Die Vertretung bekommt eigene Rechte, kein fremdes Passwort
Die Vertretung bekommt für die Zeit der Abwesenheit eigene Rechte, nicht das Passwort der Kollegin. Für das Postfach heißt das: Abwesenheitsnotiz und Zugriff über eine Berechtigung oder Weiterleitung. Für Portale und andere gemeinsame Zugänge gibt die zuständige Person die passende Sammlung im Passwort-Tresor frei. Nach der Rückkehr nimmt sie diese Rechte wieder weg. Das persönliche Passwort der abwesenden Person kennt in dieser Zeit niemand außer ihr selbst.
In die schriftliche Urlaubsübergabe gehören deshalb keine Zugangsdaten. Dort steht stattdessen, welcher Eintrag in welcher Sammlung liegt, etwa „Vergabeplattform, Sammlung Projekte“. Wurde ein persönliches Passwort trotzdem weitergegeben, ändert die Person es am ersten Tag nach ihrer Rückkehr.
Die Regeln des BSI zur Vertretung
Im IT-Grundschutz steht die Vertretung im Baustein ORP.2 „Personal“. Nach der Anforderung ORP.2.A3 müssen Vorgesetzte für alle wesentlichen Aufgaben praktikable Vertretungsregeln umsetzen, den Umfang der Vertretung vorher festlegen und dafür sorgen, dass die Vertretung das nötige Wissen hat. Nachzulesen im Baustein ORP.2 (PDF, Edition 2023).
Für die Zugänge selbst gilt der Baustein ORP.4. Passwörter dürfen danach nur den Benutzern persönlich bekannt sein, und jede Kennung muss eindeutig einer Person zugeordnet werden können. Bei längeren Abwesenheiten sollen berechtigte Personen laut ORP.4 vorübergehend gesperrt werden. Im Tresor entziehen Sie dafür bei Elternzeit oder einer Krankheit über Monate den Zugriff der abwesenden Person und stellen ihn bei der Rückkehr wieder her.
Das Postfach während der Abwesenheit
Wie die Vertretung an die Mails kommt, hängt davon ab, wo das Postfach liegt. Die Angaben zu Microsoft stammen aus dessen Hilfeseiten, abgerufen am 14.10.2026.
| Aufgabe | Microsoft 365 mit Exchange | Postfach beim Webhoster (IMAP) |
|---|---|---|
| Abwesenheitsnotiz | In Outlook unter „Automatische Antworten“, mit Zeitraum und getrennten Texten für Kollegen und Externe | Outlook unterstützt automatische Antworten für IMAP- und POP-Konten laut Microsoft nicht. Die Notiz richten Sie dann im Webmail des Anbieters ein |
| Vertretung liest mit | Stellvertretung in Outlook, eingerichtet von der Person selbst, mit den Stufen Prüfer, Autor oder Editor | Weiterleitung an die Vertretung für die Dauer der Abwesenheit |
| Person ist plötzlich weg | Ein Administrator vergibt im Microsoft 365 Admin Center „Lesen und verwalten“. Laut Microsoft kann es bis zu 60 Minuten dauern, bis das wirkt | Je nach Anbieter lässt sich eine Weiterleitung in dessen Kundenverwaltung einrichten, ohne das Kennwort der Person. Fragen Sie das vorher beim Anbieter nach |
Bei der Notiz für Externe weist Microsoft darauf hin, dass sie auch Newsletter und Werbung beantwortet, und empfiehlt, nur an Kontakte zu antworten. Legen Sie in Outlook das Ende gleich mit fest, dann schaltet sich die Notiz zum eingestellten Zeitpunkt selbst ab. Ein Sammelpostfach wie info@ ist ein eigenes Thema, dazu mehr unter Gemeinsames Postfach ohne geteiltes Passwort.
Portale und gemeinsame Zugänge: Sammlung für die Zeit der Abwesenheit freigeben
Die Zugänge, die die abwesende Person für die Firma nutzt, liegen im besten Fall schon in einer Sammlung ihrer Abteilung. Dann dauert die Freigabe nur wenige Minuten: Der Verantwortliche im Tresor nimmt die Vertretung für die Zeit der Abwesenheit in diese Sammlung auf.
