Zurück aus dem Urlaub und niemand kennt mehr das Passwort

Der erste Arbeitstag nach dem Urlaub beginnt überraschend ruhig. Der Kaffee steht bereit, das E-Mail-Postfach ist halbwegs unter Kontrolle und für einen kurzen Moment sieht es so aus, als könnte der Einstieg tatsächlich entspannt verlaufen. Dann kommt die Nachricht: Auf der Website muss dringend etwas geändert werden. Vielleicht ist eine Telefonnummer falsch, ein wichtiges Dokument muss ausgetauscht werden oder eine aktuelle Meldung soll online gehen.

Eigentlich eine kleine Aufgabe. Bis jemand fragt: Wer hat die Zugangsdaten?

Die zuständige Person ist noch auf Urlaub. Die frühere Agentur reagiert nicht. Das Passwort im internen Dokument funktioniert nicht mehr und der Bestätigungscode wird an eine Mobilnummer geschickt, die niemand zuordnen kann. Aus einer Änderung, die zehn Minuten dauern sollte, wird plötzlich eine interne Spurensuche.

Solche Situationen wirken zunächst fast komisch. Zumindest so lange, bis es nicht um einen Textfehler, sondern um eine Sicherheitslücke, einen Ausfall oder eine ablaufende Domain geht. Dann zeigt sich, dass digitale Zugänge kein organisatorisches Detail sind. Sie gehören zur grundlegenden Infrastruktur eines Unternehmens.

Der Klassiker: Irgendjemand wird die Zugangsdaten schon haben

In vielen Unternehmen sind digitale Zugänge über Jahre gewachsen. Eine Person hat damals die Domain registriert, eine andere das Hosting bestellt und die Website wurde von einer Agentur eingerichtet, die inzwischen nicht mehr betreut. Social-Media-Konten wurden von Mitarbeitenden angelegt, Newsletter-Zugänge liegen im Marketing und das Unternehmensprofil bei Google wurde irgendwann mit einer privaten E-Mail-Adresse verknüpft.

Solange alle Beteiligten erreichbar sind und nichts geändert werden muss, fällt diese Struktur kaum auf. Die Website funktioniert, Beiträge können veröffentlicht werden und Rechnungen werden automatisch bezahlt. Das vermittelt den Eindruck, alles sei geregelt.

Tatsächlich hängt der Betrieb häufig an einzelnen Personen, privaten E-Mail-Adressen oder alten Zugangsdaten, deren aktueller Stand nicht geprüft wurde. Besonders sichtbar wird das nach Ferienzeiten, Personalwechseln oder einem Agenturwechsel. Plötzlich kennt niemand mehr den vollständigen Aufbau und jede einfache Aufgabe beginnt mit der Frage, wer möglicherweise noch Zugriff haben könnte.

Der Satz „Das hat damals jemand aus der IT eingerichtet“ ist dabei selten ein gutes Zeichen. Noch kritischer wird es bei „Das müsste die ehemalige Kollegin wissen“ oder „Ich glaube, die Agentur hat alles“. Glauben ist bei Zugangsdaten leider keine belastbare Betriebsstrategie.

Es geht um weit mehr als das Passwort zur Website

Beim Thema Zugänge denken viele zunächst an das Backend der Website. Doch der Login zum Content-Management-System ist nur ein Teil der digitalen Infrastruktur. Mindestens genauso wichtig sind die Domain, die DNS-Verwaltung, das Hosting, E-Mail-Dienste, Analysewerkzeuge, Newsletter-Systeme, Werbekonten und Unternehmensprofile auf externen Plattformen.

Besonders kritisch ist die Domain. Sie ist nicht nur die Adresse der Website, sondern häufig auch die Grundlage für die geschäftliche E-Mail-Kommunikation. Wenn unklar ist, bei welchem Anbieter die Domain registriert wurde, wer als Inhaber eingetragen ist oder an welche Adresse Verlängerungshinweise geschickt werden, kann das ernsthafte Folgen haben.

