Passwörter im Handwerksbetrieb: Die unterschätzte Schwachstelle

Passwörter sind die Schlüssel zu deinem digitalen Betrieb. Sie schützen dein Online-Banking, deine Kundendaten, deine E-Mails, deine Cloud-Dokumente. Doch Hand aufs Herz: Wie sicher sind deine Passwörter wirklich? Und wie gehst du damit um, wenn mehrere Mitarbeitende Zugang brauchen?

In diesem Artikel erfährst du, warum selbst scheinbar clevere Passwörter wie "Handwerk2024!" brandgefährlich sind, wie Passwort-Manager dein Leben einfacher und sicherer machen und wie du im Team mit sensiblen Zugangsdaten umgehst, ohne die Sicherheit zu gefährden.

Die bittere Wahrheit: Warum "Handwerk2024" ein katastrophales Passwort ist

Auf den ersten Blick sieht "Handwerk2024" doch gar nicht so schlecht aus, oder? Es hat Groß- und Kleinbuchstaben, Zahlen, mehr als acht Zeichen. Viele Webseiten würden es als "mittelstark" einstufen. Trotzdem ist dieses Passwort eine Einladung für Hacker. Warum?

Die Psychologie hinter schlechten Passwörtern

Wir Menschen sind Gewohnheitstiere. Wenn wir ein Passwort erstellen sollen, greifen wir zu Dingen, die wir uns leicht merken können:

• Berufsbezeichnung + aktuelles Jahr ("Elektriker2024")
• Firmenname + Geburtsjahr ("Mueller1978")
• Stadt + Straßennummer ("Hamburg42")
• Einfache Wörter mit Sonderzeichen ("Passwort!")
• Namen von Kindern, Haustieren, Fußballvereinen

Das Problem: Genau das tun Millionen andere Menschen auch. Und genau das wissen die Angreifer.

Cyberkriminelle sind keine mysteriösen Genies, die stundenlang vor grün leuchtenden Bildschirmen sitzen und einzelne Zeichen erraten. Sie nutzen systematische, automatisierte Methoden:

1. Wörterbuch-Attacken

Programme durchlaufen Listen mit Millionen häufig genutzter Passwörter. Diese Listen entstehen aus geleakten Datenbanken vergangener Hacks. "Handwerk2024" steht vielleicht nicht wortwörtlich auf der Liste, aber das Muster "Wort+Jahr" ist so verbreitet, dass spezialisierte Varianten dieser Listen genau solche Kombinationen abdecken. Ergänzend werden hierbei alle bekannten Wörter eines Wörterbuches ausprobiert. 

Beliebte Passwörter wie "123456", "password", "hallo123" oder "qwertz" werden in Sekundenbruchteilen geknackt. Auch Varianten mit einfachen Ersetzungen ("P@ssw0rt") sind längst in den Datenbanken.

2. Brute-Force-Attacken

Hier probieren Programme systematisch alle möglichen Zeichenkombinationen aus. Das klingt zeitaufwändig? Moderne Computer schaffen Milliarden Kombinationen pro Sekunde. Ein achtstelliges Passwort, das nur aus Kleinbuchstaben besteht, kann in unter einer Minute geknackt werden. Mit jeder zusätzlichen Zeichenart (Großbuchstaben, Zahlen, Sonderzeichen) und jedem zusätzlichen Zeichen steigt die Zeit exponentiell – aber eben nur, wenn die Zeichen wirklich zufällig gewählt sind.

3. Social Engineering und öffentliche Informationen

Hacker recherchieren. Dein Firmenname steht auf der Webseite, dein Geburtsjahr vielleicht auf LinkedIn, die Namen deiner Kinder auf Facebook. Ein Passwort wie "Mueller_Tom_2015" (Nachname, Kind, Geburtsjahr des Kindes) ist für jemanden, der fünf Minuten recherchiert, kein Geheimnis

Schauen wir uns mal konkret an, wie schnell verschiedene Passwörter geknackt werden können:

"handwerk" (9 Zeichen, nur Kleinbuchstaben)
→ Geknackt in: unter 1 Sekunde

"Handwerk2024" (13 Zeichen, Groß-/Kleinbuchstaben, Zahlen)
→ Geknackt in: wenige Minuten (weil es einem bekannten Muster folgt)

"Handwerk2024!" (14 Zeichen, mit Sonderzeichen)
→ Geknackt in: einige Stunden (immer noch ein erkennbares Muster)

"K7#mP9$xL2@qR5" (14 Zeichen, völlig zufällig)
→ Geknackt in: Millionen von Jahren (bei aktuellem Stand der Technik)

Der entscheidende Unterschied ist nicht die Länge oder die Zeichenvielfalt allein – es ist die Unvorhersehbarkeit.

