In den meisten 10–50-Personen-Unternehmen sehen Admin-Konten so aus: ein Passwort, sechs Personen, kein Audit. Wenn es zu einem Vorfall kommt, weiß niemand, wer was getan hat und was jetzt geändert werden muss.
Wir reden hier nicht von großen PAM-Systemen für zehntausende Euro. Wir reden von ein paar einfachen Regeln, die du in einer Woche einführen kannst und die dir den Hals retten, wenn ein Phisher den einen falschen Klick landet.
Admin-Konten sind keine „stärkeren" Konten. Es sind Konten, mit denen sich ein Unternehmen in einer Viertelstunde auslöschen lässt. Solange du sie wie normale Logins behandelst, reicht ein schlechter Tag, um zu beweisen, dass sie nicht normal waren.
Das Problem, über das niemand laut spricht
In einem unserer Auditprojekte trafen wir auf ein 24-Personen-Produktionsunternehmen aus der Kartonverpackungsbranche. ERP: Comarch Optima. Ein Konto namens Administrator auf dem Datenbankserver. Das Passwort kannten: der Inhaber, zwei Mitarbeiter der internen IT, ein externer ERP-Berater, die Hauptbuchhalterin und ein Vertriebsmitarbeiter „für die API" (er hatte einmal ein Makro für den Versand von Bestellungen geschrieben).
Sechs Personen mit vollem Zugriff auf alles. Das Passwort wurde seit drei Jahren nicht geändert. Kein MFA. Als einer der IT-Mitarbeiter kündigte, änderte niemand das Passwort — es „würde eine Woche dauern, alle zu informieren, damit sie ihre Skripte anpassen." Drei Monate später verlor der externe Berater seinen Laptop. Das Passwort wurde immer noch nicht geändert, weil niemand wusste, worauf dieser Laptop eigentlich Zugriff hatte.
Das Problem muss man hier nicht weiter auswälzen. Jeder KMU-Inhaber, der das liest, sieht wahrscheinlich gerade sein eigenes Unternehmen vor sich.
Regel 1 — Ein Admin-Konto ist nicht für die tägliche Arbeit
Das ist das Fundament. Jede Person, die Admin-Rechte braucht, sollte zwei Konten haben: eines für die tägliche Arbeit, für E-Mails und Web, und eines als Admin, das nur dann benutzt wird, wenn im System wirklich etwas geändert werden muss.
Warum ist das so wichtig? Weil Phishing und schädliche Anhänge im Postfach des normalen Nutzers landen. Ist dieser Nutzer als Admin angemeldet, hat die Malware sofort die Schlüssel zum Königreich. Ist er auf einem normalen Konto, hat der Angreifer die Rechte einer Person — nicht die des ganzen Unternehmens.
- Jede Person mit Admin-Rechten bekommt einen separaten Login (z. B.
max.mustermann.adm). - Das Admin-Konto hat kein Postfach und keinen allgemeinen Internetzugriff außer dem strikt Nötigen.
- Das Admin-Konto meldet sich nicht an einer normalen Arbeitsstation an — man benutzt es aus einer separaten Sitzung, meist per RDP auf einem Verwaltungsserver.
- Das normale Konto wird immer dann verwendet, wenn nichts Administratives gemacht wird (also 95 % der Zeit).
Bei unserem 24-Personen-Verpackungsunternehmen dauerte das einen Beratertag plus eine Stunde Schulung pro Person für die 4 Personen mit Admin-Rechten. Aus dem sechsköpfigen Shared Account wurden vier persönliche, getrennte Konten. Zwei Personen (der Vertriebsmitarbeiter „für die API" und die Hauptbuchhalterin) verloren Admin-Rechte komplett — es zeigte sich, dass sie diese gar nicht brauchten, sondern nur konkrete Optima-Rechte, die man über normale Rollen vergeben konnte.
Regel 2 — MFA auf jedem Admin-Konto. Keine Ausnahmen
MFA auf einem Nutzerkonto ist gute Praxis. MFA auf einem Admin-Konto ist die Voraussetzung, um die Firma überhaupt „gesichert" nennen zu dürfen. Da gibt es keine Diskussion, kein „bei uns würde das nicht funktionieren."
Wenn ein Admin-Konto vollen Zugriff auf den Comarch-Optima-Server, auf das Active Directory, auf die Netzwerkinfrastruktur oder auf eine Cloud-Konsole gibt — ist ein einzelnes Passwort zu wenig. Immer. Auch ein komplexes. Auch ein oft gewechseltes.
Ein Hardware-Key (YubiKey, Feitian) oder eine App wie Microsoft Authenticator kostet ein paar hundert Euro pro Person. Gegen das, was er schützt, ist das ein Lächeln wert. Bei unserem Verpackungsprojekt entschied man sich für eine Kombination: YubiKey für das Domänen-Admin-Konto plus Microsoft Authenticator für Anmeldungen an Optima und M365.
Regel 3 — Break-Glass: der Notfallschlüssel im Tresor
Break-Glass ist ein Konto, das man nur benutzt, wenn alle anderen nicht mehr funktionieren. Jemand hat sich ausgesperrt, MFA ist ausgefallen, das ganze IT-Team ist im Urlaub — und etwas muss jetzt sofort repariert werden.
