Eines Morgens, als sie am Empfang ihrer Kanzlei vorbeigeht, bemerkt Sophie B. ein Detail, das sie längst nicht mehr wahrnahm: einen gelben Notizzettel unter dem Bildschirm, mit dem Passwort für das gemeinsame Postfach. Seit Jahren dasselbe, dem ganzen Team bekannt – und wahrscheinlich auch ehemaligen Kolleginnen und Kollegen, die längst weg sind. Niemand hat irgendetwas «gehackt». Und doch bringt dieses kleine Stück Papier ganz allein auf den Punkt, warum ein sicheres Passwort zehn Minuten Aufmerksamkeit verdient.
Was macht ein Passwort heute wirklich sicher?
Lange glaubte man, ein gutes Passwort sei ein kompliziertes: Grossbuchstaben, Ziffern, ein oder zwei Sonderzeichen, das Ganze unmöglich zu merken. Die Folge: Alle schrieben ihre Passwörter irgendwo auf oder benutzten immer dasselbe und änderten bloss eine Ziffer am Ende. Genau darauf hofft ein Angreifer.
Denn ein Angreifer sitzt nicht vor Ihrem Bildschirm und errät Ihr Passwort von Hand. Er nutzt Programme, die Millionen Kombinationen pro Sekunde testen, und vor allem Listen von Passwörtern, die anderswo bereits gestohlen wurden – bei einem Onlineshop, einem Forum, einer vergessenen App. Wenn bei einem Dienst Daten abfliessen, werden sie verkauft, und Werkzeuge spielen sie automatisch gegen andere Konten aus: Das nennt man «Credential Stuffing» (gestohlene E-Mail-/Passwort-Paare massenhaft ausprobieren, bis eines passt).
Dagegen zählen zwei Merkmale weit mehr als ein Ausrufezeichen: die Länge und die Einzigartigkeit. Das dritte Merkmal ist, es sich gar nicht merken zu müssen – dazu weiter unten mehr. Was diese drei Ideen gemeinsam haben: Keine davon verlangt technisches Können, nur eine geänderte Gewohnheit.
Länge schlägt Komplexität. Ein kurzes Passwort voller Sonderzeichen wie P@ss!2 lässt sich leichter knacken als eine lange, einfache Zeichenfolge. Jedes zusätzliche Zeichen vervielfacht die Zahl der zu testenden Kombinationen: Die Länge ist es, die Knack-Werkzeugen wirklich wehtut. Das Bundesamt für Cybersicherheit (BACS/NCSC), die Schweizer Referenz auf diesem Gebiet, empfiehlt denn auch, lange Passwörter in Form von Sätzen zu bevorzugen statt kurzer, verdrehter. Zielen Sie auf mindestens zwölf bis sechzehn Zeichen – und mehr für Ihre sensibelsten Konten.
Einzigartigkeit schliesst Türen der Reihe nach. Wenn dasselbe Passwort Ihr Postfach, Ihre Buchhaltungssoftware und Ihr Lieferkonto öffnet, genügt ein einziges Leck, um alles zu kompromittieren. Ein Passwort, das stark, aber überall wiederverwendet ist, ist nur einmal stark: Sobald ein Dienst geknackt wird, wird es zum Generalschlüssel in irgendjemandes Händen.
Nebenbei hat eine alte Gewohnheit ausgedient: das Passwort alle drei Monate zwingend zu wechseln. Wir wissen heute, dass dies vor allem dazu führt, eine Ziffer am Ende zu variieren (Kanzlei2024, dann Kanzlei2025) – was keine echte Sicherheit bringt. Besser ist ein langes, einzigartiges Passwort, das Sie nur bei einem Zweifel oder einem belegten Leck ändern. Das ist auch die Haltung der aktuellen Empfehlungen.
Klartext, mit Camille. Suchen Sie nicht das «perfekte», unleserliche Passwort. Suchen Sie das Passwort, das Ihre Mitarbeitenden wirklich übernehmen: lang, für jedes Konto eigen und aus einem Werkzeug statt aus einer Schublade. Sicherheit, die Bestand hat, ist die, die nicht jeden Morgen einen heldenhaften Aufwand verlangt.
Was Sie sich merken sollten
- Länge zählt mehr als komplizierte Zeichen. Ein langer, leicht merkbarer Satz schlägt ein kurzes, unleserliches Kauderwelsch.
