Wer hat die Passwörter? Das Zugriffsrisiko, das niemand prüft

Ein Personaldienstleister mit 35 Mitarbeitenden verliert seine Büroleiterin an einen Mitbewerber. Die Übergabe ist freundlich: zwei Wochen Einschulung, ein Ordner mit Notizen. Drei Wochen später scheitert die Domain-Verlängerung, weil die Erinnerung an ihr altes Postfach ging, geschlossen an ihrem letzten Tag. Die Website ist einen Vormittag lang offline. Kunden-E-Mails kommen zurück. Niemand kann sich beim Registrar anmelden, weil das Konto auf ihren Namen lief, mit den Zwei-Faktor-Codes auf ihrem privaten Handy.

Nichts Dramatisches ist passiert. Niemand war nachlässig. Das Unternehmen hat nur nie gefragt, wer welches Werkzeug verwalten kann, weil jedes Werkzeug immer funktioniert hat.

Das Dienstplan-System, das Bankportal, der Cloud-Speicher, die E-Mail-Verwaltung, die Social-Media-Profile: Jedes hat einen Besitzer, und in den meisten Unternehmen unter 100 Leuten ist dieser Besitzer eine einzige Person, oft der Geschäftsführer selbst. Die Konten funktionieren. Sie funktionieren genau bis zu dem Tag, an dem diese Person nicht erreichbar ist.

Dieser Leitfaden benennt das Problem, zeigt, was passiert, wenn der einzige Admin geht, und gibt dir ein Zugriffsinventar mit fünf Spalten, das du mit dem Kugelschreiber ausfüllen kannst. Am Ende stehen die vier günstigsten Maßnahmen und eine einseitige Austritts-Checkliste. Nichts davon braucht eine IT-Abteilung.

Was ist Zugriffskonzentration, und warum prüft sie niemand?

Zugriffskonzentration ist der Zustand, in dem eine einzige Person ein geschäftskritisches Konto verwalten kann. Es ist das häufigste Risiko in kleinen Unternehmen und das am wenigsten geprüfte, weil es keine Symptome zeigt. Das Konto funktioniert jeden Tag. Niemand merkt, dass es nur über eine Person funktioniert, bis diese Person weg ist, und mit ihr der Login, die Wiederherstellungs-E-Mail und das Handy mit den Codes.

Die kwapso-Definition: Zugriffskonzentration ist der Zustand, in dem ein kritisches System, Konto oder Portal von genau einer Person im Unternehmen verwaltet werden kann, sodass ihre Abwesenheit, ihr Abgang oder ihr verlorenes Handy das Unternehmen aus seinen eigenen Werkzeugen aussperrt.

Sie entsteht Anmeldung für Anmeldung. Jemand richtet im zweiten Jahr die ersten Werkzeuge ein, weil er es kann und sonst niemand will. Zehn Jahre später zahlt das Unternehmen für zwanzig Abos, und dieselbe Person ist bei vierzehn davon Admin. Das hat niemand entschieden.

Niemand prüft es, weil die Frage technisch klingt. Also geht der Geschäftsführer davon aus, dass sie zur IT gehört, und das Unternehmen hat keine IT. Außerdem gibt es nie einen Beinahe-Unfall. Die meisten Risiken kündigen sich mit kleinen Ausfällen an. Zugriffskonzentration fällt einmal aus, vollständig, und meist im schlechtesten Moment: bei einem Austritt, einem Streit, einer Krankheit, einem Urlaub.

Was passiert, wenn der einzige Admin das Unternehmen verlässt?

Wenn der einzige Admin geht, passieren drei Dinge nacheinander. Erstens: Die Konten funktionieren weiter, also handelt niemand. Zweitens: Ein Routineereignis trifft ein Konto, eine Verlängerung, ein Passwort-Reset, ein neuer Mitarbeiter, der Zugriff braucht. Drittens: Das Unternehmen stellt fest, dass es nicht mehr hineinkommt, und der Wiederherstellungsweg führt über ein geschlossenes Postfach oder ein Handy, das jemandem gehört, der nicht mehr hier arbeitet.

