Der Newsletterzugang liegt bei einer Kollegin, das Werbekonto bei einem früheren Dienstleister und die Domain wurde vor Jahren mit einer privaten Adresse angelegt. Solange alles funktioniert, fällt diese Verteilung kaum auf. Bei Krankheit, Personalwechsel oder einer gesperrten Anmeldung kann daraus ein Betriebsproblem werden. Eine Zugangsliste und klare Zuständigkeiten verhindern, dass wichtige Konten nur über Erinnerungen verwaltet werden.
Beginnen Sie mit einer Bestandsaufnahme, ohne Passwörter in die Liste zu schreiben. Erfassen Sie System, betriebliche Aufgabe, verantwortliche Person, zugelassene Nutzer und den Ort der geschützten Wiederherstellungsinformationen. Die Übersicht soll zeigen, wer handeln kann und wo eine Lücke besteht. Sie soll keine ungeschützte Sammlung aller Geheimnisse werden.
Die wichtigsten Konten zuerst ordnen
Priorisieren Sie Konten, von denen weitere Zugänge abhängen. Dazu können die geschäftliche E-Mail, Domainverwaltung und zentrale Dateiablage gehören. Ein verlorener Zugang zu diesen Diensten kann die Wiederherstellung anderer Konten erschweren. Prüfen Sie deshalb nicht nur das Marketingwerkzeug selbst, sondern auch seine Abhängigkeiten.
Für jedes wichtige Konto sollte die Frage beantwortbar sein: Wer ist intern verantwortlich, wer darf Änderungen vornehmen und wie bleibt der Betrieb handlungsfähig, wenn diese Person ausfällt? Bei einem Einpersonenbetrieb kann eine geschützte Notfallregel anders aussehen als in einem Team. Entscheidend ist eine bewusst gewählte Lösung, die zur tatsächlichen Organisation passt.
Individuelle Anmeldungen verwenden
Wenn ein Werkzeug Rollen und Einladungen unterstützt, geben Sie jeder beteiligten Person einen eigenen Zugang. Dadurch können Berechtigungen gezielt geändert werden. Ein gemeinsames Passwort macht dagegen schwer erkennbar, wer noch Zugriff hat und welche Änderung von wem stammt.
Wählen Sie die Rolle nach der Aufgabe. Wer nur einen Bericht lesen soll, braucht nicht automatisch Verwaltungsrechte. Wer Texte bearbeitet, muss nicht zwingend Rechnungsdaten ändern können. Überprüfen Sie die Beschreibung der Rollen im konkreten Produkt; ähnliche Bezeichnungen können unterschiedliche Befugnisse enthalten.
Für den Umgang mit unterschiedlichen Passwörtern kann ein geeigneter Passwortmanager helfen. Das BSI nennt Passwortmanager und zusätzliche Anmeldefaktoren als Maßnahmen zur Kontosicherheit. Wählen und konfigurieren Sie die Lösung entsprechend den betrieblichen Anforderungen, statt Zugangsdaten in normalen E-Mails oder frei zugänglichen Dokumenten zu verteilen.
Wiederherstellung nicht auf später verschieben
Prüfen Sie die hinterlegten Wiederherstellungswege. Ist die Adresse aktuell? Gehört die Telefonnummer noch zur zuständigen Person? Werden erforderliche Wiederherstellungscodes an einem geschützten, auffindbaren Ort aufbewahrt? Ein zusätzlicher Anmeldefaktor ist nur dann betrieblich handhabbar, wenn auch der Verlust des verwendeten Geräts bedacht wurde.
Testen Sie den vorgesehenen Vertretungsweg mit einer unkritischen Aufgabe, etwa dem Öffnen eines Berichts. Ändern Sie dabei nicht ohne Anlass sicherheitsrelevante Einstellungen. Der Test soll zeigen, ob die berechtigte Vertretung tatsächlich arbeiten kann und welche Anweisungen fehlen. Dokumentieren Sie die Durchführung, nicht die geheimen Zugangsdaten.
Vermeiden Sie eine Konstruktion, bei der alle Wiederherstellungsinformationen ausschließlich in dem Konto liegen, das wiederhergestellt werden müsste. Auch ein Ausdruck kann ungeeignet sein, wenn er offen neben dem Arbeitsplatz liegt. Die konkrete Aufbewahrung sollte gegen unbefugten Zugriff schützen und den berechtigten Notfallzugriff ermöglichen.
Eintritt und Austritt als Ablauf behandeln
Beim Beginn einer Zusammenarbeit werden Aufgaben, Rollen und gegebenenfalls ein Ablaufdatum festgelegt. Beim Ende werden nicht nur sichtbare Nutzer entfernt. Prüfen Sie auch verknüpfte Anwendungen, automatische Benachrichtigungen und Prozesse, die unter dem Konto der Person laufen. Welche Schritte nötig sind, hängt vom verwendeten Dienst ab.
Übertragen Sie laufende Arbeit, bevor ein Konto geschlossen wird. Eine geplante Nachricht oder ein gemeinsam genutzter Bericht kann sonst plötzlich nicht mehr verwaltet werden. Nach der Entfernung sollte eine berechtigte Person prüfen, ob der betriebliche Zugriff weiterhin funktioniert und die nicht mehr benötigte Person tatsächlich aus den relevanten Berechtigungslisten verschwunden ist.
Eine kurze regelmäßige Kontrolle hält die Übersicht aktuell. Prüfen Sie zusätzlich nach Personal- oder Dienstleisterwechseln. Markieren Sie Konten ohne klare Zuständigkeit als offene Aufgabe und lösen Sie diese gezielt. Eine gepflegte Zugangspraxis spart nicht nur Suchzeit; sie macht auch nachvollziehbar, welche Personen heute noch im Namen des Betriebs handeln können.
