Warum braucht mein KMU einen Passwort-Manager?

Fast jede Mitarbeiterin und jeder Mitarbeiter nutzt heute Dutzende Online-Dienste: E-Mail, Buchhaltung, CRM, Lieferantenportale, Social Media und viele mehr. Niemand kann sich für all diese Zugänge ein eigenes, sicheres Passwort merken. Die Folge sind einfache Passwörter, wiederverwendete Kombinationen und Zettel am Bildschirm. In diesem Leitfaden erfährst du, warum ein gutes Passwort allein nicht mehr reicht, wie ein Passwort-Manager funktioniert, welche Lösungen es gibt, worauf du bei der Auswahl achten solltest und wie du ihn im Team einführst. Warum ein gutes Passwort allein nicht mehr reicht. Einfache Passwörter lassen sich mit automatisierten Werkzeugen in Sekunden knacken. Noch gefährlicher ist die Wiederverwendung: Wird ein Online-Dienst gehackt, probieren Angreifer die erbeuteten Zugangsdaten automatisch bei anderen Diensten aus. Wer dasselbe Passwort für den privaten Webshop und das Firmen-Postfach nutzt, öffnet so die Tür zum Unternehmen. Wirksamer Schutz besteht deshalb aus zwei Ebenen: einem einzigartigen, starken Passwort für jeden Zugang und einer Zwei-Faktor-Authentifizierung (MFA), bei der die Anmeldung zusätzlich über einen Code oder eine App auf dem Handy bestätigt wird. Dann reicht ein gestohlenes Passwort allein nicht mehr für den Zugriff. Wie ein Passwort-Manager funktioniert. Ein Passwort-Manager ist ein digitaler Tresor für Zugangsdaten: Verschlüsselte Ablage: Alle Passwörter liegen verschlüsselt in einer Datenbank, je nach Lösung in der Cloud oder lokal auf dem Gerät. Ein Master-Passwort: Du merkst dir nur noch ein einziges, starkes Passwort, das den Tresor öffnet. Idealerweise ist auch dieser Zugang mit einem zweiten Faktor geschützt. Passwort-Generator: Für jedes neue Konto erstellt der Manager auf Knopfdruck ein langes, zufälliges Passwort. Automatisches Ausfüllen: Zugangsdaten werden auf Websites und in Apps automatisch eingesetzt. Das spart Zeit und schützt zugleich vor Phishing, weil der Manager die Daten nur auf der echten Website einfüllt. Synchronisation: Die Passwörter stehen auf Computer, Smartphone und Tablet zur Verfügung. Seriöse Anbieter arbeiten nach dem Zero-Knowledge-Prinzip: Die Daten werden auf deinem Gerät verschlüsselt, und selbst der Anbieter kann sie nicht lesen. Was ein Passwort-Manager einem KMU bringt. Mehr Sicherheit: Jeder Zugang hat ein eigenes, starkes Passwort. Wiederverwendete und schwache Passwörter verschwinden. Sicheres Teilen im Team: Gemeinsame Zugänge, etwa für Social-Media-Konten oder Lieferantenportale, werden über geteilte Tresore mit klaren Berechtigungen geteilt statt per E-Mail oder Excel-Liste. Sauberes Offboarding: Verlässt jemand das Unternehmen, wird der Zugang zum Tresor gesperrt. Du siehst sofort, welche geteilten Passwörter geändert werden sollten. Weniger Supportaufwand: Vergessene Passwörter und gesperrte Konten werden deutlich seltener. Nachvollziehbarkeit: Business-Versionen zeigen, wer auf welche Zugänge zugreifen kann, und helfen beim Nachweis gegenüber Versicherungen oder bei Audits. Wer braucht einen Passwort-Manager? Kurz gesagt: jedes Unternehmen, in dem mehr als eine Person mit digitalen Zugängen arbeitet. Besonders dringend ist er, wenn Zugänge im Team geteilt werden, viele Cloud-Dienste im Einsatz sind, häufig Mitarbeitende wechseln oder Passwörter heute in Tabellen, Notizbüchern oder im Browser gespeichert sind. Welche Passwort-Manager gibt es? Für Unternehmen gibt es eine Reihe etablierter Lösungen, unter anderem: 1Password: sehr benutzerfreundlich, mit ausgereiften