Passwort-Manager für Kfz-Betriebe: geteilte Portale, persönliche Token

Zugänge zwischen Werkstatt, Serviceannahme und Verkauf

In einem Autohaus oder einer freien Werkstatt melden sich Mechatroniker, Serviceberater, Verkäufer und das Büro an sehr unterschiedlichen Systemen an. Die meisten davon gehören dem Betrieb, einige wenige sind auf eine einzelne Person ausgestellt. Typisch sind:

• Hersteller: Konten für Reparatur- und Wartungsinformationen je Marke, bei Vertragsbetrieben zusätzlich Händler-, Garantie- und Teilebestellportal.
• Diagnose: Lizenz- und Updatekonten der Diagnosesoftware, Datenbanken mit Arbeitswerten und Schaltplänen, die Anmeldung an den Testern selbst.
• Handel: Händlerkonten bei Fahrzeugbörsen, oft mit Schnittstelle zum Dealer-Management-System, Portale der Leasing- und Finanzierungspartner, Gebrauchtwagenbewertung.
• Zulassung: das Unternehmenskonto für die Online-Zulassung, in größeren Häusern die Großkundenschnittstelle des Kraftfahrt-Bundesamts.
• Betrieb: Administratorkonto des Dealer-Management- oder Werkstattsystems, Online-Terminbuchung, Reifeneinlagerung, Telefonanlage, E-Mail.

Für die Sicherheitsdaten der Fahrzeuge zieht ein europäisches Verfahren die Grenze ausdrücklich: Wer Schlüssel anlernt, arbeitet mit einem Zertifikat, das auf ihn persönlich ausgestellt ist.

Reparaturinformationen der Hersteller: ein Konto je Marke

Fahrzeughersteller müssen unabhängigen Wirtschaftsakteuren, dazu zählen freie Werkstätten, uneingeschränkten, standardisierten und diskriminierungsfreien Zugang zu OBD-Informationen sowie zu Reparatur- und Wartungsinformationen geben. So steht es in Artikel 61 der Verordnung (EU) 2018/858, und veröffentlicht werden die Informationen auf den Webseiten der Hersteller. Eine Mehrmarkenwerkstatt hat deshalb für jede Marke, die sie repariert, ein eigenes Konto mit eigenem Passwort.

Solche Werkstattkonten legen Sie im Tresor in eine Sammlung für die Werkstatt. Dann speichert nicht jeder Mechatroniker die Zugänge im Browser seines Diagnoserechners, und wer das Passwort ändert, trägt es an einer Stelle für alle Berechtigten neu ein. Ob ein Hersteller Konten je Person verlangt, steht in seinen Nutzungsbedingungen. Wo das so ist, bekommt jeder Mitarbeiter ein eigenes Konto, und der Zugang gehört nicht in die gemeinsame Sammlung.

Wie man Zugänge im Team weitergibt, ohne sie per Messenger herumzuschicken, beschreibt der Ratgeber Passwörter im Team teilen.

SERMI: Token, Zertifikat und PIN bleiben beim Mechatroniker

Für sicherheitsrelevante Informationen gibt es eine eigene Stufe, die Regeln dafür gelten seit dem 30. Juli 2023. Gemeint ist alles, was Funktionen gegen Diebstahl und unbefugtes Wegfahren betrifft, zum Beispiel das Programmieren von Schlüsseln. Die Delegierte Verordnung (EU) 2021/1244 hat dafür das SERMI-Verfahren eingeführt: Eine akkreditierte Konformitätsbewertungsstelle lässt zuerst die Werkstatt zu und autorisiert danach einzelne Mitarbeiter. Die Person braucht dafür unter anderem einen Arbeitsvertrag mit dem zugelassenen Betrieb und ein einwandfreies Führungszeugnis. Zulassung und Autorisierung gelten 60 Monate.

