Alex Muntyan

Secure password sharing is the practice of granting access to shared credentials through an encrypted vault, where users authenticate to the vault rather than receiving the raw password. It preserves individual accountability and provides a revocable, auditable access trail — the two properties that informal sharing methods structurally cannot provide.

Most organizations are nowhere near that standard. Credentials move through the business in ways nobody designed and nobody tracks: a database password sent over Slack, an admin account emailed to a contractor, a payroll login in a spreadsheet that three people in Finance can open. The access is real. The audit trail is not.

Key takeaways

• Credential breaches take 241 days to detect on average. IBM's 2025 Cost of a Data Breach Report puts the global average breach cost at $4.44 million. Without centralized credential governance, there is no reliable way to know a credential is compromised until the damage is done.
• Credentials shared via Slack, email, or spreadsheets leave no audit trail. When a team member leaves, there is no reliable way to identify every system they could access. The accountability gap is architectural: the credential has been shared, but ownership has never been transferred.
• A password manager with AD/LDAP integration automates provisioning on day one and revokes all vault access the moment an AD account is disabled. Without it, offboarding stays manual and former employees keep access longer than anyone intends.
• NIST SP 800-63B Rev. 4 raises the minimum password length to 15 characters and prohibits mandatory periodic rotation. If your policy still mandates 90-day rotation, it is out of date: forced rotation drives predictable incremental changes, not stronger credentials.
• Audit logs turn a security incident from a guessing game into a structured investigation. A timestamped record of who accessed which credential, when, and from where tells you exactly what was exposed — and who had access at the time.
• Shared admin logins make individual attribution impossible. When five people use the same credential, there is no way to know who changed a setting, who authenticated during an incident, or whose access needs to be revoked. Vault-mediated sharing assigns access to a person, not a password.
• One-time secure links and time-limited access eliminate the manual revocation problem. The link expires after use, the permission expires on a set date. No offboarding ticket required.

Why is secure password sharing in teams critical?

The financial stakes are concrete. According to IBM's 2025 Cost of a Data Breach Report, the global average cost of a data breach was $4.44 million, and breaches involving compromised credentials take an average of 241 days to identify and contain. That is nearly eight months of undetected exposure — long enough for an attacker to map your infrastructure, exfiltrate data, and establish persistence before anyone notices.

The 241-day figure is not a worst-case scenario. It is the median. Organizations that lack centralized credential governance have no reliable mechanism to detect that a credential has been compromised until the damage is already done. Structured credential management reduces the detection gap that makes breaches expensive.

Insecure password sharing: risks and solutions

The problem with insecure password sharing: Messengers, spreadsheets, and email

According to the 2026 Verizon Data Breach Investigations Report, сompromised credentials are the initial access vector in 13% of breaches, but appear somewhere in the attack chain in 39% of all incidents — a significant share across more than 22,000 confirmed breaches analyzed in the report.

In the median case, only 49% of a user's passwords across different services are unique, meaning one leaked credential routinely opens access to multiple systems through credential stuffing — a finding from Verizon's own supplemental 2025 DBIR credential research that remains current.

The root problem is architectural. When credentials are shared via Slack, email, or a spreadsheet, there is no audit trail. When a team member leaves, there is no reliable way to identify every system they could access. The credential exists somewhere outside the vault (in an inbox, a chat history, a screenshot) and there is no revocation mechanism short of rotating the password across every affected system manually.

This is the accountability gap. The credential has been shared, but ownership has not been transferred. Nobody knows who has it, where it is stored, or whether it has already been forwarded. A vault-mediated access model closes that gap by design: access is granted to a person, not a password, and it can be revoked in a single action.

A guide to secure shared password management

The architecture of secure credential sharing rests on three decisions: which tool you use, how you structure access, and what permissions model you apply. Get these right and the rest of the implementation follows.

Step 1: Choose an enterprise password manager with zero-knowledge architecture

The vault provider must never have access to stored credentials. Zero-knowledge architecture means encryption and decryption happen on the client side. The server holds only ciphertext.

This is the foundational requirement for GDPR data sovereignty: if the vendor cannot read your credentials, a vendor-side breach cannot expose them. For EU organizations, on-premise deployment or EU-hosted cloud (with data residency in EU jurisdiction) eliminates US Cloud Act exposure entirely.

Step 2: Structure vaults by team and sensitivity level 

Organize shared credentials by department, project, or system — Development, Operations, Finance, Marketing. This structure limits the blast radius of a compromised account.

If a Marketing team member's vault access is compromised, the attacker reaches marketing credentials, not production database strings. It also makes access reviews tractable: you are reviewing a bounded set of permissions, not an undifferentiated list of every credential in the organization.

Step 3: Implement a three-tier role-based access model

The three-tier model is the minimum viable governance structure for secure credential sharing in teams:

• Read: The user can view and copy the raw password within the vault but cannot modify or delete it. Appropriate for team members who need to authenticate to a system directly, but should have no ability to change or delete the credential.
• Edit: The user can update and manage credentials within their assigned group. Appropriate for team leads and system owners who are responsible for keeping credentials current.
• Administration: The user manages group membership, permissions, and access policies. Restricted to IT administrators and security leads.

This model ensures that permissions are scoped to responsibility: team members authenticate and read, leads manage, administrators govern. Changing someone's role is a single permission update.

Password sharing best practices for secure credential sharing

Beyond the basic vault structure, five operational practices separate a compliant system from one that merely looks compliant on paper.

One-time secure links for external contractors 

When a vendor or freelancer needs access to a specific credential, a one-time link generates a URL that expires after a single use or after a defined time window. The recipient accesses the credential without being added to the vault as a permanent user. Once the link expires, access ends automatically. There is no manual revocation step, no forgotten offboarding ticket, no residual access.

Picture the alternative: a contractor finishes a six-week engagement. Someone on the IT team is supposed to remove their vault access. That ticket sits in a queue for two weeks. The contractor, now working for a different client, still has access to your staging environment. One-time links make that scenario structurally impossible.

Time-limited access for temporary projects 

Most enterprise password managers support access grants with a defined expiration date. Set it when you provision the contractor — if the engagement runs six weeks, access expires on week six. No offboarding ticket required, no manual follow-up, no access that quietly outlasts the project. This eliminates the most common source of credential sprawl: former users who were never properly removed.

Phishing-resistant MFA on the vault itself 

According to Okta's 2025 Secure Sign-In Trends Report, workforce MFA adoption reached 70% — meaning nearly 30% of users still lack it entirely. For vault access, phishing-resistant MFA (FIDO2 hardware keys or device-bound passkeys) is the operative standard under NIS2. 

SMS-based OTPs are not recommended: they are vulnerable to SIM-swapping and real-time phishing proxies, and NIS2 auditors are increasingly aware of the distinction.

Password length aligned with NIST Rev. 4 

The 2025 update to NIST SP 800-63B Rev. 4 raises the minimum password length to 15 characters when a password is used as the sole authenticator, and explicitly deprecates mandatory periodic rotation, replacing it with compromise-triggered credential changes.

This is the most significant revision to federal password guidance in nearly a decade. If your policy still mandates 90-day rotation, it is already out of date and actively counterproductive: forced rotation drives users toward predictable incremental changes (Password1! → Password2!) rather than genuinely stronger credentials.

Comprehensive access auditing 

Audit logs must capture who accessed which credential, when, and from where. For GDPR and NIS2 compliance, this is the primary evidence auditors request — ahead of policy documents, ahead of architecture diagrams, ahead of anything else. A timestamped log showing exactly who accessed the production database credential at 2:14 AM on a Tuesday carries more weight in an audit than a hundred pages of access control policy.

Operational best practices for secure credential sharing

Regulatory requirements: GDPR, NIS2, SOC 2, and ISO 27001

Unmanaged credentials create both a security exposure and a compliance failure — often simultaneously. GDPR Article 32 requires "appropriate technical and organisational measures" to protect personal data. Shared credentials with no audit trail fail that standard directly: demonstrating appropriate access controls requires evidence of who had access to what, and when.

NIS2 enforcement is active. Fines reach €10 million or 2% of global annual turnover. Pre-audit findings from Q4 2025 across Germany, the Netherlands, and Austria consistently flagged missing MFA, over-privileged accounts, and unmanaged service credentials as primary failures.

The pattern across failed audits is consistent: organizations had controls in place but could produce no logs, no access review records, no credential hygiene reports. Auditors treat undocumented controls the same as absent ones.

The skills gap compounds the problem. According to ENISA's NIS Investments 2025 report (published December 2025), 76% of EU organizations report difficulties recruiting qualified cybersecurity profiles, and 45% cite a lack of required skills as their main barrier.

For understaffed teams, automated tooling covers the gap that headcount cannot: vault-based access control, AD integration, and scheduled access reviews run continuously without requiring a dedicated IAM team to operate them manually.

Read our NIS2 compliance guide for a detailed mapping of compliance requirements to specific technical controls.

Practical implementation steps: The 4-step password governance model

The 4-step password governance model gives IT managers a concrete deployment sequence that surfaces problems early and builds organizational adoption before a company-wide rollout.

Step 1: Run a pilot with the IT department

Start with the team that will administer the system. A two-week pilot surfaces integration issues, user experience friction, and policy gaps before they affect the broader organization. It also gives your IT team direct experience with the tool before they are expected to support it.

Passwork deploys on-premise or in the EU cloud, so the pilot environment mirrors your production setup exactly — no separate infrastructure required. Your IT team can validate the vault structure, test AD sync, and confirm audit log output before rolling out to the rest of the organization.

Step 2: Integrate with Active Directory or LDAP

Integrating with Active Directory or LDAP is the single most important technical step. AD/LDAP integration automates user provisioning: new employees appear in the vault on their first day, with access determined by their AD group membership. When an AD account is disabled (at offboarding) all associated vault access is revoked immediately. No manual offboarding ticket. No two-week queue. No former employee with active access to your staging environment.

This matters because the alternative is a manual process that doesn't scale. When you have 200 employees and 40 shared credential groups, tracking who has access to what without automated sync becomes a guessing game rather than a governance process.

Passwork's AD and LDAP integration handles this natively. Group membership in AD maps directly to vault permissions — when someone moves from the Development team to Operations, their vault access updates automatically on the next sync.

Step 3: Train the team on the new workflow 

The secure path must be faster than the insecure workaround. If sharing a credential through a password manager takes 5 minutes while sharing it via Slack takes 5 seconds, people will use Slack. Training should focus on the three most common scenarios: 

1. Sharing a credential with a new team member. 
2. Granting temporary access to a contractor through a one-time link, and revoking access when a project ends. 
3. Keeping it task-oriented rather than policy-oriented.

Keep it task-oriented rather than policy-oriented. In Passwork, all three scenarios take under a minute from the vault interface — generating a one-time link for a contractor requires two clicks and produces a URL that expires automatically after first use or after a defined time window. That speed is what makes adoption stick.

Step 4: Establish ongoing monitoring and quarterly access reviews 

Schedule quarterly reviews to identify stale permissions, unused credentials, and accounts that were never properly offboarded. Audit logs make this tractable: the review becomes a structured query rather than a manual investigation.

You are looking for accounts that haven't been accessed in 90 days, credentials that haven't been rotated since a known compromise window, and contractor accounts that should have expired. Passwork's security audit tools surface these automatically — weak passwords, inactive accounts, and over-privileged users appear in a single report rather than requiring a manual sweep across every vault.

Conclusion

Secure password sharing is an access governance problem. Moving credentials into a vault is the first step. RBAC, audit logs, phishing-resistant MFA, and AD integration are what separate a compliant, auditable system from a slightly more organized version of the same risk.

The 4-step password governance model gives you a workable sequence: pilot with IT, connect to AD, train on the actual workflow, review quarterly. Skip AD integration and offboarding stays manual. Skip training and people keep using Slack.

If your password policy predates August 2025, it needs a review. If your organization is in scope for NIS2 and cannot produce access logs on demand, the gap is real, measurable, and fixable. The tooling to close it exists — the question is whether it fits your infrastructure and compliance requirements.

Passwork is built for exactly that context: organizations that need full credential governance without surrendering data to a third-party cloud. It deploys on-premise or in the EU cloud, integrates natively with AD and LDAP, and produces the audit trails NIS2 auditors ask for by default. If the 4-step model described in this article is where you want to land, Passwork is the infrastructure that makes each step operational.

Frequently Asked Questions

Insecure password sharing: 2026 risks and secure solutions

Every time a credential moves through Slack or email, you lose accountability, audit trail, and compliance posture in one step. This guide covers the real risks of insecure password sharing in 2026, why employees do it anyway, and how to migrate to vault-mediated access without disrupting your team.

Passwork BlogAlex Muntyan

Password chaos: Why it’s a business problem and how to fix it

A forgotten password costs $70. A breach costs $4.44 million. Both start the same way — credentials shared over Slack, stored in spreadsheets, never rotated. Here’s what password chaos actually costs and how to eliminate it.

Passwork BlogAlex Muntyan

Password management for teams: The fix every SMB needs

Storing passwords in Slack and browsers exposes your business to breaches. Discover why personal tools fail teams, how to securely offboard departing employees in one click, and why the latest NIST guidelines recommend against forced password rotation.

Passwork BlogAlex Muntyan

Team-Passwortverwaltung bezeichnet die Praxis, Zugangsdaten innerhalb einer Gruppe mit einem dedizierten Tool (Passwort-Manager) zu speichern, zu organisieren und zu teilen — anstelle von Messengern, Tabellenkalkulationen oder individuellen Browser-Tresoren. Richtig umgesetzt erhält jedes Teammitglied Zugriff auf genau das, was es benötigt, nicht mehr, mit einem vollständigen Audit-Trail darüber, wer wann auf was zugegriffen hat.

Dieser Leitfaden behandelt die tatsächlichen Probleme, auf die Teams stoßen, wenn sie Zugangsdaten ohne ein geeignetes System teilen, worauf Sie bei einer Lösung achten sollten, wie Passwork jede Herausforderung adressiert und wie Sie eine Migration durchführen, ohne Ihr Team zu beeinträchtigen.

Wichtige Erkenntnisse

• Missbrauch von Zugangsdaten tritt in 39 % aller Sicherheitsverletzungen auf und ist damit die am weitesten verbreitete Technik über die gesamte Angriffskette hinweg — nicht nur beim initialen Zugriff.
• Die drei Fehlerarten beim informellen Teilen von Zugangsdaten sind Sichtbarkeitslücken, schleichende Zugriffsausweitung und Offboarding-Versäumnisse. Alle drei sind mit einem strukturierten Passwort-Manager vermeidbar.
• NIST SP 800-63B Rev. 4 hat die Regeln geändert: mindestens 15 Zeichen für Passwörter, keine obligatorischen Komplexitätsanforderungen und kein periodisches Ablaufdatum. Viele Organisationen arbeiten noch mit Richtlinien, die allen drei Punkten widersprechen.
• Effektive Team-Passwortverwaltung erfordert mehr als nur Speicherung: RBAC, Audit-Logs, AD/LDAP-Integration, SSO und sicheres externes Teilen sind für jedes Team, das über eine Handvoll Personen hinausgeht, unverzichtbar.
• Offboarding ist ein Sicherheitsereignis, keine HR-Formalität. Eine 7-Schritte-Checkliste für Zugangsdaten, die am oder vor dem letzten Arbeitstag eines Mitarbeiters durchgeführt wird, schließt die Lücken, die die meisten Vorfälle ausnutzen.
• Migration gelingt oder scheitert am Change Management, nicht an der Technologie. Der häufigste Fehler ist, die alte Tabellenkalkulation nach dem Rollout weiter zugänglich zu lassen.

Die Kosten des informellen Teilens von Zugangsdaten

Die meisten Teams beginnen mit einem geteilten Google Sheet, einer Slack-Nachricht oder einem Klebezettel an der Serverraumtür. Es funktioniert. Bis es nicht mehr funktioniert.

Die durchschnittlichen Kosten einer Datenschutzverletzung sanken laut dem IBM Cost of a Data Breach Report 2025 auf 4,44 Millionen US-Dollar — der erste Rückgang seit fünf Jahren. Das sind immer noch 4,44 Millionen US-Dollar pro Vorfall. Und gestohlene oder kompromittierte Zugangsdaten bleiben tief in der Durchführung von Angriffen verankert: Der Verizon Data Breach Investigations Report 2026 stellte fest, dass der Missbrauch von Zugangsdaten irgendwann in 39 % aller Sicherheitsverletzungen auftritt — die häufigste Technik im gesamten Datensatz.

Das Problem des informellen Teilens hat drei unterschiedliche Fehlerarten:

1. Sichtbarkeitslücken. Wenn ein Passwort in einem Slack-Thread existiert, gibt es keine Aufzeichnung darüber, wer es hat, wer es weitergeleitet hat oder ob es geändert wurde. Wenn diese Zugangsdaten später kompromittiert werden, können Sie den zeitlichen Ablauf nicht rekonstruieren.
2. Schleichende Zugriffsausweitung. Tabellenkalkulationen erzwingen keine Zugriffsgrenzen. Ein Entwickler, der im Januar ein Datenbankpasswort benötigte, hat im Dezember immer noch das gesamte Sheet — einschließlich Zugangsdaten für Systeme, die er nie berührt hat, und Accounts, auf die er keinen Zugriff haben sollte.
3. Offboarding-Versäumnisse. Hier verursacht informelles Teilen den größten Schaden. Wenn ein Mitarbeiter das Unternehmen verlässt, hat die IT kein zuverlässiges Inventar dessen, worauf er Zugriff hatte. Die Standardreaktion (jedes geteilte Passwort ändern) ist sowohl störend als auch selten vollständig. Einige Zugangsdaten werden übersehen. Einige werden wochenlang nicht geändert.

Eine Huntress-Studie von 2024 ergab, dass 46 % der Menschen in diesem Jahr ein Passwort gestohlen wurde. Für Organisationen, die sich auf geteilte Tabellenkalkulationen und Chat-Nachrichten verlassen, multipliziert sich diese Gefährdung über jeden Account in der Datei.

Was Teams wirklich von einem Passwort-Manager benötigen

Bevor Sie ein Tool evaluieren, ist es hilfreich, die Anforderungen klar zu definieren. Die folgende Liste spiegelt wider, was IT-Manager und Sicherheitsteams durchweg als unverzichtbar identifizieren.

Ein zentrales, strukturiertes Repository

Zugangsdaten, die über die Browser und persönlichen Tresore einzelner Personen verstreut sind, sind für die Organisation praktisch unsichtbar. Ein Team-Passwort-Manager benötigt ein einziges, durchsuchbares Repository, auf das das gesamte Team zugreifen kann — organisiert nach Projekt, System oder Abteilung, mit einheitlicher Benennung und Tagging.

Flexible, granulare Zugriffskontrolle

Nicht jeder benötigt alles. Ein Junior-Entwickler braucht keine Produktionsdatenbank-Zugangsdaten. Ein externer Dienstleister braucht keine internen Admin-Accounts. Rollenbasierte Zugriffskontrolle (RBAC) ermöglicht es Ihnen zu definieren, wer Zugangsdaten auf Tresor- oder Ordnerebene lesen, bearbeiten oder verwalten darf — und diese Grenzen automatisch durchzusetzen.

Sichere Freigabemechanismen

Manchmal müssen Sie Zugangsdaten mit jemandem außerhalb Ihrer Organisation teilen: einem Anbieter, einem externen Dienstleister, einem Partner. Diese per E-Mail oder Chat zu versenden ist ein Sicherheitsvorfall, der nur darauf wartet zu passieren. Das richtige Tool bietet zeitlich begrenzte Einmal-Links, die nach dem ersten Zugriff oder nach einem festgelegten Zeitfenster ablaufen.

Aktivitätsüberwachung und Audit-Logs

Compliance-Frameworks einschließlich SOC 2 Trust Services Criteria CC6.1 und ISO 27001 Annex A.9 erfordern dokumentierte Nachweise darüber, wer wann auf was zugegriffen hat. Ein Audit-Log ist nicht optional. Es ist der Nachweis, der Sie bei einem Vorfall oder einer Prüfung vor Schwierigkeiten bewahrt.

Integration in bestehende IT-Infrastruktur

Ein Passwort-Manager, der einen separaten Identitätssilo erfordert, schafft mehr Arbeit, nicht weniger. Integration mit Active Directory (AD), LDAP und SSO-Anbietern bedeutet, dass sich Benutzer mit den Zugangsdaten authentifizieren, die sie bereits haben, und Bereitstellung/Deprovisionierung automatisch erfolgt, wenn HR das Verzeichnis aktualisiert.

NIST SP 800-63B Rev. 4: Was sich 2025 geändert hat

NIST SP 800-63B Rev. 4 (2025) aktualisiert die Richtlinien für digitale Identität, auf die sich die meisten Unternehmenssicherheitsrichtlinien beziehen. Mehrere Änderungen wirken sich direkt darauf aus, wie Organisationen ihre Passwortrichtlinien konfigurieren sollten.

Der Wechsel von sollte nicht zu darf nicht bei Komplexitätsregeln ist bedeutsam. Organisationen, die immer noch „muss eine Zahl, ein Symbol, einen Großbuchstaben enthalten"-Richtlinien durchsetzen, sind nun nicht mehr mit den NIST-Empfehlungen konform — und das aus gutem Grund. Forschungen zeigen durchweg, dass erzwungene Komplexitätsregeln vorhersehbare Muster erzeugen: Password1!, Summer2024@, Qwerty#1. Länge ist ein zuverlässigeres Sicherheitssignal als Zeichenvielfalt.

Das 15-Zeichen-Minimum folgt der gleichen Logik. Eine 15 Zeichen lange Passphrase wie correct-horse-battery-staple ist weitaus widerstandsfähiger gegen Brute-Force-Angriffe als ein 8-Zeichen-Passwort wie P@ssw0rd.

Die verpflichtende Prüfung auf kompromittierte Passwörter bedeutet, dass Organisationen einen Mechanismus benötigen, um neue Passwörter zum Zeitpunkt der Erstellung oder des Zurücksetzens gegen bekannte Breach-Datenbanken zu prüfen — nicht erst beim Login.

Wie Passwork jede Herausforderung adressiert

Die Verwaltung von Zugangsdaten erfordert einen ständigen Ausgleich zwischen strengen Sicherheitskontrollen und operativer Geschwindigkeit. Passwork löst diese Infrastrukturherausforderungen durch direkte Integration in Ihre bestehenden Verzeichnisdienste, Automatisierung der Zugriffskontrolle und vollständige Transparenz über die Nutzung von Zugangsdaten.

Datenorganisation: Tresore, Ordner, Tags und Verlauf

Passwork strukturiert Zugangsdaten in einer Hierarchie aus Tresoren und Ordnern. Ein Tresor kann einer Abteilung oder einem Projekt entsprechen. Ordner darin gruppieren zusammengehörige Zugangsdaten. Tags fügen eine übergreifende Dimension hinzu: Sie können Zugangsdaten nach Umgebung (Produktion, Staging, Entwicklung) oder nach Systemtyp (Datenbank, Cloud, Netzwerk) taggen — unabhängig davon, wo sie in der Ordnerstruktur liegen.

Jeder Zugangsdateneintrag pflegt einen vollständigen Änderungsverlauf. Wenn ein Passwort letzten Dienstag um 14:32 Uhr von einem bestimmten Benutzer rotiert wurde, wird das aufgezeichnet. Wenn Sie eine Änderung rückgängig machen oder prüfen müssen, ist der Verlauf vorhanden. Dies ist die Art von Nachverfolgbarkeit, nach der SOC 2- und ISO 27001-Prüfer fragen.

Rollenbasierter Zugriff: Trennung von Datenzugriff und Systemadministration

Passwork trennt den Datenzugriff von der administrativen Kontrolle durch zwei unterschiedliche Mechanismen: Benutzergruppen und Systemrollen.

• Benutzergruppen steuern den Datenzugriff — Dieses Modell verwaltet den Zugriff auf Tresore und Ordner. Sie weisen einer Gruppe (wie dem DevOps-Team) Berechtigungen zu, und jedes Mitglied erbt diese Berechtigungen automatisch. Wenn jemand dem Team beitritt, erhält er Zugriff. Wenn er geht, entfernen Sie ihn aus der Gruppe und der Zugriff wird für jeden Tresor und Ordner, den diese Gruppe berührt, widerrufen.
• Systemrollen definieren administrative Privilegien — Vordefinierte und benutzerdefinierte Rollen verwalten den Zugriff auf Systemeinstellungen, LDAP-Konfigurationen und globale Audit-Logs. Dies stellt sicher, dass Standardbenutzer nur mit ihren zugewiesenen Tresoren interagieren, während Administratoren die Plattforminfrastruktur verwalten. Unter dem Zero-Knowledge-Modell können Systemadministratoren nicht auf tatsächliche Passwörter zugreifen.

Berechtigungen innerhalb von Tresoren sind granular: Nur Lesen, Bearbeiten und Admin. Ein Nur-Lesen-Benutzer kann Zugangsdaten abrufen, aber nicht ändern oder löschen. Ein Admin kann die Struktur und Mitgliedschaft des Tresors verwalten. Sie können diese Berechtigungen über verschiedene Tresore für denselben Benutzer mischen: Ein Entwickler könnte Bearbeitungszugriff auf den Staging-Tresor und Nur-Lesen-Zugriff auf Produktion haben.

Diese Struktur löst das Offboarding-Problem direkt. Wenn ein Mitarbeiter das Unternehmen verlässt, deaktivieren Sie sein Konto. Seine Gruppenmitgliedschaften werden entfernt. Der Zugriff ist weg. Kein manuelles Inventar von „worauf hatte diese Person Zugriff?" erforderlich.

Sicherheit und Integration: 2FA, AD/LDAP und SSO

Passwork erzwingt Zwei-Faktor-Authentifizierung (2FA) auf Organisationsebene. Administratoren können sie für alle Benutzer verpflichtend machen, nicht nur optional. Unterstützte Methoden umfassen TOTP-Authenticator-Apps, Hardware-Sicherheitsschlüssel, Biometrie und Passkeys.

Für Organisationen, die Active Directory oder LDAP betreiben, synchronisiert Passwork Benutzer und Gruppen direkt aus dem Verzeichnis. Benutzerbereitstellung und -deprovisionierung folgen dem Verzeichnis: Wenn HR ein Konto in AD deaktiviert, wird der entsprechende Passwork-Zugriff automatisch widerrufen. Dies eliminiert den manuellen Schritt, den die meisten Offboarding-Prozesse übersehen.

SSO-Integration über SAML bedeutet, dass sich Benutzer über Ihren bestehenden Identity Provider authentifizieren. Keine separaten Passwork-Zugangsdaten zu verwalten, kein Passwort-Wiederverwendungsrisiko und keine Reibungsverluste für den Endbenutzer.

Externe Freigabe: Sichere Einmal-Links

Das Teilen von Zugangsdaten mit einer externen Partei (einem Auftragnehmer, einem Anbieter, einem Penetrationstester), ohne Ihren Tresor preiszugeben, ist ein häufiges operatives Erfordernis. Passwork handhabt dies mit zeitlich begrenzten Einmal-Freigabelinks. Sie generieren einen Link für bestimmte Zugangsdaten, legen ein Ablaufdatum fest (Stunden, Tage oder ein einziger Zugriff) und senden ihn. Sobald der Link abläuft oder verwendet wird, ist er weg. Der Empfänger erhält niemals Zugriff auf den Tresor selbst.

Dies unterscheidet sich kategorisch vom Einfügen eines Passworts in eine E-Mail. Der Link ist während der Übertragung verschlüsselt, das Zugriffsereignis wird protokolliert, und Sie können ihn vor Ablauf widerrufen, wenn sich die Umstände ändern.

Auditing: Aktivitätsprotokolle und Sicherheits-Dashboard

Jede Aktion in Passwork (Erstellung, Änderung, Zugriff, Freigabe, Löschung von Zugangsdaten) wird im Aktivitätsprotokoll mit Zeitstempel und Benutzerzuordnung aufgezeichnet. Das Protokoll ist exportierbar und kann über Syslog oder Windows Event Viewer-Integration an ein SIEM weitergeleitet werden.

Das Sicherheits-Dashboard zeigt schwache Passwörter, alte Passwörter und Zugangsdaten an, die innerhalb eines definierten Zeitraums nicht rotiert wurden. Dies gibt dem Sicherheitsteam einen kontinuierlichen Überblick über die Zugangsdaten-Hygiene ohne manuelle Audits. Wenn Zugangsdaten als schwach oder wiederverwendet erscheinen, ist dies für den Administrator sichtbar, nicht in einer Tabellenkalkulation vergraben.

Self-hosted vs. Cloud: Welche Bereitstellung passt zu Ihrer Organisation

Passwork ist in zwei Bereitstellungsmodellen verfügbar. Die Wahl zwischen ihnen hängt von Ihren Compliance-Anforderungen, IT-Kapazitäten und Risikotoleranz ab.

Self-hosted-Bereitstellung ist sinnvoll, wenn Ihre Organisation unter strengen Datensouveränitätsanforderungen arbeitet: Behörden, Finanzinstitute, Gesundheitsorganisationen und Unternehmen, die branchenspezifischen Vorschriften unterliegen, die verbieten, dass Daten die interne Infrastruktur verlassen. Sie betreiben Passwork auf Ihren eigenen Servern (Linux mit Docker oder Windows Server), und alle Zugangsdaten werden mit AES-256 verschlüsselt, bevor sie jemals die Festplatte berühren. Die Verschlüsselungsschlüssel bleiben bei Ihnen.

Passwork Cloud ist die richtige Wahl, wenn Sie schnell einsatzbereit sein müssen und nicht die IT-Kapazität haben, um eine On-Premises-Infrastruktur zu verwalten. Die Cloud-Instanz wird innerhalb der EU-Jurisdiktion gehostet und verwendet dieselbe Zero-Knowledge-, clientseitige Verschlüsselungsarchitektur wie die Self-hosted-Version. Passwork Cloud ist ISO 27001 zertifiziert und DSGVO- sowie NIS2-konform.

Beide Modelle unterstützen den vollständigen Funktionsumfang: RBAC, AD/LDAP-Integration, SSO, Audit-Logs und die REST API.

