Passwort-Manager in Sachsen-Anhalt: wenn ein Firmenkonto gekapert wird

68.904 Unternehmen, zwei IHKs und zwei Handwerkskammern

Im Unternehmensregister der statistischen Ämter stehen für 2024 genau 68.904 rechtliche Einheiten mit Sitz in Sachsen-Anhalt. 58.457 davon haben weniger als zehn abhängig Beschäftigte, rund 85 Prozent, weitere 8.327 zwischen zehn und 49. Abgedruckt ist die Tabelle in der Bundestagsdrucksache 21/7502 vom August 2026, Datenstand 24.07.2026.

Zuständig sind zwei Industrie- und Handelskammern. Die IHK Magdeburg deckt mit rund 54.000 Mitgliedern den nördlichen Landesteil ab, den Süden die IHK Halle-Dessau. Für das Handwerk gibt es die Handwerkskammer Magdeburg und die Handwerkskammer Halle (Saale).

Die Landesbeauftragte in Magdeburg und ihr Bericht über drei Jahre

Aufsichtsbehörde für Unternehmen ist die Landesbeauftragte für den Datenschutz Sachsen-Anhalt in Magdeburg. Die Leitung der Behörde war von 2021 bis August 2024 unbesetzt, seit dem 1. August 2024 führt sie Maria Christina Rost. Im August 2025 legte sie die Tätigkeitsberichte für 2021 bis 2023 in einem Band vor. Neuere Zahlen hat die Behörde bis Mitte Oktober 2026 nicht veröffentlicht.

In ihrer Geschäftsstatistik zählt sie 278 Meldungen von Datenschutzverletzungen für 2021, 305 für 2022 und 366 für 2023. Darin stecken Behörden, Kommunen und Unternehmen zusammen, eine Aufteilung enthält der Bericht für 2021 bis 2023 (PDF) nicht.

Im Kapitel Wirtschaft listet die Behörde für jedes Jahr die häufig gemeldeten Fälle. In allen drei Jahren stehen Post und E-Mails an falsche Empfänger darauf, dazu Beschäftigte, die zu privaten Zwecken auf Daten zugreifen. Für 2021 kommen kompromittierte Kundenkonten hinzu, für 2022 Cyberangriffe auf Datenbestände.

2023 nennt sie Angriffe auf die zentrale IT eines Betriebs oder seines Auftragsverarbeiters, nach denen die gesamte IT teils länger vom Netz musste. 2022 traf der Angriff auf einen Abrechnungsdienstleister mehr als 20 Unternehmen im Land. Betroffen waren dort laut Bericht nur alte Datenbestände, ein hohes Risiko sah die Behörde nicht.

Zu späte Meldungen

Für 2021 und 2022 bemängelt die Behörde, dass Verantwortliche die Frist von 72 Stunden nach Art. 33 DSGVO überschritten, 2022 teils um mehrere Wochen. Sie verlangt, dass ein Betrieb eine Panne von der Stelle, die sie bemerkt, zügig an die Person weiterleitet, die meldet. Unter den Geldbußen, die 2022 rechtskräftig wurden, führt der Bericht auch den Tatbestand „verspätete Datenpannenmeldung“.

Infopaket für kleine Unternehmen und Meldeformular

Auf ihrer Seite stellt die Landesbeauftragte ein Infopaket für kleine Unternehmen bereit, darin der Leitfaden „Datenschutz ist Chefsache!“, ein Fragenkatalog zur Selbstprüfung und der Flyer „Häufige Ursachen von Datenschutzverletzungen und Abwehrmaßnahmen“ (PDF), Stand Januar 2025.

Für ein gekapertes Firmenkonto bei einem Dienstleister, etwa einer Verkaufsplattform, nennt der Flyer zwei Schritte: das Konto sofort sperren und das Passwort wechseln. Vorbeugend rät er, wo möglich die Zwei-Faktor-Anmeldung zu nutzen. Hat jemand Zugangsdaten per Phishing erbeutet, soll der Betrieb sofort das Passwort wechseln und ermitteln, wie weit die Daten schon fremd genutzt wurden.

Das Online-Formular fragt unter anderem nach Art der Verletzung, Zahl der Betroffenen und ergriffenen Maßnahmen, freiwillig auch nach einer Strafanzeige. Für eine verspätete Meldung hat es ein eigenes Feld zur Begründung.

Polizei: ZAC für die Wirtschaft beim LKA in Magdeburg

Eine eigene Seite der Zentralen Ansprechstelle Cybercrime haben wir bei der Polizei Sachsen-Anhalt nicht gefunden. Erreichbarkeitszeiten fanden wir deshalb nicht. Telefon und E-Mail stehen in der ZAC-Übersicht auf polizei.de.

