Die meisten Unternehmen merken erst, dass sie ein Passwort-Problem haben, wenn ein Problem sie dazu zwingt, sich damit zu befassen, wie zum Beispiel ein Admin-Passwort, das in einer Tabelle aufbewahrt wird, oder Anmeldedaten, die für Teammitglieder aktiv bleiben, die dein Unternehmen vor Jahren verlassen haben.

Dies ist ein häufiges Ereignis. Im Vereinigten Königreich ergab die Cyber Security Breaches Survey 2024(neues Fenster) der Regierung, dass 50 % der Unternehmen in den vergangenen 12 Monaten ein Cybersicherheits-Datenleck oder einen Angriff festgestellt haben, was bei mittleren Unternehmen auf 70 % und bei großen Unternehmen auf 74 % ansteigt.

In dieser Situation ist ein Passwort-Audit eine der wertvollsten Maßnahmen, die dein Unternehmen ergreifen kann, um geschützt zu bleiben. Es ist ein praktischer Weg, um Risiken bei den Anmeldedaten aufzudecken, die sich meist unbemerkt im Hintergrund durch schwache Passwörter, unbefugten Zugriff, inaktive Konten und außerhalb genehmigter Systeme gespeicherte Anmeldungen aufbauen.€

Insbesondere für kleine und mittlere Organisationen kann diese Art der Überprüfung helfen, bedeutende Sicherheitsverbesserungen zu erzielen, ohne Geld auszugeben oder ein komplexes Transformationsprogramm durchzuführen.

Dieser Artikel erklärt, wie du ein Passwort-Audit für dein Unternehmen durchführst, worauf du achten solltest und wie du den Prozess von einer einmaligen Bereinigung in eine beständigere Sicherheitspraxis verwandelst.

Was ist ein Passwort-Audit?

Ein Passwort-Audit ist eine systematische Überprüfung der Passwörter, Konten und Zugriffsrechte, die in einem Unternehmen verwendet werden. Sein Zweck ist es, Risiken im Zusammenhang mit Anmeldedaten zu identifizieren, wie z. B. schwache Passwörter, wiederverwendete Passwörter, veraltete Anmeldungen, inaktive Konten, übermäßige Zugriffsrechte und außerhalb genehmigter Systeme gespeicherte Anmeldedaten.

In der Praxis geht ein Passwort-Audit über die Überprüfung hinaus, ob ein Passwort stark genug ist. Es befasst sich auch mit Folgendem:

  • Wie Passwörter in deiner Organisation verwaltet werden
  • Wer Zugriff auf was hat und ob dieser Zugriff noch notwendig ist€
  • Wie Passwörter gespeichert und geteilt werden
  • Ob dein Unternehmen genügend Transparenz hat, um Risiken zu erkennen, bevor sie zu einem Sicherheitsproblem werden

Dieser breite Rahmen macht ein Passwort-Audit so nützlich. In den meisten Organisationen entsteht das Risiko bei den Anmeldedaten nicht durch ein einziges schlechtes Passwort. Es baut sich schrittweise durch kleine Versäumnisse bei der Aufsicht, uneinheitliche Zugriffskontrollen, schlechte Gewohnheiten beim Speichern und Konten auf, die noch lange aktiv bleiben, nachdem sie hätten überprüft oder entfernt werden müssen.

Ein effektives Passwort-Audit hilft, diese Probleme sichtbar zu machen. Es gibt Unternehmen ein klareres Verständnis ihrer aktuellen Passwortsicherheit und schafft eine praktische Grundlage, um die Zugriffskontrolle zu verbessern, die Verwaltung von Anmeldedaten zu verschärfen und vermeidbare Risiken im Laufe der Zeit zu reduzieren. Diese Art der Überprüfung ist viel einfacher durchzuführen, wenn du einen Passwort-Manager für Unternehmen mit Administrator-Tools verwendest, die Transparenz, Zugriffsüberprüfungen und die Durchsetzung von Richtlinien unterstützen.

