Ein Mitarbeitender verlässt das Unternehmen, kennt aber weiterhin das Passwort eines gemeinsam genutzten Geschäftskontos. Ein externer Dienstleister erhält vorübergehend Zugriff auf eine Cloud-Anwendung, doch seine Berechtigung wird nach Projektabschluss nicht entfernt. Oder sensible Zugangsdaten werden innerhalb eines Teams über Excel-Tabellen und E-Mails ausgetauscht.

Solche Situationen wirken im Geschäftsalltag oft harmlos. Kommt es jedoch zu einem unberechtigten Zugriff oder zum Verlust sensibler Informationen, können daraus erhebliche Sicherheitsrisiken und unter bestimmten Umständen rechtliche Konsequenzen entstehen.

Die zentrale Herausforderung lautet deshalb: Unternehmen müssen nicht nur ihre Daten schützen, sondern auch kontrollieren können, wer Zugang zu welchen Systemen erhält.

Warum Passwortsicherheit auch eine Compliance-Frage ist

Passwörter gehören zu den wichtigsten Zugangsmitteln in Unternehmen. Sie schützen E-Mail-Konten, Kundendatenbanken, Cloud-Dienste, Finanzsysteme und zahlreiche weitere Geschäftsanwendungen.

Gleichzeitig stellen sie ein häufig unterschätztes Risiko dar. Werden Zugangsdaten mehrfach verwendet, unverschlüsselt gespeichert oder unkontrolliert weitergegeben, können bereits einzelne kompromittierte Konten weitreichende Folgen haben.

Gesetzliche Vorgaben zur Informationssicherheit setzen genau an solchen Risiken an.

In der Schweiz bildet das revidierte Datenschutzgesetz (DSG), das seit dem 1. September 2023 gilt, eine wesentliche rechtliche Grundlage. Es verlangt von Unternehmen, Personendaten durch angemessene technische und organisatorische Massnahmen zu schützen.

Dabei geht es nicht ausschliesslich um Verschlüsselung oder den Schutz der IT-Infrastruktur. Auch die Organisation von Benutzerrechten, sicheren Anmeldeverfahren und internen Zuständigkeiten gehört zu einem wirksamen Sicherheitskonzept.

Ein professioneller Passwortmanager kann Unternehmen bei der Umsetzung solcher Massnahmen unterstützen. Er ermöglicht beispielsweise, Zugangsdaten geschützt zu speichern, Berechtigungen strukturiert zu vergeben und die Weitergabe von Passwörtern über ungeeignete Kanäle zu reduzieren.

Wichtig ist jedoch: Der Einsatz eines Passwortmanagers allein bedeutet noch keine vollständige Einhaltung aller Datenschutzvorschriften. Entscheidend ist, wie die Lösung in die bestehenden Sicherheitsprozesse eingebunden wird.

DSG und DSGVO: Was Schweizer Unternehmen beachten sollten

Viele Schweizer Unternehmen arbeiten mit Kunden, Partnern oder Dienstleistern im europäischen Ausland zusammen. Deshalb können neben dem Schweizer Datenschutzgesetz auch europäische Regelungen relevant werden.

Das Schweizer DSG verpflichtet Verantwortliche dazu, die Sicherheit bearbeiteter Personendaten risikogerecht zu gewährleisten. Dazu gehören unter anderem Massnahmen gegen unberechtigte Zugriffe, Datenverlust und missbräuchliche Verwendung.

Die europäische Datenschutz-Grundverordnung (DSGVO) verfolgt vergleichbare Schutzziele. Sie kann unter bestimmten Voraussetzungen auch für Unternehmen ausserhalb der EU gelten, beispielsweise wenn diese gezielt Waren oder Dienstleistungen Personen innerhalb der EU anbieten oder deren Verhalten dort beobachten. Eine gewöhnliche Geschäftsbeziehung mit einem EU-Unternehmen führt hingegen nicht automatisch dazu, dass sämtliche Bestimmungen der DSGVO anwendbar werden.

Für die Übermittlung von Personendaten aus der EU in die Schweiz besteht eine wichtige Erleichterung: Die Europäische Kommission erkennt die Schweiz als Land mit angemessenem Datenschutzniveau an. Andere datenschutzrechtliche Pflichten bleiben davon unberührt.

Für die betriebliche Praxis ergibt sich eine gemeinsame Grundanforderung: Unternehmen sollten nachvollziehbar festlegen, welche Personen auf schützenswerte Informationen zugreifen dürfen und mit welchen Sicherheitsmassnahmen diese Zugriffe kontrolliert werden.

Gerade hier ist eine strukturierte Passwort- und Zugriffsverwaltung von Bedeutung.

NIS2, DORA und Cyber Resilience Act: Weitere Anforderungen an die IT-Sicherheit

Neben dem Datenschutz gewinnen in Europa zusätzliche Regelwerke zur Cybersicherheit an Bedeutung.

