Passwörter im Excel? Warum dich das irgendwann den Betrieb kostet

Es gibt eine Datei, die ich in fast jedem KMU finde, wenn ich genauer hinschaue. Sie heisst passwörter.xlsx, Zugänge.docx oder ist ein abgegriffenes Notizbuch in der obersten Schublade. Drin: E-Banking, E-Mail-Konten, Website, Buchhaltung, Social Media – die Schlüssel zum ganzen Betrieb, unverschlüsselt, für jeden lesbar, der die Datei findet.

Wenn du gerade genickt hast: Dieser Artikel ist für dich. Und die gute Nachricht gleich vorweg – das Problem ist an einem Nachmittag gelöst.

Was wirklich auf dem Spiel steht

Reden wir nicht abstrakt über «Cyberrisiken», sondern konkret:

Das Weiterverwendungs-Problem. In der Excel-Welt nutzt jeder überall dasselbe Passwort oder minimale Varianten davon. Wird irgendein Onlinedienst gehackt, den ein Mitarbeiter privat nutzt, probieren Angreifer die erbeutete Kombination automatisiert überall durch – auch bei deinem Geschäfts-E-Mail. Das ist keine Theorie, das ist der Standardweg, wie KMU heute kompromittiert werden.

Das E-Mail-Konto ist der Generalschlüssel. Wer dein Geschäfts-Postfach übernimmt, kann bei fast jedem anderen Dienst «Passwort vergessen» klicken – und bekommt den Zugang frei Haus. Vom Postfach aus werden dann Kunden angeschrieben, Rechnungen mit geänderter IBAN verschickt, Zahlungen umgeleitet.

Das Personal-Problem. Jemand verlässt den Betrieb – im Guten oder im Bösen. Welche Zugänge hatte die Person? In der Excel-Welt: alle. Was wird geändert? Erfahrungsgemäss: nichts.

Das Schlüsselpersonen-Problem. Umgekehrt genauso gefährlich: Der Inhaber ist zwei Wochen im Spital, und niemand kommt an die Zugänge für Bank, Lohnlauf oder Hosting. Der Betrieb steht nicht wegen eines Angriffs – sondern wegen eines fehlenden Notfallzugriffs.

Warum «wir sind zu klein» nicht zieht

Der häufigste Einwand: «Wer interessiert sich schon für uns?» Niemand – und genau das ist der Punkt. Diese Angriffe sind automatisiert. Keine Person sucht dich aus; Software testet Millionen erbeuteter Zugangsdaten gegen Tausende Dienste. Ob dahinter ein Weltkonzern oder eine Schreinerei mit vier Leuten steht, ist dem Skript egal. Klein zu sein schützt nicht – es macht dich nur zum leichteren Ziel, weil die Abwehr fehlt.

Die Lösung: ein Passwortmanager fürs Team

Ein Passwortmanager ist ein verschlüsselter Tresor für alle Zugänge – webbasiert, auf jedem Gerät verfügbar, und das Team-Modell löst genau die Probleme von oben:

• Ein starkes Passwort pro Dienst, automatisch generiert. Niemand muss sich mehr etwas merken ausser dem einen Master-Passwort. Das Weiterverwendungs-Problem verschwindet komplett.
• Tresore statt Giesskanne. Die Buchhaltung sieht die Finanz-Zugänge, das Marketing die Social-Accounts – niemand sieht alles, ausser du willst es so.
• Austritt = ein Klick. Zugriff entziehen, kritische Passwörter rotieren, fertig. Kein Rätselraten, wer was wusste.
• Notfallzugriff. Definierte Personen kommen im Ernstfall an definierte Tresore. Das Schlüsselpersonen-Problem ist gelöst, bevor es entsteht.

Bewährte Anbieter gibt es einige – 1Password und Bitwarden sind die bekanntesten, beide team-tauglich, beide für ein KMU im Bereich von wenigen Franken pro Person und Monat. Welchen du nimmst, ist zweitrangig; dass du einen nimmst, ist der Punkt.

So stellst du um – an einem Nachmittag

1. Anbieter wählen, Team-Konto anlegen (30 Minuten). Tresore nach Bereichen anlegen: Finanzen, IT/Hosting, Marketing, Allgemein.
2. Die kritischen 10 zuerst (1 Stunde): E-Banking, E-Mail-Konten, Hosting/Domain, Buchhaltung, wichtigste Lieferantenportale. Beim Übertragen gleich jedes Passwort durch ein neu generiertes ersetzen.
3. Zwei-Faktor-Authentifizierung aktivieren (1 Stunde) – mindestens für E-Mail, Banking und den Passwortmanager selbst. Das ist der grösste Sicherheitsgewinn pro Minute Aufwand überhaupt.
4. Team einrichten, Excel-Datei löschen (30 Minuten). Wirklich löschen – auch aus dem Papierkorb, auch die Kopie im Mail-Anhang von 2022.

Danach gilt die Regel: Neue Zugänge entstehen nur noch im Manager. Wer sie per Mail oder Chat verschickt, spendiert Znüni.

Mein Fazit

Von allen Baustellen im Steinzeit-Check ist diese die mit dem schlechtesten Verhältnis von Aufwand zu Risiko: ein Nachmittag Arbeit gegen ein existenzielles Schadenspotenzial. Es gibt keinen vernünftigen Grund, das aufzuschieben.

Und wenn du beim Umstellen Unterstützung willst oder gleich mehrere solcher Baustellen anpacken möchtest: Meld dich bei mir – pragmatisch, ohne Sicherheits-Theater.