Inhalt
Kurzantwort
Die meisten Kontoübernahmen lassen sich mit einem zweiten Faktor verhindern. Für kleine Unternehmen heißt das: MFA oder Passkeys überall dort, wo E-Mail, Cloud, Banking oder Admin-Zugänge betroffen sind, plus ein Passwortmanager für geteilte Zugänge. Wichtig sind außerdem Wiederherstellungswege und ein geregeltes Offboarding.
Warum ist das für kleine Unternehmen relevant?
In kleinen Betrieben laufen viele Prozesse über wenige Konten – oft über ein zentrales E-Mail-Postfach. Wird es übernommen, lassen sich darüber andere Passwörter zurücksetzen, Rechnungen manipulieren oder Kunden täuschen. Geteilte Zugänge in Tabellen oder Chats sind zudem schwer zu kontrollieren, wenn jemand den Betrieb verlässt.
- Konto
- Erster Faktor: Passwort
- Zweiter Faktor oder Passkey
- Zugriff
Was gehört dazu?
MFA
Zusätzlicher Nachweis per Authenticator-App, Passkey oder Sicherheitsschlüssel. SMS ist schwächer, aber besser als kein zweiter Faktor.
Basis
Passkeys
Kryptografische Anmeldung ohne Passwort, die nur auf der echten Website funktioniert und damit gegen Phishing robust ist.
Basis
Team-Passwortmanager
Geteilte Zugänge rollenbasiert freigeben und beim Ausscheiden zentral entziehen.
Basis
Recovery-Codes und Notfallzugänge
Wiederherstellungscodes sicher ablegen; für kritische Konten einen dokumentierten Notfallzugang festlegen, etwa einen zweiten Admin.
Basis
Gemeinsam genutzte Konten
Wo möglich persönliche Konten statt Sammelzugängen. Wo nicht vermeidbar: im Passwortmanager mit klarer Verantwortung.
Sinnvoll bei wachsender IT
Offboarding
Feste Liste, welche Zugänge beim Ausscheiden gesperrt, übertragen oder geändert werden.
Sinnvoll bei wachsender IT
Was schützt die Maßnahme?
- Übernahme von Konten mit gestohlenen oder geleakten Passwörtern
- Wiederverwendete Passwörter im Team
- Zugriffe ehemaliger Mitarbeitender oder Dienstleister
Was schützt sie nicht?
- Mitarbeitende, die einen Code auf Nachfrage weitergeben (bei SMS- und App-Codes)
- Übernommene, bereits angemeldete Sitzungen auf infizierten Geräten
- Zahlungsbetrug, der ohne Kontoübernahme per Täuschung funktioniert
Welche Basismaßnahmen reichen oft?
- 01MFA für E-Mail, Cloud-Büro, Banking, Shop-Backend und Domain-Registrar
- 02Passwortmanager für alle geteilten Zugänge
- 03Recovery-Codes offline oder im Tresor ablegen
- 04Offboarding-Checkliste mit allen kritischen Konten
Wann wird eine weitergehende Lösung sinnvoll?
Bei mehreren Mitarbeitenden, Admin-Konten mit weitreichenden Rechten oder erhöhtem Phishing-Risiko lohnen sich phishingresistente Verfahren (Passkeys, Sicherheitsschlüssel) als Pflicht für Admins sowie eine zentrale Anmeldung (Single Sign-on), über die Zugänge gebündelt gesteuert werden.
Checkliste für einen Team-Passwortmanager
Kriterien für die Auswahl – ohne Ranking und ohne Anbieterempfehlung.
- Individuelle Benutzerkonten
- Jede Person meldet sich mit eigenem Konto an
- Rollen und Rechte
- Zugriff je Team, Projekt oder Tresor steuerbar
- Sichere Freigaben
- Teilen ohne Passwort im Klartext
- MFA
- Für alle Nutzer erzwingbar
- Offboarding
- Zugriff zentral entziehen, Zugänge übertragen
- Recovery / Notfallzugriff
- Geregelt, ohne Hintertür für Unbefugte
- Protokollierung, soweit relevant
- Wer hat wann worauf zugegriffen?
- Geräteunterstützung
- Alle im Betrieb genutzten Systeme und Browser
- Administration
- Verwaltung durch mindestens zwei Personen
- Export / Anbieterwechsel
- Daten vollständig exportierbar
- Datenschutz und Unternehmensanforderungen
- Speicherort, Vertragsbedingungen, Auftragsverarbeitung
Typische Fehler
- MFA nur für einige Konten aktivieren und das Haupt-Postfach vergessen
- Recovery-Codes nicht ablegen und sich bei Geräteverlust aussperren
- Push-Anfragen bestätigen, die man nicht selbst ausgelöst hat
- Zugänge ausgeschiedener Personen erst Wochen später sperren
Checkliste
- MFA oder Passkey für alle E-Mail- und Admin-Konten aktiv
- Geteilte Zugänge liegen im Passwortmanager, nicht in Tabellen
- Recovery-Codes sicher abgelegt und auffindbar
- Mindestens zwei Personen können kritische Konten wiederherstellen
- Offboarding-Liste existiert und wird genutzt
Häufige Fragen
Reicht SMS als zweiter Faktor?
SMS ist besser als nichts, aber anfälliger als App, Passkey oder Sicherheitsschlüssel. Für Admin-Konten sollten stärkere Verfahren genutzt werden.
Was tun bei Konten, die keine MFA unterstützen?
Langes, einzigartiges Passwort im Passwortmanager, Zugriff auf wenige Personen begrenzen und prüfen, ob es eine Alternative gibt.
Brauchen Freelancer einen Team-Passwortmanager?
Nicht zwingend. Ein guter persönlicher Passwortmanager genügt, solange keine Zugänge geteilt werden.
Nächster sinnvoller Schritt
Prüfen Sie heute, ob Ihr zentrales E-Mail-Konto und der Zugang zu Ihrer Bürocloud mit MFA geschützt sind.
Quellen
- Bundesamt für Sicherheit in der Informationstechnik (BSI)
- FIDO Alliance – Passkeys
- CISA – Cybersecurity and Infrastructure Security Agency
Geprüft am 06.10.2026.
Allgemeine Orientierung – ersetzt keine individuelle technische Sicherheitsprüfung, Rechts- oder Datenschutzberatung.