Passwörter und MFA: Zugänge im Betrieb schützen

Fast jeder Zugang in Ihrem Betrieb hängt an einer Anmeldung: das E-Mail-Postfach, die Praxissoftware, das Onlinebanking, die Buchhaltung in der Cloud, der Fernzugang ins Büronetz. Gelangen Zugangsdaten in falsche Hände, stehen Angreifern diese Türen offen. Das BSI weist darauf hin, dass selbst starke Passwörter nicht ausreichen, wenn sie bei einem Datenleck oder durch Phishing abgegriffen werden. Wirksamer Schutz besteht deshalb aus zwei Teilen: guten Passwörtern und einem zweiten Faktor bei der Anmeldung.

In diesem Ratgeber erfahren Sie, was das BSI heute zu Passwörtern empfiehlt, welche Mehrfaktor-Verfahren wie gut schützen und warum gemeinsam genutzte Konten im Betrieb ein unterschätztes Risiko sind.

Was das BSI heute zu Passwörtern empfiehlt

Das BSI setzt bei Passwörtern heute diese Schwerpunkte:

Länge zählt: Ein Passwort mit mindestens acht Zeichen sollte vier Zeichenarten enthalten, also Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen. Alternativ kann ein Passwort weniger komplex sein, wenn es mindestens 25 Zeichen lang ist, etwa ein Satz aus mehreren Wörtern.
Ein Passwort pro Zugang: Wer dasselbe Passwort mehrfach nutzt, ermöglicht Angreifern, mit einmal erbeuteten Daten automatisiert weitere Konten auszuprobieren.
Kein Wechsel ohne Anlass: Regelmäßige Passwortwechsel führen laut BSI erfahrungsgemäß zu schwächeren Passwörtern. Arbeitgeber sollten sie weder verlangen noch technisch erzwingen.
Sofort wechseln bei Verdacht: Etwa wenn ein Dienst zur Änderung auffordert, Zugangsdaten eines Dienstes veröffentlicht wurden oder eine Phishing-Mail korrekte persönliche Daten enthält.
Voreingestellte Passwörter ändern: Router, Drucker oder Software kommen oft mit leeren oder allgemein bekannten Standardpasswörtern, die Angreifer gezielt ausprobieren.

Außerdem rät das BSI, Passwörter nicht per E-Mail zu verschicken und nicht unverschlüsselt auf dem PC oder auf einem Zettel am Bildschirm aufzubewahren. Ob Zugangsdaten in bekannten Datenlecks auftauchen, lässt sich zum Beispiel mit dem Identity Leak Checker des Hasso-Plattner-Instituts prüfen.

Passwortmanager: Ordnung statt Zettelwirtschaft

Für jedes Konto ein eigenes, langes Passwort, das kann sich niemand merken. Das BSI empfiehlt deshalb einen Passwortmanager. Er speichert Zugangsdaten verschlüsselt, erzeugt starke Passwörter und weist auf schwache oder mehrfach verwendete hin. Zudem kann er warnen, wenn eine Webadresse nicht zur gespeicherten passt, ein nützlicher Hinweis auf Phishing.

Das BSI nennt aber auch die Kehrseite: Gelingt ein Angriff auf den Passwortmanager, sind alle Passwörter auf einmal betroffen. Darauf sollten Sie achten:

Ein starkes Masterpasswort wählen und sicher verwahren. Geht es verloren, sind im schlimmsten Fall alle gespeicherten Zugangsdaten weg.
Bei Cloud-basierten Lösungen Geschäftsbedingungen, Datenschutzerklärung und Serverstandort prüfen.
Passwortmanager im Browser lassen sich nach Einschätzung des BSI von Schadsoftware relativ leicht auslesen. Eine eigenständige Lösung ist daher oft die bessere Wahl.
Updates des Passwortmanagers zeitnah installieren und die Geräte selbst mit PIN oder Passwort schützen.

Mehrfaktor-Anmeldung: der zweite Riegel

Bei der Mehrfaktor-Authentifizierung, kurz MFA, reicht das Passwort allein nicht mehr aus. Zusätzlich ist ein zweiter Nachweis nötig, meist über das Smartphone oder einen Sicherheitsschlüssel. Selbst wenn ein Passwort abgegriffen wird, kommt der Angreifer so in vielen Fällen nicht weiter. Das BSI empfiehlt, MFA zu aktivieren, und rät, beim E-Mail-Konto zu beginnen: Darüber lassen sich oft die Passwörter anderer Dienste zurücksetzen. Für Fernzugänge und Administratorkonten nennt das BSI einen zweiten Faktor ausdrücklich als Schutzmaßnahme gegen Ransomware.

Wie Sie MFA in Microsoft 365 einrichten und weitere Schutzfunktionen nutzen, lesen Sie in unserem Ratgeber Microsoft 365 absichern.

