Passwortmanagement einführen: erst die Ordnung, dann das Werkzeug.

Klären – Ziel, Bestand, Verantwortung

• Ziel und Umfang festlegen: Welche Zugänge sollen in den Passwortmanager: nur gemeinsam genutzte Konten, auch administrative Zugänge, auch persönliche Passwörter der Mitarbeitenden? Der Umfang bestimmt Struktur, Schulung und Aufwand.
• Gemeinsame Zugänge erfassen: Welche Konten werden von mehreren Personen genutzt, wem „gehören“ sie, wer braucht sie wirklich? Die Liste ist die Grundlage für Tresore und Freigaben – und kann Konten zeigen, die niemand mehr braucht. Setzt voraus: Ziel und Umfang festlegen. Hinweis für diese Ausgangslage (Wo liegen die Passwörter heute?: Listen, Tabellen, Notizen): Vorhandene Listen und Tabellen können unvollständig sein. Teams einzeln fragen; Dateien mit Passwörtern dabei nicht weiter verteilen. Hinweis für diese Ausgangslage (Organisation: Mehrere Standorte oder Bereiche): Je Bereich eine verantwortliche Person benennen, die die Erfassung übernimmt.
• Verantwortung benennen: Wer verantwortet das Werkzeug, wer jeden gemeinsamen Tresor? Für Administration und jeden Tresor mindestens zwei Personen – mit eigener Administrationsrolle, nicht über das Alltagskonto –, damit Vertretung und Wiederherstellung möglich bleiben. Setzt voraus: Ziel und Umfang festlegen. Hinweis für diese Ausgangslage (Organisation: Wenige Personen, ein Team): Auch im kleinen Betrieb nicht nur eine Person – sonst hängt im Ernstfall alles an ihr.
• Betriebsmodell und Datenschutz klären: Cloud-Dienst oder selbst betrieben, Speicherort, Vertragsgrundlagen. Die rechtliche Bewertung gehört zu Ihrer Datenschutzbeauftragten oder Rechtsberatung; technische Angaben des Anbieters (Verschlüsselung, Protokollierung, Export) fließen ein. Setzt voraus: Ziel und Umfang festlegen.

Gestalten – Werkzeug, Struktur, Regeln

• Werkzeug auswählen (Freigabepunkt): Kriterien aus Bestand und Struktur ableiten: Rollen und Freigaben je Tresor, Notfallzugang und Wiederherstellung, Protokollierung, Export, unterstützte Geräte und Browser. Eine Entscheidung erst nach einem kurzen Test mit echten Abläufen. Setzt voraus: Gemeinsame Zugänge erfassen, Verantwortung benennen, Betriebsmodell und Datenschutz klären. Hinweis für diese Ausgangslage (Zentrales Benutzerverzeichnis: vorhanden): Anbindung an das Verzeichnis als Kriterium: Anmeldung per Single Sign-on und automatische Bereitstellung von Konten und Teams. Hinweis für diese Ausgangslage (Wo liegen die Passwörter heute?: in einem anderen Passwortmanager): Importweg aus dem vorhandenen Werkzeug vorab prüfen – welche Felder, Ordner und Freigaben werden übernommen? Hinweis für diese Ausgangslage (Geräte und Browser zentral verwaltet: nein oder nur teilweise): Auf nicht verwalteten Geräten zählt eine einfache Einrichtung durch die Mitarbeitenden selbst.
• Tresore und Rollen entwerfen: Tresore nach Aufgaben und Schutzbedarf schneiden, Freigaben an Teams statt an einzelne Personen, so wenig Klartext-Rechte wie möglich, Notfallzugänge getrennt. Der Tresor-Explorer zeigt typische Lücken. Setzt voraus: Gemeinsame Zugänge erfassen, Verantwortung benennen.
• Regeln für Externe festlegen: Eigener Tresor oder klar begrenzte Freigabe, Klartext nur wo nötig, Regelung im Vertrag, Ablauf zum Vertragsende (Freigabe entfernen, betroffene Zugangsdaten ändern). [nur bei Externe Dienstleister mit Zugängen: ja] Setzt voraus: Tresore und Rollen entwerfen.
• Notfallzugang und Wiederherstellung festlegen: Was passiert, wenn die Administration nicht erreichbar ist oder jemand das eigene Hauptpasswort vergisst? Wiederherstellungswege unterscheiden sich je nach Produkt und müssen vor der Einführung feststehen. Setzt voraus: Werkzeug auswählen, Verantwortung benennen.
• Verzeichnis anbinden: Anmeldung und Bereitstellung über das Verzeichnis; Teams im Passwortmanager an Verzeichnisgruppen koppeln, soweit das Produkt es unterstützt. Damit folgt der Passwortmanager Eintritt, Wechsel und Austritt. [nur bei Zentrales Benutzerverzeichnis: vorhanden] Setzt voraus: Werkzeug auswählen, Tresore und Rollen entwerfen.
• Nutzungsregeln formulieren: Kurz und verständlich: Was kommt in den Passwortmanager, was nicht? Wer gibt frei? Was tun bei Verdacht auf Kompromittierung? Keine Pflicht zur regelmäßigen Passwortänderung ohne Anlass – aber klare Anlässe für Änderungen. Setzt voraus: Tresore und Rollen entwerfen, Notfallzugang und Wiederherstellung festlegen.

