Die Passwortverwaltung im Team funktioniert bei drei Personen noch problemlos. Bei 15 Personen stößt sie an ihre Grenzen.

Ein kleines Unternehmen hat vielleicht eine Handvoll Tools, einige gemeinsam genutzte Konten und meist einen einzigen informellen Ort, an dem Passwörter liegen: eine Tabelle, eine angepinnte Chat-Nachricht, ein gemeinsames Dokument.

Je mehr Menschen zu einem Unternehmen stoßen, desto schwieriger macht informelles Teilen den Unterschied zwischen sinnvollem und riskantem Zugriff erkennbar. Passwörter für alltägliche Tools vermischen sich mit Anmeldedaten für Finanz-, Administrator-, Kunden- oder Infrastruktursysteme. Die Liste sieht von außen vielleicht noch geordnet aus, aber sie spiegelt nicht mehr wider, wer tatsächlich Zugriff auf was braucht.

Während ein Unternehmen wächst, brauchen geteilte Anmeldedaten Struktur und Kontrolle: Wer darf auf welches Passwort zugreifen, welche Abteilung besitzt die Anmeldedaten und wie ändert sich der Zugriff, wenn Menschen dazukommen, gehen oder die Rolle wechseln?

Wir erklären, wie du Passwort-Tresore nach Team oder Abteilung organisierst, wie gruppensbasierter Zugriff das Prinzip der geringsten Privilegien unterstützt und wie du Onboarding und Offboarding sicherer gestaltest – bevor die unkontrollierte Vermehrung von Anmeldedaten zu einem Sicherheits- und Betriebsproblem wird.

Warum geteilter Passwortzugriff nicht skalierbar ist

Informelles Teilen ist meist das erste Modell, auf das wachsende Unternehmen setzen. Es ist auf Bequemlichkeit ausgelegt: Passwörter liegen in einer Tabelle, in einem Chat-Thread oder im Browser einer Person, und niemand muss jedes Mal um Zugriff bitten, wenn eine Anmeldung gebraucht wird.

Chaos und Risiko überwiegen diesen Vorteil jedoch schnell. Sobald weitere Teams, Auftragnehmer, Kunden und Tools ins Unternehmen kommen, wird die geteilte Liste zu umfangreich für die Arbeit, die die Menschen tatsächlich erledigen. Das Finanzteam braucht vielleicht Anmeldedaten für Banking, Lohnabrechnung und Rechnungsstellung, aber keine Werbekontos oder Entwickler-Tools. Das Marketing braucht vielleicht Zugriff auf Analysen, Inhalte und soziale Medien, aber keine Rechtsportale oder Infrastruktur-Anmeldedaten.

Die Schwächen zeigen sich im Arbeitsalltag, doch erst beim Offboarding wird dieses Modell gefährlich. Verlässt jemand das Unternehmen, gibt es keine zuverlässige Möglichkeit herauszufinden, auf welche Anmeldedaten diese Person Zugriff hatte, welche sie kopiert hat und welche sie sich noch merkt. Ein Passwortwechsel bedeutet, das neue Passwort erneut über dieselben ungeschützten Kanäle zu verteilen, ohne Aufzeichnung darüber, wer es erhalten hat. Wegen dieses Aufwands überspringen viele Unternehmen den Wechsel einfach.

Ein Passwort-Manager für Unternehmen mit strukturierten Tresoren und gruppensbasiertem Zugriff ersetzt Ungenauigkeit durch Kontrolle: Zugriff lässt sich gezielt gewähren, überprüfen und widerrufen.

Je größer der Tresor wird, desto weniger taugt er als Zugriffskontrolle. Er speichert Passwörter vielleicht noch sicher, aber er spiegelt nicht mehr wider, wie das Unternehmen tatsächlich funktioniert, wem die einzelnen Anmeldedaten gehören und wer sie nutzen können sollte.

Zugriff auf Teambasis unterstützt das Prinzip der geringsten Privilegien

Das Prinzip hinter dem Zugriff auf Anmeldedaten nach Abteilung ist einfach: Die Menschen sollten nur auf die Anmeldedaten zugreifen können, die sie für ihre Arbeit benötigen.

