Warum Unternehmen 2026 und darüber hinaus noch einen Passwort-Manager brauchen
Einleitung
Die Bedrohungslage 2026 sieht anders aus als noch vor wenigen Jahren. Angreifer verschaffen sich zunehmend über ungepatchte Software Zugang, KI-Werkzeuge beschleunigen ihre Arbeit, und ein wachsender Teil der Vorfälle beginnt bei einem Lieferanten statt im eigenen Unternehmen. Bei so viel Aufmerksamkeit für neue Angriffsmethoden liegt es nahe, Passwörter als Problem von gestern zu betrachten. Die aktuellen Daten aus den USA, der Europäischen Union und der Schweiz sprechen dagegen. Zugangsdaten gehören weiterhin zu den wertvollsten Dingen, die ein Angreifer stehlen kann, denn ein einziges funktionierendes Login öffnet E-Mail, Cloud-Anwendungen und Kundendaten. Für Organisationen bleibt ein Passwort-Manager eine der praktischsten Möglichkeiten, Angreifern diesen Hebel zu nehmen und nachzuweisen, dass der Zugriff unter Kontrolle ist.
Wichtige Erkenntnisse
- Der Verizon DBIR 2026 zeigt, dass die Ausnutzung von Schwachstellen den Missbrauch von Zugangsdaten als häufigsten Einstiegspunkt überholt hat. Dennoch wurden in 28 % der Datenschutzverletzungen Zugangsdaten kompromittiert.
- Europäische und Schweizer Daten zeigen in dieselbe Richtung: Angreifer melden sich zunehmend mit gestohlenen Zugangsdaten an, statt einzubrechen.
- Strenge Passwortregeln allein verhindern keine kompromittierten, mehrfach verwendeten oder voreingestellten Passwörter, die bei jüngsten Angriffen eine direkte Rolle spielten.
- Die schwierigsten Fragen zum Zugriff stellen sich Teams in zwei Momenten: beim Offboarding und bei der Reaktion auf einen Sicherheitsvorfall.
- Verlässt jemand das Unternehmen, beendet ein Passwort-Manager den Zugriff noch am selben Tag, während die erstellten und geteilten Zugangsdaten dem Team erhalten bleiben.
Was die Daten von 2026 zeigen
Der Verizon 2026 Data Breach Investigations Report markiert einen Wendepunkt. Auf Basis von mehr als 31'000 Sicherheitsvorfällen, darunter mehr als 22'000 bestätigte Datenschutzverletzungen in 145 Ländern, stellt er fest, dass die Ausnutzung von Software-Schwachstellen bei 31 % der Datenschutzverletzungen der erste Einstiegspunkt war. Der Missbrauch von Zugangsdaten, lange Zeit an der Spitze, liegt nun bei 13 %. Verizon weist jedoch darauf hin, dass dieser Rückgang teilweise auf eine geänderte Zählweise zurückgeht. Pretexting wird inzwischen separat erfasst, und nach der Methodik des Vorjahres läge der Missbrauch von Zugangsdaten bei 16 %.
Sind Angreifer erst einmal im System, bleiben Zugangsdaten zentral. Sie gehörten bei 28 % der Datenschutzverletzungen zu den kompromittierten Daten, und die Verwendung gestohlener Zugangsdaten ist bei einfachen Angriffen auf Webanwendungen nach wie vor die häufigste Vorgehensweise. Die Empfehlung von Verizon ist klar: Organisationen sollten die Einführung der Multi-Faktor-Authentifizierung nicht länger aufschieben, denn Zugangsdaten bleiben ein fester Bestandteil des Werkzeugkastens von Angreifern.
Der Bericht zeigt auch, wo Passwortrichtlinien an ihre Grenzen stossen. Die meisten Organisationen setzen Komplexitätsanforderungen gut durch: Im Median erfüllen weniger als 1 % der Active-Directory-Konten diese Anforderungen nicht. Dennoch verwenden im Median 4 % der Konten Passwörter, die bereits bei Datenlecks offengelegt wurden. Damit ist es mehr als viermal so wahrscheinlich, dass ein Konto ein kompromittiertes Passwort nutzt als ein schwaches. Rund 6 % verwenden Passwörter mehrfach oder teilen dasselbe Passwort mit anderen. Eine strenge Passwortrichtlinie kann diese Gewohnheiten nicht verhindern, ein Passwort-Manager, der für jedes Konto ein eigenes Passwort erzeugt, hingegen schon.
