Hinter jeder Firmenwebsite steht ein Konto, über das jemand Seiten ändert, Anfragen liest und veröffentlicht. Oft ist es mit einem Passwort gesichert, das vor Jahren eingerichtet wurde, inzwischen in mehreren Browsern gespeichert ist und von dem niemand genau sagen kann, auf welchen Geräten es gerade angemeldet ist. Dabei kommt die Anmeldung ohne Passwort im Alltag an: 21 Prozent der Internetnutzenden ab 16 Jahren melden sich inzwischen passwortlos an, und 40 Prozent nutzen eine Zwei-Faktor-Anmeldung (BSI und ProPK, Cybersicherheitsmonitor 2026). Dieser Beitrag zeigt, wie ein Betrieb sein eigenes Website-Konto im laufenden Betrieb absichert: Passkey statt Passwort plus Code, Backup-Codes, die im Ernstfall auffindbar sind, ein regelmäßiger Blick auf die aktiven Sitzungen, verbundene Konten und geteilte Geräte am Empfang oder in der Werkstatt. Wie Rollen verteilt werden und was beim Personalwechsel zu tun ist, steht im Beitrag Website im Team pflegen; die gesamte Angriffsfläche einer Website behandelt Website-Sicherheit: Angriffsfläche klein halten.
Das Website-Konto ist ein Betriebsschlüssel
Wer sich im Konto einer Website anmeldet, kann mehr als Texte ändern.
Er kann veröffentlichen, Kontaktanfragen mit Namen, Telefonnummern und Anliegen lesen, eine Domain verbinden oder trennen und im ungünstigsten Fall Inhalte austauschen, die danach unter dem Namen des Betriebs stehen. Der Zugang ähnelt damit eher dem Generalschlüssel des Ladens als dem Schlüssel zum Spind. Zugangsdaten sind entsprechend begehrt: In der Befragung zum Wirtschaftsschutz führten Angriffe auf Passwörter 2026 bei 18 Prozent der befragten Unternehmen ab zehn Beschäftigten zu einem Schaden, Phishing-Angriffe bei 16 Prozent der Unternehmen (Bitkom, Wirtschaftsschutz 2026). Für den Einstieg brauchen Angreifer selten technische Raffinesse. Nach der Auswertung der EU-Agentur für Cybersicherheit war Phishing, einschließlich betrügerischer Anrufe, Schadmails und präparierter Werbung, bei etwa 60 Prozent der beobachteten Fälle der Weg hinein (ENISA Threat Landscape 2025). Hinzu kommen Zugangsdaten aus fremden Lecks: Zwischen Juli 2024 und Juni 2025 wurden 461 Datenleaks mit Daten von Institutionen sowie von Verbraucherinnen und Verbrauchern in Deutschland bekannt, betroffen waren unter anderem Passwörter (BSI, Lagebericht 2025). Wer für das Website-Konto dasselbe Passwort nutzt wie für einen Onlineshop, gibt den Schlüssel womöglich mit dem nächsten Leck aus der Hand, ohne es zu merken.
Passkey statt Passwort plus Code
Ein Passkey ersetzt das Passwort durch ein Schlüsselpaar. Bei der Einrichtung erzeugt das Gerät, also Smartphone, Laptop oder Sicherheitsschlüssel, zwei zusammengehörige Schlüssel.
Der öffentliche Schlüssel wird beim Dienst hinterlegt, der private verlässt das Gerät nicht oder wird über die Cloud mit weiteren Geräten derselben Person abgeglichen. Bei der Anmeldung schickt der Dienst eine Aufgabe, die sogenannte Challenge, die nur mit dem privaten Schlüssel richtig beantwortet werden kann (BSI, Management-Blitzlicht Passkeys). Freigegeben wird die Antwort am Gerät selbst, per Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Beim Dienst liegt damit nichts, was sich nach einem Leck als Passwort an anderer Stelle ausprobieren ließe, und es gibt nichts, das man sich merken oder aufschreiben müsste.
