Anwendungsfall · KMU-Richtlinie

Die erste Passwort-Richtlinie, ohne Security-Abteilung.

In den meisten mittelständischen Betrieben gibt es keine Stelle für IT-Sicherheit — es gibt einen IT-Verantwortlichen, der auch Drucker wartet, und einen externen Dienstleister, der zweimal im Quartal vorbeischaut. Die Passwort-Richtlinie muss trotzdem existieren, spätestens wenn der Cyber-Versicherer oder ein Kunde danach fragt. Dieser Deep-Dive zeigt, welche vier bis sechs Punkte hinein gehören — und welche zehn Punkte aus der Internet-Vorlage getrost wegfallen.

Wo es sich lohnt

Fünf KMU-Schreibtische, an denen die erste Richtlinie gerade entsteht.

In der kaufmännischen Leitung eines Handwerksbetriebs mit 35 Beschäftigten

Ein Installateur-Meisterbetrieb mit Büro in Gelsenkirchen, Backoffice in der Hauptstraße, Monteure im Außendienst. Der Cyber-Versicherer hat bei der Vertragsverlängerung nach einer dokumentierten Passwort-Richtlinie gefragt. Im Haus gibt es keine IT-Abteilung — nur den Geschäftsführer, der sich mit Technik auseinandersetzt, und den externen IT-Dienstleister aus Essen, der zweiwöchentlich remote wartet. Die Richtlinie muss her, sie muss kurz sein, sie muss zum Alltag des Betriebs passen.

Bei einem externen IT-Dienstleister, der dreißig KMU-Mandanten betreut

Ein Systemhaus in Bielefeld bringt vier Mitarbeitende ins Kundengeschäft. Die Kunden sind Arztpraxen, Steuerkanzleien, Handwerksbetriebe — alle ohne eigene IT-Security. Wenn ein Kunde nach einer Passwort-Richtlinie fragt, fällt immer dieselbe Vorlage aus 2018 aus der Schublade. Die Aktualisierung ist überfällig, aber es fehlt die Zeit, für jeden Kunden eine eigene Ausführung zu schreiben. Eine modularisierte Policy-Vorlage, die nur die drei bis vier kundenspezifischen Zeilen braucht, ist das, was fehlt.

In der Geschäftsleitung einer Kanzlei in Köln mit fünf Anwält:innen

Die Datenschutz-Aufsicht prüft die Verarbeitungsverzeichnisse nach Art. 30 DSGVO. Die Passwort-Richtlinie ist Teil der technisch-organisatorischen Maßnahmen nach Art. 32. Die Geschäftsleitung — der Seniorpartner — schreibt sie selbst; den IT-Dienstleister wird erst in der Umsetzung eingebunden. Der Text muss die vier Eckpunkte enthalten, mit der Aufsicht sprechfähig sein und keine Anforderungen enthalten, die in der täglichen Praxis ignoriert werden. Das ist die unausgesprochene Anforderung: lesbar für den Seniorpartner, haltbar für die Aufsicht.

Bei einem Familienunternehmen in Baden-Württemberg in der Nachfolge-Phase

Ein 240-Mitarbeitenden-Betrieb, zwei Generationen Familie, die Nachfolgerin führt das Unternehmen seit zwei Jahren in Richtung Professionalisierung. Die IT ist bei einem externen MSP, es gibt keine internen IT-Richtlinien — aber die Wirtschaftsprüfung hat in diesem Jahr nach der Passwort-Policy gefragt. Die Geschäftsführerin will eine Richtlinie, die nicht aus einer Beraterpowerpoint stammt, sondern zum Betrieb passt — und die in fünf Jahren noch lesbar ist, auch wenn sich der MSP zwischendrin wechselt.

Bei einer Apotheken-Inhaberin mit zwei Filialen und zwölf Angestellten

Die Apothekenbetriebs-Ordnung und die Datenschutz-Anforderungen für Patientendaten geben den Rahmen. Der Warenwirtschafts-Anbieter fordert bestimmte Passwort-Regeln. Die Mitarbeiterinnen wechseln öfter, der externe IT-Dienstleister aus Dortmund betreut hauptsächlich den Tresor-PC für Betäubungsmittel-Dokumentation. Die Richtlinie darf keine Fachsprache enthalten, muss in der Teamversammlung erklärbar sein und darf nicht mehr als zwei Seiten haben. Sonst wird sie eingereicht und vergessen.

Warum überhaupt

Vier Punkte reichen. Alles darüber ist Overhead.

Eine KMU-taugliche Passwort-Richtlinie enthält vier Bausteine — mehr ist selten umgesetzt, weniger reicht der Aufsicht nicht. Erstens: Mindestlänge zwölf Zeichen oder alternativ eine Passphrase aus mindestens vier Wörtern. Zweitens: Keine erzwungene periodische Änderung ohne Anlass — Änderung nur bei Verdacht auf Kompromittierung. Drittens: Multi-Faktor-Authentifizierung für alle Zugänge von außerhalb des Firmennetzes (VPN, Cloud-Dienste, E-Mail von mobilen Geräten). Viertens: Jeder eigenen Account, keine geteilten Zugänge außer als dokumentierte, versiegelte Ausnahme. Mit diesen vier Punkten ist die Richtlinie im Wesentlichen auf der Höhe der Zeit — und der Rest ist Umsetzungssache, nicht Richtlinien-Text.

