In jedem kleinen Unternehmen, das wir zum ersten Mal betreten, finden wir dieselben drei Dinge. Klebezettel mit Passwörtern unter der Tastatur der Buchhalterin. Eine Datei passwoerter.xlsx auf einem gemeinsamen Laufwerk, auf das „fast jeder" zugreifen kann. Und einen Messenger-Chat, in den jemand vor drei Jahren das Passwort zum Hosting-Panel geklebt hat. Ein Passwortmanager löst dieses Problem für einen Pappenstiel, aber kaum jemand führt ihn ein, weil „es bisher irgendwie funktioniert hat".
Es funktioniert, bis es gegen dich arbeitet. Das ist keine Paranoia. Passwörter, die „irgendwo" liegen, sind eine der drei Sachen, durch die KMU Zugänge, Geld oder Kunden verlieren — neben Phishing und fehlendem Backup. Ein Passwortmanager ist das günstigste Werkzeug, das die meisten typischen Verlustszenarien einfach abschaltet.
Warum das keine „IT-Paranoia" ist
Drei reale Szenarien aus polnischen KMU, in die wir kürzlich gegangen sind:
- Ein ehemaliger Mitarbeiter mit noch aktivem Passwort. Ein Vertriebler ist vor einem Jahr gegangen. Das Passwort zum Panel des Onlineshops, das in einem Google-Sheet stand, hat niemand geändert. Zwei Monate nach seinem Weggang fingen Preisänderungen an Produkten an, die gar nicht im Katalog waren. Niemand wusste, dass er es war, bis wir die Logs geprüft haben.
- Ein LinkedIn-Passwort in der Firmen-Mail. Eine Büroleiterin hat dasselbe Passwort bei LinkedIn (2024 geleakt) und bei Microsoft 365 verwendet. Sechs Monate nach dem Leak hat sich jemand mit ihrem Konto eingeloggt und eine Regel gesetzt, die Rechnungen in eine fremde Mailbox umgeleitet hat. Wir haben es erst entdeckt, als ein Kunde fragte, warum auf der Rechnung eine andere Bankverbindung steht.
passwoerter.xlsxversehentlich an ein Angebot angehängt. Ein Mitarbeiter hat einem Kunden einen Produktkatalog geschickt und aus Versehen eine Tabelle mit Admin-Passwörtern beigelegt. Der Kunde war ehrlich und hat angerufen. Der nächste vielleicht nicht.
Alle drei Fälle haben dieselbe Ursache: Passwörter liegen dort, wo niemand kontrolliert, wer sie sehen darf.
Was ein Passwortmanager wirklich tut
Ein Passwortmanager ist ein verschlüsselter Tresor für Zugangsdaten. Jeder im Unternehmen hat seinen eigenen Tresor, den er mit einem Hauptpasswort öffnet (das einzige, das er sich merken muss). Der Rest — hunderte Logins zu verschiedensten Diensten — liegt drinnen, verschlüsselt. Der Manager fügt sie für dich in die Login-Felder ein, generiert neue (lang, zufällig, für jeden Dienst anders) und synchronisiert sie zwischen Laptop und Telefon.
Der zweite Grund: sicheres Teilen von Passwörtern. Statt das Passwort zum Hosting-Panel in den Team-Chat zu kleben, legst du es in einen geteilten Ordner im Manager. Die fünf Personen, die es sehen sollen, sehen es in ihrem Tresor. Die anderen nicht. Wenn jemand geht, entziehst du ihm den Zugriff per Klick, und der Manager zeigt dir sofort, welche Passwörter geändert werden müssen.
Der dritte Grund: Sichtbarkeit. Der Manager zeigt dir, wie viele schwache Passwörter du hast, wie viele wiederverwendet werden, welche in bekannten Datenlecks aufgetaucht sind. Du rätst nicht — du siehst.
Cloud, self-hosted oder kostenlos
Für 90% der KMU ist die vernünftige Standardwahl Bitwarden oder 1Password in der Business-Variante — Cloud, bewährt, integrieren sich in Microsoft 365 und Google Workspace, haben geprüfte Compliance. Typischer Preis: 15–25 PLN pro Nutzer und Monat. Für eine 20-Personen-Firma macht das rund 400 PLN monatlich — weniger als eine einzige Buchhaltungsrechnung.
Bitwarden hat auch eine self-hosted Variante (Vaultwarden), die du auf einem eigenen Server betreibst. Sinnvoll für Firmen, die ohnehin schon einen Admin haben, der Server pflegt — sonst sparst du 400 PLN um den Preis von acht Stunden Wartung pro Monat. Lohnt sich nicht.
Wovon man die Finger lassen sollte: KeePass als alleiniges Firmenwerkzeug. Für eine einzelne technische Person großartig, aber es verlangt manuelles Datei-Sync zwischen Leuten — in einem 15-Personen-Betrieb pflegt das niemand. Nach drei Monaten kommen die Klebezettel zurück.
