Passwort-Manager im Unternehmen einführen: 2FA & MFA

Wenn du im Unternehmen nur eine einzige Sicherheitsmaßnahme umsetzen dürftest, wäre ein Passwort-Manager im Unternehmen gemeinsam mit Zwei-Faktor-Authentifizierung die richtige Wahl. Kein anderes Investment bringt pro ausgegebenem Euro so viel Schutz. Der Grund ist unspektakulär: Die überwiegende Mehrheit erfolgreicher Angriffe auf KMU läuft nicht über raffinierte Zero-Day-Exploits, sondern über gestohlene, wiederverwendete oder schwache Passwörter. Wer diesen einen Weg schließt, schließt den Weg, den Angreifer am liebsten nehmen.

Das Erstaunliche ist, wie viele Betriebe hier noch offen stehen. Passwörter im Browser gespeichert, in Excel-Listen gepflegt oder, der Klassiker, "Firma2026!" quer über alle Dienste verwendet. Das ist keine Nachlässigkeit einzelner Personen, sondern ein strukturelles Problem: Ohne Werkzeug ist gutes Passwortverhalten schlicht unzumutbar. Niemand merkt sich 80 einzigartige, lange Passwörter. Also wird abgekürzt.

Warum das der größte Hebel pro Euro ist

Rechnen wir kurz. Ein Passwort-Manager kostet je nach Anbieter etwa 3 bis 8 Euro pro Nutzer und Monat, oft weniger. Für ein Team von 20 Personen sind das grob 1.000 bis 2.000 Euro im Jahr. Dem gegenüber steht der durchschnittliche Schaden eines ernsthaften Sicherheitsvorfalls, der bei KMU schnell im fünf- bis sechsstelligen Bereich liegt, wenn man Ausfallzeit, Wiederherstellung und Reputationsschaden zusammenzählt.

Der eigentliche Effekt kommt aber aus der Kombination zweier Dinge. Erstens: Ein Passwort-Manager macht es einfacher, für jeden Dienst ein eigenes, langes Passwort zu haben, als es wiederzuverwenden. Damit fällt "Credential Stuffing" weg, also der Angriff, bei dem ein bei Dienst A geleaktes Passwort automatisiert bei Dienst B, C und D durchprobiert wird. Zweitens: Zwei-Faktor-Authentifizierung sorgt dafür, dass ein gestohlenes Passwort allein wertlos bleibt. Selbst wenn jemand dein Passwort per Phishing abgreift, fehlt der zweite Faktor.

Beides zusammen deckt den mit Abstand häufigsten Angriffsvektor ab. Deshalb steht dieses Thema bei jedem IT-Security-Projekt ganz vorne, bevor man über teurere und komplexere Maßnahmen nachdenkt.

Welche Tools sich eignen

Für die meisten KMU laufen die Empfehlungen auf zwei Kandidaten hinaus: Bitwarden und 1Password.

Bitwarden ist Open Source, hat eine EU-Hosting-Option und ein faires Preismodell. Wer Wert auf Nachvollziehbarkeit und niedrige Kosten legt, ist hier gut aufgehoben. Die Business-Tarife bringen die für Unternehmen wichtigen Funktionen mit: zentrale Verwaltung, geteilte Sammlungen für Teams, Richtlinien und ein Audit-Log.

1Password ist kommerziell, gilt vielen als das rundere Produkt bei Bedienung und Onboarding, und bringt mit "Watchtower" eine gute Übersicht über schwache oder geleakte Passwörter. Der Aufpreis lohnt sich vor allem, wenn du eine weniger technikaffine Belegschaft hast und Reibung beim Rollout um jeden Preis vermeiden willst.

Ein paar Kriterien, auf die es unabhängig vom Anbieter ankommt:

• Zentrale Administration: Du musst Zugänge zentral vergeben und wieder entziehen können. Das ist beim Offboarding entscheidend.
• Geteilte Tresore: Team-Passwörter (der gemeinsame Kanzlei-Login, der Social-Media-Account) gehören in geteilte Sammlungen, nicht in private Chats.
• Hosting-Standort und DSGVO: Für österreichische Betriebe ist ein EU-Hosting oder zumindest ein sauberer Auftragsverarbeitungsvertrag ein sinnvolles Auswahlkriterium.
• 2FA-Unterstützung: Der Manager selbst muss mit einem zweiten Faktor abgesichert werden, sonst hängt am Ende alles an einem einzigen Master-Passwort.

Von browserinternen Passwortspeichern und Excel-Listen raten wir ab. Der Browser-Speicher ist bequem, aber schlecht zu verwalten und beim Offboarding kaum kontrollierbar.

