Passwort-Manager in Rheinland-Pfalz: Datenpannen, ZAC und Schlüssel im Tresor

163.400 Unternehmen, vier IHKs, vier Handwerkskammern

Rheinland-Pfalz zählt im Unternehmensregister für 2024 insgesamt 163.400 rechtliche Einheiten mit Sitz im Land. 138.646 davon haben weniger als zehn abhängig Beschäftigte, das sind knapp 85 Prozent. Rechnet man die 20.452 Betriebe mit zehn bis 49 Beschäftigten dazu, arbeiten gut 97 Prozent der Unternehmen im Land mit weniger als 50 Leuten. Die Zahlen der Statistischen Ämter (Stand 24.07.2026) stehen in einer Tabelle der Bundestagsdrucksache 21/7502 vom 5. August 2026.

Vier Industrie- und Handelskammern teilen sich das Land: Koblenz, Pfalz, Rheinhessen und Trier. Zusammen mit der IHK Saarland bilden sie die Arbeitsgemeinschaft Rheinland-Pfalz/Saarland. Im Handwerk sind es ebenfalls vier Kammern, laut Adressliste des Zentralverbands des Deutschen Handwerks die Handwerkskammer der Pfalz in Kaiserslautern sowie die Kammern in Koblenz, Mainz (Rheinhessen) und Trier.

Mehr als 1.000 Datenpannen bis Ende September 2026

Die Aufsicht über Unternehmen führt der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Rheinland-Pfalz (LfDI) in Mainz. Bei ihm melden öffentliche und private Stellen ihre Datenpannen, die Zahlen trennt die Behörde nicht nach diesen beiden Gruppen. Am 13. Oktober 2026 legte der LfDI in seiner Pressekonferenz „Best of Datenschutz“ neue Zahlen vor: 988 gemeldete Datenpannen im ganzen Jahr 2025 und schon 1.010 bis zum 30. September 2026. Im Tätigkeitsbericht für 2024 standen noch 752. Den Tätigkeitsbericht für 2025 hat die Behörde bis Mitte Oktober 2026 nicht veröffentlicht, die Zahl für 2025 stammt deshalb aus der Pressekonferenz.

Über die Hälfte der Vorfälle aus 2025 ging laut LfDI auf Hacking-Angriffe oder Phishing zurück. Die Behörde ist nach eigener Darstellung auch 2026 in mehrere, teils schwerwiegende Hacking-Fälle eingebunden, von Angriffen auf private Unternehmen bis zu Schul- und Hochschuldaten, die im Darknet auftauchten.

Das Meldeformular des LfDI

Gemeldet wird über das Online-Formular auf datenschutz.rlp.de. Es ist für Meldungen nach Art. 33 DSGVO gedacht. Die freiwilligen Angaben helfen der Behörde laut eigener Aussage oft bei der ersten Einschätzung. Nach dem Absenden kommt eine Eingangsbestätigung an die Mailadresse, die Sie im letzten Schritt angeben.

Diese Bestätigung ist Ihr Beleg, wann Sie gemeldet haben. Tragen Sie deshalb eine Adresse ein, die nach einem Angriff noch funktioniert, und legen Sie die Mail an einem Ort ab, den der Vorfall nicht erreicht. Nach Art. 33 DSGVO ist eine Panne unverzüglich und möglichst binnen 72 Stunden zu melden, außer sie führt voraussichtlich zu keinem Risiko für die betroffenen Personen.

Die ZAC beim LKA und die Landeszentralstelle in Koblenz

Für Cyberangriffe auf Firmen hat das Landeskriminalamt die Zentrale Ansprechstelle Cybercrime (ZAC). Sie ist ausschließlich für Unternehmen und Behörden mit Sitz in Rheinland-Pfalz erreichbar, Privatleute verweist die Polizei an die örtliche Dienststelle oder die Staatsanwaltschaft. Zuerst bewertet die ZAC den gemeldeten Sachverhalt kriminalistisch und technisch. Liegt eine Straftat vor, trifft sie die nötigen Maßnahmen, bis sie den Fall an die zuständige Fachdienststelle abgibt, und stimmt sich bei Bedarf mit der Landeszentralstelle Cybercrime bei der Generalstaatsanwaltschaft Koblenz ab.

Auch vor einem Angriff steht die ZAC für Gespräche zur Verfügung. Dabei geht es laut LKA vor allem um das Sicherheitsbewusstsein der Beschäftigten und weniger um technische Empfehlungen zur Härtung von Systemen. Für die Technik bleibt der eigene IT-Dienstleister zuständig.

