E-Mail, Microsoft 365, Kanzleisoftware, Rechtsdatenbanken, FinanzOnline, Website, Cloud-Dienste und zahlreiche weitere Anwendungen: In einer modernen Rechtsanwalts- oder Steuerberatungskanzlei kommen schnell viele verschiedene Benutzerkonten zusammen.
Für jeden Dienst dasselbe Passwort zu verwenden, Zugangsdaten per E-Mail weiterzugeben oder gemeinsame Kennwörter in Excel-Listen und Dokumenten zu speichern, ist jedoch keine gute Lösung. Besonders problematisch wird es, wenn mehrere Mitarbeiter dieselben Konten verwenden oder beim Austritt einer Person nicht mehr klar ist, auf welche Zugänge sie Zugriff hatte.
Ein professioneller Passwortmanager schafft hier eine zentrale und sichere Struktur. Er hilft dabei, persönliche und gemeinsame Zugangsdaten zu verwalten, Berechtigungen gezielt zu vergeben und Passwörter sicher innerhalb der Kanzlei zu teilen.
Das Passwort-Dilemma in Kanzleien
Die IT einer Kanzlei wächst meist über viele Jahre hinweg. Neben den zentralen Systemen kommen laufend weitere Anwendungen und Online-Dienste hinzu.
Dazu gehören beispielsweise:
- Microsoft 365 und E-Mail
- Kanzleisoftware und Dokumentenmanagement
- Rechtsdatenbanken
- FinanzOnline und weitere Behördenportale
- Cloud-Speicher und Datenaustausch
- Telefonanlage
- Website, Hosting und Domainverwaltung
- Backup-Systeme
- Drucker, Scanner und Netzwerkgeräte
- Software-Lizenzen
- Marketing- und Social-Media-Konten
Nicht jedes dieser Systeme bietet eine saubere Benutzer- und Rollenverwaltung. Gerade bei älteren oder kleineren Diensten existiert häufig nur ein gemeinsames Hauptkonto.
Werden solche Zugangsdaten unstrukturiert weitergegeben, entstehen schnell Sicherheitslücken. Passwörter werden mehrfach verwendet, liegen in unverschlüsselten Dokumenten oder bleiben auch ehemaligen Mitarbeiter bekannt.
Ein Passwortmanager löst dieses organisatorische Problem, indem Zugangsdaten zentral und verschlüsselt verwaltet und gezielt freigegeben werden können.
Persönliche Zugänge statt gemeinsamer Passwörter
Auch mit einem Passwortmanager gilt: Persönliche Benutzerkonten sind gemeinsamen Logins vorzuziehen.
Unterstützt eine Anwendung eigene Benutzerkonten und Rollen, sollte jede Mitarbeiterin und jeder Mitarbeiter einen persönlichen Zugang erhalten. Das gilt insbesondere für Microsoft 365, Kanzleisoftware, Dokumentenmanagement und andere zentrale Systeme.
Wie Benutzerkonten und Berechtigungen bei Ein- und Austritten richtig verwaltet werden, zeigen wir in unserem Beitrag zum IT-Onboarding und Offboarding in Kanzleien.
Das hat mehrere Vorteile:
- Berechtigungen können individuell vergeben werden.
- Zugänge lassen sich beim Austritt gezielt deaktivieren.
- Aktivitäten können einer Person zugeordnet werden.
- Multi-Faktor-Authentifizierung kann personenbezogen eingerichtet werden.
- Passwörter müssen nicht innerhalb des Teams weitergegeben werden.
Gemeinsame Zugangsdaten sollten daher vor allem dort eingesetzt werden, wo ein Dienst technisch keine bessere Benutzerverwaltung ermöglicht.
Mehr als nur Passwörter speichern: Was moderne Passwortmanager können
Passwortmanager sind weit mehr als digitale Notizbücher für Zugangsdaten. Sie bieten:
Zentrale, verschlüsselte Datenspeicherung: Zugangsdaten für Kanzleisoftware, Microsoft 365, Rechtsdatenbanken, Hosting, Cloud-Dienste und weitere Systeme werden sicher in einem zentralen digitalen Tresor gespeichert.
Rollenbasierte Zugriffsrechte: Nicht jede Mitarbeiterin und jeder Mitarbeiter benötigt Zugriff auf alle Systeme. Moderne Passwortmanager ermöglichen die gezielte Vergabe von Berechtigungen nach Funktion und Verantwortungsbereich.
Passwortgeneratoren: Komplexe und individuelle Passwörter können automatisch für jedes System erstellt werden, ohne dass diese von Mitarbeiter:innen selbst verwaltet oder gemerkt werden müssen.