Das Prinzip der geringsten Privilegien ist nützlich, weil es dem Zugriff auf Anmeldedaten einen klaren Maßstab gibt: Benötigt diese Person diese Anmeldedaten für ihre Arbeit, oder hat sie sie, weil der Zugriff einmal gewährt und nie wieder hinterfragt wurde? In der Passwortverwaltung im Team sollte diese Frage bestimmen, wie Tresore angelegt werden, wer ihnen beitritt und wann der Zugriff entfernt wird.

Das gilt besonders für geteilte Anmeldedaten. Eine geteilte Anmeldung ist ohnehin schwieriger zu kontrollieren als ein einzelnes Konto, weil mehr als eine Person sie nutzen kann.

Ist diese Anmeldung außerdem für Personen zugänglich, die keinen Zugriff darauf benötigen, trägt das Unternehmen ein Risiko ohne jeden Nutzen: Jede zusätzliche Person, die ihn einsehen kann, ist ein weiteres Gerät, auf dem er automatisch ausgefüllt, kopiert oder durch Phishing abgegriffen werden kann. Das Unternehmen weiß vielleicht, dass das Passwort sicher gespeichert ist, aber nicht, ob alle mit Zugriff auf den Tresor noch einen triftigen Grund haben, es zu nutzen.

Gruppen in Proton Pass for Business lösen dieses Problem: Admins können Personen in Gruppen organisieren, die Teams, Abteilungen oder Projekten entsprechen, und diese Gruppen dann bestimmten Tresoren und Einträgen zuweisen, sodass der Zugriff an der Rolle ausgerichtet ist statt an einer Liste einzelner Berechtigungen.

Die Tresorstruktur sollte dem Risiko entsprechen. Anmeldungen mit geringem Risiko für den Betrieb lassen sich problemlos teilen, während Administrator-Anmeldedaten, Finanz-Tools, HR-Systeme, Kundenexporte und der Zugriff auf Sicherungen strengere Kontrollen erfordern.

Wie eine gute Tresorstruktur aussieht

Eine gute Tresorstruktur sollte Menschen dabei helfen zu finden, was sie benötigen, ohne ihnen alles preiszugeben.

Ein praktischer Ausgangspunkt für die meisten wachsenden KMU sind sechs Passwort-Tresore nach Team::

  • Finanzen: Buchhaltung, Lohnabrechnung, Banking, Rechnungsstellung, Steuerportale, Zahlungsplattformen.
  • Marketing: Soziale Medien, Analysen, Werbung, Content-Management, Design-Tools.
  • Vertrieb und Kundenerfolg: CRM, Angebots-Tools, Kundenportale, Support-Plattformen.
  • Operations: Lieferantenportale, Projektmanagement-Tools, Logistik, Beschaffung.
  • IT und Sicherheit: Administratorkonsolen, Sicherungskonten, Geräteverwaltung, DNS, Hosting, Infrastruktur.
  • Führung: Unterlagen für den Vorstand, Investorenportale, Dienste auf Führungsebene, sensible Lieferantenkonten.

Wenn Tresorstruktur und Gruppenzugriff zusammenspielen, können Admins Berechtigungen in großem Maßstab verwalten: Weise eine Finanzgruppe dem Finanztresor zu, eine IT-Gruppe den Infrastruktur-Tresoren und eine Projektgruppe temporären Kundenprojekten. Der Zugriff skaliert dann mit dem Organigramm statt mit dem Gedächtnis eines Admins.

Sobald die Basisstruktur steht, kannst du eingeschränkte Tresore erstellen, wo das Risiko sie rechtfertigt. Ein IT-Team kann beispielsweise einen allgemeinen IT-Tresor und einen separaten privilegierten Administrator-Tresor pflegen, die beide den entsprechenden Gruppen zugewiesen sind.

Das wird beim Onboarding und Offboarding unverzichtbar. Wird jemand einer Gruppe hinzugefügt, erhält die Person auf einen Schlag alle nötigen Tresore; wird sie entfernt, werden alle Berechtigungen sofort widerrufen.

