Gemeinsame Passwörter im Team: Schluss mit Excel und Zuruf

„Wer hat das Passwort für das Lieferantenportal?“ Eine einfache Frage, die in einem kleinen Büro erstaunlich viel Zeit kosten kann. Jemand durchsucht alte E-Mails, jemand öffnet eine Excel-Liste, und am Ende wird die Kollegin im Urlaub angerufen. Wenn der Zugang endlich funktioniert, wird er vorsichtshalber noch an drei weitere Personen geschickt. Das Problem ist gelöst. Bis zum nächsten Passwortwechsel.

Es geht dabei nicht nur um Bequemlichkeit. Ein gemeinsam genutzter Zugang braucht Regeln: Wer darf ihn verwenden, wer hält ihn aktuell, und was passiert, wenn jemand das Unternehmen verlässt?

Nicht jedes Konto sollte geteilt werden

Der erste Schritt ist keine neue Software, sondern eine Bestandsaufnahme. Wo eine Anwendung persönliche Benutzerkonten mit passenden Rollen unterstützt, sind diese meistens die bessere Wahl. Jede Person meldet sich selbst an, erhält die nötigen Rechte und kann beim Austritt einzeln gesperrt werden. Ein gemeinsamer Bürozugang verwischt dagegen, wer etwas geändert oder freigegeben hat.

Trotzdem bleiben Ausnahmen. Ein älteres Portal kennt vielleicht nur ein Konto. Eine technische Verwaltung lässt sich nicht vollständig auf einzelne Benutzer aufteilen. Dafür braucht es eine kontrollierte gemeinsame Ablage, nicht die nächste Liste namens „Passwörter_neu_final“.

Wichtig ist, Ausnahmen auch als solche zu behandeln. Nur weil ein Zugang geteilt werden muss, gilt das nicht automatisch für E-Mail, Buchhaltung oder die gesamte Administration.

Ein Passwortmanager ist mehr als eine verschlüsselte Liste

Ein Team-Passwortmanager verbindet die sichere Ablage mit einer Zugriffsverwaltung. Die Buchhaltung erhält ihre benötigten Einträge, das Sekretariat seine, und administrative Zugänge bleiben in einem getrennten Bereich. Bei 1Password lassen sich solche Bereiche beispielsweise als Tresore mit zugewiesenen Personen oder Gruppen organisieren. Dokumentation zur Tresorverwaltung für Unternehmen.

Entscheidend ist die Struktur, nicht der Produktname. Ein einziger Tresor für alle wäre zwar bequem, übernimmt aber das Berechtigungsproblem der alten Excel-Datei. Besser sind wenige verständliche Bereiche, ein benannter Verantwortlicher und ein klarer Weg, zusätzliche Rechte anzufordern.

Zum Eintrag gehören außerdem die richtige Anmeldeseite und eine kurze Beschreibung. „Portal“ als Name hilft wenig, wenn mehrere Lieferanten gemeint sein könnten. Kennzeichnen Sie auch, wer Änderungen am Konto vornehmen darf.

Die Einführung muss im Alltag funktionieren

Ein vernünftiger Start besteht nicht darin, sämtliche Listen ungeprüft zu importieren. Beginnen Sie mit den regelmäßig genutzten geschäftlichen Konten. Prüfen Sie veraltete Einträge, doppelte Ablagen und Zugänge, deren Besitzer niemand mehr kennt. Für jedes weiterhin benötigte Konto wird anschließend ein eindeutiges, zufällig erzeugtes Passwort verwendet, soweit die Anwendung das unterstützt.

Dann folgt die praktische Einweisung: einen Eintrag finden, eine Anmeldung ausfüllen, ein geändertes Passwort speichern und einen Zugang korrekt teilen. Diese vier Handgriffe sind wichtiger als eine lange Präsentation. Ein kurzes gemeinsames Üben zeigt auch, welche Browser oder Fachanwendungen Schwierigkeiten machen.

Die alte Liste darf während der Umstellung nicht still zur zweiten Wahrheit werden. Nach dem geprüften Umzug braucht sie ein geregeltes Ende. Bei Passwörtern, die bereits breit verteilt waren, gehört auch der Wechsel am jeweiligen Dienst dazu.

Zweiter Faktor und Notfallzugang gehören dazu

Der Passwortmanager selbst ist besonders schützenswert. Sein Zugang braucht eine starke Absicherung und einen dokumentierten Wiederherstellungsweg. Außerdem muss für wichtige Geschäftskonten geklärt sein, wie die Mehrfaktor-Anmeldung funktioniert. Ein gemeinsamer Zugang, dessen Bestätigung ausschließlich auf dem privaten Telefon eines Mitarbeiters landet, bleibt ein Engpass.

Für sensible Konten sollten Sie prüfen, ob persönliche Zugänge oder separate Sicherheitsschlüssel möglich sind. Ein Passwortmanager kann auch Einmalcodes erzeugen. Liegt der zugehörige Schlüssel im selben Tresor, bildet das gegenüber einem kompromittierten Tresorzugang keine vollständig unabhängige zweite Schutzebene. Welche Variante passt, hängt vom Dienst und vom Schutzbedarf ab.

Auch die Wiederherstellung des Passwortmanagers darf nicht an einer einzigen Person hängen. Zuständigkeiten und Ersatzverfahren müssen eingerichtet und verstanden sein, bevor sie gebraucht werden.

Beim Austritt reicht „Benutzer entfernen“ nicht immer

Den Zugriff auf den Tresor zu entziehen verhindert künftige Zugriffe über diesen Weg. Es macht ein bereits bekanntes, kopiertes oder exportiertes Passwort jedoch nicht ungeschehen. Deshalb müssen beim Offboarding die betroffenen gemeinsamen Konten geprüft werden. Wo das Geheimnis weiterhin verwendbar ist, wird es am jeweiligen Dienst geändert. Je nach Anwendung müssen zusätzlich aktive Sitzungen oder weitere Zugänge beendet werden. 1Password beschreibt diesen Offboarding-Schritt ausdrücklich.

Das ist ein guter Grund, gemeinsame Konten auf das Nötigste zu begrenzen: Je weniger davon existieren, desto kleiner ist dieser Aufwand.

Fazit

Ein Passwortmanager bringt Ordnung, wenn er persönliche Konten ergänzt und unvermeidbare gemeinsame Zugänge kontrolliert verwaltet. Der Gewinn ist konkret: weniger Sucherei, gezielte Berechtigungen und ein nachvollziehbarer Ablauf bei Personalwechseln. Das Passwort der Kollegin im Urlaub gehört dann nicht mehr zum betrieblichen Notfallplan.

Sie möchten Ihre Zugangsdaten geordnet verwalten? Sprechen Sie mit shinpo IT.