Multi-Faktor-Authentifizierung: Eine zusätzliche Sicherheitsebene schützt den Zugriff auf den Passwortmanager und besonders sensible Kanzleikonten, etwa durch Bestätigungscodes oder biometrische Verfahren.
Zugriffsprotokolle: Änderungen und Zugriffe können je nach eingesetzter Lösung nachvollzogen werden. Das erleichtert die Kontrolle von Berechtigungen und die Aufarbeitung möglicher Sicherheitsvorfälle.
Auto-Fill-Funktionen: Zugangsdaten können in Browsern und unterstützten Anwendungen automatisch ausgefüllt werden. Das spart Zeit und erleichtert die konsequente Nutzung sicherer, individueller Passwörter.
Gemeinsame Kanzleikonten richtig verwalten
Nicht jedes gemeinsame Konto lässt sich vermeiden.
Typische Beispiele sind administrative Zugänge zu Hosting, Domainverwaltung, Telefonanlagen, bestimmten Online-Portalen oder technischen Systemen.
Statt das Passwort allen beteiligten Personen direkt mitzuteilen, kann der Zugang über einen gemeinsamen Bereich im Passwortmanager bereitgestellt werden.
Damit lässt sich klar regeln:
- Wer darf auf das Konto zugreifen?
- Wer darf das Passwort verändern?
- Wer darf weitere Personen hinzufügen?
- Was passiert, wenn eine Person die Kanzlei verlässt?
- Wer hat im Notfall Zugriff?
Gerade bei geschäftskritischen Konten sollte außerdem verhindert werden, dass nur eine einzige Person die Zugangsdaten kennt.
Zugangsdaten in Ihrer Kanzlei sicher organisieren
Gemeinsame Passwörter, administrative Konten und historisch gewachsene Zugänge sind in vielen Kanzleien ein Sicherheitsrisiko. Wir unterstützen Sie dabei, Benutzerkonten, Berechtigungen und Passwortmanagement strukturiert aufzusetzen und in Ihre bestehende Kanzlei-IT zu integrieren.
Datenschutz und Passwortmanagement
Kanzleien verarbeiten zahlreiche personenbezogene und vertrauliche Informationen. Entsprechend wichtig ist eine sichere Verwaltung der Zugänge zu den verwendeten IT-Systemen.
Die DSGVO schreibt keinen bestimmten Passwortmanager vor. Art. 32 DSGVO verlangt jedoch angemessene technische und organisatorische Maßnahmen, um ein dem Risiko entsprechendes Schutzniveau sicherzustellen. Ein strukturiertes Passwort- und Berechtigungsmanagement kann ein Bestandteil dieser Maßnahmen sein.
Entscheidend ist daher nicht nur, welcher Passwortmanager eingesetzt wird, sondern auch, wie er konfiguriert und in die internen Prozesse integriert wird.
Welche Passwortmanager eignen sich für Kanzleien?
Am Markt gibt es zahlreiche Lösungen für Unternehmen. Welche davon für eine Kanzlei geeignet ist, hängt unter anderem von Teamgröße, vorhandener IT-Infrastruktur, Anforderungen an die Administration und der gewünschten Form des Hostings ab.
Drei etablierte Lösungen mit unterschiedlichen Schwerpunkten sind Keeper, 1Password Business und Passbolt.
1. Keeper
Keeper richtet sich mit seinen Business- und Enterprise-Lösungen insbesondere an Organisationen, die Zugänge sehr granular verwalten möchten.
Gemeinsame Zugangsdaten können über Team-Ordner organisiert werden. Für Benutzer und Teams lassen sich unterschiedliche Berechtigungen vergeben, beispielsweise für das Verwalten, Bearbeiten oder Teilen von Einträgen. Administrator können Zugriffe und Änderungen zudem nachvollziehen und Richtlinien zentral durchsetzen.
Vorteile für Kanzleien:
- zentrale Benutzer- und Rechteverwaltung
- gemeinsame Ordner für Teams oder Bereiche
- granulare Freigabemöglichkeiten
- zentrale Sicherheitsrichtlinien
- Möglichkeiten zur Protokollierung und Kontrolle von Zugriffen
- zeitlich begrenzte Freigaben für externe Personen möglich
Keeper eignet sich damit besonders, wenn viele unterschiedliche Zugänge zentral verwaltet und Berechtigungen detailliert gesteuert werden sollen.
Zu beachten:
Die umfangreichen Verwaltungs- und Berechtigungsoptionen sollten sauber eingerichtet werden. Gerade bei kleineren Kanzleien ist deshalb vorab zu überlegen, welche Funktionen tatsächlich benötigt werden.