Die Offboarding-Checkliste: Zugangsdaten sichern, wenn jemand das Unternehmen verlässt

Die meisten Sicherheitsvorfälle im Zusammenhang mit ausscheidenden Mitarbeitern passieren, weil Offboarding als HR-Prozess behandelt wird, nicht als Sicherheitsprozess. Die folgenden Schritte sollten parallel zu oder vor dem letzten Arbeitstag des Mitarbeiters durchgeführt werden.

Die 7-Schritte-Offboarding-Checkliste für Zugangsdaten

1. Deaktivieren Sie das Konto sofort. In Passwork widerruft die Deaktivierung eines Benutzerkontos sofort alle Tresor- und Ordnerzugriffe. Wenn AD/LDAP-Synchronisierung konfiguriert ist, geschieht dies automatisch, wenn das Verzeichniskonto deaktiviert wird.
2. Prüfen Sie geteilte Zugangsdaten. Überprüfen Sie das Aktivitätsprotokoll auf Zugangsdaten, auf die der ausscheidende Mitarbeiter in den letzten 30-90 Tagen zugegriffen hat. Dies ist Ihre Rotationsliste.
3. Rotieren Sie Zugangsdaten, auf die er Bearbeitungszugriff hatte. Nur-Lesen-Zugriff ist risikoärmer; Bearbeitungszugriff bedeutet, dass er die Zugangsdaten hätte kopieren oder ändern können. Rotieren Sie diese zuerst.
4. Widerrufen Sie alle aktiven Freigabelinks. Prüfen Sie auf nicht abgelaufene Einmal-Links, die der Mitarbeiter generiert hat. Widerrufen Sie sie vor dem letzten Arbeitstag.
5. Übertragen Sie die Tresor-Eigentümerschaft. Wenn der Mitarbeiter Tresore besaß oder administrierte, übertragen Sie die Eigentümerschaft auf einen anderen Administrator, bevor das Konto deaktiviert wird.
6. Prüfen Sie auf persönliche Tresore. Einige Benutzer speichern Arbeitszugangsdaten in persönlichen Browser-Tresoren oder Passwort-Manager-Konten außerhalb des Unternehmenstools. Dies ist Shadow IT. Adressieren Sie dies in Ihrer Richtlinie, nicht erst beim Offboarding.
7. Dokumentieren Sie den Prozess. Protokollieren Sie die durchgeführten Offboarding-Aktionen, die rotierten Zugangsdaten und den Zeitstempel. Dies ist der Nachweis für ein zukünftiges Audit.

Der Unterschied zwischen einem sauberen Offboarding und einem Zugangsdaten-Vorfall liegt meist darin, ob Schritt 2 vor oder nach dem Ausscheiden des Mitarbeiters durchgeführt wurde.

Best Practices für Team-Passwortverwaltung 2026

Die Implementierung eines Passwort-Managers ist nur der erste Schritt zur Absicherung der Infrastruktur Ihrer Organisation. Um eine widerstandsfähige Sicherheitslage aufzubauen, müssen Sie Ihre täglichen Arbeitsabläufe mit modernen Authentifizierungsstandards in Einklang bringen und Gewohnheiten eliminieren, die Zugangsdaten externen Bedrohungen aussetzen.

Die folgenden Praktiken konzentrieren sich auf die Reduzierung der Angriffsfläche, die Sicherung der Maschine-zu-Maschine-Kommunikation und die Etablierung einer nahtlosen Benutzererfahrung, die unsichere Workarounds auf natürliche Weise eliminiert.

Adressieren Sie Shadow IT, bevor es Sie adressiert

Shadow IT im Bereich der Zugangsdatenverwaltung bedeutet, dass Mitarbeiter persönliche Passwort-Manager, im Browser gespeicherte Passwörter oder geteilte Tabellenkalkulationen außerhalb des genehmigten Tools verwenden. Laut Huntress (2024) identifizieren mehr als ein Viertel der Cybersicherheitsexperten Mitarbeiter, die dieselben oder schwache Passwörter verwenden, als ihre problematischste Sicherheitsgewohnheit.

Die Lösung ist kein Richtlinienmemo. Sie besteht darin, das genehmigte Tool einfacher zu bedienen als den Workaround. Browser-Erweiterungen, mobile Apps und Autofill-Unterstützung beseitigen die Reibung, die Menschen zu informellen Alternativen treibt. Wenn die Nutzung eines Passwort-Managers schneller ist als das Öffnen einer Tabellenkalkulation, werden die meisten Mitarbeiter ihn verwenden.

Wenden Sie die NIST Rev. 4-Mindestanforderungen auf Ihre Passwortrichtlinie an

Aktualisieren Sie die Passwortrichtlinie Ihrer Organisation entsprechend NIST SP 800-63B Rev. 4 (2025):

• Mindestens 15 Zeichen für Passwörter, die als einziger Authentifikator verwendet werden
• Keine obligatorischen Komplexitätsregeln (keine „muss eine Zahl und ein Symbol enthalten"-Anforderungen)
• Kein periodisches Ablaufdatum; Rotation nur bei bestätigter oder vermuteter Kompromittierung
• Neue Passwörter gegen eine Datenbank kompromittierter Zugangsdaten prüfen

Das Sicherheits-Dashboard von Passwork markiert schwache Passwörter, die Ihre definierten Schwellenwerte nicht erfüllen. Kombinieren Sie dies mit einer Richtlinie, die aktuelle NIST-Empfehlungen widerspiegelt, und Sie haben eine vertretbare Zugangsdaten-Hygiene-Position.

Behandeln Sie nicht-menschliche Zugangsdaten als vollwertige Bürger

API-Schlüssel, Service-Account-Passwörter, Datenbankverbindungszeichenfolgen und Deployment-Tokens sind ebenfalls Zugangsdaten. Sie sind oft gefährlicher als menschliche Zugangsdaten, weil sie langlebig sind, selten rotiert werden und häufig in Code oder Konfigurationsdateien eingebettet sind.

Passwork handhabt Secrets (Maschinen-Zugangsdaten) zusammen mit menschlichen Passwörtern, mit denselben RBAC-, Audit-Logging- und Rotationsverfolgungsfunktionen. Die technischen Leitfäden von Passwork behandeln Secrets-Management für DevOps-Workflows, einschließlich CI/CD-Pipeline-Integration.

Erzwingen Sie 2FA flächendeckend

Der State of Passkeys Report 2026 der FIDO Alliance ergab, dass 5 Milliarden Passkeys weltweit aktiv genutzt werden und 68 % der Organisationen Passkeys für die Mitarbeiterauthentifizierung einführen, pilotieren oder ausrollen. Passkeys repräsentieren die Entwicklungsrichtung, aber in der Zwischenzeit ist TOTP-basierte 2FA auf jedem Account der Mindeststandard.

In Passwork können Administratoren 2FA auf Organisationsebene verpflichtend machen. Es gibt keine Opt-out-Möglichkeit für Benutzer. Wenn Ihre aktuelle Einrichtung 2FA optional macht, ist das eine Richtlinienlücke, die es wert ist, heute geschlossen zu werden.

Migration Ihres Teams zu einem zentralen Passwort-Manager

Migration scheitert, wenn sie als technisches Projekt behandelt wird statt als Change-Management-Projekt. Die technischen Schritte sind unkompliziert. Das Team dazu zu bringen, die alten Methoden nicht mehr zu verwenden, erfordert mehr Arbeit.

Das 5-Phasen-Migrationsframework

1. Inventur (Woche 1-2). Identifizieren Sie alle derzeit genutzten Zugangsdatenspeicher: Tabellenkalkulationen, geteilte Browser-Profile, persönliche Passwort-Manager, Chat-Nachrichten. Gehen Sie nicht davon aus, dass Sie alle kennen; fragen Sie das Team. Das Ziel ist ein vollständiges Bild, bevor Sie etwas verschieben.
2. Strukturdesign (Woche 2-3). Definieren Sie Ihre Tresor- und Ordnerhierarchie, bevor Sie etwas importieren. Eine flache Struktur mit 200 Zugangsdaten in einem Tresor ist kaum besser als eine Tabellenkalkulation. Gestalten Sie sie entsprechend der tatsächlichen Arbeitsweise Ihres Teams: nach Projekt, nach System, nach Umgebung oder nach Team.
3. Import und Validierung (Woche 3-4). Importieren Sie Zugangsdaten aus bestehenden Quellen mit den Import-Tools von Passwork. Validieren Sie, dass Einträge vollständig und korrekt kategorisiert sind. Weisen Sie Eigentümerschaft und Zugriffsberechtigungen zu, bevor Sie die Migration ankündigen.
4. Schulung und Rollout (Woche 4-5). Führen Sie eine kurze Sitzung durch (30 Minuten reichen für die meisten Teams), die die Browser-Erweiterung behandelt, wie man Zugangsdaten abruft und wie man sie teilt. Das Ziel ist, die Ausrede „Ich weiß nicht, wie man es benutzt" zu beseitigen.
5. Alte Speicher außer Betrieb nehmen (Woche 6+). Setzen Sie eine feste Frist für die Abschaltung der Tabellenkalkulation oder des geteilten Ordners. Kündigen Sie sie im Voraus an. Nach der Frist löschen Sie den alten Speicher und bestätigen Sie mit dem Team, dass das neue System die einzige Wahrheitsquelle ist.

Der häufigste Migrationsfehler ist, das alte System „nur für den Fall" weiter zugänglich zu lassen. Solange die Tabellenkalkulation existiert, werden einige Leute sie verwenden.

In die Praxis umsetzen

Die Lücke zwischen „wir haben einen Passwort-Manager" und „unsere Zugangsdatensicherheit ist tatsächlich unter Kontrolle" ist größer, als die meisten Teams erwarten. Das Tool ist der einfache Teil. Die Arbeit sind die Tresor-Struktur, die Zugriffsrichtlinie, der Offboarding-Prozess und die laufende Hygiene: sicherstellen, dass schwache Zugangsdaten rotiert werden und dass die Tabellenkalkulation, die jemand in der Finanzabteilung noch verwendet, außer Betrieb genommen wird.

Beginnen Sie mit der Inventur. Sie können nicht sichern, was Sie nicht sehen können. Sobald Sie wissen, welche Zugangsdaten existieren und wo sie sich befinden, folgt jeder andere Schritt logisch.

Häufig gestellte Fragen

Passwortverwaltung für Teams: Die Lösung, die jedes KMU braucht

Das Speichern von Passwörtern in Slack und Browsern setzt Ihr Unternehmen Sicherheitsverletzungen aus. Erfahren Sie, warum persönliche Tools für Teams versagen, wie Sie ausscheidende Mitarbeiter mit einem Klick sicher offboarden und warum die neuesten NIST-Richtlinien von erzwungener Passwortrotation abraten.

Passwork BlogAlex Muntyan

Passwort-Chaos: Warum es ein Geschäftsproblem ist und wie man es behebt

Ein vergessenes Passwort kostet 70 US-Dollar. Eine Sicherheitsverletzung kostet 4,44 Millionen US-Dollar. Beide beginnen auf die gleiche Weise — Zugangsdaten werden über Slack geteilt, in Tabellenkalkulationen gespeichert, nie rotiert. Hier erfahren Sie, was Passwort-Chaos wirklich kostet und wie man es eliminiert.

Passwork BlogAlex Muntyan

Shadow IT vs. Shadow AI: Warum KI die größere Bedrohung ist

Mitarbeiter nutzen KI-Tools, die Sie nicht genehmigt haben, auf Konten, die Sie nicht überwachen können, mit Daten, die Sie nicht wiederherstellen können. Hier erfahren Sie, wie das Risiko tatsächlich aussieht und was Governance adressieren muss.

Passwork BlogAlex Muntyan

La gestión de contraseñas en equipo es la práctica de almacenar, organizar y compartir credenciales entre un grupo utilizando una herramienta dedicada (gestor de contraseñas), en lugar de mensajeros, hojas de cálculo o bóvedas individuales del navegador. Cuando se hace correctamente, proporciona a cada miembro del equipo acceso exactamente a lo que necesita, nada más, con un registro completo de auditoría de quién accedió a qué y cuándo.

Esta guía cubre los problemas reales que enfrentan los equipos al compartir credenciales sin un sistema adecuado, qué buscar en una solución, cómo Passwork aborda cada desafío y cómo ejecutar una migración sin interrumpir a su equipo.

Puntos clave

• El abuso de credenciales aparece en el 39% de todas las brechas, convirtiéndolo en la técnica más generalizada en toda la cadena de ataque — no solo en el acceso inicial.
• Los tres modos de fallo del intercambio informal de credenciales son las brechas de visibilidad, la expansión de alcance y los fallos en la baja de empleados. Los tres son prevenibles con un gestor de contraseñas estructurado.
• NIST SP 800-63B Rev. 4 ha cambiado las reglas: contraseñas de mínimo 15 caracteres, sin requisitos obligatorios de composición y sin caducidad periódica. Muchas organizaciones todavía aplican políticas que contradicen las tres.
• La gestión efectiva de contraseñas en equipo requiere más que almacenamiento: RBAC, registros de auditoría, integración AD/LDAP, SSO y uso compartido externo seguro son innegociables para cualquier equipo más allá de un puñado de personas.
• La baja de empleados es un evento de seguridad, no una formalidad de RRHH. Una lista de verificación de credenciales de 7 pasos ejecutada en o antes del último día del empleado cierra las brechas que la mayoría de los incidentes explotan.
• La migración tiene éxito o fracasa en la gestión del cambio, no en la tecnología. El fallo más común es dejar la antigua hoja de cálculo en su lugar después del despliegue.

El costo del intercambio informal de credenciales

La mayoría de los equipos comienzan con una hoja de cálculo compartida en Google, un mensaje de Slack o una nota adhesiva en la puerta de la sala de servidores. Funciona. Hasta que deja de funcionar.

El costo promedio de una brecha de datos bajó a $4.44 millones en 2025, la primera disminución en cinco años, según el Informe de Costo de una Brecha de Datos 2025 de IBM. Eso sigue siendo $4.44 millones por incidente. Y las credenciales robadas o comprometidas siguen profundamente incrustadas en cómo se desarrollan los ataques: el Informe de Investigaciones de Brechas de Datos 2026 de Verizon encontró que el abuso de credenciales aparece en algún momento en el 39% de todas las brechas, convirtiéndolo en la técnica más generalizada en el conjunto de datos.

El problema del intercambio informal tiene tres modos de fallo distintos:

1. Brechas de visibilidad. Cuando una contraseña vive en un hilo de Slack, no hay registro de quién la tiene, quién la reenvió o si fue cambiada. Si esa credencial se ve comprometida posteriormente, no se puede reconstruir la línea de tiempo.
2. Expansión de alcance. Las hojas de cálculo no imponen límites de acceso. Un desarrollador que necesitaba una contraseña de base de datos en enero todavía tiene toda la hoja en diciembre, incluyendo credenciales para sistemas que nunca ha tocado y cuentas a las que no tiene por qué acceder.
3. Fallos en la baja de empleados. Aquí es donde el intercambio informal causa más daño. Cuando un empleado se va, TI no tiene un inventario confiable de a qué tenía acceso. La respuesta estándar (cambiar cada contraseña compartida) es tanto disruptiva como raramente completa. Algunas credenciales se omiten. Algunas no se cambian durante semanas.

Un estudio de Huntress de 2024 encontró que el 46% de las personas tuvieron una contraseña robada ese año. Para las organizaciones que dependen de hojas de cálculo compartidas y mensajes de chat, esa exposición se multiplica en cada cuenta del archivo.

Lo que los equipos realmente necesitan de un gestor de contraseñas

Antes de evaluar cualquier herramienta, es útil definir los requisitos claramente. La lista a continuación refleja lo que los gerentes de TI y los equipos de seguridad identifican consistentemente como innegociable.

Un repositorio centralizado y estructurado

Las credenciales dispersas en los navegadores individuales y bóvedas personales son funcionalmente invisibles para la organización. Un gestor de contraseñas de equipo necesita un repositorio único y con capacidad de búsqueda al que todo el equipo pueda acceder, organizado por proyecto, sistema o departamento, con nomenclatura y etiquetado consistentes.

Control de acceso flexible y granular

No todos necesitan todo. Un desarrollador junior no necesita credenciales de bases de datos de producción. Un contratista no necesita cuentas de administrador internas. El control de acceso basado en roles (RBAC) permite definir quién puede leer, editar o administrar credenciales a nivel de bóveda o carpeta, e imponer esos límites automáticamente.

Mecanismos de uso compartido seguros

A veces es necesario compartir una credencial con alguien fuera de su organización: un proveedor, un contratista, un socio. Enviarla por correo electrónico o chat es un evento de seguridad esperando a ocurrir. La herramienta adecuada proporciona enlaces de tiempo limitado y un solo uso que expiran después del primer acceso o después de un período establecido.

Monitoreo de actividad y registros de auditoría

Los marcos de cumplimiento, incluyendo SOC 2 Trust Services Criteria CC6.1 e ISO 27001 Anexo A.9, requieren evidencia documentada de quién accedió a qué y cuándo. Un registro de auditoría no es opcional. Es el rastro documental que lo mantiene fuera de problemas durante un incidente o una auditoría.

Integración con la infraestructura de TI existente

Un gestor de contraseñas que requiere un silo de identidad separado crea más trabajo, no menos. La integración con Active Directory (AD), LDAP y proveedores de SSO significa que los usuarios se autentican con las credenciales que ya tienen, y el aprovisionamiento/desaprovisionamiento ocurre automáticamente cuando RRHH actualiza el directorio.

NIST SP 800-63B Rev. 4: Qué cambió en 2025

NIST SP 800-63B Rev. 4 (2025) actualiza las directrices de identidad digital que la mayoría de las políticas de seguridad empresarial referencian. Varios cambios afectan directamente cómo las organizaciones deben configurar sus políticas de contraseñas.

El cambio de no debería a no deberá en las reglas de composición es significativo. Las organizaciones que todavía imponen políticas de «debe incluir un número, un símbolo, una letra mayúscula» ahora están fuera de alineación con la guía de NIST, y por buenas razones. La investigación muestra consistentemente que las reglas de complejidad forzada producen patrones predecibles: Password1!, Summer2024@, Qwerty#1. La longitud es una señal de seguridad más confiable que la diversidad de caracteres.

El mínimo de 15 caracteres refleja la misma lógica. Una frase de contraseña de 15 caracteres como correct-horse-battery-staple es mucho más resistente a ataques de fuerza bruta que una P@ssw0rd de 8 caracteres.

El requisito obligatorio de verificación de contraseñas comprometidas significa que las organizaciones necesitan un mecanismo para comprobar las nuevas contraseñas contra bases de datos de brechas conocidas en el momento de la creación o el restablecimiento, no solo al iniciar sesión.

Cómo Passwork aborda cada desafío

La gestión de credenciales requiere un equilibrio constante entre controles de seguridad estrictos y velocidad operativa. Passwork resuelve estos desafíos de infraestructura integrándose directamente en sus servicios de directorio existentes, automatizando el control de acceso y proporcionando visibilidad completa sobre el uso de credenciales.

Organización de datos: Bóvedas, carpetas, etiquetas e historial

Passwork estructura las credenciales en una jerarquía de bóvedas y carpetas. Una bóveda puede corresponder a un departamento o un proyecto. Las carpetas dentro de ella agrupan credenciales relacionadas. Las etiquetas añaden una dimensión transversal: puede etiquetar credenciales por entorno (producción, staging, desarrollo) o por tipo de sistema (base de datos, nube, red) independientemente de dónde se encuentren en el árbol de carpetas.

Cada entrada de credencial mantiene un historial completo de cambios. Si una contraseña fue rotada el martes pasado a las 14:32 por un usuario específico, eso queda registrado. Si necesita revertir o auditar un cambio, el historial está ahí. Este es el tipo de trazabilidad que los auditores de SOC 2 e ISO 27001 solicitan.

Acceso basado en roles: Separando el acceso a datos y la administración del sistema

Passwork separa el acceso a datos del control administrativo a través de dos mecanismos distintos: grupos de usuarios y roles del sistema.

• Los grupos de usuarios controlan el acceso a datos — Este modelo gestiona el acceso a bóvedas y carpetas. Se asignan permisos a un grupo (como el equipo de DevOps) y cada miembro hereda esos permisos automáticamente. Cuando alguien se une al equipo, obtiene acceso. Cuando se va, se le elimina del grupo y el acceso se revoca en cada bóveda y carpeta que ese grupo toca.
• Los roles del sistema definen privilegios administrativos — Los roles predefinidos y personalizados gestionan el acceso a la configuración del sistema, configuraciones LDAP y registros de auditoría globales. Esto asegura que los usuarios estándar solo interactúen con sus bóvedas asignadas, mientras que los administradores gestionan la infraestructura de la plataforma. Bajo el modelo Zero-Knowledge, los administradores del sistema no pueden acceder a las contraseñas reales.

Los permisos dentro de las bóvedas son granulares: solo lectura, editar y admin. Un usuario de solo lectura puede recuperar credenciales pero no puede modificarlas o eliminarlas. Un admin puede gestionar la estructura y membresía de la bóveda. Puede mezclar estos permisos en diferentes bóvedas para el mismo usuario: un desarrollador puede tener acceso de edición a la bóveda de staging y acceso de solo lectura a producción.

Esta estructura resuelve directamente el problema de la baja de empleados. Cuando un empleado se va, se desactiva su cuenta. Sus membresías de grupo se eliminan. El acceso desaparece. No se requiere ningún inventario manual de «¿a qué tenía acceso esta persona?».

Seguridad e integración: 2FA, AD/LDAP y SSO

Passwork impone la autenticación de dos factores (2FA) a nivel de organización. Los administradores pueden hacerla obligatoria para todos los usuarios, no solo opcional. Los métodos compatibles incluyen aplicaciones de autenticación TOTP, llaves de seguridad de hardware, biometría y passkeys.

Para las organizaciones que ejecutan Active Directory o LDAP, Passwork sincroniza usuarios y grupos directamente desde el directorio. El aprovisionamiento y desaprovisionamiento de usuarios sigue al directorio: cuando RRHH desactiva una cuenta en AD, el acceso correspondiente en Passwork se revoca automáticamente. Esto elimina el paso manual que la mayoría de los procesos de baja omiten.

La integración SSO vía SAML significa que los usuarios se autentican a través de su proveedor de identidad existente. No hay credenciales separadas de Passwork que gestionar, no hay riesgo de reutilización de contraseñas y no hay fricción para el usuario final.

Uso compartido externo: Enlaces seguros de un solo uso

Compartir una credencial con una parte externa (un contratista, un proveedor, un probador de penetración) sin exponer su bóveda es una necesidad operativa común. Passwork maneja esto con enlaces de uso compartido de tiempo limitado y un solo uso. Se genera un enlace para una credencial específica, se establece una caducidad (horas, días o un solo acceso) y se envía. Una vez que el enlace expira o se usa, desaparece. El destinatario nunca obtiene acceso a la bóveda en sí.

Esto es categóricamente diferente de pegar una contraseña en un correo electrónico. El enlace está cifrado en tránsito, el evento de acceso se registra y puede revocarlo antes de la caducidad si las circunstancias cambian.

Auditoría: Registros de actividad y panel de seguridad

Cada acción en Passwork (creación de credenciales, modificación, acceso, uso compartido, eliminación) se registra en el registro de actividad con una marca de tiempo y atribución de usuario. El registro es exportable y puede reenviarse a un SIEM vía Syslog o integración con Windows Event Viewer.

El panel de seguridad muestra contraseñas débiles, contraseñas antiguas y credenciales que no se han rotado en un período definido. Esto proporciona al equipo de seguridad una vista continua de la higiene de credenciales sin auditorías manuales. Cuando una credencial aparece como débil o reutilizada, es visible para el administrador, no enterrada en una hoja de cálculo.

Autoalojado vs. nube: Qué implementación se adapta a su organización

Passwork está disponible en dos modelos de implementación. La elección entre ellos depende de sus requisitos de cumplimiento, capacidad de TI y tolerancia al riesgo.

La implementación autoalojada tiene sentido cuando su organización opera bajo requisitos estrictos de soberanía de datos: agencias gubernamentales, instituciones financieras, organizaciones de salud y empresas sujetas a regulaciones sectoriales específicas que prohíben que los datos salgan de la infraestructura interna. Ejecuta Passwork en sus propios servidores (Linux con Docker o Windows Server), y todos los datos de credenciales se cifran con AES-256 antes de que toquen el disco. Las claves de cifrado permanecen con usted.

Passwork Cloud es la opción correcta cuando necesita estar operativo rápidamente y no tiene la capacidad de TI para gestionar infraestructura local. La instancia en la nube está alojada dentro de la jurisdicción de la UE y utiliza la misma arquitectura de cifrado zero-knowledge del lado del cliente que la versión autoalojada. Passwork Cloud tiene certificación ISO 27001 y cumple con GDPR y NIS2.

Ambos modelos soportan el conjunto completo de características: RBAC, integración AD/LDAP, SSO, registros de auditoría y la REST API.

La lista de verificación de baja: Asegurando las credenciales cuando alguien se va

La mayoría de los incidentes de seguridad de credenciales relacionados con empleados que se van ocurren porque la baja se trata como un proceso de RRHH, no como un proceso de seguridad. Los pasos a continuación deben ejecutarse en paralelo con, o antes del, último día del empleado.

La lista de verificación de credenciales de 7 pasos para la baja

1. Desactivar la cuenta inmediatamente. En Passwork, desactivar una cuenta de usuario revoca todo el acceso a bóvedas y carpetas instantáneamente. Si la sincronización AD/LDAP está configurada, esto ocurre automáticamente cuando la cuenta del directorio se desactiva.
2. Auditar las credenciales compartidas. Revisar el registro de actividad para las credenciales a las que el empleado que se va accedió en los últimos 30-90 días. Esta es su lista de rotación.
3. Rotar las credenciales a las que tenían acceso de edición. El acceso de solo lectura es de menor riesgo; el acceso de edición significa que podrían haber copiado o modificado la credencial. Rotar esas primero.
4. Revocar cualquier enlace de uso compartido activo. Verificar si hay enlaces de un solo uso no expirados que el empleado generó. Revocarlos antes del último día.
5. Reasignar la propiedad de la bóveda. Si el empleado era propietario o administrador de alguna bóveda, transferir la propiedad a otro administrador antes de que la cuenta sea desactivada.
6. Verificar bóvedas personales. Algunos usuarios almacenan credenciales de trabajo en bóvedas personales del navegador o cuentas de gestores de contraseñas fuera de la herramienta corporativa. Esto es shadow IT. Abordarlo en su política, no solo en la baja.
7. Documentar el proceso. Registrar las acciones de baja tomadas, las credenciales rotadas y la marca de tiempo. Esta es la evidencia para una auditoría futura.

La diferencia entre una baja limpia y un incidente de credenciales es generalmente si el paso 2 ocurrió antes o después de que el empleado se fuera.

Mejores prácticas para la gestión de contraseñas en equipo en 2026

Implementar un gestor de contraseñas es solo el primer paso para asegurar la infraestructura de su organización. Para construir una postura de seguridad resiliente, debe alinear sus flujos de trabajo diarios con los estándares de autenticación modernos y eliminar los hábitos que exponen las credenciales a amenazas externas.

Las siguientes prácticas se centran en reducir la superficie de ataque, asegurar la comunicación máquina a máquina y establecer una experiencia de usuario fluida que elimine naturalmente las soluciones alternativas inseguras.

Abordar el shadow IT antes de que lo aborde a usted

El shadow IT en la gestión de credenciales significa que los empleados usan gestores de contraseñas personales, contraseñas guardadas en el navegador u hojas de cálculo compartidas fuera de la herramienta autorizada. Según Huntress (2024), más de una cuarta parte de los profesionales de ciberseguridad identifican que los empleados que usan las mismas contraseñas o contraseñas débiles son su hábito de seguridad más problemático.

La solución no es un memorando de política. Es hacer que la herramienta aprobada sea más fácil de usar que la alternativa. Las extensiones del navegador, las aplicaciones móviles y el soporte de autocompletado eliminan la fricción que impulsa a las personas hacia alternativas informales. Si usar un gestor de contraseñas es más rápido que abrir una hoja de cálculo, la mayoría de los empleados lo usarán.

Aplicar los mínimos de NIST Rev. 4 a su política de contraseñas

Actualice la política de contraseñas de su organización para reflejar NIST SP 800-63B Rev. 4 (2025):

• Mínimo de 15 caracteres para contraseñas usadas como único autenticador
• Sin reglas de composición obligatorias (sin requisitos de «debe incluir un número y un símbolo»)
• Sin caducidad periódica; rotar solo ante compromiso confirmado o sospechado
• Verificar las nuevas contraseñas contra una base de datos de credenciales comprometidas

El panel de seguridad de Passwork marca las contraseñas débiles que no cumplen con sus umbrales definidos. Combine esto con una política que refleje la guía actual de NIST, y tendrá una postura de higiene de credenciales defendible.

Tratar las credenciales no humanas como ciudadanos de primera clase

Las claves API, las contraseñas de cuentas de servicio, las cadenas de conexión de bases de datos y los tokens de implementación también son credenciales. A menudo son más peligrosas que las credenciales humanas porque son de larga duración, rara vez se rotan y frecuentemente están incrustadas en archivos de código o configuración.

Passwork maneja secretos (credenciales de máquinas) junto con las contraseñas humanas, con el mismo RBAC, registro de auditoría y seguimiento de rotación. Las guías técnicas de Passwork cubren la gestión de secretos para flujos de trabajo de DevOps, incluyendo la integración de pipelines CI/CD.

Imponer 2FA en todos los ámbitos

El informe State of Passkeys 2026 de FIDO Alliance encontró que 5 mil millones de passkeys están ahora en uso activo a nivel mundial, y el 68% de las organizaciones están implementando, pilotando o desplegando passkeys para la autenticación de empleados. Las passkeys representan la dirección del camino, pero mientras tanto, 2FA basado en TOTP en cada cuenta es la línea base.

