Ein ehemaliger Mitarbeiter kennt noch das Kennwort für das zentrale E-Mail-Postfach, ein Team nutzt ein gemeinsames Passwort für eine Fachanwendung und das WLAN-Kennwort steht seit Jahren im Besprechungsraum. Solche Situationen sind im Mittelstand keine Ausnahme. Wer eine Passwortrichtlinie im Unternehmen erstellen möchte, schafft deshalb nicht einfach ein weiteres Dokument für den Ordner. Er legt verbindliche Regeln fest, die Zugänge schützen und im Arbeitsalltag tatsächlich funktionieren.
Eine gute Richtlinie verbindet Sicherheit mit praktikablen Abläufen. Zu strenge Vorgaben führen oft dazu, dass Passwörter auf Notizzetteln landen, in Tabellen gespeichert oder für mehrere Dienste wiederverwendet werden. Zu lockere Regeln erleichtern dagegen Angriffe, insbesondere wenn gestohlene Zugangsdaten aus anderen Datenlecks erneut ausprobiert werden. Entscheidend ist ein klarer, nachvollziehbarer Rahmen für Mitarbeitende, Führungskräfte und die IT.
Warum eine Passwortrichtlinie mehr als ein IT-Thema ist
Passwörter sichern heute weit mehr als einzelne PCs. Sie schützen E-Mail-Postfächer, Microsoft-365-Konten, DATEV-nahe Anwendungen, Dokumentenmanagement, Cloud-Dienste, Fernzugriffe und Administrationszugänge. Ein kompromittiertes Benutzerkonto kann daher schnell zu Datenabfluss, betrügerischen Rechnungen oder einem Ausfall wichtiger Geschäftsprozesse führen.
Besonders sensibel ist die Lage in Kanzleien, Arztpraxen und Unternehmen mit personenbezogenen oder vertraulichen Daten. Hier steht nicht nur der laufende Betrieb auf dem Spiel. Datenschutzrechtliche Pflichten, vertragliche Anforderungen und branchenspezifische Vorgaben verlangen, dass Zugänge kontrolliert vergeben, abgesichert und bei Bedarf nachvollzogen werden können.
Die Richtlinie ist dabei ein organisatorisches Sicherheitsinstrument. Sie beschreibt, was von Beschäftigten erwartet wird, wer welche Verantwortung trägt und welche technischen Maßnahmen das Unternehmen bereitstellt. Das schafft eine verlässliche Grundlage für Onboarding, Support, Audits und den Umgang mit Sicherheitsvorfällen.
Passwortrichtlinie im Unternehmen erstellen: Erst den Geltungsbereich klären
Bevor konkrete Kennwortregeln formuliert werden, sollte feststehen, für welche Konten und Systeme sie gelten. Eine pauschale Regel für „alle Passwörter“ ist zu ungenau. Mitarbeiterkonten, privilegierte Administrationskonten, Funktionspostfächer, Gerätekennwörter und Zugänge externer Dienstleister haben unterschiedliche Risiken und benötigen teilweise unterschiedliche Schutzmaßnahmen.
In die Richtlinie gehören daher mindestens alle dienstlich genutzten IT-Systeme, Cloud-Anwendungen, mobilen Geräte, VPN-Zugänge und Fachanwendungen. Auch gemeinsam genutzte Konten sollten erfasst werden. Grundsätzlich sind persönliche Benutzerkonten vorzuziehen, weil sie Verantwortlichkeiten und Aktivitäten eindeutig zuordnen. Ist ein gemeinsames Konto technisch unvermeidbar, braucht es einen dokumentierten Eigentümer, einen klaren Zweck und einen geregelten Wechsel des Passworts.
Ebenso wichtig ist die Abgrenzung zwischen internen Mitarbeitenden, Aushilfen, Auszubildenden und externen Partnern. Externe Zugänge sollten zeitlich begrenzt sein und nur die Rechte erhalten, die für den Auftrag erforderlich sind. Sobald die Zusammenarbeit endet, müssen Konten deaktiviert oder entfernt werden.
