Ein ehemaliger Mitarbeitender verlässt das Unternehmen, doch sein Zugang zum gemeinsamen Cloud-Konto bleibt aktiv. Oder ein Team nutzt für mehrere Anwendungen dasselbe Passwort, weil es schneller geht. Solche Situationen sind selten ein reines IT-Problem. Sie zeigen, ob eine Passwort-Richtlinie im Unternehmen klare, umsetzbare Regeln gibt - oder ob sie nur als Dokument im Ablageordner liegt.
Für Schweizer KMU ist das Thema Teil der organisatorischen und technischen Massnahmen zum Schutz von Personendaten. Art. 8 DSG verlangt eine dem Risiko angemessene Datensicherheit, und die Datenschutzverordnung konkretisiert das in Art. 1 bis 6 DSV mit Zugangs-, Zugriffs- und Benutzerkontrolle. Eine bestimmte Zeichenfolge oder eine fixe Mindestlänge schreibt das Gesetz nicht vor. Wer die Mindestanforderungen an die Datensicherheit aber vorsätzlich missachtet, riskiert nach Art. 61 DSG eine Busse bis 250'000 Franken, und zwar gegen die verantwortliche natürliche Person, nicht gegen das Unternehmen. Eine gute Richtlinie übersetzt dieses Ziel in Regeln, die Mitarbeitende verstehen und im Arbeitsalltag tatsächlich einhalten können.
Was eine Passwort-Richtlinie im Unternehmen leisten muss
Eine Passwort-Richtlinie ist mehr als eine Vorgabe wie «mindestens acht Zeichen». Sie legt fest, wie Identitäten geschützt, Zugriffe vergeben und Konten über ihren ganzen Lebenszyklus verwaltet werden. Dazu gehören neue Mitarbeitende ebenso wie Rollenwechsel, externe Dienstleister und Austritte.
Entscheidend ist der Bezug zum Risiko. Ein Konto mit Zugriff auf einen allgemeinen Informationsbildschirm braucht nicht dieselben Schutzmassnahmen wie ein Administrationskonto, ein HR-System oder eine Anwendung mit Gesundheitsdaten. Wer alle Zugänge gleich behandelt, macht Regeln entweder unnötig streng oder an sensiblen Stellen zu schwach.
Eine praxistaugliche Richtlinie beantwortet deshalb konkret: Welche Anforderungen gelten für Passwörter? Wann ist eine Mehrfaktor-Authentisierung erforderlich? Wer darf Zugänge freigeben? Wie werden gemeinsame Konten vermieden oder kontrolliert? Und was geschieht bei Verdacht auf einen kompromittierten Zugang?
Passwortlänge ist wichtiger als komplizierte Zeichenregeln
Viele Vorgaben setzen auf Gross- und Kleinbuchstaben, Ziffern sowie Sonderzeichen. Das kann sinnvoll sein, führt aber häufig zu vorhersehbaren Mustern: aus «Sommerferien» wird «Sommerferien1!». Solche Varianten sind schwerer zu merken, aber nicht zwingend deutlich stärker.
Für die meisten Nutzerkonten sind längere, einzigartige Passphrasen die bessere Grundlage. Das Bundesamt für Cybersicherheit (BACS) empfiehlt für Passwörter mindestens zwölf Zeichen, und je länger, desto besser. Mehrere nicht zusammenhängende Wörter lassen sich gut merken und sind bei ausreichender Länge schwer zu erraten. Die konkrete Mindestlänge sollte zur eingesetzten Anwendung und zum Schutzbedarf passen. Für besonders privilegierte Konten gelten strengere Anforderungen als für ein Konto mit begrenztem Leserecht.
Wichtiger als die exakte Zahl ist, dass Passwörter nicht wiederverwendet werden. Ein Passwort, das in einem externen Dienst bekannt wird, darf keinen Zugang zu Unternehmenssystemen eröffnen. Die Richtlinie sollte daher ausdrücklich untersagen, geschäftliche Kennwörter für private Dienste zu verwenden - und umgekehrt.
Regelmässig wechseln - aber nicht ohne Anlass
Der pauschale, häufige Passwortwechsel klingt zunächst konsequent. In der Praxis begünstigt er jedoch einfache Varianten wie «PasswortMai», «PasswortJuni» und Notizzettel am Bildschirm. Deshalb ist ein ereignisbezogener Wechsel meist sinnvoller: etwa bei einem Sicherheitsverdacht, einem bekannt gewordenen Datenabfluss, einer Fehlversendung oder nach dem Verdacht, dass Zugangsdaten weitergegeben wurden.