En Passwork, los administradores pueden hacer obligatorio el 2FA a nivel de organización. No hay opción de exclusión para los usuarios. Si su configuración actual hace que el 2FA sea opcional, esa es una brecha de política que vale la pena cerrar hoy.

Migrar su equipo a un gestor de contraseñas centralizado

La migración falla cuando se trata como un proyecto técnico en lugar de un proyecto de gestión del cambio. Los pasos técnicos son sencillos. Lograr que el equipo deje de usar los métodos antiguos requiere más trabajo.

El marco de migración de 5 fases

1. Inventario (semana 1-2). Identificar todos los almacenes de credenciales actualmente en uso: hojas de cálculo, perfiles de navegador compartidos, gestores de contraseñas personales, mensajes de chat. No asuma que los conoce todos; pregunte al equipo. El objetivo es una imagen completa antes de comenzar a mover nada.
2. Diseño de estructura (semana 2-3). Definir su jerarquía de bóvedas y carpetas antes de importar nada. Una estructura plana con 200 credenciales en una bóveda es apenas mejor que una hoja de cálculo. Diseñar en torno a cómo su equipo realmente trabaja: por proyecto, por sistema, por entorno o por equipo.
3. Importar y validar (semana 3-4). Importar credenciales de fuentes existentes usando las herramientas de importación de Passwork. Validar que las entradas estén completas y correctamente categorizadas. Asignar propiedad y permisos de acceso antes de anunciar la migración.
4. Capacitación y despliegue (semana 4-5). Realizar una sesión corta (30 minutos es suficiente para la mayoría de los equipos) cubriendo la extensión del navegador, cómo recuperar una credencial y cómo compartir una. El objetivo es eliminar la excusa «No sé cómo usarlo».
5. Desmantelar los almacenes antiguos (semana 6+). Establecer una fecha límite firme para retirar la hoja de cálculo o carpeta compartida. Anunciarla con anticipación. Después de la fecha límite, eliminar el almacén antiguo y confirmar con el equipo que el nuevo sistema es la única fuente de verdad.

El fallo de migración más común es dejar el sistema antiguo en su lugar «por si acaso». Mientras la hoja de cálculo exista, algunas personas la usarán.

Poniéndolo en práctica

La brecha entre «tenemos un gestor de contraseñas» y «nuestra seguridad de credenciales está realmente bajo control» es más amplia de lo que la mayoría de los equipos esperan. La herramienta es la parte fácil. El trabajo es la estructura de la bóveda, la política de acceso, el proceso de baja y la higiene continua: asegurarse de que las credenciales débiles se roten y que la hoja de cálculo que alguien en finanzas todavía usa se retire.

Comience con el inventario. No puede asegurar lo que no puede ver. Una vez que sepa qué credenciales existen y dónde residen, cada otro paso sigue lógicamente.

Preguntas frecuentes

Gestión de contraseñas para equipos: La solución que toda PyME necesita

Almacenar contraseñas en Slack y navegadores expone su negocio a brechas. Descubra por qué las herramientas personales fallan a los equipos, cómo dar de baja de forma segura a los empleados que se van con un solo clic, y por qué las últimas directrices de NIST recomiendan no forzar la rotación de contraseñas.

Passwork BlogAlex Muntyan

Caos de contraseñas: Por qué es un problema empresarial y cómo solucionarlo

Una contraseña olvidada cuesta $70. Una brecha cuesta $4.44 millones. Ambas comienzan de la misma manera — credenciales compartidas por Slack, almacenadas en hojas de cálculo, nunca rotadas. Esto es lo que realmente cuesta el caos de contraseñas y cómo eliminarlo.

Passwork BlogAlex Muntyan

Shadow IT vs Shadow AI: Por qué la IA es la mayor amenaza

Los empleados están usando herramientas de IA que usted no aprobó, en cuentas que no puede monitorear, con datos que no puede recuperar. Esto es lo que realmente parece el riesgo y lo que la gobernanza necesita abordar.

Passwork BlogAlex Muntyan

Team password management is the practice of storing, organizing, and sharing credentials across a group using a dedicated tool (password manager), rather than messengers, spreadsheets, or individual browser vaults. Done right, it gives every team member access to exactly what they need, nothing more, with a full audit trail of who touched what and when.

This guide covers the real problems teams run into when sharing credentials without a proper system, what to look for in a solution, how Passwork addresses each challenge, and how to run a migration without disrupting your team.

Key takeaways

• Credential abuse appears in 39% of all breaches, making it the most pervasive technique across the full attack chain — not just at initial access.
• The three failure modes of informal credential sharing are visibility gaps, scope creep, and offboarding failures. All three are preventable with a structured password manager.
• NIST SP 800-63B Rev. 4 has changed the rules: 15-character minimum passwords, no mandatory composition requirements, and no periodic expiration. Many organizations are still running policies that contradict all three.
• Effective team password management requires more than storage: RBAC, audit logs, AD/LDAP integration, SSO, and secure external sharing are non-negotiable for any team beyond a handful of people.
• Offboarding is a security event, not an HR formality. A 7-step credential checklist run on or before an employee's last day closes the gaps that most incidents exploit.
• Migration succeeds or fails on change management, not technology. The most common failure is leaving the old spreadsheet in place after rollout.

The cost of informal credential sharing

Most teams start with a shared Google Sheet, a Slack message, or a sticky note on the server room door. It works. Until it doesn't.

The average cost of a data breach dropped to $4.44 million in 2025, the first decline in five years, according to IBM's 2025 Cost of a Data Breach Report. That's still $4.44 million per incident. And stolen or compromised credentials remain deeply embedded in how attacks unfold: Verizon's 2026 Data Breach Investigations Report found that credential abuse appears at some point in 39% of all breaches, making it the single most pervasive technique in the dataset.

The informal sharing problem has three distinct failure modes:

1. Visibility gaps. When a password lives in a Slack thread, there's no record of who has it, who forwarded it, or whether it was changed. If that credential is later compromised, you can't reconstruct the timeline.
2. Scope creep. Spreadsheets don't enforce access boundaries. A developer who needed one database password in January still has the whole sheet in December, including credentials for systems they've never touched and accounts they have no business accessing.
3. Offboarding failures. This is where informal sharing causes the most damage. When an employee leaves, IT has no reliable inventory of what they had access to. The standard response (change every shared password) is both disruptive and rarely complete. Some credentials get missed. Some don't get changed for weeks.

A 2024 Huntress study found that 46% of people had a password stolen that year. For organizations relying on shared spreadsheets and chat messages, that exposure is multiplied across every account in the file.

What teams actually need from a password manager

Before evaluating any tool, it helps to define the requirements clearly. The list below reflects what IT managers and security teams consistently identify as non-negotiable.

A centralized, structured repository

Credentials scattered across individuals' browsers and personal vaults are functionally invisible to the organization. A team password manager needs a single, searchable repository that the whole team can access, organized by project, system, or department, with consistent naming and tagging.

Flexible, granular access control

Not everyone needs everything. A junior developer doesn't need production database credentials. A contractor doesn't need internal admin accounts. Role-based access control (RBAC) lets you define who can read, edit, or manage credentials at the vault or folder level, and enforce those boundaries automatically.

Secure sharing mechanisms

Sometimes you need to share a credential with someone outside your organization: a vendor, a contractor, a partner. Sending it over email or chat is a security event waiting to happen. The right tool provides time-limited, single-use links that expire after first access or after a set window.

Activity monitoring and audit logs

Compliance frameworks including SOC 2 Trust Services Criteria CC6.1 and ISO 27001 Annex A.9 require documented evidence of who accessed what and when. An audit log isn't optional. It's the paper trail that keeps you out of trouble during an incident or an audit.

Integration with existing IT infrastructure

A password manager that requires a separate identity silo creates more work, not less. Integration with Active Directory (AD), LDAP, and SSO providers means users authenticate with the credentials they already have, and provisioning/deprovisioning happens automatically when HR updates the directory.

NIST SP 800-63B Rev. 4: What changed in 2025

NIST SP 800-63B Rev. 4 (2025) updates the digital identity guidelines that most enterprise security policies reference. Several changes directly affect how organizations should configure their password policies.

The shift from should not to shall not on composition rules is significant. Organizations that still enforce "must include one number, one symbol, one uppercase letter" policies are now out of alignment with NIST guidance, and for good reason. Research consistently shows that forced complexity rules produce predictable patterns: Password1!, Summer2024@, Qwerty#1. Length is a more reliable security signal than character diversity.

The 15-character minimum reflects the same logic. A 15-character passphrase like correct-horse-battery-staple is far more resistant to brute-force attacks than an 8-character P@ssw0rd.

The mandatory compromised password screening requirement means organizations need a mechanism to check new passwords against known breach databases at the point of creation or reset, not just at login.

How Passwork addresses each challenge

Managing credentials requires a constant balance between strict security controls and operational speed. Passwork solves these infrastructure challenges by integrating directly into your existing directory services, automating access control, and providing complete visibility over credential usage.

Data organization: Vaults, folders, tags, and history

Passwork structures credentials in a hierarchy of vaults and folders. A vault might correspond to a department or a project. Folders within it group related credentials. Tags add a cross-cutting dimension: you can tag credentials by environment (production, staging, dev) or by system type (database, cloud, network) regardless of where they sit in the folder tree.

Every credential entry maintains a full change history. If a password was rotated last Tuesday at 14:32 by a specific user, that's recorded. If you need to roll back or audit a change, the history is there. This is the kind of traceability that SOC 2 and ISO 27001 auditors ask for.

Role-based access: Separating data access and system administration

Passwork separates data access from administrative control through two distinct mechanisms: user groups and system roles.

• User groups control data access — This model manages access to vaults and folders. You assign permissions to a group (such as the DevOps team) and every member inherits those permissions automatically. When someone joins the team, they get access. When they leave, you remove them from the group and access is revoked across every vault and folder that group touches. 
• System roles define administrative privileges — Predefined and custom roles manage access to system settings, LDAP configurations, and global audit logs. This ensures standard users only interact with their assigned vaults, while administrators manage the platform infrastructure. Under the Zero-Knowledge model, system administrators cannot access actual passwords.

Permissions within vaults are granular: read-only, edit, and admin. A read-only user can retrieve credentials but can't modify or delete them. An admin can manage the vault's structure and membership. You can mix these permissions across different vaults for the same user: a developer might have edit access to the staging vault and read-only access to production.

This structure directly solves the offboarding problem. When an employee leaves, you deactivate their account. Their group memberships are removed. Access is gone. No manual inventory of "what did this person have access to?" required.

Security and integration: 2FA, AD/LDAP, and SSO

Passwork enforces two-factor authentication (2FA) at the organization level. Administrators can make it mandatory for all users, not just optional. Supported methods include TOTP authenticator apps, hardware security keys, biometrics, and passkeys.

For organizations running Active Directory or LDAP, Passwork syncs users and groups directly from the directory. User provisioning and deprovisioning follow the directory: when HR disables an account in AD, the corresponding Passwork access is revoked automatically. This eliminates the manual step that most offboarding processes miss.

SSO integration via SAML means users authenticate through your existing identity provider. No separate Passwork credentials to manage, no password reuse risk, and no friction for the end user. 

External sharing: Secure one-time links

Sharing a credential with an external party (a contractor, a vendor, a penetration tester) without exposing your vault is a common operational need. Passwork handles this with time-limited, single-use sharing links. You generate a link for a specific credential, set an expiration (hours, days, or a single access), and send it. Once the link expires or is used, it's gone. The recipient never gets access to the vault itself.

This is categorically different from pasting a password into an email. The link is encrypted in transit, the access event is logged, and you can revoke it before expiration if circumstances change.

Auditing: Activity logs and security dashboard

Every action in Passwork (credential creation, modification, access, sharing, deletion) is recorded in the activity log with a timestamp and user attribution. The log is exportable and can be forwarded to a SIEM via Syslog or Windows Event Viewer integration.

The security dashboard surfaces weak passwords, old passwords, and credentials that haven't been rotated in a defined period. This gives the security team a continuous view of credential hygiene without manual audits. When a credential shows up as weak or reused, it's visible to the administrator, not buried in a spreadsheet.

Self-hosted vs. cloud: Which deployment fits your organization

Passwork is available in two deployment models. The choice between them depends on your compliance requirements, IT capacity, and risk tolerance.

Self-hosted deployment makes sense when your organization operates under strict data sovereignty requirements: government agencies, financial institutions, healthcare organizations, and companies subject to sector-specific regulations that prohibit data leaving internal infrastructure. You run Passwork on your own servers (Linux with Docker or Windows Server), and all credential data is encrypted with AES-256 before it ever touches the disk. The encryption keys stay with you.

Passwork Cloud is the right choice when you need to be operational quickly and don't have the IT capacity to manage on-premises infrastructure. The cloud instance is hosted within EU jurisdiction, and uses the same zero-knowledge, client-side encryption architecture as the self-hosted version. Passwork Cloud is ISO 27001 certified and GDPR and NIS2 compliant.

Both models support the full feature set: RBAC, AD/LDAP integration, SSO, audit logs, and the REST API.

The offboarding checklist: Securing credentials when someone leaves

Most credential security incidents tied to departing employees happen because offboarding is treated as an HR process, not a security process. The steps below should run in parallel with, or ahead of, the employee's last day.

The 7-step offboarding credential checklist

1. Disable the account immediately. In Passwork, deactivating a user account revokes all vault and folder access instantly. If AD/LDAP sync is configured, this happens automatically when the directory account is disabled.
2. Audit shared credentials. Review the activity log for credentials the departing employee accessed in the last 30-90 days. This is your rotation list.
3. Rotate credentials they had edit access to. Read-only access is lower risk; edit access means they could have copied or modified the credential. Rotate those first.
4. Revoke any active sharing links. Check for unexpired one-time links the employee generated. Revoke them before the last day.
5. Reassign vault ownership. If the employee owned or administered any vaults, transfer ownership to another administrator before the account is deactivated.
6. Check for personal vaults. Some users store work credentials in personal browser vaults or password manager accounts outside the corporate tool. This is shadow IT. Address it in your policy, not just at offboarding.
7. Document the process. Log the offboarding actions taken, the credentials rotated, and the timestamp. This is the evidence trail for a future audit.

The difference between a clean offboarding and a credential incident is usually whether step 2 happened before or after the employee left.

Best practices for team password management in 2026

Implementing a password manager is only the first step toward securing your organization's infrastructure. To build a resilient security posture, you must align your daily workflows with modern authentication standards and eliminate the habits that expose credentials to external threats.

The following practices focus on reducing the attack surface, securing machine-to-machine communication, and establishing a seamless user experience that naturally eliminates insecure workarounds.

Address shadow IT before it addresses you

Shadow IT in credential management means employees using personal password managers, browser-saved passwords, or shared spreadsheets outside the sanctioned tool. According to Huntress (2024), more than a quarter of cybersecurity professionals identify employees using the same or weak passwords as their most problematic security habit.

The solution isn't a policy memo. It's making the approved tool easier to use than the workaround. Browser extensions, mobile apps, and autofill support remove the friction that drives people to informal alternatives. If using a password manager is faster than opening a spreadsheet, most employees will use it.

Apply NIST Rev. 4 minimums to your password policy

Update your organization's password policy to reflect NIST SP 800-63B Rev. 4 (2025):

• Minimum 15 characters for passwords used as the sole authenticator
• No mandatory composition rules (no "must include a number and symbol" requirements)
• No periodic expiration; rotate only on confirmed or suspected compromise
• Screen new passwords against a compromised credential database

Passwork's security dashboard flags weak passwords that don't meet your defined thresholds. Pair this with a policy that reflects current NIST guidance, and you have a defensible credential hygiene posture.

Treat non-human credentials as first-class citizens

API keys, service account passwords, database connection strings, and deployment tokens are credentials too. They're often more dangerous than human credentials because they're long-lived, rarely rotated, and frequently embedded in code or configuration files.

Passwork handles secrets (machine credentials) alongside human passwords, with the same RBAC, audit logging, and rotation tracking. The Passwork technical guides cover secrets management for DevOps workflows, including CI/CD pipeline integration.

Enforce 2FA across the board

The FIDO Alliance's 2026 State of Passkeys report found that 5 billion passkeys are now in active use globally, and 68% of organizations are deploying, piloting, or rolling out passkeys for employee authentication. Passkeys represent the direction of travel, but in the meantime, TOTP-based 2FA on every account is the baseline.

In Passwork, administrators can make 2FA mandatory at the organization level. There's no opt-out for users. If your current setup makes 2FA optional, that's a policy gap worth closing today.

Migrating your team to a centralized password manager

Migration fails when it's treated as a technical project rather than a change management project. The technical steps are straightforward. Getting the team to stop using the old methods takes more work.

The 5-phase migration framework

1. Inventory (week 1-2). Identify all credential stores currently in use: spreadsheets, shared browser profiles, personal password managers, chat messages. Don't assume you know all of them; ask the team. The goal is a complete picture before you start moving anything.
2. Structure design (week 2-3). Define your vault and folder hierarchy before importing anything. A flat structure with 200 credentials in one vault is barely better than a spreadsheet. Design around how your team actually works: by project, by system, by environment, or by team.
3. Import and validate (week 3-4). Import credentials from existing sources using Passwork's import tools. Validate that entries are complete and correctly categorized. Assign ownership and access permissions before announcing the migration.
4. Training and rollout (week 4-5). Run a short session (30 minutes is enough for most teams) covering the browser extension, how to retrieve a credential, and how to share one. The goal is removing the excuse "I don't know how to use it."
5. Decommission old stores (week 6+). Set a hard deadline for retiring the spreadsheet or shared folder. Announce it in advance. After the deadline, delete the old store and confirm with the team that the new system is the only source of truth.

The most common migration failure is leaving the old system in place "just in case." As long as the spreadsheet exists, some people will use it.

Putting it into practice

The gap between "we have a password manager" and "our credential security is actually under control" is wider than most teams expect. The tool is the easy part. The work is the vault structure, the access policy, the offboarding process, and the ongoing hygiene: making sure weak credentials get rotated and that the spreadsheet someone in finance is still using gets retired.

Start with the inventory. You can't secure what you can't see. Once you know what credentials exist and where they live, every other step follows logically.

Frequently asked questions

Password management for teams: The fix every SMB needs

Storing passwords in Slack and browsers exposes your business to breaches. Discover why personal tools fail teams, how to securely offboard departing employees in one click, and why the latest NIST guidelines recommend against forced password rotation.

Passwork BlogAlex Muntyan

Password chaos: Why it’s a business problem and how to fix it

A forgotten password costs $70. A breach costs $4.44 million. Both start the same way — credentials shared over Slack, stored in spreadsheets, never rotated. Here’s what password chaos actually costs and how to eliminate it.

Passwork BlogAlex Muntyan

Shadow IT vs Shadow AI: Why AI is the bigger threat

Employees are using AI tools you didn’t approve, on accounts you can’t monitor, with data you can’t recover. Here’s what the risk actually looks like and what governance needs to address.

Passwork BlogAlex Muntyan

El shadow IT en 2026 no se parece en nada al de hace cinco años. El problema ahora son los agentes de IA con tokens OAuth persistentes, las sesiones de LLM que procesan código fuente propietario en silencio y las cuentas SaaS huérfanas que nadie recuerda haber aprovisionado. Cada uno de estos elementos extiende la superficie de ataque corporativa mucho más allá de lo que cualquier perímetro de red tradicional fue diseñado para manejar.

Según el informe State of Shadow AI de UpGuard, más del 80% de los empleados utilizan herramientas de IA no aprobadas. Una encuesta de Gartner a 302 líderes de ciberseguridad (marzo-mayo de 2025) reveló que el 69% de las organizaciones sospechaban o habían confirmado que sus empleados utilizaban herramientas públicas de GenAI prohibidas. Gartner predice que para 2030, más del 40% de las empresas experimentará un incidente de seguridad o cumplimiento relacionado con shadow AI no autorizado.

El informe Cost of Insider Risks 2026 de DTEX/Ponemon cifra el coste anual de la negligencia interna impulsada principalmente por el shadow AI en 10,3 millones de dólares por organización. Esa cifra cubre incidentes donde no hubo intención maliciosa: solo empleados usando herramientas que TI nunca aprobó, y presupuestos financiando silenciosamente infraestructura que nadie puede ver ni proteger.

Puntos clave

• El shadow IT en 2026 es tanto un problema de IA como de SaaS. Los agentes de IA con tokens OAuth persistentes, las sesiones de LLM que procesan código fuente propietario y las cuentas SaaS huérfanas que sobreviven a sus propietarios son ahora los riesgos de mayor gravedad.
• El shadow AI es categóricamente diferente del shadow IT tradicional. Las herramientas SaaS no autorizadas almacenan datos en el lugar equivocado. Las herramientas de IA no autorizadas los procesan, analizan y actúan sobre ellos.
• La exposición financiera está cuantificada. El informe Cost of a Data Breach 2025 de IBM encontró que la participación del shadow AI añade 670.000 dólares al coste promedio de una brecha de 4,44 millones de dólares. El informe Cost of Insider Risks 2026 de DTEX/Ponemon cifra el coste anual de la negligencia interna impulsada por IA en 10,3 millones de dólares por organización.
• La detección requiere al menos cinco fuentes de datos trabajando en paralelo. CASB, análisis de logs DNS, EDR, revisión de datos de gastos y escaneo de integraciones de correo electrónico cubren cada uno una porción diferente del entorno. Ningún método único ve simultáneamente los dispositivos personales, las cuentas de nivel gratuito y los endpoints gestionados.
• Las organizaciones europeas enfrentan una exposición regulatoria por capas. Las herramientas SaaS no autorizadas violan el Artículo 28 del GDPR en el momento en que procesan datos personales sin un DPA firmado. El Artículo 21 de NIS2 trata las herramientas de terceros no verificadas como riesgo de la cadena de suministro. El Artículo 28 de DORA exige a las entidades financieras registrar cada proveedor de TIC — sea shadow o no.
• Bloquear sin habilitar alternativas falla consistentemente. Casi la mitad de los empleados continúan usando cuentas personales de IA después de una prohibición organizacional. La respuesta efectiva es hacer que el camino aprobado sea más rápido que el atajo: un flujo de aprobación ligero, gestión centralizada de credenciales y un programa de concienciación de seguridad que haga tangible el riesgo.
• El Marco de Gobernanza de Shadow IT de 6 pasos — descubrir y clasificar, centralizar credenciales, establecer políticas, agilizar aprobaciones, automatizar el offboarding, construir concienciación de seguridad — aborda tanto el lado técnico como el conductual del problema. Las herramientas manejan la detección. El marco cambia la estructura de incentivos que impulsa la adopción del shadow IT en primer lugar.

¿Qué es el shadow IT?

Shadow IT es cualquier tecnología (software, servicio en la nube, herramienta de IA o hardware) que los empleados utilizan para trabajar sin el conocimiento o la aprobación formal de TI. Abarca desde una carpeta personal de Dropbox usada para compartir archivos de proyectos, hasta un asistente de codificación de IA con acceso OAuth a repositorios de producción. El hilo común: sin revisión de seguridad, sin registro de adquisición, sin pista de auditoría.

El shadow IT no es un problema marginal. Gartner sitúa la proporción del gasto de TI consumido por herramientas no autorizadas entre el 30-40% en grandes empresas. El análisis de Harmonic Security de 22,4 millones de prompts empresariales de IA identificó 665 herramientas distintas de IA generativa ejecutándose en entornos empresariales — sin embargo, solo el 40% de esas organizaciones había adquirido una suscripción oficial de IA. El tráfico de GenAI aumentó más del 890% solo en 2024.

Shadow IT vs. shadow AI: Cómo se comparan los riesgos

¿Qué impulsa a los empleados a usar shadow IT?

Los empleados recurren a herramientas no autorizadas cuando las alternativas aprobadas son demasiado lentas, demasiado limitadas o simplemente aún no existen. La fricción es la causa: un desarrollador que espera tres semanas por un asistente de IA con licencia encontrará uno gratuito antes de que termine el día.

Tres patrones se repiten en organizaciones de todos los tamaños:

• Velocidad sobre proceso. Los empleados recurren a lo que sea que haga el trabajo más rápido. Cuando las herramientas aprobadas no igualan lo que está disponible gratuitamente fuera de la empresa, la elección es obvia: usar lo que funciona.
• Retraso en adquisiciones. Los ciclos de software empresarial funcionan por trimestres. Las herramientas de IA se lanzan por semanas. Para cuando TI evalúa y aprueba una herramienta, los empleados ya han construido flujos de trabajo alrededor de su equivalente de nivel gratuito.
• Brechas funcionales. Las herramientas aprobadas a menudo no cubren casos de uso específicos. Un analista de datos que necesita un entorno Python rápido, o un diseñador que necesita un generador de imágenes específico, recurrirá a lo que funcione, no a lo que esté en la lista aprobada.
• Sin ciclo de retroalimentación. Los empleados rara vez reportan las herramientas que están usando porque no hay un canal fácil para hacerlo. TI no sabe qué gobernar. Seguridad no sabe qué auditar. La brecha entre el uso real de herramientas y el inventario aprobado se amplía silenciosamente.
• Las prohibiciones no se sostienen. Casi la mitad de los empleados continúan usando cuentas personales de IA después de una prohibición organizacional. La prohibición no elimina el shadow IT. Solo lo empuja fuera de la vista, haciendo la detección más difícil y la respuesta más lenta.

Estos patrones son una respuesta predecible a estructuras de gobernanza que no han seguido el ritmo de la velocidad con que evoluciona el ecosistema de herramientas. Esa brecha es exactamente lo que convierte al shadow IT en un riesgo sistémico en lugar de un problema de disciplina.

La evolución del shadow IT en 2026

El shadow IT en 2026 ha ido mucho más allá del almacenamiento en la nube no gestionado. Ahora abarca herramientas de IA, agentes autónomos y ecosistemas SaaS completos que TI nunca aprobó, nunca inventarió y no puede monitorear. La empresa promedio ejecuta 305 aplicaciones SaaS, gasta 55,7 millones de dólares en SaaS anualmente, y ha visto el gasto en aplicaciones nativas de IA aumentar un 108% interanual — la mayor parte de ese crecimiento ocurriendo más rápido de lo que los equipos de gobernanza pueden rastrear.

De la proliferación de SaaS al shadow AI

La cifra de 305 aplicaciones proviene del Zylo 2026 SaaS Management Index, que se basa en datos de gasto reales de miles de organizaciones. Una proporción significativa de esas aplicaciones nunca fueron aprobadas formalmente. Los empleados adoptan herramientas de forma independiente y TI se entera meses después, si es que se entera.

El shadow AI acelera esta dinámica. Asistentes de IA gratuitos, generadores de código y agentes autónomos se volvieron ampliamente disponibles más rápido de lo que los ciclos de adquisición podían responder. El informe Check Point 2026 Cloud Security Report encontró que el 78-80% de los trabajadores usan herramientas de IA personales en el trabajo. La mayoría de esas sesiones ocurren a través de cuentas personales, fuera de SSO, fuera de DLP, y sin pista de auditoría.

La distinción vale la pena precisarla: 

• El shadow IT tradicional crea residencia de datos no gestionada: archivos almacenados en un servicio no autorizado. 
• El shadow AI crea procesamiento de datos no gestionado: información propietaria siendo analizada, resumida y utilizada por sistemas que su equipo de seguridad nunca ha revisado.

Por qué la superficie de ataque sigue expandiéndose

Tres fuerzas estructurales impulsan esto:

• El trabajo remoto e híbrido eliminó el perímetro de red como punto de control natural. Los empleados que trabajan desde casa adoptan herramientas sin canalizar las solicitudes a través de TI.
• Los niveles gratuitos están en todas partes. La mayoría de las herramientas SaaS ofrecen un punto de entrada sin coste. Sin orden de compra, sin ticket de aprobación, sin visibilidad.
• La proliferación de agentes de IA cambió las apuestas. Los agentes operan a través de permisos OAuth delegados — leyendo datos, activando flujos de trabajo y modificando registros de forma autónoma. Un desarrollador que conecta un asistente de codificación de IA a su cuenta de GitHub puede haber otorgado a ese agente acceso de lectura/escritura a los repositorios. Cuando el desarrollador se va, el permiso OAuth permanece.

Gartner proyecta que para 2027, el 75% de los empleados adquirirá, modificará o creará tecnología fuera de la visibilidad de TI — frente al 41% en 2022. La dirección es inequívoca.

Los riesgos ocultos del shadow IT (la realidad de 2026)

El shadow IT en 2026 no es solo un problema de fuga de datos. Las herramientas no gestionadas crean acceso no autorizado persistente, exponen credenciales, desencadenan violaciones regulatorias, y cada vez más alimentan datos empresariales en modelos de IA que ningún equipo de seguridad ha aprobado o puede monitorear.

El multiplicador de riesgo del shadow AI: Procesamiento de datos vs. almacenamiento de datos

El shadow IT tradicional almacena datos en el lugar equivocado. El shadow AI hace cosas con ellos. Pegar un contrato de cliente en un LLM público envía esos datos a al menos tres lugares: un pipeline de entrenamiento, un sistema de logging, y potencialmente un modelo que otros usuarios pueden consultar.

El informe Cost of a Data Breach 2025 de IBM pone un número a esto: las brechas que involucraban altos niveles de shadow AI añadieron un promedio de 670.000 dólares al coste total de la brecha, llevando el promedio de brechas relacionadas con shadow AI a aproximadamente 5,11 millones de dólares contra una línea base global de 4,44 millones. El mismo informe encontró que el 97% de los incidentes de seguridad relacionados con IA involucraban sistemas sin controles de acceso adecuados.

Exposición de credenciales y reutilización de contraseñas

El shadow IT es, en su raíz, un problema de identidad. Cada aplicación no autorizada es una nueva cuenta. Cada nueva cuenta es una credencial. Y la mayoría de esas credenciales se reutilizan.

Según el informe Data Breach Investigations Report 2026 de Verizon, las credenciales robadas aparecieron en el 39% de todas las brechas confirmadas, no solo como el vector de acceso inicial, sino a lo largo del movimiento lateral y la persistencia. Cuando un empleado reutiliza su contraseña corporativa en una herramienta SaaS gratuita que posteriormente sufre una brecha, los atacantes no necesitan romper nada. Simplemente inician sesión.