So führst du ein Passwort-Sicherheitsaudit durch: Ein praktisches Fünf-Schritte-Modell

Ein nützliches Passwort-Audit muss nicht mit einer perfekten Übersicht über jedes Konto, jedes Tool und jeden Zugriffspfad im Unternehmen beginnen. Es erfordert lediglich eine klare Struktur und ein kontrolliertes System zur Verwaltung von Anmeldedaten. Ohne diese beiden Dinge kann der Prozess schnell zu umfangreich werden und zu leicht aufgeschoben werden.€

Der Weg, um den Kreislauf des Aufschiebens von Passwort-Audits zu durchbrechen, besteht darin, die Passwortverwaltung zu zentralisieren, Zuständigkeiten zu definieren und den Zugriff über einen einzigen genehmigten Workflow zu überprüfen.

Hier ist eine ausführliche Anleitung zur Durchführung deines eigenen Passwort-Audits:

Schritt 1: Erstelle ein vollständiges Inventar der Anmeldedaten

Erstelle zunächst ein funktionierendes Inventar der Systeme, von denen dein Unternehmen abhängt. Dazu gehören die offensichtlichen Kernplattformen wie:

  • E-Mail€
  • Finanz-Tools
  • Cloud-Speicher
  • Kollaborationssoftware€
  • CRM-Systeme
  • Administrator-Konsolen
  • Jede Umgebung, die Unternehmens- oder Kundendaten enthält€

Es sollte auch weniger offensichtliche Tools und Dienste umfassen, die in deinem Netzwerk betrieben werden:

  • Gemeinsam genutzte Social-Media-Konten
  • Inaktive SaaS-Abonnements
  • Tools von externen Dienstleistern
  • Testumgebungen
  • Dienste, die von einzelnen Teams ohne zentrale Aufsicht eingeführt wurden

Es ist wichtig, jedes Tool zu erfassen, da die meisten Risiken bei den Anmeldedaten mit unvollständiger Transparenz beginnen. Wenn du nicht weißt, welche Tools im Einsatz sind, kannst du auch nicht überprüfen, wie der Zugriff darauf verwaltet wird.

Unternehmen, die bereits einen Passwort-Manager für Unternehmen wie Proton Pass for Business verwenden, beginnen ihr Passwort-Audit mit einem praktischen Vorteil, da die Anmeldedaten in verschlüsselten Tresoren liegen.

Schritt 2: Gleiche den Zugriff mit den geschäftlichen Anforderungen ab

Sobald du einen klareren Überblick über deine Systeme hast, besteht der nächste Schritt darin, den Zugriff zu prüfen. Du musst überprüfen, ob die richtigen Personen noch die richtige Zugriffsebene für die richtigen Tools haben.

Sieh dir zunächst jedes wichtige System an und frage dich, wer derzeit Zugriff hat, ob dies den aktuellen Aufgaben entspricht und ob Konten umfassendere Berechtigungen als nötig besitzen.

In vielen Unternehmen wird der Zugriff im Laufe der Zeit schleichend ausgeweitet. Umfassende Administratorrechte werden beispielsweise aus Bequemlichkeit gewährt und nie wieder entfernt. Externe Dienstleister behalten möglicherweise nach Projektende den Zugriff, oder Teammitglieder wechseln die Rolle und behalten die Berechtigungen aus ihrer vorherigen Rolle.

Diese Art von Abweichung erhöht das Risiko, selbst wenn das Passwort selbst stark ist. Die NCSC-Richtlinien(neues Fenster) zur Zugriffskontrolle empfehlen, Konten nur autorisierten Personen zuzuweisen und Benutzern nur den minimal erforderlichen Zugriff und die minimal erforderlichen Berechtigungen zu erteilen, da jeder zu einem Sicherheitsrisiko werden kann. Ein Passwort-Audit sollte daher den Grund für jede Zugriffsebene untersuchen.

Schritt 3: Führe eine Überprüfung der Passwortsicherheit durch

In dieser Phase des Passwort-Audits geht es darum, wiederverwendete oder schwache Passwörter, inaktive Zwei-Faktor-Authentifizierungen (2FA), veraltete Anmeldungen und unsichere Gewohnheiten bei der Speicherung zu identifizieren, die eine Gefährdung wahrscheinlicher machen.

An diesem Punkt sollte sich die Überprüfung auf einige praktische Fragen konzentrieren:

  • Sind die Passwörter für jedes Konto einzigartig?€
  • Sind Passwörter schwach oder leicht zu erraten?
  • Werden alte Anmeldedaten immer noch verwendet, ohne dass sie erfasst sind?
  • Schreiben Mitarbeiter ihre Passwörter im Browser-Speicher oder in Notizen-Apps auf, anstatt in vom Unternehmen genehmigten Systemen?
  • Ist 2FA überall dort aktiviert, wo es möglich ist?

