In den meisten Firmen, in die wir zum ersten Mal kommen, gibt es dieses eine Postfach. buero@, vertrieb@ oder rechnungen@. Fünf Leute melden sich daran an, das Passwort wurde 2019 gesetzt, und das letzte Mal, dass jemand tatsächlich darüber nachgedacht hat, wer Zugriff hat, war, als die vorige Assistentin gegangen ist — also formal nie.
Das ist eine dieser Sachen, die in einer 10- bis 50-köpfigen Firma fast immer schlecht aussieht und die fast niemand anfassen will. Weil es „funktioniert". Bis zu dem Tag, an dem jemand aus diesem Postfach heraus auf einen Phishing-Link klickt und du nicht einmal weißt, wer zu dem Zeitpunkt angemeldet war.
Dieser Text handelt davon, wie du damit Schluss machst. Ohne Revolution, ohne dem Vertrieb Änderungen aufzuzwingen, die er nicht versteht, und ohne neue Lizenzen zu kaufen, die du nicht brauchst.
Warum das ein Problem ist
Ein per Passwort geteiltes Postfach zerlegt drei Dinge auf einmal.
Audit. Du weißt nicht, wer was verschickt hat. Eine Rechnung ist aus rechnungen@ an den falschen Kunden gegangen — wer hat sie rausgeschickt? In den Logs siehst du ein Konto, an dem sich fünf Leute anmelden. Die Spur endet an der Tür des Serverraums.
Off-boarding. Ein Vertriebler geht. Er kennt das Passwort für vertrieb@. Du änderst es — gut, aber wer sorgt dafür, dass die Änderung tatsächlich zu den anderen fünf Leuten durchkommt, ohne in einer Excel-Datei im Slack zu landen? In der Praxis niemand.
MFA. Da fünf Leute von fünf verschiedenen Telefonen aus das Konto benutzen, aktiviert niemand einen zweiten Faktor. Das Sammelkonto bleibt auf Passwort, Punkt. Das ist eines der beliebtesten Einfallstore für Ransomware in polnischen KMU — MFA deaktiviert auf einem Konto, das gleichzeitig das halbe Firmenpostfach enthält.
Ein geteiltes Postfach ist nicht das Gleiche wie ein geteiltes Passwort
Hier ist der Fehler, der sich seit Jahren wiederholt. Leute sagen „wir haben ein gemeinschaftliches Postfach" und meinen „wir haben ein Microsoft-365-Konto, an dem sich mehrere Leute mit demselben Passwort anmelden". Das sind zwei verschiedene Dinge.
Geteiltes Passwort = ein Mailkonto, eine Lizenz, ein Passwort, viele Benutzer. Genau wie ein normales Mitarbeiterkonto, nur dass ein Team es benutzt. Alles, was oben steht, geht um diesen Modus. Und der muss weg.
Ein geteiltes Postfach (shared mailbox) in Microsoft 365 ist ein eigenständiges Objekt: eine Adresse buero@ ohne eigene Lizenz, auf die einzelne Mitarbeiter delegierten Zugriff aus ihren normalen Konten bekommen. Jeder meldet sich mit der eigenen Mail und dem eigenen Passwort an, hat sein eigenes MFA, sieht aber das Postfach buero@ neben dem eigenen und kann daraus mit der vollen Adresse senden. Die Microsoft-365-Logs zeigen genau, dass Anna Nowak (a.nowak@) die Mail „im Auftrag von buero@" verschickt hat. Google Workspace hat mit „delegated access" und Gruppen, die als Gruppe senden können, ein enges Pendant.
Die ganze Arbeit, die wir hier beschreiben, ist eine Migration vom ersten Modus in den zweiten. Es ist eine günstige Umstellung — ein shared mailbox in Microsoft 365 bis 50 GB braucht keine eigene Lizenz. Aber normalerweise macht das niemand aus eigenem Antrieb, weil es „vorerst funktioniert".
Wie es in der Realität aussieht
Bei einem unserer Kunden — einem 22-köpfigen Steuerbüro bei Warschau — gab es vier solche Konten: buero@, rechnungen@, personal@ und mahnung@. Jedes hatte sein eigenes Passwort, das an zwei Stellen aufbewahrt wurde: auf einem Klebezettel unter der Tastatur der leitenden Buchhalterin und in einer Excel-Datei im Ordner „Gemeinsam\Passwörter" (den Namen haben wir nicht erfunden).
An rechnungen@ haben sich sieben Leute angemeldet. MFA — keins, weil „das unpraktisch ist, wenn sich die Mädels abwechseln". Das Konto hatte außerdem vollen Zugriff auf einen OneDrive-Ordner mit Scans von Personalausweisen der Kunden. Klassischer Worst Case.
Die Migration hat sie auf ihrer Seite drei Nachmittage und uns etwa zwei Arbeitstage gekostet. Ergebnis nach sechs Wochen:
- Die vier Passwort-Konten sind weg. An ihrer Stelle stehen vier shared mailboxes mit delegiertem Zugriff für genau die Leute, die ihn tatsächlich brauchen (im Schnitt 3–4 pro Postfach statt 7).