Los infostealers empeoran esto. En 2025, Recorded Future indexó 1.950 millones de exposiciones de credenciales procedentes de malware, de las cuales el 31% incluía cookies de sesión activas que evitan completamente el MFA. Las cuentas de shadow IT, no monitoreadas, a menudo sin MFA configurado, son exactamente el tipo de objetivo para el que están diseñados los infostealers.

El riesgo de reutilización de contraseñas es un patrón de ataque documentado, automatizado y a escala industrial.

La pesadilla del offboarding: Cuentas huérfanas

Cuando un empleado se va, sus cuentas gestionadas se desaprovisionan. Sus cuentas de shadow IT no. Nadie sabe que existen.

El espacio de trabajo de Figma de ese antiguo desarrollador, la prueba personal de HubSpot del representante de ventas con datos exportados del CRM, la página de Notion del contratista con notas de arquitectura interna: todo esto persiste indefinidamente después de que la persona sale por la puerta.

Las consecuencias pueden ser graves. En un caso documentado, un antiguo empleado de Cisco accedió a una infraestructura de máquinas virtuales alojada en AWS cinco meses después de su despido y eliminó 456 máquinas virtuales, dejando fuera de servicio más de 16.000 cuentas de WebEx Teams durante casi dos semanas.

El Departamento de Justicia de EE. UU. confirmó que el incidente le costó a Cisco aproximadamente 2,4 millones de dólares en remediación y reembolsos a clientes, y el antiguo empleado fue sentenciado a 24 meses en una prisión federal (United States v. Sudhish Kasaba Ramesh, Caso N.º 5:20-cr-00102). Ese era un sistema gestionado. Las cuentas de shadow IT huérfanas son más difíciles de encontrar y tardan más en cerrarse — si es que se cierran alguna vez.

Agentes de IA y permisos OAuth no gestionados

Esta es la amenaza que la mayoría de las organizaciones aún no están rastreando. Los agentes de IA operan a través de permisos OAuth delegados: un usuario otorga al agente acceso a Google Drive, GitHub o Slack, y el agente puede leer, escribir y actuar sobre ese acceso de forma continua — no solo durante la sesión.

Cuando el usuario cierra sesión, el permiso OAuth permanece. Cuando el usuario deja la empresa, el permiso OAuth permanece. El agente puede seguir teniendo acceso a repositorios corporativos, hilos de correo electrónico y unidades compartidas semanas o meses después de que la persona que lo autorizó se haya ido.

El informe AI Agents at Work 2026 de Okta encontró que el 58% de las organizaciones sufrieron un incidente de seguridad relacionado con IA en el último año, sin embargo, el 90% de los ejecutivos reportaron carecer de visibilidad completa sobre qué agentes de IA están operando dentro de su organización. La brecha entre adopción y gobernanza es donde reside el riesgo.

Violaciones de cumplimiento y multas regulatorias

Las aplicaciones no autorizadas no cumplen con el requisito del Artículo 32 del GDPR de «medidas técnicas y organizativas apropiadas» para proteger los datos personales. No satisfacen los requisitos de salvaguardas técnicas de HIPAA bajo 45 CFR § 164.312. No cumplen con el Requisito 12.8 de PCI-DSS para la gestión de proveedores de servicios externos.

La Ley de IA de la UE añade otra capa. Los sistemas de IA de alto riesgo utilizados sin una gobernanza adecuada conllevan penalizaciones de hasta 15 millones de euros o el 3% de la facturación anual global según el Artículo 99(4).

El sector de servicios financieros ya ha visto cómo es la aplicación regulatoria en la práctica. En septiembre de 2022, la SEC y la CFTC multaron a 16 firmas de Wall Street con un total combinado de 1.800 millones de dólares por empleados que usaban WhatsApp y otras aplicaciones de mensajería no aprobadas para comunicaciones comerciales — una violación típica de shadow IT que los reguladores trataron como un fallo de mantenimiento de registros. El comunicado de prensa de la SEC deja claro que el uso «generalizado y prolongado» de comunicaciones fuera del canal oficial no es un factor atenuante; es uno agravante.

Exposición regulatoria europea: GDPR, NIS2 y DORA

Para las organizaciones que operan en la UE, el shadow IT crea una exposición regulatoria por capas a través de tres marcos distintos. Cada uno apunta a una dimensión diferente del problema, y juntos dejan muy poco espacio para «no lo sabíamos».

GDPR: Procesadores no autorizados y transferencias transfronterizas

El Artículo 32 del GDPR es la disposición que más citan las organizaciones. Pero el Artículo 28 es el que el shadow IT viola primero. Toda herramienta SaaS no autorizada que procese datos personales es, en términos del GDPR, un encargado del tratamiento. El Artículo 28 requiere un acuerdo de procesamiento de datos (DPA) por escrito con cada encargado antes de que comience el procesamiento. Un empleado que se registra en una herramienta de IA gratuita usando su correo corporativo y le introduce datos de clientes ha creado una relación de encargado no autorizada — sin DPA, sin diligencia debida y sin registro.

Los Artículos 44 a 49 agravan la exposición. Muchas herramientas SaaS y de IA con sede en EE. UU. transfieren datos personales fuera del Espacio Económico Europeo. Sin un mecanismo de transferencia válido (Cláusulas Contractuales Tipo, una decisión de adecuación o Normas Corporativas Vinculantes), esa transferencia viola el GDPR independientemente de cómo se haya adoptado la herramienta. Los empleados que eligen herramientas de forma independiente no tienen visibilidad sobre dónde se procesan o almacenan los datos.

Las autoridades europeas de protección de datos han aplicado ambas disposiciones. En 2023, la Comisión de Protección de Datos de Irlanda multó a Meta con 1.200 millones de euros bajo el Artículo 46 por transferencias ilegales de datos a EE. UU. — la mayor multa del GDPR hasta la fecha. Aunque ese caso involucraba a un operador de plataforma y no a un usuario empresarial final, el principio subyacente se aplica: la ausencia de un mecanismo de transferencia válido es una violación, independientemente de la intención.

NIS2: Control de acceso y obligaciones de la cadena de suministro

La Directiva NIS2 (Directiva UE 2022/2555), aplicable a entidades esenciales e importantes en toda la UE desde octubre de 2024, aborda directamente las condiciones que crea el shadow IT. El Artículo 21(2) establece diez medidas mínimas de gestión de riesgos de ciberseguridad. Tres están directamente implicadas por el shadow IT:

• Artículo 21(2)(d): Seguridad de la cadena de suministro, incluyendo aspectos de seguridad relativos a las relaciones entre cada entidad y sus proveedores directos o prestadores de servicios. Toda herramienta SaaS no autorizada es, en efecto, una relación de proveedor no verificada.
• Artículo 21(2)(i): Políticas y procedimientos relativos al uso de criptografía y, cuando proceda, cifrado.
• Artículo 21(2)(j): Seguridad de recursos humanos, políticas de control de acceso y gestión de activos.

Las penalizaciones de NIS2 alcanzan los 10 millones de euros o el 2% de la facturación anual global para entidades esenciales, y 7 millones de euros o el 1,4% para otras. La transposición por parte de los Estados miembros varía, pero el marco ya está activo en toda la UE.

La página de cumplimiento NIS2 de Passwork cubre en detalle cómo la gestión centralizada de credenciales se alinea con los requisitos del Artículo 21 de NIS2.

DORA: Riesgo de terceros TIC para entidades financieras

El Reglamento de Resiliencia Operativa Digital (DORA, Reglamento UE 2022/2554) está en vigor desde enero de 2025 para las entidades financieras que operan en la UE: bancos, aseguradoras, empresas de inversión, procesadores de pagos y sus proveedores críticos de TIC. El Artículo 28 requiere que las entidades financieras mantengan un registro de todos los proveedores de servicios TIC de terceros y realicen la diligencia debida precontractual antes de incorporar a cualquier nuevo proveedor.

El shadow SaaS está directamente dentro del ámbito de aplicación. Un empleado de un banco que adopta una herramienta de gestión de proyectos o un asistente de IA no autorizado ha creado una relación con un tercero TIC no registrada. Bajo DORA, eso no es un problema de gobernanza de TI; es una infracción regulatoria. Las Autoridades Europeas de Supervisión (EBA, ESMA, EIOPA) tienen autoridad supervisora para investigar y sancionar. En las jurisdicciones donde la transposición nacional lo prevé, también puede aplicarse responsabilidad penal a nivel directivo.

Para los equipos de TI y cumplimiento del sector financiero, el descubrimiento de shadow IT ya no es una buena práctica. Bajo DORA, es una obligación legal.

El impacto financiero: Cuantificando el coste del shadow IT

El shadow IT conlleva dos costes financieros distintos: exposición a brechas y gasto desperdiciado. El informe Cost of a Data Breach 2025 de IBM encontró que la participación del shadow AI añade 670.000 dólares al coste promedio de una brecha de 4,44 millones de dólares. En el lado del gasto, el SaaS Management Index 2026 de Zylo cifra el gasto promedio desperdiciado en licencias en 21 millones de dólares por año — impulsado por herramientas redundantes, puestos sin usar y compras de las que TI nunca tuvo conocimiento.

Datos de IBM 2025: La penalización de 670.000 $ del shadow AI

El informe Cost of a Data Breach de IBM de 2025 es el punto de referencia más autorizado disponible para entender las consecuencias financieras de la IA no gestionada. Los números principales:

• Coste promedio global de una brecha: 4,44 millones de dólares
• La participación del shadow AI añade 670.000 dólares a ese promedio, llevando la cifra con shadow AI involucrado a aproximadamente 5,11 millones de dólares
• El 97% de los incidentes relacionados con IA involucraban sistemas sin controles de acceso adecuados
• El 20% de las organizaciones reportaron un incidente de seguridad directamente vinculado al shadow AI en 2025

El incremento de 670.000 dólares es el coste adicional de investigación, contención, notificación y remediación cuando están involucrados sistemas de IA que los equipos de seguridad desconocían.

Gasto de TI desperdiciado y licencias redundantes

Las organizaciones pagan por herramientas aprobadas mientras los empleados adoptan silenciosamente alternativas gratuitas o más baratas. El resultado: funcionalidad duplicada, licencias abandonadas y gasto que nadie gestiona.

Según el SaaS Management Index 2026 de Zylo, la organización promedio desperdicia 21 millones de dólares al año solo en licencias SaaS sin usar — y la tasa de utilización promedio en las carteras SaaS empresariales se sitúa en apenas el 47%. Para empresas medianas con 500 o menos empleados, esa cifra aún alcanza los 4,2 millones de dólares anuales en gasto desperdiciado en licencias.

El patrón es predecible: las compras descentralizadas significan que los equipos se registran en herramientas de forma independiente, a menudo sin saber que ya existe un contrato empresarial para la misma categoría. Cuando ocurre un incidente de seguridad además de eso, los costes de remediación agravan el desperdicio base en una exposición financiera material.

Cómo detectar el shadow IT y el shadow AI

Detectar el shadow IT en 2026 requiere combinar al menos cinco fuentes de datos: despliegue de CASB (Cloud Access Security Broker), análisis de logs DNS, EDR (Endpoint Detection and Response), revisión de datos de gastos y escaneo de integraciones de correo electrónico. Cada método cubre una porción diferente del entorno. Ninguno lo cubre todo. Los puntos ciegos son estructurales, no incidentales — ninguna herramienta única ve simultáneamente los dispositivos personales, las cuentas de nivel gratuito y los endpoints gestionados.

Monitoreo de endpoints y extensiones de navegador

Las herramientas EDR y las auditorías de extensiones de navegador pueden revelar el uso de SaaS no autorizado directamente en el dispositivo. El análisis del historial del navegador, los inventarios de extensiones y el monitoreo basado en agentes detectan actividad que nunca toca la red corporativa.

La limitación: los entornos BYOD (Bring Your Own Device) y los dispositivos personales usados para trabajar son en gran medida invisibles para las herramientas de endpoint a menos que la organización haya desplegado MDM (Mobile Device Management) con el alcance apropiado.

Análisis de red: Logs DNS y de proxy

Los logs de consultas DNS y los datos de proxy web revelan a qué dominios están accediendo los empleados. Los picos de tráfico a dominios SaaS desconocidos, servicios de IA o plataformas de intercambio de archivos aparecen claramente en los logs DNS incluso cuando el contenido está cifrado.

Este método funciona bien para el tráfico de red corporativa. No detecta nada de lo que ocurre sobre conexiones móviles, redes domésticas o VPNs que enrutan fuera del proxy corporativo. DNS-over-HTTPS (DoH) y DNS-over-TLS (DoT) cifran las consultas de extremo a extremo, evitando por completo la inspección DNS tradicional sin una política de firewall adicional para bloquearlos.

CASB: Fortalezas y limitaciones

Un CASB (Cloud Access Security Broker) se sitúa entre los usuarios y los servicios en la nube, proporcionando visibilidad, aplicación de políticas y prevención de pérdida de datos para aplicaciones autorizadas y no autorizadas. Los CASB son la herramienta más específicamente diseñada para la detección de shadow IT y pueden identificar miles de servicios en la nube en uso en una organización.

La limitación práctica es la cobertura. Los CASB funcionan mejor cuando el tráfico se enruta a través de ellos — son más efectivos para dispositivos gestionados en redes corporativas. Los empleados que usan cuentas personales en dispositivos personales, o herramientas de IA accedidas a través del navegador sin SSO, pueden no ser visibles. Las funciones de shadow AI integradas dentro de herramientas SaaS ya autorizadas tampoco se detectan normalmente, ya que el dominio padre ya está aprobado.

Un marco de 6 pasos para gestionar el shadow IT

El Marco de Gobernanza de Shadow IT es un proceso de seis pasos: descubrir y clasificar, centralizar credenciales, establecer políticas, agilizar aprobaciones, automatizar el offboarding y construir un programa de concienciación de seguridad. Aborda tanto las dimensiones técnicas como las conductuales del problema. Bloquear herramientas no autorizadas sin habilitar alternativas aprobadas más rápidas falla consistentemente.

Paso 1. Descubrir y clasificar

No se puede gobernar lo que no se puede ver. Comience con un barrido de descubrimiento completo utilizando una combinación de análisis de logs DNS, despliegue de CASB, monitoreo de endpoints y revisión de datos de gastos. El resultado debe ser un inventario clasificado: autorizado, tolerado (conocido pero no aprobado formalmente) y no autorizado.

Clasifique cada aplicación por sensibilidad de datos. Un corrector gramatical gratuito que accede a borradores de correo electrónico tiene un perfil de riesgo diferente a un asistente de codificación de IA con acceso a repositorios.

Paso 2. Implementar una gestión segura de credenciales

Cada cuenta de shadow IT es una credencial no gestionada. La solución no es prohibir las cuentas; es poner las credenciales bajo control centralizado.

Una bóveda centralizada con control de acceso basado en roles (RBAC) proporciona a los empleados un lugar seguro y conveniente para almacenar y compartir credenciales tanto para herramientas aprobadas como para las recién aprobadas. Cuando el acceso está centralizado, el offboarding se vuelve determinístico: revoque el acceso a la bóveda, y el empleado pierde el acceso a todas las credenciales almacenadas allí.

Passwork está disponible como un despliegue autoalojado o en la nube, dando a los equipos la flexibilidad de elegir dónde residen los datos de credenciales. El modelo autoalojado mantiene todo dentro de su propia infraestructura sin dependencia de servicios en la nube de terceros; la opción en la nube le permite comenzar a funcionar sin gestionar su propia infraestructura de servidores. En cualquier caso, los administradores obtienen visibilidad completa de quién tiene acceso a qué y un registro de auditoría completo de cada operación con credenciales. Consulte las guías técnicas para obtener detalles sobre despliegue e integración.

Paso 3. Establecer políticas claras de IA y SaaS

Una prohibición general será ignorada incluso por las personas que la aplican. Una política que defina cómo obtener herramientas aprobadas, qué clasificaciones de datos están permitidas en las herramientas de IA, y qué sucede con los permisos OAuth cuando un empleado se va, es aplicable.

La política debe abordar específicamente:

• Clasificaciones de datos prohibidas para la entrada en herramientas de IA (PII, código fuente, datos financieros, credenciales)
• Ciclos de aprobación y revisión de permisos OAuth
• Tiempo máximo de aprobación para nuevas solicitudes de SaaS (los procesos de aprobación lentos son la razón principal por la que los empleados evitan TI)
• Consecuencias por violaciones de la política

Paso 4. Agilizar el proceso de aprobación

El shadow IT existe porque el camino aprobado es demasiado lento. Si un empleado necesita una herramienta hoy y el proceso de aprobación tarda tres semanas, usará la herramienta sin aprobación y pedirá perdón después, si es que lo pide.

Construya un flujo de aprobación ligero: un formulario de solicitud breve, un SLA de 48 horas para herramientas de bajo riesgo, y un marco de decisión claro basado en la sensibilidad de los datos y la postura de seguridad del proveedor. El objetivo es hacer que «pasar por TI» sea más rápido que «resolverlo por cuenta propia».

Paso 5. Automatizar los flujos de trabajo de offboarding

El offboarding manual es donde nacen las cuentas huérfanas. Cuando un empleado se va, TI normalmente desaprovisiona las cuentas que conoce. Las cuentas de shadow IT, por definición, no están en esa lista.

Los flujos de trabajo de offboarding automatizados, activados por eventos de baja en el HRIS, deben:

• Revocar el acceso a SSO e IdP inmediatamente
• Rotar o invalidar todas las credenciales almacenadas en la bóveda centralizada para ese usuario
• Auditar y revocar los permisos OAuth asociados con la identidad corporativa del usuario
• Transferir la propiedad de los recursos compartidos antes de que se corte el acceso

Las guías de usuario de Passwork cubren en detalle los flujos de trabajo de offboarding de la bóveda de credenciales, incluyendo cómo manejar contraseñas compartidas y credenciales de cuentas de servicio que necesitan rotarse, no solo revocarse.

Paso 6. Construir un programa de concienciación de seguridad

Las políticas y herramientas por sí solas no cambian el comportamiento. Los empleados adoptan shadow IT porque no entienden el riesgo, no saben que existe la alternativa aprobada, o encuentran el camino aprobado demasiado lento. Un programa de concienciación de seguridad aborda directamente los dos primeros.

• Haga el riesgo tangible: mostrar a los empleados un ejemplo real de cómo funciona un ataque de reutilización de credenciales tiene más impacto que una diapositiva sobre «protección de datos». Publicite el conjunto de herramientas aprobadas; los empleados que conocen una alternativa rápida y autorizada tienen menos probabilidades de recurrir a una no aprobada. 
• Cree una cultura de reporte: los empleados deben sentirse cómodos señalando las herramientas que ya están usando sin temor a un castigo inmediato. El descubrimiento a través del autorreporte es más rápido y más barato que el descubrimiento a través de una brecha.
• La formación anual no es suficiente. Las sesiones de microformación trimestrales (10-15 minutos, basadas en escenarios) superan consistentemente a los módulos de cumplimiento anuales en estudios de retención. Las simulaciones de phishing que incluyen falsos formularios de registro de SaaS — no solo señuelos por correo electrónico — prueban exactamente el comportamiento que la gobernanza del shadow IT está tratando de cambiar.

Mida el efecto del programa en las tasas de descubrimiento de shadow IT, no solo en los porcentajes de finalización de la formación. La finalización es una métrica de entrada. La reducción en la adopción de herramientas no autorizadas es el resultado que importa.

Conclusión: Haga que el camino aprobado sea más rápido que el atajo

Las organizaciones que gestionan eficazmente el shadow IT son las que hicieron que el camino aprobado fuera más rápido que el atajo. No las que tienen las políticas de bloqueo más estrictas.

Eso significa un programa de descubrimiento que funcione continuamente. Una bóveda de credenciales que los empleados realmente quieran usar porque les ahorra tiempo. Un flujo de trabajo de offboarding que se active automáticamente en el momento en que se desencadena un evento de baja en el HRIS. Una política de IA que diga a los empleados lo que pueden hacer con las herramientas de IA, no solo lo que no pueden. Y un programa de concienciación de seguridad que haga el riesgo real en lugar de abstracto.

Para las organizaciones europeas, las apuestas son aún más altas. El Artículo 28 del GDPR, el Artículo 21 de NIS2 y el Artículo 28 de DORA no tratan el shadow IT como un inconveniente de gobernanza; lo tratan como un fallo de cumplimiento con penalizaciones cuantificadas asociadas. El incremento de coste de 670.000 dólares por shadow AI del informe de IBM de 2025 no es una abstracción. Es lo que sucede cuando la gobernanza va por detrás de la adopción. Cierre esa brecha antes de que la próxima brecha argumente el caso por usted.

Preguntas frecuentes

¿Qué es el shadow IT en 2026?

El shadow IT en 2026 se refiere a cualquier tecnología (software, aplicaciones SaaS, herramientas de IA o agentes autónomos) utilizada por los empleados sin el conocimiento o la aprobación de TI. Incluye aplicaciones no autorizadas tradicionales como intercambio de archivos y mensajería, y riesgos más nuevos como asistentes de IA que procesan datos sensibles y agentes de IA con acceso OAuth persistente a sistemas corporativos.

¿Cuál es la diferencia entre shadow IT y shadow AI?

El shadow IT es tecnología no gestionada que crea residencia de datos no controlada. El shadow AI es uso de IA no gestionado que crea procesamiento de datos no controlado: modelos que analizan información propietaria, generan outputs y toman acciones a través de permisos delegados. El shadow AI conlleva un mayor riesgo porque los datos no solo se almacenan en algún lugar no autorizado; están siendo procesados y utilizados activamente por sistemas fuera de su perímetro de gobernanza.

¿Cuánto cuesta el shadow IT a las organizaciones?

El informe Cost of a Data Breach 2025 de IBM encontró que la participación del shadow AI añade 670.000 dólares al coste promedio de una brecha de 4,44 millones de dólares, llevando las brechas con shadow AI involucrado a aproximadamente 5,11 millones de dólares. Por separado, la investigación de DataFence de 2026 estima que el incidente promedio de ciberataque por shadow IT cuesta 4,2 millones de dólares. Más allá de los costes de brechas, el shadow IT representa un estimado del 30-40% del gasto total de TI en grandes empresas a través de licencias redundantes y gasto desperdiciado.

¿Cómo se detecta el shadow IT?

La detección efectiva del shadow IT combina múltiples métodos: despliegue de CASB para visibilidad de servicios en la nube, análisis de logs DNS y de proxy para descubrimiento a nivel de red, monitoreo de endpoints para actividad a nivel de dispositivo, y revisión de datos de gastos para suscripciones de pago. Ningún método único proporciona cobertura completa. Las herramientas de integración de correo electrónico también pueden revelar cuentas SaaS creadas con direcciones de correo corporativas, incluyendo herramientas de nivel gratuito que no aparecen en los datos de gastos.

¿Cuál es el mayor riesgo de shadow IT en 2026?

El riesgo de mayor gravedad es la exposición de credenciales a través de cuentas huérfanas y reutilización de contraseñas. Cada aplicación no autorizada es una credencial no gestionada, a menudo protegida por una contraseña reutilizada y sin MFA. Cuando esas credenciales se comprometen (a través de una brecha en el proveedor SaaS, un infostealer o credential stuffing) los atacantes obtienen acceso a cuentas que los equipos de seguridad desconocen y no pueden monitorear.

¿Cómo crea el shadow IT exposición al GDPR?

Toda herramienta SaaS no autorizada que procese datos personales es un encargado del tratamiento no autorizado bajo el Artículo 28 del GDPR, que requiere un acuerdo de procesamiento de datos por escrito antes de que comience el procesamiento. Si esa herramienta tiene sede en EE. UU. y transfiere datos personales fuera del EEE sin Cláusulas Contractuales Tipo u otro mecanismo de transferencia válido, los Artículos 44-49 también se violan. Ambas exposiciones surgen en el momento en que un empleado se registra, independientemente de si TI lo sabe.

¿Cómo se relaciona el shadow AI con la Ley de IA de la UE?

La Ley de IA de la UE impone penalizaciones a las organizaciones que utilizan sistemas de IA de alto riesgo sin una gobernanza adecuada — hasta 15 millones de euros o el 3% de la facturación anual global según el Artículo 99(4). Los empleados que utilizan herramientas de IA no aprobadas que procesan datos personales o influyen en decisiones importantes pueden estar operando sistemas de IA de alto riesgo fuera del marco de cumplimiento de la organización, creando una exposición regulatoria directa sin que haya tenido lugar ninguna evaluación formal de riesgos.

¿Por qué falla bloquear el shadow IT?

La prohibición sin habilitación empuja al shadow IT a la clandestinidad en lugar de eliminarlo. Cuando los empleados no pueden obtener lo que necesitan a través de canales oficiales con suficiente rapidez, encuentran alternativas. La respuesta efectiva es la habilitación estructurada: procesos de aprobación rápidos, alternativas aprobadas y seguras, gestión centralizada de credenciales, y un programa de concienciación de seguridad que haga del camino conforme el camino conveniente.

10 fallos de seguridad en el trabajo remoto (y cómo solucionarlos)

10 fallos de seguridad en el trabajo remoto — y el principio único detrás de todos ellos: la seguridad se rompe donde el camino seguro tiene más fricción que el inseguro. Casos reales, soluciones realistas, una línea base de 5 capas contra la que su equipo puede auditar.

Passwork BlogAlex Muntyan

Shadow IT vs shadow AI: Por qué la IA es la mayor amenaza

Los empleados están usando herramientas de IA que usted no aprobó, en cuentas que no puede monitorear, con datos que no puede recuperar. Así es como realmente luce el riesgo y qué debe abordar la gobernanza.

Passwork BlogAlex Muntyan

Guía de seguridad de la cadena de suministro: Riesgos de proveedores, regulaciones, control de acceso en 2026

El 48% de las brechas ahora involucran a un tercero. Esta guía cubre los patrones de ataque detrás de SolarWinds, MOVEit y XZ Utils — y los controles de acceso, prácticas de gestión de credenciales y requisitos regulatorios que realmente los detienen.

Passwork BlogAlex Muntyan

Schatten-IT im Jahr 2026 sieht völlig anders aus als noch vor fünf Jahren. Das Problem sind jetzt KI-Agenten mit persistenten OAuth-Tokens, LLM-Sitzungen, die stillschweigend proprietären Quellcode verarbeiten, und verwaiste SaaS-Accounts, an deren Einrichtung sich niemand erinnert. Jedes einzelne Element erweitert die Angriffsfläche des Unternehmens weit über das hinaus, wofür ein traditioneller Netzwerkperimeter konzipiert war.

Laut dem State of Shadow AI-Bericht von UpGuard nutzen über 80 % der Mitarbeiter nicht genehmigte KI-Tools. Eine Gartner-Umfrage unter 302 Cybersicherheitsverantwortlichen (März–Mai 2025) ergab, dass 69 % der Organisationen entweder vermuten oder bestätigt haben, dass Mitarbeiter verbotene öffentliche GenAI-Tools nutzen. Gartner prognostiziert, dass bis 2030 mehr als 40 % der Unternehmen einen Sicherheits- oder Compliance-Vorfall im Zusammenhang mit nicht autorisierter Schatten-KI erleben werden.

Der DTEX/Ponemon-Bericht 2026 zu den Kosten von Insider-Risiken beziffert die jährlichen Kosten durch Insider-Fahrlässigkeit — hauptsächlich verursacht durch Schatten-KI — auf 10,3 Millionen US-Dollar pro Organisation. Diese Summe umfasst Vorfälle ohne böswillige Absicht: lediglich Mitarbeiter, die Tools nutzen, die die IT nie genehmigt hat, und Budgets, die stillschweigend Infrastruktur finanzieren, die niemand sehen oder absichern kann.

Wichtigste Erkenntnisse

• Schatten-IT im Jahr 2026 ist ebenso ein KI-Problem wie ein SaaS-Problem. KI-Agenten mit persistenten OAuth-Tokens, LLM-Sitzungen, die proprietären Quellcode verarbeiten, und verwaiste SaaS-Accounts, die ihre Besitzer überdauern, stellen jetzt die Risiken mit der höchsten Schwere dar.
• Schatten-KI unterscheidet sich grundlegend von traditioneller Schatten-IT. Nicht genehmigte SaaS-Tools speichern Daten am falschen Ort. Nicht genehmigte KI-Tools verarbeiten, analysieren und handeln auf deren Basis.
• Das finanzielle Risiko ist quantifiziert. IBMs Cost of a Data Breach Report 2025 ergab, dass die Beteiligung von Schatten-KI 670.000 US-Dollar zu den durchschnittlichen Kosten eines Datenlecks von 4,44 Millionen US-Dollar hinzufügt. Der DTEX/Ponemon-Bericht 2026 zu den Kosten von Insider-Risiken beziffert die jährlichen Kosten durch KI-bedingte Insider-Fahrlässigkeit auf 10,3 Millionen US-Dollar pro Organisation.
• Die Erkennung erfordert mindestens fünf parallel arbeitende Datenquellen. CASB, DNS-Protokollanalyse, EDR, Ausgabendatenprüfung und E-Mail-Integrations-Scans decken jeweils einen anderen Teil der Umgebung ab. Keine einzelne Methode erfasst gleichzeitig persönliche Geräte, Free-Tier-Accounts und verwaltete Endpunkte.
• Europäische Organisationen sind mehrschichtigen regulatorischen Risiken ausgesetzt. Nicht genehmigte SaaS-Tools verstoßen gegen DSGVO-Artikel 28, sobald sie personenbezogene Daten ohne unterzeichneten Auftragsverarbeitungsvertrag verarbeiten. NIS2-Artikel 21 behandelt ungeprüfte Drittanbieter-Tools als Lieferkettenrisiko. DORA-Artikel 28 verlangt von Finanzunternehmen, jeden IKT-Anbieter zu registrieren — ob Schatten oder nicht.
• Sperren ohne Ermöglichen scheitert durchgehend. Fast die Hälfte der Mitarbeiter nutzt persönliche KI-Accounts weiter, nachdem eine organisatorische Sperre verhängt wurde. Die wirksame Antwort besteht darin, den genehmigten Weg schneller als den Workaround zu gestalten: ein schlanker Genehmigungsworkflow, zentralisiertes Credential-Management und ein Security-Awareness-Programm, das das Risiko greifbar macht.
• Das 6-Schritte-Framework zur Schatten-IT-Governance — Entdecken und Klassifizieren, Credentials zentralisieren, Richtlinien etablieren, Genehmigungen optimieren, Offboarding automatisieren, Security-Awareness aufbauen — adressiert sowohl die technischen als auch die verhaltensbezogenen Aspekte des Problems. Tooling übernimmt die Erkennung. Das Framework verändert die Anreizstruktur, die die Schatten-IT-Nutzung überhaupt erst antreibt.

