Passwort-Manager in der Firma: Zugänge sicher teilen

„Das Passwort steht auf dem Zettel unter der Tastatur“ oder „Instagram, Kasse und E-Mail laufen alle über dasselbe Kennwort“ – solche Sätze fallen in vielen Betrieben, meist mit einem Schulterzucken. Genau hier liegt eines der größten vermeidbaren Risiken für die IT-Sicherheit. Ein Passwort-Manager in der Firma räumt dieses Risiko auf: Er verwaltet alle Zugänge zentral, erzeugt für jeden Dienst ein eigenes starkes Passwort und macht Schluss mit dem Zettel und den geteilten Logins. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt solche Programme ausdrücklich. Dieser Beitrag erklärt ruhig, warum wiederverwendete Passwörter so gefährlich sind, was ein Passwort-Manager leistet und wie Sie ihn Schritt für Schritt im Team einführen.

Warum der Zettel und „Sommer2024!“ gefährlich sind

Das eigentliche Problem ist selten ein einzelnes schwaches Passwort – es ist die Wiederverwendung. Wer für mehrere Dienste dasselbe oder ein leicht abgewandeltes Kennwort nutzt, macht aus einem einzigen Datenleck einen Flächenbrand. Taucht „Sommer2024!“ einmal in einer geleakten Datenbank auf, probieren Angreifer diese Kombination automatisiert bei Dutzenden weiteren Diensten durch – vom E-Mail-Postfach über das Kassen-Backend bis zum Social-Media-Konto. Dieses Durchprobieren läuft maschinell und massenhaft; dass ein Betrieb „zu klein“ wäre, spielt dabei keine Rolle. Rund 80 Prozent der Cyberangriffe zielen auf kleine und mittlere Unternehmen (BSI-Lagebericht 2025).

Viele gestohlene Zugangsdaten stammen dabei gar nicht aus einem technischen Einbruch, sondern aus einer gefälschten E-Mail, in die jemand sein Passwort eingegeben hat. Woran Sie solche Nachrichten erkennen, lesen Sie im Beitrag Phishing-Mails erkennen.

Ein zweites Alltagsproblem sind geteilte Logins: ein Instagram-Konto, ein Kassen-Backend, ein Sammelpostfach – alle nutzen dasselbe Passwort, das irgendwann per Chat herumgereicht wurde. Verlässt eine Person den Betrieb, lässt sich dieser Zugang nicht sauber entziehen, ohne das Kennwort für alle zu ändern. In der Praxis passiert das oft nicht, und ausgeschiedene Mitarbeitende behalten Zugriff. Wie Sie beim Austritt sauber alle Zugänge schließen, zeigt die IT-Offboarding-Checkliste.

Was ein Passwort-Manager macht

Ein Passwort-Manager ist ein verschlüsselter Tresor für alle Zugangsdaten Ihres Betriebs. Sie merken sich nur noch ein einziges starkes Master-Passwort; um alles andere kümmert sich das Programm. Konkret leistet ein guter Passwort-Manager:

• Er erzeugt für jeden Dienst automatisch ein langes, einzigartiges Passwort – das Merken übernimmt er für Sie.
• Er speichert alle Zugänge verschlüsselt und füllt sie auf Wunsch beim Anmelden automatisch aus.
• Er warnt, wenn einer Ihrer gespeicherten Zugänge in einem bekannten Datenleck auftaucht.
• Er verwaltet auf Wunsch auch die Codes für die Zwei-Faktor-Anmeldung.
• Er synchronisiert die Zugänge sicher über mehrere Geräte hinweg – Rechner, Tablet, Smartphone.

Für den Betrieb entscheidend: Zugänge lassen sich in geteilten Tresoren organisieren. So bekommt das Team Zugriff auf die Konten, die es wirklich braucht, ohne dass ein Passwort im Klartext per Mail oder Chat kursiert.