Der entscheidende Unterschied zu Passwort plus Code liegt beim Phishing. Das BSI bezeichnet die passwortlose Anmeldung ausdrücklich als phishingresistent (BSI, Management-Blitzlicht Passkeys). Ein Code aus einer Authenticator-App schützt gut gegen ein gestohlenes Passwort, aber er wird von Hand abgetippt, und was man abtippt, kann man auch auf einer gefälschten Anmeldeseite abtippen. Die US-Standardisierungsbehörde NIST hält deshalb fest, dass Verfahren mit manueller Eingabe nicht als phishingresistent gelten, weil die Eingabe nicht an die konkrete Anmeldung gebunden ist (NIST SP 800-63B-4). Die ENISA beschreibt Baukästen für gefälschte Anmeldeseiten, die sich zwischen Nutzer und Dienst schalten und die Zwei-Faktor-Abfrage umgehen (ENISA Threat Landscape 2025). Ein Passkey antwortet dagegen nur der Adresse, für die er angelegt wurde. Eine nachgebaute Seite unter fremder Adresse erhält deshalb keine verwertbare Antwort, darauf beruht die Phishingresistenz.
Tabelle waagerecht wischen
| Situation | Passwort allein | Passwort plus Code | Passkey |
|---|---|---|---|
| Passwort taucht in einem fremden Leck auf | Zugang für jeden, der es ausprobiert | Ohne den Code aus der App kein Zugang | Beim Dienst liegt nur der öffentliche Schlüssel |
| Gefälschte Anmeldeseite | Passwort wird abgefangen | Passwort und Code können abgefangen und sofort genutzt werden | Antwortet nur der echten Adresse |
| Smartphone verloren | Kein Einfluss auf die Anmeldung | Anmeldung mit Backup-Code, danach neu einrichten | Zweiter Passkey oder anderer Weg nötig |
| Gemeinsamer Rechner am Empfang | Passwort bleibt oft im Browser gespeichert | Code kommt vom persönlichen Telefon | Nur auf persönlichen Geräten anlegen |
| Aufwand bei jeder Anmeldung | Eintippen oder Passwortmanager | Zusätzlich der aktuelle Code aus der App | Fingerabdruck, Gesicht oder Geräte-PIN |
Bekannt ist das Verfahren noch nicht überall. In einer Verbraucherbefragung des BSI gaben 2024 nur 38 Prozent an, den Begriff Passkey zu kennen, und 18 Prozent sagten, sie nutzten Passkeys bereits selbst (BSI, Verbraucherbefragung 2024). In der jährlichen Befragung von BSI und Polizei melden sich Anfang 2026 21 Prozent der Internetnutzenden ab 16 Jahren passwortlos an, nach 16 Prozent im Vorjahr (BSI und ProPK, Cybersicherheitsmonitor 2026). Als Grund, nicht alle Schutzmaßnahmen zu nutzen, nennen 23 Prozent der Befragten, das sei zu kompliziert (BSI und ProPK, Cybersicherheitsmonitor 2026). Für einen Betrieb heißt das: Wer im Team umstellt, geht die Einrichtung besser einmal gemeinsam am Gerät durch, statt sie per Rundmail anzuordnen. Ein gemeinsamer Termin am Besprechungstisch erspart später die Rückfrage, warum der Fingerabdruck plötzlich nach einem Passwort fragt.
Einen Passkey einrichten und benennen
In XICflow liegt alles, was zur Anmeldung gehört, auf der Seite „Sicherheit & Anmeldung“, die Sie über die Konto-Seite öffnen.
Die Kästen stehen dort in dieser Reihenfolge: „Zwei-Faktor-Authentifizierung (2FA)“, „Passkeys“, „Verbundene Konten“, „Aktive Sitzungen“ und „Passwort ändern“ (XICflow-Dokumentation). Jeder Schritt ist in der Dokumentation zu Konto, Tarifen und Sicherheit mit den genauen Beschriftungen beschrieben. Ein Passkey ist schnell angelegt:
- Im Kasten „Passkeys“ auf „Passkey hinzufügen“ klicken.