Was ist Schatten-IT?

Schatten-IT ist jede Technologie (Software, Cloud-Service, KI-Tool oder Hardware), die Mitarbeiter für die Arbeit ohne Wissen oder formale Genehmigung der IT nutzen. Sie reicht von einem persönlichen Dropbox-Ordner zum Teilen von Projektdateien bis hin zu einem KI-Coding-Assistenten mit OAuth-Zugriff auf Produktions-Repositories. Der gemeinsame Nenner: keine Sicherheitsüberprüfung, kein Beschaffungsnachweis, kein Audit-Trail.

Schatten-IT ist kein Nischenproblem. Gartner beziffert den Anteil der IT-Ausgaben für nicht genehmigte Tools in Großunternehmen auf 30-40 %. Die Analyse von Harmonic Security von 22,4 Millionen Unternehmens-KI-Prompts identifizierte 665 verschiedene generative KI-Tools, die in Unternehmensumgebungen laufen — doch nur 40 % dieser Organisationen hatten ein offizielles KI-Abonnement erworben. Der GenAI-Traffic stieg allein im Jahr 2024 um mehr als 890 %.

Schatten-IT vs. Schatten-KI: Wie sich die Risiken vergleichen

Was treibt Mitarbeiter zur Nutzung von Schatten-IT?

Mitarbeiter greifen zu nicht genehmigten Tools, wenn genehmigte Alternativen zu langsam, zu eingeschränkt oder schlicht noch nicht vorhanden sind. Die Reibung ist die Ursache: Ein Entwickler, der drei Wochen auf einen lizenzierten KI-Assistenten wartet, wird bis zum Ende des Tages einen kostenlosen gefunden haben.

Drei Muster wiederholen sich in Organisationen jeder Größe:

• Geschwindigkeit vor Prozess. Mitarbeiter greifen zu dem, was die Arbeit am schnellsten erledigt. Wenn genehmigte Tools nicht mit dem mithalten, was außerhalb des Unternehmens frei verfügbar ist, ist die Wahl offensichtlich: Das nutzen, was funktioniert.
• Beschaffungsverzögerung. Unternehmens-Softwarezyklen laufen in Quartalen. KI-Tooling wird in Wochen ausgeliefert. Bis die IT ein Tool evaluiert und genehmigt hat, haben Mitarbeiter bereits Workflows um dessen Free-Tier-Äquivalent aufgebaut.
• Funktionale Lücken. Genehmigte Tools decken oft keine Randfälle ab. Ein Datenanalyst, der eine schnelle Python-Umgebung benötigt, oder ein Designer, der einen bestimmten Bildgenerator braucht, wird zu dem greifen, was funktioniert, nicht zu dem, was auf der genehmigten Liste steht.
• Keine Feedback-Schleife. Mitarbeiter melden selten die Tools, die sie nutzen, weil es keinen einfachen Kanal dafür gibt. Die IT weiß nicht, was zu steuern ist. Die Sicherheitsabteilung weiß nicht, was zu prüfen ist. Die Kluft zwischen tatsächlicher Tool-Nutzung und genehmigtem Inventar wächst stillschweigend.
• Verbote halten nicht. Fast die Hälfte der Mitarbeiter nutzt persönliche KI-Accounts weiter, nachdem eine organisatorische Sperre verhängt wurde. Verbote eliminieren Schatten-IT nicht. Sie drängen sie nur aus dem Blickfeld, was die Erkennung erschwert und die Reaktion verlangsamt.

Diese Muster sind eine vorhersehbare Reaktion auf Governance-Strukturen, die nicht mit der Geschwindigkeit mitgehalten haben, mit der sich Tooling entwickelt. Diese Lücke macht Schatten-IT zu einem systemischen Risiko statt zu einem Disziplinproblem.

Die Entwicklung der Schatten-IT im Jahr 2026

Schatten-IT im Jahr 2026 geht weit über unverwalteten Cloud-Speicher hinaus. Sie umfasst jetzt KI-Tools, autonome Agenten und ganze SaaS-Ökosysteme, die die IT nie genehmigt, nie inventarisiert hat und nicht überwachen kann. Das durchschnittliche Unternehmen betreibt 305 SaaS-Anwendungen, gibt jährlich 55,7 Millionen US-Dollar für SaaS aus und hat ein Wachstum der Ausgaben für KI-native Apps von 108 % im Jahresvergleich erlebt — wobei der Großteil dieses Wachstums schneller stattfindet, als Governance-Teams es verfolgen können.

Von SaaS-Wildwuchs zu Schatten-KI

Die Zahl von 305 Anwendungen stammt aus dem Zylo SaaS Management Index 2026, der auf realen Ausgabendaten aus Tausenden von Organisationen basiert. Ein erheblicher Anteil dieser Anwendungen wurde nie formal genehmigt. Mitarbeiter adoptieren Tools eigenständig, und die IT erfährt Monate später davon, wenn überhaupt.

Schatten-KI beschleunigt diese Dynamik. Kostenlose KI-Assistenten, Code-Generatoren und autonome Agenten wurden schneller allgemein verfügbar, als Beschaffungszyklen reagieren konnten. Der Check Point Cloud Security Report 2026 ergab, dass 78-80 % der Arbeitnehmer persönliche KI-Tools bei der Arbeit nutzen. Die meisten dieser Sitzungen finden über persönliche Accounts statt, außerhalb von SSO, außerhalb von DLP und ohne Audit-Trail.

Der Unterschied sollte präzise benannt werden: 

• Traditionelle Schatten-IT erzeugt unverwaltete Datenresidenz: Dateien, die in einem nicht genehmigten Service liegen. 
• Schatten-KI erzeugt unverwaltete Datenverarbeitung: proprietäre Informationen, die von Systemen analysiert, zusammengefasst und verarbeitet werden, die Ihr Sicherheitsteam nie überprüft hat.

Warum die Angriffsfläche weiter wächst

Drei strukturelle Kräfte treiben dies an:

• Remote- und Hybridarbeit hat den Netzwerkperimeter als natürlichen Kontrollpunkt entfernt. Mitarbeiter, die von zu Hause aus arbeiten, adoptieren Tools, ohne Anfragen über die IT zu leiten.
• Free-Tiers sind überall. Die meisten SaaS-Tools bieten einen kostenlosen Einstieg. Keine Bestellung, kein Genehmigungsticket, keine Sichtbarkeit.
• Die Verbreitung von KI-Agenten hat die Einsätze verändert. Agenten arbeiten über delegierte OAuth-Berechtigungen — sie lesen Daten, lösen Workflows aus und ändern Datensätze autonom. Ein Entwickler, der einen KI-Coding-Assistenten mit seinem GitHub-Account verbindet, hat diesem Agenten möglicherweise Lese-/Schreibzugriff auf Repositories gewährt. Wenn der Entwickler das Unternehmen verlässt, bleibt die OAuth-Berechtigung bestehen.

Gartner prognostiziert, dass bis 2027 75 % der Mitarbeiter Technologie außerhalb der Sichtbarkeit der IT erwerben, modifizieren oder erstellen werden — ein Anstieg von 41 % im Jahr 2022. Die Richtung ist eindeutig.

Die verborgenen Risiken der Schatten-IT (die Realität 2026)

Schatten-IT im Jahr 2026 ist nicht nur ein Datenleck-Problem. Unverwaltete Tools schaffen persistenten unbefugten Zugriff, exponieren Credentials, lösen Regulierungsverstöße aus und speisen zunehmend Unternehmensdaten in KI-Modelle ein, die kein Sicherheitsteam genehmigt hat oder überwachen kann.

Der Schatten-KI-Risikomultiplikator: Datenverarbeitung vs. Datenspeicherung

Traditionelle Schatten-IT speichert Daten am falschen Ort. Schatten-KI macht etwas damit. Das Einfügen eines Kundenvertrags in ein öffentliches LLM sendet diese Daten an mindestens drei Orte: eine Trainingspipeline, ein Logging-System und potenziell ein Modell, das andere Benutzer abfragen können.

IBMs Cost of a Data Breach Report 2025 beziffert dies: Datenlecks mit hohem Schatten-KI-Anteil fügten durchschnittlich 670.000 US-Dollar zu den Gesamtkosten des Datenlecks hinzu, wodurch der Durchschnitt bei Schatten-KI-Beteiligung auf etwa 5,11 Millionen US-Dollar stieg — gegenüber einem globalen Basiswert von 4,44 Millionen US-Dollar. Derselbe Bericht ergab, dass 97 % der KI-bezogenen Sicherheitsvorfälle Systeme ohne angemessene Zugriffskontrollen betrafen.

Credential-Exposition und Passwort-Wiederverwendung

Schatten-IT ist im Kern ein Identitätsproblem. Jede nicht genehmigte App ist ein neuer Account. Jeder neue Account ist ein Credential. Und die meisten dieser Credentials werden wiederverwendet.

Laut dem Data Breach Investigations Report 2026 von Verizon tauchten gestohlene Credentials bei 39 % aller bestätigten Datenlecks auf, nicht nur als initialer Zugriffsvektor, sondern durchgehend bei Lateral Movement und Persistenz. Wenn ein Mitarbeiter sein Unternehmenspasswort bei einem kostenlosen SaaS-Tool wiederverwendet, das später ein Datenleck erleidet, müssen Angreifer nichts knacken. Sie melden sich einfach an.

Infostealer verschärfen dies. Im Jahr 2025 indexierte Recorded Future 1,95 Milliarden malware-basierte Credential-Expositionen, von denen 31 % aktive Session-Cookies enthielten, die MFA vollständig umgehen. Schatten-IT-Accounts, unüberwacht, oft ohne konfiguriertes MFA, sind genau die Art von Ziel, für die Infostealer gebaut sind.

Das Passwort-Wiederverwendungsrisiko ist ein dokumentiertes, automatisiertes Angriffsmuster im industriellen Maßstab.

Der Offboarding-Albtraum: Verwaiste Accounts

Wenn ein Mitarbeiter das Unternehmen verlässt, werden seine verwalteten Accounts deprovisioniert. Seine Schatten-IT-Accounts nicht. Niemand weiß, dass sie existieren.

Der Figma-Workspace des ehemaligen Entwicklers, die persönliche HubSpot-Testversion des Vertriebsmitarbeiters mit exportierten CRM-Daten, die Notion-Seite des Auftragnehmers mit internen Architekturnotizen: All dies bleibt unbegrenzt bestehen, nachdem die Person das Unternehmen verlassen hat.

Die Konsequenzen können schwerwiegend sein. In einem dokumentierten Fall griff ein ehemaliger Cisco-Mitarbeiter fünf Monate nach seiner Kündigung auf eine in AWS gehostete virtuelle Maschinen-Infrastruktur zu und löschte 456 virtuelle Maschinen, wodurch mehr als 16.000 WebEx-Teams-Accounts fast zwei Wochen lang offline waren.

Das US-Justizministerium bestätigte, dass der Vorfall Cisco etwa 2,4 Millionen US-Dollar an Behebungskosten und Kundenerstattungen kostete, und der ehemalige Mitarbeiter wurde zu 24 Monaten Bundesgefängnis verurteilt (United States v. Sudhish Kasaba Ramesh, Case No. 5:20-cr-00102). Das war ein verwaltetes System. Verwaiste Schatten-IT-Accounts sind schwieriger zu finden und brauchen länger zum Schließen — falls sie überhaupt geschlossen werden.

KI-Agenten und unverwaltete OAuth-Berechtigungen

Dies ist die Bedrohung, die die meisten Organisationen noch nicht verfolgen. KI-Agenten arbeiten über delegierte OAuth-Berechtigungen: Ein Benutzer gewährt dem Agenten Zugriff auf Google Drive, GitHub oder Slack, und der Agent kann kontinuierlich auf diesem Zugriff lesen, schreiben und handeln — nicht nur während der Sitzung.

Wenn sich der Benutzer abmeldet, bleibt die OAuth-Berechtigung bestehen. Wenn der Benutzer das Unternehmen verlässt, bleibt die OAuth-Berechtigung bestehen. Der Agent hat möglicherweise noch Wochen oder Monate nach dem Ausscheiden der Person, die ihn autorisiert hat, Zugriff auf Unternehmens-Repositories, E-Mail-Threads und freigegebene Laufwerke.

Der Okta-Bericht AI Agents at Work 2026 ergab, dass 58 % der Organisationen im vergangenen Jahr einen KI-bezogenen Sicherheitsvorfall erlitten haben, doch 90 % der Führungskräfte gaben an, keinen vollständigen Überblick darüber zu haben, welche KI-Agenten in ihrer Organisation arbeiten. Die Lücke zwischen Adoption und Governance ist der Ort, an dem das Risiko lebt.

Compliance-Verstöße und regulatorische Bußgelder

Nicht genehmigte Apps erfüllen nicht die Anforderung von DSGVO-Artikel 32 nach „geeigneten technischen und organisatorischen Maßnahmen" zum Schutz personenbezogener Daten. Sie erfüllen nicht die technischen Schutzanforderungen von HIPAA unter 45 CFR § 164.312. Sie erfüllen nicht PCI-DSS-Anforderung 12.8 für die Verwaltung von Drittanbieter-Dienstleistern.

Der EU AI Act fügt eine weitere Ebene hinzu. Hochrisiko-KI-Systeme, die ohne ordnungsgemäße Governance eingesetzt werden, können mit Strafen von bis zu 15 Millionen Euro oder 3 % des weltweiten Jahresumsatzes gemäß Artikel 99(4) belegt werden.

Der Finanzdienstleistungssektor hat bereits erfahren, wie regulatorische Durchsetzung in der Praxis aussieht. Im September 2022 verhängten die SEC und CFTC gegen 16 Wall-Street-Firmen zusammen 1,8 Milliarden US-Dollar Bußgelder, weil Mitarbeiter WhatsApp und andere nicht genehmigte Messaging-Apps für geschäftliche Kommunikation nutzten — ein klassischer Schatten-IT-Verstoß, den die Aufsichtsbehörden als Verstoß gegen die Aufzeichnungspflicht behandelten. Die Pressemitteilung der SEC macht deutlich, dass die „weit verbreitete und langjährige" Nutzung von Off-Channel-Kommunikation kein mildernder Faktor ist; es ist ein erschwerender.

Europäische regulatorische Exposition: DSGVO, NIS2 und DORA

Für Organisationen, die in der EU tätig sind, erzeugt Schatten-IT mehrschichtige regulatorische Exposition über drei verschiedene Rahmenwerke hinweg. Jedes zielt auf eine andere Dimension des Problems ab, und zusammen lassen sie sehr wenig Raum für „wir wussten es nicht".

DSGVO: Nicht autorisierte Auftragsverarbeiter und grenzüberschreitende Übermittlungen

DSGVO-Artikel 32 ist die Vorschrift, die die meisten Organisationen zitieren. Aber Artikel 28 ist derjenige, gegen den Schatten-IT zuerst verstößt. Jedes nicht genehmigte SaaS-Tool, das personenbezogene Daten verarbeitet, ist nach DSGVO-Terminologie ein Auftragsverarbeiter. Artikel 28 verlangt vor Beginn der Verarbeitung einen schriftlichen Auftragsverarbeitungsvertrag (AV-Vertrag) mit jedem solchen Auftragsverarbeiter. Ein Mitarbeiter, der sich mit seiner geschäftlichen E-Mail für ein kostenloses KI-Tool anmeldet und es mit Kundendaten füttert, hat eine nicht autorisierte Auftragsverarbeiterbeziehung geschaffen — ohne AV-Vertrag, ohne Due Diligence und ohne Nachweis.

Die Artikel 44 bis 49 verstärken die Exposition. Viele US-basierte SaaS- und KI-Tools übermitteln personenbezogene Daten außerhalb des Europäischen Wirtschaftsraums. Ohne einen gültigen Übermittlungsmechanismus (Standardvertragsklauseln, Angemessenheitsbeschluss oder verbindliche interne Datenschutzvorschriften) verstößt diese Übermittlung gegen die DSGVO, unabhängig davon, wie das Tool eingeführt wurde. Mitarbeiter, die Tools eigenständig auswählen, haben keine Sichtbarkeit darüber, wo Daten verarbeitet oder gespeichert werden.

Europäische Datenschutzbehörden haben beide Vorschriften durchgesetzt. Im Jahr 2023 verhängte die Irish Data Protection Commission gegen Meta ein Bußgeld von 1,2 Milliarden Euro gemäß Artikel 46 für rechtswidrige Datenübermittlungen in die USA — das höchste DSGVO-Bußgeld bisher. Obwohl dieser Fall einen Plattformbetreiber und keinen Unternehmensendnutzer betraf, gilt das zugrunde liegende Prinzip: Das Fehlen eines gültigen Übermittlungsmechanismus ist ein Verstoß, unabhängig von der Absicht.

NIS2: Zugriffskontrolle und Lieferkettenpflichten

Die NIS2-Richtlinie (Richtlinie EU 2022/2555), die seit Oktober 2024 für wesentliche und wichtige Einrichtungen in der EU gilt, adressiert direkt die Bedingungen, die Schatten-IT schafft. Artikel 21(2) legt zehn Mindestmaßnahmen für das Cybersicherheits-Risikomanagement fest. Drei sind direkt von Schatten-IT betroffen:

• Artikel 21(2)(d): Sicherheit der Lieferkette, einschließlich Sicherheitsaspekte hinsichtlich der Beziehungen zwischen jeder Einrichtung und ihren direkten Lieferanten oder Dienstleistern. Jedes nicht genehmigte SaaS-Tool ist faktisch eine ungeprüfte Lieferantenbeziehung.
• Artikel 21(2)(i): Richtlinien und Verfahren bezüglich der Nutzung von Kryptographie und, wo angemessen, Verschlüsselung.
• Artikel 21(2)(j): Personalsicherheit, Zugriffskontrollrichtlinien und Asset-Management.

NIS2-Strafen erreichen 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes für wesentliche Einrichtungen und 7 Millionen Euro oder 1,4 % für andere. Die Umsetzung in den Mitgliedstaaten variiert, aber das Rahmenwerk ist jetzt in der gesamten EU aktiv.

Die NIS2-Compliance-Seite von Passwork erläutert detailliert, wie zentralisiertes Credential-Management auf die Anforderungen von NIS2-Artikel 21 abgestimmt ist.

DORA: IKT-Drittparteirisiko für Finanzunternehmen

Der Digital Operational Resilience Act (DORA, Verordnung EU 2022/2554) gilt seit Januar 2025 für Finanzunternehmen, die in der EU tätig sind: Banken, Versicherer, Wertpapierfirmen, Zahlungsdienstleister und ihre kritischen IKT-Anbieter. Artikel 28 verlangt von Finanzunternehmen, ein Register aller IKT-Drittanbieter zu führen und vor der Einbindung eines neuen Anbieters eine vorvertragliche Due Diligence durchzuführen.

Schatten-SaaS fällt direkt in den Anwendungsbereich. Ein Mitarbeiter bei einer Bank, der ein nicht genehmigtes Projektmanagement-Tool oder einen KI-Assistenten einführt, hat eine nicht registrierte IKT-Drittparteibeziehung geschaffen. Nach DORA ist das kein IT-Governance-Problem; es ist ein regulatorischer Verstoß. Die Europäischen Aufsichtsbehörden (EBA, ESMA, EIOPA) haben die Befugnis zur Untersuchung und Sanktionierung. In Jurisdiktionen, in denen die nationale Umsetzung dies vorsieht, kann auch eine strafrechtliche Haftung auf Managementebene gelten.

Für IT- und Compliance-Teams im Finanzsektor ist die Erkennung von Schatten-IT nicht mehr nur Best Practice. Nach DORA ist es eine gesetzliche Pflicht.

Die finanziellen Auswirkungen: Quantifizierung der Kosten von Schatten-IT

Schatten-IT verursacht zwei unterschiedliche Kostenarten: Datenleck-Exposition und verschwendete Ausgaben. IBMs Cost of a Data Breach Report 2025 ergab, dass die Beteiligung von Schatten-KI 670.000 US-Dollar zu den durchschnittlichen Kosten eines Datenlecks von 4,44 Millionen US-Dollar hinzufügt. Auf der Ausgabenseite beziffert der Zylo SaaS Management Index 2026 die durchschnittlich verschwendeten Lizenzausgaben auf 21 Millionen US-Dollar pro Jahr — verursacht durch redundante Tools, ungenutzte Plätze und Käufe, von denen die IT nie wusste.

IBM-Daten 2025: Die 670.000-Dollar-Schatten-KI-Strafe

IBMs Cost of a Data Breach Report 2025 ist der maßgeblichste verfügbare Benchmark zum Verständnis der finanziellen Konsequenzen unverwalteter KI. Die Hauptzahlen:

• Globale durchschnittliche Kosten eines Datenlecks: 4,44 Millionen US-Dollar
• Die Beteiligung von Schatten-KI fügt diesem Durchschnitt 670.000 US-Dollar hinzu, wodurch die Zahl bei Schatten-KI-Beteiligung auf etwa 5,11 Millionen US-Dollar steigt
• 97 % der KI-bezogenen Vorfälle betrafen Systeme ohne angemessene Zugriffskontrollen
• 20 % der Organisationen meldeten 2025 einen Sicherheitsvorfall, der direkt mit Schatten-KI verbunden war

Der Aufschlag von 670.000 US-Dollar ist der inkrementelle Aufwand für Untersuchung, Eindämmung, Benachrichtigung und Behebung, wenn KI-Systeme beteiligt sind, von denen Sicherheitsteams nichts wussten.

Verschwendete IT-Ausgaben und redundante Lizenzierung

Organisationen zahlen für genehmigte Tools, während Mitarbeiter stillschweigend kostenlose oder günstigere Alternativen einführen. Das Ergebnis: doppelte Funktionalität, verwaiste Lizenzen und Ausgaben, für die niemand verantwortlich ist.

Laut dem Zylo SaaS Management Index 2026 verschwendet die durchschnittliche Organisation jährlich 21 Millionen US-Dollar allein für ungenutzte SaaS-Lizenzen — und die durchschnittliche Nutzungsrate über Unternehmens-SaaS-Portfolios hinweg liegt bei nur 47 %. Für mittelständische Unternehmen mit 500 oder weniger Mitarbeitern erreicht diese Zahl immer noch 4,2 Millionen US-Dollar jährlich an verschwendeten Lizenzausgaben.

Das Muster ist vorhersehbar: Dezentralisierte Beschaffung bedeutet, dass Teams Tools eigenständig anmelden, oft ohne zu wissen, dass bereits ein Unternehmensvertrag für dieselbe Kategorie existiert. Wenn dann noch ein Sicherheitsvorfall hinzukommt, summieren sich die Behebungskosten zusätzlich zur grundlegenden Verschwendung zu einer erheblichen finanziellen Exposition.

Wie man Schatten-IT und Schatten-KI erkennt

Die Erkennung von Schatten-IT im Jahr 2026 erfordert die Kombination von mindestens fünf Datenquellen: CASB-Deployment (Cloud Access Security Broker), DNS-Protokollanalyse, EDR (Endpoint Detection and Response), Ausgabendatenprüfung und E-Mail-Integrations-Scanning. Jede Methode deckt einen anderen Teil der Umgebung ab. Keine deckt alles ab. Blinde Flecken sind strukturell, nicht zufällig — kein einzelnes Tool sieht gleichzeitig persönliche Geräte, Free-Tier-Accounts und verwaltete Endpunkte.

Endpunkt-Monitoring und Browser-Erweiterungen

EDR-Tools und Browser-Erweiterungs-Audits können nicht autorisierte SaaS-Nutzung direkt auf dem Gerät aufdecken. Browser-Verlaufsanalyse, Erweiterungsinventare und agentenbasiertes Monitoring erfassen Aktivitäten, die nie das Unternehmensnetzwerk berühren.

Die Einschränkung: BYOD-Umgebungen (Bring Your Own Device) und persönliche Geräte, die für die Arbeit genutzt werden, sind für Endpunkt-Tools weitgehend unsichtbar, es sei denn, die Organisation hat MDM (Mobile Device Management) mit entsprechendem Umfang bereitgestellt.

Netzwerkanalyse: DNS- und Proxy-Protokolle

DNS-Abfrageprotokolle und Web-Proxy-Daten zeigen, auf welche Domains Mitarbeiter zugreifen. Spitzen im Traffic zu unbekannten SaaS-Domains, KI-Services oder File-Sharing-Plattformen erscheinen deutlich in DNS-Protokollen, selbst wenn der Inhalt verschlüsselt ist.

Diese Methode funktioniert gut für Unternehmensnetzwerk-Traffic. Sie verfehlt alles, was über Mobilfunkverbindungen, Heimnetzwerke oder VPNs geschieht, die außerhalb des Unternehmens-Proxys routen. DNS-over-HTTPS (DoH) und DNS-over-TLS (DoT) verschlüsseln Abfragen Ende-zu-Ende und umgehen traditionelle DNS-Inspektion vollständig, ohne zusätzliche Firewall-Richtlinien zur Blockierung.

CASB: Stärken und Einschränkungen

Ein CASB (Cloud Access Security Broker) sitzt zwischen Benutzern und Cloud-Services und bietet Sichtbarkeit, Richtliniendurchsetzung und Data-Loss-Prevention für genehmigte und nicht genehmigte Apps. CASBs sind das am besten geeignete Tool zur Erkennung von Schatten-IT und können Tausende von Cloud-Services identifizieren, die in einer Organisation genutzt werden.

Die praktische Einschränkung ist die Abdeckung. CASBs funktionieren am besten, wenn Traffic durch sie geleitet wird — am effektivsten für verwaltete Geräte in Unternehmensnetzwerken. Mitarbeiter, die persönliche Accounts auf persönlichen Geräten nutzen, oder KI-Tools, auf die über den Browser ohne SSO zugegriffen wird, sind möglicherweise nicht sichtbar. Schatten-KI-Funktionen, die in bereits genehmigten SaaS-Tools eingebettet sind, werden typischerweise ebenfalls nicht erkannt, da die übergeordnete Domain bereits genehmigt ist.

Ein 6-Schritte-Framework zur Verwaltung von Schatten-IT

Das Schatten-IT-Governance-Framework ist ein sechsstufiger Prozess: Entdecken und Klassifizieren, Credentials zentralisieren, Richtlinien etablieren, Genehmigungen optimieren, Offboarding automatisieren und ein Security-Awareness-Programm aufbauen. Es adressiert sowohl die technischen als auch die verhaltensbezogenen Dimensionen des Problems. Das Blockieren nicht genehmigter Tools ohne schnellere genehmigte Alternativen scheitert durchgehend.

Schritt 1. Entdecken und klassifizieren

Was nicht sichtbar ist, kann nicht gesteuert werden. Beginnen Sie mit einer umfassenden Entdeckungsanalyse unter Verwendung einer Kombination aus DNS-Protokollanalyse, CASB-Deployment, Endpunkt-Monitoring und Ausgabendatenprüfung. Das Ergebnis sollte ein klassifiziertes Inventar sein: genehmigt, toleriert (bekannt, aber nicht formal genehmigt) und nicht genehmigt.

Klassifizieren Sie jede Anwendung nach Datensensibilität. Ein kostenloser Grammatik-Checker, der auf E-Mail-Entwürfe zugreift, hat ein anderes Risikoprofil als ein KI-Coding-Assistent mit Repository-Zugriff.

Schritt 2. Sicheres Credential-Management implementieren

Jeder Schatten-IT-Account ist ein unverwaltetes Credential. Die Lösung besteht nicht darin, Accounts zu verbieten; es geht darum, Credentials unter zentralisierte Kontrolle zu bringen.

Ein zentralisierter Tresor mit rollenbasierter Zugriffskontrolle (RBAC) gibt Mitarbeitern einen sicheren, bequemen Ort zum Speichern und Teilen von Credentials für genehmigte und neu genehmigte Tools. Wenn der Zugriff zentralisiert ist, wird Offboarding deterministisch: Entziehen Sie den Tresor-Zugriff, und der Mitarbeiter verliert den Zugriff auf jedes dort gespeicherte Credential.

Passwork ist als Self-Hosted-Deployment oder in der Cloud verfügbar und gibt Teams die Flexibilität zu wählen, wo Credential-Daten gespeichert werden. Das Self-Hosted-Modell hält alles in Ihrer eigenen Infrastruktur ohne Abhängigkeit von Cloud-Services Dritter; die Cloud-Option ermöglicht den schnellen Start ohne Verwaltung eines eigenen Server-Stacks. In beiden Fällen erhalten Administratoren vollständige Sichtbarkeit darüber, wer Zugriff auf was hat, sowie ein vollständiges Audit-Protokoll jeder Credential-Operation. Weitere Informationen zu Deployment und Integration finden Sie in den technischen Anleitungen.

Schritt 3. Klare KI- und SaaS-Richtlinien etablieren

Ein pauschales Verbot wird selbst von den Personen ignoriert, die es durchsetzen. Eine Richtlinie, die definiert, wie Tools genehmigt werden, welche Datenklassifizierungen in KI-Tools zulässig sind und was mit OAuth-Berechtigungen geschieht, wenn ein Mitarbeiter das Unternehmen verlässt, ist umsetzbar.

