Passwort-Manager für Firmen in Niedersachsen nach einem Datenleck

Knapp 300.000 Unternehmen, sieben IHKs und sechs Handwerkskammern

Für Niedersachsen weist das Unternehmensregister der Statistischen Ämter im Jahr 2024 genau 299.558 rechtliche Einheiten mit Sitz im Land aus. 248.527 davon kommen mit weniger als zehn abhängig Beschäftigten aus, rund 83 Prozent. Rechnet man die 41.265 Einheiten mit zehn bis 49 Beschäftigten dazu, haben knapp 97 Prozent der niedersächsischen Unternehmen weniger als 50 Leute. Die Zahlen stehen in Bundestagsdrucksache 21/7502, Auswertungsstand 24.07.2026.

Gewerbebetriebe gehören zu einer von sieben Industrie- und Handelskammern: Braunschweig, Elbe-Weser, Hannover, Lüneburg-Wolfsburg, Oldenburg, Osnabrück-Emsland-Grafschaft Bentheim sowie Ostfriesland und Papenburg. Gemeinsam bilden sie die Landesarbeitsgemeinschaft IHK Niedersachsen. Im Handwerk sind sechs Kammern zuständig: Braunschweig-Lüneburg-Stade, Hannover, Hildesheim-Südniedersachsen, Oldenburg, Osnabrück-Emsland-Grafschaft Bentheim und Ostfriesland mit Sitz in Aurich.

Der Landesbeauftragte für den Datenschutz und seine Zahlen

Unternehmen mit Sitz in Niedersachsen melden Datenpannen beim Landesbeauftragten für den Datenschutz Niedersachsen (LfD) in Hannover. Sein Tätigkeitsbericht für 2025, am 20. August 2026 im Landtag vorgestellt, nennt 1.607 gemeldete Datenschutzverletzungen, rund fünf Prozent mehr als die 1.528 des Vorjahres. In dieser Zahl stecken Meldungen öffentlicher Stellen und von Unternehmen zusammen. Der LfD betont, dass es Eingänge sind und keine festgestellten Verstöße.

2026 steigt die Zahl deutlich schneller. Bis Ende Juni gingen 1.245 Meldungen ein, 58 Prozent mehr als im ersten Halbjahr 2025, zwei Drittel davon aus Unternehmen jeder Größe. Den Großteil machen laut Pressemitteilung vom 10.09.2026 Briefe und Dokumente an falsche Empfänger und versehentliche Offenlegungen aus. Zunehmend gemeldet werden erfolgreiche Phishing-Angriffe auf E-Mail-Konten. In den Monaten vor dieser Mitteilung fiel dem LfD eine Häufung gekaperter Konten in Microsoft 365 auf: Oft lasen die Angreifer danach Adressbücher aus und schickten Phishing-Mails an die Kontakte. Als Vorbeugung nennt die Behörde unter anderem die Zwei-Faktor-Anmeldung. Was nach so einem Vorfall zuerst zu tun ist, beschreibt die Seite Firmen-E-Mail gehackt.

Das IT-Labor prüft Server von außen

Der LfD betreibt ein eigenes IT-Labor. 2025 fand es über Datenbanken mit Scans des Internets 20 niedersächsische Unternehmen, deren Exchange-Server bekannte, kritische Sicherheitslücken hatten. Jedes davon bekam eine behördliche Aufforderung, die Lücken zu schließen, und die Ankündigung einer Anordnung, falls die Frist verstreicht.

Die Meldung beim LfD

Art. 33 DSGVO verlangt die Meldung unverzüglich und möglichst binnen 72 Stunden, außer die Panne bringt voraussichtlich kein Risiko für die Betroffenen. Beim LfD läuft das über das Online-Formular für Datenpannen. Drei Hinweise von dieser Seite sind für kleine Betriebe praktisch:

• Um die Frist zu wahren, dürfen Sie eine vorläufige Meldung abgeben und später ergänzen.
• Auch eine Panne, die Sie nicht melden müssen, dokumentieren Sie nach Art. 33 Abs. 5 DSGVO mit Fakten, Folgen und Abhilfe.
• Für Unternehmen und andere nicht-öffentliche Stellen ist die Bearbeitung einer Meldung beim LfD in der Regel kostenpflichtig.

Der LfD weist außerdem darauf hin, dass die Meldung bei einem Cyberangriff die Polizei nicht ersetzt.

ZAC Niedersachsen: Beratung vor dem Angriff, Hilfe danach

Die Zentrale Ansprechstelle Cybercrime für die Wirtschaft beim Landeskriminalamt Niedersachsen versteht sich als polizeilicher Berater für Firmen, Verbände und Behörden. Sie berät zur Vorbeugung und ist erste Anlaufstelle, wenn der Schaden da ist. Telefonisch erreichen Sie sie unter 0511 9873-6230, verdächtige E-Mails nimmt ein eigenes Postfach für Schadsoftware entgegen.

Am 03.09.2026 warnte die ZAC Niedersachsen vor Mails im Namen des Bundeszentralamts für Steuern. Ein angeblicher Pfändungsbeschluss bringt eine HTML-Datei mit, die eine Anmeldemaske mit schon eingetragener E-Mail-Adresse öffnet, das Passwort geht an die Täter. Die ZAC rät, nie Anmeldedaten aus einer E-Mail heraus einzugeben, für E-Mail-Konten eine Mehrfaktor-Anmeldung einzuschalten und für besonders wichtige Konten nach Möglichkeit Passkeys zu nutzen.