MFA-Verfahren im Vergleich

Nicht jeder zweite Faktor schützt gleich gut. Das BSI hat die gängigen Verfahren bewertet, die US-Cybersicherheitsbehörde CISA kommt zu ähnlichen Ergebnissen:

Code per SMS: Schützt nach BSI-Bewertung nicht vor Phishing in Echtzeit, bei dem Angreifer den Code auf einer gefälschten Seite abfangen und sofort weiterverwenden. Die CISA nennt zusätzlich das Umleiten der Rufnummer auf eine fremde SIM-Karte (SIM-Swapping) und Schwächen im Mobilfunknetz. Sie rät, SMS nur als letzte Option zu verwenden.
Code aus einer Authenticator-App: Bequem im Alltag, schützt aber ebenfalls nicht vor Echtzeit-Phishing.
Bestätigung per Push-Nachricht: Laut CISA versuchen Angreifer, Nutzer mit wiederholten Anfragen zum Bestätigen zu bewegen. Muss zur Bestätigung eine angezeigte Zahl eingegeben werden, hilft das gegen diese Masche, nicht aber gegen Phishing.
Passkeys und FIDO2-Sicherheitsschlüssel: Gelten laut BSI als resistent gegen übliche Phishing-Angriffe. Die CISA bezeichnet FIDO als die einzige breit verfügbare phishingresistente Anmeldung.

Auch Microsoft empfiehlt phishingresistente Verfahren wie Windows Hello for Business, Passkeys und FIDO2-Sicherheitsschlüssel. Zugleich betont Microsoft, dass auch MFA per SMS oder App die Sicherheit gegenüber einer reinen Passwortanmeldung erheblich verbessert. Die praktische Reihenfolge lautet daher: Jeder zweite Faktor ist besser als keiner. Wo möglich, sollten Sie auf phishingresistente Verfahren umsteigen.

Passkeys: Anmelden ohne Passwort

Das BSI empfiehlt, wo möglich ganz auf Passkeys umzusteigen. Dabei speichert Ihr Gerät einen geheimen Schlüssel, der Dienst erhält nur den passenden öffentlichen Schlüssel. Bei der Anmeldung bestätigen Sie mit Fingerabdruck, Gesichtserkennung oder PIN. Da kein Passwort eingegeben wird, kann es auch nicht abgegriffen werden. Auf einer gefälschten Seite scheitert die Anmeldung, weil der Schlüssel nur zum echten Dienst passt.

Passkeys beruhen auf offenen, herstellerunabhängigen Standards der FIDO-Allianz. Sie können auf dem Gerät, synchronisiert in der Cloud oder auf einem FIDO2-Sicherheitsschlüssel gespeichert werden. Wichtig ist eine Rückfallebene: Das BSI rät zu Sicherungskopien und bei Sicherheitsschlüsseln zu einem zweiten Stick für den Notfall.

Gemeinsame Konten vermeiden

In vielen kleinen Betrieben gibt es ein Konto für alle: den Rezeptions-PC mit gemeinsamem Passwort, das Postfach info@, in das sich drei Personen mit denselben Daten einloggen, oder einen Zugang zum Lieferantenportal, den jeder kennt. Das ist bequem, hat aber Folgen. Niemand kann nachvollziehen, wer was getan hat. Verlässt jemand den Betrieb, müsste das Passwort für alle geändert werden, was in der Praxis oft unterbleibt. Und mit jeder Weitergabe verliert man laut BSI die Kontrolle darüber, was mit dem Konto geschieht.

Besser ist es, jedem Konto genau eine Person zuzuordnen, wie es etwa die Cybersicherheitsagentur Baden-Württemberg für Fernzugänge empfiehlt. Für gemeinsame Adressen gibt es in Microsoft 365 freigegebene Postfächer: Die Mitarbeitenden greifen mit ihrem eigenen Konto zu, eine direkte Anmeldung am freigegebenen Postfach soll laut Microsoft blockiert bleiben. Administratorkonten sollten nach dem BSI nur für Verwaltungsaufgaben genutzt und immer mit einem zweiten Faktor geschützt werden.

So gehen Sie Schritt für Schritt vor

Bestandsaufnahme: Welche Zugänge gibt es im Betrieb, und wer nutzt sie?
MFA zuerst für E-Mail, Microsoft 365, Fernzugänge, Administratorkonten und Onlinebanking aktivieren.
Einen Passwortmanager auswählen, einführen und das Team kurz einweisen.
Gemeinsame Konten durch persönliche Konten oder freigegebene Postfächer ersetzen.
Voreingestellte Passwörter an Router, Druckern und Geräten ändern.
Erzwungene regelmäßige Passwortwechsel abschaffen, dafür bei Verdacht sofort handeln.
Bei Diensten, die es anbieten, schrittweise auf Passkeys umstellen.

Fazit

Lange, einzigartige Passwörter aus einem Passwortmanager und ein zweiter Faktor bei der Anmeldung schützen die meisten Zugänge deutlich besser als komplizierte Regeln und ständige Passwortwechsel. Wer zusätzlich auf Passkeys umsteigt und gemeinsame Konten abschafft, macht es Angreifern spürbar schwerer.

Wie Secundo IT unterstützt

Secundo IT verschafft Ihnen einen Überblick über alle Zugänge in Ihrem Betrieb, richtet Mehrfaktor-Anmeldung für Microsoft 365, Fernzugänge und Administratorkonten ein, unterstützt bei der Auswahl und Einführung eines Passwortmanagers und löst gemeinsam genutzte Konten sauber ab. Auf Wunsch erklären wir Ihrem Team in einer kurzen Schulung, worauf es im Alltag ankommt.

Sie möchten wissen, wie gut die Zugänge in Ihrem Betrieb geschützt sind? Sprechen Sie uns an. Zur Kontaktseite

Passwörter und Mehrfaktor-Anmeldung: So schützen Sie die Zugänge in Ihrem Betrieb