Proton Pass for Business hilft dir mit dem Pass Monitor, der Folgendes umfasst:€

  • Tools zur Überprüfung der Passwortsicherheit zur automatischen Erkennung von wiederholten oder schwachen Passwörtern und inaktiver 2FA
  • Die Dark Web-Überwachung, um dich zu warnen, wenn deine Anmeldedaten von Datenlecks betroffen sind
  • Proton Sentinel zur Erkennung und Blockierung verdächtiger Anmeldeaktivitäten, die zu einer Kontoübernahme führen können

Schritt 4: Überprüfe inaktive Konten

Eine der schnellsten Möglichkeiten, das Risiko bei den Anmeldedaten zu verringern, besteht darin, einfach das zu entfernen, was nicht mehr existieren muss. Die meisten Unternehmen häufen im Laufe der Zeit inaktive Konten an. Zum Beispiel:

  • Ehemalige Mitarbeiter, die immer noch Zugriff auf die Tools deines Unternehmens haben
  • Alte SaaS-Plattformen, die noch lange nach der Einstellung ihrer Nutzung mit gültigen Unternehmens-Anmeldedaten verknüpft sind
  • Gemeinsam genutzte Konten, die für eine kurzfristige Nutzung gedacht waren, aber monate- oder jahrelang aktiv bleiben, weil niemand weiß, wer sie besitzt€

Diese Konten ziehen weniger Aufmerksamkeit auf sich als aktive, weshalb sie besonders leicht zu übersehen sind. Diese Überprüfung steht auch in engem Zusammenhang mit einer umfassenderen Compliance-Disziplin.

Eine gründliche Überprüfung der Passwörter im Unternehmen muss die gezielte Bemühung um Folgendes umfassen:

  • Inaktiven Zugriff entfernen
  • Veraltete Konten schließen
  • Eine eindeutige Zuständigkeit für die verbleibenden Systeme bestätigen

Proton Pass for Business hilft, die Reibungsverluste zu reduzieren, die diese Konten oft am Leben erhalten, indem es die Zuständigkeiten klarer macht, den Zugriff einfacher zu überprüfen macht und Änderungen der Anmeldedaten einfacher zu verwalten sind, wenn Mitarbeiter das Unternehmen verlassen oder sich Rollen ändern.

Schritt 5: Beheben und standardisieren

Der letzte Schritt besteht darin, die Ergebnisse in die Tat umzusetzen. Ein Passwort-Audit verbessert die Sicherheit deiner Organisation nur dann, wenn die aufgedeckten Probleme strukturiert angegangen werden.

Sobald du Lücken identifiziert hast, kannst du einen Plan erstellen, der systematisch statt reaktiv ist. Hier ist eine einfache Checkliste für das Passwort-Audit:

  • Schwache oder offengelegte Anmeldedaten sofort ändern.
  • Wiederverwendete Passwörter durch einzigartige ersetzen.
  • 2FA überall aktivieren, beginnend mit kritischen Konten.
  • Inaktive oder unnötige Konten entfernen.
  • Überflüssige Rechte widerrufen.
  • Anmeldedaten aus Tabellen, Dokumenten oder dem Browser-Speicher entfernen.
  • Die Passwortspeicherung in einem genehmigten Unternehmenssystem konsolidieren.
  • Aktualisiere deine Passwort- und Zugriffsrichtlinien.

Dies ist auch der richtige Moment, um technische Maßnahmen auf die Richtlinie abzustimmen. Wenn deine aktuelle Passwortrichtlinie ungenau ist, nicht durchgesetzt wird oder unrealistisch ist, wird dein Audit in sechs Monaten einfach dieselben Probleme wieder zutage fördern.

Passwort-Audits und Passwortrichtlinien arbeiten sehr gut zusammen: Protons Leitfaden zur Erstellung einer Passwortrichtlinie ist eine hervorragende ergänzende Ressource. Und mit unserer Vorlage für Passwortrichtlinien kannst du ganz einfach loslegen.

