Passwort-Manager in Schleswig-Holstein: Meldeweg, ZAC und klare Rechte

123.782 Unternehmen, drei IHKs und zwei Handwerkskammern

Schleswig-Holstein kommt im Unternehmensregister 2024 auf 123.782 rechtliche Einheiten mit Sitz im Land. Knapp 85 Prozent davon, nämlich 105.047, beschäftigen weniger als zehn Personen. Weitere 15.458 haben zehn bis 49 Beschäftigte, 3.277 sind größer. Die Tabelle der Statistischen Ämter (Stand 24.07.2026) steht in Bundestagsdrucksache 21/7502 vom 5. August 2026.

Die Industrie- und Handelskammern zu Flensburg, zu Kiel und zu Lübeck treten gemeinsam als IHK Schleswig-Holstein auf, organisiert als Arbeitsgemeinschaft. Für das Handwerk gibt es zwei Kammern, die Handwerkskammer Flensburg und die Handwerkskammer Lübeck.

Das ULD und sein Datenschutzbericht 2026

Zuständig für Unternehmen mit Sitz oder Hauptsitz in Schleswig-Holstein ist das Unabhängige Landeszentrum für Datenschutz (ULD) in Kiel, ebenso für alle öffentlichen Stellen im Land. Im Tätigkeitsbericht 2026, der das Jahr 2025 abdeckt, zählt es 775 gemeldete Datenpannen nach 602 im Vorjahr. Das ist ein Plus von 29 Prozent und ein neuer Höchstwert für die Behörde, im Schnitt 65 Meldungen im Monat. Mitgezählt sind Meldungen von Behörden nach dem Landesdatenschutzgesetz. Das ULD geht außerdem von einer hohen Dunkelziffer aus, also von Pannen, die nie gemeldet werden.

Einen Schwerpunkt bilden laut Bericht Fehler im eigenen Haus: ein falsch bedientes Gerät, eine vertippte E-Mail-Adresse, ein vertauschter Brief. Dazu kommen falsch eingestellte Berechtigungen, die mehr Leuten Einblick geben als vorgesehen. Das ULD rät, erst festzulegen, wer was darf, und danach zu prüfen, ob die Einstellungen im System tatsächlich so wirken.

Gekaperte Postfächer als Klassiker

Unbefugte Zugriffe auf E-Mail-Konten nennt das ULD einen „Klassiker“. Meist merkt der Betrieb sie erst, wenn das Konto Spam verschickt. Wer das kann, kann laut ULD aber auch Mails lesen, umleiten und Kennwörter ändern, deshalb muss der Betrieb klären, ob jemand mitgelesen hat. Ursache sind meist abgefangene Zugangsdaten, dazu Postfächer in der Cloud, bei denen Benutzername und Passwort für die Anmeldung reichen. Das ULD fordert zusätzliche Sicherungen, zum Beispiel eine Zwei-Faktor-Anmeldung oder eine Begrenzung auf bestimmte Netze oder dienstliche Geräte.

Für jedes Konto ein eigenes Passwort zu nutzen, hält das ULD für vergleichsweise leicht umsetzbar. Phishing sicher zu erkennen, fällt dagegen schwer, weil die Mails sprachlich ausgereift sind und die gefälschten Anmeldeseiten den echten täuschend ähneln.

So erreicht eine Meldung das ULD

Ein Online-Formular für Datenpannen hat das ULD nicht. Auf der Seite Meldungen an das ULD laden Sie ein Formular als ODT- oder RTF-Datei herunter und schicken es ausgefüllt per E-Mail an die Behörde. Gemeldet wird nach Art. 33 DSGVO unverzüglich, möglichst binnen 72 Stunden ab Bekanntwerden. Laut den Hinweisen des ULD vom 28.05.2026 dürfen Sie schrittweise melden, wenn die Untersuchung noch läuft. Bei hohem Risiko benachrichtigt der Betrieb nach Art. 34 DSGVO zusätzlich die Betroffenen, mit Kontakt, wahrscheinlichen Folgen und ergriffenen Maßnahmen.

Speichern Sie das Formular vorab und legen Sie ein zweites Postfach zum Absenden fest. Ist ausgerechnet das Firmenpostfach übernommen, sollte die Meldung nicht von dort kommen.

ZAC beim LKA: Die Polizei kopiert die Daten im Betrieb

Für Unternehmen, Behörden und sonstige Institutionen mit Sitz im Land ist die Zentrale Ansprechstelle Cybercrime des LKA Schleswig-Holstein erste Anlaufstelle. Sie beantwortet Fragen zur Vorbeugung, nimmt nach einem Angriff die Anzeige auf und vermittelt an die zuständigen Ermittler. Ihre Hotline ist laut Polizei montags bis freitags von 8 bis 18 Uhr und samstags von 8 bis 13 Uhr besetzt, außer an Feiertagen. Läuft außerhalb dieser Zeiten gerade ein Verschlüsselungsangriff oder ein anderer schwerer Angriff, rufen Sie das Lagezentrum der Landespolizei an, in anderen dringenden Fällen die 110.

