Die Einführung in fünf Schritten
Einen Passwort-Manager führt ein kleiner Betrieb in fünf Schritten ein: zuerst aufschreiben, welche Zugänge es gibt und wo sie heute liegen. Dann die Sammlungen und Rechte festlegen und zwei Verantwortliche benennen. Danach den Tresor mit den wichtigsten Zugängen füllen, bevor jemand eingeladen wird. Erst dann kommt das Team dazu, und an einem festen Stichtag löst der Tresor die alte Liste und den Passwortspeicher im Browser ab.
Für die Akzeptanz zählt der erste Morgen. Findet eine Kollegin die drei Anmeldungen, die sie jeden Tag braucht, und füllt die Browser-Erweiterung sie schneller aus, als sie die Excel-Datei öffnen kann, hat sie einen Grund zu wechseln. Liegt dagegen ein halb leerer Tresor neben der alten Liste, die „zur Sicherheit“ weiter auf dem Netzlaufwerk steht, greift sie eher zur Liste.
Was das BSI von einer Firma erwartet
Im IT-Grundschutz steht die Regel für den Umgang mit Passwörtern im Baustein ORP.4. Nach der Anforderung ORP.4.A8 muss eine Institution den Passwortgebrauch verbindlich regeln, und für jedes System muss ein eigenes Passwort verwendet werden. Die Nutzung eines Passwort-Managers „SOLLTE geprüft werden“, so der Wortlaut. Ein bestimmtes Produkt schreibt der Baustein nicht vor.
Die Regel zum Tresor schreiben Sie also selbst. Was in so eine Regel für ein kleines Team gehört, steht unter Passwortrichtlinie im Unternehmen.
Schritt 1: Bestandsaufnahme der Zugänge
Fragen Sie jeden im Team eine Woche lang mitzuschreiben, wo er sich anmeldet. So tauchen auch Zugänge auf, die nur eine Person kennt und die deshalb in keiner Excel-Datei stehen. Suchen Sie außerdem an diesen Stellen:
| Wo der Zugang liegt | Was damit geschieht |
|---|---|
| Excel-Liste oder Word-Datei | Aufräumen und importieren, danach löschen |
| Browser-Profil einzelner Mitarbeiter | Firmenzugänge in den Tresor übertragen, danach im Browser entfernen |
| Notizbuch, Haftnotiz, Ordner im Schrank | Abtippen, Papier vernichten |
| Authenticator-App auf einem Firmenhandy | Nach und nach in den Tresor umziehen, siehe unten |
| Im Kopf einer einzigen Person | Gemeinsam eintragen, bevor diese Person Urlaub hat |
Notieren Sie zu jedem Zugang zwei Dinge: ob er der Firma oder der Person gehört, und ob der Dienst eigene Benutzer für jeden Mitarbeiter anbietet. Wo das geht, legen Sie lieber eigene Konten an, statt ein gemeinsames Passwort in den Tresor zu stellen. Konten, die niemand mehr braucht, kündigen Sie gleich.
Zugangsmittel, die nach Bank-, Berufs- oder Kartenregeln nur einer Person gehören, etwa die PIN einer Signaturkarte oder eine Bank-PIN aus einer Vollmacht, kommen nicht in den Tresor der Firma, auch nicht in den persönlichen Bereich. Der Grund: Wer in der Firma die Kontowiederherstellung bedienen darf, käme auch an diesen Bereich.
Schritt 2: Sammlungen schneiden und Verantwortliche benennen
Teilen Sie die Zugänge nach Aufgaben auf, nicht nach Personen. Eine Sammlung „Einkauf“ überlebt jeden Personalwechsel, eine Sammlung „Zugänge von Frau Berger“ nicht. Für einen Betrieb mit zehn Leuten sind vier bis sechs Sammlungen ein guter Anfang. Wie sich Rechte für Lesen und Bearbeiten verteilen lassen, beschreibt Passwörter im Team teilen.
Legen Sie fest, wer im Betrieb einlädt, Rechte vergibt und Konten sperrt. Der Hersteller der Apps rät in seinen Hinweisen für Administratoren, mindestens einen zweiten Inhaber einzuladen, damit die Verwaltung nicht an einer Person hängt. Das gilt auch für die Kontowiederherstellung: Wer sie ausführen darf, kommt damit in das Konto des Kollegen. Geben Sie diese Rolle wenigen Leuten und sagen Sie im Team, wer sie hat. Die Einzelheiten stehen unter Master-Passwort.
