Passwort-Manager für Start-ups: Zugänge, die nicht an einem Gründer hängen

Cloud-Konten aus der Gründungszeit

In einem Start-up läuft fast alles als Abonnement im Browser. Wer gründet, richtet die ersten Dienste selbst ein, mit der Adresse und der Kreditkarte, die gerade zur Hand sind. Typisch sind:

• Bürosoftware in der Cloud: E-Mail, Kalender und Dateiablage mit einem Administratorkonto, an dem alle anderen Konten hängen.
• Entwicklung und Betrieb: Code-Hosting, Cloud-Server, Domain und DNS, Fehlerberichte, App-Stores für die eigene App.
• Arbeit im Team: Chat, Projektverwaltung, Design-Werkzeuge, Videokonferenz.
• Vertrieb und Marketing: Kundenverwaltung, Newsletter, Webanalyse, Firmenprofile in sozialen Netzwerken, Werbekonten.
• Finanzen und Gesellschaft: Buchhaltung, Zahlungsdienst für das eigene Produkt, ELSTER, Transparenzregister, Datenräume für Investoren.

Solange drei Gründer an einem Tisch sitzen, fällt das kaum auf. Mit der fünften und zehnten Person zeigt sich, dass niemand mehr weiß, unter welcher Adresse das Konto für die Domain läuft. Wer das heute in einer geteilten Tabelle festhält, findet die Risiken im Ratgeber zu Passwörtern in Excel.

Ein Gründer als einziger Administrator

Heikel wird es bei Diensten, in denen genau eine Person Administrator ist. Ist sie im Urlaub ohne Netz, krank oder nach einem Streit unter Gesellschaftern nicht mehr ansprechbar, kommt niemand an die Einstellungen. GitHub rät in seiner Dokumentation, dass in jeder Organisation mindestens zwei Personen die Rolle des Eigentümers haben, damit niemand den Zugriff auf ein Projekt verliert. Microsoft empfiehlt für Microsoft 365 und Entra ID mindestens zwei Notfallkonten für die Verwaltung und nennt als einen Grund den Fall, dass die Person mit dem letzten globalen Administratorzugang die Organisation verlässt.

1. Legen Sie in jedem wichtigen Dienst einen zweiten Administrator an, der einer anderen Person aus dem Gründerteam gehört.
2. Stellen Sie Konten, die auf private Adressen laufen, auf Adressen der Firma um, zum Beispiel admin@ihr-start-up.de.
3. Legen Sie Wiederherstellungscodes, den Zugang zum Domain-Anbieter und die Zugänge zu den Verwaltungsoberflächen in eine Sammlung, die nur das Gründerteam sieht.

Für die Notfallkonten von Microsoft 365 macht Microsoft eigene Vorgaben zur Anmeldung und zur Aufbewahrung, die über einen Passwort-Tresor hinausgehen. Was davon in den Tresor gehört, steht im Ratgeber zum Notfallkonto für Microsoft 365.

Der zweite Administrator in jedem Dienst bleibt nötig, auch mit Tresor. Mit dem Tresor liegen die Wiederherstellungscodes aber in der Sammlung des Gründerteams und nicht in der Schublade eines Einzelnen. Fallen alle Gründer gleichzeitig aus, kommt der Notfallzugang ins Spiel. Die Geschäftsführung kann ihn auch einer Vertrauensperson einräumen, etwa einem Beiratsmitglied, das sonst keine Sammlung sieht. Ist die einräumende Person Eigentümerin der Organisation im Tresor, sieht die Vertrauensperson nach der Übernahme ihres Kontos alle Sammlungen dieses Kontos. Wie das abläuft, steht im Ratgeber Notfallzugriff auf Firmenpasswörter.

Datenräume und Transparenzregister in der Finanzierungsrunde

Vor einer Finanzierungsrunde prüfen Investoren Verträge, Zahlen und Rechte in einem virtuellen Datenraum. Betreibt das Start-up den Datenraum selbst, gehört dessen Verwaltungszugang in die Sammlung des Gründerteams. Investoren, Anwälte und Berater bekommen dort eigene Einladungen statt eines gemeinsamen Passworts. Einzelne Kennwörter an Externe, etwa für ein verschlüsseltes Dokument, schicken Sie über einen sicheren Link aus dem Tresor. Der Link ist verschlüsselt und nur befristet abrufbar.

Nach einer Runde verteilen sich die Anteile neu. Als wirtschaftlich Berechtigter gilt nach § 3 Abs. 2 GwG unter anderem, wer mehr als 25 Prozent der Kapitalanteile hält oder mehr als 25 Prozent der Stimmrechte kontrolliert. Eine GmbH muss nach § 20 Abs. 1 GwG die Angaben zu ihren wirtschaftlich Berechtigten aktuell halten und dem Transparenzregister unverzüglich mitteilen. Eintragungen laufen nach Angaben des Bundesverwaltungsamts ausschließlich über die Website transparenzregister.de.

Prüfen Sie deshalb nach der Gründung, wer dort das Benutzerkonto Ihrer Gesellschaft angelegt hat und ob die anderen Geschäftsführer wissen, wo die Zugangsdaten liegen. Ob Ihre Gesellschaft nach einer Runde etwas mitteilen muss, klären Sie mit Ihrer Rechtsberatung. Dieser Text ist keine Rechtsberatung.

