Mitarbeitende brauchen Zugriff auf dieselben Zugangsdaten, doch klare Strukturen fehlen. Social-Media-Konten, Cloud-Dienste, Kundenportale und gemeinsame Postfächer sammeln sich über die Jahre an. Ohne geregelte Weitergabe entstehen Risiken, die sich mit überschaubarem Aufwand vermeiden lassen.
Dieser Leitfaden zeigt, wie Sie gemeinsam genutzte Zugangsdaten mit rollenbasierten Rechten strukturieren, welche Prozesse sich bewährt haben und woran Sie eine passende Lösung erkennen.
Was bedeutet Shared Credentials Management?
Shared Credentials Management bezeichnet die strukturierte Verwaltung von Zugangsdaten, die mehrere Personen gemeinsam nutzen. Dazu gehören Anmeldedaten für Cloud-Dienste, Social-Media-Konten, Kundenportale und administrative Accounts.
In kleineren und mittleren Unternehmen entstehen solche Zugänge aus praktischen Gründen. Das Marketing braucht Zugriff auf dieselben Social-Media-Konten, die IT verwaltet Server-Zugänge, mehrere Personen pflegen Inhalte im Content-Management-System.
Die Herausforderung liegt weniger in der Theorie als in der konsequenten Umsetzung im Alltag. Ohne klare Struktur werden Zugangsdaten per E-Mail verschickt, in Tabellen gespeichert oder auf Notizzetteln festgehalten. Das erschwert den Überblick und erhöht das Risiko.
Warum ist rollenbasierte Zugriffskontrolle sinnvoll?
Rollenbasierte Zugriffskontrolle, kurz RBAC für Role-Based Access Control, ordnet Berechtigungen nicht einzelnen Personen zu, sondern definierten Rollen. Eine Person erhält Zugriff, weil sie eine bestimmte Funktion ausübt.
Je klarer die Verantwortlichkeiten definiert sind, desto einfacher lässt sich der Zugriff steuern. Beginnt eine neue Kollegin im Marketing, erhält sie über ihre Rolle Zugriff auf die relevanten Marketing-Zugänge. Wechselt jemand die Abteilung, ändern sich die Berechtigungen entsprechend.
Für IT-Leitung und Administration bedeutet das weniger Einzelfallentscheidungen. Sie definieren die Rollen einmal und weisen sie danach zu, statt für jeden Zugang neu zu prüfen, wer ihn sehen darf.
Die drei Grundprinzipien
Das Prinzip der minimalen Rechte besagt: Jede Person erhält nur die Zugriffsrechte, die für ihre Aufgaben notwendig sind. Ein sinnvoller erster Schritt ist deshalb eine Bestandsaufnahme aller genutzten Zugänge und der tatsächlich benötigten Berechtigungen.
Das Prinzip der Funktionstrennung verhindert, dass eine einzelne Person zu viel Kontrolle erhält. Kritische Aktionen erfordern die Beteiligung mehrerer Personen. Das reduziert das Risiko von Missbrauch und von Fehlern.
Das Prinzip der Nachvollziehbarkeit stellt sicher, dass Zugriffe protokolliert werden. Bei Rückfragen oder Sicherheitsvorfällen lässt sich nachvollziehen, wer wann auf welche Zugangsdaten zugegriffen hat.
Welche Risiken entstehen ohne Struktur?
Ohne klare Prozesse wird es schwierig, Zuständigkeiten nachzuvollziehen. Das führt zu zusätzlichem Aufwand, Unsicherheit und vermeidbaren Fehlern.
Ein häufiges Szenario: Eine Person verlässt das Unternehmen. Niemand weiß genau, auf welche gemeinsamen Zugänge sie Zugriff hatte. Die Zugangsdaten werden nicht geändert. Der Zugriff bleibt technisch bestehen, obwohl das Arbeitsverhältnis beendet ist.
Ein zweites Risiko entsteht durch die Weitergabe selbst. Zugangsdaten per E-Mail oder Chat zu versenden, erscheint praktisch. Diese Nachrichten lassen sich jedoch weiterleiten und bleiben in Postfächern liegen. Einmal verschickt, verlieren Sie die Kontrolle darüber, wer das Kennwort kennt.
