Passwort-Manager in kleinen Firmen: Auswahl und Ausscheiden von Mitarbeitenden

Das Passwort für das Firmenpostfach auf einem Zettel am Monitor, eine Tabelle „Passwörter.xlsx“ auf dem gemeinsamen Laufwerk, dasselbe Passwort für drei Dienste. Kommt Ihnen das bekannt vor? In kleinen Firmen ist das Alltag, und es endet meist auf dieselbe Weise: Jemand verlässt die Firma, und Sie wissen nicht, worauf diese Person Zugriff hatte.

In diesem Ratgeber zeige ich, wie Sie einen Passwort-Manager auswählen, ihn an einem Abend einführen und was zu tun ist, wenn jemand aus dem Team ausscheidet. Ich schreibe allgemein, ohne Preistabellen, weil sich die Tarife der Anbieter oft ändern.

Warum keine Tabelle und keine Zettel

Eine Tabelle wirkt wie eine vernünftige Lösung, hat aber einige Schwächen, die erst in der Krise sichtbar werden:

• Es gibt keinen vollständigen Verlauf. Meist sehen Sie nicht, wer die Datei geöffnet und wer die Passwörter kopiert hat.
• Der Zugriff auf ein einzelnes Passwort lässt sich nicht entziehen. Entweder sieht jemand die ganze Datei oder nichts.
• Die Datei wandert. Sie landet in E-Mails, auf USB-Sticks, auf privaten Handys und in Backups.
• Die Passwörter sind offen sichtbar. Wer die Datei öffnet, sieht alles, und solange die Datei offen ist, auch Kunden, die über die Schulter schauen.
• Sie verleitet zu einfachen Passwörtern. Wenn Passwörter von Hand eingegeben werden müssen, wählen Menschen kurze und sich wiederholende.

Ein Zettel am Monitor hat einen Vorteil: Ein Angriff aus dem Internet kann ihn nicht übernehmen. Aber ihn sieht jeder Kunde und jede Reinigungskraft, und wenn er verloren geht oder fotografiert wird, lässt er sich nicht ungültig machen.

Was ein Passwort-Manager macht

Ein Passwort-Manager ist ein verschlüsselter Tresor. Sie merken sich ein langes Master-Passwort, und er erzeugt und trägt den Rest ein. Für eine kleine Firma zählen drei Dinge:

1. Ein einzigartiges, zufälliges Passwort für jedes Konto, ohne Ausdenken und ohne Wiederholen.
2. Gemeinsame Tresore für das Team: Zugang zu einem Firmenkonto, ohne das Passwort per E-Mail zu schicken.
3. Zugriffskontrolle: Sie fügen Personen mit einem Klick hinzu und entfernen sie ebenso schnell.

Ein Passwort-Manager ersetzt nicht den gesunden Menschenverstand. Wenn jemand ein Passwort auf einer gefälschten Website eingibt, hilft der Tresor nicht. Ein guter Passwort-Manager hat jedoch den Vorteil, dass er auf einer Seite mit einer anderen Adresse kein Passwort vorschlägt, und das allein stoppt einen Teil der Phishing-Versuche.

Wie wählen: Bitwarden, 1Password oder der Manager aus dem Konto

Das eine beste Tool gibt es nicht. Die Wahl hängt von der Zahl der Personen ab und davon, ob Sie gemeinsame Tresore brauchen.

Meine praktische Regel: Eine Person, wenige Konten bedeutet den in das Konto integrierten Passwort-Manager, den Sie schon haben. Zwei Personen oder mehr, gemeinsames Postfach, Werbung, Domain bedeutet einen eigenen Passwort-Manager für Unternehmen wie Bitwarden oder 1Password. Wählen Sie einen und mischen Sie nicht: Wenn die Hälfte des Teams Google nutzt und die andere Hälfte Apple, weiß niemand, wo welches Passwort liegt.

