Zum Inhalt
Kontakt

IT-Sicherheit · Themenwelt

Sichere Anmeldung: Passwörter ordnen, absichern, ersetzen.

Die Anmeldung ist ein zentraler Angriffspunkt für Unternehmenskonten. Diese Themenwelt erklärt die drei Hebel – Passwörter zentral verwalten, mit einem zweiten Faktor absichern, durch Passkeys ersetzen – mit ihren Stärken, Grenzen und dem Weg dorthin.

Ausgangslage wählenAlle Themen

  1. ErsetzenPasskeys, passwortlose Verfahren
  2. AbsichernZweiter Faktor, Authenticator-Apps
  3. OrdnenZentrales Passwortmanagement
Drei Hebel, die sich ergänzen – keiner ersetzt die anderen vollständig.

Unsere Sicht

Es gibt kein Verfahren, das immer das beste ist. Es gibt passende Verfahren für bestimmte Konten, Personen und Risiken – und eine Reihenfolge, in der man sie einführt.

Ein Passwortmanager löst das Teilen, aber nicht Phishing. Ein zweiter Faktor erschwert Kontoübernahmen, aber nicht jede Form davon. Passkeys sind phishingresistent, brauchen aber Wiederherstellungswege. Die Seiten dieser Themenwelt beschreiben jeweils beide Seiten.

Die Themen

Sechs Seiten, ein Zusammenhang

  1. Zentrales Passwortmanagement

    Tresore, Rollen, Need-to-know, Austritt, Rotation und Notfallzugang – mit Tresor-Explorer.

  2. Passwortmanagement einführen

    Vom Bestand bis zum Betrieb: Reihenfolge, Schulung und Governance – mit Einführungsplaner.

  3. Browser-Passwortmanager

    Was der Passwortspeicher im Browser leistet, wo er an Grenzen stößt und wie Unternehmen ihn steuern.

  4. Passkeys und FIDO2

    Anmelden mit Schlüsselpaar statt Passwort – und warum das gegen Phishing hilft.

  5. Passwortlose Anmeldung

    Welche Verfahren es gibt und was beim Umstieg im Unternehmen zu bedenken ist.

  6. MFA und Authenticator-Apps

    Zweiter Faktor, Einmalcodes und Push – Stärken, Grenzen und Phishing-Risiken.

Wo anfangen?

Fünf typische Ausgangslagen – und der passende Weg

Wählen Sie die Situation, die Ihrer am nächsten kommt. Gemeinsame Schritte bleiben an ihrem Platz; was für die Situation nicht nötig ist, tritt zurück.

Zugänge stehen in einer Tabelle auf dem Netzlaufwerk, einige auf Haftnotizen. Jeder weiß irgendwie Bescheid.

  1. Bestand erfassenOrganisationWelche Zugänge gibt es, wer nutzt sie?
  2. Regeln festlegenOrganisationWas gehört wohin, wer gibt frei?
  3. Gemeinsame Zugänge in TresorePasswortmanagementGemeinsame Zugänge in Teamtresore, Tabelle danach löschen.
  4. Austritt und Rotation regelnLebenszyklusAb jetzt beim Austritt mitdenken.

Ein zentraler Ort mit klaren Freigaben statt verstreuter Listen.

Passwortmanagement einführen Zentrales Passwortmanagement

Alle Szenarien als Text

Passwörter auf Zetteln und in Tabellen – Zugänge stehen in einer Tabelle auf dem Netzlaufwerk, einige auf Haftnotizen. Jeder weiß irgendwie Bescheid.

  1. Bestand erfassen: Welche Zugänge gibt es, wer nutzt sie?
  2. Regeln festlegen: Was gehört wohin, wer gibt frei?
  3. Gemeinsame Zugänge in Tresore: Gemeinsame Zugänge in Teamtresore, Tabelle danach löschen.
  4. Austritt und Rotation regeln: Ab jetzt beim Austritt mitdenken.

Ein zentraler Ort mit klaren Freigaben statt verstreuter Listen.

Ein Team teilt ein Konto – Das Marketing nutzt einen Social-Media-Zugang gemeinsam; das Passwort wurde per Chat verteilt.