Was die ZAC tut, beschreibt eine Stellenausschreibung des Landeskriminalamts aus dem Jahr 2024. Das Cybercrime Competence Center des LKA ermittelt in herausragenden Fällen und ist zugleich die ZAC für die Wirtschaft, Dienstort Magdeburg. Zu den Aufgaben gehören Präventionsgespräche und Vorträge für Firmen, die Aufnahme von Schadensfällen, erste Maßnahmen zur Abwehr eines Angriffs und Unterstützung im Notfall.

Förderung: DIGITAL INNOVATION nennt IT-Sicherheit ausdrücklich

Mit dem Programm DIGITAL INNOVATION der Investitionsbank Sachsen-Anhalt bekommen kleine und mittlere Unternehmen mit Sitz oder Betriebsstätte im Land bis zu 50 Prozent Zuschuss, höchstens 70.000 €. Gefördert wird unter anderem die „Einrichtung und Erhöhung der IT-Sicherheit“. Der Zuschuss muss mindestens 3.000 € betragen, das Vorhaben darf höchstens zwölf Monate laufen und muss Technik einsetzen, die im Betrieb bisher nicht oder nicht durchgehend vernetzt genutzt wird.

Anträge nimmt die Bank nur in Antragsverfahren an, die jeweils enden, sobald eine festgelegte Zahl von Anträgen eingegangen ist. Den Beginn des nächsten Verfahrens kündigt sie auf ihrer Programmseite an. Ein Passwort-Tresor allein erreicht den Mindestbetrag nicht, in einem größeren Vorhaben zur IT-Sicherheit kann er ein Baustein sein.

Beispiel: ein Versandhändler mit einem Plattformkonto für alle

Ein erfundener Fall nach dem Flyer der Landesbeauftragten: Bei einem Versandhändler für Angelzubehör arbeiten sieben Leute, der Inhaber, zwei Kräfte im Kundenservice und vier im Lager. Verkauft wird über den eigenen Shop und eine große Verkaufsplattform. Für die Plattform gibt es ein einziges Login, das Passwort kennen alle drei im Büro. Den zweiten Faktor hat der Inhaber abgeschaltet, weil die Codes nur auf seinem Handy ankamen.

Eine Mitarbeiterin tippt das Passwort auf einer nachgebauten Anmeldeseite ein. Am nächsten Morgen ist die Bankverbindung für die Auszahlungen geändert, im Konto liegen Adressen von mehreren tausend Kunden. Der Inhaber ist auf einer Messe, und wer meldet, weiß im Büro niemand.

Was direkt nach so einer Eingabe zu tun ist, steht unter Passwort auf Phishing-Seite eingegeben. Die übrigen Zugänge eines Shops beschreibt die Seite Passwort-Manager für Onlinehändler.

Was ein Passwort-Tresor in diesem Fall ändert

Der Inhaber legt das Plattformkonto in der Sammlung „Verkauf“ ab. Bietet die Plattform Codes über eine Authenticator-App an, stellt er den zweiten Faktor darauf um und speichert den geheimen Schlüssel beim Eintrag. Dann hat der Kundenservice die Codes für das ganze Team, und der zweite Faktor bleibt an. Kommen die Codes nur per SMS, kann kein Tresor sie empfangen, sie bleiben an die Rufnummer gebunden.

Weil Passwort und Code im selben Tresor liegen, gilt bei Passwortheld für alle Mitarbeiter am Tresor eine Zwei-Faktor-Pflicht. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Mehr im Ratgeber Bestätigungscodes im Team teilen.

Die Browser-Erweiterung schlägt Zugangsdaten nur auf der Domain vor, für die sie gespeichert sind. Auf der nachgebauten Seite hätte die Mitarbeiterin also keinen Vorschlag bekommen. Eine Garantie ist das nicht: Wer das Passwort von Hand kopiert, umgeht die Prüfung.

Die vier im Lager sehen nur die Sammlung mit dem Portal des Paketdienstes (mehr dazu unter Passwörter im Team teilen). Verlässt jemand den Betrieb, sperrt der Inhaber dessen Konto selbst. Als Eigentümer der Organisation räumt er der Leiterin des Kundenservice den Notfallzugang ein. Nach der Übernahme seines Kontos sieht sie auch die Sammlung „Geschäftsführung“, die sonst nur ihm zugewiesen ist, den Ablauf legen wir bei der Einrichtung fest.

Der Tresor läuft auf einem eigenen Server der Firma bei netcup, seine Inhalte sind Ende-zu-Ende-verschlüsselt, Ihre Passwörter können wir nicht lesen. Eine tägliche verschlüsselte Sicherung an einem zweiten Ort bietet das Backup-Paket für 7,99 € im Monat inkl. MwSt. Ohne Backup-Paket sichern wir den Tresor nicht, der Händler exportiert ihn dann selbst verschlüsselt.

Wie die Sammlungen für Ihren Betrieb aussehen könnten, besprechen wir im kostenlosen Erstgespräch (15 Minuten) am Telefon oder per Video.

Anlaufstellen für Firmen in Sachsen-Anhalt