Passwörter im Team: Das Risiko der Excel-Liste

Die Frage kommt meist bei einer Übergabe: Jemand verlässt den Betrieb, und plötzlich ist wichtig, wo eigentlich die Zugangsdaten stehen. Die Antwort lautet erstaunlich oft: „In der Liste. Auf dem Laufwerk. Frag mal Frau K."

Diese Liste ist der Grund, warum Passwörter im Team eines der lohnendsten Aufräumthemen überhaupt sind. Nicht weil Excel schlecht wäre. Sondern weil eine solche Datei drei Eigenschaften hat, die zusammen gefährlich werden: Sie enthält alles, sie lässt sich unbemerkt kopieren, und sie vergisst nichts — auch keine Zugänge, die längst niemand mehr braucht.

Dass ein einziger Fund reicht. Ein Angreifer, der über ein Postfach oder einen Rechner ins Netz kommt, sucht nicht nach Ihren Daten — er sucht nach genau dieser Datei. Sie heißt in aller Regel so, wie man sie vermuten würde, und sie liegt dort, wo alle sie finden müssen.

Ist sie gefunden, hört die Verteidigung auf zu wirken. Zugänge zu Bank, Shop, Warenwirtschaft, Domain, E-Mail-Konten — alles in einer Datei, sortiert und beschriftet.

Dazu kommt das leisere Problem: Kopien hinterlassen keine Spur. Wer die Liste einmal geöffnet und gespeichert hat, hat sie. Ob das passiert ist, lässt sich hinterher nicht feststellen. Beim Ausscheiden eines Mitarbeiters bleibt deshalb immer ein Rest Unsicherheit — und die einzige saubere Reaktion wäre, alle enthaltenen Kennwörter zu ändern. Das macht niemand, weil es zwei Tage dauert.

Nein, und zwar aus einem unerwarteten Grund: Das Kennwort kennt dann auch wieder das ganze Team — es steht in der Regel in einer zweiten Liste oder in einer Mail. Der Schutz endet an derselben Stelle, an der er anfangen sollte.

Der Verschlüsselungsschutz aktueller Office-Versionen ist technisch übrigens brauchbar. Das Problem ist nicht die Mathematik, sondern die Organisation drumherum.

Der Unterschied liegt nicht darin, dass Kennwörter „sicherer gespeichert" werden. Er liegt in vier Dingen, die eine Datei prinzipiell nicht kann:

• Freigeben statt weitergeben. Ein Zugang wird einer Person oder einem Team zugeordnet und lässt sich wieder entziehen. Bei einer Datei können Sie nur die ganze Datei geben oder gar nichts.
• Sichtbar machen, wer was hat. Wer welchen Zugang nutzen darf, steht nicht mehr im Kopf des Chefs.
• Ausscheiden ohne Generalwechsel. Wird ein Konto deaktiviert, sind die freigegebenen Zugänge weg. Nachträglich ändern muss man nur das, was die Person tatsächlich in der Hand hatte.
• Ordnung erzwingen. Doppelte, tote und uralte Einträge fallen beim Umzug auf — meistens ist ein Drittel der Liste Altbestand.

Zwei Dinge, die häufig vorgeschlagen werden und selten funktionieren:

Jeder verwaltet seine Zugänge selbst im Browser. Für persönliche Kennwörter ist der Browser-Speicher besser als sein Ruf. Für gemeinsame Zugänge taugt er nicht: Er lässt sich nicht geordnet freigeben, und beim Gerätetausch fängt das Rätselraten an.

Alles auf einmal umstellen. Ein Betrieb mit 120 Einträgen, der an einem Nachmittag komplett wechseln soll, wechselt gar nicht — er hat danach zwei Systeme. Der Weg, der funktioniert, ist der langweilige: erst die kritischen zwanzig Zugänge, dann der Rest im Vorbeigehen.

Und ehrlich: Bei einem Betrieb mit drei Personen, bei dem alle drei ohnehin alles dürfen, ist der Gewinn kleiner als der Aufwand. Da reicht es, die Liste an einen geschützten Ort zu legen und die wirklich kritischen Zugänge herauszunehmen.

Bei einer Übernahme haben wir die vorhandene Liste gemeinsam mit dem Kunden durchgesehen: 87 Einträge. Davon waren 31 Zugänge zu Diensten, die es im Betrieb nicht mehr gab — teilweise seit Jahren gekündigt.

Bei vier Einträgen war dasselbe Kennwort hinterlegt wie beim Online-Banking. Nicht aus Nachlässigkeit, sondern weil es 2019 mal jemand „übergangsweise" so gemacht hat.

Der Chef hat die Liste danach nicht mehr angefasst. Was aus den 31 toten Zugängen geworden ist, wissen wir bis heute nicht — bei einigen ließ sich nicht mehr klären, ob der Anbieter das Konto überhaupt gelöscht hat.

Fangen Sie nicht mit der Software an, sondern mit einer Frage: Welche fünf Zugänge würden uns wirklich wehtun? Bank, E-Mail, Domain, Warenwirtschaft, Fernzugang — meistens sind es genau diese.

Diese fünf gehören aus der Liste heraus, bekommen eigene Kennwörter und, wo möglich, eine zweite Anmeldestufe. Das ist ein Vormittag Arbeit und nimmt den Großteil des Risikos mit. Alles Weitere kann danach in Ruhe passieren.

Wie das mit den übrigen Bausteinen zusammenhängt, steht auf unserer Übersicht zur IT-Sicherheit im Mittelstand. Und wenn Sie sich fragen, was beim Ausscheiden eines Mitarbeiters sonst noch offen bleibt: Darüber haben wir gesondert geschrieben.

Wenn Sie wollen, sehen wir uns Ihre Liste einmal gemeinsam an — ohne Umstellungsdruck. Meistens ist das Ergebnis eine kürzere Liste und drei Kennwörter, die noch heute geändert gehören.