Ähnlich sieht es beim Hosting aus. Manchmal ist zwar bekannt, bei welchem Unternehmen die Website liegt, jedoch nicht, wer Zugriff auf das Kundenkonto besitzt. Rechnungen laufen an ehemalige Mitarbeitende, technische Benachrichtigungen landen in ungenutzten Postfächern und wichtige Änderungen können nur über einen Account bestätigt werden, dessen Zugangsdaten fehlen.

Auch Social Media wird gerne unterschätzt. Ein Unternehmensprofil kann professionell gepflegt wirken und trotzdem an einem privaten Konto hängen. Scheidet die betreffende Person aus oder verliert den Zugang, beginnt häufig eine langwierige Wiederherstellung. Dasselbe gilt für Google-Unternehmensprofile, Werbekonten und Newsletter-Systeme. Dort liegen nicht nur Inhalte, sondern teilweise auch Kundendaten, Abrechnungsinformationen und umfangreiche Kampagnenhistorien.

Ein digitales Zugangskonzept sollte deshalb mindestens klären, wer Zugriff auf folgende Bereiche hat:

• Domain und DNS-Verwaltung
• Hosting und Server
• Website oder Webshop
• E-Mail-System und Cloud-Dienste
• Analyse-, Tracking- und Consent-Systeme
• Newsletter- und Marketingplattformen
• Social-Media- und Werbekonten
• Google-Unternehmensprofil und weitere Branchenplattformen

Entscheidend ist nicht, dass jede Person auf alles zugreifen kann. Das wäre eher das nächste Sicherheitsproblem. Entscheidend ist, dass das Unternehmen weiß, welche Systeme existieren, wem sie gehören und wie im Bedarfsfall darauf zugegriffen werden kann.

Wenn der Zugang an einer einzelnen Person hängt

Ein besonders hohes Risiko entsteht, wenn nur eine Person über einen wichtigen Zugang verfügt. Das muss nicht einmal absichtlich schlecht organisiert sein. Häufig hat die betreffende Person das System eingerichtet, laufend betreut und deshalb nie einen Grund gesehen, weitere Zugänge anzulegen.

Problematisch wird das bei Urlaub, Krankheit oder einem unerwarteten Personalwechsel. Plötzlich ist niemand handlungsfähig. Die Situation wird noch komplizierter, wenn eine Zwei-Faktor-Authentifizierung eingerichtet wurde und der zweite Faktor ausschließlich über ein privates Smartphone läuft.

Zwei-Faktor-Authentifizierung ist wichtig und sollte keinesfalls aus Bequemlichkeit deaktiviert werden. Sie muss jedoch organisatorisch sauber umgesetzt sein. Wiederherstellungscodes gehören sicher dokumentiert, geschäftliche Zugänge sollten möglichst nicht an privaten Telefonnummern hängen und für kritische Systeme braucht es mindestens eine geregelte Vertretung.

Dasselbe gilt für Agenturen und externe Dienstleister. Eine professionelle Betreuung bedeutet nicht, dass der Kunde keinen eigenen Zugriff benötigt. Das Unternehmen sollte Eigentümer seiner Domain, seiner Konten und seiner zentralen Systeme bleiben. Die Agentur erhält die Berechtigungen, die sie für ihre Arbeit braucht, aber nicht die alleinige Kontrolle über die digitale Infrastruktur.

Das schützt beide Seiten. Der Kunde bleibt handlungsfähig und die Agentur muss nicht jahrelang die Rolle eines unfreiwilligen Passwortarchivs übernehmen. Bei einem Wechsel lässt sich außerdem sauber festhalten, welche Zugänge übertragen, geändert oder entfernt werden müssen.

Ein Personalwechsel ist der Moment der Wahrheit

Ob die Zugangsverwaltung eines Unternehmens funktioniert, zeigt sich meist dann, wenn jemand das Unternehmen verlässt. Im Idealfall existiert ein klarer Ablauf: Zugänge werden geprüft, persönliche Berechtigungen entzogen, gemeinsam genutzte Passwörter geändert und offene Verantwortlichkeiten übertragen.

In der Realität bleibt dafür zwischen Austrittsgespräch, Rückgabe der Hardware und Übergabe laufender Aufgaben oft wenig Zeit. Digitale Konten geraten dabei leicht in den Hintergrund. Wochen später stellt sich heraus, dass die frühere Person noch Administrator eines Social-Media-Kontos ist oder wichtige Systemmeldungen weiterhin an deren Adresse geschickt werden.