Dass nach einer Anzeige Server und Rechner das Haus verlassen, ist laut Polizei nicht die Regel. Sie stellt die IT in der Regel nicht sicher. Stattdessen bespricht sie mit dem Betrieb, welche Daten für die Ermittlungen wichtig sein dürften, und kopiert diese gemeinsam mit ihm aus dem laufenden System. Dafür braucht jemand im Betrieb die Zugänge zum Mailanbieter, zur Firewall und zum Server griffbereit. Ein Formular der ZAC zum Vorausfüllen beschleunigt laut Polizei die Anzeige, auch wenn Sie zuerst anrufen.

Angebote der IHK Schleswig-Holstein

Gemeinsam mit dem Innenministerium, der Allianz für Sicherheit in der Wirtschaft Norddeutschland und dem Verein Digitale Wirtschaft Schleswig-Holstein bildet die IHK die SicherheitsPartnerschaft Schleswig-Holstein. Darüber berät sie zu Cyber- und Wirtschaftskriminalität, das LKA informiert dort regelmäßig über Vorbeugung. Auf ihrer Seite zu Krisenvorsorge und Resilienz bietet die IHK einen Krisenvorsorgeplan für kleine und mittlere Unternehmen und einen anonymen Resilienzcheck zum Selbsttest an. Die IHK rät, mit einer kurzen Bestandsaufnahme zu beginnen und drei vorrangige Maßnahmen festzulegen, als Beispiele nennt sie Zugangskontrollen, eine Backup-Strategie und Schulungen. Ein eigenes Angebot der beiden Handwerkskammern zur IT-Sicherheit mit aktuellem Stand haben wir nicht gefunden.

Beispiel: eine Hausverwaltung mit einem Generalschlüssel im Rechner

Unter den Datenpannen aus der Wirtschaft beschreibt das ULD einen Haustechniker, der mit seinem Generalschlüssel das verschlossene Büro einer Sachbearbeiterin der Personalabteilung öffnete, um Unterlagen zu holen. Auf dem Schreibtisch lagen einzelne Papiere mit Personaldaten. Das Unternehmen meldete den Vorfall und passte sein Schlüsselkonzept an, das ULD empfiehlt klare Zugriffsregeln, Schlüsselkonzepte und Schulungen.

Übertragen auf Zugangsdaten sieht das so aus, in einem erfundenen Fall: Eine Hausverwaltung mit neun Beschäftigten und einem angestellten Hausmeister nutzt für ihre Verwaltungssoftware ein einziges Admin-Konto. Das Passwort kennen alle, auch der Hausmeister, weil er darüber Zählerstände einträgt. Eines Morgens verschickt das Postfach der Buchhaltung Spam an Eigentümer. Wer welche Zugänge kennt und welche jetzt geändert werden müssen, kann niemand sagen.

Im Tresor hat jeder ein eigenes Konto und sieht nur seine Sammlung, auch der externe IT-Dienstleister, ohne Aufpreis. Nur die Geschäftsführerin kommt als Eigentümerin der Organisation an alle Sammlungen. Nach dem Spam-Vorfall ändert die Geschäftsführerin zuerst die Zugänge der Sammlung Buchhaltung und schaltet für das Postfach einen zweiten Faktor ein. Der Code dafür kann beim Eintrag liegen, wie im Ratgeber 2FA im Team teilen beschrieben. Das Onlinebanking steht in keiner Sammlung: Wer Zahlungen freigibt, hat einen eigenen Bankzugang, siehe Onlinebanking mit mehreren Mitarbeitern.

Den Notfallzugang räumt die Geschäftsführerin der Prokuristin ein. Weil die Geschäftsführerin Eigentümerin der Organisation im Tresor ist, sieht die Prokuristin nach der Übernahme des Kontos auch die Sammlungen Buchhaltung und Administration, die ihr im Alltag verschlossen sind. Die Einzelheiten regeln wir bei der Einrichtung, Grundlagen erklärt der Ratgeber Notfallzugriff auf Firmenpasswörter. Mehr zu dieser Branche steht auf der Seite für Hausverwaltungen, die ersten Schritte nach so einem Vorfall unter Firmen-E-Mail gehackt.

Was Passwortheld dabei übernimmt

Den Tresor richten wir auf einem Server ein, den Ihr Betrieb bei netcup mietet, und halten ihn aktuell. Ohne zweiten Faktor kommt kein Mitarbeiter in die Organisation, Eigentümer und Administratoren richten ihn selbst ein. Ihre Passwörter können wir nicht lesen, weil die Inhalte Ende-zu-Ende-verschlüsselt sind. In den Passwort-Berichten sehen die Verantwortlichen bei Ihnen schwache und mehrfach verwendete Passwörter, also genau das Recycling, vor dem das ULD warnt. Bucht Ihr Betrieb das Backup-Paket für 7,99 € im Monat inkl. MwSt. dazu, legen wir jeden Tag eine verschlüsselte Kopie bei einem zweiten Anbieter ab. Ohne Backup-Paket sichern wir nicht, den verschlüsselten Export erledigen Sie dann selbst.

Ein kostenloses Erstgespräch (15 Minuten) per Telefon oder Video klärt, ob ein Tresor für Ihren Betrieb sinnvoll ist.

Anlaufstellen für Firmen in Schleswig-Holstein