Jeder autorisierte Mitarbeiter erhält ein Sicherheitstoken mit einem persönlichen digitalen Zertifikat und eine PIN. Das Regelwerk von SERMI verbietet, Token, Zertifikat oder PIN an Dritte weiterzugeben, und der Betrieb muss dafür sorgen, dass seine Leute nur ihr eigenes Zertifikat verwenden. Verlust oder Missbrauch des Tokens meldet der Mitarbeiter nach dem SERMI-Regelwerk innerhalb von vierundzwanzig Stunden seinem Betrieb und dem Trust Center. Einzelheiten stehen in den Fragen und Antworten von SERMI.

Der Betrieb muss außerdem jede sicherheitsrelevante Transaktion aufzeichnen, mit Angaben zum Kunden, zum Fahrzeug und dazu, dass der Kunde den Auftrag erteilen durfte. Diese Nachweise gehören in Ihr Auftrags- oder Werkstattsystem.

Online-Zulassung mit Unternehmenskonto und ELSTER-Zertifikat

Seit September 2023 bieten die i-Kfz-Portale der Länder und Kommunen die Online-Zulassung auch für juristische Personen an. Ein Autohaus braucht dafür das Unternehmenskonto des Bundes mit ELSTER-Zertifikat. Wer mehr als 500 Zulassungsvorgänge im Jahr hat, kann sich beim Kraftfahrt-Bundesamt für die Großkundenschnittstelle registrieren und meldet sich dort ebenfalls mit einem ELSTER-Organisationszertifikat an. Den aktuellen Stand beschreibt das Bundesverkehrsministerium zur internetbasierten Zulassung.

Das Organisationszertifikat ist eine Datei, die mit einem Passwort geschützt ist. Nach der Anleitung zum Unternehmenskonto kann ohne weitere Einstellungen jeder Inhaber eines Organisationszertifikats Ihrer Firma alle Verwaltungsleistungen nutzen. Einschränken lässt sich das über die Berechtigungssteuerung des Unternehmenskontos.

Datei und Passwort liegen als ein Eintrag mit Anhang in einer Sammlung „Zulassung“, die nur sieht, wer tatsächlich Fahrzeuge anmeldet. Eine Kopie der Datei auf dem Desktop des Büro-PCs, an dem auch die Aushilfe sitzt, braucht es dann nicht mehr. Was beim Organisationszertifikat sonst zu beachten ist, steht auf der Seite ELSTER-Organisationszertifikat für Mitarbeiter.

Sammlungen für Werkstatt, Annahme, Verkauf und Büro

Die Sammlungen folgen in einem Kfz-Betrieb den Arbeitsplätzen. Wer in der Halle steht, braucht andere Zugänge als die Serviceannahme oder der Verkauf.

Zugangsdaten, PIN und TAN-Verfahren fürs Onlinebanking legen Sie nicht im Tresor ab. Jede Person, die Zahlungen freigibt, hat einen eigenen Bankzugang mit Vollmacht (siehe Onlinebanking für Mitarbeiter).

Fragt ein Händlerportal oder eine Fahrzeugbörse beim Anmelden einen Bestätigungscode aus einer Authenticator-App ab, kann der Schlüssel dafür beim Zugang im Tresor liegen. Jeder Verkäufer mit Zugriff ruft den Code dann selbst ab, statt das Handy des Kollegen zu holen. Schickt das Portal den Code nur per SMS, bleibt er an die Rufnummer gebunden. Mehr dazu im Ratgeber Bestätigungscodes im Team. Am Tresor selbst meldet sich jeder Mitarbeiter mit eigenem Master-Passwort und eigenem zweiten Faktor an, das richten wir als Pflicht ein. Eigentümer und Administratoren richten den zweiten Faktor selbst ein.

Beispiel: freie Werkstatt mit Gebrauchtwagenhandel

Ein erfundener Familienbetrieb: Der Inhaber ist Kfz-Meister, seine Tochter macht im Büro Verkauf, Zulassung und Buchhaltung. Dazu kommen drei Mechatroniker, von denen zwei für SERMI autorisiert sind, ein Auszubildender und im Frühjahr und Herbst eine Aushilfe für die Reifensaison.

