Gemeinsames Postfach: info@ für das Team ohne ein Passwort für alle

Zwei Arten von gemeinsamem Postfach

Ob mehrere Mitarbeiter info@ ohne gemeinsames Passwort nutzen können, hängt davon ab, wo das Postfach liegt. In Microsoft 365 gibt es dafür das freigegebene Postfach: Jeder meldet sich mit seinem eigenen Konto an und sieht info@ zusätzlich in seinem Outlook. Ein Passwort für info@ kennt dort niemand, Microsoft vergibt es selbst und empfiehlt, die Anmeldung an diesem Konto dauerhaft zu sperren.

Ein Postfach beim Webhoster ist dagegen in der Regel ein einzelnes Konto mit einem Benutzernamen und einem Kennwort. Wer es in Outlook, Thunderbird oder auf dem Handy einrichtet, braucht genau dieses Kennwort. Dann bleiben zwei saubere Wege: info@ auf die persönlichen Postfächer weiterleiten oder das eine Kennwort ordentlich verwalten, also im Tresor ablegen, nur Berechtigten freigeben und bei jedem Personalwechsel ändern.

Was das BSI zu geteilten Kennungen sagt

Der IT-Grundschutz verlangt im Baustein ORP.4 unter A1, dass jede Benutzerkennung eindeutig einer Person zugeordnet werden kann. Nach A8 dürfen Passwörter nur den Benutzern persönlich bekannt sein, und nach A14 soll kontrolliert werden, dass nicht mehrere Personen unter derselben Kennung arbeiten. Nachzulesen im Baustein ORP.4 (PDF, Edition 2023).

Ein Postfach mit einem Kennwort für fünf Leute erfüllt das nicht. Niemand kann später sagen, wer eine Mail gelöscht oder eine Weiterleitung eingerichtet hat. Ist info@ bei Shop, Lieferantenportal oder Paketdienst als Anmeldeadresse hinterlegt, landen deren Links zum Zurücksetzen dort, und jeder mit dem Kennwort von info@ kommt auch an diese Konten. Für eine kleine Firma ist der Grundschutz ein Maßstab, an dem sie sich ausrichten kann, auch wenn sie nicht jede Anforderung umsetzt.

Microsoft 365: das freigegebene Postfach

Ein freigegebenes Postfach legt ein Exchange-Administrator im Microsoft 365 Admin Center unter „Teams & Gruppen“, „Freigegebene Postfächer“ an. Danach fügt er die Mitglieder hinzu, also die Mitarbeiter, die info@ lesen und beantworten sollen. Laut Microsoft ist die Anmeldung für neue freigegebene Postfächer standardmäßig blockiert. Stand der Microsoft-Anleitung: 02.02.2026, abgerufen am 14.10.2026.

Für einen Empfang oder ein Büro, das gemeinsam info@ bearbeitet, vergeben Sie Vollzugriff und „Senden als“. Microsoft nennt in einem Hinweis beide Berechtigungen als nötig. Vorher sollten Sie diese Grenzen kennen, Stand der Microsoft-Seite zu freigegebenen Postfächern: 13.03.2026.

• Bis 50 GB braucht das freigegebene Postfach keine eigene Lizenz. Jedes Mitglied braucht aber ein eigenes lizenziertes Exchange-Postfach.
• Microsoft gibt höchstens 25 Benutzer an. Bei mehr Personen rät Microsoft zu einer Microsoft-365-Gruppe.
• Personen außerhalb der Firma, etwa ein freier Mitarbeiter mit privater Adresse, bekommen keinen Zugriff.
• Dass Mitglieder Nachrichten löschen, lässt sich nicht verhindern.

Hat die Firma info@ früher als normalen Benutzer mit Lizenz und Kennwort angelegt, weil es schnell gehen musste, lässt sich dieses Benutzerpostfach laut Microsoft in ein freigegebenes Postfach umwandeln. Danach sperren Sie die Anmeldung und entfernen die Lizenz, solange das Postfach unter 50 GB bleibt. Das alte Kennwort, das vielleicht noch auf Zetteln oder in Chats steht, ist damit wertlos. Wer in Microsoft 365 Administrator ist und wie die Firma den Zugang zur Verwaltung absichert, behandelt die Seite Microsoft 365: Admin und Notfallkonto.

Postfach beim Webhoster: die drei Möglichkeiten

Liegen die Adressen beim Anbieter der Domain, zusammen mit der Website, läuft info@ dort in der Regel als eigenständiges Postfach, das Mailprogramme über IMAP abrufen. Daraus ergeben sich drei Wege, jeder mit einem eigenen Haken.

Die Weiterleitung passt, wenn info@ vor allem Anfragen sammelt, die eine Person beantwortet und die anderen nur mitlesen. Wie viele Zieladressen möglich sind, hängt vom Tarif ab. Ein Anbieter nennt in seiner Hilfe (Stand 12.10.2026) je nach Produkt eine oder bis zu 100 Weiterleitungsadressen. Ob Ihr Team aus dem eigenen Postfach als info@ antworten kann, hängt vom Anbieter ab, das klären Sie mit ihm.

Arbeiten drei Leute gemeinsam an denselben Mails, mit „gelesen“, Ordnern und Antworten, die jeder sehen soll, führt beim Webhoster kaum ein Weg am gemeinsamen Kennwort vorbei. Das ist vertretbar, solange die Firma dieses Kennwort anders behandelt als ein persönliches.

