Wie sieht das in der Praxis aus?
- Das Passwort für das System wird mal eben über Slack verschickt.
- Die Zugangsdaten für den Server landen unverschlüsselt in einer E-Mail.
- Eine Excel-Tabelle namens „Passwörter“ liegt auf dem gemeinsamen Netzlaufwerk.
- Und am Monitor klebt ein Zettel mit der PIN.
Das sind keine Szenarien aus dem prä-digitalen Zeitalter, sondern bitterer Alltag in vielen Organisationen – völlig unabhängig von deren Größe oder Branche. Jedes dieser Beispiele schafft einen unkontrollierten Zugriffspunkt auf Unternehmensressourcen. Einen Punkt, von dessen Existenz der IT-Administrator oft nicht einmal etwas weiß.
Die Gefahr liegt dabei nicht nur in der mangelnden Stärke einzelner Passwörter. Das eigentliche Problem ist der totale Kontrollverlust darüber, wer diese Passwörter besitzt, wie sie innerhalb der Organisation zirkulieren und was mit ihnen passiert, wenn ein Mitarbeiter die Position wechselt oder das Unternehmen verlässt.
Wie Passwörter tatsächlich im Unternehmen zirkulieren
Laut einem Bericht von Bravura Security geben erschreckende 46 % der IT- und Cybersicherheitsverantwortlichen zu, dass Passwörter in ihrer Organisation in freigegebenen Office-Dokumenten (Excel-Tabellen, Word-Dateien oder Textdateien auf gemeinsamen Laufwerken) gespeichert werden. Das bedeutet: Diese Unternehmen haben zwar eine Sicherheitsrichtlinie, handeln aber aktiv gegen sie.
Derselbe Bericht zeigt, dass nur 7 % der IT-Leiter absolut sicher sind, dass sie im Falle eines plötzlichen Ausscheidens eines Mitarbeiters die Zugriffe nahtlos übernehmen, Passwörter übertragen und die Geschäftskontinuität wahren können. Die restlichen 93 % agieren völlig ohne Garantie.
Das Problem endet jedoch nicht bei der Speicherung. Nach Daten von Spacelift haben 53 % der IT-Spezialisten geschäftliche Passwörter als Klartext per E-Mail geteilt. Eine E-Mail mit einem Passwort im Textfeld wird auf den Mailservern registriert – oft an mehreren Stellen gleichzeitig – und bleibt dort über Monate oder Jahre hinweg gespeichert, ohne jede Kontrolle darüber, wer darauf Zugriff hat.
Laut Daten von JumpCloud tauschen rund 25 % der Mitarbeiter regelmäßig Passwörter untereinander aus. Dies geschieht nicht selten ohne das Wissen der IT-Abteilung und ohne jeglichen Kontrollmechanismus, wer die Zugangsdaten zu einem bestimmten System aktuell überhaupt kennt.
Drei Szenarien, in denen fehlende Kontrolle das Unternehmen teuer zu stehen kommt
Der Mitarbeiter geht, die Passwörter bleiben bei ihm
Ein Mitarbeiter hat das CRM-System betreut, hatte Zugriff auf das Hosting-Panel und kannte das Passwort für das Haupt-Support-Postfach. Vor drei Monaten hat er das Unternehmen verlassen. Wurden die Passwörter geändert? Wenn die Organisation kein zentrales Register darüber führt, worauf der jeweilige Mitarbeiter Zugriff hatte, lautet die Antwort: wahrscheinlich nicht – und ganz sicher nie alle.
Per Messenger verschickte Passwörter hinterlassen dauerhafte Spuren
Ein Mitarbeiter muss sich dringend in ein System einloggen und bittet über Slack oder Teams um das Passwort. Ein Kollege kopiert es kurzerhand in den Chat. Die Aktion dauert Sekunden, aber die Nachricht bleibt monatelang im Chatverlauf bestehen. Sie wird indexiert, in der Cloud synchronisiert und ist von jedem Gerät aus abrufbar, auf dem der Absender (oder Empfänger) angemeldet ist. Wird das Messenger-Konto kompromittiert, erhält der Angreifer nicht nur Zugriff auf die Chats, sondern frei Haus die Zugangsdaten zu weiteren Systemen.
Das „Gemeinschaftskonto“ des Teams – niemand weiß, was passiert
Das Konto für ein Marketing-Tool, das Postfach info@unternehmen.de lub der Zugang zur Werbeplattform sind typische Fälle von Konten, die von mehreren Personen gleichzeitig genutzt werden. Muss das Passwort geändert werden (z. B. nach dem Ausscheiden eines Praktikanten), entsteht ein Problem: Wie informiert man die restlichen Teammitglieder sicher? Wer kennt eigentlich das aktuell gültige Passwort? Haben alle ihre lokalen Kopien aktualisiert? Die Unsicherheit über den Status dieser Konten bedeutet einen vollständigen Kontrollverlust über den Zugriff auf Unternehmenswerte.
