Die kurze Antwort: Eine gemeinsam genutzte Passworttabelle oder eine Nachricht in Teams scheitert beim ersten Personalwechsel – niemand kann sagen, wer was kopiert hat, sodass sämtliche Passwörter geändert werden müssen. Ein Passwortmanager für Unternehmen speichert sie in einem verschlüsselten Tresor und vergibt den Zugriff an Personengruppen, statt Passwörter per Nachricht zu verschicken. Für ein kleines Unternehmen ohne eigene IT-Abteilung gibt es in der Praxis drei sinnvolle Optionen: Bitwarden (Open Source und auf einem eigenen Server betreibbar), 1Password (Administratoren können den Zugang bei vergessenem Passwort wiederherstellen) und Keeper (detaillierte Rollenregeln und Übertragung des Tresors nach dem Ausscheiden einer Person). Die Einrichtung dauert in einem kleinen Unternehmen einen Nachmittag; bis sich alle daran gewöhnt haben, vergehen meist einige Wochen.
Warum eine gemeinsam genutzte Passworttabelle irgendwann zum Problem wird
In den meisten kleinen Unternehmen sieht es ähnlich aus: Auf dem gemeinsamen Laufwerk liegt eine Datei namens passwoerter.xlsx, alternativ gibt es eine Notiz in OneNote oder eine angeheftete Nachricht im Teamchat. Das funktioniert jahrelang – bis eines von vier Ereignissen eintritt.
Jemand verlässt das Unternehmen. In diesem Moment können Sie nicht feststellen, welche Zugangsdaten diese Person kannte. Sie hatte die Tabelle vielleicht hundertmal geöffnet und konnte sie kopieren, mit dem Smartphone fotografieren oder nach Hause schicken. Die einzig konsequente Reaktion besteht darin, sämtliche Passwörter im Unternehmen zu ändern. Bei mehreren Dutzend Diensten bedeutet das einen ganzen Arbeitstag und fast zwangsläufig auch einen Ausfall, weil ein vom Abrechnungsprogramm verwendetes Konto vergessen wird. Wenn Sie sich bereits in dieser Situation befinden, lesen Sie den Leitfaden Ihr IT-Mitarbeiter ist gegangen – so übernehmen Sie die Unternehmens-IT. Dieser Artikel erklärt, wie Sie künftig gar nicht erst in diese Lage geraten.
Niemand weiß, wer welche Zugangsdaten kennt. Eine Tabelle führt kein Zugriffsprotokoll. Sie können nicht feststellen, wer sie wann geöffnet hat, ob die Buchhalterin auch den Zugang zur Website-Administration abgeschrieben hat oder wer das Passwort für den Onlineshop an einen externen Grafiker weitergegeben hat. Ohne diese Informationen lässt sich nach einem Vorfall dessen Umfang nicht bestimmen – und genau danach wird die Versicherung als Erstes fragen.
Dasselbe Passwort wird überall verwendet. Eine Tabelle verleitet Menschen dazu, sich Passwörter merken zu wollen. Dadurch sind sie meist kurz und werden mehrfach verwendet. Ein einziges kompromittiertes Passwort aus dem Datenleck eines unabhängigen Dienstes öffnet dann plötzlich den Zugang zu Unternehmens-E-Mail, Bankkonto und Buchhaltung. Wie sich ein solcher Vorfall weiterentwickelt, beschreibt der Artikel Ransomware im Unternehmen: die ersten 24 Stunden.
Die Datei vervielfältigt sich. Sie wird auf den Desktop kopiert, an eine E-Mail angehängt oder im Downloadordner gespeichert. Nach einigen Jahren existieren mehrere Versionen an verschiedenen Orten, von denen manche noch immer gültige Passwörter enthalten. Und selbst wenn Sie die Datei mit einem Passwort schützen, kennen dieses Passwort alle, die auf die Datei zugreifen dürfen.
Wie ein Passwortmanager funktioniert
Das Prinzip ist einfach – und es lohnt sich, es zu verstehen, bevor Sie ein Produkt auswählen.
