Warum schwache Passwörter deine größte Sicherheitslücke sind

Wenn dein Team Passwörter für verschiedene Tools wiederverwendet, bist du damit nicht allein. Im Jahr 2024 gaben 84 % der Befragten in einer weltweiten Umfrage zu, Passwörter für mehrere Konten wiederzuverwenden (Bitwarden, Umfrage zum Weltpassworttag 2024). Für kleine und mittelständische Unternehmen ist diese Gewohnheit besonders gefährlich: 81 % der durch Hackerangriffe verursachten Sicherheitsverletzungen stehen seit langem im Zusammenhang mit schwachen oder gestohlenen Passwörtern (Verizon Data Breach Investigations Report).

Das Risiko wächst schnell. Schatten-IT breitet sich aus, wenn sich Mitarbeitende mit privaten Passwörtern bei Tools anmelden, die niemand im Blick hat. Wenn jemand das Unternehmen verlässt, bleiben seine Zugangsdaten bestehen. Und ohne Übersicht darüber, wer auf was zugreifen kann, kann ein einziger kompromittierter Login eine Kettenreaktion durch deine gesamte Systemlandschaft auslösen.

Dieser Leitfaden führt dich durch die praktische Einführung eines Passwortmanagers für dein Team – von der Bestandsaufnahme deiner aktuellen Situation über die Durchsetzung der Nutzung bis hin zur Einbindung der Zugangsdatenverwaltung in deine IT-Sicherheitsgrundlagen.

Was du brauchst, bevor du loslegst

• Eine Bestandsaufnahme der SaaS-Tools und gemeinsam genutzten Konten, die dein Team derzeit verwendet
• Ein grobes Organigramm oder eine Teamstruktur, um zu planen, wie die Tresore organisiert werden sollen
• Administratorzugriff auf den Identitätsanbieter oder die E-Mail-Domain deines Unternehmens, falls du Single Sign-On durchsetzen möchtest (optional für eine einfache Einführung)

Schritt 1: Analysiere deine aktuelle Passwortlandschaft

Bevor du dich für ein Tool entscheidest, verschaffe dir einen klaren Überblick über deine Sicherheitsrisiken. Sprich mit jedem Teamleiter und ermittle, welche Tools sein Team täglich nutzt, welche Zugangsdaten unter Kolleginnen und Kollegen geteilt werden und wo die Multi-Faktor-Authentifizierung (MFA, also ein zusätzlicher Verifizierungsschritt über das Passwort hinaus) fehlt.

Achte auf die häufigsten Warnsignale: in Tabellenkalkulationen gespeicherte Zugangsdaten, über Slack oder E-Mail weitergegebene Passwörter sowie „generische" Konten wie info@ oder support@, auf die mehrere Personen mit denselben Zugangsdaten zugreifen. Diese Bestandsaufnahme muss am ersten Tag noch nicht vollständig sein. Beginnt mit den Tools, die sensible Daten enthalten: euer CRM, eure Finanzsoftware, euer Cloud-Speicher und eure E-Mail.

Schritt 2: Wähle einen Passwortmanager, der zu deiner Teamgröße und deiner Systemlandschaft passt

Bewerte Business-Lösungen (1Password, LastPass und ähnliche Tools) anhand der Kriterien, die für ein wachsendes KMU tatsächlich wichtig sind:

• Kosten pro Nutzer: Die Preise reichen von kostenlos (Open-Source, selbst gehostet) bis zu etwa 8 € pro Nutzer und Monat. Achte darauf, dass der Tarif Administratorfunktionen enthält.
• SSO-Unterstützung: Wenn du bereits einen Identitätsanbieter nutzt, prüfe, ob sich der Passwortmanager damit integrieren lässt.
• Administratorfunktionen: Du musst in der Lage sein, Richtlinien durchzusetzen, Konten zurückzusetzen und Zugriffsrechte zentral zu widerrufen.
• Datenspeicherort: Für DACH-Teams gilt: Klärt ab, wo der Anbieter die Tresordaten speichert. Ein DSGVO-konformes Hosting innerhalb der EU ist eine echte Voraussetzung, kein „Nice-to-have".
• Sprachunterstützung: Eine deutschsprachige Benutzeroberfläche senkt die Hürde beim Onboarding nicht-technischer Kolleginnen und Kollegen.

