Passwort-Manager für Agenturen: Kundenzugänge sichern

Stell dir die Excel-Tabelle vor, die in vielen kleinen Agenturen still auf dem gemeinsamen Laufwerk liegt. Spalte A: der Kunde. Spalte B: die WordPress-Zugangsdaten. Spalte C: der Hosting-Login. Dann Domain-Registrar, FTP, Google-Konto, die Social-Media-Passwörter. Vierzig Kunden, hunderte Zugänge – und weil das niemand vierzig Mal neu erfinden will, taucht dasselbe Passwort auffällig oft auf. Genau diese Tabelle ist einer der gefährlichsten Gegenstände in deiner Agentur.

Denn eine Agentur ist ein besonders lohnendes Ziel: Wer sie knackt, bekommt nicht einen Zugang, sondern die Schlüssel zu dutzenden fremden Unternehmen auf einmal. Ein einziges abgefischtes Agentur-Passwort kann eine Kettenreaktion über das ganze Kundenportfolio auslösen. Umso erstaunlicher, wie oft die Verwaltung dieser Schlüssel dem Zufall überlassen bleibt.

Passwort-Manager: das schwächste Glied in kleinen Agenturen

Der Umgang mit Zugangsdaten ist in vielen Teams historisch gewachsen und nie bewusst entschieden worden. Passwörter stehen in Tabellen, kleben auf Notizzetteln, werden per Chat verschickt oder existieren nur im Kopf einer Person – bis diese im Urlaub oder gekündigt ist. Verlässt ein Freelancer das Team, ändert kaum jemand die geteilten Passwörter, die er kannte. Und weil sich niemand vierzig starke Passwörter merken kann, wird eines wiederverwendet, leicht abgewandelt, quer über Kunden hinweg.

Das ist keine Nachlässigkeit einzelner, sondern eine Systemschwäche. Solange Sicherheit von Merkfähigkeit und Disziplin abhängt, verliert sie. Ein Passwort-Manager dreht das Problem um: Nicht der Mensch merkt sich die Geheimnisse, sondern ein verschlüsselter Tresor – und der Mensch merkt sich nur noch einen einzigen, starken Schlüssel dazu.

Warum wiederverwendete Passwörter 2026 brandgefährlich sind

Die Bedrohung ist konkret und messbar. Für den 2026 Breached Password Report wertete der Anbieter Specops rund sechs Milliarden kompromittierte Zugangsdaten aus. Ganz oben in der Liste der meistgenutzten Passwörter stehen weiterhin Klassiker wie „123456", „password" und „admin" – millionenfach. Allein eine einzige Schadsoftware-Familie zum Datenklau soll 2025 über 60 Millionen Zugangsdaten erbeutet haben.

Diese gestohlenen Kombinationen aus E-Mail und Passwort landen in riesigen Listen, mit denen Angreifer automatisiert Anmeldungen durchprobieren – das sogenannte Credential Stuffing. Funktioniert ein bei Kunde A geklautes Passwort auch beim Hosting von Kunde B, ist der Schaden angerichtet. Dass gestohlene Zugangsdaten kein Randproblem sind, zeigt der Verizon Data Breach Investigations Report: Über die vergangenen zehn Jahre waren sie an rund einem Drittel aller ausgewerteten Datenschutzverletzungen beteiligt. Wiederverwendung ist damit die Einladung, ein Leck beim einen Kunden in einen Einbruch beim nächsten zu verwandeln.

Was ein Passwort-Manager wirklich löst

Ein Passwort-Manager erzeugt für jeden Zugang ein langes, zufälliges, einzigartiges Passwort und speichert es verschlüsselt. Du musst dir nur noch das Master-Passwort merken. Damit fallen die drei größten Alltagsrisiken auf einmal weg: Wiederverwendung wird unnötig, schwache Passwörter verschwinden, und der Klebezettel wird überflüssig.

Für Agenturen kommt ein vierter, entscheidender Vorteil dazu: geordnetes Teilen. Statt Passwörter per Slack zu verschicken, gibst du in einem Team-Tresor gezielt einzelne Ordner frei – etwa alle Zugänge eines Kunden für genau die Person, die das Projekt betreut. Verlässt jemand das Team, entziehst du den Zugriff mit einem Klick, ohne vierzig Passwörter einzeln ändern zu müssen. Dieses saubere Offboarding ist in der Praxis oft der größere Sicherheitsgewinn als die Passwortstärke selbst.

Der BSI-Test: gut, aber nicht makellos

Ein berechtigter Einwand: Bündelt ein Passwort-Manager nicht alle Risiken an einer Stelle? Das Bundesamt für Sicherheit in der Informationstechnik ist dieser Frage 2026 gemeinsam mit dem Forschungszentrum Informatik nachgegangen und hat zehn gängige Passwort-Manager untersucht. Das Ergebnis war gemischt: Drei Programme speicherten Daten so, dass ein technischer Herstellerzugriff möglich blieb, nur vier setzten durchgängig etablierte Kryptostandards ein, und acht von zehn verschlüsselten den Tresor nach einer Änderung des Master-Passworts nicht vollständig neu.