Das Ziel ist nicht, Tresore kompliziert zu machen. Das Ziel ist, zu vermeiden, dass Anmeldedaten mit sehr unterschiedlichen Risikostufen vermischt werden. Ein Tool zur Social-Media-Planung sollte keinen Zugriff gemeinsam mit der Lohnbuchhaltung teilen.

Passwort-Tresor-Strukturen für unterschiedliche Teamgrößen

Ein sehr kleines Unternehmen benötigt keine Tresorarchitektur auf Konzernniveau. Zu viel Struktur zu früh kann Verwirrung stiften und die Einführung verlangsamen.

Auch bei nur ein bis zwei Personen schafft es ein Fundament für Wachstum, geschäftliche und persönliche Anmeldedaten in getrennten Tresoren aufzubewahren.

Für ein Team von drei bis zehn Personen genügen vielleicht einige grob gefasste Tresore: Unternehmensbetrieb, Finanzen, Marketing und IT. Die wichtigste Priorität ist es, einen Tresor für alles zu vermeiden und die sensibelsten Anmeldedaten getrennt zu halten.

Für ein Team von 10 bis 50 Personen muss sich die Tresorstruktur daran orientieren, wie das Unternehmen tatsächlich organisiert ist. In dieser Phase wird der Zugriff auf Anmeldedaten Teil des Arbeitsalltags: Menschen stoßen zu Teams, Auftragnehmer kommen für bestimmte Projekte dazu, Führungskräfte werden für die Tools ihrer Teams verantwortlich, und Admins brauchen eine Möglichkeit, Zugriffe zu überprüfen, ohne jede Anmeldung einzeln öffnen zu müssen. Auftragnehmer und externe Mitarbeitende lassen sich projektspezifischen Tresoren zuweisen, ohne weiteren Zugriff zu erhalten, sodass sie nur sehen, was ihr Auftrag erfordert – und den Zugriff automatisch verlieren, wenn das Projekt endet.

Für Teams ab 50 Personen – größere KMU und Teams im Mittelstandssegment – müssen sich Tresore möglicherweise sowohl an Abteilungen als auch an Rollen orientieren. Eine Abteilung als Kategorie ist nicht immer spezifisch genug: Jemand arbeitet vielleicht in der Finanzabteilung, benötigt aber keinen Banking-Zugriff, oder unterstützt den IT-Betrieb, ohne privilegierte Administrator-Anmeldedaten zu benötigen.

Die Struktur sollte sich nach dem Unternehmen richten, nicht umgekehrt. In den folgenden Abschnitten erfährst du, wie du diese Struktur durch Onboarding, Offboarding und laufende Zugriffsüberprüfungen in die Praxis umsetzt.

Strukturierung des Onboardings

Beim Onboarding zeigt sich oft eine schwache Passwortverwaltung. Eine neue Mitarbeiterin oder ein neuer Mitarbeiter kommt dazu, und jemand muss sich merken, welche Anmeldedaten die Person benötigt, wo die Passwörter liegen, wer sie teilen darf und welche Zugriffe warten sollten, bis Schulung oder Freigabe abgeschlossen sind.

Ein Modell auf Teambasis nimmt diese Abhängigkeit vom Gedächtnis. Kommt eine neue Person in die Finanzabteilung, braucht sie keine Kollegin oder keinen Kollegen, der oder die jede Anmeldung manuell heraussucht und teilt. Sie wird einfach der Finanzgruppe hinzugefügt und erhält damit den Zugriff, den sie benötigt. Niemand sollte Links weiterleiten, Passwörter in den Chat einfügen oder sich merken müssen, welche Tools das Finanzteam üblicherweise nutzt.

Die Person wird einfach der Finanzgruppe hinzugefügt und erbt automatisch die Tresore und Einträge, die dieser Gruppe zugewiesen sind – nur die Anmeldedaten, die mit dieser Rolle verbunden sind. So verläuft das Onboarding schneller, und sensible Konten breiten sich nicht über das Team hinaus aus, das sie benötigt. Alle können ohne Passwortsuche loslegen, während das Unternehmen vermeidet, aus Bequemlichkeit weitreichenden Zugriff zu gewähren.

