Passwortsicherheit im Unternehmen: Zwei-Faktor-Leitfaden
Eine Passwort-Routine für kleine Teams: starke Passwörter, Passwortmanager, geteilte Konten, Zwei-Schritt-Verifizierung, Austritte und Phishing.
rabbitclip-TeamVeröffentlicht: 7 Min. Lesezeit
Kurz gesagt
Passwortsicherheit im Unternehmen bedeutet, jedes Konto mit einem eigenen langen Passwort zu schützen, diese Passwörter in einem Passwortmanager aufzubewahren, für die wichtigen Konten die Zwei-Schritt-Verifizierung einzuschalten und den Zugang einer Person zügig zu schließen, wenn sie das Team verlässt. Für ein kleines Team verhindern diese vier Gewohnheiten die meisten Kontoübernahmen. Schwierig ist nicht die Technik, sondern dass alle die Routine einhalten: Geteilte Konten, wiederverwendete Passwörter und vergessene alte Berechtigungen machen den größten Teil des tatsächlichen Risikos aus.
Wird ein Konto übernommen, verlieren Sie mehr als einen Zugang. E-Mail, Domain, Hosting, Werbe- und Social-Media-Konten sind miteinander verknüpft, und wer in eines hineinkommt, kann die Passwörter der anderen zurücksetzen. Deshalb kommt es auch auf die Reihenfolge an, in der Sie Konten schützen.
Der Passwortgenerator auf unserer Website kann ein starkes Passwort erzeugen, aber die eigentliche Arbeit besteht darin, zu entscheiden, wo Passwörter liegen und wer sie verwaltet. Im Folgenden finden Sie eine Routine, die ein kleines Team tatsächlich durchhalten kann.
Wo beginnt Passwortsicherheit im Unternehmen?
Beginnen Sie damit, die Konten aufzulisten, die die wahren Schlüssel des Unternehmens sind. Die Firmen-E-Mail steht an erster Stelle, weil die meisten Dienste ihren Link zum Zurücksetzen des Passworts dorthin senden. Danach folgen die Domainregistrierung, das Hosting und das Admin-Panel der Website, Werbekonten, Social Media, Buchhaltung und Bankkonten.
Prüfen Sie anhand der Liste für jedes Konto drei Dinge: wer es verwaltet, was es schützt und ob es einen zweiten Verifizierungsschritt gibt. Die meisten Unternehmen finden ihre erste Lücke schon beim Beantworten dieser drei Fragen.
- Ein eigenes Passwort für jedes Konto
- Ein langes Passwort statt eines kurzen, komplizierten
- Ein Passwortmanager, der sie aufbewahrt
- Zwei-Schritt-Verifizierung für die wichtigen Konten
- Eine Checkliste, die den Zugang schließt, wenn jemand geht
Wie erstellt man ein starkes Passwort?
Ein starkes Passwort hat zwei Eigenschaften: Es ist lang, und es wird nirgendwo sonst verwendet. Länge bringt mehr als eine Handvoll komplizierter Zeichen. Eine lange Wendung aus einigen nicht zusammenhängenden Wörtern ist zugleich einprägsam und schwer zu erraten. Geburtstage, Firmennamen, Telefonnummern und Tastaturfolgen sind das Erste, was jeder ausprobieren würde.
Für Konten, die Sie sich nicht merken müssen, ist ein langes Zufallspasswort am besten, das ein Passwortmanager oder der Generator erzeugt. Verwenden Sie niemals dasselbe Passwort für zwei Konten. Passwörter, die bei einem Dienst abgeflossen sind, werden bei anderen ausprobiert, und ein wiederverwendetes Passwort funktioniert überall dort, wo es wiederverwendet wurde.
Warum braucht man einen Passwortmanager, und wie geht man mit geteilten Konten um?