Sammlungen für ein Team, das jeden Monat wächst

Abteilungen gibt es in einem jungen Start-up kaum, deshalb taugen sie selten als Schnitt. Fragen Sie besser, welcher Zugang Schaden anrichten kann. Für jede Sammlung legen Sie fest, wer sie nur lesen und wer sie bearbeiten darf.

Für das Geschäftskonto gibt es keinen Eintrag im Tresor. Wer Überweisungen erledigt, lässt sich von der Bank einen eigenen Zugang mit Vollmacht einrichten, mehr dazu unter Onlinebanking für Mitarbeiter.

Kommt jeden Monat jemand dazu, lädt der Verantwortliche bei Ihnen die neue Person per E-Mail ein und gibt die passenden Sammlungen frei. Am Preis ändert das nichts, auch nicht beim Sprung von zehn auf vierzig Personen. Wie sich ein Festpreis gegen Preise pro Nutzer rechnet, zeigt der Ratgeber Was ein Passwort-Manager kostet. Bestätigungscodes für gemeinsam genutzte Konten wie das Firmenprofil in einem Netzwerk legen Sie beim Zugang ab. Den Code ruft dann jede berechtigte Person selbst ab, Details stehen im Ratgeber 2FA im Team. Für den Tresor selbst gilt dabei die Zwei-Faktor-Pflicht für alle Mitarbeiter. Eigentümer und Administratoren richten den zweiten Faktor selbst ein.

Ein Hinweis zur Technik: Der Tresor ist für Anmeldungen von Menschen gedacht. Schlüssel, die Ihre Anwendung zur Laufzeit braucht, gehören in die Verwaltung für Geheimnisse Ihrer Plattform. Im Tresor liegt höchstens der Zugang zu dieser Verwaltung.

Werkstudenten: kurze Zeit, viele Rechte

Werkstudenten arbeiten neben dem Studium. Nach Angaben der Deutschen Rentenversicherung bleiben sie in Kranken-, Pflege- und Arbeitslosenversicherung in der Regel versicherungsfrei, solange die Beschäftigung höchstens 20 Stunden in der Woche umfasst. Wer zwei Tage pro Woche da ist und nach dem Abschluss geht, sammelt trotzdem schnell Zugänge: Werbekonto, Newsletter, Testserver, manchmal die Kundenverwaltung.

• Geben Sie Werkstudenten eigene Benutzer in den Diensten, wo es geht, und im Tresor nur die Sammlung ihres Bereichs.
• Zugänge zur Produktivumgebung und zu Finanzen gehören in Sammlungen, die Werkstudenten nicht sehen.
• Am letzten Arbeitstag sperrt der Verantwortliche das Konto im Tresor. Danach ändern Sie die Passwörter der Sammlungen, die die Person sehen konnte, und entfernen ihre eigenen Benutzer in den Diensten.

Die vollständige Reihenfolge für den Abschied steht in der Checkliste, wenn ein Mitarbeiter geht. Wechselt ein Werkstudent später fest ins Team, bekommt er zusätzliche Sammlungen frei, das Konto bleibt dasselbe.

Beispiel: Sensoren für Kühlräume

Ein erfundenes Start-up mit drei Gründern entwickelt Sensoren, die die Temperatur in Kühlräumen von Bäckereien melden. Dazu kommen zwei Entwicklerinnen, eine Vertriebsleiterin und vier Werkstudenten. Kurz vor der ersten Finanzierungsrunde war der technische Gründer drei Wochen in den Bergen ohne Netz. In der Zeit lief die Kreditkarte für den Cloud-Server ab, und nur er hatte Zugang zum Konto.

Heute haben zwei Gründer Administratorrechte in jedem Dienst, die Wiederherstellungscodes liegen in der Sammlung „Gründerteam“. Die Werkstudenten in der Entwicklung sehen „Entwicklung“, die im Marketing „Marketing und Vertrieb“, die Produktivumgebung sieht keiner von ihnen. Für die Runde hat die kaufmännische Gründerin den Datenraum verwaltet, die Investoren kamen mit eigenen Einladungen hinein.

Was das Start-up zahlt

Für die Wartung zahlen Sie einen festen Preis von 16,99 € im Monat inkl. MwSt., ohne Grenze bei der Zahl der Nutzer. Die Mindestlaufzeit liegt bei 12 Monaten, die Einrichtung gehört dazu. Den Server bucht Ihr Start-up auf den eigenen Namen bei netcup, ab 3,69 € im Monat inkl. MwSt., und behält ihn mit allen Daten auch nach einer Kündigung. Sicherungen übernehmen wir nur mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt. Ohne das Paket sichern wir nicht, dann exportieren Sie den Tresor selbst verschlüsselt. Support ist nicht im Preis: Fragen im Alltag kosten 74,99 € je Stunde inkl. MwSt., abgerechnet je angefangener Viertelstunde. Das Angebot gilt nur für Unternehmer.

Zwei Gründer ohne Angestellte brauchen anfangs kaum einen gewarteten Tresor, interessant wird er mit den ersten Werkstudenten. Betreibt Ihr Team ohnehin eigene Server, lohnt ein Blick in den Ratgeber zum Selbst-Hosten, der Aufwand und Risiken offen nennt. Verkaufen Sie direkt an Endkunden, passt auch die Seite für Onlinehändler. Ob der Tresor in Ihre Phase passt, klären wir im kostenlosen Erstgespräch (15 Minuten), am Telefon oder per Video.

Anlaufstellen