Passwörter am Arbeitsplatz: weitergeben, herausgeben, was gilt

Im Weisungsrecht kommen Passwörter nicht vor

Die beiden Vorschriften zum Weisungsrecht des Arbeitgebers, § 106 der Gewerbeordnung und § 611a BGB, erwähnen Passwörter nicht. Ob eine Firma von einem Mitarbeiter ein bestimmtes Passwort verlangen kann und was folgt, wenn er sich weigert, beantwortet ein Anwalt für Arbeitsrecht anhand des Einzelfalls. Dieser Text ist keine Rechtsberatung und ordnet nichts rechtlich ein. Er zeigt, was im Gesetz steht, was ein Gericht zur Weitergabe von Zugangsdaten entschieden hat und wie eine Firma ihre Zugänge so einrichtet, dass sie das persönliche Passwort eines Mitarbeiters gar nicht braucht.

Praktisch ist das der wichtigere Teil. Liegen gemeinsame Zugänge in einem Tresor der Firma und hat die Firma für jedes System mit eigenen Benutzern einen Administrator, kommt sie an die dienstlichen Daten dieser Systeme, ohne jemanden nach seinem Kennwort zu fragen. Private Konten der Mitarbeiter, etwa das eigene Postfach beim Mailanbieter oder das private Profil in einem sozialen Netzwerk, gehören nicht in diesen Aufbau, und kein Firmenzugang hängt an ihnen.

Was in den Gesetzen steht

Die folgenden Vorschriften haben wir im Wortlaut gelesen, Stand 14.10.2026. Wie Gerichte sie auf Passwörter anwenden, steht dort nicht, und wir ziehen daraus keine eigenen Schlüsse.

Zur Frage, ob das Weitergeben eines Passworts strafbar ist: § 202c StGB nennt Passwörter ausdrücklich. Der Wortlaut knüpft das Überlassen eines Passworts an die Vorbereitung einer Straftat nach § 202a oder § 202b. Ob ein bestimmter Fall darunter fällt, entscheiden Staatsanwaltschaft und Gericht, nicht ein Ratgeber.

Ein Urteil zur Weitergabe von Zugangsdaten

Das Landgericht Nürnberg-Fürth hat am 27.12.2024 unter dem Aktenzeichen 19 O 556/24 über eine kostenpflichtige Fachdatenbank entschieden. Laut Vertrag durfte das beklagte Unternehmen bis zu zehn Nutzer benennen, die bei ihm beschäftigt sind. Die Weitergabe des Passworts an Mitarbeiter oder Dritte ohne Nutzungsberechtigung galt nach dem Vertrag als Missbrauch. Es ließ trotzdem zwei Beschäftigte einer anderen Konzerngesellschaft mit seinen Zugangsdaten arbeiten.

Das Gericht sprach dem Anbieter einen Anspruch auf Unterlassung zu und stellte fest, dass das Unternehmen Schadensersatz schuldet. Es stützte beides auf den Vertrag und auf das Geschäftsgeheimnisgesetz, Ansprüche aus Urheber- und Wettbewerbsrecht wies es ab. Ein Leitsatz lautet: „Passwörter sind vom Begriff der Informationen nach § 2 GeschGehG erfasst.“ In der Berufung hat das Oberlandesgericht Nürnberg (3 U 158/25) am 09.09.2025 in einem Hinweisbeschluss angekündigt, die Berufung zurückzuweisen, und Bedenken zum Umfang des Unterlassungsanspruchs geäußert. Eine spätere Entscheidung in dem Verfahren haben wir nicht selbst gelesen.

Bevor ein Zugang in eine gemeinsame Sammlung kommt, lohnt deshalb ein Blick in den Vertrag mit dem Anbieter: Ist der Zugang für eine Person lizenziert oder für die Firma? Manche Anbieter rechnen nach benannten Nutzern ab, das steht in den Nutzungsbedingungen oder im Lizenzvertrag. Dann ist der saubere Weg ein weiterer Nutzer beim Anbieter und nicht ein geteiltes Kennwort.

Drei Arten von Konten und wer das Passwort kennen muss

Schwierig wird es bei Mischformen. Die Facebook-Seite der Firma hängt am privaten Profil der Mitarbeiterin, die sie vor Jahren angelegt hat, oder das Konto beim Paketdienst läuft auf ihre private Mailadresse. Dauerhaft ändert das nur ein Umbau mit einem zweiten Administrator und einer Firmenadresse, sodass das Konto der Firma gehört. Wie das bei der Facebook-Seite geht, beschreibt Facebook-Seite der Firma: Admins festlegen.

Für persönliche Zugänge gibt das BSI eine klare Vorgabe. Im Baustein ORP.4 (PDF, Edition 2023) steht unter ORP.4.A8, dass Passwörter nur den Benutzern persönlich bekannt sein dürfen. Schriftlich festgehalten werden darf ein Passwort nur für eine Hinterlegung im Notfall, und dann muss es sicher aufbewahrt sein. Eine Liste beim Chef mit den Kennwörtern aller Mitarbeiter passt nicht zu dieser Anforderung.

