Viele Unternehmen investieren heute in professionelle Passwortmanager, moderne Sicherheitslösungen und klare Richtlinien. Auf dem Papier ist damit vieles geregelt: Zugangsdaten sollen zentral verwaltet werden, Berechtigungen folgen definierten Prozessen und Mitarbeitende wissen grundsätzlich, welche Regeln gelten.

Trotzdem entstehen im Alltag immer wieder unsichere Umwege. Passwörter landen in Excel-Listen, Zugangsdaten werden in Notizen gespeichert, Logins über private Kanäle geteilt oder einzelne Mitarbeitende greifen auf Lösungen zurück, die ausserhalb der offiziellen IT liegen. Das geschieht meistens nicht aus Nachlässigkeit, sondern weil der Arbeitsalltag oft stärker ist als jede Richtlinie.

Genau hier liegt die unbequeme Realität: IT-Sicherheit scheitert selten am Wissen allein. Viele Mitarbeitende wissen, dass bestimmte Wege unsicher sind. Sie wissen, dass Passwörter nicht in Tabellen, E-Mails oder privaten Chats gespeichert werden sollten. Entscheidend ist jedoch, wie einfach oder schwierig sich sichere Prozesse im Alltag tatsächlich nutzen lassen.

Wenn der sichere Weg komplizierter, langsamer oder unklarer ist als der unsichere, wird früher oder später der unsichere Weg genutzt. Nicht, weil Menschen absichtlich Risiken schaffen wollen, sondern weil sie unter Zeitdruck pragmatische Entscheidungen treffen.

Warum sichere Systeme im Alltag scheitern

In vielen Organisationen ist IT-Sicherheit theoretisch sauber geregelt. Es gibt Vorgaben, Tools, Berechtigungskonzepte und interne Prozesse. Praktisch zeigt sich jedoch häufig ein anderes Bild: Ein Mitarbeitender braucht dringend Zugriff auf ein System, der zuständige Kollege ist nicht erreichbar, die Freigabe dauert zu lange oder niemand weiss genau, wer den Zugriff erteilen darf.

In solchen Situationen wird improvisiert. Ein Passwort wird schnell weitergegeben, ein Zugang temporär geteilt oder eine Datei lokal gespeichert, obwohl es dafür eigentlich einen sicheren Prozess gäbe. Der offizielle Weg wird nicht bewusst ignoriert, sondern im entscheidenden Moment als zu langsam oder zu umständlich empfunden.

Die Ursachen dafür liegen meist nicht bei einzelnen Mitarbeitenden, sondern in der Struktur. Zu komplexe Berechtigungsmodelle, unklare Zuständigkeiten, fehlende Einführung in sichere Arbeitsweisen, Zeitdruck im Tagesgeschäft und schlecht gepflegte Zugriffsrechte führen dazu, dass sichere Prozesse im Alltag nicht stabil funktionieren.

Deshalb ist es zu kurz gedacht, solche Situationen als individuelles Fehlverhalten zu bewerten. Wenn ein Unternehmen möchte, dass sichere Prozesse eingehalten werden, müssen diese Prozesse so gestaltet sein, dass sie im Arbeitsalltag tatsächlich funktionieren.

Sicherheit muss einfacher sein als Unsicherheit

Viele Unternehmen versuchen, Sicherheitsverhalten vor allem über Schulungen zu verändern. Schulungen sind wichtig, aber sie reichen nicht aus. Wissen führt nicht automatisch zu sicherem Handeln, wenn der sichere Weg im Alltag kompliziert, langsam oder schwer verständlich ist.

Die meisten Mitarbeitenden kennen die grundlegenden Risiken. Sie wissen, dass Passwörter nicht in Excel-Listen gehören und Zugangsdaten nicht per E-Mail oder Chat geteilt werden sollten. Trotzdem passiert es, wenn der offizielle Prozess im entscheidenden Moment nicht verfügbar, nicht bekannt oder zu aufwendig ist.

Deshalb muss moderne IT-Sicherheit einem klaren Prinzip folgen: Der sichere Weg muss einfacher sein als der unsichere. Das bedeutet, dass Prozesse verständlich, Zuständigkeiten klar und Freigaben schnell genug sein müssen. Systeme sollten sich an den Arbeitsalltag anpassen und nicht umgekehrt.

In der Praxis wirken vor allem einfache Abläufe, klare Rollen, nachvollziehbare Zugriffsrechte und technische Schranken gegen unsichere Workarounds. Mitarbeitende sollten nicht in jeder Situation selbst perfekt entscheiden müssen. Gute Systeme verhindern unsichere Entscheidungen, fangen Fehler auf oder machen sie zumindest sichtbar, bevor daraus ein grösseres Risiko entsteht.

Security-Culture statt Schulungsflut

Viele Unternehmen reagieren auf Sicherheitsprobleme mit zusätzlichen Schulungen, weiteren E-Learnings, mehr Richtlinien oder wiederholten Pflichttrainings. Das kann kurzfristig Aufmerksamkeit schaffen, löst aber nicht automatisch das eigentliche Problem. Sicherheit entsteht nicht durch Dauerbeschallung, sondern durch eine Kultur, in der sichere Entscheidungen im Alltag selbstverständlich werden.

