Passwortrichtlinie für kleine Firmen: was hineingehört, mit Mustertext

Die Passwortrichtlinie in fünf Sätzen

Eine Passwortrichtlinie für einen kleinen Betrieb passt auf eine Seite. Sie legt fest, dass jeder Zugang ein eigenes, langes Passwort bekommt, dass Firmenpasswörter in einem gemeinsamen Passwort-Manager liegen und nicht auf Zetteln oder in Listen, dass wichtige Konten zusätzlich einen zweiten Faktor haben, dass ein Passwort bei Verdacht sofort geändert wird und nicht nach Kalender, und wer im Betrieb dafür zuständig ist. Dazu kommen zwei Ausnahmen, die geregelt sein müssen: gemeinsame Zugänge, die sich nicht vermeiden lassen, und die Hinterlegung für den Notfall.

Grundlage ist der Baustein ORP.4 „Identitäts- und Berechtigungsmanagement“ im IT-Grundschutz-Kompendium des BSI. Laut BSI ist die Edition 2023 die aktuelle Fassung des Kompendiums (geprüft am 14.10.2026). Die Anforderung ORP.4.A8 sagt wörtlich, dass eine Institution den Passwortgebrauch verbindlich regeln muss. Der Mustertext weiter unten nimmt die Passwort-Anforderungen aus A8, A9, A22 und A23 auf und lässt sich an den eigenen Betrieb anpassen.

Was der BSI-Baustein ORP.4 verlangt

Das BSI unterscheidet zwischen MUSS und SOLLTE. Die folgenden Punkte stammen aus den Basis-Anforderungen ORP.4.A8, A9, A22 und A23 sowie aus der Standard-Anforderung A10 im Baustein ORP.4 (PDF, Edition 2023).

Eine feste Mindestlänge nennt der Baustein nicht. A22 verlangt nur, dass ein Passwort nicht leicht zu erraten und trotzdem mit vertretbarem Aufwand nutzbar ist. Konkrete Werte stehen in den Empfehlungen des BSI zum Erstellen sicherer Passwörter: zum Beispiel 8 bis 12 Zeichen aus vier Zeichenarten, 20 bis 25 Zeichen aus zwei Zeichenarten oder eine Folge aus fünf bis sechs zufälligen Wörtern. Für WLAN-Schlüssel nennt das BSI mindestens 20 Zeichen.

Der Verzicht auf feste Wechselfristen hat in A23 eine Bedingung: Die Firma MUSS Maßnahmen ergreifen, um kompromittierte Passwörter zu erkennen. Geht das nicht, SOLLTE sie prüfen, ob sie doch in gewissen Abständen wechseln lässt. Nach A19 SOLLTEN alle Mitarbeitenden eingewiesen werden und verständliche Richtlinien bekommen.

Mustertext: Passwortrichtlinie zum Übernehmen

Ersetzen Sie die Angaben in eckigen Klammern. Die Werte für Länge und Wechsel liegen innerhalb der BSI-Empfehlungen, Sie dürfen strenger sein. Löschen Sie Abschnitte nicht, die gerade nicht passen, sondern schreiben Sie „entfällt“ dazu. Dann sieht jeder, dass die Frage bedacht wurde.

1. Geltung und Zuständigkeit

• Diese Richtlinie gilt für alle Beschäftigten, Auszubildenden, Aushilfen und für externe Personen mit Zugang zu Systemen von [Firma].
• Zuständig ist [Name, Funktion]. Vertretung: [Name]. Beide pflegen den Passwort-Manager der Firma und beantworten Fragen zu dieser Richtlinie.
• Die Richtlinie wird einmal im Jahr im [Monat] und nach jedem Sicherheitsvorfall geprüft.

2. Passwörter wählen

• Jeder Zugang bekommt ein eigenes Passwort. Ein Firmenpasswort wird nie für private Konten verwendet und umgekehrt.
• Passwörter, die nicht im Kopf bleiben müssen, erzeugt der Passwortgenerator: mindestens [16] Zeichen.
• Passwörter, die man eintippt (Anmeldung am PC, Master-Passwort des Passwort-Managers), bestehen aus mindestens [fünf] zufälligen Wörtern oder aus mindestens [12] Zeichen mit Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen.
• Nicht erlaubt sind Namen, Geburtsdaten, der Firmenname, Tastaturmuster und ein altes Passwort mit neuer Zahl am Ende.

