Ein Passwort für alle: Wenn eine Anwaltskanzlei das Gegenteil des gesunden Menschenverstands setzt

Ein US-amerikanisches Unternehmen hat seinen Mitarbeitern ein einziges Passwort für das gesamte Informationssystem auferlegt. Ein Rückblick auf eine Entscheidung, die so alt ist wie ein Schreibtisch, und was sie uns im Jahr 2026 lehrt.

Eine Anwaltskanzlei wurde in der Fachpresse für Cybersicherheit öffentlich gerügt, weil sie intern ein einziges Passwort durchgesetzt hat, das von allen Mitarbeitern auf ihrem Informationssystem verwendet wird. Wir schreiben das Jahr 2026, es gibt nationale Gesetze zum Datenschutz, es gibt die DSGVO in Europa, es gibt etwa hundert ISO-27000-Standards, und trotzdem.

Die Fakten

Was

Laut dem Bericht, der in unseren Feeds und von mehreren Fachmedien übernommen wurde, hat eine Anwaltskanzlei - in dieser Meldung nicht öffentlich genannt - als Sicherheitsrichtlinie ein geteiltes und einziges Passwort für alle ihre Mitarbeiter eingeführt.

Wer ist betroffen

• Die Kunden der Kanzlei in erster Linie: Ihre Akten sind potenziell über dieses einzige Passwort zugänglich.
• Die Mitarbeiter: Ihre Handlungen sind nicht mehr individuell zuordenbar, was jede forensische Nachverfolgbarkeit zunichtemacht.
• Die Kanzlei selbst: Große rechtliche Verantwortung im Falle eines Datenlecks.

Was tun

Dieser Lehrbuchfall verdient es, dass wir die Grundhygiene auch in einem kurzen Artikel erinnern:

1. Eine Kennung + ein einzigartiges Passwort pro Benutzer. Nicht verhandelbar.
2. Ein Passwort-Manager (Bitwarden, 1Password, KeePassXC für Open Source).
3. MFA (Multi-Faktor-Authentifizierung) ist auf allen sensiblen Zugängen Pflicht (mindestens TOTP, idealerweise Hardware-Key).
4. Vernünftige Rotationspolitik - NIST SP 800-63B empfiehlt keine systematische Rotation mehr, sondern die sofortige Widerrufung bei Verdacht.
5. Protokollierung + Audit - ohne individuelles Konto ist kein ernsthaftes Audit möglich.

Analyse

Was dieser Fall offenbart - mehr als der Fehler selbst - ist die Persistenz von blinden Flecken in nicht-technischen Berufen, einschließlich derjenigen, die mit den sensibelsten Daten arbeiten. Eine Anwaltskanzlei bearbeitet Gerichtsakten, Scheidungen, Nachlässe, Strafsachen. Der Schaden eines Datenlecks wird nicht nur in Euro gemessen, sondern in exponierten persönlichen Leben.

Das geteilte Passwort ist in kleinen Strukturen nicht selten - wir haben es in medizinischen Praxen, Vereinen, industriellen KMUs gesehen. Neu ist die öffentliche Sichtbarkeit dieser Praktiken, wenn sie auffliegen.

Kasten - Was jetzt zu tun ist

Wenn Sie IT-Leiter, Datenschutzbeauftragter, Partner einer Kanzlei oder einfach Geschäftsführer eines kleinen Unternehmens sind:

• Schnell-Audit: Wie viele tatsächlich individuelle Konten gibt es im Vergleich zu geteilten in Ihrem IT-System?
• Dienstkonten: Sind sie nachverfolgbar? Haben sie robuste Passwörter?
• Unternehmens-WLAN: Teilen Gäste denselben SSID wie die Produktion?
• Schulung: Wann war die letzte Sensibilisierungssitzung zu Phishing / MFA?

Primärquellen

Wir laden die neugierigen Leser ein, die offiziellen Empfehlungen unten zu konsultieren, anstatt sich mit unseren kurzen Meldungen zu begnügen. Sicherheit geht durch praktische Leitfäden, nicht durch Nachrichtenartikel.