Hier hilft auch eine klare Passwort-Richtlinie. Protons Anleitung zum Erstellen einer Passwort-Richtlinie erklärt, wie Unternehmen Regeln für die Passworterstellung, das sichere Teilen, die Zugriffsverwaltung und die Authentifizierung festlegen können. Diese Regeln lassen sich leichter anwenden, wenn Anmeldedaten bereits nach Team organisiert sind.

Sichereres Offboarding

Bei einem einzigen geteilten Unternehmens-Tresor ist Widerrufen alles oder nichts: Die scheidende Person hat möglicherweise mit Dutzenden oder Hunderten von Anmeldedaten gearbeitet, was eine umfassende Passworterneuerung nach sich zieht – oder, schlimmer noch, ehemalige Mitarbeitende mit fortbestehendem Zugriff zurücklässt.

So sieht ein präzises Offboarding aus:

  1. Entferne die Person aus den Team- und Projektgruppen.
  2. Überprüfe alle Anmeldedaten, die diese Person besaß oder verwaltet hat.
  3. Erneuere bei Bedarf risikoreichere Passwörter.

Das Unternehmen kann den Aufwand für Rotation und Überprüfung auf die Anmeldedaten konzentrieren, die tatsächlich ein Risiko bergen, statt jedes Passwort wie einen Notfall zu behandeln.

Genau hier zahlt sich das Anlegen von Gruppen aus. Wenn der Zugriff ausschließlich über geteilte Tresore verwaltet wird, muss ein Administrator die Person einzeln aus jedem Tresor entfernen und den Zugriff widerrufen. Mit Gruppen genügt es, sie aus der Gruppe zu entfernen: Damit wird der Zugriff auf alle Tresore und Einträge, die dieser Gruppe zugewiesen sind, gleichzeitig widerrufen – eine einzige Aktion statt einer aufwendigen Prüfung.

Dieselbe Logik gilt, wenn jemand die Rolle wechselt. Wer vom Vertrieb in die Operations wechselt, sollte alte CRM-Administrator-Anmeldedaten nicht standardmäßig behalten. Rollenwechsel sollten genauso eine Überprüfung des Tresorzugriffs auslösen wie das Ausscheiden von Mitarbeitenden. Bei gruppenbasiertem Zugriff geht das schnell: Du verschiebst die Person einfach in eine andere Gruppe, und ihr Zugriff wird automatisch aktualisiert – alte CRM-Anmeldedaten weg, neue Tresore für die Operations zugewiesen, alles in einem einfachen Schritt.

Mehr Übersicht für Administratoren

Eine gute Passwortverwaltung im Team gibt Administratoren einen klaren Überblick über den Zugriff. Sie sollten grundlegende Fragen schnell beantworten können.

Wichtige Zugriffsfragen, die Administratoren beantworten können sollten

  • Wer kann auf Finanz-Anmeldedaten zugreifen?
  • In welchen Tresoren sind Externe vertreten?
  • Welche Benutzer haben Zugriff auf Administrator-Passwörter?
  • Welche Anmeldedaten werden abteilungsübergreifend geteilt?
  • Was hat sich nach dem Ausscheiden von Mitarbeitenden geändert?
  • Welche Tresore enthalten Konten mit hohem Risiko oder erweiterten Berechtigungen?

Der NCSC-Leitfaden zum Identitäts- und Zugriffsmanagement(neues Fenster) betont, wie wichtig es ist, zu kontrollieren, wer und was auf Systeme und Daten zugreifen kann. Außerdem weist er darauf hin, den Zugriff auf das Nötige zu beschränken und ihn regelmäßig zu überprüfen.

Das ist schwierig, wenn der Zugriff nach Bequemlichkeit statt nach Verantwortlichkeit organisiert ist. Eine saubere Tresorstruktur gibt Administratoren eine solidere Grundlage für Sicherheitsaudits, Zugriffsüberprüfungen und Kundenfragebögen.

Für IT-Teams bietet Proton Pass for Business zentralisierte Verwaltung, Richtlinien, sicheres Teilen, Berichte und Protokolle, SCIM-Bereitstellung sowie SSO-Integrationen. Teams erhalten eine zentrale Übersicht, die im Browser gespeicherte Passwörter und geteilte Tabellen nicht bieten.