Eines solltest du vor der Entscheidung unbedingt klären: Das Tool muss die Durchsetzung von MFA direkt im Tresor unterstützen. Ein Passwortmanager ohne MFA für das Hauptkonto schafft einen Single Point of Failure. Wenn du außerdem planst, die Zwei-Faktor-Authentifizierung unternehmensweit einzuführen, wähle einen Manager, der die Einrichtung von MFA für jeden Nutzer unkompliziert gestaltet.

Bleib in dieser Phase noch toolunabhängig. Es gibt keine einzig beste Option; die richtige Wahl hängt von deiner bestehenden Infrastruktur, der Teamgröße und deinem Budget ab.

Schritt 3: Strukturiere Tresore und Zugriffsrechte nach Teams

Lege gemeinsame Tresore pro Abteilung oder Funktionsbereich an, anstatt alles in einen einzigen unternehmensweiten Tresor zu packen. Eine typische Konfiguration für ein Unternehmen mit 30 Mitarbeitenden könnte separate Tresore für Marketing, Finanzen und Technik sowie einen gemeinsamen „Operations"-Tresor für Tools umfassen, die alle nutzen.

Wende das Prinzip der geringsten Berechtigungen an: Jede Person sieht nur die Zugangsdaten, die sie tatsächlich benötigt. Ein Praktikant im Marketing braucht keinen Zugriff auf die Bankzugangsdaten des Finanzteams. Bei den meisten Passwortmanagern für Unternehmen können Admins den Zugriff auf Tresore nach Gruppen zuweisen, was sich direkt an deinem Organigramm orientiert.

Schritt 4: Führe dein Team reibungslos ein

Das größte Risiko bei jeder Einführung ist, dass die Mitarbeitenden das Tool schlicht nicht nutzen. Halte die Einweisung kurz und praxisnah. Eine 15-minütige praktische Session reicht aus, um die Grundlagen zu vermitteln: die Browser-Erweiterung installieren, ein erstes Passwort speichern und die automatische Ausfüllfunktion auf einer echten Anmeldeseite nutzen.

Migriert bestehende Zugangsdaten schrittweise nach Teams, anstatt eine „Big-Bang"-Umstellung zu erzwingen. Beginnt mit einer Abteilung, sammelt Feedback, behebt eventuelle Kinderkrankheiten und geht dann zur nächsten Gruppe über. Mitarbeitende nehmen Tools schneller an, wenn sie sehen, dass Kolleginnen und Kollegen sie bereits erfolgreich einsetzen.

Schritt 5: Setze die Nutzung durch und kombiniere sie mit MFA

Lege eine klare Frist fest, nach der alte Passwortpraktiken nicht mehr akzeptiert werden: keine Tabellenkalkulationen, Haftnotizen oder im Browser gespeicherten Passwörter mehr. Kommuniziere dies zwei bis drei Wochen im Voraus, damit die Mitarbeitenden genug Zeit für die Umstellung haben.

Führe gleichzeitig MFA für alle kritischen Tools ein. Die beiden Maßnahmen verstärken sich gegenseitig: Der Passwortmanager übernimmt die Speicherung und Generierung der Zugangsdaten, während MFA den Anmeldevorgang selbst absichert. Zusammen schließen sie die Lücke, die durch die Wiederverwendung von Zugangsdaten entsteht. KMUs verzeichneten im Jahr 2024 etwa viermal so viele bestätigte Sicherheitsvorfälle wie große Unternehmen (Verizon Data Breach Investigations Report) – mehrschichtiger Schutz ist für kleinere Teams daher kein Luxus, sondern ein Muss.

Schritt 6: Verbinde die Zugangsdatenverwaltung mit Onboarding und Offboarding

Ein Passwortmanager bleibt nur dann sicher, wenn der Zugriff sofort widerrufen wird, sobald jemand das Unternehmen verlässt. Wenn eine Mitarbeiterin oder ein Mitarbeiter ausscheidet, müssen der Zugriff auf den Tresor, gemeinsam genutzte Zugangsdaten und Tool-Konten noch am selben Tag bereinigt werden – nicht erst Wochen später, wenn jemand bemerkt, dass der Zugang noch aktiv ist.