2. 1Password Business
1Password ist besonders auf eine einfache Verwaltung für Teams ausgelegt. Gemeinsame Zugangsdaten werden in sogenannten Tresoren organisiert, die einzelnen Personen oder Gruppen freigegeben werden können.
So könnte eine Kanzlei beispielsweise eigene Bereiche für IT-Administration, Buchhaltung, Website oder allgemein benötigte Kanzleikonten einrichten. Administrator können Benutzer Gruppen zuweisen, Zugriffe verwalten und beim Austritt einer Person wieder entziehen.
Ein weiterer wichtiger Punkt ist die Wiederherstellung: 1Password empfiehlt Organisationen, mehrere entsprechend berechtigte Verantwortliche vorzusehen, damit ein Benutzerkonto auch dann wiederhergestellt werden kann, wenn eine zentrale Person ausfällt.
Vorteile für Kanzleien:
- übersichtliche Benutzeroberfläche
- persönliche und gemeinsame Tresore
- Gruppen und unterschiedliche Zugriffsrechte
- einfache Verwaltung neuer und ausscheidender Mitarbeiter
- Zwei-Faktor-Authentifizierung
- Recovery-Funktionen für Organisationen
- sichere Freigabemöglichkeiten auch für externe Personen
1Password Business eignet sich damit insbesondere für Kanzleien, die eine einfach zu bedienende Lösung mit zentraler Teamverwaltung suchen.
3. Passbolt
Passbolt verfolgt einen etwas anderen Ansatz. Die Lösung ist Open Source und kann entweder als Cloud-Lösung verwendet oder auf eigener Infrastruktur betrieben werden.
Gerade die Möglichkeit zum Self-Hosting kann für Organisationen interessant sein, die möglichst viel Kontrolle über die eigene Passwortmanagement-Infrastruktur behalten möchten. Passbolt bietet außerdem Funktionen zum gemeinsamen Teilen von Zugangsdaten sowie detaillierte Zugriffs- und Auditmöglichkeiten.
Vorteile für Kanzleien:
- Open-Source-Lösung
- Self-Hosting möglich
- gemeinsame Verwaltung und Freigabe von Zugangsdaten
- granulare Zugriffsrechte
- Audit- und Protokollierungsfunktionen
- hohe Kontrolle über die technische Infrastruktur bei Eigenbetrieb
Zu beachten:
Wer Passbolt selbst betreibt, übernimmt damit auch mehr Verantwortung für Betrieb, Updates, Backups und Absicherung der zugrunde liegenden Infrastruktur. Das Self-Hosting ist daher vor allem dann interessant, wenn entsprechendes IT-Know-how intern vorhanden ist oder ein IT-Dienstleister die Betreuung übernimmt. Diese Einschätzung ergibt sich aus den zusätzlichen Betriebsaufgaben eines selbst gehosteten Systems.
Welcher Passwortmanager ist der richtige?
Eine pauschale Empfehlung gibt es nicht.
Für eine kleinere Kanzlei kann eine möglichst unkomplizierte Cloud-Lösung mit guter Benutzerverwaltung entscheidend sein. Größere Kanzleien benötigen möglicherweise detailliertere Rollen, Protokollierung und zentral durchsetzbare Sicherheitsrichtlinien. Andere Unternehmen möchten wiederum bewusst eine selbst betriebene Open-Source-Lösung einsetzen.
Bei der Auswahl sollten unter anderem folgende Punkte geprüft werden:
- Verschlüsselung und Sicherheitskonzept
- Multi-Faktor-Authentifizierung
- Benutzer- und Rollenverwaltung
- gemeinsame Tresore oder Ordner
- Protokollierung von Zugriffen und Änderungen
- Möglichkeiten für sichere externe Freigaben
- Recovery- und Notfallmechanismen
- Unterstützung der eingesetzten Geräte und Browser
- Möglichkeiten für Onboarding und Offboarding
- Hosting und Datenschutz
- administrative Anforderungen
- Benutzerfreundlichkeit im Kanzleialltag
Die beste Lösung ist letztlich jene, die sicher eingerichtet werden kann und von den Mitarbeiter auch konsequent verwendet wird.
Notfallzugriff nicht vergessen
Ein häufig unterschätzter Punkt ist der Ausfall einer verantwortlichen Person.
Was passiert beispielsweise, wenn nur ein IT-Verantwortlicher Zugriff auf alle administrativen Zugangsdaten hat und plötzlich nicht verfügbar ist?
Für geschäftskritische Systeme sollte deshalb ein dokumentierter IT-Notfallprozess für die Kanzlei bestehen.
