Der Laptop ist zurückgegeben, das Benutzerkonto gesperrt. Doch das Passwort für das gemeinsame Kundenportal steht noch in einem alten Chat. Ein solcher Austritt zeigt, wie leicht eine Lücke entstehen kann: Der persönliche Zugang ist deaktiviert, der gemeinsame möglicherweise weiterhin nutzbar. Entscheidend ist, ob das Portal an die zentrale Benutzerverwaltung angebunden ist und welche weiteren Anmeldemöglichkeiten bestehen.

Das Problem liegt dann nicht in der Länge des Passworts, sondern im Umgang damit. Wer kennt die Zugangsdaten? Wer darf sie noch verwenden? Und wer sorgt dafür, dass eine frühere Berechtigung tatsächlich endet?

Wenn die schnelle Lösung dauerhaft bleibt:
«Schick mir kurz das Passwort.» Für eine Ferienvertretung, einen dringenden Kundenauftrag oder die Zusammenarbeit mit einer Agentur wirkt diese Bitte zunächst unkompliziert. Ein Zugang wird weitergegeben, die Arbeit geht weiter. Zurück bleibt jedoch eine Kopie, deren weitere Nutzung kaum noch nachvollziehbar ist.

Besonders unübersichtlich wird es, wenn dieselben Zugangsdaten in einer Excel-Liste, einem E-Mail-Postfach und auf mehreren Geräten liegen. Welcher Eintrag ist aktuell? Wer hat die Datei weitergeleitet? Und wer informiert alle Beteiligten, sobald sich das Passwort ändert?

Dabei ist nicht jede Datei ungeschützt und nicht jeder Messenger unsicher. Auch ein verschlüsselter Übertragungsweg verhindert jedoch nicht, dass Empfänger ein Passwort kopieren oder aufbewahren. Die entscheidende Schwäche liegt in der fehlenden Kontrolle über Nutzung und Weitergabe nicht allein im gewählten Kommunikationskanal. Auch kompromittierte Benutzerkonten können so weitere Zugänge gefährden, selbst wenn deren Passwörter stark sind.

Bei einer Übergabe kann der Aufwand deutlich werden:
Mitarbeitende suchen Zugangsdaten, die IT klärt Berechtigungen, Projekte warten auf eine Freigabe. Kommt ein Sicherheitsvorfall hinzu, erschwert die verteilte Ablage die Klärung, welche Konten betroffen sein könnten. Aus einer praktischen Abkürzung wird damit ein Problem für den Betrieb.

Gemeinsam arbeiten heisst nicht gemeinsam anmelden:
Ein gemeinsam genutztes System erfordert nicht automatisch ein gemeinsames Passwort. Wo eine Anwendung persönliche Benutzerkonten und die Zuweisung einzelner Rechte unterstützt, lässt sich Zusammenarbeit darüber organisieren. Mitarbeitende erhalten eigene Zugänge; Aufgaben und Berechtigungen bleiben einzelnen Personen zugeordnet. Gemeinsame Konten sind dann eine begründete Ausnahme, nicht die Standardlösung.

Wo eine gemeinsame Anmeldung weiterhin erforderlich ist, können unternehmensgeeignete Passwortmanager die unkontrollierte Weitergabe ersetzen. Statt Zugangsdaten in Nachrichten zu verschicken, wird ein geschützter Eintrag für bestimmte Personen oder Teams freigegeben. Berechtigte greifen auf den zentral gepflegten Eintrag zu, statt unterschiedliche Kopien einer Passwortliste abzugleichen. [2]

Je nach Lösung lassen sich Freigaben verwalten sowie Abrufe und Änderungen protokollieren. Diese Nachvollziehbarkeit hat allerdings Grenzen: Ein Protokoll im Passwortmanager dokumentiert nicht automatisch jede Anmeldung oder Handlung im jeweiligen Zieldienst. Für die Untersuchung eines Vorfalls können deshalb zusätzliche Anwendungsprotokolle erforderlich sein.

Ein entzogenes Recht löscht kein bekanntes Passwort:
Beim Austritt eines Mitarbeitenden zeigt sich, wie gut Passwortverwaltung und Zugriffsmanagement zusammenspielen. Das Entfernen aus einer Freigabegruppe verhindert nicht, dass ein zuvor kopiertes Passwort ausserhalb des Passwortmanagers verwendet wird. Eine Freigabe lässt sich beenden, das Wissen um ein bereits bekanntes Passwort jedoch nicht.

Wenn eine Person ein gemeinsames Passwort kennen konnte und ihre Berechtigung endet, gehört deshalb dessen Änderung beim betroffenen Dienst zum geregelten Austritt. Anschliessend wird der neue Wert im Passwortmanager hinterlegt. Den gespeicherten Eintrag allein zu bearbeiten, ändert das Passwort beim Dienst nicht automatisch; dafür ist eine entsprechende technische Anbindung erforderlich.

Ebenso verdienen bestehende Sitzungen Aufmerksamkeit:
Eine Passwortänderung beendet nicht bei jeder Anwendung automatisch alle laufenden Anmeldungen. Der Entzug muss daher auch im jeweiligen Dienst wirksam werden. Das gilt nicht nur beim Austritt, sondern ebenso beim Ende eines externen Auftrags oder beim Verdacht, dass Zugangsdaten in falsche Hände gelangt sind.