Ein drittes Risiko ist die Wiederverwendung. Wird dasselbe Kennwort für mehrere Dienste genutzt, genügt ein einziges Datenleck, um mehrere Zugänge zu öffnen. Wir haben das im Magazin ausführlicher beschrieben: Warum Passwortwiederverwendung gefährlich ist.
Typische Schwachstellen in KMU
Viele Unternehmen arbeiten mit historisch gewachsenen Abläufen. Über die Zeit entstehen unterschiedliche Werkzeuge, Ablagen und Zuständigkeiten: Tabellen auf dem Netzlaufwerk, Kennwörter im Browser-Speicher, Notizen am Arbeitsplatz.
Das Problem ist selten böser Wille, sondern fehlende Zuständigkeit. Solange niemand verantwortlich ist, bleibt der Zustand, wie er ist.
Wie führen Sie ein rollenbasiertes Zugriffskonzept ein?
Prüfen Sie zunächst, welche Prozesse bereits bestehen. Welche Zugangsdaten werden gemeinsam genutzt? Wer hat aktuell Zugriff? Wie werden sie weitergegeben? Auf dieser Grundlage lassen sich Strukturen schaffen, die im Alltag funktionieren.
- Zugangsdaten inventarisieren. Erfassen Sie alle gemeinsam genutzten Zugänge: Cloud-Dienste, Social-Media-Konten, Kundenportale, Software-Lizenzen, administrative Accounts. Notieren Sie, wer Zugriff hat und ob dieser noch benötigt wird.
- Rollen definieren. Bilden Sie Rollen nach Funktionen: Marketing, Vertrieb, IT-Administration, Geschäftsleitung. Eine Rolle bündelt alle Berechtigungen für eine Aufgabe. Vermeiden Sie zu viele Ausnahmen, sonst entsteht wieder Einzelfallverwaltung.
- Berechtigungen zuweisen. Unterscheiden Sie zwischen Lese- und Schreibrechten. Nicht jede Person, die ein Kennwort nutzen muss, sollte es ändern können.
- Prozesse dokumentieren. Halten Sie fest, wie neue Mitarbeitende Rechte erhalten und wie diese bei Abteilungswechsel oder Austritt angepasst werden. Ein dokumentierter Prozess schafft Klarheit und spart Zeit.
Wenn Ihre Berechtigungen im Active Directory über Jahre gewachsen sind, lohnt vorab ein Active Directory Audit. Es zeigt, welche Konten und Gruppen tatsächlich noch benötigt werden.
Welche Anforderungen sollte ein Passwort-Manager für Teams erfüllen?
Eine Lösung für den Unternehmenseinsatz unterscheidet sich von Produkten für Privatanwender. Entscheidend ist, dass sie im Alltag praktikabel bleibt und von den Mitarbeitenden angenommen wird.
Zentrale Administration erlaubt es der IT, Benutzer anzulegen, zu sperren und Rechte zu verwalten. Beim Ausscheiden einer Person lässt sich der Zugang sofort deaktivieren.
Team-Tresore organisieren Zugangsdaten nach Abteilungen oder Projekten. Das Marketing sieht Marketing-Zugänge, die Buchhaltung nur Finanz-Werkzeuge.
Starke Verschlüsselung schützt die Inhalte. AES-256 gilt als etablierter Standard. Die Verschlüsselung sollte clientseitig erfolgen, damit der Anbieter keinen Zugriff auf Ihre Daten hat.
Zwei-Faktor-Authentifizierung ergänzt das Kennwort um einen zweiten Nachweis. Selbst wenn ein Kennwort kompromittiert wird, bleibt der Zugang geschützt.
Audit-Protokollierung dokumentiert, wer wann auf welche Zugangsdaten zugegriffen hat. Das dient der internen Sicherheit und der Nachweispflicht nach DSGVO.
Cloud oder On-Premises: was passt zu Ihrem Unternehmen?