Team- und Business-Funktionen. Bitwarden: Open Source, preislich attraktiv und auf Wunsch auch selbst betreibbar. Keeper und Dashlane: Business-Lösungen mit zentraler Verwaltung und Sicherheitsberichten. Proton Pass: vom Schweizer Anbieter Proton, interessant für Unternehmen, denen ein Schweizer Anbieter wichtig ist. KeePass: kostenlose Open-Source-Lösung mit lokaler Datenbank. Sie eignet sich eher für Einzelpersonen, weil die zentrale Verwaltung im Team fehlt. Die in Browsern eingebauten Passwortspeicher sind für den privaten Gebrauch praktisch, für Unternehmen aber ungeeignet, weil zentrale Verwaltung, geteilte Tresore und ein geordnetes Offboarding fehlen. Worauf du bei der Auswahl achten solltest. Business-Version mit zentraler Verwaltung: Benutzer anlegen und sperren, Richtlinien festlegen und Berechtigungen steuern. Zero-Knowledge-Verschlüsselung und regelmässige unabhängige Sicherheitsprüfungen des Anbieters. MFA und Anbindung an Microsoft 365: Anmeldung mit zweitem Faktor oder über das bestehende Firmenkonto (Single Sign-on). Datenstandort und Datenschutz: Wo werden die verschlüsselten Daten gespeichert, und passt das zu deinen Anforderungen nach nDSG? Notfallzugang: Was passiert, wenn eine Schlüsselperson ausfällt? Gute Lösungen bieten einen geregelten Notfallzugriff. Bedienbarkeit: Ein Passwort-Manager wirkt nur, wenn das Team ihn gern nutzt. Teste ihn deshalb vorher mit einigen Mitarbeitenden. Kosten: Die meisten Lösungen rechnen pro Benutzer und Monat ab. Vergleiche die Preise der Business-Pakete, nicht der Privatversionen. Einführung im Team in fünf Schritten. Lösung auswählen und einrichten: Business-Konto anlegen, Richtlinien festlegen (zum Beispiel Mindestlänge und MFA-Pflicht) und Tresore für Teams oder Abteilungen definieren. Passwörter übernehmen: Bestehende Zugangsdaten aus Browsern, Tabellen und Notizen in den Manager importieren und die alten Ablagen anschliessend löschen. Team schulen: Eine kurze, praktische Einführung zeigt, wie Passwörter gespeichert, generiert und geteilt werden. Schwache Passwörter ersetzen: Die Sicherheitsberichte des Managers zeigen, wo Passwörter schwach oder mehrfach verwendet sind. Diese werden schrittweise geändert, beginnend bei den wichtigsten Zugängen. Offboarding verankern: Beim Austritt von Mitarbeitenden gehört das Sperren des Tresorzugangs und das Ändern geteilter Passwörter fest in die Checkliste. Passwort-Manager und Zwei-Faktor-Authentifizierung gehören zusammen. Ein Passwort-Manager ersetzt die Zwei-Faktor-Authentifizierung nicht, er ergänzt sie. Der Manager sorgt für starke, einzigartige Passwörter, MFA dafür, dass ein gestohlenes Passwort allein wertlos ist. Aktiviere MFA mindestens für den Passwort-Manager selbst, für E-Mail und Microsoft 365, für Fernzugänge und für alle Systeme mit Kunden- oder Finanzdaten. Viele Cyberversicherungen fragen genau danach. Mehr dazu im Video Warum deine Cyberversicherung im Ernstfall nicht zahlt. Fazit. Ein Passwort-Manager ist eine der günstigsten und wirksamsten Sicherheitsmassnahmen für ein KMU. Zusammen mit der Zwei-Faktor-Authentifizierung schliesst er eines der häufigsten Einfallstore für Angriffe und macht den Alltag für das Team gleichzeitig einfacher. Wie er in ein umfassendes Sicherheitskonzept passt, zeigt der Leitfaden Wie erhöhe ich die IT-Sicherheit in meinem KMU? BeeBase hilft KMU als externe IT-Abteilung, den passenden Passwort-Manager auszuwählen, ihn sauber einzurichten und im Alltag konsequent umzusetzen. Wenn du eine konkrete Frage klären möchtest, kannst du eine Expertensession buchen.