Passwortmanager und Passkeys: So führen Sie sie im Team ein

Grundlagen

Warum Passwörter das größte Einfallstor sind

Gestohlene oder erratene Zugangsdaten sind einer der häufigsten Ausgangspunkte für Angriffe. Das Problem ist selten ein zu kurzes Passwort, sondern ein wiederverwendetes: Wird irgendein Online-Dienst gehackt, probieren Angreifer die erbeuteten Daten automatisch beim Firmen-Postfach, beim VPN und bei Cloud-Diensten aus. Dazu kommen gefälschte Login-Seiten, auf denen Mitarbeitende ihr Passwort selbst eingeben.

Zwei Werkzeuge lösen beides: Ein Passwortmanager sorgt dafür, dass jedes Konto ein eigenes, starkes Passwort hat. Passkeys machen das Passwort bei den wichtigsten Konten ganz überflüssig.

Werkzeug

Was ein Team-Passwortmanager leistet

• Starke, einzigartige Passwörter für jedes Konto, automatisch erzeugt und ausgefüllt.
• Geteilte Tresore für Team-Zugänge wie Social-Media-Konten, Lieferantenportale oder den Router – ohne Passwörter per E-Mail oder Chat zu verschicken.
• Rechte nach Rollen: Buchhaltung sieht die Bank-Zugänge, das Marketing die Social-Media-Konten.
• Zentrale Verwaltung: Richtlinien für das Hauptpasswort, Mehr-Faktor-Anmeldung, Berichte über schwache oder geleakte Passwörter.
• Sauberes Offboarding: Verlässt jemand das Unternehmen, entziehen Sie den Zugriff zentral und sehen, welche geteilten Passwörter geändert werden sollten.

Welcher Passwortmanager passt?

Wir führen in der Praxis meist 1Password oder NordPass ein. Entscheidend ist weniger das Produkt als die Einführung: klare Regeln, eine kurze Schulung und ein Plan für den Ernstfall. Die in Browser eingebauten Passwortspeicher sind für Privatpersonen eine gute Lösung, im Unternehmen fehlen ihnen aber zentrale Verwaltung und geteilte Tresore.

Passkeys

Passkeys einfach erklärt

Ein Passkey ersetzt das Passwort durch ein Schlüsselpaar: Der geheime Teil bleibt auf Ihrem Gerät oder in Ihrem Passwortmanager, der Dienst kennt nur den öffentlichen Teil. Bei der Anmeldung bestätigen Sie mit Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Das hat drei Vorteile:

• Phishing-resistent: Ein Passkey funktioniert nur auf der echten Website. Auf einer gefälschten Login-Seite gibt es schlicht nichts einzugeben.
• Nichts zu stehlen: Wird ein Dienst gehackt, erbeuten Angreifer keinen verwertbaren Schlüssel.
• Bequem: Kein Merken, kein Tippen – die Anmeldung dauert Sekunden.

Passkeys gibt es in zwei Formen: synchronisiert über einen Passwortmanager oder das Apple- beziehungsweise Google-Konto, oder gerätegebunden auf einem Hardware-Sicherheitsschlüssel wie einem YubiKey oder in der Microsoft-Authenticator-App. Für Administratorkonten empfehlen wir gerätegebundene Passkeys.

Passkeys in Microsoft 365 und Entra ID

Microsoft Entra ID, das Anmeldesystem hinter Microsoft 365, unterstützt Passkeys nach dem FIDO2-Standard – als Sicherheitsschlüssel oder in der Microsoft-Authenticator-App. Über die Authentifizierungsmethoden-Richtlinie legen Administratoren fest, wer Passkeys nutzen darf, und können sie über bedingten Zugriff für sensible Konten verbindlich vorschreiben. Gerade Administratoren und Geschäftsführung sollten so angemeldet sein. Mehr zur Absicherung lesen Sie in unserem Ratgeber zu Microsoft 365 im Unternehmen.

Umsetzung

Der Einführungsplan in fünf Schritten

1. Bestandsaufnahme: Welche Zugänge gibt es, wo liegen sie heute, wer nutzt sie gemeinsam? Listen und Zettel einsammeln.
2. Struktur festlegen: Tresore nach Abteilungen und Zwecken anlegen, Rechte vergeben, Richtlinien für Hauptpasswort und Mehr-Faktor-Anmeldung setzen. Wo möglich, Anmeldung über Microsoft Entra ID koppeln.
3. Pilot mit zwei, drei Personen: Geschäftsführung und eine Schlüsselperson starten zuerst und räumen ihre Zugänge um.
4. Team einführen: Kurze Schulung von 30 bis 45 Minuten, Browser-Erweiterung und App installieren, wichtigste Konten gemeinsam übernehmen. Im Browser gespeicherte Passwörter importieren und dort anschließend löschen.
5. Passkeys aktivieren: Zuerst für Microsoft 365 und Administratorkonten, dann für Bank, Zahlungsdienste und alle Dienste, die Passkeys anbieten.

Unser Tipp: Machen Sie den Passwortmanager zum einzigen erlaubten Ort für Firmenpasswörter – und sagen Sie das klar. Halbe Lösungen, bei denen die Excel-Liste „zur Sicherheit“ weiterlebt, bringen wenig.

Ernstfall

Notfallzugang: Was, wenn der Schlüssel fehlt?

Ein zentraler Tresor ist nur so gut wie der Plan für den Tag, an dem jemand sein Hauptpasswort vergisst, das Smartphone verliert oder ausfällt. Regeln Sie deshalb von Anfang an:

• Mindestens zwei Administratoren im Passwortmanager, damit das Unternehmen nie von einer Person abhängt.
• Wiederherstellungsschlüssel oder Notfall-Kit ausdrucken und an einem sicheren Ort aufbewahren, etwa im Tresor oder beim Steuerberater.
• Notfallkonten („Break Glass“) für Microsoft 365 mit Hardware-Schlüssel, die nicht im Alltag verwendet werden.
• Mindestens zwei Passkeys pro wichtigem Konto, etwa Smartphone und Sicherheitsschlüssel.

Offboarding: Zugänge sauber entziehen

Wenn jemand das Unternehmen verlässt, entfernen Sie die Person aus dem Passwortmanager und sperren das Microsoft-365-Konto. Prüfen Sie anschließend, auf welche geteilten Tresore sie Zugriff hatte, und ändern Sie die Passwörter, die nicht über eine zentrale Anmeldung laufen – vor allem für Bank, Social Media und Lieferantenportale. Ein guter Passwortmanager zeigt Ihnen genau diese Liste an.

Häufige Fragen zu Passwortmanagern und Passkeys

Dieser Beitrag gibt einen allgemeinen Überblick. Funktionen und Bezeichnungen der genannten Produkte können sich ändern. Stand: Oktober 2026.