MSP-Anmeldeinformationen: 7 Wege zum sicheren Kundenzugriff

Sieben Praktiken, die auf der gemeinsamen Cybersecurity-Empfehlung von 2022 für Managed Service Provider (MSPs) aufbauen, bei vielen Tickets die Suche nach Anmeldeinformationen überflüssig machen und es Ihnen ermöglichen, Kunden zu zeigen, wer auf ihre Systeme zugegriffen hat.

12. November 2026

Steven Lafortune

Speichern Sie die Anmeldeinformationen jedes Kunden in einem eigenen Tresor, geben Sie Technikern nur Zugriff auf die Kunden, die sie betreuen, injizieren Sie Anmeldeinformationen beim Verbindungsaufbau, statt sie weiterzugeben, schützen Sie den Tresor mit Multi-Faktor-Authentifizierung (MFA) und behandeln Sie Zugriffsprotokolle pro Techniker als einen Ihrer wichtigsten Protokolltypen, den Sie mindestens sechs Monate aufbewahren. So setzen Sie die Empfehlungen zu minimalen Rechten und zur Protokollierung aus der gemeinsamen Empfehlung von 2022 für Managed Service Provider (MSPs) um und streichen die manuelle Suche, die abrechenbare Zeit kostet.

Warum die Verwaltung von Anmeldeinformationen ein Problem in MSP-Größe ist

Ein MSP hat gleichzeitig administrativen Zugriff auf viele Organisationen. Das macht ihn zu einem lohnenden Ziel: Wer einen einzigen Anbieter kompromittiert, erreicht unter Umständen jeden Kunden, den dieser betreut. Im Mai 2022 veröffentlichten Cybersicherheitsbehörden aus den USA, Großbritannien, Kanada, Australien und Neuseeland eine gemeinsame Empfehlung, die genau vor diesem Trend warnt.

Im Alltag vieler MSPs ist die Realität weniger dramatisch, aber genauso kostspielig.

Anmeldeinformationen liegen an zu vielen Orten

Der Zugriff eines Kunden verteilt sich auf eine Tabelle, eine Wiki-Seite, den persönlichen Passwortmanager eines Technikers und ein altes Ticket. Niemand weiß sicher, welche Kopie aktuell ist, und jede Kopie muss geschützt werden.

Jede Suche ist nicht abrechenbare Zeit

Erst die VPN-Daten finden, dann das Passwort, dann beides abtippen: Das kostet bei vielen Tickets Minuten. Hochgerechnet auf ein Team und einen Monat ist das Zeit, die der MSP bezahlt, aber nicht in Rechnung stellen kann.

Techniker sehen mehr, als sie brauchen

Wenn jeder alles öffnen kann, legt ein einziges kompromittiertes Technikerkonto alle Kunden offen. Außerdem lässt sich so das Prinzip der minimalen Rechte, eine zentrale Empfehlung für MSPs, nicht nachweisen.

Kunden verlangen Nachweise

Die Empfehlung fordert Kunden auf, sicherzustellen, dass die Konten ihres MSP überwacht und auditiert werden. Rechnen Sie also damit, dass Kunden, ihre Prüfer und ihre Cyberversicherer wissen wollen, wer aus Ihrem Team wann auf ihre Systeme zugegriffen hat. Eine gemeinsam genutzte Tabelle kann das nicht beantworten.

Sieben Praktiken für die Verwaltung von Anmeldeinformationen bei MSPs

Geben Sie jedem Kunden einen eigenen Tresor. Trennen Sie die Verbindungen und Anmeldeinformationen jedes Kunden, damit sich Zugriffe pro Kunde gewähren, prüfen und entziehen lassen.
Vergeben Sie Zugriff pro Kunde und passen Sie ihn an, wenn sich Rollen ändern. Techniker sollten nur die Kunden erreichen, die sie betreuen. Die gemeinsame Empfehlung von 2022 rät, das Prinzip der minimalen Rechte durchgängig anzuwenden und Berechtigungen umgehend anzupassen, wenn sich administrative Rollen ändern.
Injizieren Sie Anmeldeinformationen, statt sie weiterzugeben. Wenn sich Verbindungen mit bereits eingetragenen Anmeldeinformationen öffnen, müssen Techniker Kundenpasswörter weder kopieren noch einfügen oder aufbewahren.
Speichern Sie Verbindungsdaten zusammen mit den Anmeldeinformationen. Legen Sie VPN-, Gateway- und Hostdaten des Kunden im selben Eintrag ab, damit ein Techniker in einem Schritt vom Ticket zur Sitzung kommt.
Schützen Sie den Tresor mit MFA. Die Plattform, die die Anmeldeinformationen aller Kunden enthält, darf nie nur ein Passwort von einem Leck entfernt sein.
Protokollieren Sie Zugriffe pro Techniker und bewahren Sie die Protokolle auf. Halten Sie fest, wer wann welchen Kundeneintrag geöffnet hat. Die gemeinsame Empfehlung rät, die wichtigsten Protokolle mindestens sechs Monate aufzubewahren; prüfen Sie, ob Ihre Aufbewahrungsdauer dem entspricht.
Behalten Sie Abläufe im Blick und entziehen Sie Zugriffe schnell. Lassen Sie sich benachrichtigen, bevor Kundenanmeldeinformationen und andere Einträge ablaufen, und entziehen Sie einem ausscheidenden Techniker an seinem letzten Tag an einer Stelle alle Zugriffe.