  1. Bestand erfassen: Wer kennt das Passwort heute?
  2. Gemeinsame Zugänge in Tresore: Eintrag im Teamtresor, Freigabe über das Team.
  3. Zweiten Faktor einführen: Wenn der Dienst es anbietet – auch für gemeinsame Konten.
  4. Austritt und Rotation regeln: Passwort jetzt ändern: Im Chat-Verlauf steht das alte.

Teilen über Tresore, nachvollziehbar und beim Austritt geregelt.

Phishing trifft das Unternehmen – Gefälschte Anmeldeseiten fragen nach Zugangsdaten; ein Konto wurde bereits übernommen.

  1. Zweiten Faktor einführen: Sofort für E-Mail, Cloud-Verwaltung und Fernzugänge.
  2. Passkeys anbieten: Wo möglich: Verfahren ohne Passwort, das man eingeben könnte.
  3. Browser-Speicher regeln: Ausfüllen nur auf der passenden Website ist eine zusätzliche Hürde.
  4. Regeln festlegen: Was tun bei Verdacht? Wer wird informiert?

Gestohlene Passwörter allein reichen nicht mehr für eine Anmeldung.

Jemand verlässt das Unternehmen – Eine langjährige Mitarbeiterin geht; sie kannte viele gemeinsame Zugänge und hat einiges im Browser gespeichert.

  1. Bestand erfassen: Welche gemeinsamen Zugänge kannte sie?
  2. Browser-Speicher regeln: Firmenzugänge aus dem Browserprofil übergeben lassen.
  3. Austritt und Rotation regeln: Konto sperren, gemeinsame Passwörter ändern.

Nach dem Austritt funktioniert kein Zugang mehr, den sie kannte.

Wir wollen weg vom Passwort – Die Geschäftsführung hat von Passkeys gehört und fragt, ob man Passwörter ganz abschaffen kann.

  1. Bestand erfassen: Welche Dienste unterstützen Passkeys, welche nicht?
  2. Zweiten Faktor einführen: Übergang: wo Passkeys fehlen, zweiter Faktor.
  3. Passkeys anbieten: Schrittweise, mit Wiederherstellungsweg.
  4. Gemeinsame Zugänge in Tresore: Für den Rest bleibt der Passwortmanager – auch für Passkeys.

Weniger Passwörter, aber ein geordneter Rest statt eines Flickenteppichs.

Grundsätze

Was für alle Verfahren gilt

  1. Zugänge nur nach Bedarf

    Das BSI verlangt, Kennungen und Berechtigungen nur nach tatsächlichem Bedarf zu vergeben und bei personellen Veränderungen zu entfernen (IT-Grundschutz ORP.4.A2) – unabhängig davon, ob die Anmeldung mit Passwort, App oder Passkey erfolgt.

  2. Passwörter ändern, wenn es einen Anlass gibt

    Nicht nach Kalender, sondern bei Kompromittierung oder wenn Unbefugte ein Passwort kennen – so sehen es NIST (SP 800-63B-4) und das BSI (ORP.4.A8, A23).

  3. Jeder Weg hinein braucht einen Weg zurück

    Verlorenes Smartphone, vergessenes Hauptpasswort, defekter Sicherheitsschlüssel: Wiederherstellung und Notfallzugang werden geplant, bevor sie gebraucht werden.

  4. Anmeldung folgt dem Lebenszyklus

    Eintritt, Wechsel und Austritt bestimmen, welche Zugänge, Faktoren und Passkeys es geben darf. Mehr dazu im Bereich Identity Lifecycle.

Einordnung

Teil eines größeren Bildes

Sichere Anmeldung ist ein Baustein von Zero Trust: Jede Anfrage wird anhand von Identität, Gerät und Kontext geprüft. Je verlässlicher die Identität nachgewiesen ist, desto genauer kann diese Prüfung entscheiden.

In Microsoft-365-Umgebungen laufen viele dieser Fäden in Microsoft Entra ID zusammen – Anmeldemethoden, bedingter Zugriff, Notfallkonten. Wie das organisatorisch eingebettet wird, beschreibt die Seite Sicherheit und Governance in Microsoft 365.

Sie möchten die Anmeldung in Ihrem Unternehmen ordnen?

Sprechen Sie uns an. Wir klären gemeinsam, wo Sie stehen und wobei wir Sie unterstützen können.

Kontakt aufnehmen