Die Richtlinie sollte speziell adressieren:

• Verbotene Datenklassifizierungen für KI-Tool-Eingaben (personenbezogene Daten, Quellcode, Finanzdaten, Credentials)
• OAuth-Berechtigungsgenehmigung und Überprüfungszyklen
• Maximale Zeit bis zur Genehmigung für neue SaaS-Anfragen (langsame Genehmigungsprozesse sind der Hauptgrund, warum Mitarbeiter die IT umgehen)
• Konsequenzen bei Richtlinienverstößen

Schritt 4. Den Genehmigungsprozess optimieren

Schatten-IT existiert, weil der genehmigte Weg zu langsam ist. Wenn ein Mitarbeiter heute ein Tool benötigt und der Genehmigungsprozess drei Wochen dauert, wird er das Tool ohne Genehmigung nutzen und später um Verzeihung bitten, falls überhaupt.

Bauen Sie einen schlanken Genehmigungsworkflow auf: ein kurzes Antragsformular, ein 48-Stunden-SLA für risikoarme Tools und ein klares Entscheidungsframework basierend auf Datensensibilität und Anbieter-Sicherheitsstatus. Das Ziel ist, „über die IT gehen" schneller zu machen als „selbst herausfinden".

Schritt 5. Offboarding-Workflows automatisieren

Manuelles Offboarding ist der Ort, an dem verwaiste Accounts entstehen. Wenn ein Mitarbeiter das Unternehmen verlässt, deprovisioniert die IT typischerweise die ihr bekannten Accounts. Schatten-IT-Accounts stehen per Definition nicht auf dieser Liste.

Automatisierte Offboarding-Workflows, ausgelöst durch HRIS-Kündigungsereignisse, sollten:

• SSO- und IdP-Zugriff sofort widerrufen
• Alle im zentralisierten Tresor für diesen Benutzer gespeicherten Credentials rotieren oder ungültig machen
• OAuth-Berechtigungen, die mit der Unternehmensidentität des Benutzers verbunden sind, prüfen und widerrufen
• Eigentümerschaft freigegebener Ressourcen übertragen, bevor der Zugriff entzogen wird

Die Passwork-Benutzeranleitungen behandeln Credential-Tresor-Offboarding-Workflows im Detail, einschließlich des Umgangs mit geteilten Passwörtern und Service-Account-Credentials, die rotiert werden müssen, nicht nur widerrufen.

Schritt 6. Ein Security-Awareness-Programm aufbauen

Richtlinien und Tooling allein ändern kein Verhalten. Mitarbeiter nutzen Schatten-IT, weil sie das Risiko nicht verstehen, die genehmigte Alternative nicht kennen oder den genehmigten Weg als zu langsam empfinden. Ein Security-Awareness-Programm adressiert die ersten beiden direkt.

• Das Risiko greifbar machen: Mitarbeitern ein reales Beispiel zu zeigen, wie ein Credential-Wiederverwendungsangriff funktioniert, wirkt stärker als eine Folie über „Datenschutz". Machen Sie das genehmigte Toolkit bekannt; Mitarbeiter, die wissen, dass eine schnelle, genehmigte Alternative existiert, greifen seltener zu einer nicht genehmigten. 
• Eine Meldekultur schaffen: Mitarbeiter sollten sich wohl dabei fühlen, Tools zu melden, die sie bereits nutzen, ohne sofortige Bestrafung befürchten zu müssen. Entdeckung durch Selbstmeldung ist schneller und günstiger als Entdeckung durch ein Datenleck.
• Jährliche Schulungen reichen nicht aus. Vierteljährliche Mikro-Schulungen (10-15 Minuten, szenariobasiert) übertreffen in Retentionsstudien durchgehend jährliche Compliance-Module. Phishing-Simulationen, die gefälschte SaaS-Anmeldeaufforderungen enthalten — nicht nur E-Mail-Köder — testen genau das Verhalten, das Schatten-IT-Governance ändern soll.

Verfolgen Sie die Auswirkungen des Programms auf die Schatten-IT-Erkennungsraten, nicht nur auf Schulungsabschlussquoten. Abschluss ist eine Input-Metrik. Die Reduzierung der Nutzung nicht genehmigter Tools ist der Output, der zählt.

Fazit: Den genehmigten Weg schneller machen als den Workaround

Die Organisationen, die Schatten-IT effektiv verwalten, sind diejenigen, die den genehmigten Weg schneller als den Workaround gemacht haben. Nicht diejenigen mit den strengsten Blockierungsrichtlinien.

Das bedeutet ein Entdeckungsprogramm, das kontinuierlich läuft. Einen Credential-Tresor, den Mitarbeiter tatsächlich nutzen wollen, weil er ihnen Zeit spart. Einen Offboarding-Workflow, der automatisch ausgelöst wird, sobald ein HRIS-Kündigungsereignis eintritt. Eine KI-Richtlinie, die Mitarbeitern sagt, was sie mit KI-Tools tun können, nicht nur, was sie nicht dürfen. Und ein Security-Awareness-Programm, das das Risiko real macht statt abstrakt.

Für europäische Organisationen sind die Einsätze noch höher. DSGVO-Artikel 28, NIS2-Artikel 21 und DORA-Artikel 28 behandeln Schatten-IT nicht als Governance-Unannehmlichkeit; sie behandeln sie als Compliance-Verstoß mit quantifizierten Strafen. Der Aufschlag von 670.000 US-Dollar für Schatten-KI aus IBMs Bericht 2025 ist keine Abstraktion. Es ist das, was passiert, wenn Governance der Adoption hinterherhinkt. Schließen Sie diese Lücke, bevor das nächste Datenleck das Argument für Sie liefert.

Häufig gestellte Fragen

10 Remote-Work-Sicherheitsfehler (und wie Sie sie beheben)

10 Remote-Work-Sicherheitsfehler — und das eine Prinzip hinter allen: Sicherheit bricht dort, wo der sichere Weg mehr Reibung hat als der unsichere. Echte Fälle, realistische Lösungen, eine 5-Schichten-Baseline, gegen die Ihr Team prüfen kann.

Passwork BlogAlex Muntyan

Schatten-IT vs. Schatten-KI: Warum KI die größere Bedrohung ist

Mitarbeiter nutzen KI-Tools, die Sie nicht genehmigt haben, auf Accounts, die Sie nicht überwachen können, mit Daten, die Sie nicht wiederherstellen können. So sieht das Risiko tatsächlich aus und was Governance adressieren muss.

Passwork BlogAlex Muntyan

Leitfaden zur Lieferkettensicherheit: Lieferantenrisiken, Vorschriften, Zugriffskontrolle im Jahr 2026

48 % der Datenlecks betreffen jetzt eine Drittpartei. Dieser Leitfaden behandelt die Angriffsmuster hinter SolarWinds, MOVEit und XZ Utils — sowie die Zugriffskontrollen, Credential-Management-Praktiken und regulatorischen Anforderungen, die sie tatsächlich stoppen.

Passwork BlogAlex Muntyan

Shadow IT in 2026 looks nothing like it did five years ago. The problem now is AI agents with persistent OAuth tokens, LLM sessions quietly processing proprietary source code, and orphaned SaaS accounts no one remembers provisioning. Each one extends the corporate attack surface well past anything a traditional network perimeter was designed to handle.

According to UpGuard's State of Shadow AI report, over 80% of employees use unapproved AI tools. A Gartner survey of 302 cybersecurity leaders (March–May 2025) found that 69% of organizations either suspect or have confirmed employees using prohibited public GenAI tools. Gartner predicts that by 2030, more than 40% of enterprises will experience a security or compliance incident tied to unauthorized shadow AI.

The DTEX/Ponemon 2026 Cost of Insider Risks report puts the annual cost of insider negligence driven primarily by shadow AI at $10.3 million per organization. That figure covers incidents where no malicious intent was involved: just employees using tools IT never approved, and budgets quietly funding infrastructure no one can see or secure.

Key takeaways

• Shadow IT in 2026 is an AI problem as much as a SaaS problem. AI agents with persistent OAuth tokens, LLM sessions processing proprietary source code, and orphaned SaaS accounts that outlive their owners are now the highest-severity risks.
• Shadow AI is categorically different from traditional shadow IT. Unsanctioned SaaS tools store data in the wrong place. Unsanctioned AI tools process, analyze, and act on it.
• The financial exposure is quantified. IBM's 2025 Cost of a Data Breach Report found that shadow AI involvement adds $670,000 to the average breach cost of $4.44 million. The DTEX/Ponemon 2026 Cost of Insider Risks report puts the annual cost of AI-driven insider negligence at $10.3 million per organization.
• Detection requires at least five data sources working in parallel. CASB, DNS log analysis, EDR, expense data review, and email integration scanning each cover a different slice of the environment. No single method sees personal devices, free-tier accounts, and managed endpoints simultaneously.
• European organizations face layered regulatory exposure. Unsanctioned SaaS tools violate GDPR Article 28 the moment they process personal data without a signed DPA. NIS2 Article 21 treats unvetted third-party tools as supply chain risk. DORA Article 28 requires financial entities to register every ICT provider — shadow or otherwise.
• Blocking without enabling consistently fails. Nearly half of employees continue using personal AI accounts after an organizational ban. The effective response is making the approved path faster than the workaround: a lightweight approval workflow, centralized credential management, and a security awareness program that makes the risk concrete.
• The 6-step Shadow IT Governance Framework — discover and classify, centralize credentials, establish policy, streamline approvals, automate offboarding, build security awareness — addresses both the technical and behavioral sides of the problem. Tooling handles detection. The framework changes the incentive structure that drives shadow IT adoption in the first place.

What is shadow IT?

Shadow IT is any technology (software, cloud service, AI tool, or hardware) that employees use for work without IT's knowledge or formal approval. It ranges from a personal Dropbox folder used to share project files, to an AI coding assistant with OAuth access to production repositories. The common thread: no security review, no procurement record, no audit trail.

Shadow IT is not a niche problem. Gartner puts the share of IT spending consumed by unsanctioned tools at 30-40% in large enterprises. Harmonic Security's analysis of 22.4 million enterprise AI prompts identified 665 distinct generative AI tools running across enterprise environments — yet only 40% of those organizations had purchased an official AI subscription. GenAI traffic surged more than 890% in 2024 alone.

Shadow IT vs. Shadow AI: How the risks compare

What drives employees to use shadow IT?

Employees turn to unsanctioned tools when approved alternatives are too slow, too limited, or simply don't exist yet. The friction is the cause: a developer waiting three weeks for a licensed AI assistant will find a free one by end of day.

Three patterns repeat across organizations of every size:

• Speed over process. Employees reach for whatever gets the job done fastest. When approved tools don't match what's freely available outside the enterprise, the choice is obvious: use what works.
• Procurement lag. Enterprise software cycles run on quarters. AI tooling ships on weeks. By the time IT evaluates and approves a tool, employees have already built workflows around its free-tier equivalent.
• Functional gaps. Approved tools often don't cover edge cases. A data analyst who needs a quick Python environment, or a designer who needs a specific image generator, will reach for whatever works, not whatever's on the approved list.
• No feedback loop. Employees rarely report the tools they're using because there's no easy channel to do so. IT doesn't know what to govern. Security doesn't know what to audit. The gap between actual tool usage and approved inventory widens silently.
• Bans don't hold. Nearly half of employees continue using personal AI accounts after an organizational ban. Prohibition doesn't eliminate shadow IT. It just pushes it out of sight, making detection harder and response slower.

These patterns are a predictable response to governance structures that haven't kept pace with how fast tooling moves. That gap is exactly what makes shadow IT a systemic risk rather than a discipline problem.

The evolution of shadow IT in 2026

Shadow IT in 2026 has moved well beyond unmanaged cloud storage. It now spans AI tools, autonomous agents, and entire SaaS ecosystems that IT never approved, never inventoried, and cannot monitor. The average enterprise runs 305 SaaS applications, spends $55.7 million on SaaS annually, and has seen AI-native app spend jump 108% year over year — most of that growth happening faster than governance teams can track it.

From SaaS sprawl to shadow AI

The 305-application figure comes from Zylo's 2026 SaaS Management Index, which draws on real-world spend data across thousands of organizations. A significant share of those applications were never formally approved. Employees adopt tools independently and IT finds out months later, if at all.

Shadow AI accelerates this dynamic. Free AI assistants, code generators, and autonomous agents became widely available faster than procurement cycles could respond. Check Point's 2026 Cloud Security Report found that 78-80% of workers use personal AI tools at work. Most of those sessions happen through personal accounts, outside SSO, outside DLP, and with no audit trail.

The distinction is worth being precise about: 

• Traditional shadow IT creates unmanaged data residency: files sitting in an unsanctioned service. 
• Shadow AI creates unmanaged data processing: proprietary information being analyzed, summarized, and acted upon by systems your security team has never reviewed.

Why the attack surface keeps expanding

Three structural forces drive this:

• Remote and hybrid work removed the network perimeter as a natural control point. Employees working from home adopt tools without routing requests through IT.
• Free tiers are everywhere. Most SaaS tools offer a no-cost entry point. No purchase order, no approval ticket, no visibility.
• AI agent proliferation changed the stakes. Agents operate through delegated OAuth permissions — reading data, triggering workflows, and modifying records autonomously. A developer who connects an AI coding assistant to their GitHub account may have granted that agent read/write access to repositories. When the developer leaves, the OAuth grant stays.

Gartner projects that by 2027, 75% of employees will acquire, modify, or create technology outside IT's visibility — up from 41% in 2022. The direction is unambiguous.

The hidden risks of shadow IT (the 2026 reality)

Shadow IT in 2026 is not just a data leakage problem. Unmanaged tools create persistent unauthorized access, expose credentials, trigger regulatory violations, and increasingly feed enterprise data into AI models that no security team has approved or can monitor.

The shadow AI risk multiplier: Data processing vs. data storage

Traditional shadow IT stores data in the wrong place. Shadow AI does things with it. Pasting a customer contract into a public LLM sends that data into at least three places: a training pipeline, a logging system, and potentially a model that other users can query.

IBM's 2025 Cost of a Data Breach Report puts a number on this: breaches involving high levels of shadow AI added an average of $670,000 to the total breach cost, bringing the shadow-AI-involved average to approximately $5.11 million against a global baseline of $4.44 million. The same report found that 97% of AI-related security incidents involved systems lacking proper access controls.

Credential exposure and password reuse

Shadow IT is, at its root, an identity problem. Every unsanctioned app is a new account. Every new account is a credential. And most of those credentials are reused.

According to Verizon's 2026 Data Breach Investigations Report, stolen credentials appeared in 39% of all confirmed breaches, not just as the initial access vector, but throughout lateral movement and persistence. When an employee reuses their corporate password on a free SaaS tool that later suffers a breach, attackers don't need to break anything. They just log in.

Infostealers make this worse. In 2025, Recorded Future indexed 1.95 billion malware-sourced credential exposures, 31% of which included active session cookies that bypass MFA entirely. Shadow IT accounts, unmonitored, often without MFA configured, are exactly the kind of target infostealers are built for.

The password reuse risk is a documented, automated, industrial-scale attack pattern.

The offboarding nightmare: Orphaned accounts

When an employee leaves, their managed accounts get deprovisioned. Their shadow IT accounts don't. Nobody knows they exist.

That former developer's Figma workspace, the sales rep's personal HubSpot trial with exported CRM data, the contractor's Notion page with internal architecture notes: all of these persist indefinitely after the person walks out the door.

The consequences can be severe. In one documented case, a former Cisco employee accessed an AWS-hosted virtual machine infrastructure five months after termination and deleted 456 virtual machines, taking down more than 16,000 WebEx Teams accounts for nearly two weeks. =

The US Department of Justice confirmed the incident cost Cisco approximately $2.4 million in remediation and customer refunds, and the former employee was sentenced to 24 months in federal prison (United States v. Sudhish Kasaba Ramesh, Case No. 5:20-cr-00102). That was a managed system. Orphaned shadow IT accounts are harder to find and take longer to close — if they're ever closed at all.

AI agents and unmanaged OAuth permissions

This is the threat most organizations aren't tracking yet. AI agents operate through delegated OAuth permissions: a user grants the agent access to Google Drive, GitHub, or Slack, and the agent can read, write, and act on that access continuously — not just during the session.

When the user logs out, the OAuth grant remains. When the user leaves the company, the OAuth grant remains. The agent may still have access to corporate repositories, email threads, and shared drives weeks or months after the person who authorized it is gone.

Okta's AI Agents at Work 2026 report found that 58% of organizations suffered an AI-related security incident in the past year, yet 90% of executives reported lacking full visibility into which AI agents are operating within their organization. The gap between adoption and governance is where the risk lives.

Compliance violations and regulatory fines

Unsanctioned apps don't comply with GDPR Article 32's requirement for "appropriate technical and organisational measures" to protect personal data. They don't satisfy HIPAA's technical safeguard requirements under 45 CFR § 164.312. They don't meet PCI-DSS Requirement 12.8 for managing third-party service providers.

The EU AI Act adds another layer. High-risk AI systems used without proper governance carry penalties of up to €15 million or 3% of global annual turnover under Article 99(4).

The financial services sector has already seen what regulatory enforcement looks like in practice. In September 2022, the SEC and CFTC fined 16 Wall Street firms a combined $1.8 billion for employees using WhatsApp and other unapproved messaging apps for business communications — a textbook shadow IT violation that regulators treated as a recordkeeping failure. The SEC's press release makes clear that "widespread and longstanding" use of off-channel communications is not a mitigating factor; it's an aggravating one.

European regulatory exposure: GDPR, NIS2, and DORA

For organizations operating in the EU, shadow IT creates layered regulatory exposure across three distinct frameworks. Each targets a different dimension of the problem, and together they leave very little room for "we didn't know."

GDPR: Unauthorized processors and cross-border transfers

GDPR Article 32 is the provision most organizations cite. But Article 28 is the one shadow IT actually violates first. Every unsanctioned SaaS tool that processes personal data is, in GDPR terms, a data processor. Article 28 requires a written data processing agreement (DPA) with every such processor before processing begins. An employee who signs up for a free AI tool using their corporate email and feeds it customer data has created an unauthorized processor relationship — with no DPA, no due diligence, and no record.

Articles 44 through 49 compound the exposure. Many US-based SaaS and AI tools transfer personal data outside the European Economic Area. Without a valid transfer mechanism (Standard Contractual Clauses, an adequacy decision, or Binding Corporate Rules), that transfer violates GDPR regardless of how the tool was adopted. Employees choosing tools independently have no visibility into where data is processed or stored.

European DPAs have enforced both provisions. In 2023, the Irish Data Protection Commission fined Meta €1.2 billion under Article 46 for unlawful data transfers to the US — the largest GDPR fine to date. While that case involved a platform operator rather than an enterprise end user, the underlying principle applies: the absence of a valid transfer mechanism is a violation, regardless of intent.

NIS2: Access control and supply chain obligations

The NIS2 Directive (Directive EU 2022/2555), applicable to essential and important entities across the EU since October 2024, directly addresses the conditions that shadow IT creates. Article 21(2) sets out ten minimum cybersecurity risk-management measures. Three are directly implicated by shadow IT:

• Article 21(2)(d): Supply chain security, including security aspects concerning the relationships between each entity and its direct suppliers or service providers. Every unsanctioned SaaS tool is, in effect, an unvetted supplier relationship.
• Article 21(2)(i): Policies and procedures regarding the use of cryptography and, where appropriate, encryption.
• Article 21(2)(j): Human resources security, access control policies, and asset management.

NIS2 penalties reach €10 million or 2% of global annual turnover for important entities, and €7 million or 1.4% for others. Member state transposition varies, but the framework is now active across the EU.

Passwork's NIS2 compliance page covers how centralized credential management maps to NIS2 Article 21 requirements in detail.

DORA: ICT third-party risk for financial entities

The Digital Operational Resilience Act (DORA, Regulation EU 2022/2554) has been in force since January 2025 for financial entities operating in the EU: banks, insurers, investment firms, payment processors, and their critical ICT providers. Article 28 requires financial entities to maintain a register of all ICT third-party service providers and conduct pre-contractual due diligence before onboarding any new provider.

Shadow SaaS is directly in scope. An employee at a bank who adopts an unsanctioned project management tool or AI assistant has created an unregistered ICT third-party relationship. Under DORA, that's not an IT governance issue; it's a regulatory breach. The European Supervisory Authorities (EBA, ESMA, EIOPA) have supervisory authority to investigate and sanction. In jurisdictions where national transposition provides for it, management-level criminal liability may also apply.

For financial sector IT and compliance teams, shadow IT discovery is no longer a best practice. Under DORA, it's a legal obligation.

The financial impact: Quantifying the cost of shadow IT

Shadow IT carries two distinct financial costs: breach exposure and wasted spend. IBM's 2025 Cost of a Data Breach Report found that shadow AI involvement adds $670,000 to the average breach cost of $4.44 million. On the spend side, Zylo's 2026 SaaS Management Index puts average wasted license spend at $21 million per year — driven by redundant tools, unused seats, and purchases IT never knew about.

IBM 2025 data: the $670K shadow AI penalty

IBM's 2025 Cost of a Data Breach Report is the most authoritative benchmark available for understanding the financial consequences of unmanaged AI. The headline numbers:

• Global average breach cost: $4.44 million
• Shadow AI involvement adds $670,000 to that average, bringing the shadow-AI-involved figure to approximately $5.11 million
• 97% of AI-related incidents involved systems without proper access controls
• 20% of organizations reported a security incident directly linked to shadow AI in 2025

The $670,000 adder is the incremental cost of investigation, containment, notification, and remediation when AI systems are involved that security teams didn't know about.

Wasted IT spend and redundant licensing

Organizations pay for approved tools while employees quietly adopt free or cheaper alternatives. The result: duplicate functionality, stranded licenses, and spend that nobody owns.

According to Zylo's 2026 SaaS Management Index, the average organization wastes $21 million a year on unused SaaS licenses alone — and the average utilization rate across enterprise SaaS portfolios sits at just 47%. For mid-market firms running 500 or fewer employees, that figure still reaches $4.2 million annually in wasted license spend.

The pattern is predictable: decentralized purchasing means teams sign up for tools independently, often unaware that an enterprise contract for the same category already exists. When a security incident occurs on top of that, remediation costs compound the baseline waste into a material financial exposure.

How to detect shadow IT and shadow AI

Detecting shadow IT in 2026 requires combining at least five data sources: CASB (Cloud Access Security Broker) deployment, DNS log analysis, EDR (Endpoint Detection and Response), expense data review, and email integration scanning. Each method covers a different slice of the environment. None covers all of it. Blind spots are structural, not incidental — no single tool sees personal devices, free-tier accounts, and managed endpoints simultaneously.

Endpoint monitoring and browser extensions

EDR tools and browser extension audits can surface unauthorized SaaS usage directly on the device. Browser history analysis, extension inventories, and agent-based monitoring catch activity that never touches the corporate network.

The limitation: BYOD (Bring Your Own Device) environments and personal devices used for work are largely invisible to endpoint tools unless the organization has deployed MDM (Mobile Device Management) with appropriate scope.

Network analysis: DNS and proxy logs

DNS query logs and web proxy data reveal which domains employees are accessing. Spikes in traffic to unknown SaaS domains, AI services, or file-sharing platforms show up clearly in DNS logs even when the content is encrypted.

This method works well for corporate network traffic. It misses everything that happens over cellular connections, home networks, or VPNs that route outside the corporate proxy. DNS-over-HTTPS (DoH) and DNS-over-TLS (DoT) encrypt queries end-to-end, bypassing traditional DNS inspection entirely without additional firewall policy to block them.

CASB: strengths and limitations

A CASB (Cloud Access Security Broker) sits between users and cloud services, providing visibility, policy enforcement, and data loss prevention for sanctioned and unsanctioned apps. CASBs are the most purpose-built tool for shadow IT detection and can identify thousands of cloud services in use across an organization.

The practical limitation is coverage. CASBs work best when traffic routes through them — most effective for managed devices on corporate networks. Employees using personal accounts on personal devices, or AI tools accessed via browser without SSO, may not be visible. Shadow AI features embedded inside already-sanctioned SaaS tools are also typically undetected, since the parent domain is already approved.

A 6-step framework to manage shadow IT

The Shadow IT Governance Framework is a six-step process: discover and classify, centralize credentials, establish policy, streamline approvals, automate offboarding, and build a security awareness program. It addresses both the technical and behavioral dimensions of the problem. Blocking unsanctioned tools without enabling faster approved alternatives consistently fails.

Step 1. Discover and classify

You cannot govern what you cannot see. Start with a comprehensive discovery sweep using a combination of DNS log analysis, CASB deployment, endpoint monitoring, and expense data review. The output should be a classified inventory: sanctioned, tolerated (known but not formally approved), and unsanctioned.

Classify each application by data sensitivity. A free grammar checker accessing email drafts is a different risk profile than an AI coding assistant with repository access.

Step 2. Implement secure credential management

Every shadow IT account is an unmanaged credential. The fix is not to prohibit accounts; it's to bring credentials under centralized control.

A centralized vault with role-based access control (RBAC) gives employees a secure, convenient place to store and share credentials for both approved and newly-approved tools. When access is centralized, offboarding becomes deterministic: revoke vault access, and the employee loses access to every credential stored there.

Passwork is available as a self-hosted deployment or in the cloud, giving teams the flexibility to choose where credential data lives. The self-hosted model keeps everything within your own infrastructure with no dependency on third-party cloud services; the cloud option gets you up and running without managing your own server stack. Either way, administrators get full visibility into who has access to what and a complete audit log of every credential operation. See the technical guides for deployment and integration details.

Step 3. Establish clear AI and SaaS policies

A blanket prohibition will be ignored even by the people enforcing it. A policy that defines how to get tools approved, what data classifications are permissible in AI tools, and what happens to OAuth grants when an employee leaves is actionable.

The policy should specifically address:

• Prohibited data classifications for AI tool input (PII, source code, financial data, credentials)
• OAuth grant approval and review cycles
• Maximum time-to-approval for new SaaS requests (slow approval processes are the primary reason employees go around IT)
• Consequences for policy violations

Step 4. Streamline the approval process

Shadow IT exists because the approved path is too slow. If an employee needs a tool today and the approval process takes three weeks, they'll use the tool without approval and ask for forgiveness later, if they ask at all.

Build a lightweight approval workflow: a short intake form, a 48-hour SLA for low-risk tools, and a clear decision framework based on data sensitivity and vendor security posture. The goal is to make "go through IT" faster than "figure it out yourself."

Step 5. Automate offboarding workflows

Manual offboarding is where orphaned accounts are born. When an employee leaves, IT typically deprovisions the accounts it knows about. Shadow IT accounts, by definition, aren't on that list.

Automated offboarding workflows, triggered by HRIS termination events, should:

• Revoke SSO and IdP access immediately
• Rotate or invalidate all credentials stored in the centralized vault for that user
• Audit and revoke OAuth grants associated with the user's corporate identity
• Transfer ownership of shared resources before access is cut

The Passwork user guides cover credential vault offboarding workflows in detail, including how to handle shared passwords and service account credentials that need to be rotated, not just revoked.

Step 6. Build a security awareness program

Policy and tooling alone don't change behavior. Employees adopt shadow IT because they don't understand the risk, don't know the approved alternative exists, or find the approved path too slow. A security awareness program addresses the first two directly.

• Make the risk concrete: showing employees a real example of how a credential reuse attack works lands harder than a slide about "data protection." Publicize the approved toolkit; employees who know a fast, sanctioned alternative exists are less likely to reach for an unapproved one. 
• Create a reporting culture: employees should feel comfortable flagging tools they're already using without fear of immediate punishment. Discovery through self-reporting is faster and cheaper than discovery through a breach.
• Annual training is not enough. Quarterly micro-training sessions (10-15 minutes, scenario-based) consistently outperform annual compliance modules in retention studies. Phishing simulations that include fake SaaS sign-up prompts — not just email lures — test exactly the behavior shadow IT governance is trying to change.

Track the program's effect on shadow IT discovery rates, not just training completion percentages. Completion is an input metric. Reduction in unsanctioned tool adoption is the output that matters.

Conclusion: Make the approved path faster than the workaround

The organizations that manage shadow IT effectively are the ones that made the approved path faster than the workaround. Not the ones with the strictest blocking policies.

That means a discovery program that runs continuously. A credential vault that employees actually want to use because it saves them time. An offboarding workflow that fires automatically the moment an HRIS termination event triggers. An AI policy that tells employees what they can do with AI tools, not just what they can't. And a security awareness program that makes the risk real rather than abstract.

For European organizations, the stakes are higher still. GDPR Article 28, NIS2 Article 21, and DORA Article 28 don't treat shadow IT as a governance inconvenience; they treat it as a compliance failure with quantified penalties attached. The $670,000 shadow AI cost adder from IBM's 2025 report isn't an abstraction. It's what happens when governance lags adoption. Close that gap /before the next breach makes the case for you.

Frequently asked questions

10 Remote Work Security Fails (And How to Fix Them)

10 remote work security fails — and the one principle behind all of them: security breaks where the secure path has more friction than the insecure one. Real cases, realistic fixes, a 5-layer baseline your team can audit against.

Passwork BlogAlex Muntyan

Shadow IT vs Shadow AI: Why AI is the bigger threat

Employees are using AI tools you didn’t approve, on accounts you can’t monitor, with data you can’t recover. Here’s what the risk actually looks like and what governance needs to address.

Passwork BlogAlex Muntyan

Supply chain security guide: Vendor risks, regulations, access control in 2026

48% of breaches now involve a third party. This guide covers the attack patterns behind SolarWinds, MOVEit, and XZ Utils — and the access controls, credential management practices, and regulatory requirements that actually stop them.

Passwork BlogAlex Muntyan

Noch vor wenigen Jahren war der Standardrat einfach: Prüfen Sie Ihre Anbieter, unterzeichnen Sie eine Geheimhaltungsvereinbarung, führen Sie einen jährlichen Fragebogen durch. Dann kam SolarWinds, dann MOVEit, dann XZ Utils — eine Hintertür, die über zwei Jahre legitimer Open-Source-Beiträge eingeschleust und von einem Ingenieur entdeckt wurde, dem auffiel, dass ein Prozess 500 ms langsamer lief als erwartet. Jeder dieser Angriffe erfolgte über eine vertrauenswürdige Beziehung.

