Passwort-Manager und Zwei-Faktor: Was braucht ein kleines Büro?

Warum reichen Passwörter allein nicht mehr?

Die meisten übernommenen Konten haben eine von zwei Ursachen: Das Passwort wurde bei einem anderen Dienst gestohlen und wiederverwendet, oder es wurde auf einer gefälschten Anmeldeseite eingegeben. Gegen das erste hilft ein eigenes Passwort pro Konto, gegen beides eine zweite Anmeldestufe.

Onlinesicherheit.gv.at empfiehlt für normale Konten mindestens zwölf Zeichen, für Administratorkonten längere Passwörter und für WLAN-Schlüssel und verschlüsselte Dateien mindestens 20 Zeichen. Niemand kann sich dutzende solcher Passwörter merken. Genau dafür gibt es Passwort-Manager.

Das eine Passwort, das Sie sich merken müssen

Mit einem Passwort-Manager bleibt nur ein Passwort im Kopf: das Hauptpasswort für den Tresor. Es sollte lang sein, nirgends sonst verwendet werden und sich trotzdem gut tippen lassen. Bewährt hat sich ein Satz aus vier oder fünf zufälligen Wörtern, die keinen Bezug zu Ihnen haben. Schreiben Sie es nicht auf einen Zettel am Bildschirm. Für den Notfall gehört es versiegelt in den Safe, zusammen mit den Wiederherstellungscodes.

Und der Passwortspeicher im Browser?

Chrome, Edge und Safari speichern Passwörter ebenfalls. Für eine Einzelperson ist das besser als ein einziges Passwort für alles. Für Betriebe fehlen aber geteilte Tresore, ein geregelter Notfallzugang und die Möglichkeit, einer ausgeschiedenen Person den Zugriff zentral zu entziehen. Wer auf einen Passwort-Manager umsteigt, sollte die im Browser gespeicherten Passwörter übertragen und dort anschließend löschen.

Was muss ein Passwort-Manager für ein Team können?

Ein Passwort-Manager speichert alle Zugangsdaten verschlüsselt in einem Tresor, der mit einem Hauptpasswort geschützt ist, und erzeugt auf Knopfdruck neue Passwörter. Für Teams kommen weitere Anforderungen dazu:

• Geteilte Tresore nach Bereichen, etwa Buchhaltung, Geschäftsführung, alle
• Zwei-Faktor-Anmeldung für den Tresor selbst
• Notfallzugang, damit der Betrieb nicht von einer Person abhängt
• Zugriff entziehen bei Austritt mit einem Klick
• Ausfüllen nur auf der richtig hinterlegten Adresse
• Export der Daten, falls Sie später wechseln
• Bei Online-Diensten: Serverstandort und Auftragsverarbeitungsvertrag prüfen

Onlinesicherheit.gv.at unterscheidet zwischen lokalen Passwort-Managern, die nur auf einem Gerät laufen, und Online-Diensten mit Synchronisation. Für Teams mit mehreren Geräten und geteilten Zugängen ist ein Online-Dienst meist praktischer, die Daten sind dort verschlüsselt gespeichert.

Wie lösen Sie geteilte Zugänge richtig?

In vielen Büros teilen sich mehrere Personen ein Login, etwa für das Postfach office@ oder das Lieferantenportal. Das ist bequem, macht aber jede Änderung unnachvollziehbar und erschwert die zweite Anmeldestufe. Besser:

• Gemeinsame Postfächer in Microsoft 365 als freigegebenes Postfach anlegen. Jede Person greift mit dem eigenen Konto darauf zu, ein eigenes Passwort gibt es nicht.
• Bei Portalen, die mehrere Benutzer erlauben, für jede Person einen eigenen Zugang anlegen.
• Wo das nicht geht, das Login in einem geteilten Tresor speichern und den zweiten Faktor dort hinterlegen, wo mehrere Berechtigte ihn erreichen.
• Nach dem Austritt einer Person alle geteilten Passwörter ändern, die sie kannte.

Welche Zwei-Faktor-Verfahren gibt es und welches ist sicher?

Bei der Zwei-Faktor-Anmeldung kommt zum Passwort ein zweiter Nachweis: etwas, das Sie besitzen, etwa ein Handy oder Schlüssel, oder ein biometrisches Merkmal. Das deutsche BSI hat die gängigen Verfahren bewertet. Der wichtigste Unterschied: Manche schützen auch gegen Phishing in Echtzeit, bei dem Angreifer den Code sofort weiterverwenden, andere nicht.