Ein Passwortmanager bewahrt Passwörter in einem verschlüsselten Tresor auf, erzeugt neue Zufallspasswörter und trägt sie ein, sobald Sie auf der richtigen Seite sind. Alle merken sich ein einziges Master-Passwort, und der Tresor trägt den Rest. Für Teams gebaute Manager bieten außerdem gemeinsame Tresore, sodass das Passwort eines geteilten Kontos dort liegt und nicht in einer Chat-App oder einer Tabelle.
Geteilte Konten, also ein Zugang, den mehrere Personen nutzen, sollten auf ein Minimum beschränkt werden. Wenn der Dienst benannte Nutzer zulässt, legen Sie für jede Person einen eigenen an: So sehen Sie, wer was und wann getan hat, und beim Ausscheiden wird nur der Zugang dieser Person geschlossen. Wenn nicht, bewahren Sie das Passwort im gemeinsamen Tresor auf und ändern Sie es jedes Mal, wenn jemand das Team verlässt.
Die im Browser eingebaute Passwortspeicherung ist besser als nichts, aber ein eigener Manager ist für die Verwaltung im Team und das Teilen übersichtlicher. Wird das Master-Passwort vergessen, lässt sich der Tresor nicht öffnen; legen Sie deshalb gleich zu Beginn den Wiederherstellungsweg fest und verwahren Sie ihn sicher.
Was ist die Zwei-Schritt-Verifizierung, und welche Methode sollte man wählen?
Die Zwei-Schritt-Verifizierung verlangt zusätzlich zum Passwort einen zweiten Nachweis: einen Code aus einer App auf dem Telefon, einen Sicherheitsschlüssel oder eine Bestätigungsabfrage. Selbst wenn das Passwort gestohlen wird, braucht man das zweite Element, um in das Konto zu gelangen.
Die Methoden sind nicht gleichwertig. Eine Textnachricht ist besser als nichts, aber eine Authenticator-App oder ein physischer Sicherheitsschlüssel gilt allgemein als stärker. Die Wahl hängt davon ab, was der Dienst anbietet und was das Team tatsächlich nutzen wird.
Sammeln Sie bei der Einrichtung immer die Wiederherstellungscodes und bewahren Sie sie in einer sicheren Notiz im Passwortmanager auf. Geht ein Telefon verloren, sind sie möglicherweise der einzige Weg zurück. Geben Sie E-Mail-, Domain-, Hosting-, Werbe- und Finanzkonten den Vorrang.
Wie schließt man den Zugang ausscheidender Personen?
Schließen Sie den Zugang an dem Tag, an dem die Person geht, und arbeiten Sie dabei mit einer Checkliste statt aus dem Gedächtnis. Eine häufige Falle sind Geschäftskonten, die mit der privaten E-Mail-Adresse einer Person eröffnet wurden. Das Unternehmen sollte der Inhaber des Kontos sein.
Auch wenn der Abschied freundschaftlich verläuft, drücken diese Schritte kein Misstrauen gegenüber der Person aus. Sie sorgen dafür, dass eine vergessene Berechtigung später nicht zu einer offenen Tür wird.
- Das Firmen-E-Mail-Konto schließen oder die Weiterleitung an jemand anderen übergeben
- Die Passwörter geteilter Konten ändern
- Administratorrechte bei Hosting, Werbung, Social Media und im Website-Panel entfernen oder übertragen
- Eine an das Telefon der Person gebundene Zwei-Schritt-Verifizierung auf ein neues Gerät übertragen
- Bestätigen, dass Domain-, Hosting- und Abonnementkonten auf den Namen des Unternehmens eingetragen sind
Woran erkennt man eine Phishing-Mail?
Phishing ist eine Nachricht, die Sie dazu bringt, Ihr Passwort oder einen Verifizierungscode auf einer gefälschten Seite einzugeben. Sie setzt Sie unter Zeitdruck, behauptet, Ihr Konto werde gesperrt oder eine Zahlung sei angehalten, und kommt im Gewand einer bekannten Marke oder einer Führungskraft. Auch hier hilft ein Passwortmanager: Er trägt ein Passwort nur auf der gespeicherten echten Adresse ein; füllt er nicht aus, halten Sie an und sehen Sie sich die Adresse an.