Master-Passwort und 2FA: zwei Schutzschichten für den Tresor

Ein Tresor ist so sicher wie sein Schlüssel. Deshalb:

• Das Master-Passwort sollte lang sein, am besten 4–5 zufällige Wörter. Verwenden Sie es nirgendwo sonst.
• Speichern Sie es nicht im Handy oder in einer E-Mail. Schreiben Sie es auf einen Zettel und bewahren Sie ihn zu Hause oder in einem echten Tresor auf. Das ist der einzige gute Grund für einen Zettel.
• Aktivieren Sie einen zweiten Faktor (2FA) für das Konto des Passwort-Managers: eine Authenticator-App oder einen Hardware-Schlüssel. SMS ist besser als nichts, aber schwächer.
• Aktivieren Sie 2FA auch für die wichtigsten Konten: E-Mail, Domain, Hosting, Bank, Werbekonto.
• Wenn der Passwort-Manager Passkeys unterstützt, nutzen Sie sie überall dort, wo der Dienst sie anbietet.

Einführung an einem Abend

Ein Plan, den Sie ohne IT-Fachkraft umsetzen:

1. Wählen Sie das Tool und legen Sie das Eigentümerkonto an. Richten Sie Master-Passwort und 2FA ein.
2. Legen Sie Tresore (Sammlungen) nach Bereichen an, z. B. „E-Mail und Domain“, „Werbung und Social Media“, „Finanzen“, „Shop und Hosting“.
3. Listen Sie die Firmenkonten auf: E-Mail, Domain, Hosting, Website-Backend, Google (Analytics, Unternehmensprofil, Ads), Meta, Bank, Buchhaltung, Programme.
4. Ersetzen Sie die Passwörter durch generierte. Beginnen Sie mit E-Mail und Domain, denn über die E-Mail wird alles andere zurückgesetzt.
5. Laden Sie die Mitarbeitenden ein und geben Sie ihnen nur Zugriff auf die Tresore, die sie brauchen.
6. Löschen Sie die Tabelle und die Zettel. Erst wenn Sie alles übertragen haben.
7. Richten Sie einen zweiten Administrator oder einen Notfallzugriff ein (siehe unten).

Dieselbe Regel gilt für Domain und Hosting: Das Konto sollte auf die Firma laufen, nicht auf die private Adresse eines Mitarbeiters. Darüber schreibe ich im Ratgeber zum Wiedererlangen des Zugangs zur Website von einer Agentur.

Gemeinsame Tresore: Wer sieht was

Ein gemeinsamer Tresor löst das Problem „Das Facebook-Passwort hat nur Kasia“. Ein paar Regeln:

• Vergeben Sie nur minimale Zugriffe. Der Vertrieb braucht kein Onlinebanking und die Buchhaltung kein Werbekonto.
• Trennen Sie Rollen. Der Administrator verwaltet Personen, normale Benutzer verwenden die Passwörter. Wo möglich, vergeben Sie nur Lesezugriff.
• Schicken Sie Passwörter nicht per E-Mail oder Messenger. Teilen Sie den Eintrag im Tresor.
• Firmenkonten, keine privaten. Wenn ein Tool erlaubt, weitere Benutzer hinzuzufügen (z. B. Google Ads oder Meta), fügen Sie die Person hinzu, statt ein Passwort zu teilen. Dann ist klar, wer was getan hat.

Bei Konten ohne eigene Benutzer ist ein gemeinsames Passwort im Tresor eine gute Lösung, aber denken Sie an 2FA: Der Code geht dann an eine Person. Manche Passwort-Manager können Einmalcodes zusammen mit dem Passwort speichern, was die Arbeit im Team erleichtert, aber das sollten Sie bewusst abwägen.