Ordnung beginnt bei Zuständigkeiten:
Ein Passwortmanager schafft eine technische Grundlage. Welche Zugänge existieren, wer sie benötigt und wer Freigaben genehmigt, bleibt jedoch eine organisatorische Entscheidung. Eine brauchbare Passwort-Richtlinie beantwortet diese Fragen, statt sich auf Zeichenlängen und Sonderzeichen zu beschränken. Sie begleitet Zugangsdaten von der Erstellung bis zur Stilllegung des zugehörigen Kontos.

Dabei hilft ein einfaches Prinzip > „Zugriff richtet sich nach der Aufgabe.“:
Die Ferienvertretung erhält die benötigten Berechtigungen für den vereinbarten Zeitraum, nicht vorsorglich Zugang zu allen Unternehmenskonten. Ein IT-Dienstleister benötigt für einen begrenzten Auftrag nicht zwangsläufig dauerhaft dieselben Administratorrechte. Wer den Zugriff freigibt und wann er endet, steht idealerweise bereits zu Beginn fest.

Auch Rollenwechsel innerhalb des Unternehmens gehören dazu. Neue Aufgaben bringen neue Rechte mit sich; alte Berechtigungen werden dabei überprüft und bei Bedarf entfernt. Eine regelmässige Bestandsaufnahme hält ausserdem sichtbar, welche Konten noch benötigt werden. So ergänzt das Passwortmanagement die übergeordnete Identitäts- und Zugriffsverwaltung, ohne sie zu ersetzen.

Damit ein Austritt nicht zur Suchaktion wird, brauchen Personalverantwortliche, Führungskräfte und IT einen gemeinsamen Ablauf. Die Meldung eines Wechsels löst die Prüfung der betroffenen Konten aus; eine zuständige Person bestätigt den Abschluss. So bleibt die Verantwortung nicht zwischen Abteilungen liegen. Technische Automatisierung kann dabei unterstützen, ersetzt aber nicht die Klärung der betroffenen Zugänge.

Weniger Umwege, mehr Sicherheit:
Sicherheit scheitert nicht erst an fehlenden Regeln, sondern auch an Lösungen, die am Arbeitsalltag vorbeigehen. Wenn eine Freigabe schwer auffindbar ist oder die zuständige Person fehlt, erscheint die schnelle Nachricht wieder attraktiv. Eine verständliche Einführung, erreichbare Ansprechpersonen und einfache Abläufe machen den vorgesehenen Weg praktikabel. Schulungen können dann an konkreten Situationen ansetzen, statt nur Verbote zu vermitteln.

Dazu gehört auch ein differenzierter Blick auf Speicherorte. Browser-Passwortmanager sind nicht grundsätzlich unsicher; sie können Zugangsdaten verschlüsselt speichern. Für Unternehmen zählt jedoch zusätzlich, ob sich geschäftliche Zugänge, Synchronisierung und Berechtigungen passend verwalten lassen. Ein privates Browserprofil ersetzt kein betriebliches Berechtigungskonzept. Entscheidend sind freigegebene Lösungen und eine klare Trennung privater und geschäftlicher Zugangsdaten. Ebenso wenig besteht gute Passwortsicherheit aus immer komplizierteren Merkvorschriften. Lange, einzigartige und schwer erratbare Passwörter lassen sich mit einem Passwortmanager erzeugen und verwalten. Die US-Standardisierungsbehörde NIST hebt den Nutzen solcher Werkzeuge hervor und lehnt routinemässig erzwungene Passwortwechsel ohne Anlass ab. Bei unbefugt offengelegten oder mutmasslich kompromittierten Zugangsdaten ist dagegen eine rasche Änderung wichtig.

Wird zudem dasselbe Passwort bei mehreren Diensten verwendet, kann ein einziges Datenleck weitere Konten gefährden. Angreifer können gestohlene Kombinationen aus Benutzername und Passwort automatisiert bei anderen Anbietern ausprobieren. Einzigartige Passwörter begrenzen dieses Risiko; sie ersetzen aber nicht die Kontrolle darüber, wer sie verwenden darf.

Mehrfaktor-Authentifizierung ergänzt diesen Schutz, insbesondere bei Administrationskonten, E-Mail-Zugängen und dem Passwortmanager selbst. Sie ersetzt aber weder klare Berechtigungen noch einen geregelten Austritt. Bei gemeinsam genutzten Konten gehören auch der zweite Faktor und die Wiederherstellung in die Planung, damit ein Zugang nicht dauerhaft von einer einzigen Person abhängt.

Sicherheit, die Zusammenarbeit erleichtert:
Die entscheidende Frage lautet nicht nur, wie sicher ein Passwort ist. Ebenso wichtig ist, ob das Unternehmen seine Nutzung steuern kann – vom ersten Arbeitstag bis zum letzten Zugriff. Eine zentrale Ablage, nachvollziehbare Freigaben und klare Zuständigkeiten schaffen dafür die Grundlage. Gleichzeitig können sie Rückfragen und improvisierte Übergaben reduzieren.

Lösungen wie PassSecurium® der ALPEIN Software SWISS AG unterstützen Unternehmen dabei mit zentraler Passwortverwaltung, rollenbasierten Berechtigungen und kontrollierten Freigaben. Ihre Wirkung entfalten solche Werkzeuge im Zusammenspiel mit den betrieblichen Prozessen.
Dann wird aus «Wer hat das Passwort?» eine andere Frage: «Wer braucht welchen Zugriff?» Genau darin liegt der Unterschied zwischen dem Weitergeben von Zugangsdaten und professionellem Passwortmanagement.