Warum das Risiko an neuen Stellen wächst
Zwei Entwicklungen aus dem Bericht verdienen die Aufmerksamkeit jeder Organisation, die ihre Sicherheit für 2026 und 2027 plant. Die erste betrifft Lieferanten. Bei 48 % der Datenschutzverletzungen war ein Drittanbieter beteiligt, gegenüber 30 % im Vorjahr. Wurden bei Drittanbietern schwache Passwörter und falsch konfigurierte Berechtigungen festgestellt, dauerte es fast acht Monate, bis die Hälfte davon behoben war. Jedes Login, das mit einer Agentur, einem externen Dienstleister oder einem IT-Anbieter geteilt wird, ist ein Zugang, der verwaltet und rechtzeitig entzogen werden muss.
Die zweite Entwicklung ist die Verbreitung nicht genehmigter KI-Werkzeuge. Laut Bericht nutzten 67 % der Personen, die auf Firmengeräten KI-Dienste verwenden, dafür private Konten. Jedes dieser Konten liegt ausserhalb der Kontrolle des Unternehmens und ist oft mit einem privaten Passwort geschützt, das möglicherweise auch anderswo verwendet wird.
Der menschliche Faktor verbindet beide Entwicklungen: Er spielte bei 62 % der Datenschutzverletzungen eine Rolle, gegenüber 60 % im Vorjahr.
Was europäische und Schweizer Daten ergänzen
Die ENISA Threat Landscape 2026, basierend auf 8'257 Vorfällen in der EU im Jahr 2025, weist in dieselbe Richtung. Phishing machte 77,8 % der von der ENISA beobachteten Social-Engineering-Techniken aus, und der Diebstahl von Zugangsdaten stützte sich weiterhin auf Infostealer, die Passwörter, Browserdaten, MFA-Tokens und Sitzungscookies abgreifen. Zudem berichtet die ENISA, dass Angreifer Phishing-Kits mit Adversary-in-the-Middle-Werkzeugen kombinieren, um die Multi-Faktor-Authentifizierung zu umgehen.
Der Halbjahresbericht des Bundesamts für Cybersicherheit (BACS) zeigt, wie sich dies in der Schweiz auswirkt. Unter den meldepflichtigen Vorfällen im ersten Halbjahr 2026 war der unbefugte Zugriff mit knapp 26 % die häufigste Angriffsart, grösstenteils E-Mail-Konten, die durch Phishing kompromittiert wurden. Es folgte der Diebstahl von Zugangsdaten mit 13,5 %. Das BACS beschreibt einen Wandel hin zu Angreifern, die sich mit legitimen Zugangsdaten anmelden, statt einzubrechen.
Die Fallstudie zu den Sabotageangriffen auf polnische Energieanlagen im Dezember 2025 macht dies greifbar. Die Angreifer gelangten unter anderem deshalb hinein, weil Fernzugriffspunkte ohne Multi-Faktor-Authentifizierung auskamen, dieselben Passwörter auf mehreren Geräten verwendet wurden und auf einigen Geräten noch die Standardpasswörter des Herstellers eingestellt waren. Das BACS kommt zum Schluss, dass grundlegende Massnahmen wie starke, einzigartige Passwörter und die konsequente Nutzung von MFA entscheidend gewesen wären, um die Angriffe zu verhindern.
Was ein Passwort-Manager für Unternehmen leisten sollte
Ein Passwort-Manager setzt dort an, wo Menschen Logins erstellen, speichern und teilen. Achten Sie bei der Auswahl auf Funktionen, die den Arbeitsalltag verändern und Administratoren Kontrolle geben, hier geordnet von grundlegend bis entscheidend:
- Ein Passwortgenerator und Warnungen vor schwachen Passwörtern bereits bei der Erstellung
- Automatisches Ausfüllen im Browser und auf Mobilgeräten, damit die sichere Option auch die bequeme ist
- Geteilte Safes mit rollenbasierten Berechtigungen, damit Teams nur sehen, was sie brauchen
- Import von Zugangsdaten aus bestehenden Tools, um die Migration zu vereinfachen
- Single Sign-on und automatische Benutzerbereitstellung, damit der Zugriff endet, wenn jemand das Unternehmen verlässt
- Zwei-Faktor-Authentifizierung zum Schutz des Safes selbst
- Zero-Knowledge-Verschlüsselung, damit nur berechtigte Personen gespeicherte Zugangsdaten entschlüsseln können
Worauf Teams achten sollten
Für Organisationen in Banken, Versicherungen und der öffentlichen Verwaltung muss ein Passwort-Manager zudem einer Prüfung standhalten. Regelwerke wie NIS-2 und DORA erwarten eine dokumentierte Zugriffskontrolle und Multi-Faktor-Authentifizierung als Teil des IKT-Risikomanagements. In der Schweiz weist das BACS darauf hin, dass Organisationen je nach regulatorischen Anforderungen eine anbieterunabhängige Verschlüsselung benötigen können, um die Vertraulichkeit von Daten zu wahren, die in einer anderen Rechtsordnung gespeichert sind.
