Passwörter: ein Passwortmanager für das ganze Team

An dem Tag, an dem eine Mitarbeiterin das Unternehmen verlässt, stellt jemand die unangenehme Frage: „Worauf hatte sie Zugriff?“ Ohne Passwortmanager wird die Antwort aus dem Gedächtnis rekonstruiert, durch Wühlen im Postfach, in einer gemeinsamen Tabelle und in Chatverläufen. Mit einem Team-Passwortmanager passt sie auf einen Bildschirm.

Dieser Leitfaden aus unserer Rubrik Infrastruktur und Cloud erklärt, was ein Passwortmanager für ein Team von 20 bis 500 Personen ändert, wie man einen ohne Anbietervorliebe auswählt und womit man anfängt.

Kurz gesagt

• Ein Team-Passwortmanager ersetzt Tabelle, Messenger und Haftnotizen durch einen verschlüsselten Tresor, freigegeben nach Rolle.
• Eintritt und Austritt von Mitarbeitenden werden zu kurzen Handgriffen: Man gibt der Gruppe einen Zugriff oder entzieht ihn.
• Er macht möglich, was die offiziellen Empfehlungen verlangen: ein langes, einzigartiges Passwort pro Konto, ohne erzwungenen Wechsel zu festen Terminen.
• Die Zwei-Faktor-Authentifizierung bleibt unverzichtbar, zuerst auf dem Tresor selbst.
• Vom Anbieter gehostet oder bei Ihnen installiert: Beides ist vertretbar, das Kriterium ist Ihre Fähigkeit, ihn zu betreiben.

Warum Team-Passwörter überall landen

Weil ein gemeinsamer Zugang zirkulieren muss und der kürzeste Weg gewinnt. Das Konto beim Hoster geht per Nachricht, das Login für das Unternehmensprofil im sozialen Netzwerk per Haftnotiz am Bildschirm des Empfangs, der Administratorzugang zum Shop per Tabelle „Zugänge“, die am Ende alle geöffnet haben. Niemand hat dieses System gewählt: Es hat sich von selbst eingerichtet.

Das Ergebnis zeigt sich an dem Tag, an dem man schnell handeln muss. Ein verdächtiges Konto, ein Austritt, ein Dienstleisterwechsel: Man weiß nicht mehr, wer was kennt, und das Ändern eines gemeinsamen Passworts legt die Arbeit aller lahm, die es unbemerkt benutzt haben.

Die ANSSI, die französische Behörde für Cybersicherheit, hat die Frage in ihren Empfehlungen zu Authentifizierung und Passwörtern entschieden:

Die CNIL, die französische Datenschutzbehörde, geht in dieselbe Richtung: Ihre Empfehlung von 2022 zu Passwörtern zählt den Passwortmanager zu den guten Praktiken für das Erstellen und Erneuern.

Was ein Passwortmanager ändert, vom ersten bis zum letzten Tag

Der sichtbarste Nutzen ist nicht technisch: Es ist die Zeit, die in den Momenten gewonnen wird, in denen sich ein Team verändert.

Der Eintritt: eine Gruppe statt einer Liste

Man vergibt die Zugänge nicht mehr einzeln: Man ordnet die Person ihrer Gruppe zu (Vertrieb, Buchhaltung, Marketing), und sie erbt, was ihre Stelle braucht. Kommt ein Werkzeug zur Rolle hinzu, erhält es die ganze Gruppe.

Der Austritt: Die unangenehme Frage hat eine Antwort

Der Passwortmanager zeigt, welche Passwörter die Person lesen konnte. Ihr den Zugriff auf den Tresor zu entziehen genügt nicht, denn was sie gesehen hat, kann sie noch wissen: Die sensiblen Zugänge, die sie eingesehen hat, werden geändert, und der Passwortmanager sagt, welche. Es ist dieselbe Logik wie bei einem Dienstleister, der geht.

Der Alltag: endlich lange und einzigartige Passwörter

Niemand merkt sich vierzig verschiedene Passwörter mit zwanzig Zeichen. Ein Passwortmanager schon: Er erzeugt sie, füllt sie aus und bewahrt sie auf. Das macht die heutigen Regeln überhaupt einhaltbar. Das NIST, das US-amerikanische Normungsinstitut, dessen Leitfaden weit über die USA hinaus als Referenz dient, hat seine Regeln in Version 4 seines Leitfadens zur Authentifizierung überarbeitet:

• Ein allein verwendetes Passwort muss mindestens 15 Zeichen haben;
• ein Wechsel zu festen Terminen wird nicht mehr erzwungen, nur noch, wenn ein Konto kompromittiert ist;
• jedes neue Passwort wird mit einer Liste gängiger oder bereits kompromittierter Passwörter abgeglichen;
• Dienste müssen Passwortmanager und automatisches Ausfüllen zulassen.