Ein eigenes Landesprogramm zur IT-Sicherheit kleiner Betriebe mit belegtem Stand Oktober 2026 haben wir in Niedersachsen nicht gefunden. Fragen Sie bei Ihrer IHK oder Handwerkskammer nach aktuellen Terminen.

Beispiel: ein Campingplatz nach dem Datenleck beim Buchungsdienstleister

Im dritten Quartal 2026 meldeten Übernachtungsbetriebe dem LfD vermehrt Datenpannen. Ursache waren Angriffe auf überregionale Buchungsdienstleister, bei denen Hotelname, Buchungsnummer, Name, E-Mail-Adresse und Telefonnummer von Gästen abflossen. Mit diesen Daten verschicken Kriminelle häufig echt wirkende Zahlungsaufforderungen per E-Mail, SMS oder WhatsApp. Betroffene Hotels, Campingplätze und Ferienwohnungen sind laut LfD in der Regel verpflichtet, ihre Gäste zu informieren und den Vorfall der Aufsicht zu melden. Für die Nachricht an die Gäste hat die Behörde am 12.10.2026 ein Informationsschreiben mit Checkliste und Formulierungshilfen bereitgestellt.

Ein erfundener Fall: Ein Campingplatz an der Küste wird von einem Ehepaar geführt. Die Frau macht Büro und Buchungen, der Mann Platz und Technik. An der Rezeption arbeiten eine feste Kraft und von April bis Oktober sieben Saisonkräfte, alle mit demselben Login für das Buchungssystem. Der Bestätigungscode dafür kommt per SMS auf das Handy der festen Kraft. Als der Dienstleister das Leck meldet, ist sie im Urlaub, und drei Saisonkräfte sind schon seit September weg.

Eigentümer und Administratoren der Organisation, hier die Inhaberin, sehen zusätzlich alle Sammlungen. Mit einem Tresor bekommt jede Saisonkraft ein eigenes Konto, Kosten pro Kopf fallen nicht an. Am Ende der Saison sperrt die Inhaberin die Konten selbst. Die Sammlung Rezeption kann sie so freigeben, dass Saisonkräfte Passwörter nur ausfüllen und nicht angezeigt bekommen. Technisch abhalten kann das niemanden, der es darauf anlegt. Ändern sollte sie die Passwörter nach dem Weggang trotzdem, wie in der Checkliste Mitarbeiter verlässt die Firma beschrieben.

Bietet das Buchungssystem einen Code aus einer Authenticator-App an, liegt der Schlüssel beim Eintrag im Tresor, und die Codes stehen jedem Berechtigten zur Verfügung. Einen Code per SMS kann kein Tresor empfangen, dafür bleibt das Handy nötig. Wie Sie das umstellen, steht im Ratgeber 2FA im Team teilen. Den Notfallzugang räumt die Inhaberin ihrem Mann ein, der die Sammlung Büro im Alltag nicht sieht. Sie ist Eigentümerin der Organisation im Tresor, deshalb übernimmt er im Ernstfall ihr Konto und sieht danach auch die Sammlung Büro. Das Onlinebanking des Platzes liegt in keiner Sammlung, jeder, der Zahlungen erledigt, hat einen eigenen Bankzugang (siehe Onlinebanking für Mitarbeiter). Wie der Notfallzugang im Einzelnen abläuft, stimmen wir bei der Einrichtung mit dem Betrieb ab, Hintergründe liefert der Ratgeber Notfallzugriff auf Firmenpasswörter. Zugänge in Beherbergungsbetrieben behandeln die Seiten für Ferienwohnungen und Hotels.

Ihre Vorbereitung auf den nächsten Vorfall

1. Festlegen, wer die Meldung beim LfD abgibt, und die Adresse des Formulars dort ablegen, wo diese Person auch ohne Firmenrechner hinkommt.
2. Die Nummer der ZAC und den Namen des IT-Dienstleisters auf das Notfallblatt schreiben. Passwörter gehören nicht darauf.
3. Für jedes Postfach die Zwei-Faktor-Anmeldung einschalten und festhalten, auf welchem Gerät der zweite Faktor liegt.
4. Gemeinsame Logins durch eigene Konten ersetzen, wo der Dienst das erlaubt.

Bei Passwortheld läuft der Tresor auf einem Server, den Ihre Firma bei netcup mietet. Jeder Nutzer meldet sich mit eigenem Master-Passwort an. Es gilt eine Zwei-Faktor-Pflicht für alle Mitarbeiter, ohne zweiten Faktor kommen sie nicht in die Organisation. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Was im Tresor steht, verschlüsseln die Apps schon auf dem Gerät des Nutzers, deshalb können wir Ihre Passwörter nicht lesen. Für 7,99 € im Monat inkl. MwSt. kommt auf Wunsch das Backup-Paket dazu: eine tägliche verschlüsselte Sicherung außerhalb des Servers, 30 Tage aufbewahrt. Wer es nicht bucht, bekommt von uns keine Sicherung und exportiert den Tresor selbst verschlüsselt. Vor Updates legen wir nur eine Kopie auf demselben Server an, sie ersetzt keine Sicherung.

Wie das für Ihren Betrieb aussieht, klärt ein kostenloses Erstgespräch (15 Minuten), wahlweise per Video oder am Telefon.

Anlaufstellen für Firmen in Niedersachsen