Passwort-Manager für Firmen in Hessen: Zugänge nach einem Phishing

Hessens Wirtschaft in Zahlen und Kammern

Im Unternehmensregister stehen für Hessen 279.656 rechtliche Einheiten im Jahr 2024. Davon kommen 238.790 mit weniger als zehn abhängig Beschäftigten aus, rund 85 Prozent, und 32.845 mit zehn bis 49. Die Tabelle der Statistischen Ämter ist in Bundestagsdrucksache 21/7502 abgedruckt, Auswertungsstand 24.07.2026.

Hessen hat zehn Industrie- und Handelskammern. Gemeinsam betreiben sie das Kompetenzzentrum IHK Hessen innovativ. Im Handwerk gibt es drei Kammern: Kassel, Frankfurt-Rhein-Main und Wiesbaden, zusammengeschlossen in der Arbeitsgemeinschaft der Hessischen Handwerkskammern.

Der Hessische Datenschutzbeauftragte und sein Bericht für 2025

Der Hessische Beauftragte für Datenschutz und Informationsfreiheit (HBDI) kontrolliert Behörden, Gemeinden und Landkreise und seit dem 1. Juli 2011 auch Unternehmen, Versicherungen und Vereine mit Sitz in Hessen. In seinem 54. Tätigkeitsbericht zählt er für 2025 insgesamt 2.730 gemeldete Datenschutzverletzungen, 27,5 Prozent mehr als 2024. Die Zahl umfasst Meldungen aus dem öffentlichen und dem nicht-öffentlichen Bereich.

Die meisten Meldungen gingen auf Fehlversand und falsche Zuordnung von Daten zurück (1.161). Danach folgt Cyberkriminalität mit 625 Fällen, nach 482 im Vorjahr. Am stärksten betroffen waren laut Bericht die Wirtschaft einschließlich Kreditwirtschaft, Inkasso, Dienstleister, Handel und Gewerbe, außerdem Beschäftigtendatenschutz sowie Gesundheit und Pflege.

Phishing trotz Code aus der App

Ein eigenes Kapitel widmet der Bericht Phishing-Angriffen auf E-Mail-Konten. Beschäftigte gaben ihre Anmeldedaten auf nachgebauten Anmeldeseiten ein, teils auch den Einmalcode aus der Authenticator-App. Die Angreifer meldeten sich damit sofort an, manche richteten im Postfach einen eigenen zweiten Faktor ein, um später wiederzukommen.

Eine beträchtliche Zahl der Verantwortlichen hatte ihre E-Mail-Konten nur mit Benutzername und Passwort geschützt. Der HBDI rät zu einem zweiten Faktor und nennt als stärkere Form Verfahren, deren zweiter Faktor kryptographisch arbeitet statt mit abgetippten Einmalcodes. Nach einem Vorfall sollen Firmen die Protokolle des Mailanbieters früh sichern, weil Anbieter sie häufig nur für begrenzte Zeit aufbewahren.

So kommt eine Meldung beim HBDI an

Gemeldet wird mit einem Word-Formular, das Sie auf der Meldeseite des HBDI herunterladen und ohne Browser ausfüllen. Danach fordern Sie einen Upload-Link an, der per E-Mail von hessen.de kommt und bis zum Ende des Folgetags gilt. Über diesen Link laden Sie das Formular in HessenDrive hoch. Für die 72-Stunden-Frist nach Art. 33 DSGVO zählt laut HBDI erst das hochgeladene Formular, die Anforderung des Links allein reicht nicht.

Wer meldet, braucht also ein funktionierendes Postfach. Ist gerade das Firmenpostfach übernommen, gehört eine zweite, nicht betroffene Adresse in den Notfallplan. Das Formular laden Sie im Ernstfall frisch von der Meldeseite, der HBDI bittet um die jeweils aktuelle Fassung. Klappt der Upload nicht, nimmt er das Formular laut Meldeseite auch per E-Mail an, möglichst verschlüsselt.

Zwei Nummern rund um die Uhr: Hessen3C und ZAC

Das Hessen CyberCompetenceCenter (Hessen3C) des Innenministeriums unterstützt kleine und mittlere Unternehmen kostenlos, ergebnisoffen und produktneutral. Bei einem Angriff erreichen Sie die Notfall-Hotline unter 0611 353 9900 rund um die Uhr, vertraulich und kostenfrei. Für den ersten Anruf hilft es laut Hessen3C zu wissen, wer meldet, welche Systeme betroffen sind und wie der Angriff aufgefallen ist. Daneben gibt es Beratung zur IT-Sicherheit, Veranstaltungen und einen Warnmeldungsdienst zu akuten Schwachstellen.

Bei der Polizei melden Sie den Angriff der Zentralen Ansprechstelle Cybercrime für die Wirtschaft (ZAC) beim Hessischen Landeskriminalamt. Ihre Hotline ist ebenfalls rund um die Uhr besetzt: 0611 83 8377. Die ZAC koordiniert die polizeilichen Maßnahmen und stimmt sich direkt mit IT-Verantwortlichen und Dienstleistern ab. Den Service bietet sie nur Unternehmen mit Hauptsitz in Hessen.

