Master-Passwort vergessen: wer es zurücksetzen kann
Der Anbieter oder Dienstleister kann ein vergessenes Master-Passwort in der Regel nicht zurücksetzen. Aus dem Master-Passwort entsteht der Schlüssel, mit dem der Tresor auf dem Gerät verschlüsselt wird, und diesen Schlüssel kennt nur der Nutzer. In einer Firma gibt es trotzdem einen Ausweg: die Kontowiederherstellung. Ein Verantwortlicher in der Firma setzt das Master-Passwort des Mitarbeiters zurück, danach gilt ein neues, und das Konto ist wieder nutzbar.
Diese Möglichkeit muss vorher eingerichtet sein, und der Mitarbeiter muss dafür angemeldet sein. Fehlt sie, bleibt meist nur, das Konto zu löschen und neu anzulegen. Laut BSI sind beim Vergessen des Master-Passworts im schlechtesten Fall alle Daten verloren. Wählen Sie das Master-Passwort am besten aus fünf bis sechs zufälligen Wörtern, die sich der Mitarbeiter merken kann und nirgends sonst benutzt.
Die Kontowiederherstellung in der Firma
Bei Passwortheld schalten wir die Kontowiederherstellung bei der Einrichtung ein. Ein Verantwortlicher beim Kunden kann dann das Master-Passwort eines Mitarbeiters zurücksetzen. Schönfelder EDV selbst kann das nicht und kann die Inhalte nicht lesen.
Laut Dokumentation der Apps sieht dabei niemand das alte Master-Passwort, auch nicht die Person, die zurücksetzt. Die Server-Software lässt die Wiederherstellung nur zu, wenn der Mailversand eingerichtet ist, und schickt dem Mitarbeiter eine E-Mail, dass sein Konto zurückgesetzt wurde. Konten von Inhabern kann nur ein anderer Inhaber wiederherstellen, Konten von Administratoren nur ein Administrator oder Inhaber. Für die Geschäftsführung heißt das: Damit auch ihr eigenes Konto gerettet werden kann, braucht es eine zweite Person mit dieser Rolle. Ein bereits gelöschtes Konto bringt die Wiederherstellung nicht zurück.
Die Kehrseite: Wer das Master-Passwort eines Kollegen zurücksetzen darf, kommt damit in dessen Konto, auch an Einträge im persönlichen Bereich. Vergeben Sie die Berechtigung an zwei, höchstens drei Personen, und sagen Sie dem Team offen, wer sie hat. Halten Sie das auch in Ihren Datenschutz-Unterlagen fest, siehe Passwort-Manager und DSGVO.
Ein Beispiel aus dem Frühjahr
Ein erfundener Fahrradladen mit Werkstatt, sieben Leute, davon zwei Saisonkräfte von März bis Oktober. Im März kommt eine Mechanikerin zurück und weiß ihr Master-Passwort nach vier Monaten Pause nicht mehr. Die Inhaberin vergibt in der Weboberfläche ein neues Master-Passwort und sagt es ihr. Die Mechanikerin meldet sich damit und mit ihrem zweiten Faktor an und ändert es gleich in eines, das nur sie kennt. Nach zehn Minuten sieht sie wieder die Sammlung Werkstatt mit den Zugängen zu Händlerportal und Teilekatalog.
Ohne Wiederherstellung hätte die Inhaberin das Konto löschen und neu einladen müssen. Die Zugänge der Werkstatt lägen weiter in der Sammlung, denn sie gehören der Firma. Weg wären die Einträge, die die Mechanikerin nur in ihrem persönlichen Bereich gespeichert hatte.
Ohne Wiederherstellung geht der persönliche Bereich verloren
Ohne Wiederherstellung, Notfallzugang oder eine noch entsperrte App kann laut Dokumentation der Apps niemand das Konto und seine Daten zurückholen. Wer das Konto dann löscht, löscht mit ihm alle Einträge, die nur diesem Konto gehören, samt Anhängen. Legen Sie Firmenzugänge deshalb in eine Sammlung, auch wenn bisher nur eine Person sie nutzt.
Zwei Wege können vor dem Löschen noch helfen. Hat der Mitarbeiter beim Anlegen einen Hinweis hinterlegt, bekommt er ihn auf Anfrage per E-Mail. Und ist die App auf einem seiner Geräte noch entsperrt, sieht er dort die Einträge weiter und kann sie in eine Sammlung verschieben. Fällt dagegen die Geschäftsführung aus und kann gar nicht gefragt werden, ist das ein Fall für den Notfallzugriff auf Firmenpasswörter.
Ein Master-Passwort nach den Regeln des BSI
Das BSI nennt zwei Arten guter Passwörter. Kurz und komplex heißt mindestens acht Zeichen aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen. Lang und weniger komplex heißt mindestens 25 Zeichen, etwa aus Wörtern. Als dritte Methode beschreibt das BSI, fünf bis sechs Wörter zufällig aus dem Wörterbuch zu wählen und mit Leerzeichen zu trennen.
