Das Passwort klebt
unter der Tastatur.

Warum es die wirksamste Einzelmaßnahme ist

• Jeder Zugang bekommt ein eigenes Passwort. Damit ist ein Datenleck bei einem Anbieter kein Problem für alle anderen Konten.
• Die Passwörter sind lang und zufällig, weil sie niemand tippen muss.
• Der Manager füllt nur auf der echten Seite aus. Eine gefälschte Anmeldeseite erkennt er zuverlässiger als jeder Mensch – das ist der beste Phishing-Schutz überhaupt.
• Zugänge lassen sich übergeben, ohne dass jemand ein Passwort weitersagt. Wer den Betrieb verlässt, verliert den Zugriff mit einem Klick.
• Es gibt eine Übersicht, welche Zugänge es überhaupt gibt. Diese Liste allein ist in vielen Betrieben schon ein Gewinn.

Worauf bei der Auswahl zu achten ist

1. Geteilte Bereiche für Teams. Nicht jeder braucht alles: ein Bereich für alle, einer für das Büro, einer für die Geschäftsführung.
2. Rechte je Eintrag, damit jemand einen Zugang nutzen kann, ohne das Passwort zu sehen.
3. Notfallzugang. Was passiert, wenn die Person mit dem Hauptzugang ausfällt? Ohne geregelten Notfallzugang ist der Manager ein neues Risiko.
4. Export. Die Daten müssen herauskommen, sonst bist Du gebunden.
5. Server in der EU und ein Vertrag zur Auftragsverarbeitung, wenn dort auch Kundendaten oder Zugänge zu Kundensystemen liegen.
6. Auf allen Geräten: Rechner, Telefon, Browser. Was auf der Baustelle nicht funktioniert, wird umgangen.
7. Ende-zu-Ende-Verschlüsselung, sodass der Anbieter die Inhalte selbst nicht lesen kann.

Die im Browser eingebauten Speicher sind besser als nichts, aber sie können kein Teilen, keine Rechte und keinen Notfallzugang. Für einen Betrieb reicht das nicht.

Die Einführung

1. Mit der Geschäftsführung anfangen, nicht mit dem ganzen Team. Wer es selbst nutzt, kann es erklären.
2. Eine Liste aller Zugänge anlegen – das ist der mühsame Teil und gleichzeitig der wertvollste.
3. Die wichtigsten zehn Zugänge eintragen und dabei gleich neue, lange Passwörter setzen.
4. Zwei-Faktor-Anmeldung für E-Mail, Bank und Hosting einschalten. Die Codes kann der Manager meist gleich mitverwalten.
5. Dann das Team, in einer halben Stunde. Der Nutzen muss erlebbar sein: nie wieder ein Passwort tippen.
6. Alte Listen vernichten – auf Papier und in Dateien. Solange sie existieren, werden sie benutzt.
7. Notfallzugang festlegen und aufschreiben, wo er liegt.

Was danach noch zu tun ist

• Einmal im Jahr durchgehen: Welche Zugänge gibt es nicht mehr, wer ist nicht mehr im Betrieb?
• Beim Ausscheiden von Mitarbeitern sofort die Freigaben entziehen und geteilte Passwörter wechseln.
• Die Warnungen des Managers ernst nehmen – er meldet Passwörter, die in bekannten Datenlecks aufgetaucht sind.
• Zugänge zu Kundensystemen getrennt halten und mit dem Kunden abstimmen, wer sie kennt.

Der Aufwand ist einmalig ein halber Tag. Verglichen mit dem, was ein übernommenes Postfach anrichten kann – gefälschte Rechnungen an Deine Kunden, in Deinem Namen –, ist das die günstigste Versicherung im Betrieb.