Weitere Todsünden bei Passwörtern

Neben vorhersehbaren Mustern gibt es weitere kritische Fehler:

Dasselbe Passwort überall nutzen
Wenn ein Dienst gehackt wird (und das passiert ständig), haben Angreifer dein Passwort. Wenn du es überall nutzt, haben sie den Generalschlüssel zu deinem digitalen Leben: Bank, E-Mail, Social Media, Lieferantenportale – alles offen.

Passwörter weitergeben
"Hey Tom, das WLAN-Passwort ist Werkstatt123, sag's den anderen auch." Jeder, der es einmal kennt, kennt es für immer. Und gibt es vielleicht weiter. Oder schreibt es auf einen Zettel, der liegenbleibt.

Passwörter aufschreiben (sichtbar)
Der klassische Post-it am Monitor mit dem Passwort. Oder das Notizbuch in der Schublade. Oder die unverschlüsselte Excel-Datei "Passwörter.xlsx" auf dem Desktop. Jeder, der physischen Zugang hat, hat auch digitalen Zugang.

Passwörter nie ändern
"Das Passwort benutze ich seit 2015, das ist doch sicher!" Nein. Je länger ein Passwort existiert, desto höher die Wahrscheinlichkeit, dass es bei einem der zahllosen Datenlecks der letzten Jahre kompromittiert wurde.

Viel zu kurz
Sechs oder sieben Zeichen? Gerade noch so von der Webseite akzeptiert? Viel zu wenig. Absolute Untergrenze sollten heute 12 Zeichen sein, besser 14 oder mehr.

Jetzt kommt die gute Nachricht: Du musst dir das alles gar nicht merken. Und du musst auch keine komplizierten Systeme entwickeln. Es gibt eine einfache, elegante Lösung: Passwort-Manager.

Was ist ein Passwort-Manager?

Stell dir einen hochsicheren Tresor vor, in dem alle deine Schlüssel liegen. Dieser Tresor hat nur ein einziges, sehr sicheres Hauptschloss. Das ist im Prinzip ein Passwort-Manager: Ein Programm, das all deine Passwörter verschlüsselt speichert. Du musst dir nur noch ein einziges, sehr starkes Master-Passwort merken – der Rest läuft automatisch.

Was ein Passwort-Manager für dich tut:

• Generiert für jeden Dienst ein einzigartiges, zufälliges, unknackbares Passwort
• Speichert alle Passwörter verschlüsselt
• Füllt Passwörter auf Webseiten automatisch aus
• Synchronisiert Passwörter zwischen Geräten (Handy, Laptop, Tablet)
• Warnt dich vor schwachen oder mehrfach genutzten Passwörtern
• Benachrichtigt dich, wenn eines deiner Passwörter bei einem Datenleck aufgetaucht ist

Typische Bedenken – und warum sie unbegründet sind

"Aber wenn jemand meinen Passwort-Manager hackt, hat er alles!"

Das Master-Passwort wird nie übertragen oder gespeichert – selbst der Anbieter kennt es nicht. Die Daten sind mit einer Verschlüsselung (AES-256) gesichert. Selbst wenn jemand die Datenbank stiehlt, kann er ohne dein Master-Passwort nichts damit anfangen.

Ein Passwort-Manager ist deutlich sicherer als:

• Überall das gleiche Passwort zu nutzen
• Schwache Passwörter zu verwenden
• Passwörter im Browser ohne Master-Passwort zu speichern
• Passwörter auf Zetteln oder in Excel-Dateien zu notieren

"Das ist mir zu kompliziert."

Die Einrichtung dauert etwas Zeit, aber danach wird alles einfacher. Du musst dir nichts mehr merken, keine Passwörter mehr zurücksetzen, kein ständiges "Passwort vergessen?"-Klicken.

"Was, wenn ich mein Master-Passwort vergesse?"

Schreib es auf – aber nicht digital! Ein Zettel im Safe oder Bankschließfach ist in Ordnung. Oder teile es mit einer absolut vertrauenswürdigen Person. Manche Anbieter bieten auch "Notfallzugang"-Funktionen für solche Fälle.

"Was, wenn der Anbieter pleite geht?"

Du kannst deine Passwörter jederzeit exportieren (verschlüsselt) und zu einem anderen Dienst migrieren. Bei einigen Open-Source-Lösungen kannst du sogar deinen eigenen Server betreiben.

Passwörter im Team: Die Herausforderung der gemeinsamen Nutzung

In einem Handwerksbetrieb bist du selten allein. Die Buchhaltung braucht Zugang zum Lieferantenportal, dein Geselle soll die Materialbestellung aufgeben können, die Auszubildende muss E-Mails im Namen der Firma versenden. Wie gehst du damit um, ohne die Sicherheit zu gefährden?