Der Tresor wird auf Ihrem Gerät verschlüsselt, nicht erst beim Anbieter. Die Daten werden bereits auf Ihrem Computer verschlüsselt, bevor sie übertragen werden. Bitwarden beschreibt dies in seiner Sicherheitsdokumentation als Ende-zu-Ende-Verschlüsselung mit AES-256. Der Schlüssel wird dabei mithilfe von PBKDF2 oder Argon2id aus dem Hauptpasswort abgeleitet; weder das Hauptpasswort noch die Schlüssel werden an die Server übertragen. Dasselbe Modell – im Fachjargon „Zero Knowledge“ – verwenden auch 1Password und Keeper. Praktisch bedeutet das: Wer Daten von den Servern des Anbieters stiehlt, erhält ein verschlüsseltes Paket und keine lesbaren Passwörter.
Für den Zugang benötigen Sie ein Hauptpasswort und einen zweiten Faktor. Das Hauptpasswort (Master Password) ist das einzige Passwort, das Sie sich merken müssen. Deshalb sollte es lang sein und eher aus einem Satz als aus einem einzelnen Wort bestehen. Hinzu kommt ein zweiter Faktor: eine App auf dem Smartphone, ein Hardwareschlüssel oder gegebenenfalls die Anmeldung über das Unternehmenskonto.
Die Browsererweiterung füllt Zugangsdaten nur auf der richtigen Domain aus. Bitwarden speichert zu jedem Eintrag eine Adresse. Der standardmäßige Abgleichmodus lautet „Base Domain“: Ein für google.com gespeichertes Passwort wird auf accounts.google.com angeboten, nicht jedoch auf google.net. Auf einer betrügerischen Seite, die wie das Login Ihrer Bank aussieht, aber unter einer anderen Domain läuft, bleibt die Erweiterung stumm – nicht weil sie den Betrug erkennt, sondern weil die Domain nicht übereinstimmt. Dieses Schweigen ist ein Signal: Wenn ein Passwort plötzlich nicht mehr angeboten wird, obwohl es sonst immer erscheint, ist das keine Störung, sondern eine Warnung.
Freigeben bedeutet nicht versenden. Ein Passwort wird einer Person nicht per Nachricht geschickt, sondern in einer Gruppe von Einträgen gespeichert, auf die bestimmte Personen Zugriff haben. Wird das Passwort geändert, steht die neue Version sofort allen Berechtigten zur Verfügung.
Bitwarden vs. 1Password vs. Keeper
Alle drei sind etablierte Lösungen mit Tarifen für Unternehmen und werden monatlich pro Benutzer abgerechnet. Preise ändern sich; prüfen Sie diese daher immer auf der Website des Herstellers. Die folgende Tabelle vergleicht Eigenschaften, die nicht von kurzfristigen Preisänderungen abhängen.
| Eigenschaft | Bitwarden | 1Password | Keeper |
|---|---|---|---|
| Quellcode und Betrieb | Der Code ist auf GitHub frei einsehbar; Betrieb auf einem eigenen Server möglich, kostenpflichtige Funktionen werden durch eine an ein aktives Abonnement gebundene Lizenz freigeschaltet | Proprietärer Code, Cloud-Dienst des Herstellers | Proprietärer Code, Cloud-Dienst des Herstellers |
| Strukturierung der Zugriffe | Organisation → Sammlungen; Zuweisung an einzelne Personen und Gruppen, Verschachtelung nur zur besseren Übersicht (Berechtigungen werden nicht vererbt) | Tresore (Vaults) + eigene Gruppen nach Projekt, Abteilung oder Standort | Freigegebene Ordner + Teams + Rollen |
| Berechtigungsstufen | Auf Sammlungsebene (Lesen, Bearbeiten und weitere Berechtigungen je nach Rolle) | Auf Tresorebene: View, Create, Edit, Archive und Delete Items | Can Manage Users / Can Manage Records / beides / keines; zusätzlich Enforcement Policies für das Erstellen und Freigeben |
