Fragen Sie beliebige Personen in Ihrem Unternehmen, wie viele verschiedene Passwörter sie verwenden. Die ehrliche Antwort lautet: “Zwei oder drei, mit Variationen.” Das Passwort für die E-Mail ähnelt dem für die Management-Software, das dem des persönlichen Online-Shopping-Kontos gleicht, das vor zwei Jahren bei einem Datenleck gestohlen wurde und zum Verkauf steht. So beginnen die meisten Angriffe auf KMU: nicht mit einem IT-Genie, sondern mit einem wiederverwendeten Passwort. Ein Passwortmanager löst dieses Problem an der Wurzel – und er ist eine der wenigen Sicherheitsmaßnahmen, die, wenn sie gut umplemented ist, das Leben der Menschen einfacher und nicht schwerer macht.
Das Problem, das es löst
Eine Durchschnittsperson in einem Unternehmen benötigt 30 bis 80 verschiedene Zugangsdaten: E-Mail, Management-Software, Lieferantenportale, Banken, Online-Tools, WLAN, Drucker, Social-Media-Kanäle des Unternehmens. Niemand kann sich 80 lange und unterschiedliche Passwörter merken. Deshalb werden sie wiederverwendet, in einer Excel-Datei namens “passwords.xlsx” oder auf einem Post-it notiert. Ein Passwortmanager speichert alle verschlüsselt, generiert lange und einzigartige Passwörter für jeden Dienst, füllt sie automatisch aus und synchronisiert sie zwischen Computer und Handy. Man muss sich nur eines merken – das Master-Passwort – und nutzt die Multifaktor-Authentifizierung, um es zu schützen.
Was ein Unternehmensmanager im Vergleich zu einem Personalmanager mehr tut
- Geteilte TruhenDas Passwort für das Portal des Finanças, das Werbekonto oder den Router liegt in einem Tresor des Teams, nicht im Kopf einer Person. Wenn diese Person geht, verliert das Unternehmen nicht den Zugriff.
- ZentralverwaltungDas Unternehmen erstellt und entfernt Benutzer, legt Richtlinien fest (Mindestlänge, obligatorische MFA) und stellt Tresore wieder her, wenn jemand das Unternehmen verlässt oder sein Master-Passwort vergisst.
- ZugangsprotokollWer hat welche Berechtigung wann abgefragt. Unverzichtbar für Audits und NIS2.
- BenachrichtigungenPasswörter, die schwach, wiederverwendet oder in bekannten Datenlecks aufgetaucht sind.
- Integration mit Microsoft 365Die Personen melden sich im Manager mit dem Firmenkonto an; das Deaktivieren des Kontos deaktiviert den Manager.
Kriterien zur Auswahl
Ende-zu-Ende-Verschlüsselung (der Anbieter kann Ihre Passwörter nicht lesen, selbst wenn er wollte); verbindliche Multifaktor-Authentifizierung; geteilte Tresore mit gruppenbasierten Berechtigungen; Browser-Erweiterungen und mobile Apps; Administrations- und Wiederherstellungsfunktionen; exportierbare Aktivitätsprotokolle; Hauptsitz und Server in der Europäischen Union oder gleichwertige DSGVO-Garantien; sowie ein vorhersehbarer Preis pro Nutzer. Auf dem Markt etablierte Unternehmensprodukte erfüllen fast all diese Punkte – der Unterschied liegt in der Benutzerfreundlichkeit, die darüber entscheidet, ob die Leute sie tatsächlich nutzen werden. Vermeiden Sie Lösungen, die Passwörter in einer geteilten Datei speichern, egal wie stark verschlüsselt sie sind: Sie haben kein Protokoll, keine Wiederherstellungsmöglichkeit und sind nicht skalierbar.
In drei Wochen implementieren
- Woche 1 — Vorbereiten. Produkt auswählen, Organisation erstellen, mit Microsoft 365 verbinden, Richtlinie festlegen (MFA obligatorisch, Mindestlänge 14). Abteilungsbezogene freigegebene Tresore erstellen und dorthin die Unternehmenspasswörter migrieren, die heute in Dateien und Post-its leben. Administrationsanmeldeinformationen (Firewall, Switches, Server, Domänen) identifizieren und in einen auf die IT beschränkten Tresor legen.
