In fast jedem Unternehmen mit 10–50 Mitarbeitenden, zu dem wir kommen, steht in irgendeiner Ecke ein Rechner, an dem sich „jemand vom Empfang", „jemand vom Lager" oder „jemand aus der Werkstatt" anmeldet. Ein Konto. Passwort auf einem Zettel. Wird alle drei Jahre gewechselt, weil „Frau Krysia sich kein neues merken wird". Das funktioniert — bis zum ersten Vorfall.
Der erste Vorfall kommt an dem Tag, an dem etwas fehlt oder etwas falsch ins System eingegeben wurde, und jemand herausfinden muss, wer es war. Die Logs sagen werkstatt. Super hilfreich. Dann ruft der Chef eine Besprechung ein, fragt reihum, niemand weiß etwas, man einigt sich darauf, „die Kamera anzuschauen", und die Kamera an dieser Stelle ist seit einem halben Jahr aus. Diese Szene kennen wir.
Das Problem mit gemeinsamen Konten ist nicht, dass es sie gibt — in bestimmten Situationen sind sie wirklich die praktischste Lösung. Das Problem ist, dass die meisten Unternehmen drei Schichten nicht trennen, die wie eine klingen, aber in Wahrheit drei völlig unterschiedliche Entscheidungen sind.
Drei Schichten, die man trennen sollte
Wenn du „das Konto am Empfang" sagst, meinst du gleichzeitig drei Dinge, und jedes hat andere Sicherheitsanforderungen.
Schicht 1 — das Gerät. Der physische Rechner am Arbeitsplatz. Sein Windows-Konto muss nicht für jeden Mitarbeitenden einzeln sein. Oft sollte es sogar nicht sein, denn Frau Krysia 90 Sekunden auf ihren ersten Login warten zu lassen, während ein Kunde in der Tür steht, ist eine schlechte Empfehlung. Ein lokales Konto, Auto-Login, Sitzung sperren — das sind legitime Muster für Schichtarbeitsplätze.
Schicht 2 — das Betriebssystem und seine Dienste. Was in der Windows-Sitzung passiert, abseits der konkreten Anwendung: Zugriff auf Netzlaufwerke, Browser, E-Mail, USB. Hier wird es langsam ernst. Ein gemeinsames Windows-Konto mit vollen Büro-Rechten ist der eigentliche Ärger.
Schicht 3 — die Geschäftsanwendungen. ERP (Comarch Optima, enova365, Subiekt), WMS, Kassensystem, CRM. Hier braucht man eine Spur pro Person, selbst wenn Windows nur eine Spur pro Arbeitsplatz liefert. Jede ordentliche Geschäftsanwendung kann separate Benutzer mit eigenem Login — die Frage ist nur, ob das jemand aktiviert hat.
Die ganze Lösung läuft darauf hinaus, bewusst zu entscheiden, was man teilt (Schicht 1), was man beschränkt (Schicht 2) und was man zwingend trennt (Schicht 3). Die meisten Unternehmen werfen diese drei Schichten in einen Topf — „das war schon immer so eingerichtet" — und daher kommt der Schmerz.
Wie das in der Praxis aussieht
Bei einem unserer Kunden — einem 40-köpfigen Lebensmittelgroßhandel — gab es im Lager zwei Schichtarbeitsplätze, an denen tagsüber 6–8 Lagerkräfte rotierend arbeiteten. Alle meldeten sich in Windows als magazyn01 oder magazyn02 an, und im WMS als… ebenfalls magazyn. Einmal im Monat, wenn Inventurdifferenzen auftauchten, dauerte das Rekonstruieren, wer welche Palette bewegt hat, eine Person rund 4 Stunden — Anrufe, Rückfragen, Raten. Der Lagerleiter nannte es die „Detektivsteuer".
Der Umbau dauerte zwei Arbeitstage und kostete keinen Cent an Lizenzen. Die zwei Windows-Konten blieben — im Kiosk-Modus, Auto-Login ins WMS, Sperre bei Inaktivität. Im WMS selbst bekam jede Lagerkraft eine kurze persönliche PIN. Die PIN wird einmal beim Schichtstart eingegeben; ab da weiß die Anwendung, wer „Zugang" oder „Umbuchung" geklickt hat. Nach zwei Monaten sank die „Detektivsteuer" von 4 Stunden auf etwa 20 Minuten pro Monat. Nebenbei stellte sich heraus, dass zwei von drei „Lagerverlusten" Lagerplatz-Fehleingaben einer bestimmten Lagerkraft waren und nicht, wie alle still angenommen hatten, kleine Diebstähle.
