Leitfaden
Administratorkonten, Passwörter und Zwei-Faktor-Authentifizierung
Administratorkonten sind die Schlüssel zu Ihrer IT: Ein Angreifer, der eines davon erlangt, kann alles tun. Getrennte Konten, Zwei-Faktor-Authentifizierung, starke Passwörter: Hier sind die Regeln von ANSSI und CNIL, zusammengefasst auf das, was ein KMU tun muss.
Aktualisiert am 18. Oktober 2026 · Die Zahlen sind unten auf der Seite belegt; die Bewertungen stammen von IT CyberWall.
Warum diese Konten das Ziel sind
Ein Angreifer, der das Passwort eines Administratorkontos erlangt, kann alles tun: eine Ransomware auf allen Arbeitsplätzen installieren, Daten löschen, Konten anlegen, um später zurückzukehren. Der Schutz dieser Konten ist die Maßnahme, die den möglichen Schaden am stärksten begrenzt. Die ANSSI widmet ihr mehrere Maßnahmen ihres Leitfadens zur IT-Hygiene: Verzeichnis der privilegierten Konten, Trennung der Rollen Nutzer und Administrator, starke Authentifizierung[1].
Separate Administratorkonten
- Ein Administratorkonto, getrennt vom Alltagskonto, mit einem anderen Passwort[2].
- Niemals E-Mail oder Surfen im Internet mit einem Administratorkonto[2][1].
- Personenbezogene Konten: Man weiß, wer was getan hat[2][1].
- Minimale Rechte: Jeder hat nur die Rechte, die er braucht, und Nutzer sind keine Administratoren ihres Arbeitsplatzes[2][1].
- Ein aktuelles Verzeichnis der privilegierten Konten, einschließlich derjenigen der Dienstleister[1].
Die Zwei-Faktor-Authentifizierung
Die ANSSI empfiehlt, die Multi-Faktor-Authentifizierung zu bevorzugen[3] und für die Administration mindestens zwei Faktoren zu verlangen[2]. Beginnen Sie in der Praxis mit:
- den Administratorkonten (Microsoft 365, Google Workspace, Server, Firewall, Hoster, Domainname);
- den Fernzugriffen (VPN, Remotedesktop);
- der E-Mail aller Nutzer.
Eine Authentifizierungs-App oder ein Sicherheitsschlüssel ist besser als ein per SMS empfangener Code, der leichter abgefangen werden kann.
Passwörter, die standhalten
| Fall | Empfehlung der CNIL[4] |
|---|---|
| Nur Passwort | 12 Zeichen mit Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen, oder 14 Zeichen ohne vorgeschriebenes Sonderzeichen, oder eine Passphrase aus 7 Wörtern |
| Konto mit Sperre nach mehreren Fehlversuchen | 8 Zeichen aus 3 verschiedenen Zeichenarten oder 5 Wörter |
- Kein erzwungener Wechsel für alle: CNIL und ANSSI schreiben ihn für normale Konten nicht mehr vor, behalten ihn aber für privilegierte Konten bei[4][3].
- Sofortiger Wechsel bei Verdacht auf eine Kompromittierung[3].
- Ein Passwortmanager, vom Unternehmen bereitgestellt[3].
- Die Standardpasswörter von Routern, Druckern, Kameras und Servern werden gleich bei der Installation geändert[3][1].
Ihre Checkliste
- Wer ist Administrator wofür? Die Liste existiert und ist aktuell.
- Kein Administrator liest seine E-Mails mit seinem Administratorkonto.
- Die Zwei-Faktor-Authentifizierung ist für alle Administratorkonten und Fernzugriffe aktiviert.
- Die Konten ehemaliger Mitarbeitender und ehemaliger Dienstleister sind deaktiviert.
- Das „Eigentümer“-Konto Ihres Microsoft 365 oder Google Workspace und Ihres Domainnamens läuft auf den Namen des Unternehmens.
Was IT CyberWall übernimmt
Wir erfassen die privilegierten Konten, trennen die Administratorkonten, aktivieren die Zwei-Faktor-Authentifizierung und führen einen Passwortmanager ein. Unsere eigenen Zugänge zu Ihren Systemen sind personenbezogen, und Sie behalten deren Liste.
Sie wissen nicht mehr, wer wofür Administrator ist?
Wir erfassen Ihre Konten und führen die Zwei-Faktor-Authentifizierung ein.
Quellen
Quellen abgerufen am 18. Oktober 2026. Die Preise der Anbieter sind ohne Steuern angegeben, in der Währung und Region der veröffentlichten Preisliste, und können sich ändern: Prüfen Sie vor einer Entscheidung immer die offizielle Seite.
- ANSSI – Guide d’hygiène informatique, v2.0 (Maßnahmen 5, 8 bis 13, 27 bis 29) — messervices.cyber.gouv.fr/documents-guides/guide_hygiene_informatique_anssi.pdf
- ANSSI – Recommendations to Secure Administration of IT Systems, v2.0 (24. April 2018) — cyber.gouv.fr/sites/default/files/2018/10/guide_anssi_secure_admin_is_pa_022_en_v2.pdf
- ANSSI – Recommandations relatives à l’authentification multifacteur et aux mots de passe, v2.0 (8. Oktober 2021) — messervices.cyber.gouv.fr/guides/recommandations-relatives-lauthentification-multifacteur-et-aux-mots-de-passe
- CNIL – Délibération n° 2022-100 du 21 juillet 2022, recommandation relative aux mots de passe — www.cnil.fr/sites/cnil/files/atoms/files/deliberation-2022-100-du-21-juillet-2022_recommandation-aux-mots-de-passe.pdf