Für ein Master-Passwort passt die lange Variante besser, weil es jeden Tag getippt wird, oft auf dem Handy. Die Apps verlangen laut Hersteller ohnehin mindestens 12 Zeichen.
| Methode | So geht es | Darauf achten |
|---|---|---|
| Wörter würfeln | Fünf bis sechs zufällige Wörter mit Leerzeichen, etwa aus dem Passwortgenerator der App | Wirklich zufällig wählen, keine Liedzeile und kein Firmenmotto |
| Satz merken | Ein eigener Satz, von dem die Anfangsbuchstaben mit Ziffern und Zeichen das Passwort bilden | Der Satz darf nicht im Internet stehen und nicht vom Schreibtisch ablesbar sein |
| Satz ausschreiben | Ein ganzer, ungewöhnlicher Satz mit Satzzeichen | Mindestens 25 Zeichen, sonst zu kurz |
Das BSI rät unter anderem ab von Namen der Familie oder von Haustieren, von Geburtsdaten, Tastaturmustern wie „asdfgh“ und von einfachen Ziffern, die an ein Passwort angehängt werden. Verzichten Sie außerdem auf Umlaute, ß und €, auch das empfiehlt das BSI. Auf einer fremden Tastatur, etwa im Hotel im Ausland oder am Handy mit anderer Spracheinstellung, fehlen sie, und dann kommt der Mitarbeiter nicht in sein Konto.
Wenn die Firma eine Mindestlänge vorgeben will: Die Software kennt laut ihrer Funktionsliste eine Richtlinie mit Anforderungen an Master-Passwörter. Welche Regeln für alle übrigen Passwörter gelten, gehört in die Passwortrichtlinie der Firma.
Merken in den ersten zwei Wochen
Wer ein neues Master-Passwort jeden Tag mehrmals tippt, hat es bald im Kopf. Lassen Sie neue Mitarbeiter in den ersten zwei Wochen die App jeden Morgen von Hand entsperren und nicht dauerhaft angemeldet arbeiten.
Neben der Anmeldung am eigenen Rechner ist das Master-Passwort dann das einzige Passwort, das im Kopf bleiben muss. Die übrigen erzeugt der Generator, und niemand muss sie kennen. Wie das im Alltag aussieht, zeigt die Seite Funktionen.
Was mit dem Master-Passwort nie passieren darf
- Der Zettel am Bildschirm. Das BSI nennt ihn ausdrücklich. Unter der Tastatur oder im Portemonnaie neben dem Handy ist er nicht besser.
- Eine Datei auf dem Rechner. Unverschlüsselt am PC gespeichert ist es für jede Schadsoftware lesbar, mehr dazu unter Passwörter in Excel.
- Dasselbe Passwort woanders. Das Master-Passwort ist nicht zugleich das Windows-Kennwort oder das Passwort des E-Mail-Postfachs. Taucht eines davon in einem Datenleck auf, bleibt der Tresor zu.
- Weitergeben. Kein Kollege braucht es, auch nicht in Vertretung, denn dafür gibt es Sammlungen. Auch für die Wartung brauchen wir es nicht.
- Ein verräterischer Hinweis. Der Hinweis darf keinen Teil des Passworts enthalten.
Aufschreiben ist nicht in jedem Fall verboten. Das BSI verlangt nur, eine Notiz gut unter Verschluss zu halten. In einer Firma mit Kontowiederherstellung braucht ein Mitarbeiter diese Notiz in der Regel gar nicht.
Ändern nur mit Anlass
Ein fester Wechselrhythmus steht in den Empfehlungen des BSI nicht. Ändern sollten Sie ein Passwort, wenn es Hinweise gibt, dass Unbefugte es kennen: nach einer Eingabe auf einer gefälschten Seite, nach einem Datenleck oder bei Schadsoftware auf dem Gerät. Im letzten Fall bereinigen Sie laut BSI zuerst das Gerät und ändern erst danach das Master-Passwort. Die allgemeine Frage behandelt die Seite Passwörter regelmäßig ändern.
Ein Master-Passwort allein schützt den Tresor nicht ausreichend. Bei Passwortheld ist für alle Mitarbeiter ein eigener zweiter Faktor am Tresor Pflicht, Eigentümer und Administratoren richten ihn selbst ein. Geht das Handy mit diesem Faktor verloren, ist das ein anderes Problem als ein vergessenes Passwort, siehe Wiederherstellungscodes aufbewahren. Welche weiteren Risiken ein Tresor hat, steht auf der Seite Ist ein Passwort-Manager sicher?
Bei Passwortheld
Jeder Mitarbeiter bekommt ein eigenes Konto mit eigenem Master-Passwort und eigenem zweiten Faktor. Die Einladung gilt fünf Tage, und den zweiten Faktor richtet er ein, bevor er in die Organisation aufgenommen wird und die Sammlungen sieht. Die Kontowiederherstellung schalten wir bei der Einrichtung ein, und wer in Ihrer Firma sie bekommt, entscheiden Sie. Den Mailversand richten wir bei jedem Kunden ein, Einladungen, Kontowiederherstellung und Hinweise zum Master-Passwort funktionieren deshalb ohne Einschränkung. Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, dazu die Servermiete bei netcup ab 3,69 € im Monat inkl. MwSt., ohne Kosten pro Nutzer und nur für Unternehmer. Hilfe im Alltag, etwa wenn Sie beim Zurücksetzen Unterstützung brauchen, rechnen wir nach Aufwand ab: 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde. Mehr im kostenlosen Erstgespräch (15 Minuten).
Quellen: BSI: Sichere Passwörter erstellen; BSI: Umgang mit Passwörtern; BSI: Passwörter verwalten mit dem Passwort-Manager. Stand: 14.10.2026.