Eine wirksame Security-Culture bedeutet, dass Sicherheit nicht als separates IT-Thema verstanden wird, sondern als Bestandteil professioneller Arbeit. Dafür braucht es keine überkomplizierten Programme, sondern verständliche Regeln, kurze praxisnahe Trainings, regelmässige Impulse und eine offene Fehler- und Meldekultur.

Besonders wichtig ist dabei die Rolle der Führung. Wenn Führungskräfte unsichere Abkürzungen dulden, werden Richtlinien wirkungslos. Wenn sie hingegen saubere Prozesse einfordern, Rückfragen unterstützen und selbst vorleben, dass Sicherheit Teil guter Arbeit ist, verändert sich das Verhalten im Unternehmen spürbar.

Sicherheit wird dann nicht mehr als Hindernis wahrgenommen, sondern als normale Voraussetzung für zuverlässige Zusammenarbeit. Genau an diesem Punkt entsteht eine Security-Culture, die nicht nur dokumentiert ist, sondern im Alltag funktioniert.

Passwortmanagement ist ein Prozess

Ein Passwortmanager ist ein wichtiger Baustein für mehr Sicherheit. Er löst das Problem jedoch nicht allein. Entscheidend ist, wie gut er in die Organisation eingebettet ist und ob die dazugehörigen Prozesse konsequent umgesetzt werden.

Dabei geht es um grundlegende Fragen: Wer erhält Zugriff auf welche Passwörter? Wer darf Zugangsdaten teilen? Welche Rechte gelten für bestimmte Rollen? Was passiert bei einem Rollenwechsel? Wie schnell werden Zugänge beim Austritt deaktiviert? Genau an diesen Stellen entstehen in vielen Unternehmen die eigentlichen Sicherheitslücken.

Passwortmanagement muss deshalb über den gesamten Employee Lifecycle hinweg funktionieren. Es beginnt beim Onboarding, begleitet Rollenwechsel und endet nicht erst mit dem Austritt, sondern mit der sauberen Deaktivierung und Kontrolle aller relevanten Zugänge.

Onboarding: Zugriffe von Anfang an richtig vergeben

Beim Eintritt neuer Mitarbeitender werden Zugriffsrechte häufig grosszügig vergeben, damit die Person möglichst schnell arbeitsfähig ist. Das ist nachvollziehbar, aber riskant. Werden zu Beginn zu viele Berechtigungen erteilt, entsteht schnell ein Rechtebestand, der später kaum noch vollständig überprüft wird.

Sinnvoller ist ein rollenbasierter Ansatz. Neue Mitarbeitende erhalten nur die Zugriffe, die sie für ihre Aufgabe tatsächlich benötigen. Dafür braucht es klare Freigabeprozesse, dokumentierte Verantwortlichkeiten und eine zentrale Verwaltung sensibler Zugangsdaten.

So entsteht von Anfang an Kontrolle statt Wildwuchs. Mitarbeitende sind arbeitsfähig, ohne unnötig viele Rechte zu erhalten, und das Unternehmen behält den Überblick darüber, welche Zugänge aus welchem Grund vergeben wurden.

Rollenwechsel: Rechte müssen zur aktuellen Aufgabe passen

Ein häufiger blinder Fleck entsteht bei internen Rollenwechseln. Mitarbeitende wechseln die Abteilung, übernehmen neue Aufgaben oder geben alte Verantwortlichkeiten ab. Die neuen Zugriffe werden eingerichtet, während die alten häufig bestehen bleiben.

So sammeln sich über Monate oder Jahre Berechtigungen an, die nicht mehr benötigt werden. Dadurch wächst die Angriffsfläche unnötig, ohne dass dies im Tagesgeschäft sofort auffällt. Besonders kritisch wird es, wenn frühere Zugriffe sensible Systeme, geteilte Credentials oder administrative Funktionen betreffen.

Bei Rollenwechseln sollten Zugriffsrechte deshalb konsequent überprüft und angepasst werden. Neue Rechte müssen gezielt vergeben, alte Rechte entzogen und sensible Zugänge neu bewertet werden. Gerade hier zeigt sich, ob Passwortmanagement als laufender Prozess verstanden wird oder ob lediglich ein Tool vorhanden ist.

Offboarding: Austritte dürfen keine Sicherheitslücken hinterlassen

Wenn Mitarbeitende das Unternehmen verlassen, muss der Entzug von Zugriffsrechten zuverlässig funktionieren. Dabei reicht es nicht aus, nur das Benutzerkonto zu deaktivieren. Auch geteilte Passwörter, API-Keys, Tokens, Zertifikate, externe Plattformen, Cloud-Zugänge und Dienstleisterkonten müssen berücksichtigt werden.

Ein sauberes Offboarding umfasst deshalb mehrere Ebenen. Benutzerkonten müssen deaktiviert, geteilte Zugriffe entzogen, kritische Passwörter rotiert und technische Schlüssel überprüft werden. Ebenso wichtig ist die Kontrolle externer Plattformen, auf denen ehemalige Mitarbeitende möglicherweise noch Zugriff hatten.

