Passwort-Manager für Druckereien: Vorstufe, Shop und Schicht

Von der Datenannahme bis zur Maschine

In einer Druckerei hängen an Zugangsdaten die Druckdaten der Kunden, Papierbestellungen zu Ihren Konditionen und der Zugang des Maschinenherstellers zur Druckmaschine. Die Logins liegen verteilt in Büro, Druckvorstufe und am Leitstand. Läuft nachts die Spätschicht, sitzt im Büro niemand, der sie heraussuchen könnte.

• Druckvorstufe und Datenannahme: Upload-Portal oder SFTP-Server für Kundendaten, Workflow- und RIP-Software mit Lizenzkonto, Lizenzen für Farbmanagement und Schriften, Zugänge zu Cloud-Ordnern, über die Agenturen liefern.
• Kundenportale und Web-to-Print: Verwaltung des eigenen Druckshops, Händlerkonto beim Zahlungsdienst, Portale für Firmenkunden mit hinterlegten Vorlagen.
• Maschinen: Portale der Maschinenhersteller für Servicefälle, Ersatzteile und Software-Updates, der Fernwartungszugang zur Maschine, Service-Kennwörter an Bedienpult und Messgeräten.
• Einkauf und Versand: Bestellportale des Papierhandels und der Lieferanten für Farbe und Platten, Geschäftskundenportale der Paketdienste.
• Betrieb: Branchensoftware für Kalkulation und Auftragsbearbeitung, Lohnabrechnung, Zeiterfassung.

Sind diese Daten heute auf Zettel am Leitstand und Tabellen im Büro verteilt, beginnen Sie mit dem Ratgeber Passwörter im Team teilen.

Datenannahme: ein Zugang je Kunde

Liefern Kunden ihre Druckdaten über einen gemeinsamen Upload-Zugang, kann jede Agentur sehen, was die anderen hochgeladen haben. Legen Sie auf dem Upload-Server oder im Portal für jeden Stammkunden einen eigenen Zugang an und für Einzelaufträge einen, den Sie nach dem Druck wieder löschen. Die Zugänge der Stammkunden liegen dann in der Sammlung „Datenannahme“, mit Kundennummer statt Firmenname im Titel.

Den neuen Zugang schicken Sie dem Kunden als sicheren Link aus dem Tresor. Der Link ist verschlüsselt, läuft nach der gewählten Frist ab und lässt sich auf eine Zahl von Abrufen begrenzen. Das ist besser als Benutzername und Passwort in derselben Auftragsbestätigung.

Wie eine Werbeagentur ihre Konten bei Online-Druckereien ordnet und wer dort bestellen darf, steht auf der Seite für Werbeagenturen.

Web-to-Print: Ihr Admin, die Passwörter der Kunden

Im eigenen Druckshop oder im Portal für Firmenkunden gibt es zwei Arten von Konten. Die Verwaltung gehört Ihrer Druckerei, und dort bekommt jede Person aus Vertrieb und Vorstufe einen eigenen Benutzer, wenn das Shopsystem das zulässt. Die Konten Ihrer Kunden gehören den Kunden. Deren Passwörter kennt in der Druckerei niemand, und sie gehören auch nicht in Ihren Tresor.

In den Tresor gehören die Zugänge, die keiner Person zugeordnet sind: der Hauptadministrator des Shops, das Hosting, das Dashboard des Zahlungsdienstes. Die API-Schlüssel für Zahlungsdienst und Branchensoftware selbst stehen in den Einstellungen des Shops, dort nutzt das System sie. Eine Kopie im Tresor brauchen Sie nicht, über das Dashboard lassen sie sich jederzeit neu erzeugen. Die Einträge zum Shop sieht nur, wer ihn technisch betreut. Wie Sie Bestätigungscodes für so einen Zugang im Team hinterlegen, erklärt der Ratgeber 2FA-Codes im Team teilen. Weil Passwort und Code dann am selben Ort liegen, gilt für alle Mitarbeiter am Tresor die Zwei-Faktor-Pflicht, die wir bei der Einrichtung einschalten. Eigentümer und Administratoren richten den zweiten Faktor selbst ein.