Wie man wählt: vom Anbieter gehostet oder bei Ihnen installiert

Beide Familien gibt es, mit seriösen Produkten auf jeder Seite. Vom Anbieter gehostete Passwortmanager (unter anderem 1Password, Bitwarden, Dashlane, Keeper, Proton Pass) sind an einem Tag einsatzbereit. Andere lassen sich auch auf Ihrem eigenen Server installieren: Bitwarden veröffentlicht die Anleitung zum Hosting auf einem Linux-Server, und freie Lösungen wie Passbolt oder Vaultwarden gehen denselben Weg.

Wie auch immer Sie sich entscheiden, vier Kriterien geben den Ausschlag:

• Die Verschlüsselung erfolgt auf dem Gerät, vor dem Senden an den Server: Anbieter oder Hoster dürfen den Tresor nicht lesen können;
• Freigabe nach Gruppen und Ordnern, und ein Protokoll, das zeigt, wer was eingesehen hat;
• Anmeldung über das Unternehmensverzeichnis, wenn Sie eines haben, damit ein deaktiviertes Konto auch den Tresor schließt;
• ein Notfallzugang: das Verfahren, mit dem kritische Zugänge wiederhergestellt werden, wenn die einzige Person, die sie hatte, abwesend ist.

Den Tresor selbst zu betreiben ist nur sinnvoll, wenn jemand ihn aktuell hält, sichert und überwacht: Es ist ein kritischer Dienst, da er alle anderen öffnet. Unser Artikel über die Werkzeuge, die man zuerst aus dem SaaS holen sollte, hilft, den Passwortmanager in dieser Prioritätenfolge einzuordnen.

Was wir beim Aufräumen unserer eigenen Zugänge gelernt haben

Beide Fälle vermischen menschliche Passwörter und technische Schlüssel. Die Unterscheidung zählt: Der Team-Passwortmanager dient Menschen, während API-Schlüssel, die von Programmen und KI-Agenten genutzt werden, in einen Tresor für Geheimnisse gehören, den wir in unserem Artikel über den Tresor für Geheimnisse beschreiben. Das besondere Risiko dieser Schlüssel, eine aus dem Ruder laufende Rechnung, behandelt ein eigener Artikel: gestohlene API-Schlüssel, das vergessene Risiko von KI-Projekten.

Womit man anfängt

1. 01Erfassen Sie die gemeinsamen Zugänge

   Hoster, Domainname, Onlinebanking, soziale Netzwerke, Shop, Fachanwendungen. Notieren Sie, wer sie nutzt.

2. 02Wählen Sie den Passwortmanager

   Nach den vier Kriterien und richten Sie die Zwei-Faktor-Authentifizierung auf dem Tresor ein.

3. 03Legen Sie Gruppen nach Rolle an

   Und ordnen Sie dann jeden Zugang dem Ordner der Gruppe zu, die ihn braucht.

4. 04Ändern Sie dabei die Passwörter, die per Messenger oder Tabelle zirkuliert sind

   Und löschen Sie diese Kopien.

5. 05Schreiben Sie das Austrittsverfahren auf

   Aus der Gruppe entfernen, dann die sensiblen Zugänge ändern, die der Passwortmanager anzeigt.

Der Passwortmanager gehört zum gemeinsamen Infrastrukturfundament Ihrer Projekte, zusammen mit personenbezogenen Konten, Sicherungen und Überwachung. Der Rest der Rubrik behandelt die benachbarten Entscheidungen: die fünf Posten, die eine Cloud-Rechnung aufblähen, dedizierter Server, VPS oder Cloud, Kubernetes und KMU, die Überwachung, der Wiederanlaufplan nach einem Notfall, NIS2 in Frankreich, die Sicherungen eines eigenen Servers, selbst gehostetes n8n in Produktion, die Kosten eines SaaS-Ausstiegs über drei Jahre, die Cloud-Migration, ohne alles kaputtzumachen, die Abhängigkeit von der US-Cloud, die Hardware, um ein KI-Modell selbst zu betreiben, verwaltetes oder eigenes Postgres und die Wahl eines E-Mail-Dienstes für Unternehmen.

Um den Passwortmanager mit Ihren anderen Werkzeugen auf Ihrem Server zu installieren, Sicherungen und Überwachung inklusive, sehen Sie sich unser Angebot für den SaaS-Ausstieg an. Für eine erste Einordnung beschreiben Sie uns Ihr Team.

Häufige Fragen

Quellen

1. ANSSI, Empfehlungen zur Multi-Faktor-Authentifizierung und zu Passwörtern, Oktober 2021 (neuer Tab)messervices.cyber.gouv.fr
2. CNIL, Passwörter: eine neue Empfehlung, Oktober 2022 (neuer Tab)cnil.fr
3. NIST SP 800-63B-4, Authentication and Authenticator Management (neuer Tab)pages.nist.gov
4. Bitwarden, Install and Deploy: Linux (neuer Tab)bitwarden.com