Kostenlose Online-Beratung der hessischen IHKs

IHK Hessen innovativ bietet eine kostenfreie Online-Beratung zur IT-Sicherheit mit einem IT-Sicherheits-Experten und einer Beraterin oder einem Berater der IHK an. Sie richtet sich an Geschäftsführer kleiner und mittlerer Unternehmen und an Betriebe ohne eigene IT-Sicherheitsabteilung. Inhalt sind eine erste Einschätzung der Cyber-Risiken und IT-Abhängigkeiten und ein Einblick in den CyberRisiko-Check des BSI nach DIN SPEC 27076. Auf der Buchungsseite wählen Sie ein einzelnes Zeitfenster an einem der angebotenen Tage. Passt keiner, nennt die Seite eine Adresse für weitere Termine.

Beispiel: ein ambulanter Pflegedienst

Gesundheit und Pflege nennt der HBDI unter den am stärksten betroffenen Bereichen. Hessen hatte am 15.12.2023 laut Hessischem Statistischem Landesamt 1.367 ambulante Pflegeeinrichtungen. Der Bericht beschreibt mehrere Ransomware-Fälle in der Pflege. In einem davon holte der betroffene Dienst nach dem Angriff unter anderem seinen ehemaligen IT-Dienstleister dazu.

Ein erfundener Fall: Ein ambulanter Pflegedienst mit 38 Beschäftigten, davon 31 in der Pflege. Die Pflegedienstleitung gibt Passwort und App-Code auf einer gefälschten Anmeldeseite ein. Am nächsten Morgen steht in ihrem Postfach ein fremder zweiter Faktor. Die Inhaberin will ihn entfernen und merkt, dass das Admin-Konto beim Mailanbieter noch auf den IT-Dienstleister läuft, mit dem sie vor einem Jahr den Vertrag beendet hat.

Wie Sie Zugänge sauber übernehmen, wenn der IT-Dienstleister wechselt, steht im Ratgeber IT-Dienstleister wechseln. Mehr zu den Zugängen eines Pflegedienstes finden Sie auf der Seite Passwort-Manager für Pflegedienste.

Was ein Passwort-Tresor in diesem Fall leistet

Im Tresor liegen die Admin-Zugänge in einer Sammlung IT, die die Inhaberin und der jeweils aktuelle IT-Dienstleister sehen. Endet der Vertrag mit dem Dienstleister, sperrt die Inhaberin sein Konto und ändert die Passwörter, die er kannte. Ein neuer Dienstleister bekommt ein eigenes Konto, ohne Aufpreis. Den Notfallzugang kann die Inhaberin der Verwaltungsleitung einräumen, die die Sammlung IT im Alltag nicht sieht. Als Eigentümerin der Organisation im Tresor gibt sie damit im Ernstfall alle Sammlungen der Organisation weiter, denn die Verwaltungsleitung übernimmt nach einer Wartezeit ihr Konto. Den Ablauf legen wir bei der Einrichtung fest, mehr dazu im Ratgeber Notfallzugriff auf Firmenpasswörter.

Gegen das Phishing aus dem Bericht hilft der Tresor nur zum Teil, das sagen wir ehrlich. Die Browser-Erweiterung bietet Zugangsdaten nur auf der Domain an, für die sie gespeichert sind, auf einer gefälschten Seite unter anderer Adresse also nicht. Eine Garantie ist das nicht. Ein Einmalcode aus dem Tresor lässt sich genauso abfangen wie einer aus der App. Wo ein Dienst Passkeys anbietet, können Sie diese im Tresor speichern und im Team nutzen. Nach Einschätzung des BSI ist es unwahrscheinlicher, dass Passkeys durch Phishing verloren gehen. Mehr dazu im Ratgeber Passkeys im Unternehmen.

PINs von Signaturkarten und Berufsausweisen gehören nicht in den Tresor der Firma, auch nicht in den persönlichen Bereich eines Mitarbeiters. Dasselbe gilt für das Onlinebanking. Der Grund: Bei der Einrichtung schalten wir die Kontowiederherstellung ein, mit der ein Verantwortlicher beim Kunden ein vergessenes Master-Passwort zurücksetzen kann. Wer diese Berechtigung hat, kommt damit auch an das persönliche Konto, ebenso eine Vertrauensperson über den Notfallzugang.

Für die Anmeldung am Tresor braucht jeder Mitarbeiter einen zweiten Faktor, das ist bei Passwortheld Pflicht. Eigentümer und Administratoren richten ihn selbst ein. Der Tresor läuft auf einem eigenen Server Ihres Betriebs bei netcup, die Inhalte sind Ende-zu-Ende-verschlüsselt, wir können sie nicht lesen. Das Backup-Paket für 7,99 € im Monat inkl. MwSt. sichert täglich an einen zweiten Ort, getrennt vom Server. Ohne Backup-Paket machen wir keine Sicherung. Vor Updates legen wir nur eine Kopie auf demselben Server an, sie ersetzt keine Sicherung. Dann exportieren Sie den Tresor selbst verschlüsselt.

Für Ihre Fragen gibt es das kostenlose Erstgespräch (15 Minuten), wahlweise am Telefon oder per Video.

Anlaufstellen für Firmen in Hessen