Die NIS2-Richtlinie richtet sich insbesondere an mittlere und grosse Unternehmen bestimmter kritischer oder besonders relevanter Sektoren. Dazu gehören beispielsweise Energieversorgung, Gesundheitswesen, Verkehr, digitale Infrastruktur und ausgewählte IT-Dienstleistungen. Unter bestimmten Voraussetzungen können auch kleinere Organisationen betroffen sein.

Zu den wesentlichen Sicherheitsbereichen gehören Risikomanagement, Zugriffskontrollen, der angemessene Einsatz von Mehrfaktor-Authentifizierung, der Umgang mit Sicherheitsvorfällen und die Absicherung von Lieferketten. Die konkreten Pflichten ergeben sich aus der Richtlinie und ihrer jeweiligen nationalen Umsetzung.

Für bestimmte Finanzunternehmen in der EU gilt zudem seit dem 17. Januar 2025 die Verordnung DORA (Digital Operational Resilience Act). Sie stellt Anforderungen an den Umgang mit IT-Risiken, digitalen Betriebsstörungen und externen IT-Dienstleistern.

Der EU Cyber Resilience Act (CRA) wiederum betrifft insbesondere Hersteller von Hard- und Softwareprodukten mit digitalen Elementen. Seit dem 11. September 2026 gelten bereits bestimmte Meldepflichten für aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle. Die wesentlichen Produktanforderungen werden ab dem 11. Dezember 2027 anwendbar.

Nicht jedes Schweizer KMU fällt automatisch unter diese europäischen Regelwerke. Massgebend sind unter anderem die Geschäftstätigkeit, die angebotenen Leistungen und der jeweilige rechtliche Anwendungsbereich.

Dennoch zeigen die Entwicklungen eine klare Richtung: Cybersicherheit muss zunehmend systematisch organisiert, überprüft und verantwortet werden.

Passwortverwaltung im Unternehmen: Wo die grössten Risiken entstehen

Die gesetzlichen Anforderungen mögen komplex erscheinen. Im Arbeitsalltag beginnen viele Sicherheitsprobleme jedoch bei grundlegenden organisatorischen Schwachstellen.

Besonders kritisch wird es, wenn Zugangsdaten nicht zentral verwaltet werden.

In Unternehmen entstehen dadurch häufig ähnliche Situationen:

• Mehrere Mitarbeitende verwenden dasselbe Passwort für ein Geschäftskonto.
• Zugangsdaten werden in Excel-Dateien, Dokumenten oder E-Mails gespeichert.
• Externe Dienstleister erhalten Passwörter, ohne dass deren spätere Verwendung ausreichend kontrolliert wird.
• Nach dem Austritt von Mitarbeitenden bleiben gemeinsam bekannte Passwörter unverändert.
• Niemand kann zuverlässig nachvollziehen, welche Zugänge innerhalb einer Abteilung vorhanden sind.

Das eigentliche Problem liegt dabei nicht ausschliesslich in der Stärke eines Passworts. Auch ein langes, technisch sicheres Passwort kann zum Risiko werden, wenn es unkontrolliert weitergegeben wird oder ehemalige Mitarbeitende es weiterhin kennen.

Unternehmen benötigen deshalb eine klare Struktur für die Verwaltung geschäftlicher Zugänge.

Ein zentraler Passwortmanager kann helfen, Passwörter und andere unterstützte Zugangsinformationen geschützt bereitzustellen und deren Nutzung an definierte Berechtigungen zu knüpfen.

Welche Sicherheitsmassnahmen professionelles Passwortmanagement unterstützt

Moderne Passwortverwaltung geht weit über das Speichern und automatische Ausfüllen von Passwörtern hinaus. Für Unternehmen sind insbesondere folgende Bereiche relevant.

1. Geschützte Speicherung statt unkontrollierter Passwortlisten

Geschäftliche Zugangsdaten sollten nicht über ungeschützte Dokumente oder persönliche Notizen verteilt sein.

Ein professioneller Passwortmanager speichert Passwörter in einer verschlüsselten Umgebung. Dadurch lässt sich das Risiko reduzieren, dass sensible Zugangsdaten versehentlich offengelegt oder über ungeeignete Kommunikationswege weitergegeben werden.

2. Rollenbasierte Berechtigungen und kontrollierte Freigaben

Nicht jeder Mitarbeitende benötigt Zugriff auf sämtliche Unternehmenszugänge.

Durch rollen- und gruppenbasierte Berechtigungen können Unternehmen festlegen, welche Personen oder Teams bestimmte Zugangsdaten verwenden dürfen. Das unterstützt das sogenannte Least-Privilege-Prinzip: Benutzer erhalten nur diejenigen Berechtigungen, die für ihre Aufgaben erforderlich sind.

