Der Schlüssel bleibt im Haus: Zugänge und Geräte gehören dem Unternehmen

Kurz gefasst: Software-Lizenzen und Admin-Konten sind Firmenvermögen und gehören auf das Unternehmen registriert. Dienstleister und Mitarbeitende erhalten eigene Zugänge, die sich jederzeit entziehen lassen. Dazu kommen ein Passwortmanager, Mehr-Faktor-Anmeldung, ein Offboarding am selben Tag und klare Regeln für Geräte.

Wenn der Schlüssel beim Dienstleister liegt

Ein Systemhaus richtet neue Software ein und schließt den Lizenzvertrag gleich selbst ab. Beim Hersteller taucht der Betrieb dann nicht als Kunde auf. Fällt der Dienstleister aus oder endet die Zusammenarbeit im Streit, fehlen dem Unternehmen Zugänge und Vertragsunterlagen.

Den einzigen Schlüssel zum eigenen Haus würde kaum jemand beim Handwerker hinterlegen. Bei Software und Werbekonten ist das verbreitet, etwa wenn eine Agentur Anzeigen über ihr eigenes Werbekonto schaltet. Inhaber solcher Konten sollte deshalb das Unternehmen sein, das der Agentur Zugriff gibt. Die Agentur optimiert die Anzeigen, und jemand im Betrieb sieht selbst, ob sie laufen.

Lizenzen und Verträge laufen auf die Firma

Am Anfang steht eine Liste aller Programme und Online-Dienste mit Vertragspartner, Laufzeit, hinterlegter E-Mail-Adresse und Administratoren. Hauptlizenzen und das erste Administratorkonto gehören auf eine Adresse, die dem Unternehmen dauerhaft bleibt, etwa eine Sammeladresse für Lizenzen oder die Adresse der Geschäftsführung. Persönliche Adressen von Mitarbeitenden eignen sich nicht, weil sie beim Ausscheiden gelöscht werden.

Dienstleister erhalten Zugänge auf ihren eigenen Namen, zum Beispiel über die Partnerzugänge vieler Cloud-Programme oder ein eigenes Konto. Ein gemeinsam genutztes Admin-Passwort ist keine gute Lösung, weil sich später nicht nachvollziehen lässt, wer was geändert hat. Eigene Zugänge lassen sich sofort entziehen. Wie das geregelt ist, gehört in den Vertrag.

Getrennte Admin-Konten und klare Rollen

Ein Konto mit Administratorrechten gehört nicht in den Arbeitsalltag mit E-Mails und Browser. Gerät es über eine gefälschte Anmeldeseite, sogenanntes Phishing, in fremde Hände, steht dem Angreifer die gesamte Umgebung offen. Administratoren nutzen deshalb ein zweites Konto nur für Verwaltungsaufgaben.

Rechte richten sich nach der Aufgabe. Was Buchhaltung oder Personalabteilung ablegen, muss nicht für die ganze Belegschaft sichtbar sein. Für Betriebe, die unter die NIS-2-Regeln zur Cybersicherheit fallen, nennt das BSI-Gesetz Konzepte zur Zugriffskontrolle und Lösungen zur Mehr-Faktor-Anmeldung ausdrücklich als Mindestmaßnahmen.

Passwortmanager und Anmeldung ohne Passwort

Kann man sich bei einem Programm nicht mit dem zentralen Firmenkonto anmelden, gehört der Zugang in einen Passwortmanager für Unternehmen. Dort werden Logins gezielt an Mitarbeitende freigegeben, und mit automatischem Ausfüllen muss das Passwort gar nicht erst weitergegeben werden. Endet die Zusammenarbeit, wird die Freigabe entzogen.

Wo möglich, gehört zur Anmeldung ein zweiter Faktor, etwa ein Code aus einer App. Noch besser schützen Passkeys, bei denen ein kryptografischer Schlüssel auf dem Gerät das Passwort ersetzt. Weil ein Passkey an die echte Website gebunden ist, funktioniert er auf gefälschten Seiten nicht.

Offboarding am selben Tag

Aus eigener Erfahrung kennen wir einen Fall, in dem Logins für mehrere Portale nach einem Arbeitgeberwechsel noch über zwei Jahre funktionierten. Das Postfach war gelöscht, die E-Mail-Adresse galt in den Portalen aber weiter als Benutzername. Dem beugt eine feste Checkliste für den letzten Arbeitstag vor:

• zentrales Firmenkonto sperren und Freigaben im Passwortmanager entziehen
• Passwörter von Zugängen ändern, die die Person kannte
• Programme prüfen, in denen die E-Mail-Adresse als Benutzername dient
• Geräte zurücknehmen und aus der Geräteverwaltung entfernen
• Postfach und Dateien nach festgelegten Regeln an die Nachfolge übergeben

Endet ein Arbeitsverhältnis im Streit, sperrt die IT die Zugänge sofort, bevor Daten abgezogen werden können.

Firmengerät oder Privatgerät

Firmendaten auf privaten Laptops und Handys lassen sich nur eingeschränkt schützen. Geht ein solches Gerät verloren, müssten Firmendaten auf einem Gerät gelöscht werden, das der Mitarbeiterin gehört. Die Verantwortung für den Datenschutz bleibt trotzdem beim Unternehmen.

Sauberer ist ein Firmengerät mit zentraler Geräteverwaltung, auch Mobile Device Management genannt. Sie richtet Geräte automatisch ein und löscht Firmendaten bei Verlust aus der Ferne. Auf Handys trennt ein Arbeitsprofil Firmendaten von privaten Apps. Für berufliche Telefonate gibt es mindestens eine eigene SIM oder eSIM, damit die Nummer beim Ausscheiden im Betrieb bleibt. Die private Mitnutzung eines Firmenhandys ist für Beschäftigte in der Regel steuerfrei.

Bei freien Mitarbeitenden regelt der Vertrag Geräte und Zugänge. Verarbeiten sie personenbezogene Daten im Auftrag, verlangt die DSGVO einen Vertrag zur Auftragsverarbeitung. Klären Sie vorab mit Datenschutzbeauftragten oder Rechtsberatung, wer im Krankheitsfall auf Postfach und Kalender zugreifen darf. Die Grenzen hängen unter anderem davon ab, ob die private Nutzung des Postfachs erlaubt ist.

Weiterführende Beiträge

• IT-Partner auswählen: Checkliste für das Fundament
• IT-Infrastruktur im Mittelstand: Sicherheit und KI verbinden
• DSGVO vs. Cloud: Pragmatische Risikobewertung
• Webshop im B2B: Ohne Systemstrategie wird es teuer

Wichtigste Erkenntnisse

• Lizenzen und Admin-Konten gehören auf eine Firmenadresse, Dienstleister erhalten eigene, entziehbare Zugänge.
• Für Verwaltungsaufgaben gibt es getrennte Admin-Konten, Rechte richten sich nach der Aufgabe.
• Ein Passwortmanager mit gezielten Freigaben und Passkeys schützen Zugänge vor Diebstahl und Phishing.
• Beim Ausscheiden werden Zugänge am selben Tag gesperrt, auch in Portalen mit der E-Mail als Benutzername.
• Firmendaten gehören auf verwaltete Firmengeräte, bei freien Mitarbeitenden regelt das der Vertrag.