- Ein Passwort = ein Konto. Wiederverwendung macht aus einem fernen Leck ein Problem vor Ihrer eigenen Tür.
- Sie können sich nicht alles merken – und das ist normal. Zwanzig einzigartige, lange Passwörter auswendig zu behalten, ist unmöglich: Das ist die Aufgabe eines eigenen Werkzeugs, nicht Ihres Gedächtnisses oder eines Notizzettels. Und bei wichtigen Konten kommt ein zweites Schloss dazu: die Zwei-Faktor-Authentifizierung (MFA) – zusätzlich zum Passwort ein zweiter Nachweis, zum Beispiel ein Einmalcode auf Ihrem Telefon.
Die Gewohnheiten für diese Woche
1. Ersetzen Sie Ihre Passwörter durch Passphrasen
Eine Passphrase ist einfach ein Passwort aus mehreren zusammenhanglosen Wörtern – zum Beispiel Kaktus-Velo-Nebel-Kaffee. Sie ist lang, also stark; sie ist bildhaft, also leicht zu merken; und sie vermeidet die sinnlosen Ersetzungen wie @ statt a, die Knack-Werkzeuge in- und auswendig kennen. Vier oder fünf zufällig gewählte Wörter reichen, um etwas sehr Langes zu erhalten, ohne etwas aufzuschreiben. Beginnen Sie mit den Zugängen, die in einer Treuhandkanzlei am meisten zählen: dem Postfach und der Fachsoftware, jenen, die den Zugang zu den Daten Ihrer Kundinnen und Kunden öffnen.
2. Ein Konto, ein Passwort – und weg mit den Notizzetteln
Das geteilte Passwort unter dem Bildschirm muss verschwinden, angefangen beim gemeinsamen Postfach. Jede Person, jeder kritische Dienst erhält einen eigenen Zugang. Geteilte Konten haben einen weiteren, im Alltag unsichtbaren Fehler: Wenn jemand geht, denkt niemand daran, das Passwort zu ändern, das diese Person kannte – und der Zugang bleibt offen. Ein personenbezogener Zugang lässt sich am Tag des Weggangs mit einem Handgriff schliessen. Sie müssen nicht alles auf einmal neu machen: Listen Sie Ihre fünf sensibelsten Konten auf und geben Sie jedem ein einzigartiges, langes Passwort. Der Rest folgt.
3. Übergeben Sie das Merken einem Passwort-Manager
Ein Passwort-Manager ist ein verschlüsselter digitaler Tresor: Sie merken sich nur noch ein einziges Master-Passwort, und das Werkzeug erzeugt, speichert und füllt alle anderen für Sie aus. Dieses Master-Passwort verdient es, eine echte, lange Passphrase zu sein – es ist das Einzige, was Sie sich noch merken müssen. Um den Rest kümmert sich das Werkzeug auf all Ihren Geräten, auch dem Telefon. Genau das macht die beiden vorherigen Gewohnheiten im Alltag wirklich tragfähig, ohne zurück zum Papier. Aktivieren Sie bei dieser Gelegenheit die Zwei-Faktor-Authentifizierung auf dem Manager selbst und auf Ihrem Postfach. All das im Massstab eines Teams zu organisieren – geteilte Tresore, Eintritte und Austritte – erfordert etwas Methode: Genau das legt unser eigener Blueprint dar.
Wo stehen Sie wirklich?
Das revDSG (das revidierte schweizerische Datenschutzgesetz, in Kraft seit September 2023) erwartet von einem KMU, das Kundendaten hält, «angemessene» Sicherheitsmassnahmen. Ein sicheres, einzigartiges, gut verwaltetes Passwort gehört dazu – ebenso wie die Zwei-Faktor-Authentifizierung. Das sind keine Themen, die grossen Unternehmen vorbehalten sind: In einer Struktur von wenigen Personen ohne eigene IT sind es gerade diese einfachen Gewohnheiten, die den Unterschied machen.
Cyber Passport zertifiziert nichts und erklärt Sie nicht für «konform». Es bietet Ihnen eine strukturierte Selbstbewertung, die Ihnen Frage für Frage zeigt, wo Ihre Organisation trägt und wo sie heute noch auf einem einfachen Notizzettel ruht. Um von guten Absichten zu einer Passwortrichtlinie und einem im Team tatsächlich eingeführten Manager zu gelangen, führt Sie der folgende Blueprint Schritt für Schritt.