Wichtig bleibt die Unterscheidung zwischen dem Zugriff auf einen Passwortmanager und den Berechtigungen innerhalb einer Anwendung. Beide müssen angemessen verwaltet werden.

3. Sichere Ein- und Austrittsprozesse

Wenn Mitarbeitende das Unternehmen verlassen oder intern ihre Funktion wechseln, müssen Zugriffsrechte angepasst werden.

Die Deaktivierung eines Benutzerkontos im Active Directory oder Identitätsmanagement kann dabei ein wichtiger Bestandteil des Offboardings sein. Sie verhindert jedoch nicht zwangsläufig die weitere Verwendung bereits bekannter Passwörter für unabhängige oder gemeinsam genutzte Geschäftskonten.

Deshalb sollten Unternehmen auch prüfen, welche Zugangsdaten geändert, welche bestehenden Sitzungen beendet und welche weiteren Anmeldemöglichkeiten widerrufen werden müssen.

Eine zentrale Passwortverwaltung unterstützt dabei, die betroffenen Zugänge zu identifizieren und ihre Bereitstellung neu zu organisieren.

4. Mehrfaktor-Authentifizierung und starke Passwörter

Ein Passwort allein sollte insbesondere bei kritischen Geschäftsanwendungen nicht die einzige Schutzmassnahme darstellen.

Mehrfaktor-Authentifizierung ergänzt die Anmeldung um einen weiteren Sicherheitsmechanismus. Wo möglich, sollten phishing-resistente Verfahren bevorzugt werden.

Gleichzeitig bleiben lange, einzigartige Passwörter für zahlreiche Anwendungen notwendig. Ein Passwortmanager kann solche Passwörter generieren und sicher verwalten, ohne dass Mitarbeitende sie auswendig kennen müssen.

5. Nachvollziehbarkeit und regelmässige Überprüfung

Für die IT-Sicherheit ist nicht nur wichtig, ob Berechtigungen vergeben wurden, sondern auch, ob sie weiterhin gerechtfertigt sind.

Geeignete Verwaltungs- und Protokollierungsfunktionen können dabei helfen, Berechtigungsänderungen und bestimmte Zugriffsereignisse nachzuvollziehen. Welche Informationen tatsächlich erfasst werden, hängt von der eingesetzten Lösung und ihrer Konfiguration ab.

Eine regelmässige Überprüfung bestehender Zugriffsrechte trägt dazu bei, unnötige Berechtigungen und veraltete Freigaben frühzeitig zu erkennen.

Cyberangriff oder Datenverlust: Wann besteht eine Meldepflicht?

Trotz technischer und organisatorischer Schutzmassnahmen lassen sich Sicherheitsvorfälle nicht vollständig ausschliessen.

Wird beispielsweise ein Geschäftskonto kompromittiert und erhalten Unbefugte dadurch Zugriff auf Personendaten, muss das Unternehmen prüfen, ob eine meldepflichtige Verletzung der Datensicherheit vorliegt.

In der Schweiz verlangt das DSG eine Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) so rasch als möglich, wenn die Verletzung voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte betroffener Personen führt.

Nach der DSGVO muss eine meldepflichtige Verletzung des Schutzes personenbezogener Daten grundsätzlich innerhalb von 72 Stunden nach Bekanntwerden der zuständigen Aufsichtsbehörde gemeldet werden. Eine Meldung ist nicht erforderlich, wenn die Verletzung voraussichtlich kein Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

Für bestimmte Betreiber kritischer Infrastrukturen in der Schweiz besteht zusätzlich seit dem 1. April 2025 eine Meldepflicht gegenüber dem Bundesamt für Cybersicherheit (BACS). Meldepflichtige Cyberangriffe müssen grundsätzlich innerhalb von 24 Stunden nach ihrer Entdeckung gemeldet werden.

Ein Sicherheitsvorfall kann deshalb je nach Unternehmen und betroffenem System unterschiedliche rechtliche Pflichten auslösen.

Neben der technischen Reaktion müssen klare interne Abläufe vorhanden sein. Wer beurteilt den Vorfall? Wer informiert die Geschäftsleitung? Welche Konten müssen gesperrt und welche Behörden gegebenenfalls benachrichtigt werden?

Eine strukturierte Verwaltung von Passwörtern und Zugriffsrechten erleichtert es, betroffene Konten zu identifizieren und notwendige Schutzmassnahmen einzuleiten. Sie ersetzt jedoch weder einen Incident-Response-Plan noch die rechtliche Beurteilung der Meldepflichten.

Externe IT-Dienstleister: Verantwortung lässt sich nicht einfach auslagern

Viele Unternehmen arbeiten mit externen IT-Partnern, Cloud-Anbietern oder spezialisierten Dienstleistern zusammen. Diese benötigen teilweise Zugriff auf interne Systeme und geschäftliche Informationen.