Der Rollout in Schritten

Ein Passwort-Manager scheitert selten an der Technik und fast immer an der Einführung. Ein bewährter Ablauf:

1. Pilotgruppe statt Big Bang

Starte mit einer kleinen, wohlwollenden Gruppe, idealerweise Geschäftsführung und IT. Das hat zwei Effekte: du findest die praktischen Stolpersteine, bevor die ganze Firma betroffen ist, und du hast am Ende Fürsprecher statt Skeptiker.

2. Team-Zugänge zuerst sortieren

Bevor du ausrollst, klär die geteilten Zugänge. Welche Accounts nutzen mehrere Personen? Diese kommen in geteilte Tresore mit sauber vergebenen Rechten. Das ist oft die aufwendigste, aber wertvollste Aufräumarbeit.

3. Import und Neuvergabe

Bestehende Passwörter importieren, dann die kritischen Dienste durchgehen und schwache oder wiederverwendete Passwörter neu setzen. Nicht alle auf einmal, sondern priorisiert: E-Mail, Banking, Buchhaltung, Admin-Zugänge zuerst.

4. 2FA scharf schalten

Für den Passwort-Manager selbst und für alle geschäftskritischen Dienste. Als zweiter Faktor eignet sich eine Authenticator-App oder ein Hardware-Token (etwa YubiKey). SMS-Codes sind besser als nichts, aber wegen SIM-Swapping die schwächste Variante. Für besonders sensible Konten sollten es Hardware-Token oder App-basierte Verfahren sein.

5. Schulung und Meldeweg

Eine kurze, praktische Einweisung wirkt mehr als ein dickes Handbuch. Zeig den Alltag: Login per Autofill, neues Passwort generieren, geteilten Tresor nutzen. Und klär, an wen man sich bei Problemen wendet.

Typische Stolpersteine

Schatten-Passwörter. Nach dem Rollout leben oft alte Gewohnheiten weiter: Passwörter im Browser, Notizen am Monitor, Zugänge in privaten Chats. Solange es einen bequemeren Weg gibt, wird er genutzt. Der Manager muss der einfachste Weg sein, nicht der lästigste, sonst verlierst du das Rennen gegen die Bequemlichkeit.

Admin-Widerstand. Ausgerechnet die technisch versierten Kolleg:innen wehren sich manchmal am stärksten, weil sie ihr eigenes System haben und keinen Nutzen sehen. Nimm diese Leute früh ins Boot, am besten in der Pilotgruppe. Wenn die IT nicht mitzieht, zieht niemand mit.

Offboarding. Der Moment, in dem jemand das Unternehmen verlässt, ist der Härtetest. Ohne zentrale Verwaltung weißt du oft gar nicht, welche Zugänge diese Person hatte. Mit einem Passwort-Manager entziehst du den Zugriff zentral, und geteilte Passwörter, die die Person kannte, werden bei kritischen Diensten rotiert. Diesen Prozess solltest du einmal sauber definieren und dann jedes Mal gleich abarbeiten.

Das Master-Passwort. Es bündelt alles, also muss es stark und darf niemals wiederverwendet sein. Und es braucht einen Notfallplan für den Fall, dass eine Schlüsselperson ausfällt. Business-Tarife bieten dafür Wiederherstellungsmechanismen, die man vorher einrichten und testen sollte.

Ausblick: Passkeys

Die nächste Stufe sind Passkeys, ein Verfahren, das Passwörter ganz ersetzt. Statt eines Geheimnisses, das man eingibt und das abgefangen werden kann, wird ein kryptografischer Schlüssel genutzt, der das Gerät nie verlässt. Das macht klassisches Phishing praktisch wirkungslos, weil es kein Passwort mehr gibt, das man ergaunern könnte.

Immer mehr Dienste unterstützen Passkeys, und die gängigen Passwort-Manager können sie bereits verwalten. Der Übergang läuft schleichend, nicht als Stichtag. Für dich heißt das: Ein heute eingeführter Passwort-Manager ist keine Sackgasse, sondern genau die Infrastruktur, über die du später auch Passkeys ausrollst. Die Arbeit von heute zahlt auf morgen ein.

Unter dem Strich ist die Einführung eines Passwort-Managers mit 2FA weniger ein IT-Projekt als eine Gewohnheitsänderung, die mit dem richtigen Werkzeug erstaunlich reibungslos gelingt. Der technische Teil ist an einem Nachmittag erledigt, der menschliche Teil braucht ein paar Wochen Begleitung.

Wenn du das für dein Team angehen willst, ohne dich vorher durch Tool-Vergleiche zu wühlen, sprechen wir in einem kostenlosen Erstgespräch über einen konkreten, machbaren Rollout-Plan für deine Situation.