Passwort-Manager in Thüringen: Zugangskennungen rechtzeitig hinterlegen

74.937 Unternehmen, je drei IHKs und Handwerkskammern

74.937 rechtliche Einheiten mit Sitz in Thüringen weist das Unternehmensregister für 2024 aus. 64.292 davon haben weniger als zehn abhängig Beschäftigte, knapp 86 Prozent, weitere 8.424 zwischen zehn und 49. Die Tabelle der statistischen Ämter mit Stand 24.07.2026 hat die Bundesregierung in der Drucksache 21/7502 abgedruckt.

Für Handel, Industrie und Dienstleistung gibt es drei Kammern: die IHK Erfurt, die IHK Ostthüringen zu Gera und die IHK Südthüringen in Suhl. Das Handwerk ist bei der Handwerkskammer Erfurt, der Handwerkskammer für Ostthüringen in Gera und der Handwerkskammer Südthüringen in Suhl organisiert.

Der Landesbeauftragte in Erfurt: 330 Meldungen für 2024

Die Aufsicht über Firmen führt der Thüringer Landesbeauftragte für den Datenschutz und die Informationsfreiheit (TLfDI), seit März 2024 Tino Melzer. Im Dezember 2025 hat er seinen 7. Tätigkeitsbericht für das Jahr 2024 (PDF) vorgelegt, ein Bericht für 2025 ist bis Mitte Oktober 2026 nicht erschienen. Für 2024 zählt er 330 Meldungen von Datenpannen nach Art. 33 DS-GVO, rund zehn Prozent mehr als im Jahr davor. Wie viele davon von Unternehmen und wie viele von Behörden kamen, schlüsselt der Bericht nicht auf.

Wie der TLfDI eine Meldung bearbeitet

Im Bericht stellt die Behörde den Entwurf ihres Prüfschemas vor. Zuerst klärt sie, ob wirklich der Verantwortliche meldet oder ob eine Beschwerde vorliegt. Meldet nur der IT-Dienstleister als Auftragsverarbeiter, verlangt sie die Meldung vom Betrieb selbst. Kam die Meldung später als 72 Stunden nach Bekanntwerden (Art. 33 DS-GVO), fragt sie nach dem Grund. Eine erhebliche Verzögerung ohne nachvollziehbare Begründung gibt sie an ihre Bußgeldstelle, die über ein Verfahren entscheidet.

Danach prüft sie die Angaben auf Vollständigkeit. Wer kein hohes Risiko für die Betroffenen sieht, muss das begründen, fehlende Angaben fordert der TLfDI mit kurzer Frist nach. Der Schriftverkehr zur Meldung läuft als informelles Verfahren, die Schreiben der Behörde sind dann Empfehlungen. Folgt ein Betrieb ihnen ohne nachvollziehbaren Grund nicht, eröffnet der TLfDI ein Verwaltungsverfahren.

Für die Meldung stellt der TLfDI ein Formular als PDF bereit. Es unterscheidet Neumeldung und ergänzende Meldung, fragt, ob die Panne bei einem Auftragsverarbeiter passiert ist, und führt Passwörter als eigene Kategorie betroffener Daten.

Ein festes Admin-Passwort in einer Fachsoftware

Ein Fall aus dem Bericht stammt aus einer Behörde, lässt sich aber auf Betriebe übertragen, deren Branchensoftware ein Hersteller betreut. Anfang Mai 2024 kontrollierte der TLfDI ein Thüringer Gesundheitsamt. Nach Angaben der Administratoren hatte der Hersteller der eingesetzten Software ein zentrales Administrator-Passwort im Quellcode festgelegt und verlangt, es nicht zu ändern, obwohl das technisch ging.

Die Administratoren des Landratsamts änderten es trotzdem, um unbefugten Zugriff zu verhindern. Dass sich Passwort, Nutzer und Rechte einstellen lassen, hatte der Hersteller ihnen nicht mitgeteilt, die Möglichkeiten fanden sie selbst heraus. Was bei Geräten mit Werkspasswort zu tun ist, steht unter Standardpasswörter von Geräten.

Polizei: die ZAC beim Thüringer Landeskriminalamt

Die Zentrale Ansprechstelle Cybercrime des Landeskriminalamts nimmt IT-Sicherheitsvorfälle von Unternehmen und Behörden an, veranlasst erste Maßnahmen und gibt den Fall an die zuständigen Ermittler weiter. Über ihre Hotline ist sie laut eigener Seite rund um die Uhr erreichbar. Ansprechpartner der Polizei im Betrieb ist in der Regel die Geschäftsleitung, Pressearbeit macht die ZAC nach eigener Aussage nicht.

