Passwort-Manager für Firmen in NRW: wenn der Angriff von außen kommt

Gut 740.000 Unternehmen, 16 IHKs, sieben Handwerkskammern

Kein Land hat mehr Unternehmen: Das Unternehmensregister führt für Nordrhein-Westfalen im Jahr 2024 insgesamt 740.506 rechtliche Einheiten mit Sitz im Land. Bei 624.315 davon sind es weniger als zehn abhängig Beschäftigte, gut 84 Prozent, weitere 93.439 liegen zwischen zehn und 49. Fast 97 von 100 Unternehmen im Land arbeiten also mit weniger als 50 Leuten. Die Zahlen der Statistischen Ämter (Auswertungsstand 24.07.2026) hat die Bundesregierung im August 2026 in Bundestagsdrucksache 21/7502 veröffentlicht.

Für Gewerbebetriebe gibt es 16 Industrie- und Handelskammern, zusammengeschlossen in der Landesarbeitsgemeinschaft IHK NRW. Das Handwerk ist auf sieben Kammern verteilt: Aachen, Dortmund, Düsseldorf, Köln, Münster, Ostwestfalen-Lippe zu Bielefeld und Südwestfalen mit Sitz in Arnsberg.

2.844 Datenpannen bei der LDI NRW, jede dritte durch einen Cyberangriff

Die Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW) beaufsichtigt die Unternehmen im Land und daneben öffentliche Stellen, etwa die Kliniken der Landschaftsverbände. Am 17. April 2026 hat sie ihren 31. Tätigkeitsbericht für 2025 übergeben. Darin stehen 2.844 Meldungen nach Art. 33 DSGVO, nach 2.170 im Jahr 2024 und 2.039 im Jahr 2023. Eine Aufteilung nach Firmen und Behörden enthält der Bericht nicht.

Unter den Anlässen liegt bei der LDI der Cyberangriff vorn, noch vor dem Fehlversand. So verteilen sich die Meldungen laut Bericht:

Wie ein typischer Angriff aussieht, beschreibt die LDI auf ihrer Seite zur Hilfe nach einem Cyberangriff: verschlüsselte Systeme, die Drohung, Daten zu veröffentlichen, oder Schadmails, die vom eigenen System aus verschickt werden. Zuerst prüfen Sie laut LDI, welche Systeme betroffen sind, und trennen diese vom Internet und vom internen Netz.

Das Meldeformular der LDI

Gemeldet wird über ein Webformular der LDI, unverzüglich und möglichst binnen 72 Stunden nach Art. 33 DSGVO. Geben Sie dort an, dass voraussichtlich kein oder nur ein geringes Risiko besteht, geht die Meldung laut LDI nicht an die Behörde. Sie können das ausgefüllte Formular dann aber als PDF speichern und haben so die Dokumentation, die Art. 33 Abs. 5 DSGVO auch für nicht gemeldete Pannen verlangt.

Trifft eine Panne beim IT-Dienstleister mehrere seiner Kunden, kann laut LDI eine zentrale Stelle eine Sammelmeldung abgeben. Voraussetzung ist unter anderem, dass die Kunden ihren Sitz in Nordrhein-Westfalen haben, informiert wurden und die Stelle ausdrücklich zur Meldung berechtigt haben. Die Pflicht bleibt bei jedem einzelnen Betrieb.

Bei freiwilligen Angaben zieht die LDI eine Grenze. Pflichtangaben einer Meldung dürfen nach § 42 Abs. 4 und § 43 Abs. 4 BDSG in einem Straf- oder Bußgeldverfahren gegen den Meldenden nur mit seiner Zustimmung verwendet werden. Für Angaben, die über die Pflicht hinausgehen, gilt dieser Schutz laut LDI nicht.

Polizei: das Cybercrime-Kompetenzzentrum beim LKA NRW

Die Zentrale Ansprechstelle Cybercrime sitzt in Dezernat 41 des Landeskriminalamts. Für Unternehmen nennt die Polizei als Kontakt das Cybercrime-Kompetenzzentrum SPoC NRW, Telefon 0211 939-4040, E-Mail cybercrime.lka@polizei.nrw.de. Eine Strafanzeige nimmt außerdem jede Polizeidienststelle auf. Auf ihrer Seite zur IT-Sicherheit für Unternehmen empfiehlt die Polizei unter anderem Mehr-Faktor-Anmeldung für alle wichtigen Zugänge, getrennte Benutzerrollen mit möglichst wenig Rechten und Datensicherungen, von denen idealerweise mindestens eine offline liegt.