Erproben – Pilot, Übernahme, Notfalltest

• Pilot mit einem Team: Ein Team mit echten gemeinsamen Zugängen arbeitet einige Wochen mit dem Werkzeug. Rückmeldungen fließen in Struktur, Regeln und Schulung. Setzt voraus: Nutzungsregeln formulieren, Notfallzugang und Wiederherstellung festlegen. Hinweis für diese Ausgangslage (Organisation: Wenige Personen, ein Team): Bei wenigen Personen ist der Pilot fast schon die Einführung – trotzdem erst mit zwei, drei Personen beginnen.
• Zugangsdaten übernehmen: Gemeinsame Zugänge in die vorgesehenen Tresore übertragen, dabei veraltete Konten aussortieren und schwache oder mehrfach verwendete Passwörter ersetzen. Setzt voraus: Tresore und Rollen entwerfen, Pilot mit einem Team. Hinweis für diese Ausgangslage (Wo liegen die Passwörter heute?: vor allem im Browser): Ein Export aus dem Browser ist in der Regel eine unverschlüsselte Datei. Nur auf einem vertrauenswürdigen Gerät und in einen nicht synchronisierten Ordner exportieren, nach dem Import löschen. Gelangt die Datei in ein Backup oder einen Cloud-Ordner, verschwindet sie erst mit Ablauf der Aufbewahrung – dann die betroffenen Passwörter ändern. Hinweis für diese Ausgangslage (Wo liegen die Passwörter heute?: in einem anderen Passwortmanager): Auch Exportdateien anderer Passwortmanager können unverschlüsselt sein. Ob Freigaben und Ordner vollständig übernommen wurden, nach dem Import nachprüfen. Hinweis für diese Ausgangslage (Wo liegen die Passwörter heute?: Listen, Tabellen, Notizen): Einträge einzeln übertragen. Die alten Listen bleiben bis zum Abschluss der Einführung gesperrt aufbewahrt und werden dann entfernt.
• Notfallzugang testen (Freigabepunkt): Einmal durchspielen: Zugriff auf den Notfalltresor, Wiederherstellung eines Kontos, Ablauf dokumentieren. Erst danach breit einführen – sonst hängen bald alle Zugänge an einem ungetesteten Weg. Setzt voraus: Notfallzugang und Wiederherstellung festlegen, Pilot mit einem Team.

