Warum Passwörter allein nicht mehr reichen

Ein starkes Passwort allein ist kein ausreichender Schutz mehr. Missbrauchte Zugangsdaten, Phishing und Infostealer sind relevante Angriffswege; ihre Bedeutung unterscheidet sich jedoch je nach untersuchtem Datensatz und Umfeld. Angreifer können sich mit echten Benutzernamen und Passwörtern anmelden, die aus Datenlecks, Phishing-Kampagnen oder Infostealer-Malware stammen. Dieser Artikel zeigt, welche Bedrohungen rund um digitale Identitäten bestehen und welche praktikablen Schutzmaßnahmen KMU umsetzen können.

Warum Identität zur wichtigsten Angriffsfläche geworden ist

Unternehmen nutzen zahlreiche Cloud-Dienste, SaaS-Anwendungen und interne Systeme. Jedes Konto erweitert die Angriffsfläche. Gestohlene oder erratene Zugangsdaten können deshalb denselben Zugang ermöglichen wie ein legitimer Login. Das BSI stellt für KMU Orientierung und Schutzmaßnahmen bereit. Ein kompromittiertes Konto kann je nach Berechtigungen Zugriff auf weitere Systeme oder Daten ermöglichen und muss deshalb schnell erkannt, begrenzt und untersucht werden.

Fünf relevante Bedrohungen für digitale Identitäten

Zu den relevanten Angriffsarten zählen Credential Stuffing, Infostealer, Phishing, MFA-Fatigue und Session-Hijacking. Beim Credential Stuffing testen Angreifer gestohlene Benutzername-Passwort-Kombinationen automatisiert bei anderen Diensten; wiederverwendete Passwörter erhöhen das Risiko. Infostealer versuchen, gespeicherte Zugangsdaten oder Sitzungstoken aus kompromittierten Geräten zu kopieren. Deshalb schützt auch ein komplexes Passwort nicht vor jeder Angriffsmethode.

MFA-Fatigue und Phishing-Proxies

Multi-Faktor-Authentifizierung ist ein wichtiger Schutz, aber keine Garantie. Bei MFA-Fatigue versuchen Angreifer, Nutzer durch wiederholte Freigabeanfragen zu einer Bestätigung zu bewegen. Phishing-Proxies können bestimmte Anmeldungen in Echtzeit weiterleiten und dabei Kennwörter, Codes oder Sitzungen abgreifen. Beim Session-Hijacking wird ein bereits ausgestelltes Sitzungstoken missbraucht. Schutzmaßnahmen müssen deshalb Login, Endgerät und Sitzung gemeinsam berücksichtigen.

Was KMU anders machen müssen als Großunternehmen

KMU müssen Schutzmaßnahmen häufig mit kleineren Teams und begrenzter Betriebszeit umsetzen. Deshalb sind klare Prioritäten wichtiger als eine möglichst große Werkzeuglandschaft: privilegierte Konten zuerst, zentrale Identitätsplattformen sauber konfigurieren, Recovery testen und Verantwortlichkeiten benennen. Welche Produkte sinnvoll sind, hängt von der vorhandenen Umgebung ab. Die Cybersicherheits-Checkliste bietet einen Einstieg in die weitere Priorisierung.

Passwort-Manager als Fundament

Eine wirksame Maßnahme gegen Passwort-Wiederverwendung ist die unternehmensweite Einführung eines Passwort-Managers. Werkzeuge wie Bitwarden oder 1Password Business können für jeden Dienst ein einzigartiges Passwort erzeugen und geschützt speichern; Preise und Produktfunktionen sollten direkt beim Anbieter geprüft werden. Dazu gehören Schulung, klare Richtlinien und ein sicher konfigurierter Wiederherstellungsprozess. Ein Passwort-Manager verhindert weder Infostealer-Angriffe noch Phishing vollständig, reduziert aber das Risiko mehrfach verwendeter Zugangsdaten. Wer weitere Werkzeuge sucht, findet Anregungen bei den kostengünstigen Security-Tools.