Die entscheidende Botschaft des BSI blieb aber eindeutig: Passwort-Manager erhöhen die Sicherheit erheblich, weil sie starke, einzigartige Passwörter überhaupt erst praktikabel machen und das Risiko schwacher oder wiederverwendeter Zugangsdaten senken. Die Mängel sind ein Auftrag an die Hersteller, mehr Transparenz und echte Zero-Knowledge-Architekturen zu liefern – kein Grund, zur Excel-Tabelle zurückzukehren. Für die Auswahl heißt das: Bevorzuge Anbieter, die eine geprüfte Zero-Knowledge-Verschlüsselung und offene Sicherheitsberichte vorweisen.

Team-tauglich einrichten: worauf Agenturen achten

Ein Passwort-Manager entfaltet seinen Wert erst, wenn er richtig aufgesetzt ist. Wähle eine Lösung mit echter Teamverwaltung, nicht nur Einzelplatz-Tresoren. Strukturiere die Tresore pro Kunde, damit du Zugriffe projektgenau vergeben und wieder entziehen kannst. Vergib Rechte nach dem Prinzip der minimalen Berechtigung: Jede Person sieht nur, was sie für ihre Projekte wirklich braucht.

Zwei Regeln sind nicht verhandelbar. Erstens: Das Master-Passwort ist einzigartig und wird nirgendwo sonst verwendet – es ist der eine Schlüssel, der alles öffnet. Zweitens: Der Zugang zum Passwort-Manager selbst wird mit einem zweiten Faktor abgesichert, sonst hängt die gesamte Kundschaft an einem einzelnen Passwort. Wenn eine Person ausscheidet, gehört zum Offboarding-Checkpunkt nicht nur der Entzug des Tresorzugriffs, sondern auch das Rotieren besonders sensibler geteilter Passwörter, die sie kannte.

So sieht ein starkes Master-Passwort aus

Weil dieses eine Passwort so wichtig ist, sollte es kein kryptisches Kürzel sein, das man auf einen Zettel schreiben muss. Sicherheitsbehörden empfehlen seit Jahren Länge vor Komplexität: Eine Passphrase aus vier bis fünf zufälligen, nicht zusammenhängenden Wörtern ist leicht zu merken und trotzdem extrem schwer zu knacken. Wichtig ist nur, dass die Wörter wirklich zufällig gewählt sind und die Phrase nirgendwo sonst auftaucht.

In der Praxis: der Umstieg von der Tabelle

Der Wechsel klingt größer, als er ist. Die meisten Passwort-Manager importieren bestehende Listen im CSV-Format direkt – die alte Excel-Datei wird also einmalig übernommen und danach gelöscht, nicht mühsam abgetippt. Anschließend arbeitest du die Zugänge nach Wichtigkeit ab: Erst die kritischen Konten mit dem größten Schaden bei Missbrauch – Hosting, Domain, zentrales E-Mail-Postfach –, dann Kunde für Kunde der Rest. Für jeden dieser Zugänge lässt du ein neues, langes Passwort erzeugen und aktivierst, wo möglich, gleich den zweiten Faktor. Nach ein, zwei Nachmittagen ist die gefährliche Tabelle Geschichte, und neue Kundenzugänge landen von Anfang an im Tresor.

MFA ist der zweite Riegel

Selbst das beste Passwort kann durch Phishing oder ein Datenleck beim Dienstanbieter in falsche Hände geraten. Deshalb gehört auf jeden kritischen Zugang – Hosting, Domain-Registrar, das zentrale E-Mail-Konto, den WordPress-Admin – eine Zwei-Faktor-Authentifizierung. Ein zusätzlicher Code aus einer Authenticator-App oder ein Hardware-Schlüssel macht ein gestohlenes Passwort für sich genommen wertlos.

Die nächste Stufe sind Passkeys, die ganz ohne Passwort auskommen und Phishing bauartbedingt aushebeln. Für die eigenen Agentur-Systeme und passende Kundenprojekte lohnt der Blick darauf, wie weit du hier schon gehen kannst – wir haben die passwortlose Anmeldung mit Passkeys in einem eigenen Beitrag eingeordnet. Bis Passkeys überall angekommen sind, bleibt die Kombination aus Passwort-Manager und zweitem Faktor der pragmatische Standard.

Vom Risiko zum Service

Der Aufwand, saubere Zugangsverwaltung einzuführen, ist überschaubar – die Wirkung ist groß, und sie lässt sich weitergeben. Viele deiner Kunden verwalten ihre eigenen Logins genauso chaotisch, wie es Agenturen früher taten. Ein moderierter Passwort-Manager, ein Offboarding-Prozess und Zwei-Faktor-Pflicht auf den kritischen Konten sind Leistungen, die du in einen Wartungs- oder Sicherheitsbaustein packen und dauerhaft abrechnen kannst.

Der Rückenwind kommt von außen: Cyber-Versicherer verlangen von kleinen Unternehmen zunehmend belegbare Basisschutzmaßnahmen, bevor sie zahlen – Zugangsverwaltung und MFA gehören zum Standardkatalog. Wer das für Kunden übernimmt, verkauft nicht abstrakte Sicherheit, sondern Versicherbarkeit und Ruhe. Wie eng dieser Punkt inzwischen mit den Bedingungen der Cyberversicherung verknüpft ist, zeigt, dass gute Passwort-Hygiene längst kein IT-Nischenthema mehr ist. Die Excel-Tabelle auf dem gemeinsamen Laufwerk hat 2026 einfach ausgedient.