DIGITAL.SICHER.NRW: Kompetenzzentrum für kleine und mittlere Firmen

Im Auftrag des Wirtschaftsministeriums NRW berät das Kompetenzzentrum DIGITAL.SICHER.NRW kleine und mittlere Unternehmen aus dem Land zur IT-Sicherheit. Erstberatung, Webinare, Veranstaltungen und Sprechstunden sind für Unternehmen aus NRW kostenfrei. Die Termine der Webinare, etwa zu Backups und Notfällen, stehen im Veranstaltungskalender der Seite.

Für den Ernstfall gibt die Seite Soforthilfe eine Reihenfolge vor. Zuerst klären, ob ein Angriff oder ein Defekt vorliegt. Dann eine Person bestimmen, bei der alle Schritte zusammenlaufen, und jeden Schritt nach der Regel Was, Wer, Wann, Warum festhalten. Vertrauliche Gespräche sollen Sie nach einem erfolgreichen Angriff nur noch über das Mobiltelefon führen, weil die Täter auch auf E-Mails und Telefone Zugriff haben können.

Beispiel: eine Gebäudereinigung, deren Systemhaus angegriffen wird

Ein erfundener Fall: Eine Gebäudereinigung beschäftigt 46 Reinigungskräfte in Teilzeit, eine Objektleiterin und zwei Kräfte im Büro. Die IT betreut ein externes Systemhaus, das noch weitere Kunden hat. Eines Montags meldet das Systemhaus einen Angriff auf seine eigenen Systeme. Dort lagen auch die Admin-Passwörter der Reinigungsfirma: Mailserver, Lohnprogramm, Zeiterfassung, Router. Welche genau, weiß im Betrieb niemand. Im Tresor wären die Zugänge so aufgeteilt:

Eigentümer und Administratoren der Organisation, hier der Inhaber, sehen zusätzlich alle Sammlungen. Das Systemhaus arbeitet dann über ein eigenes Konto, freigegeben ist ihm allein die Sammlung IT. Nach dem Angriff ist damit klar, welche Zugänge der Dienstleister kannte. Der Inhaber sperrt dessen Konto, bis der Vorfall geklärt ist, und ändert die Passwörter dieser Sammlung zuerst.

Die Codes für die Zwei-Faktor-Anmeldung können beim Eintrag liegen, beschrieben im Ratgeber 2FA im Team teilen. Wie Sie Zugänge zurückholen, wenn der Dienstleister danach wechselt, steht unter IT-Dienstleister wechseln.

Für die Objektleiterin, die die Sammlung IT nicht sieht, richtet der Inhaber den Notfallzugang ein, falls er selbst ausfällt. Weil er Eigentümer der Organisation im Tresor ist, übernimmt sie im Ernstfall sein Konto mit der Eigentümerrolle und sieht dann alle Sammlungen der Firma. Wartezeit und Bestätigung legen wir bei der Einrichtung mit Ihnen fest. Mehr dazu erklärt der Ratgeber Notfallzugriff auf Firmenpasswörter. Was in Reinigungsfirmen sonst an Zugängen anfällt, beschreibt die Seite für Gebäudereinigung.

Was Passwortheld beisteuert

Ihr Betrieb mietet einen eigenen Server bei netcup, wir richten den Tresor darauf ein und halten ihn aktuell. Jeder Mitarbeiter braucht einen zweiten Faktor, bevor er die Sammlungen der Firma sieht. Eigentümer und Administratoren richten ihn selbst ein. Weil die Inhalte Ende-zu-Ende-verschlüsselt sind, können wir Ihre Passwörter nicht lesen. Eine tägliche Sicherung an einem zweiten Ort übernehmen wir mit dem Backup-Paket (7,99 € monatlich inkl. MwSt.). Fehlt das Paket, sichern wir den Tresor nicht, und Sie kümmern sich selbst um den verschlüsselten Export. Vor Updates legen wir nur eine Kopie auf demselben Server an, sie ersetzt keine Sicherung.

Ob ein Tresor zu Ihrem Betrieb passt, finden wir am Telefon oder per Video in einem kostenlosen Erstgespräch (15 Minuten) heraus.

Anlaufstellen für Firmen in Nordrhein-Westfalen