An einem Montagmorgen stösst Sophie B. auf das Notizbuch neben dem Drucker: Darin steht das Passwort der Buchhaltungssoftware, seit Jahren unverändert, einem grossen Teil des Teams bekannt – auch einer Mitarbeiterin, die letzten Herbst gegangen ist. Es ist nie etwas «schiefgelaufen». Doch der Gedanke, dass sich ein Kundendossier so einfach öffnen lässt, macht sie unruhig. Die eigentliche Frage ist nicht, ein noch verworreneres Passwort zu finden: Es geht darum, eine Passwortrichtlinie zu haben, die im echten Alltag der Kanzlei hält.
Wozu eine Passwortrichtlinie wirklich dient
Eine Passwortrichtlinie ist, im Klartext, die Gesamtheit einfacher Regeln, die das ganze Team befolgt, um seine Passwörter zu erstellen, aufzubewahren und zu schützen. Kein zehnseitiges Reglement: ein paar Prinzipien, die alle verstehen und tatsächlich anwenden.
Das Problem, das sie löst, ist sehr konkret. In einer kleinen Struktur kehren überall dieselben Gewohnheiten wieder: ein kurzes, «leicht zu merkendes» Passwort, dasselbe über mehrere Dienste hinweg wiederverwendet, auf einem Zettel notiert oder per E-Mail geteilt. Jede dieser Gewohnheiten öffnet eine Tür.
Der häufigste Angriff hat übrigens nichts Ausgeklügeltes. Wenn ein Passwort beim Hack einer beliebigen Website abfliesst, probieren die Angreifer es automatisch, zu Tausenden, auf anderen Diensten aus – E-Mail, Online-Banking, Fachanwendungen. Man nennt das «Credential Stuffing»: ein einmal gestohlenes Passwort anderswo wiederverwenden. Wenn Sie überall dasselbe Passwort nutzen, genügt ein einziger Datenabfluss, um den Rest zu Fall zu bringen.
Ein geteiltes, in einem Notizbuch notiertes Passwort häuft gleich zwei Schwächen an. Erstens weiss man nicht mehr, wer es kennt: Mit den Zu- und Abgängen wächst die Liste, ohne dass jemand sie führt. Zweitens kann man es einer einzelnen Person nicht sauber entziehen: Wenn jemand geht, behält man entweder das Passwort so, wie es ist – und die ehemalige Person hat weiter Zugriff –, oder man ändert es für alle, was niemand tun mag. Das übliche Ergebnis: Es geschieht nichts.
Für eine Treuhandkanzlei geht es um mehr als Bequemlichkeit. Sie verwalten die Buchhaltung, die Löhne und die Steuerdaten von Dutzenden Kunden – Informationen, die faktisch dem Berufsgeheimnis unterliegen. Das neue schweizerische Datenschutzgesetz (revDSG) erwartet von jedem Unternehmen «angemessene» Sicherheitsmassnahmen für die Daten, die es bearbeitet. Ein seriöser Umgang mit Passwörtern gehört dazu. Niemand verlangt von Ihnen ein Zertifikat: Sie sollen zeigen können, dass Sie sich darum kümmern.
Was Sie sich merken sollten
Länge zählt mehr als Sonderzeichen. Jahrelang verlangte man Passwörter voller Grossbuchstaben, Ziffern und Sonderzeichen, alle drei Monate geändert. Das Ergebnis: unaussprechliche Passwörter, die sich niemand merkt – also im Notizbuch landen. Die massgeblichen Empfehlungen (das amerikanische NIST, dem sich das schweizerische Bundesamt für Cybersicherheit BACS angeschlossen hat) haben ihre Meinung geändert: Ein langes, leicht zu merkendes Passwort ist besser als ein kurzes, kompliziertes. Daher die Idee der Passphrase – eine Folge mehrerer Wörter, zum Beispiel vier zusammenhanglose Wörter, die ein langes, leicht merkbares und sehr schwer zu erratendes Passwort ergibt.
Man merkt sich seine Passwörter nicht mehr: man legt sie ab. Bei Dutzenden Diensten ist es unmöglich, sich für jeden ein eindeutiges, langes Passwort zu merken. Das ist die Aufgabe des Passwort-Managers – ein digitaler Tresor, der Ihre Passwörter für Sie erstellt, speichert und einfüllt, geschützt durch ein einziges Master-Passwort. Sie müssen sich nur noch eine Sache merken; um den Rest kümmert sich die Software.