Für einzelne Systeme können technische oder vertragliche Anforderungen dennoch feste Wechselintervalle vorsehen. Diese Ausnahmen sollten nachvollziehbar dokumentiert werden. Das Ziel bleibt gleich: Die Massnahme soll das Risiko reduzieren, nicht lediglich eine Formalität erfüllen.
Mehrfaktor-Authentisierung gezielt einsetzen
Ein starkes Passwort allein reicht bei kritischen Zugängen oft nicht aus. Die Mehrfaktor-Authentisierung, kurz MFA, ergänzt etwas, das die Person weiss, durch einen weiteren Nachweis - beispielsweise eine Authenticator-App, einen Sicherheitsschlüssel oder ein separates Gerät.
MFA sollte mindestens dort eingesetzt werden, wo ein Konto weitreichende Rechte besitzt oder von ausserhalb des Unternehmens erreichbar ist. Typische Beispiele sind E-Mail, Cloud-Speicher, Fernzugriff, Administrationskonten sowie Anwendungen mit Personal-, Kunden- oder besonders schützenswerten Daten.
Dabei lohnt sich ein Blick auf die konkrete Umsetzung. Ein Code per SMS ist besser als kein zweiter Faktor, kann aber je nach Umfeld weniger geeignet sein als eine Authenticator-App oder ein Hardware-Schlüssel. Ebenso braucht es einen geregelten Prozess für verlorene Geräte, Ferienvertretungen und die Wiederherstellung von Konten. Sonst wird MFA im Ernstfall zur unnötigen Betriebsunterbrechung.
Zugriffsrechte gehören in dieselbe Richtlinie
Passwörter schützen nur dann sinnvoll, wenn jedes Konto einer klaren Person oder Funktion zugeordnet ist. Sammelkonten erschweren die Nachvollziehbarkeit: Nach einem Fehler oder einer unberechtigten Einsicht lässt sich kaum feststellen, wer gehandelt hat. Wo gemeinsame Konten technisch unvermeidbar sind, braucht es zumindest zusätzliche Kontrollen, einen eng begrenzten Einsatz und eine dokumentierte Verantwortung.
Eine gute Passwort-Richtlinie im Unternehmen verbindet daher Kennwortregeln mit einem Berechtigungsprozess. Verwaiste Konten und zu breite Rechte gehören zu den sieben typischen TOM-Lücken in KMU, die bei Audits am häufigsten auffallen. Zugänge werden auf Antrag eingerichtet, durch eine verantwortliche Stelle freigegeben und nach dem Prinzip der minimalen Berechtigung vergeben. Mitarbeitende erhalten nur jene Rechte, die sie für ihre Aufgabe benötigen.
Besonders relevant ist der Austrittsprozess. Sobald Mitarbeitende das Unternehmen verlassen oder externe Personen ihren Auftrag beenden, müssen Konten zeitnah gesperrt oder gelöscht, Sitzungen beendet und Gruppenberechtigungen überprüft werden. Bei Rollenwechseln gilt dasselbe im kleineren Massstab: Alte Rechte dürfen nicht einfach bestehen bleiben, weil niemand den Überblick hat.
Passwortmanager statt unsicherer Merkhilfen
Wer für jedes System ein langes, eigenes Passwort verwenden soll, braucht eine alltagstaugliche Unterstützung. Ein zentral bereitgestellter Passwortmanager kann diese Lücke schliessen. Er erzeugt starke Kennwörter, speichert sie verschlüsselt und reduziert den Druck, Zugangsdaten in Browsern, Tabellen oder privaten Notizen abzulegen.
Die Einführung verlangt jedoch klare Spielregeln. Das Unternehmen sollte festlegen, wer den Passwortmanager administriert, wie Notfallzugriffe funktionieren und wie geteilte Zugangsdaten kontrolliert werden. Auch ein separates, gut geschütztes Administrationskonto ist sinnvoll, damit ein verlorener Benutzerzugang nicht den Zugriff auf die gesamte Verwaltung verhindert.
Nicht jede Organisation braucht sofort eine komplexe Unternehmenslösung. Bei wenigen Mitarbeitenden kann ein klar geregelter Start genügen. Sobald Teams gemeinsam auf Kundenportale, Lieferantensysteme oder technische Konten zugreifen, werden Rollen, Freigaben und Protokollierung jedoch rasch wichtiger.