Das ist nicht nur unpraktisch, sondern kann ein Sicherheits- und Datenschutzrisiko darstellen. Ehemalige Mitarbeitende sollten keinen unnötigen Zugriff auf Unternehmenssysteme, Kundendaten oder interne Inhalte behalten. Gleichzeitig darf das Unternehmen durch die Entfernung dieser Zugänge nicht selbst ausgesperrt werden.

Ein geregelter Offboarding-Prozess sollte daher nicht nur Laptop, Schlüssel und Zutrittskarte erfassen. Digitale Berechtigungen sind heute mindestens genauso relevant. Dazu gehört eine Liste der verwendeten Systeme, der jeweiligen Rollen und der notwendigen Maßnahmen beim Austritt.

Der beste Zeitpunkt, diese Liste zu erstellen, ist übrigens nicht am letzten Arbeitstag. Dann ist es meist zu spät und alle Beteiligten haben andere Prioritäten.

Passwörter in Excel sind keine Strategie

Viele Unternehmen dokumentieren Zugänge durchaus. Die Qualität dieser Dokumentation ist jedoch unterschiedlich. Beliebt sind Excel-Listen im gemeinsamen Laufwerk, Word-Dateien mit dem Namen „Passwörter aktuell“ oder Notizen in einem Ordner, dessen Speicherort nur zwei Personen kennen.

Diese Lösungen sind besser als gar keine Dokumentation, aber sie bringen neue Probleme mit sich. Passwörter können unverschlüsselt gespeichert sein, Änderungen werden nicht konsequent nachgetragen und häufig existieren mehrere Versionen derselben Datei. Spätestens bei „Passwörter_final_neu_2025_aktuell.xlsx“ sollte man skeptisch werden.

Sinnvoller ist ein professioneller Passwortmanager mit klar geregelten Rollen und Zugriffsrechten. Damit können Zugangsdaten sicher gespeichert, gezielt geteilt und bei Bedarf aktualisiert werden. Mitarbeitende sehen nur jene Konten, die sie tatsächlich benötigen. Verlässt jemand das Unternehmen, lässt sich der Zugriff zentral entziehen.

Ein Passwortmanager löst allerdings nicht jedes Problem. Auch dort muss definiert sein, wer das Hauptkonto verwaltet, wie Wiederherstellungsmöglichkeiten gesichert sind und welche Personen im Notfall Zugriff erhalten. Technik ersetzt keine Organisation. Sie macht eine gute Organisation lediglich deutlich einfacher.

Zusätzlich sollte regelmäßig geprüft werden, ob die dokumentierten Konten noch erforderlich sind. Alte Testzugänge, nicht mehr genutzte Tools und ehemalige Dienstleister bleiben häufig jahrelang aktiv. Jeder unnötige Zugang vergrößert die Angriffsfläche und erschwert den Überblick.

Der digitale September-Check

Nach der Urlaubszeit ist ein guter Moment, die wichtigsten Zugänge einmal bewusst zu überprüfen. Dafür braucht es zunächst kein großes Projekt. Eine strukturierte Bestandsaufnahme reicht aus, um die offensichtlichsten Risiken zu erkennen.

Prüfen Sie, welche Systeme für Website, Webshop, Kommunikation und Marketing im Einsatz sind. Kontrollieren Sie, ob die hinterlegten Kontaktadressen noch aktiv sind und ob mindestens zwei autorisierte Personen auf kritische Systeme zugreifen können. Testen Sie nicht wahllos sämtliche Passwörter, aber stellen Sie sicher, dass Wiederherstellungswege und Zwei-Faktor-Authentifizierung korrekt eingerichtet sind.

Ebenso wichtig ist die Frage nach den Eigentumsverhältnissen. Läuft die Domain auf das Unternehmen oder auf eine Privatperson? Gehören Werbekonten und Social-Media-Profile tatsächlich dem Unternehmen? Haben frühere Dienstleister noch Zugriffsrechte? Und gibt es für den Notfall eine aktuelle Ansprechperson?