Der freundliche Austritt ist der Normalfall, und er geht trotzdem schief. Eine Übergabe deckt Aufgaben ab, keine Zugangsdaten. Die Nachfolgerin lernt, wie die Lohnabrechnung läuft, und bekommt den Login dafür. Niemand prüft, wem das Registrar-Konto gehört oder auf wessen Handy die Codes fürs Bankportal ankommen. Das waren nie Aufgaben. Das waren Einrichtungsentscheidungen von vor Jahren.

Der unfreundliche Austritt ist seltener und schlimmer. Ein gekündigter Mitarbeiter, der alleiniger Admin der E-Mail-Domain ist, kann in der Praxis jedes Postfach lesen und jeden Kollegen aussperren. Keine Vertragsklausel macht ein Passwort rückgängig.

Und dann gibt es den Austritt, den niemand geplant hat: Krankheit, Unfall, ein verlorenes Handy an einem Freitag. Eine SHRM-Studie aus 2023 ergab, dass 72 % der Unternehmen mindestens einen Mitarbeiter haben, dessen plötzlicher Abgang den Betrieb erheblich stören würde. In den Unternehmen, mit denen wir arbeiten, ist der Stillstand, den Geschäftsführer am häufigsten beschreiben, kein verlorenes Wissen. Es ist ein Login, den sonst niemand hat.

Das größere Bild dazu, was ein Abgang alles mitnimmt: Wenn dein bester Mitarbeiter morgen kündigt: Was bricht weg?

Wie erstellst du ein Zugriffsinventar an einem Nachmittag?

Ein Zugriffsinventar ist eine einzige Tabelle mit einer Zeile pro kritischem Konto und fünf Spalten: das Werkzeug, der Admin, der zweite Admin, wo die Zugangsdaten liegen, und was bei einem Austritt passiert. Du füllst sie aus, indem du die Admin-Einstellungen jedes Kontos öffnest und abliest, was dort steht, nicht aus dem Gedächtnis. Für ein Unternehmen mit zwanzig Werkzeugen dauert das zwei bis drei Stunden und passt auf eine Seite.

Domain und DNS
Admin (Rolle): Geschäftsführer
Zweiter Admin: keiner
Wo die Zugangsdaten liegen: Handy des Geschäftsführers
Was bei Austritt passiert: Aussperrung, Verlängerungsrisiko

Bankportal
Admin (Rolle): Geschäftsführer
Zweiter Admin: Büroleitung
Wo die Zugangsdaten liegen: Beide Handys
Was bei Austritt passiert: Abgedeckt

Dienstplan-System
Admin (Rolle): Büroleitung
Zweiter Admin: keiner
Wo die Zugangsdaten liegen: Ihr Browser
Was bei Austritt passiert: Niemand kann Nutzer anlegen oder entfernen

Cloud-Speicher
Admin (Rolle): Geschäftsführer
Zweiter Admin: keiner
Wo die Zugangsdaten liegen: Laptop des Geschäftsführers
Was bei Austritt passiert: Dateien nicht erreichbar

E-Mail-Verwaltung
Admin (Rolle): Externer IT-Betreuer
Zweiter Admin: keiner
Wo die Zugangsdaten liegen: Unbekannt
Was bei Austritt passiert: Abhängig vom Dienstleister

Social-Media- und Bewertungsprofile
Admin (Rolle): Ehemaliger Marketing-Mitarbeiter
Zweiter Admin: keiner
Wo die Zugangsdaten liegen: Unbekannt
Was bei Austritt passiert: Bereits verloren

Drei Regeln fürs Ausfüllen.

Prüf das Konto, nicht dein Gedächtnis. Öffne das Admin-Panel jedes Werkzeugs und lies ab, wer Administratorrechte hat. In den Unternehmen, mit denen wir arbeiten, liegt das Gedächtnis des Geschäftsführers bei rund einem Drittel der Zeilen daneben, meist weil das Konto von jemandem eingerichtet wurde, der inzwischen weg ist.

„Wo die Zugangsdaten liegen“ muss ein Ort sein, den eine zweite Person erreichen kann. „Sein Handy“ und „ihr Kopf“ sind ehrliche Antworten, und beide bedeuten dasselbe: nirgends.

Füll die letzte Spalte aus, ohne sie zu beschönigen. Wenn die Zelle für den zweiten Admin leer ist, lautet die Antwort „Aussperrung“. Das Aufschreiben ist der Punkt.