Das Muster ist bei jedem größeren Vorfall gleich. Die Beteiligung von Drittanbietern macht laut Verizons 2026 DBIR mittlerweile 48 % aller Datenschutzverletzungen aus (gegenüber 30 % im Vorjahr), und die durchschnittliche Kompromittierung der Lieferkette kostet 4,91 Millionen US-Dollar und benötigt 267 Tage zur Eindämmung, laut IBMs Cost of a Data Breach Report 2025. 

Die meisten Organisationen reagieren weiterhin mit Fragebögen und jährlichen Audits. Diese haben ihren Platz. Aber ein Fragebogen verhindert keine Sicherheitsverletzung. Das Widerrufen der permanenten Berechtigungen eines Anbieters schon. Dieser Leitfaden behandelt Lieferkettensicherheit als das, was sie tatsächlich ist: ein IAM- und Credential-Control-Problem mit einer Compliance-Ebene darüber.

Wichtige Erkenntnisse

• Die Beteiligung von Drittanbietern macht mittlerweile 48 % aller Datenschutzverletzungen aus — gegenüber 30 % im Vorjahr, laut Verizons 2026 DBIR. Lieferkettenangriffe sind der dominierende Angriffsvektor.
• Die durchschnittliche Kompromittierung der Lieferkette kostet 4,91 Millionen US-Dollar und benötigt 267 Tage zur Eindämmung. Diese Verweildauer macht permanente Anbieterberechtigungen so gefährlich — Angreifer müssen sich nicht beeilen, wenn die Anmeldedaten nie ablaufen.
• Jeder größere Lieferkettenvorfall erfolgte über eine vertrauenswürdige Beziehung. SolarWinds, MOVEit, XZ Utils — in jedem Fall nutzte der Angreifer Zugriff, der bereits bereitgestellt und bereits als vertrauenswürdig eingestuft war.
• Fragebögen und jährliche Audits verhindern keine Sicherheitsverletzungen. Das Widerrufen permanenter Anbieterberechtigungen schon. Die entscheidenden Kontrollen sind technischer Natur: Credential-Vaulting, JIT-Zugriff, RBAC mit Beschränkung auf den Auftrag und Phishing-resistente MFA.
• NIS2, DORA und der EU Cyber Resilience Act machen Lieferkettensicherheit zur gesetzlichen Pflicht. NIS2 Artikel 21, DORA Artikel 28–30 und CRA-Anforderungen gelten mit gestaffelten Fristen bis 2027.
• 70 % der Top-50-Anbieter, die von Global-2000-Unternehmen gemeinsam genutzt werden, weisen mindestens eine ungepatchte KEV-Schwachstelle auf, laut Black Kites Third-Party Breach Report 2026.

Was ist Cyber Supply Chain Risk Management (C-SCRM)?

Cyber Supply Chain Risk Management (C-SCRM) ist die Disziplin der Identifizierung, Bewertung und Minderung von Cybersicherheitsrisiken, die aus dem erweiterten Netzwerk von Lieferanten, Anbietern, Dienstleistern und Software-Abhängigkeiten einer Organisation stammen. Es umfasst alles von den SaaS-Tools, die Ihre Entwickler nutzen, bis hin zum Managed Service Provider (MSP) mit Admin-Zugriff auf Ihre Produktionsumgebung.

C-SCRM liegt an der Schnittstelle von Beschaffung, IT-Sicherheit und Compliance. NIST SP 800-161 Rev. 1 bietet das detaillierteste föderale Framework dafür und definiert C-SCRM als strukturierten Prozess zur Steuerung der Exposition gegenüber Cybersicherheitsrisiken während des gesamten Lieferketten-Lebenszyklus — von der ersten Anbieterauswahl bis zur Vertragsbeendigung und Zugriffsentzug.

Der Umfang ist größer, als den meisten Teams bewusst ist. Ihre Lieferkette umfasst:

• Softwareanbieter und Open-Source-Abhängigkeiten
• Cloud-Infrastruktur und SaaS-Anbieter
• Managed-Service- und IT-Support-Anbieter
• Hardwarehersteller und Firmware-Lieferanten
• Beratungsunternehmen mit Netzwerk- oder Datenzugriff

Jeder dieser Bereiche ist ein potenzieller Eintrittspunkt. Die Vorfälle SolarWinds, MOVEit und XZ Utils nutzten diesen Eintrittspunkt auf unterschiedliche Weise aus.

Der Stand der Lieferkettenangriffe 2025–2026

Lieferkettenangriffe erreichten 2025–2026 Rekordniveaus. Verizons 2026 DBIR verzeichnete eine Drittanbieterbeteiligung bei 48 % aller analysierten Sicherheitsverletzungen — der höchste Wert in der Geschichte des Berichts und ein Anstieg um 60 % gegenüber den 30 % des Vorjahres. IBMs Cost of a Data Breach Report 2025 beziffert die durchschnittliche Kompromittierung der Lieferkette auf 4,91 Millionen US-Dollar mit einem durchschnittlichen Lebenszyklus von 267 Tagen von der Erkennung bis zur Eindämmung.

Bedrohungsakteure haben gelernt, dass die Kompromittierung eines vertrauenswürdigen Anbieters gleichzeitig Zugang zu Dutzenden oder Hunderten von nachgelagerten Organisationen ermöglicht. Die Wirtschaftlichkeit begünstigt den Angreifer: ein erfolgreicher Einbruch, multipliziert über die gesamte Kundenbasis eines Anbieters.

Laut Black Kites Third-Party Breach Report 2026 weisen 70 % der Top-50-Anbieter, die von Global-2000-Unternehmen gemeinsam genutzt werden, mindestens eine ungepatchte Schwachstelle aus dem CISA Known Exploited Vulnerabilities (KEV) Katalog auf. Dies sind keine theoretischen Risiken — CISA kennzeichnet KEV-Einträge speziell deshalb, weil sie aktiv in freier Wildbahn ausgenutzt werden.

Lehren aus SolarWinds, MOVEit und XZ Utils

Alle drei Vorfälle haben einen gemeinsamen Nenner: Der initiale Zugriffsvektor war vertrauenswürdig. Vertrauenswürdige Software, vertrauenswürdiger Anbieter, vertrauenswürdiger Mitwirkender. Einmal drinnen, bewegte sich der Angreifer lateral mit Anmeldedaten und Zugriff, die bereits bereitgestellt waren.

SolarWinds (2020)

Angreifer kompromittierten die Build-Pipeline direkt und fügten eine Hintertür in ein signiertes Software-Update ein, das als routinemäßiger Patch an Kunden verteilt wurde. Etwa 18.000 Organisationen installierten es. Die rechtlichen Folgen zogen sich über Jahre hin: Die SEC reichte im Oktober 2023 eine zivilrechtliche Klage gegen SolarWinds und seinen CISO ein, wobei der Fall schließlich 2025 vollständig abgewiesen wurde.

Die Lehre: Kontrollen der Software-Integrität und SBOM-Transparenz (Software Bill of Materials) sind genauso wichtig wie Netzwerkperimeterkontrollen — und die Haftungsexposition durch eine Build-Pipeline-Kompromittierung reicht weit über die ursprüngliche Sicherheitsverletzung hinaus.

MOVEit (2023)

Eine Zero-Day-SQL-Injection-Schwachstelle (CVE-2023-34362) in einem Managed-File-Transfer-Produkt gab der Cl0p-Ransomware-Gruppe Zugang zu Daten von über 2.700 Organisationen — von denen viele keine direkte Beziehung zu MOVEit hatten, aber durch die Nutzung bei ihren Anbietern betroffen waren. Die endgültige Opferzahl erreichte etwa 95 Millionen Personen. 

Die Lehre: Ihre Angriffsfläche umfasst Software, die Ihre Anbieter betreiben, nicht nur Software, die Sie selbst betreiben.

XZ Utils (2024)

Eine mehrjährige Social-Engineering-Kampagne fügte eine Hintertür in eine weit verbreitete Open-Source-Kompressionsbibliothek ein. Der Angreifer trug zwei Jahre lang legitimen Code bei, bevor er die schädliche Payload einführte — und die Hintertür wurde nicht durch einen formalen Sicherheitsprozess entdeckt, sondern von einem Microsoft-Ingenieur, dem eine 500-ms-Verzögerung bei SSH-Logins auffiel. 

Die Lehre: Das Risiko von Open-Source-Abhängigkeiten ist real, SBOMs sind der einzige systematische Weg, es zu verfolgen, und Ihre Erkennungskontrollen müssen Verhalten abdecken, nicht nur Signaturen.

Die größten Anbieterrisiken in der modernen Lieferkette

Die fünf häufigsten Kategorien von Lieferkettenrisiken sind:

• Geteilte Anmeldedaten und mangelhafte Zugangskontrolle
• Schwachstellen in Software-Abhängigkeiten
• Hardware- und Komponenten-Manipulation
• Shadow AI und Datenexposition durch Dritte
• Anbieter-Konzentrationsrisiko

Jede erfordert eine eigene Kontrollmaßnahme. Fehler bei geteilten Anmeldedaten sind ein Prozessproblem. Hardware-Manipulation erfordert physische Herkunftsverifizierung.

Geteilte Anmeldedaten und mangelhafte Zugangskontrolle

Das häufigste und am leichtesten vermeidbare Lieferkettenrisiko ist auch das am wenigsten spektakuläre: gemeinsam genutzte Konten. Ein Anbieter-Support-Team erhält einen einzigen Satz Anmeldedaten für den Zugriff auf Ihre Umgebung. Diese Anmeldedaten werden unter den Mitarbeitern des Anbieters geteilt, in einer Tabelle oder E-Mail-Kette gespeichert und nach Ende des Auftrags nie rotiert.

Wenn dieser Anbieter kompromittiert wird oder ein verärgerter Mitarbeiter das Unternehmen verlässt, haben Sie keine Möglichkeit zu wissen, wer diese Anmeldedaten wann verwendet hat oder worauf zugegriffen wurde. Sie haben keinen Audit-Trail. Sie haben keine Möglichkeit, den Zugriff für eine einzelne Person zu widerrufen, ohne die Anmeldedaten für alle zu ändern.

Verizons 2026 DBIR identifiziert Authentifizierungsfehler (fehlende oder umgangene MFA, gestohlene Anmeldedaten) als den primären Mechanismus bei Drittanbieter-Sicherheitsverletzungen. Dies ist ein Prozessfehler.

Schwachstellen in der Software-Lieferkette und die Notwendigkeit von SBOMs

Eine Software Bill of Materials (SBOM) ist ein maschinenlesbares Inventar aller Komponenten eines Softwareprodukts: Bibliotheken, Abhängigkeiten, Versionen und ihre bekannten Schwachstellen. Die U.S. Executive Order 14028 (2021) schrieb SBOMs für Software vor, die an Bundesbehörden verkauft wird. Der EU Cyber Resilience Act (CRA) erweitert ähnliche Anforderungen auf Produkte, die auf dem europäischen Markt verkauft werden, wobei Schwachstellen-Meldepflichten ab September 2026 und vollständige Produktanforderungen ab Dezember 2027 gelten.

Ohne eine SBOM können Sie die Frage „Nutzen wir die verwundbare Version von Log4j?" nicht innerhalb von 24 Stunden beantworten. Mit einer schon. Dieser Geschwindigkeitsunterschied ist die Lücke zwischen einem eingedämmten Vorfall und einer Sicherheitsverletzung, deren Behebung 267 Tage dauert.

Hardware- und Komponenten-Manipulation

Das Hardware-Lieferkettenrisiko unterscheidet sich vom Softwarerisiko und wird oft unterschätzt. Gefälschte oder manipulierte Komponenten — Netzwerkausrüstung, Server-Hardware, Firmware — können persistente Hintertüren einführen, die eine Betriebssystem-Neuinstallation überleben und für Software-Layer-Sicherheitskontrollen unsichtbar sind.

Der EU Cyber Resilience Act adressiert explizit Hardwareprodukte mit digitalen Elementen und verlangt von Herstellern, die Lieferkettensicherheit für physische Komponenten zu bewerten und zu dokumentieren. Für Organisationen, die Netzwerkinfrastruktur oder industrielle Steuerungssysteme beschaffen, bedeutet dies die Verifizierung der Komponentenherkunft, das Anfordern von Firmware-Integritätsnachweisen von Lieferanten und die Führung eines Inventars von Hardware-Versionen, das einer Software-SBOM entspricht.

Shadow AI und Datenexposition durch Dritte

Verizons 2026 DBIR identifiziert Shadow AI als eines der drei größten Insider-Verhaltensweisen — Mitarbeiter, die nicht autorisierte KI-Tools nutzen, die Organisationsdaten außerhalb genehmigter Kanäle verarbeiten. Der Lieferkettenaspekt: Viele dieser Tools sind Drittanbieter-SaaS-Produkte mit eigenen Datenaufbewahrungsrichtlinien, Unterauftragnehmervereinbarungen und Sicherheitslagen, die Ihre Organisation nie überprüft hat.

Wenn ein Entwickler Datenbank-Anmeldedaten in einen KI-Assistenten einfügt, um eine Abfrage zu debuggen, können diese Anmeldedaten aufbewahrt, protokolliert oder für das Modelltraining verwendet werden. Das Anbieterrisiko ist nicht nur der KI-Anbieter — es ist jeder Unterauftragnehmer in deren Kette.

Verfügbarkeitsunterbrechungen und Anbieter-Konzentrationsrisiko

Ein Sicherheitsversagen in der Lieferkette bedeutet nicht immer eine Datenschutzverletzung. Anbieterausfälle, Ransomware-Angriffe auf kritische Lieferanten und Single Points of Failure in gemeinsam genutzter Infrastruktur können den Betrieb vollständig unterbrechen. DORAs Mandat zur operativen Resilienz existiert genau deshalb, weil der EU-Finanzsektor erkannt hat, dass Verfügbarkeitsrisiken durch ICT-Drittanbieter ebenso wesentlich sind wie Vertraulichkeitsrisiken.

Konzentrationsrisiko verstärkt dies: Wenn 70 % der Forbes Global 2000-Unternehmen dieselben Top-50-Anbieter nutzen, verbreitet sich eine einzelne Kompromittierung in großem Maßstab. Die Kartierung Ihrer kritischen Anbieterabhängigkeiten und die Pflege dokumentierter Kontinuitätspläne für Tier-1-Lieferantenausfälle ist eine Anforderung von DORA Artikel 28 für Finanzunternehmen.

Europäische und internationale regulatorische Anforderungen für Lieferkettensicherheit

NIS2, DORA und der EU Cyber Resilience Act bilden zusammen den verbindlichen regulatorischen Rahmen für Lieferkettensicherheit auf dem europäischen Markt. NIST CSF 2.0 und SP 800-161 sind US-Frameworks — keine EU-Rechtsverpflichtungen — werden aber von multinationalen Organisationen weitgehend referenziert und bieten operatives Detail, das die EU-Anforderungen ergänzt.

NIS2-Richtlinie (Artikel 21)

NIS2 Artikel 21 verlangt von den betroffenen Einrichtungen die Implementierung von „Sicherheit der Lieferkette, einschließlich sicherheitsbezogener Aspekte der Beziehungen zwischen jeder Einrichtung und ihren direkten Lieferanten oder Dienstleistern." Dies ist eine rechtliche Verpflichtung für wesentliche und wichtige Einrichtungen in 18 Sektoren, deren Durchsetzung die EU-Mitgliedstaaten Ende 2024 begonnen haben.

In der Praxis bedeutet Artikel 21, dass Sie die Sicherheitslage Ihrer direkten Anbieter bewerten, Sicherheitsanforderungen in Verträge aufnehmen und einen dokumentierten Prozess für das Management von anbieterbezogenen Vorfällen pflegen müssen. Für das Credential-Management bedeutet dies konkret: keine gemeinsam genutzten Konten, dokumentierte Verfahren für Zugriffsbereitstellung und -entzug sowie Audit-Protokolle, die bei einer Aufsichtsprüfung vorgelegt werden können.

Eine detaillierte Aufschlüsselung, wie NIS2 auf Zugangskontrollanforderungen abbildet, finden Sie im NIS2-Compliance-Leitfaden von Passwork.

DORA (Digital Operational Resilience Act)

DORA gilt für Finanzunternehmen und ihre ICT-Drittanbieter, die in der EU tätig sind. Die Artikel 28 bis 30 etablieren ein detailliertes ICT-Drittanbieter-Risikomanagement-Framework, einschließlich der Anforderungen, ein Register aller ICT-Anbieter zu führen, Risikobewertungen vor dem Onboarding durchzuführen und sicherzustellen, dass Verträge Bestimmungen für Auditrechte und Vorfallsmeldungen enthalten.

DORA führt auch das Konzept der „kritischen ICT-Drittanbieter" (CTPPs) ein, die von den europäischen Aufsichtsbehörden für direkte Überwachung designiert werden können. Wenn Ihre Organisation ein CTPP ist — oder von einem abhängt — ist die Prüfung Ihrer Lieferketten-Sicherheitskontrollen erheblich strenger. Das oben beschriebene Verfügbarkeitsunterbrechungsrisiko ist ebenso ein DORA-Anliegen wie ein Sicherheitsanliegen: Artikel 28 verlangt ausdrücklich dokumentierte Kontinuitätspläne für kritische Drittanbieterabhängigkeiten.

EU Cyber Resilience Act (CRA)

Der CRA wurde 2024 verabschiedet und gilt mit gestaffeltem Zeitplan. Schwachstellen- und Vorfallsmeldepflichten treten ab dem 11. September 2026 in Kraft. Vollständige Produktanforderungen — einschließlich SBOM-Mandate und Konformitätsbewertungen für Produkte mit digitalen Elementen — gelten ab dem 11. Dezember 2027. Organisationen, die vernetzte Hardware oder Software auf dem EU-Markt verkaufen, müssen jetzt mit der Compliance-Arbeit beginnen; die Frist 2027 kommt schneller, als die meisten Produktentwicklungszyklen zulassen.

NIST CSF 2.0 und NIST SP 800-161

NIST CSF 2.0, veröffentlicht im Februar 2024, fügte „Govern" als sechste Kernfunktion hinzu. Die GV.SC-Unterkategorie adressiert explizit das Lieferketten-Risikomanagement und verlangt von Organisationen, C-SCRM in die unternehmensweite Risiko-Governance zu integrieren — es nicht als separates IT-Projekt zu behandeln. Für EU-Organisationen ist CSF 2.0 keine rechtliche Anforderung, bietet aber eine nützliche operationelle Struktur, die gut auf NIS2- und DORA-Verpflichtungen abbildet.

NIST SP 800-161 Rev. 1 liefert das operationelle Detail: wie Lieferantenbewertungen durchzuführen sind, welche Kontrollen in Verträgen verlangt werden sollen und wie ein C-SCRM-Programm über den gesamten Beschaffungslebenszyklus strukturiert werden kann. Für US-Bundesauftragnehmer wird die Ausrichtung an SP 800-161 zunehmend zur Beschaffungsanforderung.

So sichern Sie den Anbieterzugriff: Der technische Bauplan

Die vier wirkungsvollsten Kontrollen für die Sicherheit des Anbieterzugriffs sind RBAC mit Beschränkung auf den Auftrag, Just-in-Time-Zugriff auf privilegierte Ressourcen, zentralisiertes Credential-Vaulting und Phishing-resistente MFA. In dieser Reihenfolge angewendet, adressieren sie die häufigsten Fehlermodi — permanente Berechtigungen, gemeinsam genutzte Konten und Authentifizierungslücken — ohne in den meisten Umgebungen neue Infrastruktur zu erfordern.

Strikte rollenbasierte Zugriffskontrolle (RBAC) durchsetzen

Rollenbasierte Zugriffskontrolle (RBAC) weist Berechtigungen Rollen zu, nicht Einzelpersonen. Ein Support-Ingenieur des Anbieters erhält die Rolle „Nur-Lese-Produktionsüberwachung", nicht ein persönliches Admin-Konto. Wenn der Auftrag endet, entfernen Sie die Rollenzuweisung. Wenn der Anbieter sein Personal wechselt, müssen Sie keine einzelnen Konten verfolgen — die Rolle definiert, worauf zugegriffen werden kann.

Für den Anbieterzugriff sollte RBAC auf das Minimum beschränkt sein, das für den Auftrag erforderlich ist. Ein Datenbankanbieter, der ein Performance-Audit durchführt, benötigt keinen Schreibzugriff auf die Anwendungskonfiguration. Definieren Sie die Rolle vor der Zugriffsbereitstellung, nicht danach.

Just-in-Time (JIT) privilegierten Zugriff implementieren

Just-in-Time (JIT) Zugriff bedeutet, dass privilegierte Anmeldedaten für ein definiertes Zeitfenster ausgestellt und automatisch widerrufen werden, wenn dieses Fenster geschlossen wird. Ein Anbieter-Ingenieur fordert Zugriff für ein zweistündiges Wartungsfenster an; das System gewährt ihn, protokolliert die Sitzung und widerruft ihn nach zwei Stunden, unabhängig davon, ob der Ingenieur daran denkt, sich abzumelden.

JIT-Zugriff eliminiert permanente Berechtigungen: den persistenten, immer aktiven Zugriff, den Angreifer während der durchschnittlich 267 Tage dauernden Verweildauer einer Lieferketten-Sicherheitsverletzung ausnutzen. Es gibt nichts zu stehlen, wenn die Anmeldedaten ablaufen, bevor der Angreifer sie nutzen kann. JIT ist besonders wirksam für Break-Glass-Szenarien: Notfall-Anbieterzugriff während eines Vorfalls, bei dem Geschwindigkeit wichtig ist, aber auch Verantwortlichkeit.

Sicheres Anbieter-Credential-Vaulting

Gemeinsam genutzte Anbieterkonten sind eine Haftung. Die Alternative ist ein Credential-Vault: ein zentralisierter, verschlüsselter Speicher, in dem Anbieter-Anmeldedaten von Ihrer Organisation gehalten werden, nicht vom Anbieter. Der Anbieter authentifiziert sich am Vault, checkt Anmeldedaten für seine Sitzung aus, und der Vault protokolliert jedes Zugriffsereignis.

Dieser Ansatz gibt Ihnen einen vollständigen Audit-Trail darüber, wer wann auf was zugegriffen hat, die Möglichkeit, Anmeldedaten ohne Abstimmung mit dem Anbieter zu rotieren, automatischen Widerruf bei Ende der Anbieterbeziehung und Compliance-Nachweise für die Auditrechtsanforderungen von NIS2 Artikel 21 und DORA Artikel 30.

Passworks Enterprise-Passwort- und Secrets-Manager unterstützt zeitlich begrenztes Credential-Sharing, Sitzungsprotokollierung und Integration mit AD/LDAP- und SSO-Infrastruktur — mit AES-256-Client-seitiger Verschlüsselung und einer vollständigen REST API für die Integration in bestehende Bereitstellungs-Workflows.

Phishing-resistente MFA für Dritte vorschreiben

MFA ist die einzelne Kontrolle mit dem höchsten ROI für den Drittanbieterzugriff. Verizons 2026 DBIR ordnet die Mehrheit der Drittanbieter-Sicherheitsverletzungsszenarien Authentifizierungsfehlern zu — und die meisten dieser Fehler sind fehlende MFA, nicht umgangene MFA.

Für privilegierten Anbieterzugriff auf Produktionssysteme sollte der Standard Phishing-resistente MFA sein: FIDO2/WebAuthn-Hardwareschlüssel oder Passkeys, nicht SMS OTP. SMS-basierte MFA ist anfällig für SIM-Swapping und Echtzeit-Phishing-Proxies. Fordern Sie Phishing-resistente MFA von Anbietern vertraglich als Zugangsbedingung. Nehmen Sie es in Ihren Anbieter-Sicherheitsanhang auf, nicht nur in Ihre interne Richtlinie.

Die meisten der in diesem Leitfaden beschriebenen Zugangskontrollfehler haben dieselbe Ursache: Anbieter-Anmeldedaten, die nie richtig in einem Vault gespeichert, begrenzt oder widerrufen wurden. Passwork adressiert das direkt — zentralisiertes Credential-Vaulting, rollenbasierter Zugriff, zeitlich begrenztes Teilen und ein vollständiger Audit-Trail, der an benannte Identitäten gebunden ist. Verfügbar als Self-hosted oder als Cloud-Bereitstellung, integriert es sich mit AD/LDAP und SAML SSO und ist ISO 27001 zertifiziert.

Aufbau eines Anbieter-Risikobewertungs-Frameworks

Ein Anbieter-Risikobewertungs-Framework klassifiziert Dritte nach Zugangslevel und wendet verhältnismäßige Sicherheitsanforderungen auf jede Stufe an. Das 5-Stufen-Modell unten skaliert von Tier-1-Anbietern mit privilegiertem Produktionszugriff, die vollständige Sicherheitsbewertungen und jährliche Reviews erfordern — bis hin zu Tier-5-Anbietern ohne Daten- oder Systemzugriff, bei denen Standard-Beschaffungs-Due-Diligence ausreicht.

Das 5-Stufen-Anbieter-Risikoklassifizierungsmodell:

Die Klassifizierung bestimmt den verhältnismäßigen Aufwand. Sie benötigen keinen vollständigen Penetrationstestbericht von Ihrem Bürobedarfslieferanten. Von dem MSP mit Admin-Zugriff auf Ihr Active Directory schon.

Checkliste für Anbieterzugangskontrolle

Die folgende Pre-Audit-Checkliste für Anbieterzugriff bildet direkt auf die Anforderungen von NIS2 Artikel 21, DORA Artikel 28 und NIST SP 800-161 ab. Verwenden Sie sie beim Anbieter-Onboarding und bei jeder jährlichen Überprüfung.

Vor der Zugriffsbereitstellung:

•  Anbieter nach Stufe basierend auf Zugangslevel klassifiziert
•  Minimaler notwendiger Zugriffsumfang schriftlich definiert
•  Benannte Personen identifiziert (keine gemeinsam genutzten/generischen Konten)
•  MFA-Anforderung bestätigt und getestet
•  Zugriff über Credential-Vault bereitgestellt, nicht durch direkte Weitergabe von Anmeldedaten
•  Sitzungsprotokollierung aktiviert

Während des Auftrags:

•  Zugriffsumfang überprüft, wenn sich der Auftragsumfang ändert
•  Ungewöhnliche Zugriffsmuster zur Überprüfung gekennzeichnet
•  Anbieter-Vorfallsbenachrichtigungsklausel im Vertrag aktiv

Zugriffsentzug:

•  Offboarding-Auslöser definiert (Vertragsende, Personalwechsel, Vorfall)
•  Anmeldedaten sofort beim Offboarding rotiert
•  Vault-Zugriff widerrufen und Audit-Protokoll exportiert
•  Zugriffsüberprüfung für Compliance-Unterlagen dokumentiert

Fazit: Lieferkettensicherheit operationalisieren

Organisationen, die dies gut handhaben, haben nicht weniger Anbieter; sie haben strengere Kontrollen darüber, wie sich diese Anbieter authentifizieren, worauf sie zugreifen können und für wie lange.

Der technische Bauplan ist klar: Anbieter nach Zugriffsstufe klassifizieren, gemeinsam genutzte Konten eliminieren, Anmeldedaten zentral in einem Vault speichern, JIT-Zugriff für privilegierte Sitzungen durchsetzen und Phishing-resistente MFA verlangen. NIS2, DORA und der CRA bieten die Governance-Struktur und die vertragliche Hebelwirkung, um Anbieter am selben Standard zu messen.

Beginnen Sie mit Ihren Tier-1-Anbietern — denen mit privilegiertem Zugriff auf Produktionssysteme. Prüfen Sie deren aktuellen Zugriffsumfang, bestätigen Sie die Zuweisung einzelner Konten und verifizieren Sie, dass MFA aktiv ist. Dieser einzelne Durchgang wird mehr handlungsfähiges Risiko aufdecken als ein Jahr voller Fragebögen.

Häufig gestellte Fragen

Was ist der Unterschied zwischen Lieferkettensicherheit und Anbieter-Risikomanagement?

Anbieter-Risikomanagement (Vendor Risk Management, VRM) ist die breitere Disziplin, die finanzielle, operative, reputationsbezogene und Cyber-Risiken von Dritten abdeckt. Lieferkettensicherheit ist die cybersicherheitsspezifische Untermenge: der Schutz von Systemen, Daten und Software-Integrität vor Bedrohungen, die über Lieferantenbeziehungen eintreten. VRM informiert Beschaffungsentscheidungen; Lieferkettensicherheit regelt technische Zugriffskontrollen und Software-Integrität.

Welche Vorschriften erfordern Lieferketten-Sicherheitskontrollen in 2025–2026?

NIS2-Richtlinie Artikel 21 verlangt von wesentlichen und wichtigen EU-Einrichtungen, Lieferantensicherheitsrisiken zu bewerten und zu managen. DORA Artikel 28–30 erlegt EU-Finanzunternehmen ICT-Drittanbieter-Risikomanagement-Verpflichtungen auf. Der EU Cyber Resilience Act verlangt Schwachstellenmeldungen ab September 2026 und vollständige SBOM- und Konformitätsanforderungen ab Dezember 2027. In den USA setzen NIST SP 800-161 und Executive Order 14028 C-SCRM-Erwartungen für Bundesauftragnehmer.

Was ist Just-in-Time (JIT) Zugriff und warum ist er für Anbietersicherheit wichtig?

JIT-Zugriff stellt privilegierte Anmeldedaten für ein definiertes Zeitfenster aus und widerruft sie automatisch, wenn dieses Fenster geschlossen wird. Er eliminiert permanente Berechtigungen — persistenten Zugriff, den Angreifer während der für Lieferketten-Sicherheitsverletzungen typischen verlängerten Verweildauer ausnutzen. IBMs Daten von 2025 zeigen, dass Lieferkettenkompromittierungen durchschnittlich 267 Tage benötigen, um identifiziert und eingedämmt zu werden; JIT-Zugriff reduziert das ausnutzbare Fenster auf Stunden, nicht Monate.

Wie reduzieren SBOMs das Lieferkettenrisiko?

