Montag, 7:42 Uhr: Ein Mitarbeiter kommt nicht in das E-Mail-Postfach, weil das Passwort abgelaufen ist. Gleichzeitig wartet ein Kunde auf ein Angebot, die Buchhaltung benötigt einen Freigabelink und die Geschäftsführung fragt, warum schon wieder Zugänge fehlen. Bei der Frage „MFA oder Passwortmanager Unternehmen?“ geht es deshalb nicht um ein technisches Entweder-oder. Es geht darum, ob Ihre Mitarbeitenden sicher arbeiten können, ohne dass der Betrieb bei jeder Anmeldung ins Stocken gerät.
Die kurze Antwort lautet: Unternehmen brauchen in der Regel beides. Ein Passwortmanager sorgt für starke, eindeutige Zugangsdaten. Multi-Faktor-Authentifizierung, kurz MFA, schützt den Zugang zusätzlich, falls ein Passwort doch in falsche Hände gerät. Erst zusammen entsteht ein Sicherheitsniveau, das zum Arbeitsalltag eines mittelständischen Unternehmens passt.
MFA oder Passwortmanager im Unternehmen: Was schützt wovor?
Ein Passwortmanager speichert Zugangsdaten verschlüsselt und erzeugt für jedes System ein eigenes, langes Passwort. Das löst ein verbreitetes Alltagsproblem: Viele Mitarbeitende verwenden Passwörter mehrfach, variieren sie nur leicht oder legen sie in unsicheren Notizen ab. Wird ein Passwort bei einem externen Dienst veröffentlicht oder durch Phishing abgegriffen, können Angreifer diese Kombination häufig auch bei E-Mail, Cloud-Diensten oder Fachanwendungen ausprobieren.
MFA ergänzt das Passwort um einen zweiten Nachweis. Das kann eine Bestätigung in einer Authenticator-App, ein Hardware-Sicherheitsschlüssel oder – weniger empfehlenswert – ein Code per SMS sein. Ein gestohlenes Passwort reicht dann allein nicht mehr aus, um sich anzumelden.
Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt MFA ausdrücklich, insbesondere für E-Mail-Konten und Zugänge mit administrativen Rechten. Das ist nachvollziehbar: Das E-Mail-Postfach ist in vielen Betrieben der zentrale Schlüssel zu Kennwortrücksetzungen, Rechnungen, personenbezogenen Daten und interner Kommunikation. Wer es übernimmt, kann oft weitere Systeme übernehmen.
ENISA, die Cybersicherheitsagentur der Europäischen Union, führt kompromittierte Zugangsdaten und Phishing regelmäßig als wesentliche Einfallstore für Cyberangriffe auf. Die Konsequenz für die Praxis ist klar: Starke Passwörter ohne MFA lassen eine Lücke. MFA ohne geregelte Passwortnutzung lässt ebenfalls eine Lücke.
Warum ein Passwortmanager allein nicht genügt
Ein professionell eingerichteter Passwortmanager beendet die Zettelwirtschaft und reduziert Rücksetzungsanfragen. Mitarbeitende müssen sich nicht mehr dutzende komplexe Kennwörter merken. Das erhöht nicht nur die Sicherheit, sondern spart im Tagesgeschäft spürbar Zeit.
Doch selbst ein einzigartiges Passwort kann durch eine täuschend echte Phishing-Seite eingegeben werden. Auch Schadsoftware auf einem Endgerät oder ein kompromittierter externer Dienst können Zugangsdaten gefährden. Genau an dieser Stelle greift MFA: Die Anmeldung wird erst nach einem zusätzlichen Nachweis möglich.
Dabei kommt es auf die konkrete Methode an. Eine Bestätigung in einer App ist für viele Teams ein guter Kompromiss aus Schutz und Bedienbarkeit. Für besonders kritische Konten, etwa globale Administratoren, Finanzfreigaben oder den Zugriff auf sensible Mandantenakten, sind hardwarebasierte Sicherheitsschlüssel häufig die bessere Wahl. Sie sind deutlich widerstandsfähiger gegen Phishing, erfordern aber Ausgabe, Ersatzprozesse und eine saubere Verwaltung.
Warum MFA allein keine Passwortstrategie ersetzt
Manche Unternehmen aktivieren MFA zunächst nur für das E-Mail-System und betrachten das Thema damit als erledigt. Das ist ein sinnvoller Anfang, aber keine vollständige Zugangsschutzstrategie.
Ohne Passwortmanager entstehen weiterhin schwache oder wiederverwendete Passwörter. Besonders kritisch wird das bei Fachportalen, Lieferantenplattformen, Buchhaltungszugängen oder kleineren Cloud-Diensten, für die MFA noch nicht verfügbar ist. Gerade dort brauchen Sie eindeutige, ausreichend lange Kennwörter und eine kontrollierte Übergabe bei Urlaub, Rollenwechsel oder Austritt.
Ein Passwortmanager schafft außerdem Transparenz. Statt dass Geschäftsrelevantes Wissen im Kopf einzelner Mitarbeitender oder in privaten Browsern liegt, können berechtigte Teams auf gemeinsam verwaltete Zugangsdaten zugreifen. Entscheidend ist die Rollenverteilung: Nicht jeder braucht Zugriff auf alles. Ein Vertriebsteam benötigt andere Freigaben als Buchhaltung, IT-Administration oder Geschäftsführung.