Einführen – Schulung, alle Teams, Altbestand

• Mitarbeitende schulen: Kurze, praktische Einweisung: Hauptpasswort und zweiter Faktor, Ausfüllen im Browser und auf dem Smartphone, Teilen über Tresore statt per Nachricht, was bei Verlust des Geräts zu tun ist. Setzt voraus: Pilot mit einem Team. Hinweis für diese Ausgangslage (Wo liegen die Passwörter heute?: vor allem im Browser): Zeigen, wie gespeicherte Browser-Passwörter umziehen – und warum danach nur noch der Passwortmanager speichert. Hinweis für diese Ausgangslage (Geräte und Browser zentral verwaltet: nein oder nur teilweise): Schritt-für-Schritt-Anleitung für die eigene Einrichtung beilegen; ohne zentrale Verwaltung ist das der wichtigste Hebel.
• Einführung in allen Teams: Team für Team, jeweils mit Ansprechperson. Gemeinsame Zugänge werden ab jetzt nur noch über Tresore geteilt. Setzt voraus: Mitarbeitende schulen, Zugangsdaten übernehmen, Notfallzugang testen. Hinweis für diese Ausgangslage (Organisation: Mehrere Standorte oder Bereiche): In Wellen nach Bereichen oder Standorten; Rückmeldungen aus jeder Welle vor der nächsten einarbeiten.
• Passwortspeicher im Browser abschalten (Freigabepunkt): Erst wenn alle umgezogen sind: Sonst gehen Zugänge verloren oder landen wieder im Browser. Vorher prüfen, ob noch Passwörter im Browser liegen. [nur bei Wo liegen die Passwörter heute?: vor allem im Browser] Setzt voraus: Einführung in allen Teams. Hinweis für diese Ausgangslage (Geräte und Browser zentral verwaltet: ja, per Richtlinie): Per Richtlinie möglich, zum Beispiel in Microsoft Edge über PasswordManagerEnabled: Neue Passwörter werden nicht mehr gespeichert, bereits gespeicherte bleiben nutzbar – sie müssen also vorher umgezogen und entfernt werden. Mehr auf der Seite Browser-Passwortmanager. Hinweis für diese Ausgangslage (Geräte und Browser zentral verwaltet: nein oder nur teilweise): Ohne zentrale Verwaltung nur per Anleitung und Absprache – die Umsetzung lässt sich kaum prüfen.
• Alte Listen und Dateien entfernen: Tabellen, Notizen und Ausdrucke mit Passwörtern einsammeln und sicher löschen bzw. vernichten – auch Kopien in E-Mails und Chats. Kopien in Mailarchiven und Backups bleiben bis zum Ablauf der Aufbewahrung erhalten; Passwörter aus solchen Listen beim Umzug ändern. [nur bei Wo liegen die Passwörter heute?: Listen, Tabellen, Notizen] Setzt voraus: Einführung in allen Teams.

Betreiben – Lebenszyklus, Überprüfung, Übung

• In Eintritt und Austritt einbinden: Konto im Passwortmanager beim Eintritt anlegen, beim Austritt sperren, persönliche Tresore mit Firmenzugängen vorher übergeben. Setzt voraus: Einführung in allen Teams. Hinweis für diese Ausgangslage (Zentrales Benutzerverzeichnis: vorhanden): Mit Verzeichnisanbindung folgt das Konto dem Verzeichnis – vorausgesetzt, dort wird der Austritt zuverlässig gepflegt. Hinweis für diese Ausgangslage (Zentrales Benutzerverzeichnis: nicht vorhanden): Ohne Verzeichnis ein fester Schritt in der Austritts-Checkliste, mit Namen und Datum.
• Änderung bekannter Passwörter regeln: Wer einen Zugang nicht mehr braucht, kennt das Passwort trotzdem. Beim Austritt, bei Verdacht auf Kompromittierung und beim Ende externer Verträge werden betroffene Zugangsdaten geändert – geordnet nach Schutzbedarf. Setzt voraus: In Eintritt und Austritt einbinden.
• Freigaben regelmäßig überprüfen: In festen Abständen: Wer hat welche Freigabe, wer braucht sie noch, gibt es Direktfreigaben oder Tresore mit nur einer verwaltenden Person? Setzt voraus: Einführung in allen Teams.
• Vertragsende Externer vorbereiten: Liste der Zugänge, die der Dienstleister kannte, aktuell halten – damit beim Wechsel klar ist, was zu ändern ist. [nur bei Externe Dienstleister mit Zugängen: ja] Setzt voraus: Regeln für Externe festlegen, Änderung bekannter Passwörter regeln.
• Notfallübung wiederholen: Den Notfallweg in festen Abständen und nach Änderungen an Personal oder Werkzeug erneut prüfen. Setzt voraus: Notfallzugang testen.