Unscharfe Offboarding-Prozesse führen direkt zu Sicherheitsrisiken. Das gilt unabhängig davon, wie gut das eingesetzte Tool ist. Wenn der Prozess nicht zuverlässig funktioniert, bleiben Zugänge bestehen, die niemand mehr aktiv im Blick hat.

Externe Zugriffe als unterschätztes Risiko

Viele Sicherheitskonzepte konzentrieren sich stark auf interne Benutzerkonten und enden gedanklich an der Unternehmensgrenze. In der Praxis entstehen jedoch gerade dort viele neue Angriffsflächen. Geschäftspartner erhalten VPN-Zugänge, Kunden bekommen erweiterte Rechte, externe Dienstleister arbeiten auf Systemen mit, Drittsoftware wird angebunden und Tools greifen über Schnittstellen auf Daten zu.

Jeder externe Zugriff kann fachlich sinnvoll sein, ist aber auch ein zusätzliches Risiko, wenn er nicht sauber kontrolliert wird. Deshalb sollten externe Zugänge grundsätzlich begrenzt, dokumentiert und regelmässig überprüft werden. Multi-Faktor-Authentifizierung, Netzwerksegmentierung, zeitlich begrenzte Berechtigungen und klare Verantwortlichkeiten sind dabei zentrale Schutzmassnahmen.

Unternehmen sichern nicht nur ihre eigene IT, sondern indirekt auch die Verbindungen zu Kunden, Partnern und Dienstleistern. Gerade diese Verbindungen werden für Angreifer zunehmend interessant, weil sie oft weniger streng kontrolliert werden als interne Systeme.

Typische Schwachstellen in Unternehmen

In der Praxis zeigen sich bei IT-Sicherheit und Passwortmanagement immer wieder ähnliche Schwachstellen. Dazu gehören unklare Zuständigkeiten, manuelle und fehleranfällige Prozesse, fehlende Transparenz über Zugriffsrechte, unkontrollierte Admin-Zugänge, unübersichtliche Schlüssel- und Zertifikatsverwaltung sowie private Tools neben offiziellen Lösungen.

Einzeln wirken diese Probleme oft unspektakulär. In der Summe entstehen daraus jedoch erhebliche Risiken. Jede manuelle Ausnahme, jeder unklare Zugriff und jedes nicht dokumentierte Passwort erzeugt zusätzlichen Aufwand. Das zeigt sich im Alltag, bei Audits, bei Personalwechseln und spätestens im Ernstfall.

Diese Schwachstellen kosten nicht nur Sicherheit, sondern auch Zeit, Effizienz und Geld. Denn je unklarer Prozesse und Zuständigkeiten sind, desto häufiger müssen Mitarbeitende nachfragen, improvisieren oder auf unsichere Alternativen ausweichen.

Sicherheit beginnt im Alltag

Cyberrisiken sind längst kein rein technisches Thema mehr. Sie sind ein betriebswirtschaftliches Risiko, weil sie Arbeitsfähigkeit, Kundendaten, Prozesse, Kommunikation und Vertrauen betreffen. Die entscheidende Frage lautet deshalb nicht nur, ob ein Unternehmen angegriffen wird, sondern wie gut es auf einen Vorfall vorbereitet ist.

Wirksame IT-Sicherheit entsteht dort, wo technische Lösungen, klare Prozesse und gelebte Security-Culture zusammenspielen. Fehlt einer dieser Faktoren, entstehen Lücken. Ein Passwortmanager ohne saubere Prozesse wird umgangen, Richtlinien ohne technische Unterstützung bleiben Theorie und Schulungen ohne gelebte Führungskultur verpuffen.

Erst wenn Technik, Prozesse und Verhalten zusammenpassen, entsteht ein Sicherheitsniveau, das im Alltag funktioniert. Genau deshalb muss IT-Sicherheit nicht nur eingeführt, sondern kontinuierlich gepflegt, überprüft und an die Realität im Unternehmen angepasst werden.

Fazit: Ein Tool allein schafft keine Sicherheit

IT-Sicherheit scheitert nicht daran, dass Unternehmen keine Tools einsetzen. Sie scheitert häufig daran, dass Tools nicht konsequent in den Arbeitsalltag integriert werden. Ein Passwortmanager ist wichtig, aber er bleibt ein Werkzeug. Entscheidend ist, ob Mitarbeitende ihn verstehen, nutzen und im Alltag als einfachsten sicheren Weg erleben.

Sicherheit entsteht nicht durch Software allein. Sie entsteht durch klare Zuständigkeiten, sinnvolle Prozesse, regelmässige Kontrolle und eine Unternehmenskultur, die sichere Entscheidungen erleichtert. Erst wenn diese Elemente zusammenkommen, wird aus einem Tool ein wirksamer Bestandteil der Unternehmenssicherheit.

Ein Passwortmanager allein schafft deshalb noch keine Sicherheit. Erst die konsequente Nutzung im Alltag macht den Unterschied.