Beide Betriebsmodelle können sicher sein. Die Frage ist nicht, welches grundsätzlich besser ist, sondern welches zu Ihren Anforderungen passt. Wir haben beide Wege in einem Überblick zu Passwort-Managern für Unternehmen gegenübergestellt.
Für eine Cloud-Lösung spricht der geringe Betriebsaufwand. Es gibt keinen eigenen Server zu betreiben, Updates und Verfügbarkeit liegen beim Anbieter, und verteilte Teams sind ohne VPN erreichbar. Sie geben dafür Kontrolle über den Speicherort ab und sollten Vertragsgrundlage und Verarbeitungsregion prüfen.
Für eine On-Premises-Lösung spricht die volle Datenhoheit. Die Zugangsdaten verlassen Ihre Infrastruktur nicht. Das ist besonders relevant bei strengen Compliance-Vorgaben oder wenn eine Aufsichtsbehörde den Speicherort vorgibt. Dafür betreiben Sie den Server selbst, inklusive Updates, Backup und Erreichbarkeit von außen.
Der Pleasant Password Server ist die On-Premises-Variante in unserem Portfolio. Die Software baut auf dem KeePass-Format auf und ergänzt es um Unternehmensfunktionen wie rollenbasierte Zugriffskontrolle, Active-Directory-Anbindung und lückenlose Protokollierung.
Integration in die bestehende Umgebung
Eine gute Lösung fügt sich in Ihre Umgebung ein. Die Anbindung an Active Directory synchronisiert Benutzer und Gruppen, sodass die doppelte Pflege von Konten entfällt.
Der Zugriff sollte von verschiedenen Geräten möglich sein: Desktop, Browser und mobil. Mitarbeitende im Homeoffice oder Außendienst brauchen dieselben Möglichkeiten wie Kollegen im Büro.
Wie gestalten Sie sichere Freigabeprozesse?
Das Teilen über Team-Tresore ist sicherer als die Weitergabe per E-Mail oder Chat. Berechtigte können gemeinsame Zugänge nutzen, ohne das Kennwort selbst zu sehen.
Definieren Sie abgestufte Berechtigungen. Ein lesender Zugriff erlaubt die Nutzung, ohne das Kennwort anzuzeigen oder zu ändern. Ein bearbeitender Zugriff ermöglicht Änderungen. Administrative Rechte sollten nur wenige Personen besitzen.
Notfallzugriff regeln
Was passiert, wenn die Person mit den Administratorrechten ausfällt? Ein dokumentiertes Notfallverfahren stellt sicher, dass kritische Zugänge auch dann erreichbar bleiben. Die Master-Zugangsdaten können beispielsweise versiegelt im Firmentresor liegen, mit einer schriftlichen Regelung, wer sie unter welchen Bedingungen entnehmen darf.
Temporäre Zugänge verwalten
Externe Dienstleister oder Projektbeteiligte brauchen manchmal zeitlich begrenzten Zugriff. Eine gute Lösung erlaubt Rechte mit Ablaufdatum. Nach Projektende endet der Zugriff automatisch, ohne dass jemand daran denken muss.
Welche Prozesse brauchen Sie für Onboarding und Offboarding?
Ein strukturiertes Onboarding sorgt dafür, dass neue Mitarbeitende schnell arbeitsfähig sind. Sie erhalten die Zugänge, die zu ihrer Rolle gehören, und eine kurze Einführung in die Nutzung.
Der Offboarding-Prozess ist der sicherheitskritische Teil. Verlässt jemand das Unternehmen, muss der Zugang sofort deaktiviert und die betroffenen gemeinsamen Zugangsdaten müssen geändert werden.
Checkliste für das Offboarding
- Zugang zum Passwort-Manager unmittelbar nach Bekanntgabe des Ausscheidens sperren
- Alle Zugangsdaten identifizieren, auf die die Person Zugriff hatte
- Kritische Zugangsdaten ändern, besonders bei Systemen mit sensiblen Daten
- Änderungen dokumentieren, damit sie nachvollziehbar bleiben
- Betroffene Kollegen über geänderte Zugangsdaten in gemeinsamen Tresoren informieren
Wie bringen Sie Ihre Mitarbeitenden mit?