| Anmeldung mit dem Unternehmenskonto (SSO) | Login with SSO, SAML 2.0 und OIDC im Enterprise-Tarif; zusätzlich SCIM-Provisioning | Unlock with SSO nur im Business-Tarif (Entra ID, Okta, Google Workspace, JumpCloud, Duo, OneLogin, Ping, Auth0); Mitglieder der Gruppe Owners können nicht per SSO entsperren, damit sie sich nicht selbst aussperren | Keeper SSO Connect, SAML 2.0 – AD FS, Entra ID, Okta, Google Workspace, Ping, JumpCloud und weitere |
| Audits und Berichte | Organisationsberichte: offengelegte, wiederverwendete und schwache Passwörter, Websites ohne Verschlüsselung, fehlende Zwei-Faktor-Authentifizierung, Member Access | Auditprotokoll mit einer Historie von 365 Tagen (Gruppen, Einträge, Freigaben, MFA-Änderungen), Berichte zu Teams und Geräten, Watchtower | Advanced Reporting & Alerts – protokolliert Zugriffe, Änderungen, Freigaben und Löschvorgänge in freigegebenen Ordnern |
| Ausscheiden eines Mitarbeiters | Das Entfernen oder Sperren eines Mitglieds beendet dessen Zugriff auf Sammlungen | Entfernung aus Gruppen und Tresoren | Das Entfernen aus einem Team widerruft automatisch den Zugriff auf den Ordner; die Account Transfer Policy überträgt den gesamten Tresor an einen anderen Benutzer |
| Vergessenes Hauptpasswort | Der Administrator setzt die Zugangsdaten zurück, aber nur für Mitglieder, die zuvor für das Wiederherstellungsprogramm registriert wurden | Die Wiederherstellung wird von einem Eigentümer, Administrator oder einer Gruppe mit der Berechtigung Recover Accounts gestartet; der Benutzer erhält einen neuen Secret Key | Wiederherstellungsphrase aus 24 Wörtern (BIP39), die bei der Einrichtung des Kontos erstellt wird; Keeper hat keinen Zugriff darauf und kann bei der Wiederherstellung nicht helfen |
So treffen Sie die richtige Wahl
Bitwarden ist sinnvoll, wenn Sie den Quellcode einsehen oder die Daten auf einem eigenen Server speichern möchten. Self-Hosting ist kostenlos, kostenpflichtige Funktionen erfordern jedoch eine an ein aktives Abonnement gebundene Lizenz. Außerdem muss jemand den Server aktualisieren und sichern. Gibt es im Unternehmen keine Person, die das zuverlässig übernimmt, sollten Sie den Cloud-Dienst des Herstellers nutzen und den offenen Quellcode als Vorteil für die Überprüfbarkeit betrachten.
1Password eignet sich für Unternehmen, die damit rechnen müssen, dass Mitarbeiter ihre Passwörter vergessen. Für die Wiederherstellung eines Kontos durch einen Administrator muss der Benutzer zuvor nichts notieren. Mindestens zwei Personen sollten jedoch zur Wiederherstellung berechtigt sein. Die Dokumentation weist ausdrücklich darauf hin, weil sich das Unternehmen andernfalls aussperrt, sobald der einzige Administrator seinen Zugang verliert.
Keeper bietet sich an, wenn viele Rollen bestehen und genau festgelegt werden muss, wer Einträge erstellen, freigeben und weiterleiten darf. Die Richtlinie zur Kontoübertragung kommt der Vorstellung vieler Inhaber am nächsten: „Ich möchte sicher sein, dass ich nach dem Ausscheiden einer Person weiterhin auf alles zugreifen kann.“ Sie muss allerdings im Voraus aktiviert werden, und das Konto wird nach der Übertragung gelöscht.
Die Unternehmensfunktionen, wegen derer Sie den Passwortmanager einführen
Ein Unternehmenstarif unterscheidet sich von der persönlichen Version durch drei entscheidende Funktionen.
Gemeinsame Sammlungen nach Teams. Die Buchhaltung sieht das Bankkonto und die Buchhaltungssoftware, der Vertrieb das CRM und den Onlineshop, das Marketing die sozialen Netzwerke und die Analysewerkzeuge. Außer den Administratoren sieht niemand alles. Eine Aufteilung nach Rollen ist keine Bürokratie, sondern begrenzt den Schaden, wenn ein einzelnes Konto in falsche Hände gerät.