Vorher hingen die Passwörter der fünf Herstellerkonten auf einem Zettel am Diagnosewagen. Das Händlerkonto bei der wichtigsten Fahrzeugbörse lief noch über die E-Mail-Adresse eines Verkäufers, der vor zwei Jahren gegangen war.

Heute sehen die Mechatroniker und der Auszubildende die Sammlung „Werkstatt und Diagnose“, die Aushilfe nur „Serviceannahme“ mit Terminbuchung und Reifeneinlagerung. „Verkauf“ und „Zulassung“ sieht die Tochter, „Geschäftsführung und IT“ der Inhaber. Die beiden SERMI-Token bleiben bei ihren Inhabern. Der Inhaber ist Eigentümer der Organisation im Tresor. Für den Fall, dass er ausfällt, hat er seiner Tochter einen Notfallzugang eingeräumt, den wir bei der Einrichtung mit ihm festgelegt haben. Wie das funktioniert, beschreibt der Ratgeber Notfallzugriff auf Firmenpasswörter.

Wenn ein Mechatroniker oder Verkäufer den Betrieb verlässt

1. Tresor: Der Verantwortliche in Ihrem Betrieb sperrt das Konto der Person. Danach ändern Sie die Passwörter der Sammlungen, die sie sehen konnte, vor allem die Werkstattkonten der Hersteller. Der Tresor zeigt, welche Sammlungen das waren.
2. SERMI: Der Betrieb meldet das Ende des Arbeitsverhältnisses innerhalb von drei Arbeitstagen seiner Konformitätsbewertungsstelle. Die Stelle veranlasst beim Trust Center, dass das Zertifikat der Person widerrufen wird.
3. Verkauf: Bei Fahrzeugbörsen und Herstellerportalen entfernen Sie den Benutzer der Person. Hängt das Händlerkonto an ihrer E-Mail-Adresse, stellen Sie es auf eine Adresse des Betriebs um, bevor das Postfach abgeschaltet wird.

Die übrigen Schritte stehen in der Checkliste, wenn ein Mitarbeiter geht. Die Aushilfe der Reifensaison bekommt nur die Sammlung „Serviceannahme“, nach der Saison sperrt der Verantwortliche ihr Konto.

Kosten und Servicezeiten für Ihren Betrieb

Die Wartung kostet 16,99 € im Monat inkl. MwSt., egal ob fünf oder fünfundzwanzig Leute im Tresor arbeiten, bei 12 Monaten Mindestlaufzeit und mit der Einrichtung. Den Server mietet Ihr Betrieb direkt bei netcup, ab 3,69 € im Monat inkl. MwSt. Wir bieten das nur Unternehmern an. Gesichert wird der Tresor nur mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt., ohne das Paket sichern wir nicht, und Sie exportieren selbst. Hilfe im Alltag rechnen wir nach Aufwand ab, mit 74,99 € je Stunde inkl. MwSt. und je angefangener Viertelstunde.

Unsere Servicezeiten sind Montag bis Freitag von 8 bis 18 Uhr. Wer samstags verkauft, sollte das wissen. Einem Meister, der allein schraubt und keine Mitarbeiter hat, bringt ein gemeinsamer Tresor wenig. Sinnvoll wird er, sobald mehrere Leute dieselben Portale nutzen.

Viele Fragen ähneln denen anderer Handwerksbetriebe, dazu gibt es die Seite Passwort-Manager für Handwerksbetriebe. Betreiben Sie neben der Werkstatt einen eigenen Fuhrpark mit Lkw, passt die Seite für Spedition und Logistik. Ob der Tresor zu Ihrem Betrieb passt, klären wir im kostenlosen Erstgespräch (15 Minuten) am Telefon oder per Video.

Anlaufstellen