Zwei Momente stellen diese Kontrollen besonders auf die Probe. Der erste ist das Offboarding, wenn der Zugriff am Tag des Austritts enden muss. Der zweite ist ein Sicherheitsvorfall, wenn das Reaktionsteam wissen muss, auf welche geteilten Konten eine kompromittierte Person zugreifen konnte und wie schnell sich dieser Zugriff entziehen lässt. Beide Fragen sind schwer zu beantworten, wenn Zugangsdaten in einer Tabelle auf einem Teamlaufwerk, in einem Browserprofil oder bei der einen Administratorin liegen, die ein System vor Jahren eingerichtet hat. Geteilte Safes mit rollenbasierten Berechtigungen geben Sicherheits- und Compliance-Teams einen klaren Überblick darüber, wer auf welche Konten zugreifen kann, und eine schnelle Möglichkeit, diesen Zugriff im Ernstfall zu entziehen. Da geteilte Zugangsdaten in Team-Safes statt in persönlichen Safes liegen, bleiben sie für Kolleginnen und Kollegen verfügbar, auch wenn die Person, die sie angelegt hat, das Unternehmen verlassen hat.
Wie SecureSafe Pass dies umsetzt
SecureSafe Pass basiert auf der Zero-Knowledge-Architektur und der AES-256-Verschlüsselung, auf denen die gesamte SecureSafe-Plattform aufbaut, mit Datenhaltung in der Schweiz.
Für Teams bietet SecureSafe Pass geteilte Team-Safes mit den Rollen Admin, Editor und Viewer, sodass Zugangsdaten mit den richtigen Personen geteilt und Zugriffe sofort entzogen werden können. SecureSafe Pass ist für Single Sign-on mit Microsoft Entra ID integriert, und dank automatischer Bereitstellung wird der Zugriff entzogen, sobald eine Person aus dem Verzeichnis entfernt wird. Schwache Passwörter werden bereits bei der Erstellung markiert, und die Zwei-Faktor-Authentifizierung schützt die Umgebung auch dann, wenn ein Passwort kompromittiert wurde.
Fazit
Angreifer werden weiterhin neue Wege finden, und die Daten von 2026 zeigen, wie schnell sich ihre Methoden verändern. Konstant bleibt der Wert eines funktionierenden Logins, sobald sie im System sind. Organisationen, die kontrollieren, wie Zugangsdaten erstellt, geteilt und entzogen werden, begrenzen den Schaden jedes einzelnen Eindringens und können die Zugriffsfragen beantworten, die bei Offboarding, Sicherheitsvorfällen und Audits zählen. Ein Passwort-Manager für Unternehmen bleibt einer der direktesten Wege, diese Kontrolle für 2026, 2027 und darüber hinaus zu etablieren. Für Teams, die auch vertrauliche Dokumente austauschen und speichern, schützt dieselbe Zero-Knowledge-Architektur Dateien in SecureSafe File.
Related Articles
Phishing in der Chefetage: Wie Führungskräfte zur Sicherheitslücke werden
KI-generierte E-Mails, geklonte Stimmen und Deepfake-Videoanrufe erhöhen das Risiko bei Phishing-Angriffen auf Führungskräfte. Dieser Artikel beleuchtet, was die Daten für 2026 über die Bedrohungslage aussagen, welche Kosten ein erfolgreicher Angriff verursacht und welche Maßnahmen Führungsteams ergreifen können, um ihr Risiko zu minimieren.
Das Schweizer Transparenzregister ist ein Datengovernance-Problem, nicht nur eine Meldepflicht
Ein neues Bundesregister geht am 1. Oktober 2026 live. Die Meldung selbst ist einfach. Die eigentliche Herausforderung zeigt sich sechs Monate später, wenn Unternehmen ihre Eigentümerdaten belegen müssen.
DORA im Jahr 2026: Was uns 15 Monate der Durchsetzung gelehrt haben
Der Digital Operational Resilience Act (DORA) ist seit dem 17. Januar 2025 vollständig anwendbar. In den seither vergangenen 15 Monaten wurden die ersten Einreichungen für das Informationsregister gesammelt, die ersten kritischen IKT-Drittdienstleister (CTPPs) benannt, und die operative Realität der Verordnung hat begonnen, Gestalt anzunehmen. Für die betroffenen Finanzunternehmen geht es 2026 nicht mehr um die Bereitschaft, sondern um die Qualität der Umsetzung.