Das Passwort allein genügt nicht mehr. Selbst lang und eindeutig kann es abgefangen werden. Die Zwei-Faktor-Authentifizierung (oft mit MFA abgekürzt) fügt beim Anmelden einen zweiten Nachweis hinzu – meist einen zeitlich begrenzten Code auf Ihrem Telefon oder eine Bestätigung in einer App. Selbst wenn jemand Ihr Passwort kennt, fehlt ihm dieser zweite Faktor. Sie ist die wirksamste und oft einfachste Ergänzung zu einer guten Passwortrichtlinie.
Die Schritte für diese Woche
1. Setzen Sie bei sensiblen Zugängen auf Passphrasen
Beginnen Sie mit den Konten, die zählen: E-Mail, Buchhaltungssoftware, Administratorzugang. Ersetzen Sie für jedes das alte Passwort durch eine Passphrase: vier zufällig gewählte Wörter, für Sie leicht vorstellbar, ohne Bezug zu Ihrem Namen oder Ihrem Unternehmen. Sie erhalten einen deutlich stärkeren Zugang, ohne das Sonderzeichen-Kopfzerbrechen. Und Sie hören ab sofort auf, dasselbe Passwort von einem Dienst zum anderen wiederzuverwenden. Eine gute Nachricht am Rande: Eine lange, eindeutige Passphrase muss nicht alle drei Monate geändert werden. Sie ändern sie nur, wenn Sie einen Abfluss vermuten – so lautet heute die Empfehlung, und das nimmt Ihnen eine überflüssige Pflicht ab.
2. Richten Sie einen Passwort-Manager ein
Wählen Sie einen seriösen Passwort-Manager und richten Sie ihn zuerst für sich ein, auf Computer und Telefon. Lassen Sie ihn für jeden Dienst eindeutige Passwörter erstellen und merken. Sobald Sie sich sicher fühlen, weiten Sie ihn auf das Team aus: Das ist der sauberste Weg, um Passwörter auf Zetteln und Versand per E-Mail zu beenden. Wie man Tresore, geteilte Zugänge und Abgänge organisiert, will vorbereitet sein – und genau das richtet eine strukturierte Einführung ein.
3. Aktivieren Sie die Zwei-Faktor-Authentifizierung beim Wesentlichen
Aktivieren Sie die Zwei-Faktor-Authentifizierung (MFA) mindestens für die E-Mail und für die Werkzeuge, die Kundendaten enthalten. Bei den meisten professionellen Diensten – darunter die Bürosuite, die Sie vermutlich nutzen – gibt es die Option bereits: Sie müssen sie nur aktivieren und die Telefone des Teams registrieren. Planen Sie auch eine Rückfalllösung ein (einen sicher aufbewahrten Wiederherstellungscode), damit Sie bei Verlust eines Telefons nicht ausgesperrt bleiben.
Wo stehen Sie wirklich?
Diese drei Schritte senken das Risiko bereits deutlich. Doch eine Passwortrichtlinie, die dauerhaft hält, verlangt etwas mehr: zu entscheiden, welche Konten kritisch sind, einen Zugang sauber zu teilen, statt ihn zuzuflüstern, und vor allem den Zugang einer Person zu sperren, die das Unternehmen verlässt – genau der Punkt, der Sophie B. vor ihrem Notizbuch unruhig gemacht hat.
Cyber Passport zertifiziert nichts und erklärt Sie nicht für «konform». Es hilft Ihnen bei einer strukturierten Selbsteinschätzung: Wo stehen Sie wirklich bei Passwörtern, Zugängen und dem Rest, und womit fangen Sie an? Ein ehrlicher Ausgangspunkt, den Sie anschliessend mit einem Kunden oder einem Prüfer teilen können, der danach fragt.
Um von den drei Schritten zu einer vollständigen Richtlinie zu gelangen – Regelvorlage, Einführung des Managers im Team, geteilte Tresore und Austrittsverfahren – führt Sie der eigens dafür gedachte Blueprint Schritt für Schritt.