Warnungen des Verfassungsschutzes und Angebote der Kammern

Der Verfassungsschutz Rheinland-Pfalz betreibt beim Innenministerium das Portal Cyberschutz Rheinland-Pfalz. Es richtet sich vor allem an kommunale Unternehmen der kritischen Infrastruktur, die Sicherheitshinweise darauf kann aber jeder Betrieb lesen. Einer davon warnt vor einer Phishing-Kampagne über Messenger, die Russland zugeordnet wird: Angreifer geben sich als Support des Dienstes aus und fragen nach dem Wiederherstellungsschlüssel für das Backup. Mit dem Schlüssel können sie laut Hinweis sogar ein neu angelegtes Konto unter derselben Telefonnummer übernehmen, weil er gültig bleibt. Ziel waren laut den Warnungen vor allem Politik, Militär, Diplomatie und Journalismus. Der Trick selbst setzt aber nur voraus, dass jemand den Schlüssel kennt und herausgibt.

Die IHK Koblenz kündigt auf ihrer Seite zur Digitalisierung (IHKhub) Veranstaltungen an, auch zur IT-Sicherheit kleiner Betriebe. Die aktuellen Termine stehen dort. Die IHK Pfalz verweist auf ihrer Seite zur IT-Sicherheit unter anderem auf die ZAC. Bei den Handwerkskammern im Land haben wir kein eigenes IT-Sicherheitsangebot mit aktuellem Stand gefunden.

Beispiel: eine Tierarztpraxis und der Schlüssel zum Praxis-Messenger

Der LfDI berichtet, dass immer mehr Tierhalter in Rheinland-Pfalz bei Tierarztpraxen Auskunft nach Art. 15 DSGVO verlangen. Der Anspruch umfasst nur die Daten der Halterin oder des Halters, nicht die Behandlungsdaten des Tiers. Eine Praxis muss also wissen, wo diese Halterdaten überall liegen.

Ein erfundener Fall: Eine Kleintierpraxis mit 14 Beschäftigten verschickt Terminerinnerungen über einen Messenger auf dem Praxis-Handy. Den Wiederherstellungsschlüssel für dessen Backup hat die Inhaberin bei der Einrichtung auf einen Zettel in der Schublade am Empfang geschrieben. Eine Auszubildende bekommt eine Nachricht vom angeblichen Support und tippt den Schlüssel ab. Am Abend ist das Konto weg, mitsamt Chats und Telefonnummern von Kunden.

Wie ein Messenger auf dem Firmenhandy sauber eingerichtet wird, steht im Ratgeber WhatsApp Business im Team. Die übrigen Zugänge einer Praxis beschreibt die Seite Passwort-Manager für Tierarztpraxen.

Wo die Schlüssel in einem Passwort-Tresor liegen

In der Praxis aus dem Beispiel legt die Inhaberin eine Sammlung „Praxis-Handy und Messenger“ an, die nur sie und die Praxismanagerin sehen. Dort liegen der Wiederherstellungsschlüssel als Notiz am Eintrag und der Zugang zum Mobilfunkvertrag. Für den Empfang gibt es eine eigene Sammlung mit Labor- und Lieferantenportalen. Die Auszubildende am Empfang sieht den Schlüssel dann gar nicht und kann ihn auch keinem falschen Support nennen. Warum Wiederherstellungscodes nicht auf Zettel gehören, erklärt der Ratgeber Wiederherstellungscodes aufbewahren.

Bestätigungscodes für gemeinsam genutzte Portale kann die Praxis beim Zugang im Tresor speichern, wie im Ratgeber Bestätigungscodes im Team teilen beschrieben. Dann hängt der Schutz am Tresor selbst. Deshalb gilt bei Passwortheld für alle Mitarbeiter am Tresor eine Zwei-Faktor-Pflicht. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Der externe IT-Dienstleister der Praxis kann ein eigenes Konto bekommen, das nur die Sammlung IT sieht, ohne Aufpreis.

Für den Fall, dass die Inhaberin ausfällt, räumt sie ihrer Praxisvertretung einen Notfallzugang ein. Weil die Inhaberin Eigentümerin der Organisation im Tresor ist, hat die Vertretung nach der Übernahme ihres Kontos die Eigentümerrolle und kommt damit an alle Sammlungen der Organisation, auch an eine, die nur der Praxismanagerin zugewiesen ist. Den Ablauf legen wir bei der Einrichtung gemeinsam fest. Mehr dazu im Ratgeber Notfallzugriff auf Firmenpasswörter.

Der Tresor läuft auf einem eigenen Server der Praxis bei netcup. Die Inhalte sind Ende-zu-Ende-verschlüsselt, Ihre Passwörter können wir nicht lesen. Mit dem Backup-Paket (7,99 € im Monat inkl. MwSt.) legen wir jeden Tag eine verschlüsselte Sicherung an einem zweiten Ort ab. Ohne Backup-Paket sichern wir den Tresor nicht, dann exportiert ihn die Praxis selbst verschlüsselt.

Welche Sammlungen zu Ihrem Betrieb passen, besprechen wir gern per Telefon oder Video im kostenlosen Erstgespräch (15 Minuten).

Anlaufstellen für Firmen in Rheinland-Pfalz