Passwort-Manager für Firmen: Zugänge, die im Unternehmen bleiben

Weil eine Liste genügt. Das Passwort für die Unternehmens-E-Mail ist eine Variante dessen für das ERP; das für das ERP ist dasselbe wie für einen privaten Onlineshop, der vor zwei Jahren ein Datenleck hatte; diese Liste wird verkauft. Man muss sie nur ausprobieren.

Die Ursache des Problems ist Arithmetik. Jeder Mitarbeitende hat mit 30 bis 80 Zugangsdaten zu tun: E-Mail, Verwaltungssoftware, Lieferantenportale, Onlinebanking, Cloud-Anwendungen, WLAN, Drucker, Social-Media-Konten der Marke. Niemand behält 80 lange, unterschiedliche Passwörter im Kopf, und die improvisierte Lösung ist immer dieselbe, wiederholen, auf einen Zettel am Monitor schreiben oder eine „passwords.xlsx“ anlegen.

• Team-Tresore Der Zugang zum Finanzamtsportal, zum Werbekonto oder zum Router gehört dem Unternehmen, nicht dem Gedächtnis einer Person. Ein Weggang bedeutet keinen Zugangsverlust mehr.
• Administrationskonsole Das Unternehmen fügt Benutzer hinzu und entfernt sie, setzt Regeln wie Mindestlänge und verpflichtende MFA durch und stellt Tresore bei Bedarf wieder her.
• Nutzungsprotokoll Es wird festgehalten, wer welche Zugangsdaten wann geöffnet hat, eine Information, die ein Audit oder NIS2 verlangen werden.
• Hygienewarnungen Schwache, wiederholte oder in bekannten Leaks enthaltene Passwörter werden markiert.
• Anbindung an Microsoft 365 Die Anmeldung erfolgt mit dem Unternehmenskonto, und wird dieses gesperrt, ist auch der Zugang zum Tresor gesperrt.

• Zero-Knowledge Ende-zu-Ende-Verschlüsselung: Nicht einmal der Anbieter kann den Inhalt der Tresore sehen.
• Erzwungene MFA Für alle Benutzer, ohne Ausnahmen.
• Berechtigungen nach Gruppen Ein Tresor pro Abteilung, mit kontrollierten Zugängen.
• Auf allen Bildschirmen Browsererweiterung und Smartphone-App.
• Governance Administrative Wiederherstellung und exportierbarer Aktivitätsverlauf.
• Datenschutz Unternehmen und Infrastruktur in der EU oder DSGVO-gleichwertige Garantien.
• Stabile Kosten Preis pro Benutzer, ohne Überraschungen.

Bewährte Unternehmenslösungen erfüllen praktisch alle diese Anforderungen. Den Ausschlag gibt am Ende die Benutzerfreundlichkeit, denn sie bestimmt die tatsächliche Akzeptanz. Eine Alternative, die ausscheidet: die geteilte Datei, auch verschlüsselt, ohne Verlauf, ohne Wiederherstellung und nicht skalierbar.

1. Erste Woche: Grundlagen: Auswahl der Lösung, Anlage der Organisation, Integration mit Microsoft 365 und Festlegen der Regeln (MFA verpflichtend, mindestens 14 Zeichen). Tresore pro Abteilung anlegen und die Zugangsdaten übertragen, die heute in Tabellen und auf Zetteln stehen. Die Administrator-Zugangsdaten (Firewall, Switches, Server, Domains) kommen in einen Tresor, der nur dem IT-Team offensteht.
2. Zweite Woche: Pilotgruppe: fünf bis zehn Personen aus verschiedenen Bereichen, mindestens eine aus der Geschäftsleitung. Eine 20-minütige Einweisung, Installation von Erweiterung und App, Import der im Browser gespeicherten Passwörter. Alles, was Fragen aufwarf, wird notiert.
3. Dritte Woche: Ausrollen: 20-minütige Einweisungen pro Gruppe und eine einzige Regel: Ab jetzt kommt jedes neue Passwort aus dem Manager, und alte, wiederholte Passwörter werden bei der nächsten Nutzung ersetzt. Am ersten Tag den Tausch aller Passwörter zu verlangen, ist das Rezept für Ablehnung.

• Fehlende Erklärung Was man nicht versteht, umgeht man.
• Vergessener Browser Bleiben die alten Passwörter in Chrome oder Edge, hat der Benutzer zwei Quellen und gibt die neue auf.
• Keine gemeinsamen Tresore Die Zugangsdaten zirkulieren weiter per E-Mail.
• Smartphone ignoriert Die Hälfte der Zugriffe erfolgt bereits am Telefon.
• Autofill im Browser aktiv Konkurriert mit dem Manager und ist weniger sicher.

Alle neuen und die meisten alten Dienste haben lange, eigene Passwörter. Niemand muss das Passwort eines anderen kennen. Der Weggang eines Mitarbeitenden wird zu einem Vorgang von Minuten: Das Konto wird gesperrt, und die gemeinsamen Tresore bleiben im Besitz des Unternehmens.

Anfragen zum Zurücksetzen von Passwörtern beim Helpdesk verschwinden fast. Und wenn der Versicherer oder ein NIS2-Verfahren fragt, wie Zugangsdaten verwaltet werden, gibt es eine dokumentierte Antwort.

Es ist die zweite Schutzschicht der Identität, direkt nach der Zwei-Faktor-Verifizierung (MFA). MFA stoppt den Angreifer, selbst wenn das Passwort gestohlen wurde; der Manager verhindert, dass das Passwort schwach oder wiederholt ist. Beide Maßnahmen bilden den Ausgangspunkt des Zero-Trust-Modells in vier Schritten für KMU und stützen die Passwortregel in den sieben internen Richtlinien, die jedes Unternehmen haben sollte.

In den Verträgen für Managed Cybersecurity von DataRoad - IT Services and Consulting sind die Einführung des Managers und die Administration der IT-Tresore im Service enthalten.

Wir wählen mit Ihnen die Lösung, konfigurieren Organisation und Tresore und führen die Einweisungen mit dem Team durch. Mehr über unsere Cybersecurity und Managed Firewalls. Unverbindliches Angebot.

Über 10 Arbeitsplätze · Servicevertrag · Remote-, Vor-Ort- und Telefonsupport.

Rufen Sie +351 211 459 950 * an oder schreiben Sie an sales@dataroad.pt.

*Anruf ins portugiesische Festnetz.