- Woche 2 — Pilot. Fünf bis zehn Personen aus verschiedenen Abteilungen, darunter jemand aus dem Management. 20-minütige Sitzung, Installation der Erweiterung und der Anwendung, Importieren der im Browser gespeicherten Passwörter. Sammeln, was schiefgelaufen ist.
- Woche 3 — Alle. 20-Minuten-Sitzungen pro Gruppe, mit einer klaren Regel: Ab heute werden neue Passwörter vom Manager generiert, und wiederverwendete werden bei ihrer Nutzung geändert. Nicht am ersten Tag zwingen, alles zu ändern – genau das ruft den Aufstand hervor.
Die Fehler, die zum Scheitern führen
Importieren ohne Erklärung (Leute umgehen, was sie nicht verstehen); Passwörter nicht aus dem Browser migrieren (man hat am Ende zwei Quellen und gibt auf); keine geteilten Tresore haben (das Team tauscht weiterhin Passwörter per E-Mail aus); das Smartphone vergessen (die Hälfte der Zugriffe erfolgt heute mobil); und das automatische Ausfüllen des Browsers nicht deaktivieren, das mit dem Manager konkurriert und viel unsicherer ist.
Was sich nach drei Monaten ändert
Einzigartige und lange Passwörter für alle neuen und die meisten alten Dienste. Niemand kennt das Passwort von jemand anderem – und das ist auch nicht nötig. Das Ausscheiden eines Mitarbeiters stellt kein Risiko mehr dar: Das Konto wird deaktiviert, und die geteilten Tresore verbleiben im Unternehmen. Die Anfragen zur “Passwortwiederherstellung” beim Support gehen drastisch zurück. Und das Unternehmen hat eine konkrete Antwort auf die Frage von NIS2 und der Versicherung: “Wie verwalten Sie die Zugangsdaten?”.
Wie passt es zu den anderen Maßen?
Der Passwort-Manager ist die zweite Identitätsmaßnahme nach der Multifaktor-Authentifizierung: MFA schützt das Konto selbst bei gestohlenem Passwort; der Manager sorgt dafür, dass das Passwort weder wiederverwendet noch schwach ist. Zusammen sind sie Schritt 1 von Zero Trust für KMU und die Basis der Passwortrichtlinie der sieben interne Cybersicherheitsrichtlinien. In unseren Verträgen Geführte Cybersicherheit Die Implementierung des Managers und die Verwaltung der Administrations-Safes sind Teil des Dienstes.
Häufig gestellte Fragen
Was ist, wenn der Lieferant des Managers angegriffen wird?
Mit End-to-End-Verschlüsselung speichert der Anbieter verschlüsselte Tresore, die nur das Master-Passwort des Benutzers öffnen kann. Ein Leck legt unlesbare Dateien frei. Aus diesem Grund muss das Master-Passwort lang und die MFA obligatorisch sein.
Reicht der Browser-Manager (Chrome, Edge) nicht aus?
Für den persönlichen Gebrauch ist es besser als nichts. Für ein Unternehmen gibt es keine geteilten Tresore, keine Verwaltung, keine Protokollierung und keine Wiederherstellung, und man ist an einen Browser und ein persönliches Konto gebunden.
Was passiert, wenn jemand das Master-Passwort vergisst?
Unternehmensmanager verfügen über eine administrative Wiederherstellung: Ein zugewiesener Administrator kann den Zugriff auf den Tresor der Person wiederherstellen. Das ist einer der Gründe, ein Unternehmensprodukt anstelle eines privaten zu verwenden.
Wie viel kostet das?
Unternehmensprodukte kosten in der Regel ein paar Euro pro Nutzer und Monat. Vergleichen Sie das mit den Kosten für einen einzigen Vorfall mit gestohlenen Anmeldeinformationen oder den Verlust des Zugriffs auf das Finanzamt-Portal, weil die Person, die das Passwort hatte, gegangen ist.
Möchten Sie einen Passwort-Manager ohne Aufhebanten einführen?
Wir wählen das Produkt gemeinsam mit Ihnen aus, richten die Organisation und die Tresore ein und führen die Sitzungen mit dem Team durch. Sehen Sie sich unsere Managed Cybersecurity für Unternehmen Oder rufen Sie 211 459 950 an.
