Passwörter im Unternehmen richtig verwalten: der Praxis-Leitfaden

Fahrlässiger Umgang mit Kennwörtern

Rund ein Drittel der Internetnutzer in Deutschland verwendet dasselbe Passwort für mehrere Dienste (Bitkom, 30.01.2025) – und genau über solche Kennwörter laufen die meisten erfolgreichen Angriffe, von Brute-Force-Versuchen bis Credential Stuffing. Warum ein einziges geleaktes Passwort zur Kettenreaktion wird, zeigt unser Artikel Identische Passwörter. Dieser Leitfaden behandelt die organisatorische Seite: wie Sie den Umgang mit Passwörtern im Unternehmen sauber aufsetzen und durchsetzen.

Passwortrichtlinie für Unternehmen aufsetzen: BSI, NIST, 2FA und Passkeys

In vielen Unternehmen fehlen verbindliche Passwortrichtlinien oder deren Umsetzung. Kennwörter werden per E‑Mail oder Messenger geteilt, Listen liegen unverschlüsselt in Freigaben. Genau hier setzt eine zentrale, durchdachte Passwortverwaltung an:

• Starke, individuelle Kennwörter für alle Accounts – ohne Merkhürde für Nutzer.
• Zentrale Richtlinien zu Länge, Struktur, Prüfung gegen Sperrlisten (z. B. kompromittierte Passwörter) und 2FA‑Pflichten.
• Transparente Zuständigkeiten und Audit‑Trails für Nachvollziehbarkeit.
• Sofortiges Entziehen von Zugriffsrechten bei Rollenwechsel oder Austritt.

Password Depot unterstützt Sie dabei, einen hohen Sicherheitsstandard durchzusetzen – etwa durch Analyse von Kennwortqualität und Warnungen bei schwachen Einträgen.

So verwalten Sie Passwörter in Unternehmen richtig

Der Ablauf im Überblick – die Detailschritte folgen darunter:

1. Passwortbestand und gemeinsam genutzte Konten erfassen
2. Verantwortlichkeiten und Ansprechpersonen definieren
3. Passwortrichtlinie nach BSI/NIST festlegen (Länge, Einzigartigkeit, Sperrlisten, MFA)
4. Rechte- und Rollenmodell aufbauen – bis auf Datenbank-, Ordner- und Eintragsebene
5. Freigabeprozess für geteilte Zugänge definieren
6. Onboarding und Offboarding regeln (Rechtevergabe und -entzug, Kennwort-Rotation)
7. Anlassbezogene Passwortänderung statt Kalender-Rotation verankern
8. Audit-Logs regelmäßig prüfen und Vorfälle nachvollziehen

Unternehmen, die Passwortsicherheit ernst nehmen, setzen die folgenden Punkte auf ihre To‑do‑Liste:

Mitarbeitende sensibilisieren:

Erklären Sie nachvollziehbar, warum einzigartige und lange Passwörter, 2FA und Passkeys die Datensicherheit massiv erhöhen. Schulungen, kurze Leitfäden und interne FAQs helfen.

Ansprechpersonen benennen:

Bestimmen Sie eine verantwortliche Stelle (z. B. IT‑Sicherheit/IT‑Betrieb) für Fragen zu Passwortschutz, Richtlinien und Incident‑Handling.

Richtlinien für sichere Passwörter definieren:

Orientieren Sie sich an etablierten Leitlinien (z. B. NIST SP 800‑63B & BSI‑Empfehlungen). Setzen Sie auf Länge und Einzigartigkeit statt rein formaler Komplexitätsregeln. Unsere Tipps zum Erstellen sicherer Passwörter zeigen, wie das praktisch aussieht – und wie Password Depot dies prüft und durchsetzt.

Änderungsregeln modernisieren:

Keine starren Wechselintervalle mehr. Ändern Sie Kennwörter anlassbezogen (z. B. nach Vorfällen, bei Rollenwechsel oder Systemwechsel) und erzwingen Sie Wechsel nur bei Indikatoren für Kompromittierung. So empfiehlt es auch das BSI und die NIST‑Leitlinie.

Produktivität erhöhen – Sicherheit ohne Reibung:

Vermeiden Sie manuelle Rundmails oder Zettelwirtschaft. Geben Sie Ihrem Team einfach bedienbare Tools an die Hand, die sichere Kennwörter generieren, automatisch ausfüllen und Freigaben regelbasiert steuern – so bleibt der Fokus auf der Arbeit, nicht auf Passwortverwaltung.

Passwortregeln mit zentraler Passwortverwaltung durchsetzen

Richtlinien wirken nur, wenn ein Werkzeug sie durchsetzt. Der Password Depot Enterprise Server verankert die hier beschriebene Praxis zentral: verschlüsselte Team-Datenbanken auf Ihrem eigenen Server, serverseitige Passwortrichtlinien, rollenbasierte Zugriffe und auditfähige Protokolle. Verlässt eine Person das Unternehmen, sperrt die Administration den Zugriff zentral und rotiert betroffene Kennwörter nachvollziehbar. Welche Anforderungen eine solche Lösung im Detail erfüllen muss – von Rollen über AD-Integration bis Datenhoheit – beschreibt unser Überblick Passwort Manager für Unternehmen.

