Sichere Passwörter: Einzigartig, ausreichend lang und gut verwaltet

Zufällige Passwörter statt eigener Muster

Lassen Sie Passwörter möglichst mit dem freigegebenen Generator erstellen. Nutzen Sie die vom Dienst unterstützte Länge sinnvoll und vermeiden Sie Namen, Daten und vorhersehbare Zusätze. Ein ausgedachtes kompliziert wirkendes Muster kann trotzdem leicht erratbar sein. Übernehmen Sie keine öffentlich abgedruckten Beispielpasswörter.

Jedes Konto bekommt ein eigenes Geheimnis

Wiederverwendung kann dazu führen, dass ein offengelegtes Passwort auch weitere Konten gefährdet. Verwenden Sie deshalb keine bloß leicht abgeänderten Varianten für verschiedene Dienste. Gemeinsame betriebliche Zugänge benötigen eine ausdrücklich geregelte, begrenzte Freigabe.

Tresor und Notfallzugang schützen

Der Passworttresor braucht eine starke eigene Anmeldung und einen vorbereiteten Notfallweg. Legen Sie fest, wer betriebliche Einträge sehen, teilen und nach einem Austritt übernehmen darf. Zugänge für eine Abteilung gehören in die dafür freigegebene gemeinsame Verwaltung; private und geschäftliche Tresore bleiben getrennt. Angaben für die Wiederherstellung werden geschützt hinterlegt und ihre Verwendung wird geübt.

Bei einem Verdacht gezielt reagieren

Ein rein zeitgesteuerter Wechsel ist kein Ersatz für starke Zugangsdaten und die Erkennung von Missbrauch. Bei einem vermuteten Datenabfluss oder einer Weitergabe sollte das betroffene Passwort unverzüglich über einen vertrauenswürdigen Weg geändert werden. Melden Sie den Vorfall Ihrer IT; weitere Sitzungen oder Wiederherstellungswege können ebenfalls betroffen sein.

Zusätzliche Anmeldeverfahren nutzen

Aktivieren Sie geeignete Mehrfaktor-Authentifizierung nach den Unternehmensvorgaben. Wo unterstützt, können Passkeys eine Alternative zum Passwort bieten. Prüfen Sie dabei Gerätebindung, Wiederherstellung und die Unterstützung im jeweiligen Dienst. Eine unerwartete Freigabeaufforderung sollten Sie niemals nur deshalb bestätigen, weil sie auf Ihrem eigenen Gerät erscheint.

Passkeys: Speicherung bewusst auswählen

Bei gerätegebundenen Passkeys bleibt der Schlüssel an den jeweiligen Authentifikator gebunden. Synchronisierte Passkeys können über einen Anbieter verschlüsselt auf weiteren Geräten verfügbar werden. Für Unternehmen stellt sich damit auch die Frage, welcher Anbieter und welches Konto dafür zugelassen sind. Gerade für administrative Konten sollte die IT gerätegebundene Verfahren gezielt prüfen.

Beispiel: Das Firmenhandy geht verloren

Eine Mitarbeiterin nutzt ihr Firmenhandy zur Anmeldung. Im vorbereiteten Ablauf meldet sie den Verlust über einen bekannten Kontaktweg. Die IT prüft ihre Identität, sperrt betroffene Zugänge beziehungsweise Geräte und stellt den Zugang über einen zuvor festgelegten Ersatzweg wieder her. Eine noch offene Sitzung auf einem anderen Gerät ist kein ausreichender Identitätsnachweis.

Testen Sie solche Fälle vor der breiten Einführung: Registrierung, Anmeldung am üblichen Arbeitsplatz, Gerätewechsel und Wiederherstellung. Das Ergebnis ist eine kurze Anleitung für Mitarbeitende und ein dokumentierter Supportablauf. So wird eine bequemere Anmeldung auch im Störungsfall beherrschbar.