- Die Sammlung freigeben, nicht einzelne Passwörter kopieren. Eine Kopie im persönlichen Bereich der Vertretung bleibt dort liegen, wenn niemand mehr daran denkt.
- Lesen genügt für Bestellen und Nachsehen. Wer nur bestellen oder nachsehen soll, muss Einträge nicht ändern. Bei Passwortheld können Sie die Sammlung außerdem so freigeben, dass die Vertretung Passwörter nur ausfüllt, aber nicht angezeigt bekommt. Das verhindert den Zugriff nicht technisch: Wer ausfüllen kann, kann das Passwort mit etwas Aufwand herausfinden.
- Das Ende in den Kalender schreiben. Der Verantwortliche nimmt die Freigabe am Tag der Rückkehr zurück. Tragen Sie ihm diesen Termin gleich bei der Freigabe in den Kalender ein.
- Eigene Benutzer, wo es sie gibt. Hat eine Software eine eigene Benutzerverwaltung, bekommt die Vertretung dort für drei Wochen zusätzliche Rechte unter ihrem eigenen Namen.
- Externe Vertretung über einen sicheren Link. Springt ein freier Mitarbeiter ein, der nur einen einzigen Zugang braucht, geht dieser als befristeter, verschlüsselter Link an ihn. Braucht er mehrere, kann er ein eigenes Konto im Tresor bekommen, das nur diese eine Sammlung sieht.
Liegen die Zugänge bisher in einer Liste oder im Browser der Kollegin, ist der Urlaub ein guter Anlass, sie umzuziehen. Wie Sammlungen und Rechte aufgebaut werden, steht unter Passwörter im Team teilen.
Bestätigungscodes, die am Handy der abwesenden Person hängen
Ist der zweite Faktor nicht geklärt, kommt die Vertretung trotz Passwort nicht weiter. Das Passwort für das Lieferantenportal liegt in der Sammlung, aber der Code kommt per App oder SMS auf das Handy der Kollegin am Strand. Klären Sie das in der Woche vor dem Urlaub, nicht am ersten Urlaubstag per Anruf.
- Codes aus einer Authenticator-App: Den zweiten Faktor im Portal neu einrichten und den geheimen Schlüssel beim Eintrag im Tresor hinterlegen. Dann ruft jede berechtigte Person den Code dort ab. Wie das genau geht, erklärt Bestätigungscodes im Team teilen.
- SMS-Codes: Kein Passwort-Tresor kann sie empfangen, sie bleiben an die Rufnummer gebunden. Ändern Sie die Nummer auf ein Firmenhandy oder hinterlegen Sie eine zweite, wo der Dienst das erlaubt. Das BSI rät, wenn möglich mehrere zweite Faktoren zu hinterlegen, etwa eine weitere Mobilfunknummer.
Liegen Passwort und Code im selben Tresor, hängt der Schutz am Tresor selbst. Deshalb hat jeder Mitarbeiter dort ein eigenes Master-Passwort und einen eigenen zweiten Faktor. Bei Passwortheld ist der zweite Faktor Pflicht, ohne ihn nimmt der Verantwortliche keinen Mitarbeiter in die Organisation auf. Eigentümer und Administratoren richten ihn selbst ein.
Wenn jemand plötzlich krank wird
Bei einer Krankmeldung am Montagmorgen gibt es keine Übergabe. Dann zeigt sich, ob die Firmenzugänge in Sammlungen liegen: Was dort liegt, gibt der Verantwortliche der Vertretung in wenigen Minuten frei. Was nur im Kopf oder im Browser der kranken Person steckt, fehlt.
Den kürzeren Weg sollten Sie nicht gehen: das Passwort der kranken Person zurücksetzen und sich unter ihrem Namen anmelden. Danach ist nicht mehr zu trennen, wer unter dem Konto gearbeitet hat, und im persönlichen Postfach können private Nachrichten liegen. Ob und wie die Firma auf das Postfach einer abwesenden Person zugreifen darf, ist eine Frage des Arbeits- und Datenschutzrechts. Dieser Text ist keine Rechtsberatung. Klären Sie das vorab mit Ihrem Anwalt oder Datenschutzbeauftragten. Was das Arbeitsrecht zur Herausgabe von Passwörtern sagt, behandelt Passwörter am Arbeitsplatz weitergeben.