Zugriff mit einem einzigen Vorgang entziehen. Beim Ausscheiden einer Person genügt es, sie aus der Organisation oder dem Team zu entfernen. Die Passwörter müssen nicht geändert werden. Genau darin liegt der Unterschied zu einer Tabelle, bei der sämtliche Passwörter ausgetauscht werden müssen.
Berichte über schwache und wiederverwendete Passwörter. Sowohl Bitwarden als auch 1Password können den Tresor prüfen und anzeigen, wo dasselbe Passwort für mehrere Dienste verwendet wird, welche Passwörter zu kurz sind und welche in Datenlecks aufgetaucht sind. Führen Sie diesen Bericht nach der Einführung einmal aus – der Import aus Browsern bringt häufig eine überraschend lange Liste zum Vorschein.
Falls Ihr Unternehmen unter den zákon o kybernetické bezpečnosti a NIS2 fällt, gehören die Dokumentation von Zugriffsrechten und deren Entzug zu den Maßnahmen, die Sie nachweisen müssen. Ein Passwortmanager allein stellt die Compliance nicht sicher, doch ohne ihn lässt sich dieser Teil praktisch überhaupt nicht belegen.
Was das Datenleck bei LastPass gezeigt hat
Es sollte nicht verschwiegen werden, dass auch ein Passwortmanager selbst ein Angriffsziel ist. LastPass veröffentlichte am 22. Dezember 2022 eine Aktualisierung zu dem Vorfall, der im August 2022 in der Entwicklungsumgebung begann und sich im November im Cloud-Speicher fortsetzte. Nach Angaben des Unternehmens kopierte der Angreifer eine Sicherung der Kundendaten einschließlich einer Sicherung der Tresore. Darin waren Website-Adressen unverschlüsselt gespeichert, während Benutzernamen, Passwörter, sichere Notizen und Formulardaten mit AES-256 verschlüsselt waren. Das Hauptpasswort kennt und speichert LastPass nach eigenen Angaben nicht.
Die Lehren daraus gelten unabhängig vom gewählten Produkt. Das Hauptpasswort muss lang sein und darf nirgendwo sonst verwendet werden – nach dem Diebstahl einer Sicherung ist seine Stärke die einzige Barriere zwischen dem Angreifer und dem Inhalt. Und auch Metadaten sind Informationen: Eine Liste von Adressen verrät, welche Dienste das Unternehmen verwendet, und reicht damit bereits für gezielte Phishing-Angriffe aus.
Migration: So läuft die Einführung ab
Dieses Vorgehen hat sich bei Unternehmen mit bis zu fünfzig Mitarbeitern bewährt.
1. Erfassen Sie alle vorhandenen Zugänge. Erstellen Sie eine Liste der Dienste: E-Mail, Bank, Buchhaltung, Onlineshop, CRM, Domain, Hosting, soziale Netzwerke, VPN, Kameras und Drucker. Meist sind es mehr, als irgendjemand erwartet. Notieren Sie zu jedem Dienst, wer ihn verwendet.
2. Exportieren Sie die Passwörter aus den Browsern. In Chrome führt der Weg über chrome://password-manager/settings und die Option zum Herunterladen der Datei. Das Ergebnis ist eine CSV-Datei, die anschließend in den Tresor importiert wird. Diese Datei enthält lesbaren Klartext. Die Dokumentation von Bitwarden verlangt ausdrücklich, sie nach dem Import zu löschen und auch den Papierkorb zu leeren. Versenden Sie die Datei weder per E-Mail noch über einen Chat.
3. Richten Sie die Sammlungsstruktur ein, bevor Sie Mitarbeiter einladen. Benennen Sie Sammlungen nach Aufgabenbereichen und nicht nach Personen. „Buchhaltung“, „Website und Onlineshop“ oder „Infrastruktur“ überdauern Personalwechsel; „Peters Passwörter“ tut das nicht.
4. Führen Sie das System teamweise ein. Beginnen Sie dort, wo die meisten gemeinsam genutzten Zugänge bestehen – gewöhnlich bei der Website-Verwaltung und in der Buchhaltung. Ein Team, eine Woche, Rückmeldungen sammeln, dann das nächste Team. Eine unternehmensweite Einführung an einem einzigen Tag endet häufig mit zwei parallelen Verzeichnissen statt mit einem.