Häufige Fehler bei der Verwaltung geteilter Tresore

Probleme mit geteilten Tresoren beginnen meist als Abkürzungen. Sie erleichtern den Zugriff im Moment, machen es aber schwieriger, später nachzuvollziehen, wer welche Anmeldedaten verwenden kann.

Fünf Fehler sind für die meisten Probleme mit geteilten Tresoren in wachsenden Unternehmen verantwortlich:

Zu langes Festhalten an einem einzigen Unternehmens-Tresor

Ein einzelner Tresor funktioniert anfangs vielleicht, doch mit der Zeit erhalten zu viele Personen Zugriff auf Anmeldedaten, die nichts mit ihrer Rolle zu tun haben.

Abhängigkeit vom Wissen eines einzelnen Administrators

Wenn nur eine Person weiß, wo sich kritische Anmeldedaten befinden, ist das Unternehmen vom Gedächtnis statt von Prozessen abhängig – und dieses Wissen geht mit der Person aus der Tür.

Betrachtung des Tresorzugriffs als dauerhaft

Mitarbeitende wechseln die Rolle, Externe schließen Projekte ab und Lieferanten gehen. Der Tresorzugriff sollte sich entsprechend ändern.

Vernachlässigung der Rotation von Anmeldedaten

Manche Passwörter müssen nach dem Ausscheiden von Mitarbeitenden, bei Rollenwechseln oder nach Zeiträumen allzu großzügigen Teilens geändert werden – besonders bei Administrator-Konten, Finanz-Tools, Kundensystemen und Lieferantenportalen.

Vermischung alltäglicher Anmeldungen mit privilegiertem Zugriff

Ein Team-Tresor kann die tägliche Arbeit erleichtern, doch Anmeldedaten mit hohem Risiko brauchen weiterhin strengere Überprüfungen und enger begrenzten Zugriff.

Alle diese Fehler haben dieselbe Ursache – ein nach Bequemlichkeit organisierter Zugriff – und dieselbe Lösung: eine Struktur, die Team, Rollen und Risiko widerspiegelt.

Wie Proton Pass for Business die Passwortverwaltung im Team unterstützt

Proton Pass for Business hilft Unternehmen dabei, vom informellen Teilen von Passwörtern zu einer strukturierten Verwaltung von Anmeldedaten zu gelangen. Teams können starke Passwörter generieren, Anmeldedaten in verschlüsselten Tresoren speichern, den Zugriff sicher teilen und Unternehmens-Passwörter von einem Ort aus verwalten.

Ein Passwort-Manager für Unternehmen bietet Teams einen sichereren Ort zum Speichern und Teilen von Anmeldedaten, doch die Struktur um diese Anmeldedaten herum bleibt wichtig. Für wachsende Teams besteht der nächste Schritt darin, sicherzustellen, dass der geteilte Zugriff widerspiegelt, wie die Mitarbeitenden tatsächlich arbeiten: nach Abteilung, Rolle, Projekt und Risikostufe.

Mit Gruppen in Proton Pass wird der Zugriff auf Anmeldedaten auf der Ebene verwaltet, auf der Teams tatsächlich arbeiten: Administratoren weisen Gruppen, die die Abteilungen oder Projekte abbilden, Tresore und Einträge zu, und Änderungen der Mitgliedschaft aktualisieren den Zugriff automatisch – fügt man neue Mitarbeitende hinzu, erhalten sie alles, was sie brauchen; entfernt man sie, wird der gesamte Zugriff widerrufen.

Eine klarere Struktur macht das sichere Teilen im Arbeitsalltag leichter managebar. Anmeldedaten sind um die Teams und Rollen herum organisiert, die sie tatsächlich nutzen, Administratoren haben einen besseren Überblick über den Zugriff, und Mitarbeitende finden die Passwörter, die sie brauchen, ohne geheime Informationen in Chat, E-Mail oder persönliche Notizen auszulagern.

Organisiere den Zugriff auf die Anmeldedaten deines Teams mit einem Passwort-Manager für Unternehmen.