Passwort-Manager in Hamburg: geordnete Zugänge für kleine Betriebe

85 Prozent der Firmen haben weniger als zehn sozialversicherungspflichtig Beschäftigte

Im Statistischen Jahrbuch des Statistikamts Nord stehen für das Berichtsjahr 2024 in der Hansestadt 102.696 rechtliche Einheiten mit steuerbarem Umsatz oder sozialversicherungspflichtig Beschäftigten (Stand des Unternehmensregisters: 30.09.2025). Bei 87.418 davon arbeiteten weniger als zehn sozialversicherungspflichtig Beschäftigte, das sind 85,1 Prozent. Die Tabelle zeigt die sieben größten Wirtschaftsabschnitte und dazu Verkehr und Lagerei, das nach Zahl der Einheiten auf Platz zehn liegt.

In Verkehr und Lagerei, also bei Speditionen, Lagern, Reedereien und Kurierdiensten, hat jede fünfte Einheit zehn oder mehr Beschäftigte. Bei den freiberuflichen Dienstleistern ist es nur jede elfte.

Das Handwerk wertet das Statistikamt eigens aus und zählt dort tätige Personen einschließlich der Inhaber. Für 2024 sind es 8.689 Handwerksunternehmen mit zusammen 113.770 tätigen Personen. 6.731 dieser Betriebe kommen mit weniger als zehn Personen aus.

Datenschutz-Aufsicht: Hackerangriffe erstmals häufigster Meldegrund

Zuständig für Firmen mit Sitz in der Stadt ist der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (HmbBfDI). Sein Tätigkeitsbericht 2025 zählt 1.115 Meldungen über Datenpannen nach Art. 33 DSGVO, 160 mehr als im Jahr davor. Darin stecken Firmen und Hamburger Behörden zusammen, eine Aufteilung nennt der Bericht nicht. Mit 376 Fällen lagen Hackerangriffe zum ersten Mal vorn, das sind rund 34 Prozent. Knapp dahinter folgt der Versand an falsche Empfänger per Post oder E-Mail mit 307 Meldungen.

Pannen mit technischer Ursache bearbeitet die Behörde seit Sommer 2024 in einer „Fastlane“ direkt im Referat für technischen Datenschutz. Bei den Phishing-Fällen dort beobachtet sie, dass Angreifer auch die Zwei-Faktor-Anmeldung überwinden. Die Behörde berät die betroffenen Stellen deshalb zu Verfahren, die Phishing standhalten, etwa Passkeys.

Passkeys lassen sich im Tresor ablegen und im Team nutzen, dazu mehr im Ratgeber Passkeys im Unternehmen. Bei Diensten, die noch mit Passwort arbeiten, bietet die Browser-Erweiterung gespeicherte Zugangsdaten nur auf der Domain an, zu der sie gehören. Bleibt der Vorschlag auf einer Anmeldeseite aus, sollte der Mitarbeiter stutzen, weil die Seite nachgebaut sein kann. Eine Garantie ist das nicht.

Meldeweg nach einer Panne, Polizei bei Cyberangriffen

Eine Datenpanne meldet die Firma über das Meldeformular des HmbBfDI, nach Art. 33 DSGVO unverzüglich und möglichst binnen 72 Stunden, nachdem sie davon erfahren hat. In einem Vermerk von 2023 hält die Behörde fest, dass die Frist schon läuft, wenn irgendjemand im Unternehmen Bescheid weiß. Fehlen dann noch Angaben, etwa die Zahl der Betroffenen, ist das laut Vermerk kein Grund, die Meldung aufzuschieben. Diese Seite ist keine Rechtsberatung.

Nach einem Phishing-Fall muss schnell feststehen, welche Konten dasselbe Passwort nutzen. Im Tresor sehen die Verantwortlichen das im Passwort-Bericht, der mehrfach verwendete Passwörter über alle gemeinsamen Sammlungen auflistet. Die weiteren Schritte beschreibt der Ratgeber Firmen-E-Mail gehackt.

Bei Angriffen auf Firmen ist die Zentrale Ansprechstelle Cybercrime (ZAC) beim Fachkommissariat Cybercrime des Landeskriminalamts die Anlaufstelle der Polizei. Sie berät vorbeugend, erklärt nach einem Angriff, wie ein Strafverfahren abläuft, und stellt den Kontakt zu den ermittelnden Dienststellen her. Privatpersonen schickt sie zur Onlinewache. Erreichbarkeitszeiten nennt die Polizei auf ihrer Seite nicht. Nach Angaben der Handelskammer bietet die ZAC Firmen aus der Stadt außerdem kostenfreie Schulungen an, in denen Beschäftigte lernen, Angriffe zu erkennen.