Besonders bei gewachsenen digitalen Strukturen ist eine externe Bestandsaufnahme hilfreich. Eine erfahrene Agentur erkennt häufig schneller, welche Zugänge fehlen, wo Abhängigkeiten bestehen und bei welchen Systemen das Unternehmen selbst nicht vollständig handlungsfähig ist.

Dabei geht es nicht darum, möglichst viele Passwörter einzusammeln. Ziel ist eine klare und sichere Zugriffsstruktur. Das Unternehmen behält die Kontrolle, interne Mitarbeitende erhalten passende Berechtigungen und externe Partner können ihre Aufgaben erledigen, ohne unnötig umfassende Rechte zu besitzen.

Was im Notfall wirklich zählt

Wenn eine Website ausfällt oder eine Sicherheitslücke bekannt wird, zählt nicht nur technisches Wissen. Entscheidend ist, wie schnell die richtigen Personen auf die notwendigen Systeme zugreifen können.

Die beste Agentur kann wenig tun, wenn der Hosting-Zugang fehlt. Ein aktuelles Backup hilft nur begrenzt, wenn niemand weiß, wo es gespeichert ist. Und eine wichtige DNS-Änderung kann nicht durchgeführt werden, wenn der zuständige Account an eine unbekannte E-Mail-Adresse gebunden ist.

Ein einfacher Notfallplan sollte deshalb festhalten, wer bei technischen Problemen kontaktiert wird, welche Systeme besonders kritisch sind und wo die notwendigen Zugänge sicher dokumentiert sind. Ebenso sollte klar sein, wer intern Entscheidungen treffen darf. Bei einem Ausfall ist nicht der richtige Zeitpunkt, um Zuständigkeiten grundsätzlich zu diskutieren.

Dieser Plan muss kein hundertseitiges Handbuch sein. Eine aktuelle Übersicht mit Systemen, Verantwortlichkeiten, Dienstleistern und sicheren Wiederherstellungswegen ist bereits ein großer Fortschritt. Wichtig ist, dass das Dokument regelmäßig geprüft und nicht erst dann gesucht wird, wenn etwas passiert.

Fazit: Ein Passwortproblem ist selten nur ein Passwortproblem

Wenn nach dem Urlaub niemand das Passwort kennt, ist das ärgerlich. Das eigentliche Problem liegt jedoch tiefer. Fehlende Zugangsdaten zeigen, dass Verantwortlichkeiten, Eigentumsverhältnisse und Vertretungen nicht ausreichend geregelt sind.

Solange alle Beteiligten erreichbar sind und die Systeme funktionieren, bleibt dieses Risiko unsichtbar. Sichtbar wird es erst bei einer dringenden Änderung, einem Ausfall, einem Personalwechsel oder einem Wechsel der betreuenden Agentur. Dann kostet die Suche nach Zugängen nicht nur Zeit, sondern kann den gesamten Betrieb blockieren.

Unternehmen sollten deshalb jederzeit beantworten können, welche digitalen Systeme sie nutzen, wem diese Konten gehören, wer darauf zugreifen darf und wie im Notfall gehandelt wird.

Das klingt weniger spannend als ein neues Website-Design oder die nächste KI-Anwendung. Es ist aber eine der Voraussetzungen dafür, dass all diese Dinge zuverlässig funktionieren.

Und vielleicht ist der erste Arbeitstag nach dem Urlaub genau der richtige Moment, um herauszufinden, ob das Passwort wirklich dort liegt, wo alle glauben.

Wissen Sie, wer Zugriff auf Ihre wichtigsten digitalen Systeme hat?

IXSOL - makes IT work. Wir unterstützen Unternehmen bei der Bestandsaufnahme von Website-, Webshop-, Domain-, Hosting- und Plattformzugängen. Wir helfen dabei, fehlende Berechtigungen, unklare Zuständigkeiten und Abhängigkeiten von ehemaligen Mitarbeitenden oder Dienstleistern frühzeitig sichtbar zu machen.

Sprechen Sie mit uns, bevor eine kleine Änderung zum digitalen Suchspiel wird.

Unverbindliche Beratung