Zweite Geschichte, zum Kontrast. Eine 25-köpfige Autowerkstatt mit drei Werkstattarbeitsplätzen, Mechaniker springen über den Tag zwischen ihnen hin und her. Hier ließ sich ein Windows-Login pro Person nicht erzwingen — ein Mechaniker halb unter der Motorhaube wird kein zehnstelliges Passwort tippen. Aber ein Login pro Person in das Auftragsmodul des ERP? Das ging. Jeder Mechaniker bekam eine vierstellige PIN und eine Regel: Bevor du etwas an einem Auftrag ergänzt, klickst du „ich". Audits mit der Frage „wer hat hier die Arbeitszeit geschätzt?" endeten nicht mehr mit „jemand aus der Werkstatt".
Was man vermeiden sollte
Drei Muster, die wir regelmäßig sehen und die sich früher oder später immer rächen.
- Ein gemeinsames Windows-Konto mit Domänenzugriff. Wenn dasselbe Konto, in das sich jeder einloggt, Laufwerk Z auf den Finanz-Ordner gemappt hat, wird da etwas abfließen — es ist eine Frage von Monaten, nicht von Jahren. Ein Schichtarbeitsplatz-Konto bekommt Zugriff auf seine Anwendung und auf nichts anderes.
- Das gemeinsame Passwort als „Firmengeheimnis" behandeln. Wenn 15 Leute das Passwort kennen, ist das kein Passwort — das ist eine öffentliche Information. Akzeptier das und richte die Umgebung so ein, dass die Kenntnis des Passworts nichts bringt (kein Fernzugang, kein VPN, keine E-Mail).
- Auto-Login auf ein Admin-Konto. Wir sehen das öfter, als uns lieb ist. Ein Konto an einem Schichtarbeitsplatz ist KEIN Administrator. Nie. Wenn eine Anwendung Admin-Rechte verlangt, ist das das Problem der Anwendung, kein Grund, die Rechte hochzuziehen.
Was diese Woche zu tun ist
Wenn dir beim Lesen auffällt, dass bei dir im Betrieb einige dieser Dinge verdächtig vertraut aussehen, braucht es kein großes Projekt. Fang mit drei Schritten an, die in einer Woche machbar sind.
- Erstelle eine Liste aller Arbeitsplätze, an denen sich mehr als eine Person anmeldet. Schreib dazu, was dort gemacht wird und worauf das Konto Zugriff hat.
- Für jeden Arbeitsplatz beantworte eine einzige Frage: „Wenn heute etwas schiefgeht, kann ich sagen, wer es getan hat?". Wenn nein — das ist dein echtes Sicherheitsdefizit, auch wenn noch nichts gestohlen wurde.
- Aktiviere die personenbezogene Anmeldung in der Geschäftsanwendung, in der die wichtigsten Daten liegen (ERP, WMS, Kasse). Eine PIN reicht — nicht jede Bedienerin braucht dieselbe Passwortrichtlinie wie die Buchhaltung.
Das ist kein Sprint zu einer vollständigen Identitäts-Segmentierung. Es ist eine Entscheidung: was wir bewusst teilen und was wir trennen, weil wir eine Spur brauchen. Der größte Teil des Risikos verschwindet schon nach diesem Schritt.
Wie es weitergeht
Gemeinsame Konten sind an sich nicht schlecht. Schlecht ist, wenn sie so tun, als wären sie persönliche Konten, und man dabei sowohl die Bequemlichkeit des Schichtwechsels als auch die Nachverfolgbarkeit der Arbeit verliert. Sobald man die Schichten trennt — Gerät, System, Anwendung — stellt sich heraus, dass man das eine ohne das andere haben kann, und dass es weder den Bedienern noch der Schichtleitung wehtut.
Wenn du nicht weißt, mit welchem Arbeitsplatz du bei dir anfangen sollst, setzen wir uns gerne eine halbe Stunde mit deiner Liste zusammen und sagen dir, welcher davon eine künftige „Detektivsteuer" ist und welcher einfach ein sinnvolles Schichtmuster.
Wenn 15 Leute das Passwort zu einem Arbeitsplatz kennen, ist das kein Passwort. Es ist eine öffentliche Information — und die Umgebung muss so gebaut sein, als wüsste es ohnehin schon jeder.