Geteilte Passwörter: so verwaltest du sie ohne Alptraum

Der eine Admin-Login beim Domain-Registrar, die Social-Media-Accounts, das Kundenportal. Diese Passwörter kennen drei Personen — und sie per Excel zu teilen ist falsch. Hier kommt die richtige Lösung.

Es gibt Accounts, die keinen „Eigentümer" haben: der Hauptaccount deines Domain-Registrars, der Twitter/X-Firmenlogin, das Kunden-Support-Postfach. Diese Accounts müssen von 2–5 Personen genutzt werden können. Wie macht man das sicher?

Regel 1: Ab in einen Vault

Niemals in einer Tabellenkalkulation, niemals per E-Mail, niemals auf einer Notion-Seite. Sondern in 1Password, Bitwarden oder einem integrierten Vault wie AccessGuard Vault, der benutzerspezifische ACLs sowie ein Auditprotokoll für jede Entschlüsselung unterstützt.

Regel 2: Explizite Zugriffsliste

Für jeden geteilten Account wird festgelegt: Wer darf ihn einsehen. Weniger ist mehr. Ein Social-Media-Account lässt sich problemlos von 2 Personen verwalten; es gibt keinen Grund, warum das gesamte Unternehmen Zugriff haben sollte.

Regel 3: Rotation bei Personalwechsel

Sobald jemand aus der Zugriffsliste entfernt wird, wird das Passwort geändert. Siehe Offboarding Schritt 3. Keine Ausnahmen. Andernfalls hast du einen Account mit dem Makel „Ex-Kollege kennt das Passwort noch".

Regel 4: MFA, wo immer möglich

Auch geteilte Accounts brauchen MFA. Moderne MFA-Apps (Authy, 1Password) unterstützen geteilte Tokens. Hardware-Token sind ebenfalls möglich, erfordern dann aber eine physische Übergabe.

Regel 5: Auditprotokoll

Wer hat wann das Passwort abgerufen? Wenn du das nicht nachweisen kannst, lässt sich bei einem Vorfall nicht feststellen, ob Missbrauch stattgefunden hat. Jeder seriöse Vault protokolliert dies.

Was NICHT funktioniert

• Eine einzelne Person, die alle Passwörter kennt, plus „Backup" in einem Tresor auf Papier.
• Eine Excel-Datei auf SharePoint mit „allen Zugangsdaten" — auch wenn sie passwortgeschützt ist.
• Vaults nach dem Prinzip „alle sehen alles". ACL ist dein Freund.

Siehe auch: Privileged Access Management, einen Passwort-Manager auswählen.