Passwort-Manager in Mecklenburg-Vorpommern: Zwei-Faktor auch im Team

59.116 Unternehmen, drei IHKs und zwei Handwerkskammern

Für Mecklenburg-Vorpommern weist das Unternehmensregister im Jahr 2024 genau 59.116 rechtliche Einheiten mit Sitz im Land aus. 50.969 davon haben weniger als zehn abhängig Beschäftigte, ein Anteil von gut 86 Prozent. Weitere 6.643 liegen zwischen zehn und 49, nur 1.504 beschäftigen 50 oder mehr Menschen. Quelle ist eine Tabelle der Statistischen Ämter (Stand 24.07.2026) in Bundestagsdrucksache 21/7502 vom 5. August 2026.

Drei Industrie- und Handelskammern gibt es im Land, in Neubrandenburg, Rostock und Schwerin. Gemeinsam treten sie als „Die IHKs in Mecklenburg-Vorpommern“ auf, seit dem 1. Februar 2025 unter Geschäftsführung der IHK Neubrandenburg für das östliche Mecklenburg-Vorpommern. Im Handwerk führt die Adressliste des Zentralverbands des Deutschen Handwerks zwei Kammern: die Handwerkskammer Ostmecklenburg-Vorpommern in Rostock und die Handwerkskammer Schwerin.

Der Landesbeauftragte in Schwerin und seine Zahlen

Zuständig für die Datenschutz-Aufsicht über Unternehmen ist der Landesbeauftragte für Datenschutz und Informationsfreiheit Mecklenburg-Vorpommern (LfDI MV), Sebastian Schmidt, mit Dienststelle in Schwerin. Seinen neuesten Tätigkeitsbericht, den 20., hat er im Februar 2026 vorgelegt. Er deckt das Jahr 2024 ab. Darin sank die Zahl der Datenpannen-Meldungen nach Art. 33 DSGVO auf 290, nach 401 im Jahr 2023. Im selben Absatz beschreibt die Behörde eine deutlich gestiegene Sensibilität der Verantwortlichen für IT-Sicherheit. Nach Unternehmen und öffentlichen Stellen trennt der Bericht die Meldungen nicht. Zahlen für 2025 haben wir auf den Seiten der Behörde noch nicht gefunden.

Am 9. September 2026 sprach Schmidt dagegen von einem allgemeinen Anstieg der Datenpannen-Meldungen, ohne eine Zahl zu nennen. Verantwortliche wählten empfohlene Maßnahmen wie Verschlüsselung oder die Anmeldung mit mehreren Faktoren noch immer regelmäßig ab, weil sie ihnen zu teuer oder zu aufwendig seien.

Gästedaten aus Postfächern von Hotels und Ferienwohnungen

Ein Schwerpunkt im Jahr 2026 ist die Beherbergung. Im Februar und noch einmal im Juli meldeten Hotels dem LfDI MV, dass ein Dienstleister der Branche angegriffen worden war, im ersten Fall der Anbieter einer bundesweit verbreiteten Datenbank für Gästebuchungen. Am 21. September 2026 folgte die nächste Warnung: Gästedaten seien von Buchungsportalen und aus E-Mail-Konten von Hotels, Campingplätzen und Ferienwohnungen erbeutet worden, in einzelnen Fällen mit Bank- und Zahlungsdaten. Die Gäste bekamen danach Nachrichten per Messenger oder E-Mail, die echten Mitteilungen der Gastgeber zum Verwechseln ähneln und sogar die richtigen Aufenthaltsdaten enthielten.

Nach dem Angriff auf den Datenbankanbieter hat die Behörde Hotels eine Liste mit Schritten gegeben. Die Liste beginnt damit, dass der Betrieb seine Gäste benachrichtigt und die Panne meldet, auch wenn sie beim Dienstleister passiert ist, denn verantwortlich für die Gästedaten bleibt er selbst. Außerdem sensibilisiert er seine Beschäftigten, ändert alle Passwörter der Benutzerkonten, die mit der Datenbank zusammenhängen, und prüft angeschlossene Systeme, Protokolle und Backup. Für alle Systeme rät die Behörde zu einer Zwei-Faktor-Anmeldung.

Was das Meldeformular abfragt

Gemeldet wird über das Online-Formular des LfDI MV. Pflicht sind unter anderem Zeitraum des Vorfalls, Zeitpunkt der Feststellung, Zahl der Betroffenen, Arten der Daten, wahrscheinliche Folgen und die getroffenen Maßnahmen. Ebenfalls Pflicht ist die Angabe, ob die Betroffenen benachrichtigt wurden und ob Sie Anzeige bei der Polizei erstattet haben.