Die meisten Unternehmen sehen beim ersten Mal dasselbe Bild: sechs Konten, eine Person, kein Backup. Wenn diese eine Person du bist, ist das Inventar auch die erste Seite deines Nachfolgeplans.

Welche Konten sind am wichtigsten?

Sechs Kontotypen tragen den Großteil des Zugriffsrisikos in einem Dienstleistungsunternehmen: Domain und DNS, Bank- und Zahlungsportale, das Dienstplan- oder Auftragssystem, der Cloud-Speicher, die E-Mail-Verwaltung und die Social-Media- und Bewertungsprofile. Das sind die Konten, bei denen eine Aussperrung eine kundenrelevante Funktion stoppt oder sich nicht mit einem Support-Ticket beheben lässt. Fang mit diesen sechs an.

Domain und DNS. Die gefährlichste Zeile und die unscheinbarste. Wer die Domain kontrolliert, kontrolliert die Website, jede E-Mail-Adresse und jedes Werkzeug, das im Namen des Unternehmens E-Mails verschickt. Läuft das Registrar-Konto auf eine Privatperson, gehört dem Unternehmen seine Domain in der Praxis nicht.

Bank- und Zahlungsportale. Meist die am besten geschützte Zeile, weil Banken einen zweiten Zeichnungsberechtigten verlangen. Die Lücken liegen bei Zahlungsanbietern und Kartenterminals, in Eile von einer Person eingerichtet, mit dem eigenen Handy für die Codes.

Das Dienstplan- oder Auftragssystem. Mit nur einem Admin kann niemand einen neuen Mitarbeiter anlegen, einen ausgeschiedenen entfernen oder eine Einstellung ändern, solange diese Person im Urlaub ist. Die Arbeit läuft weiter, aber das Werkzeug hört langsam auf, der Realität zu entsprechen.

Cloud-Speicher. Eine leisere Aussperrung, die länger dauert. Dateien, die unter dem Konto einer Person angelegt wurden, mit Kollegen als Gästen, sind nicht mehr erreichbar, sobald dieses Konto geschlossen wird. Viele Unternehmen entdecken, dass jahrelange Kundendokumente dem Nutzerkonto eines Mitarbeiters gehörten, nicht dem Unternehmen.

E-Mail-Verwaltung. Wer die E-Mail-Domain verwaltet, kann Postfächer anlegen und schließen, jedes Passwort zurücksetzen und jeden Posteingang lesen. Oft ist das ein externer IT-Betreuer, und das ist in Ordnung, solange das Unternehmen einen eigenen zweiten Admin-Login hält.

Social-Media- und Bewertungsprofile. Die Zeile, die am häufigsten schon verloren ist. Eine Seite, die vor Jahren ein Marketing-Mitarbeiter angelegt hat, mit dem Login auf seiner privaten E-Mail-Adresse. Die Wiederherstellung über die Plattform kann Monate dauern.

Wo die Dateien hinter diesen Konten tatsächlich liegen, ist eine eigene Frage: Wo liegen deine Unternehmensdaten?

Wie behebst du Zugriffskonzentration in einem kleinen Unternehmen?

Du behebst Zugriffskonzentration mit einem zweiten Admin auf jedem kritischen Konto, einem gemeinsamen Passwort-Tresor, einem Verlängerungskalender und einer einseitigen Austritts-Checkliste. Zusammen kosten diese vier Maßnahmen etwa einen Arbeitstag und beseitigen fast das gesamte Risiko. Keine braucht neue Software außer dem Tresor, und keine verlangt, dass der Geschäftsführer versteht, wie ein Werkzeug im Detail funktioniert.

Zweiter Admin auf jedem kritischen System. Etwa eine Stunde. Für jede Zeile mit leerer Zelle beim zweiten Admin trägst du einen ein, nach Rolle: typischerweise Geschäftsführer und Büroleitung. Dieser eine Schritt macht aus einer Aussperrung eine Unannehmlichkeit. Nichts in diesem Leitfaden bringt pro Minute mehr.

Gemeinsamer Passwort-Tresor. Etwa ein halber Tag. Ein Ort, an dem jedes gemeinsame Zugangsdatum liegt, erreichbar für mindestens zwei Personen, mit der Wiederherstellungs-E-Mail auf einem Firmenpostfach. Welchen Tresor du wählst, ist weit weniger wichtig als die Regel, dass nichts Gemeinsames in einem Browser, einem Notizbuch oder einem Handy lebt.