Nimm die Entfernung aus dem Passwortmanager in deine Offboarding-Checkliste auf. Besser noch: Automatisiere diesen Vorgang. Hier schließt eine zentrale IT-Verwaltung für KMU die Lücke. Plattformen wie deeploi verwalten den gesamten Lebenszyklus der Konten in deiner Systemlandschaft – einschließlich des Passwortmanagers: Sie gewähren Zugriff, wenn jemand neu einsteigt, und deaktivieren ihn zentral am letzten Arbeitstag, sodass nach dem Ausscheiden nichts mehr übrig bleibt.

Fehlerbehebung: Häufige Probleme bei der Einführung

Teammitglieder vergessen ihr Master-Passwort: Richte Optionen zur Kontowiederherstellung vor der Einführung ein, nicht danach. Die meisten Passwortmanager für Unternehmen bieten eine administratorgestützte Wiederherstellung oder Notfallkontakte an. Konfiguriere diese bereits bei der Einrichtung.

Widerstand von langjährigen Mitarbeitenden: Stelle die Änderung unter dem Gesichtspunkt der Bequemlichkeit dar, nicht der Compliance. Die automatische Ausfüllfunktion bedeutet weniger Passwort-Zurücksetzungen, weniger gesperrte Konten und kein mühsames Durchsuchen alter E-Mails nach Zugangsdaten mehr. Betone, was den Arbeitsalltag erleichtert.

Gemeinsam genutzte „generische" Konten, für die niemand die Verantwortung übernehmen will: Weise jedem gemeinsam genutzten Login eine klar verantwortliche Person zu. Diese ist dafür zuständig, das Passwort zu ändern, wenn sich die Teamzusammensetzung ändert. Gemeinsam genutzte Logins ohne feste Verantwortliche sind am anfälligsten für Angriffe und werden am seltensten bemerkt.

FAQ

Brauchen wir noch MFA, wenn wir einen Passwortmanager nutzen?

Ja, immer. Ein Passwortmanager schützt, wie Zugangsdaten gespeichert und generiert werden. MFA schützt den Anmeldevorgang selbst, indem sie einen zweiten Verifizierungsschritt verlangt. Sie lösen unterschiedliche Probleme, und du brauchst beides. Stell dir den Passwortmanager als Schloss vor und MFA als den Riegel.

Welcher Passwortmanager eignet sich am besten für kleine Teams in der DACH-Region?

Es gibt kein einziges bestes Tool. Konzentriere dich auf drei Dinge: DSGVO-konformes Datenhosting (idealerweise innerhalb der EU), deutschsprachige Unterstützung für dein Team und die Integration in deine bestehende Identitätsinfrastruktur. Teste zwei oder drei Optionen mit einer kleinen Gruppe, bevor du dich unternehmensweit festlegst.

Wie passt ein Passwortmanager in einen Zero-Trust-Sicherheitsansatz?

Er deckt eine wichtige Ebene ab: die Hygiene der Zugangsdaten. Zero Trust erfordert jedoch auch Gerätevertrauen, granulare Zugriffskontrollen und kontinuierliche Verifizierung. Ein Passwortmanager ist ein Ausgangspunkt, nicht die gesamte Strategie. Umfassendere Cybersicherheitsmaßnahmen und IT-Management schließen die verbleibenden Lücken.

Nächste Schritte

Ein Passwortmanager ist ein Baustein der IT-Sicherheitshygiene, nicht das gesamte Fundament. Kombiniere ihn mit Gerätemanagement, automatisiertem Onboarding und Offboarding sowie regelmäßigen Zugriffsprüfungen, um eine Sicherheitsstrategie aufzubauen, die tatsächlich mit deinem Team mitwächst. Die Ebene der Zugangsdaten musst du heute in Ordnung bringen; die Ebene des Zugriffsmanagements sorgt dafür, dass sie morgen sicher bleibt.

Wenn das Zugriffsmanagement der Bereich ist, den du wirklich richtig aufsetzen möchtest, dann ist das genau das, was deeploi für wachsende Teams übernimmt: automatisiertes Onboarding und Offboarding, zentrale Kontrolle darüber, wer auf welche Tools zugreifen darf, sowie Gerätemanagement an einem Ort – unterstützt von IT-Experten.