Polizei: ZAC MV im Landeskriminalamt

Erster Ansprechpartner bei Angriffen auf die IT eines Betriebs ist die Zentrale Ansprechstelle Cybercrime Mecklenburg-Vorpommern (ZAC MV) im Landeskriminalamt. Eine eigene Seite der Landespolizei zur ZAC haben wir nicht gefunden. Telefonnummer und Kontaktformular stehen in der Übersicht aller ZACs von Bund und Ländern auf polizei.de, die im Kasten unter diesem Artikel verlinkt ist. Was die ZAC tut, beschreiben Empfehlungen des LKA, die die IHK zu Schwerin auf ihrer Seite zu Cybercrime veröffentlicht, ohne Datum. Danach nimmt auch jede andere Polizeidienststelle Anzeigen entgegen. Schwere und überregionale Fälle übernimmt das Dezernat Cybercrime des LKA, die übrigen die örtlich zuständige Kriminalpolizeiinspektion.

Das LKA rät in denselben Empfehlungen zu einem Notfallkonzept, das festlegt, ab welchem Punkt die Strafverfolgung einbezogen wird, und zu Sicherungen auf Medien, die von den laufenden Systemen getrennt sind.

Angebote im Land

Für Beherbergungsbetriebe hat der LfDI MV im Mai 2026 einen Praxisleitfaden zur digitalen Kurkarte veröffentlicht, erarbeitet auf Initiative der IHK Neubrandenburg. Ein eigenes Angebot einer Kammer im Land speziell zur IT-Sicherheit kleiner Betriebe haben wir mit aktuellem Stand nicht gefunden. Fragen Sie bei Ihrer IHK oder Handwerkskammer direkt nach.

Beispiel: eine Vermietungsagentur mit einem Buchungspostfach für alle

Ein erfundener Fall, abgeleitet aus den Warnungen des LfDI MV: Eine Agentur betreut 60 Ferienwohnungen privater Eigentümer, im Büro arbeiten sechs Leute, dazu kommen drei Hausmeister. Alle Buchungen laufen über ein gemeinsames Postfach. Dessen Passwort kennen alle sechs, den zweiten Faktor hat die Inhaberin vor zwei Jahren abgeschaltet, weil das Weiterreichen der Codes im Büro lästig war. Nach einem Datenleck bei einem anderen Dienst meldet sich jemand mit genau diesem Passwort an.

Zwei Wochen später rufen die ersten Gäste an. Sie haben eine Mail mit ihren richtigen Anreisedaten und einem Link zur „Restzahlung“ bekommen. Jetzt muss die Agentur viele Zugänge auf einmal ändern, ohne genau zu wissen, wer welche Passwörter kennt.

Was bei einem übernommenen Postfach in der ersten Stunde zu tun ist, beschreibt der Ratgeber Firmen-E-Mail gehackt. Wie ein Postfach für mehrere Leute ohne geteiltes Passwort auskommt, steht unter Gemeinsames Postfach. Weitere Zugänge einer Vermietung zeigt die Seite Passwort-Manager für Ferienwohnungen.

Was ein Passwort-Tresor an diesem Fall ändert

Den zweiten Faktor muss die Agentur nicht wieder abschalten, damit sechs Leute arbeiten können. Den Bestätigungscode des Postfachs legt die Inhaberin beim Eintrag im Tresor ab, dann haben alle Berechtigten die Codes für das ganze Team. Der Schutz hängt in diesem Fall am Tresor selbst, deshalb gilt bei Passwortheld für alle Mitarbeiter am Tresor eine Zwei-Faktor-Pflicht. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Die Einzelheiten stehen im Ratgeber Bestätigungscodes im Team teilen.

Die Hausmeister bekommen nur die Sammlung „Objekte“ mit Codes für Schlüsselkästen und WLAN der Wohnungen, das Büro die Sammlung „Buchung“. In den Passwort-Berichten sieht die Inhaberin, welche Passwörter in bekannten Datenlecks aufgetaucht sind oder mehrfach verwendet werden. Nach einem Vorfall sieht sie in den Sammlungen, welche Zugänge sie ändern muss.

Für den Fall, dass die Inhaberin ausfällt, räumt sie zum Beispiel ihrem Mann einen Notfallzugang ein. Weil sie Eigentümerin der Organisation im Tresor ist, sieht er nach der Übernahme ihres Kontos alle Sammlungen, die ihr zugewiesen sind, etwa „Buchung“ und „Objekte“. Den Ablauf legen wir bei der Einrichtung fest, Hintergründe im Ratgeber Notfallzugriff auf Firmenpasswörter.

Der Tresor liegt auf einem eigenen Server der Agentur bei netcup, die Inhalte sind Ende-zu-Ende-verschlüsselt, Ihre Passwörter können wir nicht lesen. Wer eine Sicherung an einem zweiten Ort will, bucht das Backup-Paket für 7,99 € im Monat inkl. MwSt. dazu. Ohne dieses Paket sichern wir nicht, dann exportiert die Agentur den Tresor selbst verschlüsselt.

Wie der Tresor für Ihren Betrieb aufgeteilt werden kann, klären wir im kostenlosen Erstgespräch (15 Minuten) per Telefon oder Video.

Anlaufstellen für Firmen in Mecklenburg-Vorpommern