Was Handelskammer und Handwerkskammer anbieten

Ihre Angebote zur IT-Sicherheit fasst die Handelskammer auf einer Seite zusammen: kostenlose Erstberatung, Veranstaltungen und Fachinformationen, dazu Informationsveranstaltungen gemeinsam mit der ZAC. Für den Notfall rät sie, ein Vorsorgekonzept und ein Notfallhandbuch anzulegen und die Notfallkarte des BSI im Betrieb auszuhängen.

Mitgliedsbetriebe der Handwerkskammer bekommen eine kostenfreie Digitalisierungsberatung, zu der IT-Sicherheit ausdrücklich gehört. Laut Kammerseite (Stand 17.06.2026) erarbeiten die Berater mit dem Betrieb ein Sicherheitskonzept, das zu ihm passt.

Ins Notfallhandbuch gehört auch, wer im Ernstfall welche Zugänge öffnen kann. Die Passwörter selbst stehen dort besser nicht, wie der Ratgeber IT-Notfallplan: Zugänge erklärt.

Seiten für Logistik, Handwerk und Kanzleien

Sammlungen für Dispo, Fuhrpark und Zoll beschreibt die Seite für Spedition und Logistik, Büro und Montage die Seite zum Handwerk. Kammern und Gerichte für Kanzleien stehen auf den Seiten für Anwälte und Steuerberater in der Hansestadt.

Beispiel: eine kleine Softwarefirma räumt ihre Zugangsdaten auf

Ein erfundener Fall: sechs Festangestellte und drei Werkstudenten bauen Buchungsportale für Hotels und Ferienwohnungen. Den Anstoß gibt ein Fall aus dem Tätigkeitsbericht 2025. Bei einem Software-Dienstleister fand die Behörde vergessene, öffentlich erreichbare Sicherungen von Programmcode und Datenbanken, darin fest eingetragene Zugangsdaten zu weiteren Systemen. Die Geschäftsführerin lässt daraufhin die eigenen Projekte durchsehen.

Das Passwort der Datenbank eines Kunden stand im Code, das Admin-Passwort des Hosting-Kontos kannte jeder Werkstudent. Die Schlüssel der Anwendungen kommen jetzt in die Geheimnisverwaltung der Pipeline, nicht als Kopie in den Tresor. Dort liegen die Zugänge zu den Oberflächen, über die das Team diese Schlüssel erneuert: Hosting, Domain-Anbieter, Zahlungsdienst und Code-Plattform. Diese Sammlung „Betrieb“ öffnen nur die Geschäftsführerin und ihr Stellvertreter, die Werkstudenten sehen nur die Testsysteme. Mehr dazu auf der Seite für Softwareentwickler.

Geht ein Werkstudent nach dem Semester, sperrt die Geschäftsführerin sein Konto und das Team ändert, was er kannte, nach der Checkliste für den Abschied eines Mitarbeiters. Lohnportal und Versicherungen liegen in einer Sammlung nur für die Geschäftsführerin. Sie ist Eigentümerin der Organisation und hat ihrem Stellvertreter einen Notfallzugang eingeräumt. Übernimmt er nach der vereinbarten Wartezeit ihr Konto, kommt er auch an diese Sammlung. Wie der Zugang abläuft, legen wir bei der Einrichtung fest, Hintergründe stehen im Ratgeber Notfallzugriff auf Firmenpasswörter.

Betreuung aus Dresden, Server auf Ihre Firma

Schönfelder EDV sitzt in Dresden und wartet den Tresor aus der Ferne. Er läuft auf einem Server bei netcup in Deutschland, den Ihre Firma auf eigenen Namen mietet und der nach einer Kündigung samt Daten bei Ihnen bleibt. Für die Wartung zahlen Sie 16,99 € im Monat inkl. MwSt., ohne Kosten pro Nutzer, die Mindestlaufzeit beträgt 12 Monate. Dazu kommt die Servermiete ab 3,69 € im Monat inkl. MwSt., die netcup direkt abrechnet. Das Backup-Paket kostet 7,99 € im Monat inkl. MwSt., ohne es sichern wir den Tresor nicht. Das Angebot gilt nur für Unternehmer. Ob das zu Ihrem Betrieb passt, klären wir im kostenlosen Erstgespräch (15 Minuten) per Telefon oder Video.

Anlaufstellen für Firmen in Hamburg