Schritt 3: Den Tresor füllen, bevor das Team kommt
Die Hersteller-Hilfe zur Umstellung nennt eine Reihenfolge: erst die Organisation einrichten und Richtlinien wie die Zwei-Faktor-Pflicht einschalten, dann die Daten in die Organisation importieren. Endnutzer sollen in dieser Phase ausdrücklich noch nicht eingeladen werden. Die beiden Verantwortlichen tragen also zuerst die Zugänge ein, die täglich gebraucht werden. Der Rest folgt Sammlung für Sammlung.
Eine vorhandene Excel-Liste müssen Sie nicht abtippen. Die Apps importieren eine CSV-Datei mit festen Spaltennamen direkt in eine Sammlung. Die kostenlose Anleitung „Von der Passwort-Excel zum Tresor“ (PDF) führt durch jeden Schritt, die Risiken der alten Liste behandelt Passwörter in Excel. Zwei Grenzen nennt die Hersteller-Hilfe: Dateianhänge übernimmt der Import nicht, und wer mehrere Dateien importiert, bekommt doppelte Einträge.
Zum Schluss probiert der zweite Verantwortliche an einem anderen Rechner drei Zugänge aus verschiedenen Sammlungen aus und korrigiert, was nicht stimmt.
Schritt 4: Das Team einladen
Ein Mitglied kommt in drei Schritten in die Firma: Der Verantwortliche lädt per E-Mail ein, die Person nimmt an und legt ihr Konto mit eigenem Master-Passwort an, danach bestätigt der Verantwortliche das Konto. Weil die Zwei-Faktor-Pflicht gilt, richtet die Person ihren zweiten Faktor ein, bevor sie in die Organisation aufgenommen wird und die Sammlungen sieht. Eine Einladung gilt fünf Tage. Schicken Sie sie deshalb erst, wenn die Person in dieser Zeit auch eine halbe Stunde für die Einrichtung hat.
- Eine halbe Stunde je Person einplanen. Konto anlegen, Browser-Erweiterung installieren, bei Bedarf die App auf dem Handy.
- Zweiten Faktor einrichten und Code ausdrucken. Zur Wahl stehen eine Authenticator-App und ein Code per E-Mail. Die App ist sicherer, besonders wenn das Passwort des Postfachs selbst im Tresor liegt. Den Wiederherstellungscode, der dabei erscheint, druckt jeder aus und verwahrt ihn sicher, siehe Wiederherstellungscodes aufbewahren.
- Den Browser-Speicher abschalten. Laut Hersteller-Hilfe bietet die Erweiterung in manchen Browsern an, sich als Standard für Passwörter festzulegen. Wo das nicht geht, schalten Sie Speichern und automatisches Anmelden in den Einstellungen des Browsers selbst ab. Sonst fragen zwei Programme bei jeder Anmeldung.
- Einträge aus dem persönlichen Bereich verschieben. Speichert jemand am ersten Tag einen Firmenzugang in seinem persönlichen Bereich, weist er ihn einer Sammlung zu. Nach der Hersteller-Hilfe geht der Eintrag damit in das Eigentum der Organisation über.
- Einmal gemeinsam ausfüllen. Lassen Sie jeden einen Zugang aus seiner Sammlung im Browser ausfüllen. Danach weiß er, wo die Zugänge jetzt liegen.
Laden Sie nicht alle am selben Vormittag ein. Fangen Sie mit zwei Personen an, die viel am Rechner arbeiten, und nehmen Sie deren Fragen in die kurze Regel auf, bevor der Rest folgt. Was zu einem Neuzugang später gehört, steht unter Neuer Mitarbeiter: Zugänge.
Schritt 5: Stichtag für Liste und Browser
Setzen Sie ein Datum, ab dem nur noch der Tresor gilt, etwa zwei Wochen nach der letzten Einladung. Ab diesem Tag kommt kein neuer Zugang mehr in die Liste, und die Verantwortlichen löschen alle Kopien, die sie finden. Wer an diesem Tag einen Zugang vermisst, meldet ihn, und er kommt in die passende Sammlung.
Ändern Sie danach die Passwörter, bei denen niemand sagen kann, wer sie kennt, angefangen bei E-Mail, Bank und Verwaltungszugängen. Die Passwort-Berichte im Tresor zeigen, welche Einträge schwach sind oder mehrfach vorkommen.