Die beste Technik nützt wenig, wenn sie nicht genutzt wird. Planen Sie Zeit für die Einführung ein und erklären Sie nicht nur das Wie, sondern auch das Warum.
Eine Einführung von 30 bis 45 Minuten pro Abteilung genügt in der Regel. Zeigen Sie konkret, wie sich der Passwort-Manager in den Arbeitsablauf einfügt: Browser-Erweiterung installieren, erstes Kennwort speichern, automatisches Ausfüllen nutzen, gemeinsame Tresore öffnen.
Wer den Sinn einer Maßnahme versteht, hält sich eher daran. Ein wirksames Mittel zur Sensibilisierung ist eine Prüfung der eigenen Unternehmensadressen bei einem Dienst wie Have I Been Pwned. Das Ergebnis macht abstrakte Risiken sichtbar.
Welche Richtlinien sollten Sie festlegen?
Definieren Sie verbindliche Regeln für den Umgang mit Zugangsdaten und setzen Sie diese technisch durch, wo das möglich ist.
Kennwörter: Generierte Kennwörter sollten mindestens 20 Zeichen umfassen und Groß- und Kleinbuchstaben, Zahlen sowie Sonderzeichen enthalten. Der Generator eines Passwort-Managers erstellt solche Kombinationen automatisch. Jeder Dienst erhält ein eigenes Kennwort.
Zweiter Faktor: Aktivieren Sie ihn für den Zugang zum Passwort-Manager selbst und für alle geschäftskritischen Dienste. E-Mail, Cloud-Speicher und Microsoft 365 sollten nie mit nur einem Faktor geschützt sein. Authenticator-Apps bieten mehr Sicherheit als SMS, Hardware-Token nach FIDO2 sind die stärkste der gängigen Optionen.
Wie messen Sie den Erfolg?
Legen Sie wenige, aussagekräftige Kennzahlen fest. Die Nutzungsquote zeigt, ob die Lösung angenommen wird. Eine hohe Quote deutet auf eine gelungene Einführung hin.
Die Zahl der Support-Anfragen zu Kennwort-Rücksetzungen ist ein zweiter Indikator. Sie sinkt, wenn Mitarbeitende ihre Zugangsdaten zentral abrufen können.
Planen Sie außerdem vierteljährliche Reviews: Sind alle Rechte noch aktuell? Haben sich Rollen geändert? Gibt es neue Dienste, die aufgenommen werden sollten? Nutzen Sie die Audit-Protokolle, um auffällige Zugriffsmuster zu erkennen, etwa Zugriffe zu unüblichen Zeiten.
Wie unterstützt aconitas bei der Umsetzung?
aconitas ist Distributor des Pleasant Password Server im deutschsprachigen Raum und begleitet mittelständische Unternehmen seit über 15 Jahren, über 250 Unternehmen setzen auf unsere Lösungen.
Das Angebot umfasst nicht nur die Software, sondern auch Beratung, Implementierung und deutschsprachigen Support. Eine 30-tägige Testversion erlaubt es Ihnen, den Pleasant Password Server in Ihrer eigenen Umgebung zu prüfen.
Wenn Sie noch nicht entschieden haben, welches Betriebsmodell passt, ist der neutrale Vergleich von Cloud und On-Premises der bessere Einstieg. Wir vertreten beide Wege und beraten entsprechend ergebnisoffen.
Fazit: Struktur schlägt Werkzeug
Entscheidend ist, dass die Prozesse verständlich, praktikabel und dauerhaft umsetzbar sind. Ein rollenbasiertes Konzept schafft klare Zuständigkeiten, ein zentraler Passwort-Manager ersetzt unsichere Praktiken, dokumentierte Abläufe halten Änderungen nachvollziehbar.
Das Ziel ist nicht mehr Komplexität, sondern mehr Klarheit. Ein sinnvoller erster Schritt ist die Bestandsaufnahme Ihrer aktuellen Situation. Auf dieser Grundlage lassen sich Maßnahmen ableiten, die zu Ihrem Unternehmen passen.