Ein geteiltes Kennwort richtig führen

Ein Kennwort, das mehrere Leute kennen, gehört an genau einen Ort, an dem die Firma bestimmt, wer es sieht. Im gemeinsamen Tresor sieht das so aus:

1. Eigene Sammlung anlegen. Zum Beispiel „Postfach info@“, freigegeben nur für die Personen, die info@ wirklich bearbeiten. Wer nur mitlesen soll, bekommt die Weiterleitung statt des Kennworts.
2. Einen vollständigen Eintrag anlegen. Benutzername, Kennwort, die Adresse des Webmails und in den Notizen die Server für Posteingang und Postausgang. Dann muss für ein neues Handy niemand den Kollegen fragen.
3. Ein neues, langes Kennwort erzeugen. Mit dem Passwortgenerator der Apps, nicht „Info2019!“. Weil das Kennwort im Tresor liegt, muss es sich niemand merken.
4. Den Zugang beim Webhoster trennen. Das Kundenkonto beim Anbieter, mit dem man Postfächer anlegt und Kennwörter zurücksetzt, ist ein anderer Zugang als info@. Er gehört in eine Sammlung nur für die Geschäftsführung.
5. Festhalten, wo das Postfach eingerichtet ist. Eine kurze Liste in den Notizen des Eintrags: Rechner am Empfang, Laptop der Inhaberin, zwei Diensthandys. Diese Liste brauchen Sie beim nächsten Wechsel.

Wie Sammlungen und Rechte im Tresor allgemein aufgebaut werden, steht im Ratgeber Passwörter im Team teilen. Verlangt der Webhoster für das Kundenkonto einen Bestätigungscode, hilft der Ratgeber Bestätigungscodes im Team teilen.

Personalwechsel: das Kennwort am selben Tag ändern

Verlässt jemand die Firma, der das Kennwort von info@ kannte, ändern Sie es. Das BSI schreibt im selben Baustein unter A8: Ein Passwort muss gewechselt werden, wenn es unautorisierten Personen bekannt geworden ist oder der Verdacht besteht. Ein früherer Mitarbeiter ist ab seinem letzten Tag nicht mehr berechtigt, auch wenn er im Guten geht.

1. Den Mitarbeiter im Tresor aus der Sammlung nehmen oder sein Konto sperren.
2. Beim Webhoster ein neues Kennwort für info@ setzen und es im Tresor-Eintrag speichern.
3. Im Webmail von info@ nachsehen, ob Weiterleitungen oder Abwesenheitsnotizen eingerichtet sind, die niemand kennt.
4. Das neue Kennwort auf den Geräten aus der Liste eintragen. Die Kollegen holen es sich selbst aus dem Tresor.
5. Auf seinem privaten Handy kann das Postfach noch eingerichtet sein. Nach der Änderung ruft es keine neuen Mails mehr ab, was schon heruntergeladen ist, bleibt allerdings dort.

Nehmen Sie den dritten Schritt ernst. Über eine still eingerichtete Weiterleitung an eine fremde Adresse liest auch ein Angreifer weiter mit, der ein Postfach übernommen hat. Was dann zu tun ist, steht unter Firmen-E-Mail gehackt. Alle anderen Zugänge, die beim Weggang eines Mitarbeiters dazugehören, listet die Checkliste Mitarbeiter verlässt die Firma.

Ein erfundenes Beispiel: Eine Vermietung mit vierzehn Ferienwohnungen an zwei Orten beantwortet Gästeanfragen über gaeste@. Zwei Bürokräfte und der Hausmeister am zweiten Ort arbeiten im Postfach, das beim Webhoster liegt. Früher stand das Kennwort im Übergabebuch und wurde nie geändert. Heute liegt es in einer Sammlung „Gäste“, die diese drei Personen sehen, dazu die Inhaberin als Eigentümerin des Tresors. Als eine Bürokraft in Elternzeit geht, setzt die Inhaberin am selben Tag ein neues Kennwort und trägt es auf dem Bürorechner und dem Diensthandy des Hausmeisters ein. Ähnliche Fragen mit Buchungsportalen und Gästepostfächern behandeln die Seiten für Ferienwohnungen und Hotels.

Was Passwortheld dabei übernimmt

Wir richten den gemeinsamen Tresor mit Sammlungen pro Abteilung ein, eine Sammlung für info@ kann von Anfang an dazugehören. Jeder Mitarbeiter meldet sich mit eigenem Master-Passwort und eigenem zweiten Faktor am Tresor an. Ändert die Inhaberin das Kennwort von info@, finden alle Berechtigten das neue in ihrer App, ohne dass es jemand per Chat oder Zettel weitergibt. Die Inhalte sind Ende-zu-Ende-verschlüsselt, wir können das Kennwort nicht lesen.

Die Wartung kostet 16,99 € im Monat inkl. MwSt., fest und ohne Kosten pro Nutzer, bei 12 Monaten Mindestlaufzeit. Dazu kommt die Servermiete bei netcup ab 3,69 € im Monat inkl. MwSt. Das Angebot gilt nur für Unternehmer. Die Postfächer selbst sind nicht Teil von Passwortheld. Das Eintragen der Kennwörter gehört nicht zur Wartung, Hilfe dabei rechnen wir nach Aufwand ab: 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde. Ob sich das für Ihren Betrieb lohnt, klären wir im kostenlosen Erstgespräch (15 Minuten).