5. Deaktivieren Sie das Speichern von Passwörtern im Browser. Andernfalls sammeln sich dort weiterhin neue Passwörter an und der Tresor veraltet. Löschen Sie die Passwörter nach dem abgeschlossenen Import aus dem Browser.
6. Regeln Sie die Wiederherstellung, bevor jemand sein Hauptpasswort vergisst. Dieser Schritt wird am häufigsten übersprungen und verursacht später die größten Probleme. Bei Bitwarden müssen Mitglieder im Voraus registriert werden; ohne diese Registrierung kann der Administrator ihr Passwort nicht zurücksetzen. Bei 1Password sollten mindestens zwei Personen zur Wiederherstellung berechtigt sein. Bei Keeper erhält der Benutzer während der Einrichtung eine Wiederherstellungsphrase aus 24 Wörtern. Geht sie verloren und wird zugleich das Passwort vergessen, kann selbst der Support des Herstellers nicht helfen. Drucken Sie die Phrase aus und bewahren Sie sie bei den Unternehmensunterlagen auf.
7. Halten Sie den Prozess für ausscheidende Mitarbeiter schriftlich fest. Legen Sie fest, wer aus welchen Sammlungen entfernt wird, wer dies kontrolliert und bis wann es erledigt sein muss. Ohne einen solchen Prozess bleiben ehemalige Mitarbeiter mitunter monatelang Mitglied der Organisation.
8. Führen Sie nach einem Monat die Berichte aus. Prüfen Sie schwache, wiederverwendete und kompromittierte Passwörter und ändern Sie alle gefundenen problematischen Zugangsdaten. Gleichzeitig zeigt sich, ob die Mitarbeiter das Werkzeug tatsächlich verwenden.
Zum Schluss zwei häufige Fehler. Wird ein Konto von mehreren Personen verwendet – typischerweise etwa „buero@“ –, verliert das Zugriffsprotokoll seinen Sinn, weil nicht mehr erkennbar ist, wer welche Aktion ausgeführt hat. Richten Sie daher nach Möglichkeit für jede Person ein eigenes Konto ein. Außerdem ist ein Passwortmanager keine Datensicherung: Er schützt Zugänge, nicht die eigentlichen Daten. Welche Leistungen die einzelnen Stufen der IT-Betreuung umfassen, erläutert der Artikel Was kostet die IT-Betreuung für ein kleines Unternehmen?.
Benötigen Sie Unterstützung?
ITHOPE (Brno) unterstützt Unternehmen bei der Auswahl und Einführung eines Passwortmanagers passend zur Mitarbeiterzahl und zu den jeweiligen Aufgabenbereichen. Wir bauen die Sammlungsstruktur auf, importieren Passwörter aus Browsern und alten Tabellen, richten die Wiederherstellung des Hauptpassworts so ein, dass sich das Unternehmen nicht selbst aussperren kann, und dokumentieren einen praktikablen Prozess für ausscheidende Mitarbeiter. Dies ergänzt unsere reguläre IT-Betreuung und Datensicherung; weitere Leistungen finden Sie im Bereich IT für Unternehmen. Kontaktieren Sie uns – wir gehen gemeinsam durch, welche Dienste Ihr Unternehmen nutzt, und sagen Ihnen, ob ein Basistarif ausreicht oder SSO sinnvoll ist.
Quellen
- Bitwarden Security Whitepaper
- About Collections (Bitwarden)
- Account recovery administration (Bitwarden)
- URI match detection (Bitwarden)
- Import from Chrome (Bitwarden)
- Recover accounts (1Password)
- Unlock with SSO (1Password)
- Account Transfer Policy (Keeper)
Wo Sie uns finden
ITHOPE ist eine Firma aus Brno, Tschechien: wir machen Datenrettung von Festplatten, RAID und NAS, PC- und Notebook-Service und IT für Unternehmen, alles im eigenen Labor in der Viniční 3587/216, 615 00 Brno.
Telefon +420 775 556 063 (rund um die Uhr). Das Gerät können Sie persönlich bringen oder per Kurier schicken (Zásilkovna, PPL).