Maschinen und Fernwartung durch den Hersteller

Wir behandeln Druckmaschinen mit ihrer Steuerung wie Produktionsanlagen, also getrennt von der Büro-IT. Das ist unsere Einordnung, Druckereien nennt das BSI nicht. Für die Fernwartung solcher Anlagen durch Hersteller und Dienstleister hat das BSI einen eigenen IT-Grundschutz-Baustein, IND.3.2 Fernwartung im industriellen Umfeld (Edition 2023). Drei seiner Anforderungen betreffen direkt die Zugänge:

• Betriebstechnik und Büro-IT erfassen alle Fernwartungszugänge gemeinsam und dokumentieren sie. Bei Anlagen, die der Hersteller als geschlossene Einheit liefert, gehören auch die deaktivierten Zugänge dazu (IND.3.2.A2).
• Der Betrieb regelt mit Herstellern und Wartungsdienstleistern vertraglich, dass sie Fernwartungszugänge ausschließlich kontrolliert und abgestimmt nutzen (IND.3.2.A4).
• Jede Fernwartungssitzung soll vorab ein für die Anlage zuständiger Mitarbeiter genehmigen und freischalten, die Freigabe gilt in der Regel nur für einen begrenzten Zeitraum (IND.3.2.A8).

Für die Erfassung eignet sich ein Eintrag je Maschine in der Sammlung „Maschinen“: Zugang zum Fernwartungsrouter oder zur Freigabe-Software, Kundennummer beim Hersteller, Telefonnummer der Service-Hotline in der Notiz, Wartungsvertrag als Anhang. Ist ein Zugang abgeschaltet, steht das ebenfalls in der Notiz. Wir raten, die Sitzung von jemandem freigeben zu lassen, der an der Maschine steht und sieht, was der Techniker tut.

Haben Bedienpult, Messgeräte oder Netzwerkkomponenten noch das Service-Kennwort ab Werk, ersetzen Sie es. Wie Sie solche Standardpasswörter finden, steht im Ratgeber Standardpasswörter an Geräten. Das neue Kennwort legen Sie beim Eintrag der Maschine ab.

Papierhandel und Einkauf: wer bestellen darf

In den Bestellportalen des Papierhandels sind Ihre Konditionen hinterlegt, und wer sich anmeldet, bestellt auf Rechnung der Druckerei. Legen Sie diese Konten in eine Sammlung „Einkauf“, die Einkauf und Produktionsleitung öffnen. Drucker und Helfer an der Maschine brauchen das Login nicht. Fehlt nachts Papier, ruft die Schichtleitung die Produktionsleitung an.

Bieten Händler oder Lieferanten weitere Benutzer mit eigenen Rechten an, etwa nur zum Einsehen von Lieferscheinen, ist das der sauberere Weg. Ob es das gibt, sehen Sie in den Kontoeinstellungen des jeweiligen Portals.

Schichtbetrieb: Zugänge, wenn das Büro leer ist

Läuft in der Spätschicht eine Maschine auf Störung, braucht der Schichtleiter das Herstellerportal für das Serviceticket und den Zugang zur Fernwartungsfreigabe. Kommt der Bestätigungscode für das Portal per SMS auf das Handy des Betriebsleiters, steht die Schicht. SMS-Codes kann kein Passwort-Tresor empfangen. Bietet der Hersteller eine Authenticator-App an, hinterlegen Sie deren Schlüssel beim Eintrag. Dann ruft jeder Schichtleiter mit Zugriff auf „Maschinen“ den Code selbst ab.

Teilen sich am Leitstand mehrere Personen einen Rechner, meldet sich jeder mit seinem eigenen Konto in der App oder der Browser-Erweiterung an und zum Schichtende wieder ab. Sonst arbeitet die Frühschicht mit den Rechten des Spätschichtleiters weiter.