Was die Aufsicht wissen möchte, ist weniger die Tiefe als die Herleitung. DSGVO Art. 32 verlangt technische und organisatorische Maßnahmen nach dem „Stand der Technik“ — das ist der Referenzrahmen, keine feste Zahl. Wer in der Policy kurz auf NIST SP 800-63B und BSI ORP.4 verweist und die vier Bausteine begründet, hat einen lesbaren Text, der im Audit nicht auffällt. Wer eine zehnseitige Policy aus einer Vorlagen-Website kopiert und darin vierzehn-stellige Sonderzeichen-Passwörter mit quartalsweiser Rotation fordert, hat einen Text, der entweder nicht umgesetzt wird oder den Betrieb lahmlegt — je nachdem, was ein vorsichtiger IT-Dienstleister konfiguriert.

Die Richtlinie ist das Dokument. Die Umsetzung ist, was ein Auditor prüft. Eine KMU-Richtlinie darf kurz sein, muss aber zur technischen Realität passen: Wenn der Warenwirtschafts-Anbieter nur acht Zeichen erlaubt, hat die Forderung nach zwölf Zeichen in der Richtlinie einen Widerspruch erzeugt. Der Widerspruch wird im Audit angesprochen. Die saubere Formulierung nennt diese Ausnahme, begründet sie mit der Systemgrenze und verweist auf kompensierende Maßnahmen (MFA vor dem System, separater Tresor-Zugang für das schwache Passwort). Das ist kein Makel — das ist ehrliche Policy-Arbeit.

Ehrlich gesagt

Was dieser Leitfaden ist — und was er nicht ersetzt.

Der Deep-Dive und das Werkzeug auf dieser Seite ersetzen keine Rechtsberatung und keine formale Richtlinien-Dokumentation. Wir zeigen den Rahmen, die Quellen und die typischen vier Bausteine. Die konkrete Formulierung, die zu Ihrem Betrieb passt — zum Geschäftsmodell, zur Branche, zur vorhandenen IT-Landschaft —, schreiben Sie selbst, mit Ihrem Datenschutzbeauftragten oder mit einem externen Berater. Die Muster-Formulierung aus dem Internet ist oft schlechter als keine Richtlinie, weil sie Anforderungen enthält, die Sie nicht einhalten können und die der Aufsicht sofort auffallen.

Die Stärke-Prüfung im Werkzeug bewertet einzelne Eingaben — sie bewertet nicht Ihre AD-Landschaft, Ihre Warenwirtschaft, Ihre Cloud-Dienste insgesamt. Für die Bewertung eines ganzen Systems braucht es eine IT-Sicherheits-Bestandsaufnahme, die über die Passwort-Frage hinausgeht: welche Systeme haben MFA, wo sitzen die privilegierten Konten, wie sind die Externen an die Systeme angebunden, welche Cloud-Dienste laufen ohne zentrale Identity-Schicht. Das ist das Gespräch, das für KMU meist sinnvoller ist als die Perfektionierung der Passwort-Zeilen.

Und ehrlich gesagt: Die meisten KMU-Schadens-Szenarien, die wir gesehen haben, hingen nicht an schwachen Passwörtern. Sie hingen an Phishing-Mails mit hinreichend überzeugender Aufmachung, an kompromittierten Mitarbeiterlogins bei externen Diensten (Passwort-Reuse auf Plattformen außerhalb der Firma), an kompromittierten Remote-Zugängen ohne MFA. Die Passwort-Richtlinie ist Hygiene — wichtig, aber nicht der entscheidende Hebel. MFA für Remote-Zugänge und eine erkennbar geführte Awareness-Kommunikation schlagen in der Praxis jede Feinjustierung der Zeichenlänge.

Direkt ausprobieren

Die Stärkeprüfung, die zeigt, warum zwölf Zeichen die Zahl sind.

Testen Sie eine typische Passwort-Konstruktion aus Ihrem Betrieb gegen den zxcvbn-Score — ein Firmenname mit Jahreszahl und Ausrufezeichen, eine Standardkombination aus Initialen und Geburtsjahr. Die geschätzte Crack-Zeit erscheint live, ohne dass der Eingabewert den Browser verlässt. Die Zahl ist die belastbarste Grundlage für das Gespräch mit dem Team: warum die neue Regel notwendig ist, warum sie nicht willkürlich gewählt wurde, warum die Alternative Passphrase das Leben einfacher macht.

Werkzeug öffnen — Stärke prüfen

Drei Fragen

Was uns KMU-Verantwortliche am häufigsten fragen.

Wenn aus der ersten Richtlinie eine geführte Umsetzung werden soll

Die Richtlinie ist eine Stunde. Die Umsetzung ist der Unterschied.

MFA-Rollout über Microsoft 365 oder den bestehenden VPN-Gateway, Bestandsaufnahme der geteilten Accounts, Pilotumstellung auf Passphrasen in der Backoffice-Abteilung, Grundlagen-Dokumentation für die Cyber-Versicherung und den nächsten Datenschutz-Prüftermin — das ist der Weg, der nach der Richtlinie kommt. Für KMU ohne eigene IT-Security begleiten wir diese Strecke mit einem planbaren Aufwand und einer klaren Zielgröße. Im kostenfreien Erstgespräch schauen wir uns Ihre aktuelle Situation an und zeigen, wo der erste Schritt sinnvoll ansetzt.

Kostenfreies Erstgespräch buchen