Notfallzugriff: wenn der Inhaber nicht erreichbar ist

Ein Unfall, eine Krankheit, ein Urlaub ohne Netz. Ist die einzige Person mit dem Master-Passwort nicht erreichbar, verliert die Firma den Zugriff auf alles. Deshalb:

• Richten Sie einen zweiten Administrator in der Organisation ein, am besten eine Person, der Sie vertrauen und die eine eigene 2FA hat.
• Nutzen Sie den Notfallzugriff, wenn das Tool ihn anbietet: Eine vertrauenswürdige Person kann Zugriff anfordern und erhält ihn nach einer festgelegten Zeit, wenn Sie nicht widersprechen.
• Schreiben Sie eine Wiederherstellungsanleitung und hinterlegen Sie sie in einem verschlossenen Umschlag bei einer Vertrauensperson oder in einem Tresor.
• Testen Sie das einmal im Jahr: Kann sich der zweite Administrator wirklich anmelden?

Wenn jemand die Firma verlässt: Checkliste

Das ist der wichtigste Teil. Erledigen Sie das am Tag des Ausscheidens, bei einem Konflikt sogar schon vor dem Gespräch.

1. Entziehen Sie den Zugriff auf den Tresor und entfernen Sie den Benutzer aus der Organisation.
2. Ändern Sie die Passwörter der Konten, die die Person kannte, beginnend mit den wichtigsten: Firmen-E-Mail, Domain, Hosting, Bank, Werbekonten, Social Media, Website-Backend. Das Löschen des Kontos aus dem Passwort-Manager ändert keine Passwörter, die jemand schon gesehen oder kopiert hat.
3. Setzen Sie 2FA zurück bei gemeinsam genutzten Konten, wenn die Codes an ihr Handy gingen.
4. Entfernen Sie die Person aus Konten mit eigenen Benutzern: Google, Meta, Hosting, Shopsystem, Buchhaltung.
5. Leiten Sie ihre E-Mails an die zuständige Person weiter und sperren Sie die Anmeldung an ihrem Konto.
6. Prüfen Sie angemeldete Geräte und aktive Sitzungen bei wichtigen Konten.
7. Nehmen Sie die Geräte zurück und melden Sie ihr Handy aus der Ferne von den Firmen-Apps ab.
8. Notieren Sie Datum und Umfang der Änderungen in einer Notiz. Das hilft bei einem Streit und bei einem Audit.

Wenn Sie die Passwörter zur Website oder zum Shop ändern, nachdem jemand mit Zugriff auf das Backend gegangen ist, prüfen Sie auch die Liste der Administratoren und Plugins. Ähnlich gehe ich bei einem gehackten WordPress vor.

Was Sie nicht tun sollten

• Bewahren Sie Wiederherstellungscodes nicht im selben Tresor wie das Master-Passwort auf.
• Verwenden Sie nicht ein einziges Passwort-Manager-Konto für die ganze Firma. Jede Person hat ihr eigenes.
• Speichern Sie keine Passwörter im Browser des privaten Computers von Mitarbeitenden, wenn das Gerät nicht der Firma gehört.
• Geben Sie nicht den ganzen Tresor „der Einfachheit halber“ frei.
• Schieben Sie das Ändern der Passwörter nach dem Ausscheiden von Mitarbeitenden nicht „auf später“.

Zusammenfassung

Ein Passwort-Manager ist eine der günstigeren und wirksameren Änderungen in einer kleinen Firma: einzigartige Passwörter, gemeinsame Tresore und Ordnung, wenn jemand ausscheidet. Beginnen Sie mit E-Mail und Domain, aktivieren Sie 2FA und richten Sie einen Notfallzugriff ein.

Wenn Sie prüfen möchten, ob Ihre Website und Ihre Formulare gegen Passwortraten und Bots gewappnet sind, bestellen Sie ein Sicherheitsaudit oder schreiben Sie mir. Für den Anfang können Sie auch das kostenlose Tool „Website prüfen“ nutzen, das unter anderem die Sicherheit und die Domain-Einstellungen prüft.