Bei der Behebung von Problemen muss die Priorität nach dem Risiko und nicht nach der Übersichtlichkeit gesetzt werden. Beginne mit Administrator-Konten, Systemen, die sensible Daten enthalten, extern zugänglichen Diensten und gemeinsam genutzten Anmeldedaten mit unklaren Zuständigkeiten. Arbeite dich dann nach außen vor.

Warum überspringen Unternehmen Passwort-Audits?

Wenn Passwort-Audits so nützlich sind, warum machen sich dann so viele Unternehmen nicht die Mühe, sie durchzuführen? Der Prozess kann sich schwieriger anfühlen, als er tatsächlich ist.

In vielen Organisationen werden Anmeldedaten an zu vielen Standorten gespeichert, um sie einfach zu überprüfen. Einige Mitarbeiter speichern Passwörter in Browsern. Andere bewahren sie in Tabellen, geteilten Dokumenten, Notizen-Apps oder internen Nachrichten auf.€

Verschiedene Teams verwenden möglicherweise ihre eigenen Tools, kaufen Software unabhängig voneinander oder verwalten den Zugriff formlos. Dies kann dazu führen, dass das Unternehmen den Überblick darüber verliert, welche Systeme im Einsatz sind und wer Zugriff darauf hat, was es schwierig macht, Sicherheitsrisiken zu erkennen und zu beheben.

Das Fehlen eines zentralen Systems macht dies noch schwieriger. Ohne einen einzigen Standort für die Verwaltung von Unternehmens-Anmeldedaten kann sich selbst eine einfache Überprüfung der Passwortsicherheit in eine manuelle Aufgabe verwandeln, die auf Vermutungen, Screenshots und dem persönlichen Gedächtnis basiert. Viele KMU schieben die Überprüfung ihrer Passwortpraktiken auf, weil sie davon ausgehen, dass dies ein umfassendes Sicherheitsprojekt erfordert. In Wirklichkeit besteht der erste Schritt einfach darin, Struktur in das zu bringen, was bereits vorhanden ist.

Passwort-Audits werden oft auch deshalb übersehen, weil sich das Risiko bei den Anmeldedaten meist unbemerkt aufbaut. Im Gegensatz zu einem Software-Ausfall oder einem Phishing-Vorfall ist eine schlechte Passworthygiene nicht immer offensichtlich. Schwache Passwörter, unnötiger Zugriff, inaktive Konten und formlose Freigabepraktiken können monatelang unbemerkt bleiben. Wenn sie schließlich bemerkt werden, sind sie oft schon tief in die täglichen Abläufe eingebettet.

Ein Passwort-Audit bringt dieses verborgene Risiko ans Licht. Es sammelt Belege und verschafft einer Organisation die Transparenz und die Zuständigkeit, die sie benötigt, um die Zugriffskontrolle zu stärken, die Speicherpraktiken zu verbessern und einheitlichere Sicherheitsentscheidungen zu treffen.

Mach dein Passwort-Audit zu einer fortlaufenden Kontrolle

Ein Passwort-Audit wird weitaus wertvoller, wenn es Teil einer fortlaufenden Praxis ist und nicht nur eine einmalige Überprüfung. Das Risiko bei den Anmeldedaten wächst stetig weiter, wenn es nicht angegangen wird. Der Zugriff ändert sich, wenn Mitarbeiter eintreffen, das Unternehmen verlassen, ihre Rolle wechseln, neue Tools einführen oder für begrenzte Zeiträume mit externen Partnern zusammenarbeiten. Wenn eine Überprüfung nur einmal stattfindet, veralten die Ergebnisse fast sofort.

Eine zentralisierte Passwortverwaltung ist deine beste Investition. Sie bietet IT-Teams mehr als nur einen sicheren Ort zur Speicherung von Anmeldedaten. Sie schafft die nötige Transparenz und Kontrolle, um den Zugriff einheitlicher zu überprüfen, strengere Standards durchzusetzen und schneller zu reagieren, wenn etwas Aufmerksamkeit erfordert.

Die Wahl eines Passwort-Managers für IT-Teams unterstützt dieses Betriebsmodell durch effektive Administrator-Dashboards, zentrale Verwaltung, Teamrichtlinien, rollenbasierten Zugriff, SCIM-Bereitstellung, SSO und Audit-Protokolle, was die Passwortverwaltung zu einer stärkeren Betriebs- und Compliance-Kontrolle macht.