Das BSI empfiehlt ihn – mit einer Einschränkung

Die Entscheidung für einen Passwort-Manager ist gut begründet: Das BSI empfiehlt den Einsatz solcher Programme ausdrücklich, für Privatpersonen wie für Betriebe. Die Begründung ist einfach – ein Passwort-Manager macht es überhaupt erst praktikabel, für jeden Dienst ein eigenes, starkes Passwort zu verwenden, statt aus Bequemlichkeit dasselbe mehrfach einzusetzen.

Eine Einschränkung gehört zur Ehrlichkeit dazu: Bei einer gemeinsamen Untersuchung des BSI mit dem FZI (Dezember 2025) wurden zehn Passwort-Manager geprüft, und die Fachleute fanden bei einzelnen Produkten Verbesserungsbedarf. Die grundsätzliche Empfehlung bleibt davon unberührt – die Botschaft lautet nicht „Finger weg“, sondern „nutzen, aber das Produkt bewusst auswählen“. Achten Sie auf etablierte Anbieter, eine nachvollziehbare Sicherheitsarchitektur und regelmäßige Updates, statt sich von Werbeversprechen oder einzelnen Testsieger-Siegeln leiten zu lassen. Die Frage ist also nicht ob, sondern welcher.

So führen Sie einen Passwort-Manager im Team ein – in 4 Schritten

Die Einführung ist überschaubar und an einem halben Tag zu schaffen. Danach läuft das System im Hintergrund mit:

1. Master-Passwort und Zwei-Faktor-Anmeldung einrichten. Das Master-Passwort ist der Schlüssel zum gesamten Tresor – es sollte lang, einzigartig und nirgendwo sonst verwendet sein. Sichern Sie den Zugang zusätzlich mit einem zweiten Faktor (etwa einer App oder einem Sicherheitsschlüssel) ab.
2. Geteilte Zugänge in Team-Tresore überführen. Sammeln Sie die gemeinsam genutzten Konten und legen Sie sie in geteilten Tresoren ab, auf die nur die jeweils zuständigen Personen Zugriff haben. So sieht jeder nur, was er tatsächlich braucht.
3. Alte und wiederverwendete Passwörter ersetzen. Gehen Sie die wichtigsten Konten durch und lassen Sie für jedes ein neues, eigenes Passwort erzeugen – beginnend bei E-Mail, Bank- und Zahlungsdiensten sowie den zentralen Betriebssystemen.
4. Eine einfache Regel etablieren. Passwörter werden nie mehr per Mail, Chat oder Zettel geteilt. Ab jetzt läuft jede Weitergabe über den geteilten Tresor. Diese eine Regel verhindert einen Großteil der alten Probleme, bevor sie entstehen.

Zwei aktuelle Klarstellungen des BSI zu Passwörtern

Rund um Passwörter halten sich zwei überholte Faustregeln. Das BSI hat beide korrigiert:

• Länge schlägt Komplexität. Ein langes, gut merkbares Passwort aus mehreren Wörtern (eine „Passphrase“) ist sicherer als ein kurzes, kompliziertes mit vielen Sonderzeichen. Für die wenigen Passwörter, die Sie sich noch selbst merken müssen – allen voran das Master-Passwort – gilt deshalb: lieber lang als kompliziert.
• Kein Wechsel ohne Anlass mehr. Die alte Regel, Passwörter alle 30, 60 oder 90 Tage zu wechseln, gilt als überholt. Ein regelmäßiger Zwangswechsel führt in der Praxis nur zu schwächeren, leicht abgewandelten Kennwörtern. Gewechselt wird heute anlassbezogen – also dann, wenn ein konkreter Verdacht besteht oder ein Dienst ein Datenleck meldet.

Ein Passwort-Manager unterstützt genau diese Logik: Er erzeugt die nötige Länge automatisch und meldet, wenn ein Zugang in einem Leck aufgetaucht ist – also genau dann, wenn ein Wechsel wirklich angebracht ist. Aus dem Zettel unter der Tastatur wird so ein System, das für den ganzen Betrieb mitdenkt.