Das Problem mit geteilten Passwörtern

Szenario 1: Alle nutzen dasselbe Konto
Wenn alle das Passwort kennen, gibt es keine Kontrolle mehr. Wer hat was gemacht? Wer hat die E-Mail gelesen? Wer hat die Rechnung verschickt? Bei einem Problem ist die Nachvollziehbarkeit gleich null.

Szenario 2: Passwörter per WhatsApp teilen
"Hey Sarah, das Passwort für den Baustoffhandel ist Beton2023, kannst du schnell was bestellen?" Die Nachricht bleibt im Chat-Verlauf, wird vielleicht weitergeleitet, landet auf Backups, in der Cloud. Nicht kontrollierbar.

Szenario 3: Passwörter auf Zettel
Der klassische Zettel in der Schublade. Jeder Mitarbeitende, jeder Besucher, jede Reinigungskraft kann ihn finden. Und wenn der Mitarbeiter geht, weißt du nicht, ob er das Passwort mitgenommen hat.

Szenario 4: Mitarbeiter gehen – Passwörter bleiben
Ein Mitarbeiter verlässt den Betrieb. Im Trubel des Abschieds vergisst du, alle Passwörter zu ändern, die er kannte. Er hat weiterhin Zugang – vielleicht nicht böswillig, aber die Sicherheitslücke ist da.

Die professionelle Lösung: Team-Passwort-Manager

Viele Passwort-Manager bieten Team- oder Familien-Tarife. Damit kannst du:

Zentral Passwörter verwalten
Du (als Admin) legst fest, wer auf welche Passwörter Zugriff hat. Die Buchhaltung sieht die Bank-Zugänge, der Geselle das Lieferantenportal, die Azubis die Social-Media-Accounts.

Passwörter teilen, ohne sie preiszugeben
Du kannst Zugriff gewähren, ohne dass der Mitarbeitende das Passwort im Klartext sieht. Er kann sich einloggen, aber das Passwort nicht kopieren oder weitergeben.

Zugriffe entziehen
Mitarbeiter geht? Mit einem Klick entziehst du alle Zugriffe. Keine Panik, keine 20 Passwörter ändern müssen.

Aktivitäten nachverfolgen
Wer hat wann auf welches Passwort zugegriffen? Bei kritischen Accounts (Bank, etc.) hast du einen Audit-Log.

Sicher onboarden
Neuer Mitarbeiter? Du gibst ihm Zugriff auf die benötigten Accounts, alles dokumentiert und kontrolliert.

Praxis-Tipps für Passwörter im Team

1. Rollenbasierte Zugriffe einrichten

Nicht jeder braucht alles. Definiere Rollen:

• Admin (Chef/Geschäftsführung): Zugriff auf alles, kann Rechte vergeben
• Buchhaltung: Bank, Steuerberater-Portal, Rechnungssoftware
• Bauleitung: Lieferanten, Projektmanagement-Tools
• Azubis: Social Media, E-Mail (eingeschränkt)

2. Kritische Accounts extra schützen

Manche Accounts sind besonders sensibel (Online-Banking, Lohn-Software). Hier:

• Nur minimale Zugriffsrechte vergeben
• Vier-Augen-Prinzip für kritische Aktionen
• Zusätzliche Benachrichtigungen bei Nutzung aktivieren

3. Regelmäßige Reviews

Quartalsweise durchgehen:

• Wer hat noch Zugriff auf was?
• Gibt es ehemalige Mitarbeiter, die noch in der Liste stehen?
• Sind die Berechtigungen noch aktuell?

4. Schulung und Sensibilisierung

Dein Team muss verstehen, warum Passwort-Sicherheit wichtig ist. Nimm dir 30 Minuten Zeit:

• Erkläre die Risiken (anhand von echten Beispielen)
• Zeige, wie der Passwort-Manager funktioniert
• Mach klare Regeln: Keine Passwörter per Chat, E-Mail oder Zettel

5. Notfall-Zugang regeln

Was passiert, wenn du (als Admin) ausfällst? Leg fest:

• Wer hat Notfallzugang zum Master-Passwort?
• Wo ist dieses hinterlegt? (Safe, Anwalt, Steuerberater)
• Wer wird Nachfolge-Admin?

6. Externe Dienstleister einbinden

Dein IT-Dienstleister muss temporär Zugang zum Server? Nutze den Passwort-Manager:

• Erstelle temporäre Zugänge mit Ablaufdatum
• Nach Abschluss der Arbeiten automatisch deaktiviert
• Oder: Teile Zugang nur für die Dauer des Auftrags

Praktische Umsetzung: Dein Fahrplan zu besserer Passwort-Sicherheit

Du bist überzeugt, weißt aber nicht, wo du anfangen sollst? Hier ist dein Schritt-für-Schritt-Plan:

Analyse

• Welche Accounts hast du? (Mach eine Liste: Bank, E-Mail, Lieferanten, Cloud, Social Media, etc.)
• Wie stark sind deine aktuellen Passwörter? (Ehrlich sein!)
• Wer im Team braucht Zugriff worauf?