Verlängerungskalender. Etwa eine Stunde. Domain, Zertifikate, Lizenzen, das eine Jahresabo, an das niemand denkt, bis es ausläuft. Ein gemeinsamer Kalender, Erinnerungen an ein Rollenpostfach, nicht an eine Person. Viele Aussperrungen sind Verlängerungsprobleme, die zu Zugriffsproblemen wurden, weil der einzige Admin weg war.

Austritts-Checkliste auf einer Seite. Etwa eine Stunde zum Schreiben, danach bei jedem Austritt wiederverwendet. Der nächste Abschnitt liefert dir den Inhalt.

Ein Arbeitstag. Das sind die gesamten Kosten, um ein Risiko zu beseitigen, das Wochen kostet, wenn es eintritt. Der Grund, warum die meisten Unternehmen es noch nicht getan haben, ist nicht der Aufwand. Niemand hatte die Liste.

Wenn das Inventar auch Werkzeuge aufgedeckt hat, für die du zahlst, ohne es zu wissen: Das Tool-Stack-Audit: Jedes Werkzeug, das du bezahlst, auf einer Seite, mit vier Entscheidungen

Wie entziehst du einem Mitarbeiter den Zugriff, wenn er das Unternehmen verlässt?

Du entziehst einem ausscheidenden Mitarbeiter den Zugriff mit einer Checkliste in fünf Schritten, die am letzten Tag durchgeht, wer die Abläufe verantwortet, egal ob der Austritt freundlich ist oder eine Kündigung: Admin-Rechte übertragen, gemeinsame Zugangsdaten ändern, eigene Dokumente übertragen, Postfach weiterleiten und dann schließen, und jede Zeile im Zugriffsinventar bestätigen. Sie passt auf eine Seite und dauert bei einem typischen Austritt unter zwei Stunden.

1. Admin-Rechte übertragen. Filtere das Inventar nach jeder Zeile, in der die Person Admin oder zweiter Admin ist, und übertrage die Rechte an die Rolle, die übernimmt. Die Zeilen für Domain und Bank übernimmt der Geschäftsführer.

2. Gemeinsame Zugangsdaten ändern. Jedes Passwort, das die Person kannte und das auch andere nutzen, wird heute geändert, und das neue kommt in den Tresor. Dieser Schritt wird am häufigsten übersprungen, weil er sich wie Misstrauen anfühlt. Es ist dieselbe Regel für jeden Austritt, und genau das macht sie fair.

3. Eigene Dokumente übertragen. Jede Datei und jede freigegebene Ablage, die dem Nutzerkonto der Person gehört, wird auf ein Firmenkonto übertragen, bevor der Nutzer geschlossen wird. Erst schließen und später übertragen: So verlieren Unternehmen ihre Archive.

4. Postfach weiterleiten, dann schließen. Leite die E-Mails der Person für eine festgelegte Zeit an ein Rollenpostfach weiter, dann schließe es. Durchsuch das Postfach vorher nach „Verlängerung“, „bestätigen“ und „Konto“, um jeden Dienst zu finden, dessen Wiederherstellung noch auf diese Adresse zeigt.

5. Im Zugriffsinventar bestätigen. Geh das Inventar noch einmal durch und hak jede Zeile ab. Das Inventar stimmt nur, wenn es jemand am selben Tag aktualisiert.

Fünf Schritte, kein IT-Projekt. Die eigentliche Arbeit leistet die Checkliste, bevor jemand geht: Sobald sie existiert, merkt das Unternehmen, welche Konten es nur schwer übertragen könnte, und behebt das, solange alle noch da sind.

Wo passt KI hinein?

Ein KI-Assistent kann kein Passwort zurücksetzen, für das er keine Berechtigung hat, und er kann kein Konto wiederherstellen, dessen Codes auf ein Handy gehen, das das Gebäude verlassen hat. Zugriff ist eine strukturelle Voraussetzung, nichts, was Automatisierung oder KI umgehen kann. Jeder Assistent und jede Integration, die du 2026 hinzufügst, meldet sich über dieselben Konten in deinem Inventar an und erbt jede Lücke darin.