Sichere Passwörter: Länge vor komplizierten Zeichenregeln
Die verbreitete Vorgabe „mindestens acht Zeichen, Großbuchstaben, Kleinbuchstaben, Zahl und Sonderzeichen“ erzeugt häufig schwer merkbare Kennwörter wie „Sommer!24“. Solche Muster sind vorhersehbar und werden bei Angriffen gezielt getestet. Für die meisten Benutzerkonten ist ein längeres, einzigartiges Passwort oder eine Passphrase die bessere Regel.
Eine Passphrase besteht aus mehreren nicht zusammenhängenden Wörtern und ist dadurch gut merkbar, aber lang genug. Zusätzliche Anforderungen an Sonderzeichen können sinnvoll sein, sollten jedoch nicht zum Selbstzweck werden. Entscheidend sind ausreichende Länge, Einzigartigkeit und der Schutz vor bekannten oder kompromittierten Kennwörtern.
Für die Richtlinie empfiehlt sich eine klare Mindestvorgabe, etwa 14 Zeichen für normale Benutzerkonten. Bei Konten mit erhöhten Rechten kann eine höhere Mindestlänge angemessen sein. Welche Grenze sinnvoll ist, hängt von den eingesetzten Systemen, der verfügbaren Mehrfaktor-Authentifizierung und dem Schutzbedarf der Daten ab.
Passwörter dürfen weder mit Kolleginnen und Kollegen geteilt noch in ungeschützten Dateien, E-Mails, Chatverläufen oder auf Zetteln am Arbeitsplatz hinterlegt werden. Auch private und berufliche Zugänge müssen getrennt bleiben. Ein Passwort, das bereits für einen privaten Online-Dienst verwendet wird, gehört nicht in ein Geschäftssystem.
Mehrfaktor-Authentifizierung gehört in die Regelung
Ein sicheres Passwort allein reicht bei extern erreichbaren Diensten oft nicht aus. Phishing-Mails, gefälschte Anmeldeseiten und Schadsoftware können Zugangsdaten abgreifen. Die Mehrfaktor-Authentifizierung, kurz MFA, ergänzt das Passwort um einen weiteren Nachweis – beispielsweise eine Authenticator-App, einen Sicherheitsschlüssel oder in Ausnahmefällen einen Einmalcode.
Die Richtlinie sollte festlegen, für welche Dienste MFA verpflichtend ist. Dazu zählen in der Regel E-Mail, Microsoft 365, VPN, Cloud-Speicher, Fernwartung, Administrationsportale und Systeme mit besonders schützenswerten Daten. SMS-Codes bieten zwar einen zusätzlichen Schutz, sind aber gegenüber Authenticator-Apps oder Hardware-Schlüsseln meist die schwächere Lösung.
Wichtig ist auch der Ablauf bei Geräteverlust oder einem Wechsel des Smartphones. Mitarbeitende brauchen einen erreichbaren Ansprechpartner und einen sicheren Weg, den zweiten Faktor zurückzusetzen. Ohne diesen Prozess kann MFA im Ernstfall den Betrieb unnötig blockieren.
Passwortwechsel nur mit nachvollziehbarem Anlass
Starre Wechselintervalle, etwa alle 30 oder 90 Tage, gelten nicht mehr automatisch als beste Praxis. Sie verleiten dazu, nur eine Zahl am Ende zu ändern oder Kennwortfolgen zu bilden. Das senkt die tatsächliche Sicherheit und erhöht gleichzeitig die Zahl der Supportanfragen.
Sinnvoller ist ein anlassbezogener Wechsel. Ein Passwort muss unverzüglich geändert werden, wenn ein Verdacht auf Phishing, eine Fehlweitergabe, einen Geräteverlust, einen unberechtigten Zugriff oder eine Veröffentlichung in einem Datenleck besteht. Auch nach einer Passwortzurücksetzung durch den Support ist ein neues, individuelles Kennwort erforderlich.