Für die Zeit vor einem Angriff nennt sie sechs Punkte: Mitarbeiter sensibilisieren, eine IT-Laufkarte pflegen, Zuständigkeiten klären, Zugangskennungen hinterlegen, die Informationssicherheit erhöhen und eine Strategie für Sicherungen haben. Nach einem Angriff folgen Schadensbegrenzung, das Sammeln von Informationen, die Information der Betroffenen, die Meldung an die Aufsichtsbehörde, die Anzeige und, wo nötig, die Nachricht an weitere Geschädigte.

Angebote im Land: Datenbank der IHK Erfurt und InnoInvest

Seit Juni 2024 betreibt die IHK Erfurt gemeinsam mit dem Landeskriminalamt und dem Verein ITnet Thüringen eine Datenbank Thüringer IT-Sicherheitsdienstleister. Anbieter kommen nach einer Bewerbung mit Kriterienkatalog hinein, ein Filter „Akuter Sicherheitsvorfall“ zeigt, wer bei einem Angriff hilft.

Für Digitalisierung verweist die Thüringer Aufbaubank auf ihr Programm InnoInvest. Es fördert innovative Investitionen kleiner und mittlerer Unternehmen ab einer Investitionssumme von 5.000 €, und zwar Anschaffungen aktivierter Wirtschaftsgüter. Eine monatlich bezahlte Wartung wie Passwortheld ist keine solche Anschaffung.

Beispiel: ein Sanitätshaus mit Fernwartung durch den Hersteller

Ein erfundener Fall nach den Hinweisen von TLfDI und ZAC: Ein Sanitätshaus hat zwölf Beschäftigte in zwei Filialen. Aufträge und Abrechnung laufen über eine Branchensoftware, die der Hersteller per Fernzugang wartet. Das Admin-Konto hat noch das Passwort aus der Installation, und das kennen beide Filialleitungen, der Hersteller und ein früherer Azubi. Die übrigen Zugänge stehen in einer Tabelle auf dem Rechner der Inhaberin. Würde sie die ZAC anrufen, müsste sie erst suchen, wer welche Kennung hat.

Weitere Zugänge, die in einem Sanitätshaus anfallen, zeigt die Seite Passwort-Manager für Sanitätshäuser. Warum die Tabelle auf dem Rechner der Inhaberin im Ernstfall nicht hilft, erklärt der Ratgeber Passwörter in Excel.

So ordnet der Tresor die Zugänge

Nach Absprache mit dem Hersteller ersetzt die Inhaberin das Installationspasswort durch ein langes, das der Passwortgenerator erzeugt. Es liegt in der Sammlung „Fernwartung“. Der Techniker des Herstellers bekommt ein eigenes Konto, das nur diese Sammlung sieht, ohne Aufpreis. Jede Filiale arbeitet mit ihrer eigenen Sammlung, und die Passwort-Berichte zeigen der Inhaberin, welche Kennwörter in beiden Filialen gleich sind.

Am Tresor muss jeder Mitarbeiter einen zweiten Faktor einrichten, die Inhaberin richtet ihren als Eigentümerin selbst ein. Geht künftig jemand, sperrt die Inhaberin dessen Konto selbst und ändert die Kennwörter, die er kannte, wie in der Checkliste Mitarbeiter verlässt die Firma beschrieben. Weil sie Eigentümerin der Organisation ist, kann sie den Notfallzugang der Leiterin der zweiten Filiale einräumen. Nach der Übernahme ihres Kontos sieht diese auch die Sammlungen, die nur der Inhaberin zugewiesen sind. Wie das abläuft, legen wir bei der Einrichtung fest, Hintergründe stehen im Ratgeber Notfallzugriff auf Firmenpasswörter.

Der Tresor läuft auf einem eigenen Server des Sanitätshauses bei netcup. Die Inhalte sind Ende-zu-Ende-verschlüsselt, Ihre Passwörter können wir nicht lesen. Das Backup-Paket für 7,99 € im Monat inkl. MwSt. sichert den Tresor täglich verschlüsselt an einem zweiten Ort, ohne dieses Paket sichern wir ihn nicht. Dann exportiert die Inhaberin ihn selbst verschlüsselt.

Wie die Sammlungen in Ihrem Betrieb aufgeteilt werden können, besprechen wir im kostenlosen Erstgespräch (15 Minuten), am Telefon oder per Video.

Anlaufstellen für Firmen in Thüringen