Dieses Konto:
- Hat ein sehr langes, einzigartiges Passwort (30+ Zeichen, zufällig generiert).
- Hat kein MFA (denn genau das macht es zum Notfallkonto).
- Das Passwort ist auf Papier gedruckt, in einem verschlossenen Umschlag, im Firmentresor.
- Wird alle paar Monate benutzt, meistens nur zum Test, ob es noch funktioniert.
- Jede Nutzung muss protokolliert und vom Inhaber / Vorstand geprüft werden.
Das klingt paranoid, aber das ist die eine Sache, die den Unterschied macht zwischen „wir hatten einen schlechten Tag" und „drei Tage konnten wir keine Rechnungen stellen". In Audits fragen wir immer danach — und in 8 von 10 Unternehmen gibt es kein Break-Glass.
Regel 4 — Externe Konten mit Ablaufdatum
Ein ERP-Berater, ein Freelance-Webentwickler, ein Comarch-Integrator — jede solche Person bekommt ein Konto mit Ablaufdatum. Standard: 30 Tage. Ist es weiterhin nötig, verlängerst du. Hast du das Verlängern vergessen — sperrt sich das Konto von selbst und niemand merkt es, es sei denn, er hat es tatsächlich benutzt.
Das ist banal. In AD ist es ein Häkchen. In der Microsoft-Cloud eine Option beim Anlegen des Nutzers. Und es eliminiert 90 % des klassischen Problems „wer hatte darauf vor drei Jahren Zugriff". Denn in drei Jahren ist dieses Konto längst tot.
Als der externe Berater beim Verpackungsunternehmen seinen Laptop verlor (der erste Vorfall, mit dem das ganze Projekt begann), gab es keine Panik. Sein Konto hatte ein Ablaufdatum in 15 Tagen, es wäre also ohnehin gestorben. Das Passwort wurde vorsichtshalber zurückgesetzt, aber niemand musste eine Liste jagen: „wo meldet sich dieser Mensch noch überall an."
Regel 5 — Vierteljährliche Überprüfung. Kurz, aber echt
Einmal im Quartal — 30 Minuten. Jemand setzt sich mit der Liste der privilegierten Konten hin und prüft:
- Ist jedes Admin-Konto noch nötig?
- Arbeitet die Person noch im Unternehmen bzw. für das Unternehmen?
- Ist MFA aktiv?
- Wurde das Break-Glass-Passwort getestet?
- Enthält das Nutzungslog der Admin-Konten irgendwas Seltsames?
Das muss kein 50-seitiges Dokument sein. Es kann eine Excel-Tabelle mit fünf Spalten sein. Wichtig ist, dass es jemand wirklich macht, statt „in den Backlog zu schieben."
Das Ergebnis beim Verpackungsunternehmen
Die Einführung dieser fünf Regeln im beschriebenen 24-Personen-Unternehmen dauerte 2 Beratertage plus 4 Stunden Team-Schulung. Kosten: weniger als eine mittelklassige Firewall, weniger als eine Jahreslizenz für Antivirus im ganzen Unternehmen.
Das Ergebnis? Vier Monate später gab es einen weiteren Vorfall — eine Buchhaltungsmitarbeiterin klickte auf einen „Lieferantenrechnung"-Anhang, der sich als Malware entpuppte. Die Angreifer bekamen Zugriff auf ihr normales Nutzerkonto. Auf sonst nichts. Nicht auf Optima unter dem Administrator, nicht auf den Dateiserver mit Root-Rechten, nicht auf die Microsoft-365-Konsole unter einem globalen Administrator. Das normale Konto wurde deaktiviert, das Passwort zurückgesetzt, der Fall in 3 Stunden geschlossen.
Ein Jahr früher hätte dasselbe Szenario wahrscheinlich mit einem verschlüsselten Optima-Server und einer Woche Wiederherstellungsarbeit geendet. Der Unterschied: ein paar einfache Regeln, zwei Tage Arbeit, vier Stunden Schulung.
Wo du bei dir anfängst
Mach in dieser Woche eine Sache: setz dich 15 Minuten hin und schreib auf, wer welches Admin-Konto in deinem Unternehmen hat. Dateiserver, ERP, E-Mail, Cloud-Konsole, das Panel des Telefonanbieters, das ISP-Panel, das Online-Banking-Konto mit Überweisungsberechtigung.
Wenn du nach diesen 15 Minuten mehr als ein gemeinsames Konto auf dem Papier hast — oder weniger als ein Break-Glass-Konto — hast du deinen Startpunkt. Du musst nicht alles auf einmal einführen. Das Erste ist immer: Admin-Konten von normalen Konten trennen und MFA aktivieren. Damit schließt du bereits 80 % des Risikos.
Der Rest ist ein paar Wochen Hintergrundarbeit. Aber diese 80 % solltest du noch diesen Monat haben.
Ein Admin-Konto ist kein „stärkeres" Konto. Es ist ein Konto, bei dem ein falscher Klick das Ende der Firma bedeutet.