- Unter „Name für diesen Passkey“ eine Bezeichnung vergeben, die das Gerät eindeutig benennt, etwa „Smartphone Inhaberin“ oder „Laptop Büro“.
- Die Abfrage des Geräts bestätigen, je nach Gerät per Fingerabdruck, Gesichtserkennung oder Sicherheitsschlüssel.
Der Name ist mehr als Ordnungsliebe. Wer später ein Gerät verliert, verkauft oder austauscht, muss in der Liste erkennen, welcher Eintrag weg muss. Vorhandene Passkeys passen Sie über „Umbenennen“ an und löschen sie mit „Entfernen“; vor dem Löschen fragt XICflow „Diesen Passkey wirklich entfernen?“. Kann ein Browser nicht mit Passkeys umgehen, steht im Kasten „Dieser Browser unterstützt keine Passkeys.“, und die Schaltfläche zum Hinzufügen fehlt (XICflow-Dokumentation). Auch der Weg „Mit Passkey anmelden“ auf dem Anmeldebildschirm erscheint nur in Browsern, die Passkeys unterstützen. Das ist kein Fehler des Kontos, sondern ein Hinweis, an diesem Gerät beim Passwort mit Code zu bleiben, bis ein aktueller Browser installiert ist.
Zwei Passkeys, zwei Geräte
Zwei-Faktor mit App und Backup-Codes
Die Zwei-Faktor-Anmeldung bleibt wichtig, solange das Konto ein Passwort hat, und das hat es in XICflow, sobald es mit E-Mail und Passwort angelegt wurde.
Ein Passkey schließt den Passwortweg nicht, er macht nur einen besseren Weg daneben auf. Die zweite Stufe schützt deshalb genau den Fall, in dem das Passwort doch einmal in falsche Hände gerät. Eingerichtet wird sie im Kasten „Zwei-Faktor-Authentifizierung (2FA)“ über „2FA einrichten“: Die Authenticator-App übernimmt den angezeigten Schlüssel per Link oder von Hand, danach tragen Sie den aktuellen Code ein und klicken auf „Aktivieren“. Der Code wechselt alle 30 Sekunden (XICflow-Dokumentation), beim Eintippen lohnt also ein frischer. Bei jeder Anmeldung mit Passwort folgt danach die Aufforderung, den Code aus der App einzugeben. Wird bei der Anmeldung fünfmal ein falscher Code eingegeben, nimmt XICflow für rund zehn Minuten keinen weiteren an, auch keinen richtigen (XICflow-Dokumentation). Das bremst jeden, der die Ziffern durchprobieren will.
Unmittelbar nach dem Einschalten zeigt XICflow acht Backup-Codes im Format „abcde-12345“, jeder einmal verwendbar und nur dieses eine Mal angezeigt (XICflow-Dokumentation). Sie ersetzen den Code aus der App, wenn das Telefon fehlt. Später steht im Kasten „Verbleibende Backup-Codes:“ mit der Anzahl. Sinkt sie, weil Codes verbraucht wurden, oder ist unklar, wer die Liste gesehen hat, erzeugen Sie über die Felder „Passwort“ und „2FA- oder Backup-Code“ mit „Backup-Codes neu erzeugen“ eine neue Liste; die alten verfallen dabei. Ist das Telefon mit der App weg, melden Sie sich mit einem Backup-Code an, schalten die zweite Stufe mit „2FA deaktivieren“ ab und richten sie mit dem neuen Gerät sofort wieder ein. Wo die Codes liegen, entscheidet darüber, ob dieser Weg im Ernstfall funktioniert:
- Ausgedruckt in einem verschlossenen Umschlag an einem abschließbaren Ort, mit dem Datum, an dem die Liste erzeugt wurde
- Im persönlichen Passwortmanager der Person, der das Konto gehört, nicht im gemeinsamen Ordner des Teams
- Nicht als Foto auf demselben Smartphone, auf dem auch die Authenticator-App läuft
- Nicht im E-Mail-Postfach, sonst hätte jemand, der das Postfach übernimmt, Codes und Kontakte an einem Ort
- Nach jedem Neuerzeugen den alten Ausdruck vernichten und den neuen Ablageort im Notfallplan vermerken
Es gibt kein „Passwort vergessen“
Aktive Sitzungen im Blick behalten
Jede Anmeldung, die nicht beendet wurde, bleibt als Sitzung bestehen: der Laptop im Homeoffice, das Tablet in der Werkstatt, der Rechner, an dem im Sommer die Aushilfe saß.
