Passwort-Manager im Unternehmen: Warum, welchen man wählen sollte und wie man ihn ohne Meuterei einführt

Passwortmanager im UnternehmenFragen Sie jeden Mitarbeiter in Ihrem Unternehmen, wie viele verschiedene Passwörter er verwendet. Die offene Antwort ist: “Zwei oder drei, mit Variationen”. Das Passwort für die E-Mail ist ähnlich dem für die Verwaltungsprogramme, das mit dem persönlichen Online-Shopping-Konto identisch ist, das in einem Datenbruch vor zwei Jahren gestohlen wurde und jetzt zum Verkauf steht. So beginnen die meisten Angriffe auf kleine und mittlere Unternehmen: nicht mit einem Computer-Genie, sondern mit einer wiederverwendeten Passwort. Ein Passwortmanager löst dieses Problem an der Wurzel – und ist eine der wenigen Sicherheitsmaßnahmen, die, wenn sie gut implementiert sind, das Leben der Menschen einfacher machen, nicht schwieriger.

Das Problem, das es löst

Eine Durchschnittsperson in einem Unternehmen benötigt 30 bis 80 verschiedene Zugangsdaten: E-Mail, Management-Software, Lieferantenportale, Banken, Online-Tools, WLAN, Drucker, Social-Media-Kanäle des Unternehmens. Niemand kann sich 80 lange und unterschiedliche Passwörter merken. Deshalb werden sie wiederverwendet, in einer Excel-Datei namens “passwords.xlsx” oder auf einem Post-it notiert. Ein Passwortmanager speichert alle verschlüsselt, generiert lange und einzigartige Passwörter für jeden Dienst, füllt sie automatisch aus und synchronisiert sie zwischen Computer und Handy. Man muss sich nur eines merken – das Master-Passwort – und nutzt die Multifaktor-Authentifizierung, um es zu schützen.

Was ein Unternehmensmanager im Vergleich zu einem Personalmanager mehr tut

• Geteilte TruhenDas Passwort für das Portal des Finanças, das Werbekonto oder den Router liegt in einem Tresor des Teams, nicht im Kopf einer Person. Wenn diese Person geht, verliert das Unternehmen nicht den Zugriff.
• ZentralverwaltungDas Unternehmen erstellt und entfernt Benutzer, legt Richtlinien fest (Mindestlänge, obligatorische MFA) und stellt Tresore wieder her, wenn jemand das Unternehmen verlässt oder sein Master-Passwort vergisst.
• ZugangsprotokollWer hat welche Berechtigung wann abgefragt. Unverzichtbar für Audits und NIS2.
• BenachrichtigungenPasswörter, die schwach, wiederverwendet oder in bekannten Datenlecks aufgetaucht sind.
• Integration mit Microsoft 365Die Personen melden sich im Manager mit dem Firmenkonto an; das Deaktivieren des Kontos deaktiviert den Manager.

Kriterien zur Auswahl

Ende-zu-Ende-Verschlüsselung (der Anbieter kann Ihre Passwörter nicht lesen, selbst wenn er wollte); verbindliche Multifaktor-Authentifizierung; geteilte Tresore mit gruppenbasierten Berechtigungen; Browser-Erweiterungen und mobile Apps; Administrations- und Wiederherstellungsfunktionen; exportierbare Aktivitätsprotokolle; Hauptsitz und Server in der Europäischen Union oder gleichwertige DSGVO-Garantien; sowie ein vorhersehbarer Preis pro Nutzer. Auf dem Markt etablierte Unternehmensprodukte erfüllen fast all diese Punkte – der Unterschied liegt in der Benutzerfreundlichkeit, die darüber entscheidet, ob die Leute sie tatsächlich nutzen werden. Vermeiden Sie Lösungen, die Passwörter in einer geteilten Datei speichern, egal wie stark verschlüsselt sie sind: Sie haben kein Protokoll, keine Wiederherstellungsmöglichkeit und sind nicht skalierbar.