Sammlungen in einer Druckerei

Für jede Sammlung legen Sie fest, wer nur lesen und wer bearbeiten darf. Die Sammlung „Maschinen“ lässt sich auch so freigeben, dass Schichtleiter Passwörter nur ausfüllen, aber nicht anzeigen. Ehrlich dazu: Wer ausfüllen kann, kommt mit etwas Aufwand an das Passwort. Die Anmeldung beim Onlinebanking bleibt persönlich bei der Person mit Kontovollmacht und gehört nicht in den Tresor. Wie Sie Zugangsdaten insgesamt dokumentieren, beschreibt der Ratgeber IT-Dokumentation und Zugangsdaten.

Wenn ein Drucker oder Vorstufenmitarbeiter geht

Der Verantwortliche bei Ihnen sperrt das Konto im Tresor. Danach ändern Sie die Passwörter, die die Person kannte, zuerst Fernwartungsfreigabe und Service-Kennwörter der Maschinen, dann die Upload-Zugänge. Der Tresor zeigt, welche Sammlungen sie sehen konnte. Hatte sie im Herstellerportal einen eigenen Benutzer, lassen Sie ihn dort löschen. Die vollständige Reihenfolge steht in der Checkliste, wenn ein Mitarbeiter geht.

Auszubildende bekommen ein eigenes Konto mit den Sammlungen, die sie in ihrer Station brauchen. Wechseln sie von der Vorstufe an die Maschine, tauschen Sie die Freigaben, an ihrem Konto ändert sich nichts.

Beispiel: Etikettendruck in zwei Schichten

Eine erfundene Etikettendruckerei mit 18 Beschäftigten, zwei Digitaldruckmaschinen und einer Flexodruckmaschine, gefahren in Früh- und Spätschicht. Drei Lebensmittelhersteller bestellen über ein Kundenportal mit hinterlegten Vorlagen.

Vorher hing das Kennwort für den Fernwartungsrouter der Flexomaschine auf einem Zettel am Leitstand, und der Code für das Herstellerportal kam per SMS zum Produktionsleiter. Als die Spätschicht an einem Freitagabend ein Serviceticket brauchte, war er nicht erreichbar.

Heute liegt jede Maschine als eigener Eintrag in „Maschinen“, mit dem Schlüssel der Authenticator-App, der Hotline in der Notiz und dem Hinweis, dass der alte Fernwartungszugang der zweiten Digitaldruckmaschine abgeschaltet ist. Die beiden Schichtleiter öffnen die Sammlung, das Kennwort am Router ist neu. Die Vorstufe sieht „Datenannahme“ und „Vorstufe und Lizenzen“. Das Kundenportal betreut der Inhaber mit einer Mitarbeiterin aus dem Vertrieb. Für den Fall, dass er ausfällt, hat er dem Produktionsleiter einen Notfallzugang eingeräumt. Nach der Wartezeit würde dieser das Konto des Inhabers übernehmen. Weil der Inhaber Eigentümer der Organisation ist, sähe der Produktionsleiter dann auch „Verwaltung“ und „Shop und Kundenportale“, die er im Alltag nicht öffnet. Wie so ein Zugang abläuft, beschreibt der Ratgeber Notfallzugriff auf Firmenpasswörter.

Was der Tresor für eine Druckerei kostet

Für die Wartung zahlt Ihre Druckerei 16,99 € im Monat inkl. MwSt., unabhängig davon, wie viele Schichtleiter, Auszubildende und Bürokräfte ein Konto haben. Die Mindestlaufzeit beträgt 12 Monate, die Einrichtung ist im Preis. Den Server mieten Sie selbst bei netcup, ab 3,69 € im Monat inkl. MwSt. Wir bieten das nur Unternehmern an. Gesichert wird der Tresor nur mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt. Ohne das Paket sichern wir nicht, dann exportiert Ihre Druckerei den Tresor selbst verschlüsselt. Support ist nicht im Preis, wir rechnen ihn mit 74,99 € je Stunde inkl. MwSt. ab, je angefangener Viertelstunde. Beispiele für verschiedene Teamgrößen stehen im Ratgeber Was ein Passwort-Manager kostet.

Wie Verlage ihre Konten bei Druckereien, Handel und Nationalbibliothek ordnen, steht auf der Seite für Verlage. Ob der Tresor zu Ihrem Betrieb passt, klären wir im kostenlosen Erstgespräch (15 Minuten) am Telefon oder per Video.