Im Kasten „Aktive Sitzungen“ listet XICflow jede offene Anmeldung mit einer Kennung aus Browser und Betriebssystem und dem Zeitpunkt unter „Zuletzt aktiv“. Die Sitzung, in der Sie gerade arbeiten, ist als „Diese Sitzung“ markiert. Einzelne Geräte melden Sie mit „Abmelden“ ab; sobald mehr als eine Sitzung besteht, erscheint „Alle anderen abmelden“ und beendet alle übrigen auf einmal (XICflow-Dokumentation). Wichtig für den Alltag: Der Punkt „Abmelden“ im Konto-Menü beendet nur die Sitzung des Geräts, an dem Sie gerade sitzen. Auf anderen Geräten bleiben Sie angemeldet; beenden lassen sich diese Sitzungen über die Liste oder durch eine Passwortänderung, bei der alle anderen Sitzungen abgemeldet werden.
Warum das zählt, zeigt ein Blick auf die Angriffswege. Schadprogramme, die Zugangsdaten von Rechnern abgreifen, dienen laut ENISA vor allem dem Diebstahl von Zugangsdaten, der Übernahme laufender Sitzungen und dem Weiterverkauf von Zugängen (ENISA Threat Landscape 2025). Eine übernommene Sitzung braucht weder Passwort noch Code. Wie lange eine Sitzung höchstens gelten sollte, ist nicht für jeden Dienst vorgeschrieben. Als Orientierung empfiehlt das NIST für Behördensysteme in den USA bei einer Anmeldung mit zwei Faktoren eine erneute Anmeldung spätestens nach 24 Stunden und eine Abmeldung nach höchstens einer Stunde ohne Aktivität (NIST SP 800-63B-4). Ein kleiner Betrieb muss diese Werte nicht übernehmen, aber sie zeigen, dass eine seit Monaten offene Anmeldung auf einem fremden Gerät nicht der Normalfall sein sollte.
Tabelle waagerecht wischen
| Anlass | Was Sie in XICflow tun | Wo |
|---|---|---|
| Smartphone verloren oder gestohlen | Mit Backup-Code anmelden, den Passkey des Geräts entfernen, die Zwei-Faktor-Anmeldung neu einrichten und die Sitzung des Geräts abmelden | „Passkeys“, „Zwei-Faktor-Authentifizierung (2FA)“, „Aktive Sitzungen“ |
| Unbekanntes Gerät in der Liste | Sitzung abmelden und das Passwort ändern; dabei werden alle anderen Sitzungen abgemeldet | „Aktive Sitzungen“, „Passwort ändern“ |
| Laptop geht in die Reparatur | Vorher am Gerät abmelden oder die Sitzung aus der Liste beenden | Konto-Menü, „Aktive Sitzungen“ |
| Aushilfe oder Praktikant hört auf | Mitglied entfernen; damit enden alle Anmeldungen dieser Person | Bereich „Team“ |
| Liste mit Backup-Codes offen liegen gelassen | Neue Backup-Codes erzeugen, die alten verfallen | „Zwei-Faktor-Authentifizierung (2FA)“ |
| Passwort an anderer Stelle geleakt | Passwort ändern, Zwei-Faktor-Anmeldung prüfen, Passkey als Hauptweg nutzen | „Passwort ändern“, „Passkeys“ |
Verbundene Konten und der letzte externe Zugang
Neben Passwort und Passkey kann ein Konto über einen externen Anmeldedienst erreichbar sein. Der Kasten „Verbundene Konten“ listet diese Verknüpfungen mit der jeweils hinterlegten Adresse, „Trennen“ löst eine davon.
