Sicherer Passwort-Austausch für Teams und Unternehmen

SSO sichert integrierte Unternehmensanwendungen, lässt jedoch andere Zugriffswege offen. Untersuchungen zeigen, dass 96 % der E-Mail-Logins und 91 % der KI-Tools außerhalb des SSO-Perimeters betrieben werden. Servicekonten, Legacy-Infrastruktur, Anbieterportale und Schatten-SaaS erfordern einen dedizierten Speicher für Zugangsdaten. Branchendaten bestätigen, dass 74 % der Sicherheitsexperten SSO allein als unvollständige Zugriffskontrolllösung betrachten.

NIS2 verbietet die unverschlüsselte, nicht nachvollziehbare Weitergabe von Zugangsdaten. Gemäß Artikel 21(2)(j) und (g) müssen Organisationen die Zugriffskontrolle sichern und eine strenge Cybersicherheitshygiene aufrechterhalten. Dies erfordert, dass alle gemeinsam genutzten Unternehmens-Zugangsdaten verschlüsselt, per Least Privilege auf autorisierte Benutzer beschränkt und vollständig protokolliert werden. Die Weitergabe von Passwörtern über Klartextkanäle wie Chat-Apps oder Tabellenkalkulationen verstößt gegen diese Anforderungen, da Prüfer dadurch nicht feststellen können, welche Person tatsächlich auf das System zugegriffen hat.

DORA Artikel 9(4)(c) und (d) verlangen von Finanzunternehmen und ihren kritischen IKT-Dienstleistern die Anwendung von Least Privilege, starker Authentifizierung und ausdrücklichen Kontrollen gegen gemeinsam genutzte Zugangsdaten für privilegierten Zugriff. Aufsichtsbehörden verlangen dokumentierte Nachweise dieser Zugriffskontrollen. Die Implementierung eines zentralen Tresors mit rollenbasiertem Zugriff, MFA und Audit-Protokollen liefert die erforderliche Compliance-Dokumentation.

Anhang A.5.17 legt fest, dass Authentifizierungsinformationen vertraulich, sicher und vor unbefugter Weitergabe geschützt bleiben müssen. Wenn gemeinsam genutzte Zugangsdaten für nicht-personenbezogene Einheiten unvermeidbar sind, müssen Organisationen sie durch dokumentierte Kontrollen auf autorisiertes Personal beschränken. Prüfer verlangen überprüfbare Nachweise – einschließlich Berechtigungsprotokollen, Zugriffsüberprüfungen und unterzeichneten Richtlinien zur zulässigen Nutzung – die statische Dokumente und Chatverläufe nicht erzeugen können.

Ja. Passwork unterstützt die On-Premises-Bereitstellung in Ihrem privaten Rechenzentrum, einschließlich Air-Gap-Umgebungen für regulierte Branchen. Wir bieten außerdem eine sichere, in Deutschland gehostete Cloud-Option und eine Multi-Region-Enterprise-Cloud-Plattform mit primärer EU-Bereitstellung. Alle drei Optionen sind DSGVO-konform und unterstützen die Anforderungen des ISO-27001-Konformitätsrahmens.

Wenn Sie einen Benutzer in Ihrem Identitätsanbieter deaktivieren oder ihn in Passwork als ausscheidend markieren, wird der gesamte Tresorzugriff sofort widerrufen. Die Plattform beendet aktive Sitzungen umgehend und protokolliert das Ereignis im Audit-Protokoll mit Details darüber, wer Zugriff hatte und wann er widerrufen wurde. Dieser automatisierte Workflow behebt direkt die Offboarding-Lücken, die in den Sicherheitsvorfällen bei Coupang und KiranaPro aufgedeckt wurden.

Chat-Nachrichten, E-Mail-Verläufe und Browserspeicher bieten keine Zugriffskontrollen und Verschlüsselungsstandards. Im Browser gespeicherte Zugangsdaten sind das Hauptziel von Infostealer-Malware; Unternehmens-Zugangsdaten erscheinen auf 30 % der verwalteten und 46 % der nicht verwalteten kompromittierten Geräte. Diese informellen Kanäle können weder Least Privilege durchsetzen, Zugriffsereignisse protokollieren noch sofortigen Widerruf unterstützen und verstoßen damit direkt gegen ISO 27001 A.5.17.