Passwort-Manager im Saarland: Datenpannen, ZAC und Rechte nach Bedarf

37.657 Unternehmen, je eine Kammer für Handel und Handwerk

Für das Saarland weist das Unternehmensregister im Jahr 2024 genau 37.657 rechtliche Einheiten mit Sitz im Land aus. Nur 1.023 davon beschäftigen 50 Menschen oder mehr. 31.926 kommen mit weniger als zehn abhängig Beschäftigten aus, knapp 85 Prozent, und 4.708 liegen zwischen zehn und 49. Abgedruckt ist die Auswertung der Statistischen Ämter (Stand 24.07.2026) in Bundestagsdrucksache 21/7502 vom 5. August 2026.

Das saarländische Gesetz Nr. 707 von 1960 bestimmt, dass für das Saarland eine Industrie- und Handelskammer mit Sitz in Saarbrücken besteht, die IHK Saarland. Im Handwerk führt die Adressliste des Zentralverbands des Deutschen Handwerks für das Land ebenfalls nur eine Kammer: die Handwerkskammer des Saarlandes, auch sie in Saarbrücken.

Das Unabhängige Datenschutzzentrum und sein 34. Tätigkeitsbericht

Datenschutz-Aufsicht für Firmen im Land ist das Unabhängige Datenschutzzentrum Saarland (UDZ). Zuständig ist es auch für öffentliche Stellen. Seinen 34. Tätigkeitsbericht für 2025 (PDF) hat es dem Landtag am 18. März 2026 vorgelegt. In der Übersicht „Zahlen und Fakten“ stehen 913 schriftliche Meldungen von Datenschutzverletzungen nach Art. 33 DSGVO, nach 885 im Jahr 2024 und 727 im Jahr 2023. Im Kapitel zu den Datenpannen nennt derselbe Bericht für 2025 dagegen 914 Meldungen, eine Erklärung für den Unterschied gibt er nicht. Nach Unternehmen und Behörden schlüsselt der Bericht die Zahl nicht auf.

Laut Vorwort binden Beschwerden und Meldungen die Behörde so stark, dass Prüfungen aus eigenem Antrieb nicht oder nur noch sehr eingeschränkt möglich sind.

Drei Ursachen hinter den Meldungen

In einem eigenen Kapitel ordnet das UDZ die Meldungen nach drei Trends, ohne Anteile zu nennen. Ein Teil geht auf Fehler von Menschen oder Abläufen zurück, etwa einen Tippfehler in der Empfängerzeile einer E-Mail. Ein zweiter Teil auf Phishing: gefälschte Mails, manche angeblich vom Vorgesetzten, die um Zugangsdaten oder gleich um Geld in Form von Bezahlkarten bitten. Den dritten Bereich bilden Lücken in gekaufter Technik, etwa VPN-Zugängen für Außendienst und Homeoffice.

Zum Phishing folgert das UDZ: Wer ein Nutzerkonto übernommen hat, kommt in der Regel an alles, wofür dieses Konto freigeschaltet ist. Kann der Betrieb einzelne Zugriffe nicht anhand von Protokollen ausschließen, muss er annehmen, dass alle erreichbaren Daten betroffen sind. Das UDZ rät deshalb zu Rollen und Rechten nach dem Grundsatz der geringsten Berechtigung, zu Schulungen und zu einer Arbeitskultur, in der Betroffene einen Vorfall früh melden. Manche schweigen laut Bericht aus Angst vor Ärger, und der Schaden wächst.

Was das Meldeformular des UDZ abfragt

Gemeldet wird über das Online-Formular des UDZ, das nur Verantwortlichen im Zuständigkeitsbereich der Behörde offensteht. Es verlangt unter anderem den Zeitpunkt des Vorfalls und den, ab dem Sie davon wussten, die Zahl der Betroffenen, notfalls geschätzt, und die ergriffenen Maßnahmen. Gefragt wird auch, ob die Polizei informiert ist. Fehlende Angaben dürfen Sie nach Art. 33 Abs. 4 DSGVO schrittweise nachreichen.

Die ZAC der Landespolizeidirektion

Bei der Polizei wenden sich Firmen an die Zentrale Ansprechstelle Cybercrime für die Wirtschaft (ZAC). Sie sitzt im Dezernat LPD 242 „Qualifizierte Cybercrime“ der Landespolizeidirektion in Saarbrücken, gehört zum Verbund der ZACs von Bund und Ländern und koordiniert im Schadensfall die polizeilichen Ermittlungen. Sie ist ausschließlich für Wirtschaftsunternehmen da, Privatleute schickt die Polizei zur Onlinewache oder zur nächsten Dienststelle. Weil bei einem Angriff in kurzer Zeit viele Entscheidungen fallen, rät die Polizei den Inhabern, sich selbst mit dem Thema vertraut zu machen.