Klicken Sie im Zweifel nicht auf den Link in der Nachricht. Rufen Sie den Dienst über Ihre eigenen Lesezeichen auf oder indem Sie die Adresse eintippen. Geben Sie einen Verifizierungscode niemals an jemanden weiter; echte Dienste fragen in der Regel nicht per Telefon oder Nachricht danach. Wenn jemand im Team auf etwas Verdächtiges geklickt hat, machen Sie es ihm leicht, das sofort zu melden, statt ihm Vorwürfe zu machen. Schnelligkeit begrenzt den Schaden.
Welche Fehler sind verbreitet, und welche Entscheidungen sind falsch?
Die verbreiteten Fehler sind diese: Passwörter in einer Tabelle oder einer Chatgruppe, ein Passwort für mehrere Konten, eine Zwei-Schritt-Verifizierung, die am Telefon einer einzigen Person hängt, sodass das Konto gesperrt ist, wenn diese Person geht, und Wiederherstellungsoptionen, die noch auf eine alte E-Mail-Adresse oder Telefonnummer zeigen.
Auch manche Entscheidungen sind falsch. Erzwungene regelmäßige Passwortwechsel werden in vielen aktuellen Richtlinien nicht mehr empfohlen, weil sie Menschen zu kleinen, vorhersehbaren Änderungen verleiten. Knüpfen Sie den Wechsel stattdessen an ein Ereignis: Jemand verlässt das Team, oder Sie vermuten eine Kompromittierung. Ein Ein-Personen-Unternehmen braucht vielleicht keinen Teamtarif; ein persönlicher Manager und die Zwei-Schritt-Verifizierung können genügen. Eine strenge Vorgabe, die niemand befolgt, schützt weniger als eine einfache Routine, die tatsächlich gelebt wird.
Für ein kleines Team läuft Passwortsicherheit auf vier Schritte hinaus: eine Kontenliste, ein Passwortmanager, die Zwei-Schritt-Verifizierung und eine Checkliste für Austritte. Beginnen Sie mit E-Mail und Domain und gehen Sie dann zu Werbung und Social Media über. In einem Erstgespräch kann rabbitclip gemeinsam mit Ihnen den aktuellen Stand Ihrer Konten durchgehen.
Häufige Fragen
Was ist die Zwei-Schritt-Verifizierung?
Es ist ein Anmeldeverfahren, das zusätzlich zum Passwort einen zweiten Nachweis verlangt, etwa einen Code aus einer Authenticator-App, einen Sicherheitsschlüssel oder eine Bestätigungsabfrage. Sie erschwert den Zugang zu einem Konto, selbst wenn das Passwort gestohlen wurde.
Ist ein Passwortmanager sicher?
Mit einem seriösen Manager und einem starken Master-Passwort ist er in der Regel sicherer, als Passwörter in einer Tabelle oder einem Notizbuch aufzubewahren. Der größte Teil des Risikos liegt darin, wie gut das Master-Passwort geschützt ist.
Wann sollte das Passwort eines geteilten Kontos geändert werden?
Nach Ereignissen, nicht nach Kalender: wenn jemand das Team verlässt, wenn Sie vermuten, dass das Passwort offengelegt wurde, oder wenn ein von Ihnen genutzter Dienst einen Datenabfluss meldet.
Wie lang sollte ein starkes Passwort sein?
Es gibt keine feste Zahl. Es sollte so lang sein, wie der Dienst es zulässt, und nirgendwo sonst verwendet werden. Eine Wendung aus einigen nicht zusammenhängenden Wörtern oder ein langes, zufällig erzeugtes Passwort ist ein guter Anfang.
