Passwörter, MFA und digitale Hygiene im Unternehmen

Die meisten Cyberangriffe auf eine KMU beginnen nicht bei einem Code-Genie, sondern bei einem schwachen oder wiederverwendeten Passwort. Man braucht kein Budget einer Grossbank, um sich zu verteidigen: Man braucht Disziplin bei einigen wenigen Massnahmen, die zusammen das Risiko im Verhältnis zu ihren Kosten überproportional senken. Digitale Hygiene ist wie Gesundheitshygiene: banal zu sagen, entscheidend zu tun. Sehen wir uns an, was wirklich zählt und wie man es einrichtet, ohne die Arbeit zur Qual zu machen.

Warum Passwörter der Schwachpunkt bleiben

Das Problem ist nicht, dass Passwörter nicht funktionieren, sondern wie sie genutzt werden. Drei wiederkehrende Fehler erklären einen Grossteil der Verletzungen:

• Wiederverwendung: dasselbe Passwort für mehrere Dienste. Wird eine Website geknackt, probiert derjenige, der die Zugangsdaten gestohlen hat, sie überall aus (das ist das sogenannte Credential Stuffing).
• Schwäche: kurze Passwörter mit Namen, Daten oder Wörterbuchwörtern, die eine Software in Sekunden errät.
• Informelles Teilen: Zugangsdaten, die per Chat oder E-Mail weitergegeben, auf Zetteln notiert oder in der Betriebssoftware vermerkt werden.

Die praktische Folge: Ein einziges Datenleck bei einem externen Dienst genügt, damit der Angreifer in das Firmenpostfach, die Betriebssoftware oder das E-Banking gelangt.

Die Mindestregeln für Passwörter

Ernstzunehmende Empfehlungen sprechen heute nicht mehr von “ändere das Passwort alle 30 Tage”. Der aktuelle Konsens ist ein anderer und wirksamer:

1. Länge vor Komplexität: Eine lange Passphrase (mehrere unzusammenhängende Wörter) schlägt ein kurzes, mit Symbolen gespicktes Passwort.
2. Ein anderes Passwort für jeden Dienst: nie wiederverwenden.
3. Wechsel nur bei Verdacht: Der häufige erzwungene Wechsel verschlechtert die Lage, weil er zu vorhersehbaren Varianten drängt.
4. Kein Teilen im Klartext: gemeinsame Zugangsdaten nur über dedizierte Werkzeuge verwalten.

Sich Dutzende verschiedener Passwörter von Hand zu merken, ist unmöglich. Hier kommt das Schlüsselwerkzeug ins Spiel.

Der Passwort-Manager

Ein Passwort-Manager erzeugt, speichert und füllt starke und einzigartige Zugangsdaten aus, geschützt durch ein einziges starkes Hauptpasswort. Für eine KMU ändert das die Spielregeln: Er beseitigt die Wiederverwendung, erlaubt es, den Zugang zu einem Dienst zu teilen, ohne das Passwort preiszugeben, und ermöglicht es, den Zugang eines ausscheidenden Mitarbeiters mit einem Klick zu entziehen. Es ist die Investition mit dem besten Kosten-Nutzen-Verhältnis in der gesamten Unternehmenssicherheit.

MFA: die Verteidigung, die am meisten zählt

Wenn Sie nur eine einzige Massnahme aktivieren können, aktivieren Sie die Mehr-Faktor-Authentifizierung (MFA). Sie fügt über das Passwort hinaus ein zweites Element hinzu: einen temporären Code aus einer App, eine Benachrichtigung auf dem Telefon, einen physischen Schlüssel. Selbst wenn jemand das Passwort stiehlt, gelangt er ohne den zweiten Faktor nicht hinein.

Einige praktische Präzisierungen:

• Authentifizierungs-Apps oder physische Schlüssel sind sicherer als die SMS, die mit SIM-Swapping abgefangen werden kann. Besser SMS als nichts, aber wenn Sie können, wählen Sie die App.
• Aktivieren Sie MFA zuallererst bei kritischen Konten: Firmenpost, E-Banking, Betriebssoftware, administrative Zugänge, Cloud-Dienste.
• Die Post ist oft der Schlussstein: Wer sie kontrolliert, kann die Passwörter fast alles Übrigen zurücksetzen.

Das menschliche Glied: Phishing und gesunder Menschenverstand

Die Technik genügt nicht, wenn eine Person die Schlüssel aushändigt. Das Phishing — Nachrichten, die Lieferanten, Banken oder Kollegen nachahmen, um Zugangsdaten zu stehlen oder Zahlungen zu veranlassen — bleibt der verbreitetste Vektor. Betrügereien vom Typ “IBAN-Wechsel des Lieferanten” oder “dringender Auftrag des Chefs” treffen Unternehmen jeder Grösse.

Die Gewohnheiten, die das Risiko senken:

• Der Dringlichkeit misstrauen: Der Druck, schnell zu handeln, ist die Signatur des Betrugs.
• Zahlungen über einen zweiten Kanal überprüfen: Eine Änderung der Bankverbindung wird per Telefon bestätigt, nicht per E-Mail.
• Absender und Links prüfen, bevor man klickt, ohne dem angezeigten Namen zu vertrauen.

Die weiteren Massnahmen der digitalen Hygiene

Über Passwörter und MFA hinaus vervollständigen wenige Praktiken die Grundverteidigung:

• Aktualisierungen: aktuelle Systeme, Browser und Anwendungen schliessen bekannte Lücken. Aufschieben ist ein konkretes Risiko.
• Backups: regelmässige, getestete und auch offline aufbewahrte Kopien. Sie sind die eigentliche Verteidigung gegen Ransomware.
• Minimale Zugänge: Jede Person hat nur die Berechtigungen, die sie braucht; die Konten von Ausscheidenden werden sofort deaktiviert.
• Geräteschutz: Verschlüsselung von Laptops und Telefonen, Bildschirmsperre, aktuelles Antivirenprogramm.

Keine davon ist kompliziert. Die Schwierigkeit ist die Beständigkeit, und genau dort braucht es eine schriftliche Regel.

Wie man es im Unternehmen einrichtet

Eine einseitige, von allen verstandene Sicherheitsrichtlinie ist mehr wert als ein technisches Dokument, das niemand liest. Sie muss klar sagen: wie Passwörter verwaltet werden, wo MFA obligatorisch ist, wie Zahlungen überprüft werden, wen man im Zweifelsfall kontaktiert. Es ist kein abstraktes IT-Thema: Der Schutz der Zugänge berührt unmittelbar den Schutz der Daten von Kunden und Mitarbeitenden, den das neue Schweizer Gesetz (revDSG) verlangt.

SIH ONE ist eine AI-native Treuhandgruppe: Die Sicherheit der Zugänge und der Datenschutz sind Teil der Art, wie wir die Informationen der Kunden behandeln. Wir helfen Ihnen, Regeln der digitalen Hygiene einzurichten, die Ihrer Realität angemessen sind, ohne die tägliche Arbeit zu belasten.

Möchten Sie die Zugänge Ihres Unternehmens absichern, ohne sich das Leben zu verkomplizieren? Sprechen wir darüber.