Fällt nicht eine Mitarbeiterin aus, sondern die Geschäftsführung, braucht es mehr als eine Vertretung, siehe Notfallzugriff auf Firmenpasswörter.
Nach der Rückkehr
- Die Vertretung aus den freigegebenen Sammlungen nehmen und die zusätzlichen Rechte in Programmen mit eigener Benutzerverwaltung zurücksetzen.
- Im Postfach prüfen, ob Weiterleitung und Stellvertretung noch laufen, und beides beenden, wenn es nur für den Urlaub gedacht war.
- Hat die Vertretung in der Zeit neue Konten angelegt, etwa bei einem neuen Lieferanten, kommen diese in die Sammlung der Abteilung und laufen auf eine Firmenadresse.
- Ein persönliches Passwort, das doch jemand erfahren hat, ändert die Person selbst. Der Baustein ORP.4 verlangt, dass Passwörter nur der Person selbst bekannt sind, und einen Wechsel, wenn ein Passwort Unbefugten bekannt geworden ist oder der Verdacht besteht.
- Was gefehlt hat, aufschreiben. Beim nächsten Urlaub ist diese Notiz die Übergabe.
Ein Beispiel aus einem Ingenieurbüro
Ein erfundenes Büro für Tragwerksplanung mit acht Leuten. Die Büroleiterin geht im August drei Wochen weg. Sie ruft Ausschreibungen auf zwei Vergabeplattformen ab, bestellt Plotterpapier und betreut das Postfach buero@ beim Webhoster. Bisher hat sie vor jedem Urlaub einen Zettel mit sechs Kennwörtern für den Kollegen hinterlassen, der danach in seiner Schreibtischschublade lag.
Diesmal stellt sie die Abwesenheitsnotiz für ihr eigenes Postfach im Webmail ein, und der Inhaber nimmt den Kollegen für drei Wochen in die Sammlung „Büro“ auf. Dort liegen die beiden Vergabeplattformen, der Zugang zum Papierhändler und das Kennwort von buero@, denn beim Webhoster des Büros gibt es für dieses gemeinsame Postfach keinen anderen Zugang. Der Code für die eine Vergabeplattform mit Zwei-Faktor liegt seit dem Frühjahr beim Eintrag. Am Montag nach dem Urlaub nimmt der Inhaber die Freigabe zurück, ein Kennwort musste niemand ändern. Welche Zugänge in solchen Büros sonst anfallen, steht auf der Seite für Ingenieurbüros.
Vertretungen mit Passwortheld
Wir richten den Tresor mit Sammlungen pro Abteilung ein. Freigaben für eine Vertretung erteilt und entzieht der Verantwortliche in Ihrer Firma selbst, auch mit verborgenen Passwörtern, dafür braucht er uns nicht. Die Inhalte sind Ende-zu-Ende-verschlüsselt, wir können die Passwörter nicht lesen. Die Wartung kostet 16,99 € im Monat inkl. MwSt. bei 12 Monaten Mindestlaufzeit, ohne Kosten pro Nutzer, dazu die Servermiete bei netcup ab 3,69 € im Monat inkl. MwSt. Das Angebot gilt nur für Unternehmer. Hilfe im Alltag rechnen wir nach Aufwand ab, 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde. Mehr im kostenlosen Erstgespräch (15 Minuten).
Quellen: BSI: IT-Grundschutz-Kompendium, Baustein ORP.2 Personal (PDF, Edition 2023); Microsoft: Automatische Antworten bei Abwesenheit aus Outlook senden; Microsoft: Zulassen, dass eine andere Person Ihre E-Mails und Ihren Kalender verwaltet; Microsoft Learn: Postfachberechtigungen für einen anderen Benutzer erteilen. Stand: 14.10.2026.