Bestätigungscodes, die heute auf einem Firmenhandy liegen, ziehen Sie nach dem Stichtag Konto für Konto um. Wie das geht und wann ein getrenntes Gerät besser bleibt, steht unter Bestätigungscodes im Team teilen.
Was die Akzeptanz im Team ausmacht
- Der Tresor ist schneller als der alte Weg. Das ist er erst, wenn die Erweiterung im Browser läuft und die täglichen Zugänge darin stehen.
- Jeder weiß, was die Chefin sehen kann. Verwalter der Organisation, also Eigentümer und Administratoren, sehen alle Sammlungen und können die Passwörter darin lesen. Den persönlichen Bereich eines Kollegen sehen sie nicht. Sagen Sie offen dazu, wer diese Rolle und die Kontowiederherstellung hat, denn damit käme diese Person an ein einzelnes Konto.
- Eine Ansprechperson im Betrieb. Für die Frage „Wo steht das WLAN-Kennwort?“ ruft niemand gern einen Dienstleister an. Ein Kollege, der die Sammlungen kennt, beantwortet sie in einer Minute.
- Das Master-Passwort sitzt. Wer es in der zweiten Woche vergessen hat, verliert die Lust. Geben Sie die Methode mit den zufälligen Wörtern gleich mit der Einladung weiter.
Fehler bei der Einführung
- Einladen, bevor etwas drinsteht. Wer einen leeren Tresor sieht, arbeitet mit der Liste weiter, und ein zweiter Anlauf ist schwerer als der erste.
- Eine Sammlung für alles. Spart am Anfang zehn Minuten und führt dazu, dass die Aushilfe auch die Zugänge der Geschäftsführung sieht.
- Nur die Chefin verwaltet. Ist sie krank, lädt niemand den neuen Kollegen ein. Für den Fall, dass sie gar nicht erreichbar ist, gibt es den Notfallzugriff auf Firmenpasswörter.
- Firmenzugänge im persönlichen Bereich. Diese Einträge sieht im Alltag außer der Person niemand. Entfernt die Firma das Konto beim Austritt, sind sie für die Kollegen verloren.
Ein Beispiel aus einer Gebäudereinigung
Eine erfundene Gebäudereinigung hat 30 Beschäftigte, davon arbeiten drei im Büro und vier als Objektleiter mit Firmenhandy. Bei der Bestandsaufnahme finden sich 70 Einträge in einer Excel-Datei, ein Ordner mit Alarmcodes der Kundenobjekte und 25 gespeicherte Passwörter im Browser der Bürokraft. Zwölf Zugänge gehören zu Konten, die keiner mehr nutzt, und werden gekündigt.
Die Inhaberin und ihr Büroleiter legen vier Sammlungen an: Büro, Lohn, Objekte und Geschäftsführung. Die Objektleiter sehen nur „Objekte“ mit den Alarmcodes als Notiz beim jeweiligen Kunden, gekennzeichnet mit Kundennummer statt Namen. Nach zwei Wochen mit gefülltem Tresor kommen die Objektleiter dazu, jeder mit der App auf dem Firmenhandy. Zum Monatsende löscht der Büroleiter die Excel-Datei samt Kopien und ändert die Passwörter für Bank und Lohnportal. Welche Zugänge in diesem Gewerbe sonst anfallen, zeigt die Seite für Gebäudereinigung.
Was Passwortheld bei der Einführung übernimmt
Wir richten den Tresor auf Ihrem Server ein, mit eigener Adresse, den Sammlungen, die Sie mit uns festlegen, der Zwei-Faktor-Pflicht für alle Mitarbeiter, der Kontowiederherstellung und dem Notfallzugang für die Geschäftsführung. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Das Einladen der Mitarbeiter, Schritt 4, erledigt der Verantwortliche in Ihrer Firma selbst. Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, ohne Kosten pro Nutzer, dazu die Servermiete bei netcup ab 3,69 € im Monat inkl. MwSt. Das Angebot gilt nur für Unternehmer, die Rechnung für verschiedene Teamgrößen steht unter Was ein Passwort-Manager kostet.
Nicht im Preis sind die Schulung des Teams und die Übernahme Ihrer bisherigen Passwörter. Helfen wir dabei, rechnen wir nach Aufwand ab: 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde. Mehr dazu im kostenlosen Erstgespräch (15 Minuten).
Quellen: BSI: IT-Grundschutz-Kompendium, Baustein ORP.4 Identitäts- und Berechtigungsmanagement (PDF, Edition 2023); BSI: Passwörter verwalten mit dem Passwort-Manager. Stand: 14.10.2026.