3. Aufbewahren

• Firmenpasswörter liegen ausschließlich im Passwort-Manager der Firma unter [Adresse].
• Nicht erlaubt: Zettel, Notizbuch, unverschlüsselte Dateien, Tabellen, gespeicherte Passwörter im Browser, Notizen im Handy.
• Passwörter werden unbeobachtet eingegeben und nicht auf Funktionstasten von Tastatur oder Maus gespeichert.
• Persönliche Zugangsmittel, die nach den Regeln der Bank, der Kammer oder des Kartenausgebers nur einer Person gehören (zum Beispiel die PIN einer auf eine Person ausgestellten Bankkarte oder Signaturkarte), liegen nicht im Passwort-Manager der Firma, auch nicht im persönlichen Bereich.
• Das Master-Passwort kennt nur die Person, der das Konto gehört. Es wird nirgends notiert, außer in der Notfallhinterlegung nach Abschnitt 8.

4. Gemeinsame Zugänge

• Wo ein Dienst persönliche Konten anbietet, bekommt jede Person ein eigenes Konto.
• Wo das nicht geht, liegt der Zugang in der passenden Sammlung des Passwort-Managers. Zugriff erhält nur, wer ihn für seine Aufgabe braucht.
• Passwörter werden nicht per E-Mail, Messenger, SMS oder am Telefon weitergegeben. An Externe gehen sie nur über einen befristeten, verschlüsselten Link.

5. Zweiter Faktor

• Pflicht für: Passwort-Manager, E-Mail, Online-Banking, Domain und Website, Administratorkonten und [weitere].
• Codes für gemeinsame Zugänge liegen beim Eintrag im Passwort-Manager, nicht auf einem privaten Handy.

6. Wechsel

• Passwörter werden nicht nach festen Fristen gewechselt. Dafür prüft [Name] [monatlich] die Meldungen zu Datenlecks und die Passwort-Berichte des Passwort-Managers.
• Sofort gewechselt wird, wenn ein Passwort Unbefugten bekannt geworden sein könnte: nach einer Phishing-Mail, bei Schadsoftware auf einem Gerät, nach einer Meldung über ein Datenleck, nach dem Weggang einer Person, die das Passwort kannte.
• Voreingestellte Passwörter neuer Geräte und Programme werden vor dem ersten Einsatz geändert.

7. Verdacht melden

• Wer ein Passwort auf einer verdächtigen Seite eingegeben hat oder eine unerwartete Anmeldung bemerkt, meldet das sofort an [Name, Telefon]. Niemand wird dafür gerügt.

8. Eintritt, Austritt und Notfall

• Neue Beschäftigte bekommen am ersten Tag ein eigenes Konto im Passwort-Manager und nur die Sammlungen, die sie brauchen.
• Beim Austritt sperrt [Name] das Konto am letzten Arbeitstag. Passwörter, die die Person kannte, werden geändert.
• Für den Ausfall der Geschäftsführung ist ein Notfallzugang eingerichtet. Die Hinterlegung liegt [Ort], Zugriff haben [Namen].

9. Inkrafttreten

• Gültig ab [Datum]. Zur Kenntnis genommen: [Name, Datum, Unterschrift].

Einführen in drei Schritten

1. Erst das Werkzeug, dann das Papier. Eine Regel „keine Zettel“ ohne Passwort-Manager wird nicht eingehalten. Richten Sie zuerst den gemeinsamen Tresor ein und ziehen Sie die Zugänge um. Was dabei mit einer vorhandenen Excel-Liste passiert, beschreibt der Ratgeber Passwörter in Excel.
2. In der Teambesprechung durchgehen. Zehn Minuten reichen. Erklären Sie die Abschnitte 4 und 7 ausführlich, denn dort entstehen im Alltag die Fragen. Wie Mitarbeiter sich an einen Passwort-Manager gewöhnen, steht unter Passwort-Manager im Betrieb einführen.
3. Kenntnisnahme ablegen. Jede Person bestätigt mit Datum, dass sie die Richtlinie gelesen hat.