Das BSI empfiehlt Passkeys ausdrücklich als komfortable und phishingresistente Alternative. Onlinesicherheit.gv.at rät, Einmalcodes nicht auf dasselbe Gerät zu schicken, mit dem Sie sich anmelden. Für Einrichtungen unter dem NISG 2026 ist Mehr-Faktor-Authentifizierung eine der Mindestmaßnahmen, siehe NIS2 in Österreich.

Welche Konten zuerst absichern?

1. E-Mail und Microsoft 365, vor allem Administratorkonten. Mit E-Mail lassen sich fast alle anderen Passwörter zurücksetzen.
2. Online-Banking und Zahlungsdienste
3. Der Passwort-Manager selbst
4. Domain, DNS und Webhosting
5. Fernzugänge wie VPN und Fernwartung, siehe Homeoffice und VPN-Fernzugriff
6. Buchhaltung, Lohnverrechnung und FinanzOnline
7. Social-Media-Konten des Betriebs
8. Portale von Lieferanten und Großhändlern

Für Microsoft 365 lässt sich die Mehr-Faktor-Anmeldung für alle Konten zentral einschalten. Wie das mit den Sicherheitsstandards von Microsoft geht, steht im Ratgeber Microsoft 365 absichern.

Wie führen Sie beides in sechs Schritten ein?

1. **Bestand erfassen:** Welche Konten gibt es, wer nutzt sie, wo liegen heute die Passwörter? Excel-Listen und Zettel gehören dazu.
2. **Werkzeug wählen:** nach den Kriterien oben, mit einer Testphase für zwei Personen.
3. **Verwaltung und Notfall regeln:** mindestens zwei Personen mit Administratorrechten. Wiederherstellungscodes ausdrucken und versiegelt im Safe verwahren.
4. **Tresore anlegen:** pro Bereich ein geteilter Tresor, dazu ein persönlicher für jede Person.
5. **Team einschulen:** 30 Minuten reichen meist für die Grundfunktionen. Danach ändert jede Person ihre wichtigsten Passwörter auf neue, zufällige.
6. **Aufräumen:** alte Listen löschen, im Browser gespeicherte Passwörter übertragen und dort entfernen.

Für einzelne Passwörter ohne Manager, etwa einen WLAN-Schlüssel, können Sie unseren Passwort-Generator verwenden. Er erzeugt die Passwörter lokal in Ihrem Browser.

Was passiert, wenn das Handy weg ist?

Das BSI weist darauf hin, dass der Wiederherstellungsweg oft die Schwachstelle ist. Wer bei Verlust des Handys nur per E-Mail-Code wieder hineinkommt, hat die zweite Stufe praktisch ausgehebelt. Gerade in kleinen Betrieben ist das Handy oft privat, wird gewechselt oder geht verloren. Dann muss am selben Tag klar sein, wer hilft und wie die Person wieder arbeiten kann. Regeln Sie deshalb vorab:

• Für jedes wichtige Konto Backup-Codes erzeugen und sicher verwahren.
• Wo möglich, zwei Verfahren hinterlegen, etwa App und Sicherheitsschlüssel.
• In Microsoft 365 können Administratoren die Anmeldemethoden einer Person zurücksetzen. Dafür braucht es mindestens zwei Personen mit diesen Rechten.
• Bei Austritt: Konten sperren, Zugriff auf geteilte Tresore entziehen, betroffene Passwörter ändern.

Eintritt, Gerätewechsel und Austritt

Checkliste: Ist Ihr Büro gut aufgestellt?

• Jede Person nutzt den Passwort-Manager, keine Passwortlisten mehr.
• Kein Passwort wird für mehrere Konten verwendet.
• Mehr-Faktor-Anmeldung ist bei E-Mail, Banking und Fernzugang aktiv.
• Administratoren melden sich mit Passkey oder Sicherheitsschlüssel an.
• Backup-Codes liegen versiegelt an einem sicheren Ort.
• Es gibt einen Ablauf für Eintritt und Austritt.
• Das Team weiß, wie gefälschte Anmeldeseiten aussehen, siehe Phishing erkennen.

Weitere Grundmaßnahmen wie Updates und Datensicherung fasst der Beitrag IT-Sicherheit für KMU zusammen.

Ihr nächster Schritt: Stand prüfen und Einführung planen

Der IT-Sicherheits-Check zeigt in wenigen Minuten, wo Ihr Büro bei Passwörtern und Zwei-Faktor-Anmeldung steht. Die Einführung im Team übernehmen wir im Rahmen unserer IT-Sicherheit für kleine Unternehmen. Das Sperren und Anlegen von Benutzern gehört danach zur laufenden IT-Betreuung um 35 € je Arbeitsplatz und Monat. Für eine Einschätzung schreiben Sie uns, wie viele Personen und Konten betroffen sind.