Den letzten externen Zugang kann man nur trennen, wenn für das Konto ein Passwort gesetzt oder ein Passkey angelegt ist; sonst weist XICflow die Aktion mit dem Hinweis zurück, zuerst einen Passkey anzulegen (XICflow-Dokumentation). Die Sperre verhindert, dass sich jemand beim Aufräumen selbst aussperrt. Für den Betrieb steckt darin eine einfache Frage: An welchem Konto hängt der Website-Zugang eigentlich? Ein verbundenes Konto ist nur so gut geschützt wie sein eigener Zugang. Ist es ein privates Konto mit altem Passwort und ohne zweiten Faktor, erbt das Website-Konto genau diese Schwäche. Für Inhaberinnen und Inhaber gilt deshalb dasselbe wie für Domain und Postfach: Der Zugang gehört an eine Adresse des Betriebs, deren Postfach selbst gut geschützt ist. Was passiert, wenn die Kontaktadresse bei der Domain ins Leere läuft, beschreibt Die Domain ist plötzlich weg; wie Domain und Geschäftspostfach sauber angelegt werden, steht in Domain und Geschäfts-E-Mail.
Geteilte Geräte am Empfang und in der Werkstatt
In vielen Betrieben gibt es Geräte, an denen mehrere Menschen arbeiten: den Rechner am Empfang einer Praxis, das Tablet in der Werkstatt, den Laptop im Laden, auf dem auch Bestellungen laufen.
Heikel wird es dort, wenn das Website-Konto einer Person dauerhaft angemeldet bleibt oder ein persönlicher Passkey im gemeinsamen Gerätekonto liegt. Dann kann jeder, der das Gerät entsperrt, im Namen dieser Person Seiten ändern und veröffentlichen, und in der Änderungsspur steht der falsche Name. Drei Regeln halten das im Griff:
Rechner am Empfang
Persönliche Passkeys gehören nicht auf den gemeinsamen Rechner. Dort melden sich Mitarbeitende mit Passwort und Code an und am Ende der Schicht über „Abmelden“ im Konto-Menü wieder ab. Im Browser gespeicherte Passwörter für das Konto werden gelöscht.
Tablet in der Werkstatt
Wer dort nur eingegangene Anfragen lesen soll, braucht keine Rechte zum Veröffentlichen. Die Rolle „Betrachter“ darf ansehen und exportieren, aber nichts ändern; den Status einer Anfrage setzen dürfen „Bearbeiter“ und höher.
Privatgerät im Homeoffice
Ein Passkey auf dem eigenen Gerät ist in Ordnung, wenn es mit eigener PIN oder Biometrie gesperrt ist. Ein Familienrechner mit gemeinsamem Benutzerkonto ist dagegen ein geteiltes Gerät und wird auch so behandelt.
Wer Aushilfen für die Saison einsetzt, plant deren Zugang von Anfang an als befristet. Jede Person bekommt einen eigenen Zugang mit der kleinsten passenden Rolle, und am letzten Arbeitstag wird das Mitglied entfernt. Dann löscht XICflow das Konto der Person, beendet alle ihre Anmeldungen und gibt den Sitzplatz frei; die Inhalte der Website bleiben unverändert (XICflow-Dokumentation). Rollen, Einladungen und das Entfernen beschreibt die Dokumentation zu Anfragen und Team. Wie Betriebe Aushilfen auf der Website ansprechen, behandelt Minijob-Grenze 2027: Stellenanzeigen für Aushilfen; wie eine Praxis ihren Empfang über die Website entlastet, steht in Psychotherapie-Praxis-Website: Telefonzeiten und Wartezeit. Wie viele Personen gleichzeitig ein eigenes Konto haben können, hängt am Tarif; die Team-Sitze je Tarif nennt die Übersicht der Funktionen und Leistungen.
Pflicht oder Kür: was Recht und Statistik sagen
Die Datenschutz-Grundverordnung schreibt keine bestimmte Anmeldetechnik vor.