Phishing-resistente Authentifizierung mit FIDO2

Der nächste Schritt nach dem Passwort-Manager ist die Einführung phishing-resistenter Multi-Faktor-Authentifizierung. Klassische MFA-Methoden wie SMS-Codes oder TOTP-Apps bieten Schutz gegenüber reinen Passwort-Logins, können aber durch bestimmte Echtzeit-Phishing-Angriffe umgangen werden. FIDO2 und WebAuthn binden die Authentifizierung kryptografisch an die echte Website und erschweren typische Phishing-Angriffe erheblich. Sie schützen jedoch nicht automatisch vor kompromittierten Endgeräten, gestohlenen Sitzungen oder schwachen Recovery-Prozessen. Plattform-Passkeys und physische Sicherheitsschlüssel kommen je nach Schutzbedarf, Plattformunterstützung und Geräteverwaltung infrage. Der Beitrag über Passkeys und FIDO2 erklärt die Unterschiede.

Kompromittierte Zugangsdaten erkennen und reagieren

Ein ergänzender Baustein ist die Überwachung auf bekannte kompromittierte Zugangsdaten. Have I Been Pwned ermöglicht die Prüfung einzelner E-Mail-Adressen; Unternehmens- und Identitätsplattformen bieten je nach Produkt und Lizenz weitere Risikosignale. Wird eine Kompromittierung bestätigt, müssen Kennwort, Sitzungen, Geräte und mögliche Folgeaktivitäten geprüft werden. Ein einzigartiges Passwort kann schließlich auch durch ein Datenleck beim Dienstanbieter betroffen sein. Solche Prüfungen gehören in das Schwachstellen- und Incident-Management.

Zugriffskontrolle: Wer darf was und warum?

Neben der Authentifizierung ist die Autorisierung entscheidend. Nach dem Prinzip der minimalen Rechte erhält jede Person nur die Zugriffe, die sie für ihre aktuelle Aufgabe benötigt. Regelmäßige Access Reviews sollten privilegierte, geteilte, verwaiste und externe Konten besonders berücksichtigen. Das Prüfintervall richtet sich nach Schutzbedarf und Änderungsrate. Für personenbezogene Daten unterstützt eine nachvollziehbare Rechtevergabe zudem die risikogerechte Zugriffskontrolle nach Artikel 32 DSGVO.

Offboarding als Sicherheitsprozess

Beim Offboarding sollten Zugänge zum festgelegten Austrittszeitpunkt deaktiviert, aktive Sitzungen beendet, Geräte und Schlüssel zurückgegeben sowie geteilte Geheimnisse geändert werden. Eine Checkliste muss alle relevanten Systeme und externen Zugänge abdecken. Single Sign-On kann die zentrale Deaktivierung vereinfachen, schützt aber nur Anwendungen, die tatsächlich korrekt angebunden sind. Ein Incident-Response-Plan sollte auch kompromittierte oder nach Austritt weiter aktive Konten behandeln.

Mitarbeiter als erste Verteidigungslinie

Technik allein reicht nicht. Beschäftigte sollten erkennen, wie gefälschte Anmeldeseiten, unerwartete MFA-Anfragen und Anfragen nach Zugangsdaten behandelt werden. Kurze, wiederkehrende Übungen können konkrete Abläufe vermitteln; Frequenz und Format sollten zum Risiko und zur Zielgruppe passen. Simulierte Phishing-Tests benötigen klare Lernziele und eine angemessene datenschutz- und arbeitsrechtliche Gestaltung. Für das Homeoffice sind zudem Geräteschutz und die Trennung privater und geschäftlicher Nutzung zu regeln.

Sofort umsetzbare Maßnahmen: Die Identitätsschutz-Checkliste

Wer nach der Lektüre konkret handeln möchte, kann mit diesen Schritten beginnen: einen Passwort-Manager einführen, Multi-Faktor-Authentifizierung auf geschäftskritischen Systemen aktivieren, bekannte Datenlecks prüfen, Zugriffsrechte regelmäßig überprüfen, einen Offboarding-Prozess festlegen und kurze Security-Schulungen durchführen. Aufwand und Wirkung hängen von der vorhandenen Umgebung ab; die Maßnahmen sollten nach Risiko priorisiert und getestet werden.

Identitätsschutz als Teil einer ganzheitlichen Sicherheitsstrategie

Identitätsschutz ist ein Baustein einer umfassenden Sicherheitsstrategie und greift in Bereiche wie Zero Trust, Netzwerksegmentierung und Endpoint-Security ein. Eine IT-Sicherheitsberatung kann bei Auswahl, Konfiguration und Einführung unterstützen. Entscheidend ist, dass die gewählten Maßnahmen zur Umgebung passen, im Betrieb überprüft und durch belastbare Wiederherstellungsprozesse ergänzt werden.