Administration dauerhaft übernehmen will oder kann, wird das System verwildern – und ein verwilderter Tresor mit veralteten Zugängen ist schlimmer als gar keiner, weil er Sicherheit nur vortäuscht.

Auch die Größenordnung spielt eine Rolle: Laufen nahezu alle Anwendungen über eine zentrale Anmeldung mit zweitem Faktor und bleiben nur eine Handvoll geteilter Zugänge übrig, reicht möglicherweise eine schlanke Lösung für genau diese Restfälle. Und wenn die Bereitschaft fehlt, die Nutzung verbindlich zu machen, sollten Sie zuerst an dieser Bereitschaft arbeiten – Software, deren Nutzung freiwillig ist, wird in der Praxis umgangen.

Bedenken Sie außerdem: Ein Passwort-Manager ersetzt keine weiteren Schutzmaßnahmen. Der zweite Faktor gehört auf die wichtigen Konten selbst, und ein Berechtigungskonzept für Dateien und Anwendungen bleibt trotzdem nötig.

Fazit

Ein unternehmensweiter Passwort-Manager ist weniger ein Softwarekauf als ein Organisationsprojekt. Wer zuerst inventarisiert, Anbieter gezielt befragt, die Einführung in Etappen angeht und Zuständigkeiten inklusive Vertretung festlegt, bekommt genau das, was Excel-Listen und Notizzettel nie leisten konnten: Überblick darüber, wer worauf zugreifen kann – und die Gewissheit, dass dieser Überblick auch nach dem nächsten Personalwechsel noch stimmt.

Dieser Artikel wurde KI-unterstützt erstellt und vor der Veröffentlichung geprüft.