Das unterstützt auch Anforderungen aus der DSGVO. Artikel 32 verlangt technische und organisatorische Maßnahmen, die dem Risiko angemessen sind. Die DSGVO schreibt keinen bestimmten Passwortmanager und keine bestimmte MFA-App vor. Sie erwartet aber, dass Verantwortliche Risiken bewerten und Schutzmaßnahmen nachvollziehbar umsetzen. Bei personenbezogenen Daten, Remote-Zugriffen und cloudbasierten Anwendungen gehören geregelte Zugänge heute zu dieser Sorgfaltspflicht.
Die häufigste Hürde ist nicht die Technik
MFA scheitert selten daran, dass eine App nicht installiert werden kann. Die eigentliche Hürde ist der Ablauf. Was passiert, wenn ein Firmenhandy verloren geht? Wer hinterlegt eine zweite Anmeldemethode? Wie erhält eine neue Mitarbeiterin am ersten Arbeitstag Zugriff? Und wie werden Berechtigungen entfernt, wenn jemand das Unternehmen verlässt?
Fehlen klare Antworten, entstehen Ausnahmen. Dann wird ein Code an Kolleginnen weitergegeben, ein gemeinsames Passwort verwendet oder ein ehemaliger Mitarbeiter behält länger Zugriff als vorgesehen. Das ist kein Fehlverhalten aus Bequemlichkeit, sondern meist die Folge eines Prozesses, der nicht zum Alltag passt.
Ein tragfähiges Konzept definiert deshalb Verantwortlichkeiten vor der Einführung. Es legt fest, welche Systeme zuerst geschützt werden, welche MFA-Methode eingesetzt wird, wie Wiederherstellungen ablaufen und wer die Berechtigungen regelmäßig prüft. Für viele mittelständische Unternehmen empfiehlt sich eine schrittweise Einführung: zuerst E-Mail und Administrationskonten, danach zentrale Fachanwendungen und externe Portale.
Fallbeispiel aus der Managed-Service-Praxis
Ein mittelständischer Dienstleister mit rund 45 Beschäftigten arbeitete mit mehreren gemeinsamen Zugängen zu Kunden- und Lieferantenportalen. Passwörter wurden teilweise über Tabellen weitergegeben, einzelne Mitarbeitende kannten wichtige Zugangsdaten nur auswendig. Als ein Mitarbeiter kurzfristig ausfiel, dauerte es mehrere Stunden, bis das Team auf einen dringend benötigten Portalzugang zugreifen konnte.
Die Lösung bestand nicht darin, einfach einen Passwortmanager einzukaufen. Zunächst wurden die Konten aufgenommen, gemeinsame Zugänge identifiziert und Verantwortliche festgelegt. Anschließend wurden persönliche Konten konsequent von Sammelkonten getrennt, sichere Team-Tresore eingerichtet und MFA für E-Mail sowie privilegierte Konten aktiviert. Für den Notfall wurden Wiederherstellungscodes geschützt hinterlegt und ein klarer Freigabeprozess definiert.
Das Ergebnis war vor allem operative Entlastung: Neue Mitarbeitende konnten strukturiert ausgestattet werden, Vertretungen mussten nicht mehr nach Passwörtern suchen und ausscheidende Beschäftigte verloren ihre Berechtigungen nachvollziehbar. Sicherheit wurde nicht als zusätzliche Aufgabe wahrgenommen, sondern als besser organisierter Standardprozess.
So treffen Sie die richtige Entscheidung
Wenn Sie zwischen MFA und Passwortmanager priorisieren müssen, starten Sie mit den Zugängen, deren Verlust den größten Schaden verursachen würde. Das sind meist E-Mail, Identitätsverwaltung, Administrationskonten, Finanz- und Buchhaltungssysteme sowie Anwendungen mit sensiblen Kunden- oder Patientendaten. Dort sollte MFA nicht aufgeschoben werden.
Parallel lohnt sich der Aufbau eines Passwortmanagements, damit einzigartige Kennwörter und geregelte Zugriffe zur Normalität werden. Für sehr kleine Teams kann ein zentral verwalteter Passwortmanager mit klaren Gruppenrechten genügen. Wächst das Unternehmen, werden Funktionen wie rollenbasierte Freigaben, Protokollierung, Notfallzugriff und automatisiertes Offboarding wichtiger.
Achten Sie nicht nur auf Produktfunktionen, sondern auf die Betriebsfähigkeit: Wer administriert die Lösung? Welche Konten dürfen nie ohne MFA verwendet werden? Wie wird ein verlorenes Gerät abgesichert? Wie erkennen Sie, ob ein ehemaliger Mitarbeiter noch Zugriff hat? Diese Fragen entscheiden darüber, ob Sicherheit im Ernstfall funktioniert.
Sicherheit, die den Betrieb nicht aufhält
MFA und Passwortmanager sind keine konkurrierenden Lösungen. Der Passwortmanager verringert die Zahl schwacher und mehrfach verwendeter Passwörter. MFA verhindert, dass ein abgegriffenes Passwort allein zur Tür ins Unternehmen wird. Zusammen reduzieren sie ein Risiko, das sich sonst schnell auf E-Mail, Daten, Rechnungen und den laufenden Betrieb auswirken kann.
Für Geschäftsführungen ist dabei nicht entscheidend, jede technische Einstellung selbst zu kennen. Entscheidend ist, dass Zugänge nachvollziehbar geschützt, Änderungen sauber umgesetzt und Ausnahmen nicht dem Zufall überlassen werden. Wenn diese Grundlagen stehen, haben Sie den Kopf frei für Ihr Geschäft – und Ihre Mitarbeitenden können arbeiten, ohne Sicherheit ständig als Hindernis zu erleben.