In den meisten kleinen Betrieben gibt es ein Passwort, das alle kennen. Es steht auf einem Zettel unter der Kasse, in einer Notiz auf dem Telefon oder in einer alten Nachricht im Gruppenchat. Es funktioniert seit Jahren, und genau das ist das Problem.
Nicht die Länge des Passworts entscheidet über den Schaden, sondern die Frage, wer es kennt und was danach noch nachvollziehbar ist. Ein geteilter Zugang lässt sich weder entziehen noch einer Person zuordnen.
Geteilte Zugänge sind der eigentliche Fehler
Wenn mehrere Personen dasselbe Konto benutzen, verlierst du zwei Dinge gleichzeitig: die Möglichkeit, einer einzelnen Person den Zugang zu nehmen, und die Möglichkeit, im Nachhinein zu sagen, wer etwas getan hat. Beides brauchst du spätestens, wenn Geld oder Kundendaten im Spiel sind.
Die Lösung ist selten teuer. Kassensysteme, Buchhaltungssoftware und die meisten Dienste kennen persönliche Konten mit abgestuften Rechten. Wer sie nicht nutzt, spart sich die Einrichtung einmal und die Nachvollziehbarkeit dauerhaft.
Was ein Passwortmanager im Betrieb ändert
Ein Passwortmanager ist ein verschlüsselter Tresor für Zugangsdaten mit einem einzigen Hauptschlüssel. Der eigentliche Gewinn liegt nicht in der Bequemlichkeit, sondern darin, dass jedes Konto ein eigenes, langes und zufälliges Passwort bekommen kann, ohne dass sich jemand etwas merken muss.
Damit ist die gefährlichste Gewohnheit erledigt: dasselbe Passwort mehrfach zu verwenden. Taucht eine Zugangsdatenliste eines Anbieters im Netz auf, betrifft der Schaden dann genau einen Dienst und nicht deinen gesamten Betrieb.
Für den betrieblichen Einsatz zählt vor allem die geteilte Ablage: gemeinsame Zugänge liegen in einem Bereich, auf den nur bestimmte Personen Zugriff haben, persönliche Zugänge bleiben persönlich. Der Zettel unter der Kasse wird dadurch überflüssig.
Die Zugänge, die keiner Person gehören
Manche Zugänge sind keine persönlichen: der Router, die Domainverwaltung, der Zugang zum Webhoster, das Kassensystem, das Konto beim Warenlieferanten, das Händlerportal des Zahlungsdienstleisters. Sie gehören dem Betrieb.
Genau diese Zugänge sind erfahrungsgemäß am schlechtesten dokumentiert, weil sie selten gebraucht werden. Schreib sie einmal vollständig auf: welcher Dienst, unter welcher E-Mail-Adresse registriert, wer die Rechnung bekommt, wer den Zugang hat. Ohne diese Liste kann dir ein einzelner Ausfall den Betrieb länger lahmlegen als jeder Gerätedefekt.
Wenn jemand den Betrieb verlässt
Zum Ausscheiden gehört eine feste Liste von Schritten: persönliche Konten deaktivieren, aus geteilten Bereichen entfernen, Geräte zurücknehmen, und jedes gemeinsam genutzte Passwort ändern, das die Person kannte.
Der letzte Punkt wird regelmäßig übersehen, weil er Arbeit macht. Er ist der wichtigste. Solange gemeinsame Passwörter unverändert bleiben, ist der Zugang nicht entzogen, sondern nur nicht mehr eingeladen.
Der Zugang für den Ernstfall
Wenn nur eine Person die Zugänge kennt, ist ihr Ausfall ein Betriebsrisiko. Krankheit, Unfall oder ein verlorenes Telefon reichen aus. Es braucht deshalb einen Weg, wie die Betriebsleitung an die wichtigen Zugänge kommt, ohne diese Person.
Praktisch geht das über einen Notfallzugang im Passwortmanager oder über eine versiegelte Liste der wenigen zentralen Zugänge an einem sicheren Ort. Wichtig ist, dass der Weg schriftlich festgelegt und einmal geprüft ist. Ein Notfallzugang, den niemand kennt, existiert nicht.
Was du dir sparen kannst
Regelmäßiger Zwangswechsel von Passwörtern gilt heute als überholt, wenn keine Anzeichen für eine Kompromittierung vorliegen. Er führt in der Praxis zu vorhersehbaren Varianten desselben Passworts. Sinnvoller ist ein langes, einmaliges Passwort je Dienst, ergänzt um einen zweiten Faktor, und ein sofortiger Wechsel, sobald ein Verdacht besteht.
Wo die Beratung anfängt
Zugangsdaten sind zugleich eine Frage des Datenschutzes: Wer auf personenbezogene Daten zugreifen kann, gehört dokumentiert, und der Zugriffsschutz zählt zu den technischen und organisatorischen Maßnahmen deines Betriebs. Wie das in deinem Fall zu dokumentieren ist und was arbeitsrechtlich beim Ausscheiden gilt, klärt deine Rechtsberatung.