Weitergabe unter Kollegen regeln

Der Satz „Gib mir mal kurz dein Passwort“ fällt etwa dann, wenn der Kollege im Außendienst ist und die Bestellung heute noch raus muss. Verbieten allein hilft wenig, wenn es keinen anderen Weg gibt. Die Firma sollte den anderen Weg zuerst schaffen und erst danach die Regel aufschreiben.

• Gemeinsame Zugänge in eine Sammlung. Wer das Großhändlerportal braucht, holt den Zugang aus dem Tresor und fragt niemanden. Wie Sammlungen aufgebaut werden, steht unter Passwörter im Team teilen.
• Codes für das ganze Team beim Eintrag. Hängt der Bestätigungscode am Handy des Kollegen, wird trotzdem telefoniert. Wie Codes in den Tresor kommen, erklärt Bestätigungscodes im Team teilen.
• Vertretung mit eigenen Rechten. Für Urlaub und Krankheit bekommt die Vertretung eine Freigabe für die Zeit der Abwesenheit, das persönliche Kennwort bleibt bei seinem Besitzer. Den Ablauf beschreibt Urlaubs- und Krankheitsvertretung.
• Die Regel schriftlich. Ein Satz in der Passwortrichtlinie genügt: Persönliche Passwörter gibt niemand weiter, auch nicht an Vorgesetzte, und wer es doch getan hat, ändert das Passwort danach. Ein Muster steht unter Passwortrichtlinie im Unternehmen.

Ob eine solche Regel als Weisung gilt, ob ein Betriebsrat mitzureden hat und welche Folgen ein Verstoß haben darf, klären Sie mit Ihrem Anwalt.

Wenn nur eine Person das Kennwort kennt

Die Frage nach der Herausgabe stellt sich dort, wo die Firma keinen eigenen Weg ins System hat. Ein Mitarbeiter hat das Kundenkonto beim Domain-Anbieter angelegt, das Administratorkennwort der Warenwirtschaft gesetzt oder ist der einzige Administrator in Microsoft 365. Fällt er aus oder geht im Streit, steht die Firma vor ihrer eigenen Tür.

1. Systeme mit eigenen Benutzern: Die Firma braucht dort mindestens zwei Administratoren, einer davon die Geschäftsführung oder eine Vertrauensperson. Für Microsoft 365 zeigt das die Seite Microsoft 365: Admin und Notfallkonto.
2. Systeme mit nur einer Anmeldung: Der Zugang liegt in einer Sammlung, die mindestens zwei Personen sehen.
3. Die Rücksetzwege prüfen: Auf welche Mailadresse und welche Rufnummer laufen „Passwort vergessen“ und der zweite Faktor? Beides gehört der Firma.
4. Für den Ausfall der Geschäftsführung: einen Notfallzugang einrichten, siehe Notfallzugriff auf Firmenpasswörter.

Ein erfundenes Beispiel: Ein Getränkefachgroßhandel mit vierzehn Leuten plant seine Touren in einer Software, deren Administratorkennwort nur der Disponent kennt. Er ist sechs Wochen krank, die Inhaberin ruft ihn an und bittet um das Kennwort. Er gibt es ihr am Telefon, fühlt sich aber bedrängt, und das Verhältnis ist danach belastet. Hätte die Inhaberin seit der Einführung einen eigenen Administrator in der Software gehabt, wäre der Anruf unnötig gewesen. Welche Zugänge in Speditionen und Lagern sonst anfallen, zeigt die Seite für Logistik. Was beim endgültigen Abschied zu tun ist, steht in der Checkliste Mitarbeiter verlässt die Firma.

Was ein Firmentresor an der Frage ändert

Mit einem gemeinsamen Tresor stellt sich die Frage nach der Herausgabe für gemeinsame Zugänge nicht mehr, weil sie der Firma gehören und in ihren Sammlungen liegen. Bei Passwortheld hat jeder Mitarbeiter dort ein eigenes Konto mit eigenem Master-Passwort und eigenem zweiten Faktor, das Master-Passwort muss niemand weitergeben. Alle Mitglieder sind automatisch zur Kontowiederherstellung angemeldet: Vergisst jemand sein Master-Passwort, setzt es ein Verantwortlicher in Ihrer Firma zurück. Wer diese Berechtigung hat, kommt damit allerdings auch an den persönlichen Bereich des Mitarbeiters, deshalb bekommen sie nur wenige Personen, und das Team sollte wissen, wer.

Schönfelder EDV selbst kann die Inhalte nicht lesen, sie sind Ende-zu-Ende-verschlüsselt. Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, ohne Kosten pro Nutzer, dazu die Servermiete bei netcup ab 3,69 € im Monat inkl. MwSt., nur für Unternehmer. Ob das für Ihren Betrieb passt, klären wir im kostenlosen Erstgespräch (15 Minuten).