Anders kann es bei technischen Servicekonten, älteren Fachanwendungen oder besonders kritischen Administrationszugängen aussehen. Dort kann ein geplanter Wechsel weiterhin sinnvoll sein, sofern er technisch sauber dokumentiert und ohne Betriebsrisiko umgesetzt wird. Die Richtlinie darf diese Unterschiede ausdrücklich berücksichtigen.
Passwortmanager und technische Kontrollen einplanen
Eine Regel wirkt nur, wenn Mitarbeitende sie ohne Umwege einhalten können. Ein zentral bereitgestellter Passwortmanager ist deshalb eine praktische Ergänzung. Er erzeugt lange, zufällige Kennwörter, speichert sie verschlüsselt und kann berechtigte Zugänge kontrolliert teilen. Dadurch sinkt die Versuchung, Passwörter wiederzuverwenden oder lokal abzulegen.
Die Passwortrichtlinie sollte festlegen, welcher Passwortmanager zugelassen ist und wie mit geteilten Tresoren umzugehen ist. Besonders bei Teamzugängen braucht es Rollen, Freigabeprozesse und eine regelmäßige Überprüfung der Berechtigungen. Ein Passwortmanager ersetzt jedoch keine Benutzerverwaltung: Wer das Unternehmen verlässt, darf nicht allein durch den Entzug eines Tresorzugriffs aus dem Prozess fallen. Konto, Lizenzen, MFA-Verfahren und Berechtigungen müssen gemeinsam geprüft werden.
Technisch sollte die IT schwache oder bekannte kompromittierte Passwörter ablehnen, fehlgeschlagene Anmeldungen überwachen und Anmeldeprotokolle für kritische Systeme auswerten. Eine Kontosperre nach zu vielen Fehlversuchen kann sinnvoll sein, muss aber so gestaltet werden, dass sie nicht leicht für einen gezielten Ausfall missbraucht werden kann.
Verantwortlichkeiten und Ausnahmen klar beschreiben
Die beste Formulierung bleibt wirkungslos, wenn niemand für die Umsetzung zuständig ist. Die Geschäftsleitung gibt die Richtlinie frei und schafft die organisatorischen Voraussetzungen. Die IT oder ein betreuendes Systemhaus setzt technische Vorgaben um, verwaltet Berechtigungen und unterstützt bei Sicherheitsvorfällen. Mitarbeitende wenden die Regeln an und melden Auffälligkeiten sofort.
Zur Richtlinie gehört außerdem ein geregeltes Ausnahmemanagement. Manche ältere Anwendungen unterstützen keine langen Passwörter oder keine MFA. Solche Ausnahmen dürfen nicht stillschweigend bestehen bleiben. Sie sollten begründet, dokumentiert, zeitlich überprüft und mit zusätzlichen Maßnahmen abgesichert werden – etwa durch eingeschränkten Netzwerkzugriff, separate Konten oder eine zeitnahe Modernisierungsplanung.
Formulieren Sie die Richtlinie verständlich und nicht als technische Abhandlung. Zwei bis vier Seiten mit eindeutigen Regeln, Zuständigkeiten und Meldewegen sind für viele mittelständische Unternehmen hilfreicher als ein umfangreiches Regelwerk, das niemand liest. Ergänzen Sie das Dokument durch kurze Unterweisungen, besonders beim Eintritt neuer Mitarbeitender und bei Änderungen der eingesetzten Systeme.
Eine Passwortrichtlinie entfaltet ihren Nutzen erst, wenn sie in die täglichen Prozesse passt. Wer Zugänge, MFA, Passwortmanager und Austrittsprozesse gemeinsam betrachtet, reduziert Sicherheitsrisiken spürbar – ohne die Arbeit unnötig kompliziert zu machen.