Dabei sollte festgelegt werden:
- Welche Zugänge sind für den Kanzleibetrieb besonders kritisch?
- Welche zweite Person kann im Notfall darauf zugreifen?
- Wie wird dieser Zugriff abgesichert?
- Wer darf eine Wiederherstellung durchführen?
- Wo befinden sich notwendige Recovery-Informationen?
Ein Passwortmanager sollte die Abhängigkeit von einzelnen Personen reduzieren – nicht eine neue schaffen.
Passwortmanager beim Onboarding neuer Mitarbeiter
Ein zentraler Passwortmanager erleichtert auch die Einrichtung neuer Arbeitsplätze.
Neue Mitarbeiter erhalten einen persönlichen Zugang und werden den für ihre Funktion vorgesehenen Gruppen oder Tresoren zugeordnet.
Eine Assistenz benötigt beispielsweise andere gemeinsame Zugangsdaten als die Buchhaltung oder eine Person, die Website und Marketing betreut.
Dadurch müssen beim Einstieg keine Listen mit Passwörtern verschickt oder Zugangsdaten einzeln zusammengesucht werden.
Ändert sich der Aufgabenbereich, können die Berechtigungen anschließend zentral angepasst werden.
Beim Offboarding Zugriffe konsequent entziehen
Noch wichtiger wird die zentrale Verwaltung, wenn jemand die Kanzlei verlässt.
Der persönliche Passwortmanager-Zugang sollte gemeinsam mit den übrigen IT-Zugängen deaktiviert werden. Zusätzlich sollte geprüft werden, auf welche gemeinsamen Konten die Person Zugriff hatte.
Dazu gehören insbesondere:
- administrative Zugänge
- Website und Hosting
- externe Portale
- gemeinsame Software-Konten
- Marketing- und Social-Media-Zugänge
- Netzwerk- und Infrastrukturzugänge
Bei besonders sensiblen gemeinsamen Konten kann zusätzlich eine Passwortänderung sinnvoll sein.
Mit einem zentral gepflegten Passwortmanager ist wesentlich leichter nachvollziehbar, welche Zugänge betroffen sind.
So führen Sie einen Passwortmanager in der Kanzlei ein
Die Einführung sollte nicht nur als technische Installation betrachtet werden. Entscheidend sind klare Regeln für die spätere Verwendung.
Eine sinnvolle Vorgehensweise ist:
- Bestehende Zugänge erfassen
Verschaffen Sie sich einen Überblick über Systeme, Konten und vorhandene Passwortlisten. - Persönliche und gemeinsame Konten unterscheiden
Persönliche Benutzerkonten sollten überall dort eingerichtet werden, wo sie technisch möglich sind. - Berechtigungen definieren
Legen Sie fest, welche Mitarbeiter auf welche gemeinsamen Zugangsdaten zugreifen dürfen. - Verantwortlichkeiten bestimmen
Es sollte klar geregelt sein, wer Benutzer anlegt, Berechtigungen vergibt und administrative Änderungen durchführen darf. - Multi-Faktor-Authentifizierung aktivieren
Insbesondere der Zugang zum Passwortmanager selbst sollte zusätzlich geschützt werden. - Bestehende Passwörter überarbeiten
Mehrfach verwendete oder schwache Passwörter sollten schrittweise durch individuelle, automatisch generierte Kennwörter ersetzt werden. - Notfallzugriff einrichten
Kritische Zugangsdaten dürfen nicht ausschließlich von einer einzigen Person abhängig sein. - Onboarding und Offboarding integrieren
Die Verwaltung des Passwortmanagers sollte fester Bestandteil der Prozesse für neue und ausscheidende Mitarbeiter werden.
Fazit: Sichere Passwörter brauchen klare Prozesse
Ein Passwortmanager erhöht nicht nur die Sicherheit einzelner Kennwörter. Er sorgt vor allem dafür, dass Zugangsdaten innerhalb der Kanzlei strukturiert verwaltet werden.
Persönliche Konten bleiben einzelnen Mitarbeiter zugeordnet, gemeinsam benötigte Zugänge können kontrolliert freigegeben werden und beim Austritt einer Person lassen sich Berechtigungen zentral wieder entfernen.
Gleichzeitig können starke, individuelle Passwörter verwendet werden, ohne dass Mitarbeiter diese selbst verwalten oder in unsicheren Dokumenten speichern müssen.
Welche Lösung letztlich gewählt wird, ist dabei nur ein Teil der Aufgabe. Entscheidend ist ein durchdachtes Berechtigungskonzept und die konsequente Integration des Passwortmanagers in den täglichen Kanzleialltag.