In drei Wochen implementieren

• Woche 1 — Vorbereiten. Produkt auswählen, Organisation erstellen, mit Microsoft 365 verbinden, Richtlinie festlegen (MFA obligatorisch, Mindestlänge 14). Abteilungsbezogene freigegebene Tresore erstellen und dorthin die Unternehmenspasswörter migrieren, die heute in Dateien und Post-its leben. Administrationsanmeldeinformationen (Firewall, Switches, Server, Domänen) identifizieren und in einen auf die IT beschränkten Tresor legen.
• Woche 2 — Pilot. Fünf bis zehn Personen aus verschiedenen Abteilungen, darunter jemand aus dem Management. 20-minütige Sitzung, Installation der Erweiterung und der Anwendung, Importieren der im Browser gespeicherten Passwörter. Sammeln, was schiefgelaufen ist.
• Woche 3 — Alle. 20-Minuten-Sitzungen pro Gruppe, mit einer klaren Regel: Ab heute werden neue Passwörter vom Manager generiert, und wiederverwendete werden bei ihrer Nutzung geändert. Nicht am ersten Tag zwingen, alles zu ändern – genau das ruft den Aufstand hervor.

Die Fehler, die zum Scheitern führen

Importieren ohne Erklärung (Leute umgehen, was sie nicht verstehen); Passwörter nicht aus dem Browser migrieren (man hat am Ende zwei Quellen und gibt auf); keine geteilten Tresore haben (das Team tauscht weiterhin Passwörter per E-Mail aus); das Smartphone vergessen (die Hälfte der Zugriffe erfolgt heute mobil); und das automatische Ausfüllen des Browsers nicht deaktivieren, das mit dem Manager konkurriert und viel unsicherer ist.

Was sich nach drei Monaten ändert

Einzigartige und lange Passwörter für alle neuen und die meisten alten Dienste. Niemand kennt das Passwort von jemand anderem – und das ist auch nicht nötig. Das Ausscheiden eines Mitarbeiters stellt kein Risiko mehr dar: Das Konto wird deaktiviert, und die geteilten Tresore verbleiben im Unternehmen. Die Anfragen zur “Passwortwiederherstellung” beim Support gehen drastisch zurück. Und das Unternehmen hat eine konkrete Antwort auf die Frage von NIS2 und der Versicherung: “Wie verwalten Sie die Zugangsdaten?”.

Wie passt es zu den anderen Maßen?

Der Passwort-Manager ist die zweite Identitätsmaßnahme nach der Multifaktor-Authentifizierung: MFA schützt das Konto selbst bei gestohlenem Passwort; der Manager sorgt dafür, dass das Passwort weder wiederverwendet noch schwach ist. Zusammen sind sie Schritt 1 von Zero Trust für KMU und die Basis der Passwortrichtlinie der sieben interne Cybersicherheitsrichtlinien. In unseren Verträgen Geführte Cybersicherheit Die Implementierung des Managers und die Verwaltung der Administrations-Safes sind Teil des Dienstes.

Häufig gestellte Fragen

Was ist, wenn der Lieferant des Managers angegriffen wird?

Mit End-to-End-Verschlüsselung speichert der Anbieter verschlüsselte Tresore, die nur das Master-Passwort des Benutzers öffnen kann. Ein Leck legt unlesbare Dateien frei. Aus diesem Grund muss das Master-Passwort lang und die MFA obligatorisch sein.

Reicht der Browser-Manager (Chrome, Edge) nicht aus?

Für den persönlichen Gebrauch ist es besser als nichts. Für ein Unternehmen gibt es keine geteilten Tresore, keine Verwaltung, keine Protokollierung und keine Wiederherstellung, und man ist an einen Browser und ein persönliches Konto gebunden.

Was passiert, wenn jemand das Master-Passwort vergisst?

Unternehmensmanager verfügen über eine administrative Wiederherstellung: Ein zugewiesener Administrator kann den Zugriff auf den Tresor der Person wiederherstellen. Das ist einer der Gründe, ein Unternehmensprodukt anstelle eines privaten zu verwenden.

Wie viel kostet das?

Unternehmensprodukte kosten in der Regel ein paar Euro pro Nutzer und Monat. Vergleichen Sie das mit den Kosten für einen einzigen Vorfall mit gestohlenen Anmeldeinformationen oder den Verlust des Zugriffs auf das Finanzamt-Portal, weil die Person, die das Passwort hatte, gegangen ist.

Möchten Sie einen Passwort-Manager ohne Aufhebanten einführen?

Wir wählen das Produkt gemeinsam mit Ihnen aus, richten die Organisation und die Tresore ein und führen die Sitzungen mit dem Team durch. Sehen Sie sich unsere Managed Cybersecurity für Unternehmen oder rufen Sie +351 211 459 950 an.

Verwandte DataRoad-Services: Microsoft 365 for Business · IT-Management von IT Unlimited