Passwort-Manager einrichten

• Anbieter wählen 
• Starkes Master-Passwort festlegen
• Browser-Erweiterung und Apps installieren
• Erste 5-10 wichtigste Accounts übertragen

Migration

• Täglich 5-10 weitere Accounts übertragen
• Schwache Passwörter direkt ändern
• Doppelte Passwörter eliminieren

Team einbinden

• Wenn Team-Funktionen nötig: Upgrade buchen
• Mitarbeitende einladen und schulen
• Gemeinsame Passwörter migrieren
• Zugriffsrechte festlegen

Routinen etablieren

• Neue Accounts nur noch mit generiertem Passwort erstellen
• Monatlich: Sicherheits-Check im Passwort-Manager
• Quartalsweise: Team-Zugriffsrechte überprüfen
• Bei Mitarbeiter-Wechsel: Sofort Zugriffe anpassen

Selbst das stärkste Passwort kann gestohlen werden – durch Phishing, Datenlecks oder Keylogger. Hier kommt die Zwei-Faktor-Authentifizierung (2FA) ins Spiel: eine zusätzliche Sicherheitsebene, die dein Konto selbst dann schützt, wenn dein Passwort kompromittiert wurde.

Das Prinzip ist einfach: Zum Einloggen brauchst du zwei Dinge:

• Etwas, das du weißt (dein Passwort)
• Etwas, das du hast (dein Smartphone, ein Sicherheitsschlüssel)

Ein Angreifer, der dein Passwort stiehlt, kommt trotzdem nicht rein – ihm fehlt der zweite Faktor.

Typische 2FA-Methoden:

• SMS-Code: Du bekommst einen Code per SMS zugeschickt
• Authenticator-App: Apps wie Google Authenticator oder Microsoft Authenticator generieren zeitbasierte Codes
• Hardware-Token: Physische Sicherheitsschlüssel (z.B. YubiKey)
• Biometrie: Fingerabdruck oder Gesichtserkennung (oft am Smartphone)

Meine Empfehlung: Aktiviere 2FA mindestens für deine kritischsten Accounts – Online-Banking, E-Mail, Cloud-Speicher und alle Dienste mit Kundendaten. Die paar Sekunden mehr beim Login sind es absolut wert.

Zum Abschluss noch einmal die goldenen Regeln der Passwort-Sicherheit:

✅ Mindestens 12 Zeichen, besser 14 oder mehr
✅ Einzigartig für jeden Dienst – niemals wiederverwenden
✅ Zufällig und komplex – keine Wörter, Namen, Muster
✅ Passwort-Manager nutzen – du musst dir nur eins merken
✅ Zwei-Faktor-Authentifizierung aktivieren – doppelt hält besser
✅ Regelmäßig überprüfen – schwache Passwörter austauschen
✅ Im Team: Strukturiert teilen – nie per Chat oder Zettel
✅ Bei Mitarbeiter-Wechsel: Sofort handeln – Zugriffe entziehen

❌ Niemals: Geburtsdaten, Namen, einfache Wörter
❌ Niemals: Dasselbe Passwort mehrfach nutzen
❌ Niemals: Passwörter unverschlüsselt speichern (Excel, Notizen, Post-its)
❌ Niemals: Passwörter per E-Mail, WhatsApp oder SMS verschicken
❌ Niemals: Auf die Frage nach dem Passwort am Telefon antworten

Fazit: Passwort-Sicherheit ist kein Hexenwerk

Fang heute an. Nicht nächste Woche, nicht "irgendwann". Nimm dir jetzt 15 Minuten Zeit:

Beratungsangebot

Du hast Fragen zum Thema Cybersicherheit? Dann melde dich bei uns. Die Handwerkskammer Münster ist Teil des bundesweiten BIT-Netzwerks (Beratungsstellen für Innovation und Technologie) – einem Netzwerk spezialisierter Berater, die Handwerksbetriebe kostenlos bei Digitalisierung, neuen Technologien und Innovation unterstützen.

Die Inhalte dieses Blogs werden mit größtmöglicher Sorgfalt und nach bestem Wissen erstellt. Der Betreiber übernimmt jedoch keine Gewähr für ihre Aktualität, Richtigkeit und Vollständigkeit. Die Beiträge dienen der allgemeinen Information. Bitte beachten Sie, dass es sich hierbei um rechtsunverbindliche Hinweise handelt. Diese ersetzen keine Rechtsberatung. Bei wichtigen oder komplexen Fragen empfehlen wir, sich an die zuständigen Stellen zu wenden oder rechtliche Beratung einzuholen.