Die Zusammenarbeit mit externen Partnern entbindet Unternehmen jedoch nicht automatisch von ihren datenschutzrechtlichen Verantwortlichkeiten.

Deshalb sollte klar geregelt sein, welche Zugriffe für welchen Zweck erforderlich sind, wie lange diese bestehen dürfen und wer für die Überprüfung verantwortlich ist.

Insbesondere gemeinsam verwendete Zugänge verdienen Aufmerksamkeit. Werden Passwörter an externe Partner weitergegeben, kann es schwierig werden, den Überblick über deren weitere Nutzung zu behalten.

Professionelles Passwortmanagement kann hier einen wichtigen Beitrag leisten. Zugänge lassen sich strukturiert bereitstellen, Berechtigungen gezielt verwalten und bei Bedarf wieder entziehen.

Bei bereits weitergegebenen Passwörtern kann zusätzlich ein Passwortwechsel notwendig sein. Das blosse Entfernen einer Freigabe aus dem Passwortmanager macht ein zuvor bekanntes Passwort nicht automatisch ungültig.

Eine sichere Zusammenarbeit mit externen Partnern benötigt deshalb sowohl technische Schutzmechanismen als auch eindeutige organisatorische Regeln.

Welche rechtlichen Folgen können Sicherheitsversäumnisse haben?

Datenschutzverletzungen und die Missachtung gesetzlicher Sicherheitsvorgaben können erhebliche Konsequenzen nach sich ziehen.

In der Schweiz sieht das DSG bei bestimmten vorsätzlichen Verstössen Bussen von bis zu CHF 250'000 gegen verantwortliche natürliche Personen vor. Unter besonderen gesetzlichen Voraussetzungen kann stattdessen das Unternehmen mit bis zu CHF 50'000 gebüsst werden.

Die DSGVO erlaubt bei besonders schwerwiegenden Verstössen Geldbussen von bis zu EUR 20 Millionen oder vier Prozent des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.

Auch andere Regelwerke wie NIS2 sehen Sanktionsmechanismen vor, deren konkrete Anwendung vom jeweiligen rechtlichen Rahmen abhängt.

Allerdings führt nicht jede Sicherheitslücke automatisch zu einer Busse. Entscheidend sind die konkreten gesetzlichen Pflichten, die Umstände des Vorfalls und gegebenenfalls das Verschulden.

Unabhängig davon können Cyberangriffe betriebliche Folgen haben: Arbeitsausfälle, Kosten für die Wiederherstellung, mögliche Datenverluste und ein beschädigtes Kundenvertrauen.

Präventive Sicherheitsmassnahmen sind deshalb nicht nur eine Frage der Compliance, sondern auch des wirtschaftlichen Risikomanagements.

Fazit: Sichere Passwortverwaltung ist ein Baustein verantwortungsvoller Unternehmensführung

Die regulatorischen Anforderungen an Datenschutz und Cybersicherheit entwickeln sich weiter. Für Schweizer Unternehmen bedeutet dies vor allem, bestehende Sicherheitsprozesse regelmässig zu hinterfragen.

Dabei geht es nicht darum, möglichst viele einzelne Sicherheitslösungen einzusetzen. Entscheidend ist ein nachvollziehbares Gesamtkonzept, das technische und organisatorische Massnahmen miteinander verbindet.

Professionelles Passwortmanagement kann einen wesentlichen Beitrag dazu leisten. Durch geschützte Speicherung, kontrollierte Freigaben, klare Berechtigungen und geregelte Ein- und Austrittsprozesse lassen sich zahlreiche Risiken im Umgang mit geschäftlichen Zugängen reduzieren.

Gleichzeitig bleiben weitere Schutzmassnahmen wie Mehrfaktor-Authentifizierung, Identitätsmanagement, Mitarbeiterschulungen und ein wirksames Sicherheitsvorfallmanagement unverzichtbar.

Die entscheidende Frage für Unternehmen lautet deshalb nicht nur: Sind unsere Passwörter sicher? Sondern auch: Wissen wir jederzeit, wer auf welche geschäftlichen Zugänge zugreifen darf und wie wir diese kontrollieren?

Wer diese Fragen beantworten kann und die entsprechenden Prozesse konsequent umsetzt, schafft eine wichtige Grundlage für langfristige Informationssicherheit, Datenschutz und digitale Resilienz.

Passwortmanagement im Unternehmen verbessern?

Eine zentrale und sichere Verwaltung von Passwörtern und Zugängen kann Unternehmen dabei unterstützen, Risiken zu reduzieren und interne Sicherheitsprozesse effizienter zu gestalten. Erfahren Sie, wie professionelles Passwortmanagement Ihre Organisation im Geschäftsalltag unterstützen kann.