Die Reihenfolge ist dieselbe wie überall im Betrieb. Struktur zuerst: das Inventar, der zweite Admin, der Tresor. Automatisierung danach: der Verlängerungskalender, der ein Rollenpostfach erinnert, die Austritts-Checkliste, die anläuft, sobald die Personalabteilung einen Austritt einträgt. KI zuletzt, sobald jedes Werkzeug, aus dem sie liest oder in dem sie handelt, einen firmeneigenen Admin und einen wiederherstellbaren Login hat.

Ein Unternehmen, das die Zugriffsarbeit erledigt hat, hat damit auch einen Teil des Fundaments für KI Bereitschaft gelegt: Es weiß, welche Systeme es hat und wem sie gehören. Was KI von deinen Abläufen wirklich braucht: 95 % der KI-Projekte bringen null ROI. Warum das so ist und was du zuerst reparierst.

Zugriff ist eine von fünf Abhängigkeiten, die ein Unternehmen stoppen können. Willst du die anderen vier? Lies als Nächstes: Dein Unternehmen hat fünf Single Points of Failure. So findest du jeden davon.

Steht in jeder Zeile des Inventars dein Name? Lies als Nächstes: Der Zwei-Wochen-Test: Läuft dein Unternehmen, wenn du wirklich Urlaub machst?

Dein nächster Schritt

Wenn du eines aus diesem Leitfaden mitnimmst: Solange du nicht nachgesehen hast, weißt du nicht, welche deiner Konten nur eine Person verwalten kann. Das Risiko ist nicht, dass etwas Dramatisches passiert. Es ist, dass jemand ganz normal geht, und ein Login mit ihm.

Du hast jetzt das Zugriffsinventar, die sechs Konten, die du zuerst prüfst, die vier Maßnahmen mit Zeitangaben und die einseitige Austritts-Checkliste. Du kannst deine Aussperrungen heute Nachmittag finden und die meisten noch diese Woche beseitigen. Die Reihenfolge:

Schritt 1: Liste jedes Werkzeug, Portal und Konto auf, von dem das Unternehmen abhängt. Alle zwanzig, nicht die offensichtlichen fünf.

Schritt 2: Öffne für jedes die Admin-Einstellungen und halte fest: Admin, zweiter Admin, und wo die Zugangsdaten liegen.

Schritt 3: Markiere jede Zeile mit leerer Zelle beim zweiten Admin oder mit „Handy“ oder „Kopf“ bei den Zugangsdaten. Das sind deine Aussperrungen.

Schritt 4: Trag bei jeder dieser Zeilen noch diese Woche einen zweiten Admin ein. Fang mit der Domain an.

Schritt 5: Richte innerhalb eines Monats den Tresor, den Verlängerungskalender und die einseitige Austritts-Checkliste ein.

Der schwierigere Teil ist, das Ganze aktuell zu halten. Jemand muss zwanzig Admin-Panels öffnen und festhalten, was wirklich dort steht. Jemand muss jahrelang gesammelte Passwörter in einen Tresor übertragen. Jemand muss die Checkliste am letzten Tag eines Mitarbeiters durchgehen, wenn der Tag ohnehin voll ist. Jedes davon konkurriert mit dem Tagesgeschäft, und deshalb ist das Inventar, einmal geschrieben, bei der nächsten Einstellung schon veraltet.

Das ist die Arbeit, die kwapso macht. Wir bauen das Zugriffsinventar in das operative System des Kunden ein, Sprint für Sprint: ein zweiter Admin auf jedem kritischen Konto, ein gemeinsamer Tresor mit firmeneigener Wiederherstellung, ein Verlängerungskalender, der eine Rolle erinnert statt eine Person, und eine Austritts-Checkliste, die anläuft, sobald jemand geht. Wir bleiben auch nach dem Aufbau.

Wir werden die Digitalabteilung, die dein Unternehmen nicht hat.

Willst du wissen, welche deiner Konten mit einem einzigen Abgang dunkel werden? Mach hier das kostenlose Operations-Audit.

Egal, ob du das selbst anpackst oder an uns übergibst: Wir hoffen, dieser Leitfaden macht aus einer Frage, die niemand stellt, eine Liste, die du an einem Tag abarbeiten kannst.