Tabellen, persönliche Passwortmanager oder eine zentrale Plattform

Frage	Tabelle oder Wiki	Eigener Passwortmanager jedes Technikers	Zentrale Plattform für Verbindungen und Anmeldeinformationen
Nach Kunden getrennt?	Nur nach Registerkarte oder Seite	Hängt von jeder Person ab	Ein Tresor pro Kunde
Minimale Rechte?	Wer die Datei hat, sieht alles	Nicht zentral gesteuert	Zugriff nach Kunde, Rolle oder Gruppe
Sehen Techniker die Passwörter?	Ja	Ja	Nein, dank Injektion der Anmeldeinformationen
Wer hat auf die Systeme eines Kunden zugegriffen?	Unbekannt	Unbekannt	Audit-Trail pro Techniker
Offboarding eines Technikers	Jedes Passwort ändern, das er gesehen hat	Darauf vertrauen, dass jeder seine Kopien löscht	Zugriff einmal entziehen
Zeit vom Ticket zur Sitzung	Nachschlagen, kopieren, einfügen	Nachschlagen, automatisch ausfüllen	Ein Klick, VPN inklusive

Wie Devolutions Remote Desktop Manager (RDM) diese Praktiken unterstützt

Remote Desktop Manager deckt die sieben Praktiken oben ab (Team-Edition mit einem Cloud- oder selbst gehosteten Workspace):

Ein Tresor pro Kunde in einem Devolutions Cloud- oder Devolutions Server-Workspace, mit Berechtigungen pro Tresor, Ordner oder Eintrag.
Rollenbasierte Zugriffskontrolle mit Benutzergruppen, die Devolutions Server mit Active Directory-Gruppen verknüpfen oder aus Identitätsanbietern wie Microsoft Entra ID, Okta oder PingOne importieren kann.
Injektion von Anmeldeinformationen beim Start von Sitzungen, in einer einzigen App für RDP, SSH, Web und insgesamt mehr als 150 Protokolle.
Integrierte VPN-Verwaltung für Microsoft-, Cisco-, SonicWall- und IPsec-VPNs.
MFA mit Duo, YubiKey oder einer beliebigen TOTP-App.
Ein Audit-Trail, ein Audit der Passwortnutzung und der Export von Berichten als CSV, dazu Benachrichtigungen zu abgelaufenen und bald ablaufenden Einträgen.

Möchten Sie sehen, wie RDM ein typisches Kundenticket vom Öffnen bis zur Verbindung abwickelt? Buchen Sie eine Live-Demo, laden Sie RDM herunter oder sehen Sie sich die Preise an.

Häufig gestellte Fragen

Wie sollte ein MSP die Passwörter seiner Kunden speichern?

Ein MSP sollte Kundenpasswörter auf einer zentralen, verschlüsselten Plattform speichern: mit einem eigenen Tresor pro Kunde, Zugriff nur für die Techniker, die diesen Kunden betreuen, MFA auf der Plattform und einem Audit-Trail pro Techniker. Tabellen, Wikis und persönliche Passwortmanager können das weder zuverlässig durchsetzen noch nachweisen.

Was empfiehlt die gemeinsame Empfehlung von 2022 für MSPs?

Die gemeinsame Empfehlung AA22-131A, im Mai 2022 von Cybersicherheitsbehörden aus den USA, Großbritannien, Kanada, Australien und Neuseeland veröffentlicht, rät MSPs, MFA durchzusetzen, das Prinzip der minimalen Rechte anzuwenden und Berechtigungen bei Rollenwechseln anzupassen, Überwachung und Protokollierung zu verbessern, Netzwerke zu segmentieren und Sicherheitszuständigkeiten in den Kundenverträgen festzulegen.

Wie können Techniker auf Kundensysteme zugreifen, ohne Passwörter zu sehen?

Mit der Injektion von Anmeldeinformationen. Ein Tool wie RDM trägt die Anmeldeinformationen des Kunden beim Öffnen der Verbindung ein, sodass der Techniker am System arbeitet, ohne das Passwort zu sehen, zu kopieren oder aufzubewahren.

Wie lange sollte ein MSP Zugriffsprotokolle aufbewahren?

Die gemeinsame Empfehlung von 2022 rät, die wichtigsten Protokolle mindestens sechs Monate aufzubewahren. Kundenverträge, Branchenvorgaben oder Cyberversicherungen können eine längere Dauer verlangen, prüfen Sie also auch diese.

Was sollte ein MSP tun, wenn ein Techniker das Unternehmen verlässt?

Entziehen Sie dem Techniker an seinem letzten Tag an einer Stelle den Zugriff auf alle Kundentresore. Konnte er Passwörter direkt sehen, ändern Sie zusätzlich die sensibelsten Kundenanmeldeinformationen. Mit der Injektion von Anmeldeinformationen waren ihm ohnehin deutlich weniger Passwörter je zugänglich.