Wer aber über die Website Anfragen mit personenbezogenen Daten entgegennimmt, etwa ein Maklerbüro über sein Anfrageformular samt Erstinformation, muss geeignete technische und organisatorische Maßnahmen treffen; dazu gehört, soweit angemessen, ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung ihrer Wirksamkeit (Artikel 32 DSGVO). Ein Passkey, eine aktive Zwei-Faktor-Anmeldung und ein regelmäßiger Blick in die Sitzungsliste sind solche Maßnahmen, und ein fester Termin im Kalender macht ihre regelmäßige Überprüfung nachvollziehbar. Strenger ist es für Betriebe, die unter die NIS-2-Umsetzung fallen. Als wichtige Einrichtung gelten unter anderem Unternehmen aus den im Gesetz genannten Branchen, die mindestens 50 Mitarbeiter beschäftigen oder einen Jahresumsatz und eine Jahresbilanzsumme von jeweils über 10 Millionen Euro aufweisen (Paragraf 28 BSIG). Für sie zählt die Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung zu den Mindestmaßnahmen (Paragraf 30 Absatz 2 Nummer 10 BSIG). Die meisten kleinen Betriebe fallen nicht darunter, der Katalog taugt aber als Orientierung für den eigenen Betrieb.
Wie weit Betriebe in Deutschland sind, zeigt die Erhebung der europäischen Statistikbehörde zur IT-Nutzung in Unternehmen. Eine Anmeldung, die mindestens zwei Verfahren kombiniert, nutzten 2024 35,4 Prozent der Kleinstbetriebe mit weniger als zehn Beschäftigten, 39,8 Prozent der Unternehmen mit 10 bis 49 Beschäftigten und 81,9 Prozent der Unternehmen ab 250 Beschäftigten, jeweils ohne Finanzbranche, Landwirtschaft und Bergbau (Eurostat). Bei den Unternehmen mit 10 bis 49 Beschäftigten waren es 2022 noch 28,7 Prozent (Eurostat). Die Richtung stimmt also. Gerade in kleinen Betrieben, in denen eine Person Website, Domain und Postfach nebenbei betreut, fehlt der zweite Faktor aber noch häufig, und oft ist es genau dieser eine Zugang, an dem alles andere hängt.
Der Konto-Check im Quartal
- Sitzungen durchsehen. Unter „Aktive Sitzungen“ jede Zeile einem Gerät zuordnen. Was niemand erkennt, wird abgemeldet, danach wird das Passwort geändert.
- Passkeys prüfen. Passt jeder Name noch zu einem vorhandenen Gerät? Einträge für verkaufte, verlorene oder ausgemusterte Geräte entfernen.
- Backup-Codes zählen. Die Anzahl unter „Verbleibende Backup-Codes:“ notieren. Ist sie gesunken, ohne dass jemand einen Code gebraucht hat, neue Codes erzeugen und das Passwort ändern.
- Verbundene Konten ansehen. Gehört jede Verknüpfung noch zu einer Adresse des Betriebs und ist dieses Konto selbst mit einem zweiten Faktor geschützt?
- Team abgleichen. Hat jede Person im Bereich „Team“ noch einen Grund, dort zu stehen, und die passende Rolle?
- Notfallplan aktualisieren. Wo liegen Backup-Codes und Sicherheitsschlüssel, wer darf den Umschlag öffnen, wer vertritt im Urlaub?
Der Check passt gut zu Terminen, die ohnehin anstehen: zum Quartalsabschluss, zum Test der Datensicherung oder zur Rückgabe der Schlüssel, wenn ein Minijob endet. Wie eine Website-Sicherung im Ernstfall zurückgespielt wird, beschreibt Website sichern: Backup und Wiederherstellung. In XICflow liegen alle Bausteine dafür im Konto: Passkeys mit eigenem Namen je Gerät, die Zwei-Faktor-Anmeldung mit acht einmal verwendbaren Backup-Codes, die Liste der aktiven Sitzungen mit „Alle anderen abmelden“ und Rollen, die Rechte nach Aufgabe abstufen. Was der Baukasten darüber hinaus für Website, Anfragen und Team mitbringt, zeigt die Seite Leistungen.