Wie der Bericht von Beyond Identity zeigt, geben 83 % der ehemaligen Mitarbeiter zu, sich nach ihrem Ausscheiden bei den Konten ihres früheren Arbeitgebers eingeloggt zu haben – und 56 % taten dies mit der Absicht, Schaden anzurichten. Das Motiv ist oft Groll, und das Werkzeug ist ein Passwort, das niemand geändert hat.
Eine Passwort-Richtlinie auf dem Papier reicht nicht aus
Viele Organisationen haben zwar Sicherheitsrichtlinien eingeführt, die das Versenden od Passwörtern per E-Mail untersagen, die Verwendung starker, einzigartiger Passwörter vorschreiben und Rotationsintervalle festlegen. Diese Dokumente sind wichtig, aber sie allein ändern keine festgefahrenen Gewohnheiten.
Die Daten von Spacelift zeigen, dass 75 % der Mitarbeiter weltweit etablierte Best Practices im Passwortmanagement ignorieren – obwohl sie sich dieser durchaus bewusst są. Warum? Ein Mitarbeiter, der genau weiß, dass er ein Passwort nicht per E-Mail senden sollte, dem aber kein einfacher und sicherer Kanal zur Verfügung steht, wird am Ende trotzdem die E-Mail wählen.
Genau hier liegt der Kern des Problems: Organisationen stellen Regeln auf, kümmern sich aber nicht um die Tools, die das Befolgen dieser Regeln einfacher machen jako deren Umgehung. Das Ergebnis: Die Richtlinie existiert nur auf dem Papier, während die Realität völlig anders aussieht.
Der Passwortmanager im Unternehmensumfeld
Ein Passwortmanager für Unternehmen wie perc.pass ist kein weiterer bürokratischer Stolperstein, der den Mitarbeitern in den Weg gelegt wird. Es ist der Wechsel hin zu einem strukturierten Repository, das Excel-Tabellen, lose Chat-Nachrichten und den informellen Austausch von Zugangsdaten komplett ersetzt. Gleichzeitig erhält der IT-Administrator Kontrollwerkzeuge, die er zuvor schlichtweg nie hatte.
Zentrales Repository mit Audit-Trail
Jedes innerhalb der Lösung gespeicherte Passwort hinterlässt eine digitale Spur:
- Wer hat es erstellt?
- Wer hat Zugriff darauf?
- Wann und von wem wurde es bearbeitet?
Der IT-Administrator behält stets den vollen Überblick. Und wenn die Frage aufkommt „Wer hat Zugriff auf Konto X?“, gibt es sofort eine verlässliche Antwort.
Keine Passwörter mehr in E-Mails und Messengern
Wenn Passwörter über ein dediziertes System gespeichert und freigegeben werden, entfällt die Notwendigkeit, sie über unsichere Kanäle zu senden. Die E-Mail mit dem Passwort im Text, die Slack-Nachricht oder der Zettel am Monitor – all diese Praktiken resultieren nur aus dem Mangel an einer besseren Lösung. Sobald das Unternehmen eine komfortable Alternative anbietet, verschwinden die schlechten Gewohnheiten von selbst.
Sofortiger Entzug von Zugriffsrechten – Offboarding
Verlässt ein Mitarbeiter das Unternehmen, kann der Administrator dessen perc.pass-Konto mit nur einem Klick deaktivieren. Alle Passwörter, auf die er Zugriff hatte – und zwar ausschließlich diese –, sind für ihn sofort gesperrt. Es besteht keine Notwendigkeit mehr, panisch Dutzende von Passwörtern in verschiedenen Systemen zurückzusetzen, da der Zugriff von Anfang an zentral gesteuert wurde.
Unabhängig vom gewählten Bereitstellungsmodell ermöglicht es das System, die Struktur Ihres Unternehmens exakt abzubilden. Sie können Gruppen erstellen (z. B. Geschäftsführung, IT, Marketing), präzise Rollen vergeben und ganze Passwort-Sammlungen genau den Teams freigeben, die diese für ihre tägliche Arbeit tatsächlich benötigen.
Der Mangel an Kontrolle über Passwörter ist kein rein technisches Problem – es ist ein prozessuales Problem, das aus dem Fehlen des richtigen Werkzeugs resultiert. Sicheres Verhalten muss für Ihre Mitarbeiter schlichtweg die bequemste Option werden.
Wenn Sie wissen möchten, wie zentrales Passwortmanagement in der Praxis aussieht – testen Sie perc.pass jetzt in der kostenlosen Trial-Phase.