So wird die Richtlinie im Alltag wirksam
Eine fünfseitige Richtlinie hilft wenig, wenn Mitarbeitende nur den Satz «Passwort nicht weitergeben» behalten. Besser sind kurze, verständliche Kernregeln, ergänzt durch konkrete Anweisungen für besondere Fälle. Dazu gehört beispielsweise: Was ist bei einer verdächtigen E-Mail zu tun? Wohin meldet jemand ein verlorenes Smartphone? Wer unterstützt, wenn der zweite Faktor nicht mehr verfügbar ist?
Für die praktische Einführung bietet sich ein Ablauf in vier Schritten an:
- Zuerst werden Systeme, Kontenarten und besonders schützenswerte Daten erfasst.
- Danach wird festgelegt, welche Mindestanforderungen für normale, privilegierte und externe Zugänge gelten.
- Anschliessend werden technische Einstellungen wie MFA, Sperrregeln und Berechtigungsabläufe umgesetzt.
- Zum Schluss erhalten Mitarbeitende eine kurze Schulung und eine klare Anlaufstelle für Fragen oder Vorfälle.
Diese Reihenfolge verhindert, dass eine Richtlinie von technischen Möglichkeiten statt von den tatsächlichen Geschäftsprozessen bestimmt wird. In einer Garage sind etwa Diagnosezugänge und Kundendaten relevant, in einem Sozialbetrieb Fallakten und mobile Arbeitsplätze, in der Produktion oft Fernwartung und Lieferantenportale. Das Grundprinzip bleibt gleich, die Prioritäten unterscheiden sich.
Kontrolle und Dokumentation sinnvoll verbinden
Passwortschutz ist keine einmalige Aufgabe. Neue Anwendungen, personelle Veränderungen und geänderte Arbeitsformen schaffen laufend neue Zugänge. Deshalb sollte das Unternehmen in festen Abständen prüfen, ob ehemalige Konten deaktiviert sind, MFA tatsächlich genutzt wird und Berechtigungen noch zur aktuellen Aufgabe passen.
Die Ergebnisse gehören in die Datenschutz- und Informationssicherheitsdokumentation. Eine nachvollziehbare Richtlinie, dokumentierte Verantwortlichkeiten und festgehaltene Kontrollen zeigen, dass Schutzmassnahmen nicht nur beschlossen, sondern auch umgesetzt werden. Die Passwort-Richtlinie ist dabei ein Baustein der TOM-Dokumentation. Mit einer zentralen Lösung wie DSMS+ lassen sich solche Aufgaben, Nachweise und Überprüfungsintervalle strukturiert verwalten.
Eine wirksame Passwort-Richtlinie verlangt weder komplizierte Sprache noch unrealistische Regeln. Sie schafft klare Entscheidungen für typische Alltagssituationen - und gibt Mitarbeitenden die Mittel, Zugänge sicher zu nutzen, ohne ihre Arbeit unnötig zu erschweren.
Häufige Fragen
Schreibt das DSG eine Mindestlänge für Passwörter vor?
Nein. Art. 8 DSG und Art. 1 bis 6 DSV verlangen eine dem Risiko angemessene Datensicherheit mit Zugangs-, Zugriffs- und Benutzerkontrolle, nennen aber keine Zeichenzahl. In der Praxis haben sich lange Passphrasen ab zwölf Zeichen bewährt, kombiniert mit Mehrfaktor-Authentisierung bei kritischen Zugängen.
Müssen Passwörter regelmässig gewechselt werden?
Ein fixer Wechsel alle 90 Tage ist nicht mehr Stand der Technik, weil er zu vorhersehbaren Varianten und Notizzetteln führt. Sinnvoller ist der Wechsel bei Anlass: bei einem Sicherheitsverdacht, nach einem bekannt gewordenen Datenabfluss oder wenn Zugangsdaten weitergegeben wurden. Einzelne Systeme können vertraglich feste Intervalle verlangen; diese Ausnahmen gehören dokumentiert.
Wo ist Mehrfaktor-Authentisierung im KMU Pflicht?
Gesetzlich ist MFA nirgends ausdrücklich vorgeschrieben, aber bei E-Mail, Cloud-Speicher, Fernzugriff, Administrationskonten und Systemen mit Personal- oder Gesundheitsdaten gilt sie heute als Mindestmass der angemessenen Sicherheit. Fehlt sie dort, ist das im Schadenfall schwer zu rechtfertigen.
Sind geteilte Konten im Team erlaubt?
Sammelkonten sind nicht verboten, machen Zugriffe aber nicht mehr einer Person zuordenbar und erschweren das Sperren bei Austritten. Wo sie technisch unvermeidbar sind, braucht es einen eng begrenzten Einsatz, dokumentierte Verantwortung und einen Passwortmanager mit geregelter Freigabe.