Ein Beispiel aus der Praxis
Bei einem unserer Kunden — einem 24-Personen-Großhandel für Autoteile — standen das Admin-Passwort für Comarch Optima und die Bank-Logins in einem Google-Sheet, auf das 9 Personen Zugriff hatten, darunter zwei ehemalige Mitarbeiterinnen. Das Optima-Passwort war seit vier Jahren nicht geändert worden. Niemand konnte beantworten, wer es heute eigentlich kennen sollte.
Die Einführung von Bitwarden hat uns drei Wochen gekostet:
- Woche 1 — Inventur: wir haben alle Passwörter aus dem Sheet, von den Zetteln und aus den Köpfen gesammelt. Ergebnis: 187 eindeutige Zugänge. 62 davon nutzte niemand mehr.
- Woche 2 — Schulung und Migration: eine Abendschulung für das ganze Team (90 Minuten) plus vier 30-minütige Einzelsessions für Leute, die „mit Computern nicht so gut können".
- Woche 3 — Reset und Aufräumen: alle Passwörter zu den kritischen Systemen (Optima, Bank, Mail, Shop) wurden geändert, die ehemaligen Mitarbeiterinnen abgeschnitten, das Google-Sheet gelöscht.
Konkrete Effekte nach drei Monaten: das Onboarding eines neuen Vertrieblers ist von 90 Minuten „Login-Versand" auf 15 Minuten Zugriffsvergabe in einem Werkzeug gesunken. Anrufe im Büro mit der Frage „wie war noch mal das Passwort für…" sind von etwa sechs pro Woche auf null gefallen. Kosten: 480 PLN pro Monat für Lizenzen plus einmalig 12 Stunden unserer Arbeit für den Rollout.
Wie du das Team nicht gegen dich aufbringst
Ein Passwortmanager gehört zu den Dingen, bei denen die ersten zwei Wochen mühsam sind und ab der dritten niemand mehr zurückwill. Vier Punkte entscheiden, ob die Einführung hält:
- Nicht alle Passwörter auf einmal umziehen. Beginne mit den 5–10 wichtigsten (Mail, Bank, ERP, Hosting-Panel). Der Rest wandert von selbst hinein, je nach Nutzung, innerhalb eines Monats.
- Zeig konkret, was der Mitarbeiter davon hat. „Wegen der Sicherheit" funktioniert nicht. „Weil du nie mehr nach einem Passwort-Reset anrufen musst und dir keine 40 verschiedenen merken musst" funktioniert.
- Eine Regel einführen: jedes heute geänderte Passwort kommt in den Manager. Niemanden dafür jagen, was noch im Sheet steht. Dass die tägliche Arbeit im Manager bequemer ist, erledigt den Rest.
- MFA am Manager selbst aktivieren. Das Hauptpasswort ist der einzige Single Point of Failure — es muss mit einem zweiten Faktor geschützt sein. Zehn Minuten Konfiguration, die man nicht überspringen darf.
Passwortmanager vs. MFA und Offboarding
Ein Passwortmanager ersetzt MFA nicht — er ergänzt es. MFA schützt davor, dass ein gestohlenes Passwort verwendet wird; der Manager sorgt dafür, dass Passwörter so stark und einzigartig sind, dass sich Cracken nicht lohnt. Zusammen ergeben sie ein Sicherheitsniveau, das für ein kleines Unternehmen im Verhältnis zum Preis absurd hoch ist.
Die andere Sache: der Manager löst 80% des Mitarbeiter-Offboardings. Statt zu raten, zu welchen Systemen jemand Zugang hatte, schaust du in seinen Ordner im Manager — und weißt, welche Passwörter geändert werden müssen. Ohne ihn ist Offboarding Raten.
Womit du nächste Woche anfängst
Du brauchst keine Strategie. Du brauchst eine Entscheidung und einen Nachmittag:
- Wähle das Werkzeug (für die meisten Firmen: Bitwarden Teams oder 1Password Business — die Unterschiede sind kosmetisch).
- Beginne mit deinem eigenen Konto und dem der Person, die die Finanzen betreut. Sieh dir an, wie es läuft, bevor du es dem Rest aufdrückst.
- Mach Inventur: wo liegen die Firmenpasswörter wirklich. Tabelle, Klebezettel, Chat, Kopf der Buchhalterin.
- Plane eine kurze Schulung für das Team (60–90 Minuten). Nicht länger.
- Nach einem Monat geh die Liste noch einmal durch und schau, wie viele Passwörter noch außerhalb des Managers liegen. Das ist deine echte To-do-Liste.
Wenn du nicht weißt, welches Werkzeug du nehmen sollst oder wie du es einführst, ohne dass das Team über „noch ein Login-Fenster" murrt — sprich mit jemandem, der das in polnischen KMU täglich macht. Das erste Gespräch ist kostenlos und dauert eine halbe Stunde.
Ein Passwort auf einem Klebezettel ist keine Sicherheit. Es ist nur das Warten darauf, dass jemand anderes danach greift.