API-Keys, Passwörter, SSH-Zugänge — warum Ihr Team diese Daten gefährlich teilt

Ein Mitarbeiter verlässt das Unternehmen. Zwei Wochen später bemerken Sie, dass der Zugang zum Hosting-Server noch aktiv ist. Der alte Kollege hätte theoretisch die gesamte Webpräsenz Ihres Unternehmens löschen können — und Sie hätten es nicht einmal bemerkt.

Dieses Szenario ist keine Ausnahme. Es ist Alltag in deutschen KMU und Agenturen. Das Erschreckende daran: Die meisten Unternehmen wissen nicht einmal, wie viele aktive Zugänge es gibt — geschweige denn, wer noch darauf zugreifen kann.

Wie sensible Zugangsdaten wirklich geteilt werden

Schauen wir uns ehrlich an, was in den meisten Teams tatsächlich passiert — unabhängig davon, wie professionell das Unternehmen nach außen wirkt:

• Passwörter werden per WhatsApp oder Slack verschickt und bleiben dort dauerhaft im Verlauf — für alle Teammitglieder einsehbar
• API-Keys für Stripe, OpenAI oder AWS stehen in einer Excel-Datei auf einem gemeinsamen Laufwerk, ohne Versionierung und ohne Audit-Trail
• Freelancer bekommen volle Zugangsdaten per E-Mail — und niemand denkt daran, sie nach Projektende zu ändern
• SSH-Keys werden lokal gespeichert und beim Laptop-Wechsel einfach kopiert, ohne zu protokollieren, wer welchen Key hat
• Das Admin-Passwort für WordPress kennen vier Mitarbeiter, zwei Ex-Mitarbeiter und die Agentur, die vor zwei Jahren die Website gebaut hat

Das Problem ist nicht mangelndes Sicherheitsbewusstsein. Das Problem ist fehlende Infrastruktur. Wenn kein zentrales System vorhanden ist, improvisiert jedes Team auf eigene Faust — und das führt zu einem gefährlichen Flickenteppich aus verteilten, unkontrollierten Zugangsdaten.

Was konkret auf dem Spiel steht

Die Risiken sind real und teuer:

• Ein kompromittierter Stripe-API-Key ermöglicht unberechtigte Abbuchungen oder den Zugriff auf Kundendaten
• Ein geleakter SSH-Zugang kann bedeuten, dass ein Angreifer Ihre gesamte Server-Infrastruktur übernimmt — inklusive aller Kundendaten
• Ein gestohlener AWS-Key hat Unternehmen bereits sechsstellige Cloud-Rechnungen eingebracht, die innerhalb von Stunden entstanden sind
• Nach der DSGVO sind Sie für Datenpannen haftbar — auch wenn der Zugang durch einen ehemaligen Mitarbeiter oder Freelancer kompromittiert wurde

DSGVO: Ihre rechtliche Verantwortung

Viele Unternehmer unterschätzen, wie weit die DSGVO-Haftung reicht. Artikel 32 der DSGVO verpflichtet Sie, geeignete technische und organisatorische Maßnahmen zu ergreifen, um die Sicherheit personenbezogener Daten zu gewährleisten. Dazu gehört ausdrücklich die Zugriffskontrolle.

Wenn ein ehemaliger Mitarbeiter mit einem nie deaktivierten Zugang auf Kundendaten zugreift, sind Sie in der Pflicht — nicht er. Die Bußgelder können bis zu 4 % des weltweiten Jahresumsatzes betragen. Für ein KMU mit 2 Mio. Euro Umsatz wären das bis zu 80.000 Euro.

Das Zero-Knowledge-Prinzip: Der Tresor, den nicht mal wir öffnen können

Die Lösung liegt in einem Secrets Manager — einem digitalen Tresor, der speziell für den Umgang mit vertraulichen Zugangsdaten entwickelt wurde. Das Besondere am Zero-Knowledge-Ansatz: Die Verschlüsselung findet ausschließlich auf Ihrem Gerät statt, bevor irgendwelche Daten den Server erreichen.

Der technische Ablauf — vereinfacht erklärt: Ihr Master-Passwort wird lokal in einen kryptografischen Schlüssel umgewandelt (via Argon2id — derselbe Standard, den Passwort-Manager wie 1Password verwenden). Dieser Schlüssel verschlüsselt Ihre Daten mit AES-256-GCM. Erst dann wird das verschlüsselte Paket auf den Server übertragen. Das bedeutet: Selbst wenn ein Angreifer den Server kompromittiert oder der Anbieter selbst die Daten einsehen wollte — er würde ausschließlich unlesbaren Datenmüll vorfinden.

Was ein professioneller Secrets Manager können muss

• Zentrale Verwaltung aller Zugangsdaten: Passwörter, API-Keys, SSH-Keys, Lizenzen, Datenbankzugänge, Zertifikate
• Rollenbasierte Zugriffsrechte: Entwickler sehen nur Entwickler-Zugänge, Buchhaltung nur Buchhaltungs-Tools
• Vollständiger Audit-Log: Wer hat wann auf welche Daten zugegriffen — lückenlos protokolliert
• Sofortiger Entzug: Wenn ein Mitarbeiter das Unternehmen verlässt, ein Klick und alle Zugänge sind gesperrt
• Sichere Weitergabe: Zugangsdaten können geteilt werden, ohne sie im Klartext zu übertragen
• Zero-Knowledge-Verschlüsselung: Der Anbieter kann Ihre Daten physisch nicht im Klartext sehen

VaultOne: Unser Secrets Manager für Agenturen und KMU

Aus genau diesem Bedarf heraus haben wir VaultOne entwickelt — einen Zero-Knowledge Secrets Manager, der auf die Anforderungen von Agenturen und kleinen bis mittelständischen Unternehmen zugeschnitten ist. Keine Enterprise-Komplexität, keine fünfstelligen Lizenzgebühren, aber vollständige kryptografische Sicherheit.

VaultOne ist unter vault.eyedia.de verfügbar. Alle Daten werden clientseitig mit AES-256-GCM verschlüsselt. Der Server speichert ausschließlich verschlüsselte Blobs — selbst wir als Betreiber können Ihre Daten nicht einsehen. Dazu kommen rollenbasierte Zugriffsrechte, ein vollständiger Audit-Trail und Multi-Tenant-Unterstützung für Agenturen, die Zugänge für mehrere Kunden verwalten.

Sofort starten: Die kritischsten Zugangsdaten zuerst

Sie müssen nicht von heute auf morgen Ihr gesamtes Passwort-Management umstellen. Fangen Sie mit den Zugangsdaten an, bei denen ein Missbrauch den größten Schaden anrichten würde:

• Hosting- und Server-Zugänge (SSH, FTP, Control Panel, Root-Passwörter)
• Zahlungsanbieter-API-Keys (Stripe, PayPal, Klarna)
• E-Mail-Server und Domain-Verwaltung (wer hier Zugriff hat, kann Ihre gesamte Kommunikation übernehmen)
• Cloud-Dienste (AWS, Google Cloud, Azure — hier können innerhalb von Stunden massive Kosten entstehen)
• CRM und Kundensysteme mit personenbezogenen Daten (DSGVO-relevant)

Wenn Sie darüber hinaus eine SaaS-Infrastruktur aufbauen oder eine individuelle Webanwendung mit integrierten Sicherheitskonzepten entwickeln lassen möchten, sprechen wir gerne über eine ganzheitliche Strategie — von der Architektur bis zum Deployment.