Acht Monate. So lange dauert es im Schnitt, bis die Hälfte der gefundenen schwachen Passwörter und falsch gesetzten Berechtigungen behoben ist. Nicht acht Tage sondern acht Monate.
Das liegt selten am Können. Es liegt daran, dass niemand mehr weiss, wo überall ein Zugang liegt und wer ihn kennt.
Wo die Passwörter tatsächlich liegen
In einer Mail an die Stellvertretung. In einem Chat mit der Kollegin, die kurz einspringen musste. In einer Excel-Liste im gemeinsamen Ordner, die vor drei Jahren jemand angelegt hat. Auf einem Zettel in der obersten Schublade.
Das Bundesamt für Cybersicherheit ist in seiner Empfehlung eindeutig: Passwörter nie an Dritte weitergeben, für jedes Konto ein eigenes, mindestens zwölf Zeichen. Und es empfiehlt ausdrücklich den Einsatz eines Passwortmanagers.
Nur regelt das den Alltag nicht. Wer während der Ferien vertreten wird, muss den Zugang übergeben. Wer heute eine Rechnung freigeben muss, kann nicht bis morgen warten. Passwörter werden nicht aus Nachlässigkeit weitergegeben, sondern weil es keinen vorgesehenen Weg gibt. Wenn der offizielle Weg fehlt, nimmt man den schnellsten.
Was danach damit geschieht
Ein weitergegebenes Passwort verschwindet nicht. Es liegt im Postfach der Empfängerin, im Ordner «Gesendet», in der Chatverlaufssicherung, und es gilt weiter.
Der Verizon-Bericht zeigt, was daraus werden kann. Gestohlene Zugangsdaten werden heute gesammelt und weiterverkauft, an Angreifer, die damit gar nicht mehr selbst einbrechen müssen. Bei der Hälfte der Ransomware-Opfer, deren Zugangsdaten zuvor abgeflossen waren, lagen zwischen dem Datenabfluss und dem Angriff weniger als 95 Tage. Ransomware machte 2025 bereits 48 Prozent aller ausgewerteten Vorfälle aus.
Dazu kommt ein Punkt, der Treuhandbüros und Arztpraxen besonders betrifft: Bei fast der Hälfte aller Vorfälle war ein Dritter beteiligt, ein Dienstleister, ein Partner, ein Zulieferer. Gegenüber dem Vorjahr ist dieser Anteil um 60 Prozent gestiegen. Wer fremde Zugänge verwaltet, verwaltet fremdes Risiko mit.
_____________________________________________________________________________
Ein weitergegebenes Passwort lässt sich nicht zurücknehmen. Es gilt, bis jemand es ändert.
_____________________________________________________________________________
Zugänge statt Passwörter
Ein Passwortmanager ändert nicht das Passwort, sondern den Weg dorthin. Zugriffsrechte werden einzelnen Personen oder Gruppen zugewiesen: lesen, schreiben, anlegen oder kein Zugriff. Entziehen lässt sich ein Recht jederzeit, mit sofortiger Wirkung.
Im Alltag merkt davon niemand etwas. Die Browser-Erweiterung füllt die Zugangsdaten ein, das Team muss kein Passwort kennen und keines eintippen. Die Berechtigungen folgen der Organisation, also Abteilungen und Teams. Wer administriert, verwaltet die Zugriffe, ohne die hinterlegten Passwörter zu sehen. Jede Änderung wird protokolliert und lässt sich rückgängig machen.
Verlässt jemand das Unternehmen, entziehen Sie die Rechte auf einmal. Die Frage, welche Passwörter jetzt zu ändern sind, stellt sich nicht mehr.
Warum wir eine Schweizer Lösung anbieten
In einem Passwortmanager liegen sämtliche Zugänge eines Unternehmens. Entsprechend zählt, wo diese Daten gespeichert sind und nach welchem Recht sie behandelt werden.
Wir haben uns für PassSecurium entschieden, ein Produkt der ALPEIN Software SWISS AG in Stein am Rhein. Die Daten liegen in zwei getrennten Rechenzentren in der Schweiz, redundant ausgelegt. Anbieter und Server stehen damit unter Schweizer Recht, konkret unter dem revidierten Datenschutzgesetz. Die Plattform wird monatlich auf Schwachstellen geprüft, quartalsweise vertieft, ergänzt durch Penetrations-Tests, teilweise durch externe Spezialisten.
Verschlüsselt wird auf dem Gerät. Auf den Servern liegt nur verschlüsselter Text.
Der Test, der zehn Sekunden dauert
Wenn heute jemand kündigt: Wie viele Passwörter müssen Sie ändern? Und wissen Sie, welche?
Wer darauf keine Antwort hat, hat das Problem. Nicht in ferner Zukunft, sondern jetzt.
Wer wissen will, wie viele Zugänge im eigenen Betrieb im Umlauf sind und wie sich das ordnen lässt, kann das gerne mit Oliver Hunziker oder unter 044 244 09 29.besprechen. Kein Fragebogen, kein Verkaufsgespräch. Einfach ein Gespräch.