Zugriffsrechte granular steuern

Neben starker Verschlüsselung sorgt ein feingranulares Rechte‑ und Freigabemodell für Sicherheit. Legen Sie pro Benutzer fest, welche Datenbanken, Ordner und Einträge sichtbar sind, welche Änderungen erlaubt sind, ob Exporte zulässig sind und welche Aktionen protokolliert werden. Weisen Sie Rechte schnell und transparent für Abteilungen und Gruppen zu. Für die Aufgabentrennung stehen dedizierte Rollen (Audit Reader, Security Officer, Backup Operator) bereit, und jede Aktion landet in einem manipulationssicheren Audit‑Trail – wie das ISO‑27001‑Kontrollen unterstützt, zeigt der Artikel Enterprise Server & ISO 27001.

Technische Basis: Verschlüsselung nach BSI-Empfehlungen

Password Depot verschlüsselt Daten auf höchstem Niveau (AES‑256); neue lokale Datenbanken nutzen dabei den authentifizierten AES‑GCM‑Modus. Die Kommunikation zwischen Clients und Server erfolgt über TLS (optional mit Zertifikatsprüfung/Client‑Zertifikaten). Damit folgen Sie bewährten Krypto‑Empfehlungen des BSI, siehe TR‑02102 (TLS, Algorithmen & Schlüssellängen).

Extern überprüft: Im 10-tägigen Penetrationstest der SySS GmbH (12/2025) wurden keine kritischen oder hochschweren Schwachstellen festgestellt. Wie Sie die Sicherheit von Passwort-Managern grundsätzlich bewerten – von der Verschlüsselung bis zu den Restrisiken – erklärt unser Artikel Wie sicher sind Passwort-Manager?.

Überzeugen Sie sich selbst

Sehen Sie in einem kurzen Video, was Password Depot Enterprise Server für Ihr Unternehmen tun kann: Schützen Sie Ihre Passwörter im Unternehmen mit Password Depot Enterprise Server

Sie möchten Password Depot Enterprise Server in einem persönlichen Webinar sehen? Wählen Sie hier Ihren Wunschtermin. Alternativ vereinbaren Sie einen Termin per E‑Mail oder Telefon. Informationen zur Lizenzierung finden Sie hier.

Häufige Fragen zur Passwort-Praxis im Unternehmen

Was gehört in eine Passwortrichtlinie für Unternehmen?

Mindestlänge und Einzigartigkeit statt formaler Komplexitätszwänge, ein Verbot der Wiederverwendung, der Abgleich neuer und bestehender Passwörter gegen kompromittierte Listen, MFA-Pflichten für Admin-, Remote- und Cloud-Zugänge, anlassbezogene Änderungsregeln sowie klare Abläufe für geteilte Konten, Onboarding und Offboarding.

Was empfiehlt das BSI zum regelmäßigen Passwortwechsel?

Das BSI rät seit 2025 vom anlasslosen, regelmäßigen Passwortwechsel ab. Stattdessen: starke, einzigartige Passwörter oder Passphrasen, wo möglich Zwei-Faktor-Authentisierung oder Passkeys – und ein Wechsel nur bei Verdacht oder Nachweis einer Kompromittierung.

Was empfiehlt NIST zu Passwortlänge und Komplexität?

NIST SP 800-63B setzt auf Länge und Einzigartigkeit statt erzwungener Sonderzeichen-Regeln, empfiehlt den Abgleich gegen Listen kompromittierter Passwörter und verlangt, dass das Einfügen aus Passwort-Managern erlaubt bleibt – starre Wechselintervalle ohne Anlass lehnt die Leitlinie ab.

Wann sollten Passwörter im Unternehmen geändert werden?

Anlassbezogen: nach Sicherheitsvorfällen oder Kompromittierungsverdacht, nach Phishing-Fällen, bei Rollenwechseln und immer dann, wenn Mitarbeitende mit Zugriff auf geteilte Konten das Unternehmen verlassen – nicht nach festem Kalender.

Wie regelt man Zugriffsrechte für gemeinsame Passwörter?

Über Gruppen und Rollen in einer zentralen Passwortverwaltung: Rechte werden pro Datenbank, Ordner und Eintrag vergeben (lesen, ändern, exportieren), die Vergabe erfolgt über Gruppenzuordnung statt Passwort-Weitergabe, und jeder Zugriff wird protokolliert.

Wie funktioniert Offboarding bei gemeinsamen Zugangsdaten?

Den Zugriff der ausscheidenden Person zentral sperren, über die zentrale Übersicht ermitteln, welche Datenbanken und Einträge betroffen sind, die betroffenen Kennwörter rotieren und den Vorgang im Protokoll dokumentieren. Ohne zentrale Verwaltung ist dieser Schritt praktisch nicht verlässlich machbar.