- Alle Mitarbeitenden haben MFA auf ihren normalen Konten — denn über diese greifen sie jetzt auf die geteilten Postfächer zu. Vorher hatten zwei Leute es „für später".
- In den Microsoft-365-Logs ist zu sehen, wer welche Mail aus
rechnungen@verschickt hat. Zum ersten Mal seit fünf Jahren lässt sich das nachvollziehen. - Der Austritt einer Buchhalterin zwei Monate später dauerte 30 Minuten statt einen Tag und hatte einen sauberen Audit-Beleg, dass der Zugriff entzogen wurde.
Ohne die Zeit einzurechnen, die man bei einem tatsächlichen Vorfall gespart hätte, gab es auch sofort einen anderen Gewinn: die dauerhafte, diffuse Sorge, „irgendjemand" könnte irgendwann in diese Ausweisscans geschaut haben, war weg. Denn jetzt hat „irgendjemand" einen Vor- und Nachnamen.
Wie du es bei dir umsetzt
Der Vorgang zerfällt in vier Schritte. Man kann ihn intern machen, wenn jemand das Microsoft-365-Admin-Panel kennt, oder auslagern — es geht um Stunden, nicht Tage.
- Zieh die Liste der Postfach-Konten. Geh ins Microsoft-365-Admin, filtere Konten, die von mehr als einer Person genutzt werden. Namen wie
buero@,empfang@,vertrieb@,service@,bestellungen@,reklamation@sind meistens verdächtig. Bau eine Liste: Adresse, wer sie wirklich nutzt, wozu, wie viel Historie darin liegt. - Leg daneben ein shared mailbox an. In Microsoft 365 erstellst du ein neues shared mailbox, z. B.
buero-new@. Du kopierst die Historie aus dem alten Konto (New-MailboxImportRequest oder per Outlook-Export/-Import — einfacher). Du delegierst den Zugriff an bestimmte Personen aus ihren normalen Konten. - Tausche die Adressen. Das alte Konto wandelst du in ein shared mailbox um (das geht — Lizenz entziehen, Typ ändern), nachdem du die Adressen umgeleitet oder umbenannt hast. Achtung: das ist der Schritt, für den man einen Snapshot und ein Wochenende Puffer haben will, weil man das Routing kaputt machen kann. Alternative: das neue shared mailbox übernimmt die Adresse, das alte Konto bleibt eine Zeit lang deaktiviert als Backup stehen.
- Killt das alte Passwort, erzwingt MFA. Nach einer Woche, wenn niemand mehr schreit, dass etwas nicht funktioniert — sperrst du das alte Passwort. Du prüfst in Entra ID, dass alle, die jetzt delegierten Zugriff haben, MFA auf ihrem eigenen Konto haben.
Zwei Dinge, die vergessen werden. Erstens: der Kalender. Ein am Mailkonto hängender gemeinsamer Kalender muss separat verschoben werden — oder durch einen Microsoft-365-Gruppenkalender ersetzt werden. Zweitens: die mobilen Apps. Das Team muss wissen, dass es in Outlook das eigene Konto hinzufügt und buero@ „daneben" auftaucht — es muss sich nirgendwo mit einem zweiten Passwort anmelden.
Wer ist Eigentümer
Die letzte Sache, die entscheidet, ob die Ordnung ein Jahr oder drei Monate hält. Jedes geteilte Postfach muss einen Eigentümer haben — Vor- und Nachname, Mailadresse. Nicht „das Büro" als Abstraktion, sondern eine konkrete Person, zu der man mit der Frage geht: „soll Marek weiter Zugriff auf rechnungen@ haben, jetzt wo er in den Vertrieb gewechselt ist?".
In der Praxis ist das die Abteilungsleiterin, zu der das Postfach „gehört". Nicht die IT — denn die IT weiß nicht, wen sie reinlassen soll. Die Rolle der IT ist ausführend: sie ändert Rechte, wenn die Eigentümerin fragt. Diese eine schlichte Regel eliminiert 80 % des Rechte-Drifts von allein.
Wie geht es weiter
Das ist kein Quartalsprojekt. Das ist eine Woche Arbeit — plus eine kleine Gewohnheit (halbjährlich prüfen, wer welchen Zugriff hat). Aber es schließt eines der häufigsten, dümmsten und am günstigsten zu behebenden Ransomware-Einfallstore in polnischen KMU.
Wenn du sehen willst, wie das bei dir aussieht und ob es sich machen lässt, ohne die Mail übers Wochenende abzuschalten — eine halbe Stunde Gespräch reicht, um es abzuschätzen.
Ein Passwort, das die halbe Firma kennt, ist kein Passwort. Es ist ein Besucherausweis, den du an alle verteilt hast — auch an die, die längst weg sind.