CyberRisikoCheck bei der Handwerkskammer

Ihren Mitgliedsbetrieben bietet die Handwerkskammer des Saarlandes eine Sprechstunde CyberRisikoCheck an. Der Check folgt laut Kammer den Vorgaben des BSI und der DIN SPEC 27076, die 27 Anforderungen festlegt. Der Betrieb bekommt danach einen Ergebnisbericht mit Empfehlungen. Nach einer Kammermeldung vom November 2024 kostet der Check Handwerksbetriebe nichts, die Umsetzung übernimmt der Betrieb selbst, meist mit seinem IT-Dienstleister.

Im April 2025 hat dieselbe Kammer ihre Betriebe auf die geänderte Empfehlung des BSI hingewiesen. Statt das Passwort alle 90 Tage zu wechseln, solle jeder Dienst ein eigenes, starkes Passwort bekommen, das nur bei konkretem Anlass geändert wird. Dazu rät sie zu einem Passwort-Manager und zum zweiten Faktor. Den Hintergrund erklärt der Ratgeber Passwort regelmäßig ändern. Bei der IHK Saarland haben wir im Oktober 2026 kein eigenes Angebot zur IT-Sicherheit mit aktuellem Stand gefunden. Fragen Sie dort direkt.

Beispiel: ein Elektrobetrieb mit Monteuren im Außendienst

Ein erfundener Fall nach den Ursachen im Bericht: Ein Elektrobetrieb hat elf Beschäftigte, acht davon sind als Monteure unterwegs und verbinden sich vom Tablet per VPN mit dem Büro. Die Zugangsdaten für das VPN-Gerät hat der Installateur vor drei Jahren an das allgemeine Büropostfach geschickt, und dort liegt die Mail noch. An einem Montag klickt die Bürokraft auf eine gefälschte Anmeldeseite und gibt das Passwort dieses Postfachs ein. Sie merkt es am Nachmittag, sagt es dem Inhaber aber erst am nächsten Morgen.

Nach der Logik des UDZ muss der Betrieb jetzt davon ausgehen, dass alles im Postfach gelesen wurde, also auch die alte Mail mit dem VPN-Zugang. Dazu kommt ein Sicherheitsupdate des VPN-Herstellers, und wo das aktuelle Admin-Passwort steht, weiß nur der Inhaber.

Was nach der Eingabe auf einer falschen Seite sofort zu tun ist, beschreibt der Ratgeber Passwort bei Phishing eingegeben. Weitere Zugänge eines Elektrobetriebs zeigt die Seite Passwort-Manager für Elektrobetriebe.

Wo Passwortheld ansetzt

Im Tresor legt der Inhaber eine Sammlung „Netzwerk und VPN“ an, die nur er und der IT-Dienstleister sehen. Die Bürokraft bekommt die Sammlung „Büro“ mit Großhandelsportalen und Steuerportal, die Monteure eine Sammlung für Tablets und Herstellerportale. Das Onlinebanking liegt in keiner Sammlung, wer Zahlungen erledigt, hat einen eigenen Bankzugang (siehe Onlinebanking mit mehreren Mitarbeitern). Löscht der Inhaber die alte Mail und legt den VPN-Zugang im Tresor ab, findet ein Angreifer im übernommenen Postfach kein VPN-Passwort mehr. Bürokraft, Monteure und IT-Dienstleister sehen nur ihre Sammlungen, im Sinne der geringsten Berechtigung. Der IT-Dienstleister erhält ein eigenes Konto, ohne Aufpreis.

Gegen nachgebaute Anmeldeseiten hilft die Browser-Erweiterung ein Stück weit, weil sie Zugangsdaten nur auf der passenden Domain vorschlägt. Eine Garantie gibt es dafür nicht.

Für den Fall, dass der Inhaber ausfällt, räumt er vorher zum Beispiel seiner Frau oder dem Meister einen Notfallzugang ein. Weil er Eigentümer der Organisation im Tresor ist, sieht die Vertrauensperson nach der Übernahme seines Kontos alle Sammlungen, die ihm zugewiesen sind, auch „Netzwerk und VPN“. Den Ablauf legen wir bei der Einrichtung fest, siehe Notfallzugriff auf Firmenpasswörter.

Der Tresor läuft auf einem eigenen Server des Betriebs bei netcup, und für alle Mitarbeiter gilt am Tresor eine Zwei-Faktor-Pflicht. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Ihre Passwörter können wir nicht lesen, die Inhalte sind Ende-zu-Ende-verschlüsselt. Täglich an einem zweiten Ort sichern wir den Tresor nur mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt. Ohne dieses Paket sichern wir nicht, dann exportiert der Betrieb den Tresor selbst verschlüsselt.

Wie die Sammlungen in Ihrem Betrieb aussehen könnten, klären wir im kostenlosen Erstgespräch (15 Minuten) am Telefon oder per Video.

Anlaufstellen für Firmen in Saarland