Fehler, die in Richtlinien kleiner Firmen immer wieder stehen

• Eine Konzernvorlage aus dem Internet. Verlangt sie acht Zeichen mit Sonderzeichen und einen Wechsel alle 90 Tage, entstehen leicht Passwörter wie „Sommer2026!“, die im Herbst „Herbst2026!“ heißen. Genau solche Muster und angehängte Ziffern hält das BSI für ungeeignet. Was das BSI heute zu festen Fristen sagt und wann ein Wechsel trotzdem nötig ist, steht unter Passwörter regelmäßig ändern.
• Gemeinsame Zugänge kommen nicht vor. Die Richtlinie sagt „Passwörter sind persönlich“, und trotzdem kennen fünf Leute das Kennwort vom Lieferantenportal. Abschnitt 4 des Musters regelt genau diesen Fall. Wie das Teilen praktisch läuft, erklärt Passwörter im Team teilen.
• Die Geräte fehlen. Das Administratorkennwort der Firmen-PCs ist auf allen Rechnern gleich und seit der Einrichtung unverändert. Das gehört in die Richtlinie und hat eine eigene Lösung, siehe Lokales Administratorkennwort auf Firmen-PCs.
• Der Notfall fehlt. Das BSI erlaubt die schriftliche Hinterlegung ausdrücklich für den Notfall. Wie das konkret aussieht, beschreibt Notfallzugriff auf Firmenpasswörter.

Ein erfundenes Beispiel: Ein Malerbetrieb mit vierzehn Leuten, davon elf auf Baustellen, hat eine Richtlinie von 2017 im Ordner. Sie verlangt einen Wechsel alle 60 Tage am Büro-PC. Die Tablets der Vorarbeiter, das Konto beim Farbengroßhandel und das Portal der Berufsgenossenschaft kommen nicht vor. Die Büroleiterin schreibt die Richtlinie nach dem Muster neu, streicht die 60 Tage, trägt sich selbst für die monatliche Prüfung der Datenleck-Meldungen ein und legt eine Sammlung „Baustelle“ für die Vorarbeiter an. Welche Zugänge in Handwerksbetrieben sonst noch anfallen, zeigt die Seite für Handwerksbetriebe.

Der Tresor als Werkzeug für die Richtlinie

Mehrere Abschnitte des Musters setzen einen gemeinsamen Passwort-Manager voraus. Mit Passwortheld richten wir ihn auf einem Server ein, den Ihre Firma selbst bei netcup mietet. Die Inhalte sind Ende-zu-Ende-verschlüsselt, wir können die Passwörter nicht lesen. Abschnitt 4 setzen Sie mit Sammlungen pro Abteilung um. Die Zwei-Faktor-Pflicht am Tresor schalten wir bei der Einrichtung für alle Mitarbeiter ein, Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Beim Austritt sperrt der Verantwortliche in Ihrer Firma das Konto selbst. In den Passwort-Berichten sieht die zuständige Person für alle gemeinsamen Sammlungen schwache, mehrfach verwendete und in Datenlecks aufgetauchte Passwörter, also das, was Abschnitt 2 und 6 verlangen.

Bei der Einrichtung schalten wir außerdem ein, dass ein Verantwortlicher in Ihrer Firma das Master-Passwort eines Mitarbeiters zurücksetzen kann, wenn es vergessen wurde. Wer das darf, kommt damit auch an den persönlichen Bereich dieses Mitarbeiters. Deshalb steht in Abschnitt 3 des Musters, dass Bank- und Karten-PINs, die nur einer Person gehören dürfen, nicht in den Passwort-Manager der Firma gehören.

Die Richtlinie schreiben und erklären müssen Sie selbst, eine Schulung des Teams gehört nicht zum Grundpreis. Was der Tresor im Monat kostet, rechnet der Ratgeber Was ein Passwort-Manager kostet vor.