Eine Software Bill of Materials (SBOM) ist ein maschinenlesbares Inventar aller Softwarekomponenten und ihrer Versionen. Wenn eine neue Schwachstelle offengelegt wird — wie Log4Shell 2021 — ermöglicht Ihnen eine SBOM, innerhalb von Minuten festzustellen, ob eines Ihrer Systeme oder eine vom Anbieter bereitgestellte Software die betroffene Komponente enthält. Ohne SBOM kann dieselbe Feststellung Tage oder Wochen dauern, während derer die Schwachstelle ungepatcht und ausnutzbar bleibt.

Was sollte ein Anbieter-Sicherheitsvertragsanhang enthalten?

Mindestens: eine Anforderung für benannte einzelne Konten (keine gemeinsam genutzten Anmeldedaten), Phishing-resistente MFA für privilegierten Zugriff, Benachrichtigungspflichten innerhalb von 24–72 Stunden nach einem Sicherheitsvorfall, Auditrechte, die Ihrer Organisation die Überprüfung von Zugriffsprotokollen ermöglichen, und ein definierter Offboarding-Prozess einschließlich Credential-Rotation. NIS2 Artikel 21 und DORA Artikel 30 verlangen beide vertragliche Sicherheitsbestimmungen — der Anhang ist Ihr Compliance-Nachweis.

Wie sollten Organisationen Anbieter für Risikobewertungszwecke klassifizieren?

Klassifizieren Sie nach Zugangslevel, nicht nach Vertragswert oder Anbietergröße. Ein kleines Beratungsunternehmen mit Admin-Zugriff auf Ihre Produktionsumgebung ist risikoreicher als ein großer Softwareanbieter ohne direkten Systemzugriff. Das oben dargestellte 5-Stufen-Anbieter-Risikoklassifizierungsmodell bietet eine praktische Struktur: Tier 1 (privilegierter Produktionszugriff) bis Tier 5 (kein Daten- oder Systemzugriff), mit entsprechend skalierten Bewertungsanforderungen und Überprüfungshäufigkeiten.

Was ist der häufigste Zugangskontrollfehler bei Drittanbieter-Sicherheitsverletzungen?

Gemeinsam genutzte Anmeldedaten ohne individuelle Verantwortlichkeit. Ein einzelner Satz Anmeldedaten, der einem Anbieterteam ausgestellt, außerhalb eines Vaults gespeichert, nie rotiert und nie widerrufen wird, wenn der Auftrag endet. Verizons 2026 DBIR identifiziert Authentifizierungsfehler als den primären Mechanismus bei Drittanbieter-Sicherheitsverletzungsszenarien. Die Lösung sind einzelne benannte Konten, Credential-Vaulting und ein dokumentierter Offboarding-Prozess — nicht komplexere Technologie.

Was ist Hardware-Lieferkettenrisiko und wie unterscheidet es sich vom Software-Lieferkettenrisiko?

Hardware-Lieferkettenrisiko umfasst gefälschte oder manipulierte physische Komponenten — Netzwerkausrüstung, Server-Hardware, Firmware — die persistente Hintertüren einführen können, die für Software-Layer-Sicherheitskontrollen unsichtbar sind. Im Gegensatz zu Software-Schwachstellen überlebt Hardware-Manipulation eine Betriebssystem-Neuinstallation. Der EU Cyber Resilience Act adressiert dies direkt und verlangt von Herstellern, die Lieferkettensicherheit für Hardwareprodukte mit digitalen Elementen zu dokumentieren.

Einblick in reale Lieferkettenangriffe: Bitwarden CLI, Axios und Vercel

Warum Ihr Netzwerk kompromittieren, wenn Angreifer eine vertrauenswürdige Abhängigkeit mit Millionen von Downloads kompromittieren und sich lautlos in Tausende von Organisationen gleichzeitig einschleichen können? Drei Kampagnen aus 2026 beweisen, dass Lieferkettenangriffe keine Einzelfälle mehr sind.

Passwork BlogAlex Muntyan

Shadow IT vs. Shadow AI: Warum KI die größere Bedrohung ist

Mitarbeiter nutzen KI-Tools, die Sie nicht genehmigt haben, auf Konten, die Sie nicht überwachen können, mit Daten, die Sie nicht wiederherstellen können. Hier erfahren Sie, wie das Risiko tatsächlich aussieht und was die Governance adressieren muss.

Passwork BlogAlex Muntyan

NIS2-Zugriffskontrollen für Lieferkettensicherheit

48 % der Sicherheitsverletzungen betreffen jetzt Dritte. NIS2 Artikel 21 macht die Lieferanten-Zugriffs-Governance zur gesetzlichen Pflicht. Hier erfahren Sie, wie Sie den Anbieterzugriff kartieren, MFA und Least Privilege durchsetzen und die Audit-Nachweise aufbewahren, die beweisen, dass Ihre Kontrollen funktionieren.

Passwork BlogAlex Muntyan

Hace unos años, el consejo estándar era simple: evalúe a sus proveedores, firme un NDA, realice un cuestionario anual. Entonces ocurrió SolarWinds, luego MOVEit, luego XZ Utils — una puerta trasera plantada durante dos años de contribuciones legítimas a código abierto, detectada por un ingeniero que notó un proceso ejecutándose 500ms más lento de lo debido. Todos esos ataques entraron a través de una relación de confianza.

El patrón se mantiene en cada incidente importante. La participación de terceros ahora representa el 48% de todas las filtraciones de datos (frente al 30% del año anterior) según el DBIR 2026 de Verizon, y el compromiso promedio de la cadena de suministro cuesta 4,91 millones de dólares y tarda 267 días en contenerse, según el informe Cost of a Data Breach 2025 de IBM. 

La mayoría de las organizaciones todavía responden con cuestionarios y auditorías anuales. Estos tienen su lugar. Pero un cuestionario no detiene una filtración. Revocar los privilegios permanentes de un proveedor sí lo hace. Esta guía trata la seguridad de la cadena de suministro como lo que realmente es: un problema de IAM y control de credenciales, con una capa de cumplimiento normativo encima.

Puntos clave

• La participación de terceros ahora representa el 48% de todas las filtraciones de datos — frente al 30% del año anterior, según el DBIR 2026 de Verizon. Los ataques a la cadena de suministro son el vector de filtración dominante.
• El compromiso promedio de la cadena de suministro cuesta 4,91 millones de dólares y tarda 267 días en contenerse. Ese tiempo de permanencia es lo que hace tan peligrosos los privilegios permanentes de los proveedores — los atacantes no necesitan moverse rápido si las credenciales nunca expiran.
• Todos los incidentes importantes de cadena de suministro entraron a través de una relación de confianza. SolarWinds, MOVEit, XZ Utils — en cada caso, el atacante utilizó acceso que ya estaba aprovisionado y ya era de confianza.
• Los cuestionarios y las auditorías anuales no detienen las filtraciones. Revocar los privilegios permanentes de los proveedores sí lo hace. Los controles que importan son técnicos: almacenamiento de credenciales en bóvedas, acceso JIT, RBAC limitado al alcance del compromiso y MFA resistente al phishing.
• NIS2, DORA y la Ley de Ciberresiliencia de la UE convierten la seguridad de la cadena de suministro en una obligación legal. El artículo 21 de NIS2, los artículos 28-30 de DORA y los requisitos de la CRA se aplican en un calendario escalonado hasta 2027.
• El 70% de los 50 principales proveedores compartidos por las empresas del Global 2000 tienen al menos una vulnerabilidad KEV sin parchear, según el informe Third-Party Breach Report 2026 de Black Kite.

¿Qué es la gestión de riesgos de la cadena de suministro cibernética (C-SCRM)?

La gestión de riesgos de la cadena de suministro cibernética (C-SCRM) es la disciplina de identificar, evaluar y mitigar los riesgos de ciberseguridad que se originan en la red extendida de proveedores, vendedores, prestadores de servicios y dependencias de software de una organización. Abarca todo, desde las herramientas SaaS que usan los desarrolladores hasta el proveedor de servicios gestionados (MSP) con acceso de administrador a su entorno de producción.

C-SCRM se sitúa en la intersección de adquisiciones, seguridad de TI y cumplimiento normativo. NIST SP 800-161 Rev. 1 proporciona el marco federal más detallado para ello, definiendo C-SCRM como un proceso estructurado para gestionar la exposición a riesgos de ciberseguridad a lo largo del ciclo de vida de la cadena de suministro — desde la selección inicial del proveedor hasta la terminación del contrato y la revocación del acceso.

El alcance es más amplio de lo que la mayoría de los equipos imaginan. Su cadena de suministro incluye:

• Proveedores de software y dependencias de código abierto
• Infraestructura en la nube y proveedores SaaS
• Proveedores de servicios gestionados y soporte de TI
• Fabricantes de hardware y proveedores de firmware
• Empresas de servicios profesionales con acceso a la red o los datos

Cada uno de estos es un punto de entrada potencial. Los incidentes de SolarWinds, MOVEit y XZ Utils explotaron ese punto de entrada de diferentes maneras.

El estado de los ataques a la cadena de suministro en 2025–2026

Los ataques a la cadena de suministro alcanzaron niveles récord en 2025–2026. El DBIR 2026 de Verizon registró la participación de terceros en el 48% de todas las filtraciones analizadas — el más alto en la historia del informe y un aumento del 60% respecto al 30% del año anterior. El informe Cost of a Data Breach 2025 de IBM sitúa el compromiso promedio de la cadena de suministro en 4,91 millones de dólares, con un ciclo de vida promedio de 267 días desde la detección hasta la contención.

Los actores de amenazas han aprendido que comprometer a un proveedor de confianza proporciona acceso a docenas o cientos de organizaciones posteriores simultáneamente. La economía favorece al atacante: una intrusión exitosa, multiplicada por toda la base de clientes de un proveedor.

Según el informe Third-Party Breach Report 2026 de Black Kite, el 70% de los 50 principales proveedores compartidos por las empresas del Global 2000 tienen al menos una vulnerabilidad sin parchear del catálogo de Vulnerabilidades Explotadas Conocidas (KEV) de CISA. Estos no son riesgos teóricos — CISA marca las entradas KEV específicamente porque están siendo explotadas activamente.

Lecciones de SolarWinds, MOVEit y XZ Utils

Los tres incidentes comparten un hilo común: el vector de acceso inicial era de confianza. Software de confianza, proveedor de confianza, colaborador de confianza. Una vez dentro, el atacante se movió lateralmente utilizando credenciales y acceso que ya estaban aprovisionados.

SolarWinds (2020)

Los atacantes comprometieron directamente el pipeline de compilación, insertando una puerta trasera en una actualización de software firmada que se distribuyó a los clientes como un parche rutinario. Aproximadamente 18.000 organizaciones la instalaron. Las consecuencias legales se prolongaron durante años: la SEC presentó una acción de cumplimiento civil contra SolarWinds y su CISO en octubre de 2023, y el caso finalmente se desestimó por completo en 2025.

La lección: los controles de integridad del software y la visibilidad del SBOM (Software Bill of Materials) importan tanto como los controles del perímetro de red — y la exposición a responsabilidad por un compromiso del pipeline de compilación se extiende mucho más allá de la filtración inicial.

MOVEit (2023)

Una vulnerabilidad de inyección SQL de día cero (CVE-2023-34362) en un producto de transferencia de archivos gestionada dio al grupo de ransomware Cl0p acceso a datos de más de 2.700 organizaciones — muchas de las cuales no tenían relación directa con MOVEit pero se vieron afectadas por el uso que sus proveedores hacían de él. El recuento final de víctimas alcanzó aproximadamente 95 millones de personas. 

La lección: su superficie de ataque incluye el software que ejecutan sus proveedores, no solo el software que ejecuta usted.

XZ Utils (2024)

Una campaña de ingeniería social de varios años insertó una puerta trasera en una biblioteca de compresión de código abierto ampliamente utilizada. El atacante contribuyó código legítimo durante dos años antes de introducir la carga maliciosa — y la puerta trasera fue detectada no por ningún proceso de seguridad formal, sino por un ingeniero de Microsoft que notó un retraso de 500ms en los inicios de sesión SSH. 

La lección: el riesgo de dependencias de código abierto es real, los SBOMs son la única forma sistemática de rastrearlo, y sus controles de detección necesitan cubrir el comportamiento, no solo las firmas.

Principales riesgos de proveedores en la cadena de suministro moderna

Las cinco categorías de riesgo de cadena de suministro más comunes son:

• Credenciales compartidas y control de acceso deficiente
• Vulnerabilidades en dependencias de software
• Manipulación de hardware y componentes
• Shadow AI y exposición de datos de terceros
• Riesgo de concentración de proveedores

Cada una requiere una respuesta de control distinta. Los fallos de credenciales compartidas son un problema de proceso. La manipulación de hardware requiere verificación de procedencia física.

Credenciales compartidas y control de acceso deficiente

El riesgo de cadena de suministro más común y más prevenible es también el menos glamuroso: cuentas compartidas. Un equipo de soporte de proveedor obtiene un único conjunto de credenciales para acceder a su entorno. Esas credenciales se comparten entre el personal del proveedor, se almacenan en una hoja de cálculo o hilo de correo electrónico, y nunca se rotan después de que termina el compromiso.

Cuando ese proveedor es vulnerado, o cuando un empleado descontento se va, no hay forma de saber quién usó esas credenciales, cuándo o a qué accedió. No hay rastro de auditoría. No hay forma de revocar el acceso de un individuo sin cambiar las credenciales para todos.

El DBIR 2026 de Verizon identifica los fallos de autenticación (MFA ausente o eludida, credenciales robadas) como el mecanismo principal en los escenarios de filtración de terceros. Este es un fallo de proceso.

Vulnerabilidades en la cadena de suministro de software y la necesidad de SBOMs

Un Software Bill of Materials (SBOM) es un inventario legible por máquina de cada componente en un producto de software: bibliotecas, dependencias, versiones y sus vulnerabilidades conocidas. La Orden Ejecutiva 14028 de EE.UU. (2021) exigió SBOMs para el software vendido a agencias federales. La Ley de Ciberresiliencia (CRA) de la UE extiende requisitos similares a los productos vendidos en el mercado europeo, con obligaciones de notificación de vulnerabilidades aplicables desde septiembre de 2026 y requisitos completos de producto desde diciembre de 2027.

Sin un SBOM, no puede responder «¿Estamos ejecutando la versión vulnerable de Log4j?» en menos de 24 horas. Con uno, sí puede. Esa diferencia de velocidad es la brecha entre un incidente contenido y una filtración que tarda 267 días en cerrarse.

Manipulación de hardware y componentes

El riesgo de la cadena de suministro de hardware es distinto del riesgo de software y a menudo se subestima. Los componentes falsificados o manipulados — equipos de red, hardware de servidor, firmware — pueden introducir puertas traseras persistentes que sobreviven a la reinstalación del sistema operativo y son invisibles para los controles de seguridad de la capa de software.

La Ley de Ciberresiliencia de la UE aborda explícitamente los productos de hardware con elementos digitales, exigiendo a los fabricantes que evalúen y documenten la seguridad de la cadena de suministro para los componentes físicos. Para las organizaciones que adquieren infraestructura de red o sistemas de control industrial, esto significa verificar la procedencia de los componentes, exigir atestación de integridad del firmware a los proveedores y mantener un inventario de versiones de hardware equivalente a un SBOM de software.

Shadow AI y exposición de datos de terceros

El DBIR 2026 de Verizon identifica shadow AI como uno de los tres principales comportamientos internos — empleados que utilizan herramientas de IA no autorizadas que procesan datos organizacionales fuera de los canales aprobados. El ángulo de la cadena de suministro: muchas de estas herramientas son productos SaaS de terceros con sus propias políticas de retención de datos, acuerdos de subprocesadores y posturas de seguridad que su organización nunca revisó.

Cuando un desarrollador pega credenciales de base de datos en un asistente de IA para depurar una consulta, esas credenciales pueden ser retenidas, registradas o utilizadas para el entrenamiento del modelo. El riesgo del proveedor no es solo el proveedor de IA — es cada subprocesador en su cadena.

Interrupciones de disponibilidad y riesgo de concentración de proveedores

Un fallo de seguridad de la cadena de suministro no siempre significa una filtración de datos. Las interrupciones de proveedores, los ataques de ransomware a proveedores críticos y los puntos únicos de fallo en la infraestructura compartida pueden interrumpir las operaciones por completo. El mandato de resiliencia operativa de DORA existe precisamente porque el sector financiero de la UE reconoció que el riesgo de disponibilidad de terceros de TIC es tan material como el riesgo de confidencialidad.

El riesgo de concentración agrava esto: cuando el 70% de las empresas del Forbes Global 2000 comparten los mismos 50 principales proveedores, un único compromiso se propaga a escala. Mapear las dependencias de proveedores críticos y mantener planes de continuidad documentados para fallos de proveedores de Nivel 1 es un requisito del artículo 28 de DORA para las entidades financieras.

Requisitos regulatorios europeos e internacionales para la seguridad de la cadena de suministro

NIS2, DORA y la Ley de Ciberresiliencia de la UE forman juntos el marco regulatorio vinculante para la seguridad de la cadena de suministro en el mercado europeo. NIST CSF 2.0 y SP 800-161 son marcos estadounidenses — no obligaciones legales de la UE — pero son ampliamente referenciados por organizaciones multinacionales y proporcionan detalle operativo que complementa los requisitos de la UE.

Directiva NIS2 (Artículo 21)

El artículo 21 de NIS2 exige a las entidades cubiertas implementar «seguridad de la cadena de suministro, incluidos los aspectos relacionados con la seguridad en las relaciones entre cada entidad y sus proveedores directos o prestadores de servicios». Esta es una obligación legal para las entidades esenciales e importantes en 18 sectores, con una aplicación que los estados miembros de la UE comenzaron a implementar a finales de 2024.

En la práctica, el artículo 21 significa que debe evaluar la postura de seguridad de sus proveedores directos, incluir requisitos de seguridad en los contratos y mantener un proceso documentado para gestionar incidentes relacionados con proveedores. Para la gestión de credenciales específicamente, esto se traduce en: sin cuentas compartidas, procedimientos documentados de aprovisionamiento y revocación de acceso, y registros de auditoría que puedan presentarse durante una revisión de supervisión.

Para un desglose detallado de cómo NIS2 se relaciona con los requisitos de control de acceso, consulte la guía de cumplimiento de NIS2 de Passwork.

DORA (Ley de Resiliencia Operativa Digital)

DORA se aplica a las entidades financieras y sus proveedores de servicios de TIC terceros que operan en la UE. Los artículos 28 a 30 establecen un marco detallado de gestión de riesgos de TIC de terceros, incluyendo requisitos para mantener un registro de todos los proveedores de TIC, realizar evaluaciones de riesgo antes de la incorporación y garantizar que los contratos incluyan disposiciones para derechos de auditoría y notificación de incidentes.

DORA también introduce el concepto de «proveedores de TIC terceros críticos» (CTPPs), que las Autoridades Europeas de Supervisión pueden designar para supervisión directa. Si su organización es un CTPP — o depende de uno — el escrutinio sobre sus controles de seguridad de la cadena de suministro es sustancialmente mayor. El riesgo de interrupción de disponibilidad descrito anteriormente es una preocupación de DORA tanto como de seguridad: el artículo 28 exige explícitamente planes de continuidad documentados para dependencias de terceros críticos.

Ley de Ciberresiliencia de la UE (CRA)

La CRA fue adoptada en 2024 y se aplica en un calendario escalonado. Las obligaciones de notificación de vulnerabilidades e incidentes entran en vigor a partir del 11 de septiembre de 2026. Los requisitos completos de producto — incluyendo mandatos de SBOM y evaluaciones de conformidad para productos con elementos digitales — se aplican a partir del 11 de diciembre de 2027. Las organizaciones que venden hardware o software conectado en el mercado de la UE deben comenzar el trabajo de cumplimiento ahora; el plazo de 2027 llega más rápido de lo que permiten la mayoría de los ciclos de desarrollo de productos.

NIST CSF 2.0 y NIST SP 800-161

NIST CSF 2.0, publicado en febrero de 2024, añadió «Gobernar» como una sexta función central. La subcategoría GV.SC aborda explícitamente la gestión de riesgos de la cadena de suministro, exigiendo a las organizaciones integrar C-SCRM en la gobernanza de riesgos empresariales — no tratarlo como un proyecto de TI separado. Para las organizaciones de la UE, CSF 2.0 no es un requisito legal pero proporciona una estructura operativa útil que se corresponde bien con las obligaciones de NIS2 y DORA.

NIST SP 800-161 Rev. 1 proporciona el detalle operativo: cómo realizar evaluaciones de proveedores, qué controles exigir en los contratos y cómo estructurar un programa C-SCRM a lo largo de todo el ciclo de vida de adquisición. Para los contratistas federales de EE.UU., la alineación con SP 800-161 es cada vez más un requisito de adquisiciones.

Cómo asegurar el acceso de proveedores: El modelo técnico

Los cuatro controles de mayor impacto para la seguridad del acceso de proveedores son RBAC limitado al alcance del compromiso, acceso privilegiado justo a tiempo, almacenamiento centralizado de credenciales en bóveda y MFA resistente al phishing. Aplicados en ese orden, abordan los modos de fallo más comunes — privilegios permanentes, cuentas compartidas y brechas de autenticación — sin requerir nueva infraestructura en la mayoría de los entornos.

Aplique un control de acceso basado en roles (RBAC) estricto

El control de acceso basado en roles (RBAC) asigna permisos a roles, no a individuos. Un ingeniero de soporte del proveedor obtiene el rol de «monitoreo de producción de solo lectura», no una cuenta de administrador personal. Cuando termina el compromiso, se elimina la asignación del rol. Cuando el proveedor rota su personal, no necesita rastrear cuentas individuales — el rol define lo que es accesible.

Para el acceso de proveedores específicamente, RBAC debe estar limitado al mínimo requerido para el compromiso. Un proveedor de base de datos que realiza una auditoría de rendimiento no necesita acceso de escritura a la configuración de la aplicación. Defina el rol antes de aprovisionar el acceso, no después.

Implemente acceso privilegiado justo a tiempo (JIT)

El acceso justo a tiempo (JIT) significa que las credenciales privilegiadas se emiten para una ventana de tiempo definida y se revocan automáticamente cuando esa ventana se cierra. Un ingeniero del proveedor solicita acceso para una ventana de mantenimiento de dos horas; el sistema lo concede, registra la sesión y lo revoca a las dos horas independientemente de si el ingeniero recuerda cerrar sesión.

El acceso JIT elimina los privilegios permanentes: el acceso persistente y siempre activo que los atacantes explotan durante el tiempo de permanencia promedio de 267 días de una filtración de cadena de suministro. No hay nada que robar si las credenciales expiran antes de que el atacante pueda usarlas. JIT es particularmente efectivo para escenarios de emergencia: acceso de proveedor de emergencia durante un incidente, donde la velocidad importa pero también la responsabilidad.

Almacenamiento seguro de credenciales de proveedores en bóveda

Las cuentas de proveedor compartidas son una responsabilidad. La alternativa es una bóveda de credenciales: un almacén centralizado y cifrado donde las credenciales del proveedor son mantenidas por su organización, no por el proveedor. El proveedor se autentica en la bóveda, retira las credenciales para su sesión, y la bóveda registra cada evento de acceso.

Este enfoque le proporciona un rastro de auditoría completo de quién accedió a qué y cuándo, la capacidad de rotar credenciales sin coordinarse con el proveedor, revocación automática cuando termina la relación con el proveedor, y evidencia de cumplimiento para los requisitos de derechos de auditoría del artículo 21 de NIS2 y el artículo 30 de DORA.

El gestor empresarial de contraseñas y secretos de Passwork soporta compartición de credenciales con tiempo limitado, registro de sesiones e integración con infraestructura AD/LDAP y SSO — con cifrado AES-256 del lado del cliente y una REST API completa para integración en flujos de trabajo de aprovisionamiento existentes.

Exija MFA resistente al phishing para terceros

MFA es el control con mayor retorno de inversión para el acceso de terceros. El DBIR 2026 de Verizon atribuye la mayoría de los escenarios de filtración de terceros a fallos de autenticación — y la mayoría de esos fallos son MFA ausente, no MFA eludida.

Para el acceso privilegiado de proveedores a sistemas de producción, el estándar debe ser MFA resistente al phishing: llaves de hardware FIDO2/WebAuthn o passkeys, no OTP por SMS. MFA basada en SMS es vulnerable al intercambio de SIM y proxies de phishing en tiempo real. Exija contractualmente MFA resistente al phishing a los proveedores como condición de acceso. Inclúyalo en su anexo de seguridad del proveedor, no solo en su política interna.

La mayoría de los fallos de control de acceso descritos en esta guía se remontan a la misma causa raíz: credenciales de proveedor que nunca se almacenaron correctamente en bóveda, no se limitaron en alcance o no se revocaron. Passwork aborda eso directamente — almacenamiento centralizado de credenciales en bóveda, acceso basado en roles, compartición con tiempo limitado y un registro de auditoría completo vinculado a identidades nominativas. Disponible autoalojado o como despliegue en la nube, se integra con AD/LDAP y SAML SSO y tiene certificación ISO 27001.

Construyendo un marco de evaluación de riesgos de proveedores

Un marco de evaluación de riesgos de proveedores clasifica a los terceros por nivel de acceso y aplica requisitos de seguridad proporcionales a cada nivel. El modelo de 5 niveles a continuación escala desde proveedores de Nivel 1 con acceso privilegiado a producción, que requieren evaluaciones de seguridad completas y revisiones anuales — hasta proveedores de Nivel 5 sin acceso a datos o sistemas, donde la debida diligencia de adquisiciones estándar es suficiente.

El modelo de clasificación de riesgos de proveedores de 5 niveles:

La clasificación impulsa un esfuerzo proporcional. No necesita un informe de prueba de penetración completo de su proveedor de suministros de oficina. Sí lo necesita del MSP con acceso de administrador a su Active Directory.

Lista de verificación de control de acceso de proveedores

La siguiente lista de verificación de acceso de proveedores previa a la auditoría se corresponde directamente con los requisitos del artículo 21 de NIS2, el artículo 28 de DORA y NIST SP 800-161. Úsela en la incorporación de proveedores y en cada revisión anual.

Antes del aprovisionamiento de acceso:

•  Proveedor clasificado por nivel según el nivel de acceso
•  Alcance de acceso mínimo necesario definido por escrito
•  Individuos identificados por nombre (sin cuentas compartidas/genéricas)
•  Requisito de MFA confirmado y probado
•  Acceso aprovisionado a través de bóveda de credenciales, no compartición directa de credenciales
•  Registro de sesiones habilitado

Durante el compromiso:

•  Alcance de acceso revisado si el alcance del compromiso cambia
•  Patrones de acceso inusuales marcados para revisión
•  Cláusula de notificación de incidentes del proveedor activa en el contrato

Revocación de acceso:

•  Disparador de desvinculación definido (fin de contrato, cambio de personal, incidente)
•  Credenciales rotadas inmediatamente en la desvinculación
•  Acceso a la bóveda revocado y registro de auditoría exportado
•  Revisión de acceso documentada para registros de cumplimiento

Conclusión: Hacer operativa la seguridad de la cadena de suministro

Las organizaciones que gestionan esto bien no tienen menos proveedores; tienen controles más estrictos sobre cómo se autentican esos proveedores, a qué pueden acceder y durante cuánto tiempo.

El modelo técnico es claro: clasifique a los proveedores por nivel de acceso, elimine las cuentas compartidas, almacene las credenciales centralmente en bóveda, aplique acceso JIT para sesiones privilegiadas y exija MFA resistente al phishing. NIS2, DORA y la CRA proporcionan la estructura de gobernanza y el apalancamiento contractual para exigir a los proveedores el mismo estándar.

Comience con sus proveedores de Nivel 1 — los que tienen acceso privilegiado a sistemas de producción. Audite su alcance de acceso actual, confirme la asignación de cuentas individuales y verifique que MFA esté activo. Ese único pase revelará más riesgo accionable que un año de cuestionarios.

Preguntas frecuentes

¿Cuál es la diferencia entre seguridad de la cadena de suministro y gestión de riesgos de proveedores?

La gestión de riesgos de proveedores (VRM) es la disciplina más amplia que cubre riesgos financieros, operacionales, reputacionales y cibernéticos de terceros. La seguridad de la cadena de suministro es el subconjunto específico de ciberseguridad: proteger sistemas, datos e integridad del software de amenazas que entran a través de relaciones con proveedores. VRM informa las decisiones de adquisición; la seguridad de la cadena de suministro gobierna los controles técnicos de acceso y la integridad del software.

¿Qué regulaciones requieren controles de seguridad de la cadena de suministro en 2025–2026?

El artículo 21 de la Directiva NIS2 exige a las entidades esenciales e importantes de la UE evaluar y gestionar los riesgos de seguridad de los proveedores. Los artículos 28–30 de DORA imponen obligaciones de gestión de riesgos de TIC de terceros a las entidades financieras de la UE. La Ley de Ciberresiliencia de la UE exige la notificación de vulnerabilidades desde septiembre de 2026 y requisitos completos de SBOM y conformidad desde diciembre de 2027. En EE.UU., NIST SP 800-161 y la Orden Ejecutiva 14028 establecen expectativas de C-SCRM para contratistas federales.

¿Qué es el acceso justo a tiempo (JIT) y por qué importa para la seguridad de proveedores?

El acceso JIT emite credenciales privilegiadas para una ventana de tiempo definida y las revoca automáticamente cuando esa ventana se cierra. Elimina los privilegios permanentes — acceso persistente que los atacantes explotan durante el tiempo de permanencia extendido típico de las filtraciones de cadena de suministro. Los datos de IBM de 2025 muestran que los compromisos de cadena de suministro tardan en promedio 267 días en identificarse y contenerse; el acceso JIT reduce la ventana explotable a horas, no meses.

¿Cómo reducen los SBOMs el riesgo de la cadena de suministro?

Un Software Bill of Materials (SBOM) es un inventario legible por máquina de todos los componentes de software y sus versiones. Cuando se divulga una nueva vulnerabilidad — como Log4Shell en 2021 — un SBOM le permite determinar en minutos si alguno de sus sistemas o software suministrado por proveedores contiene el componente afectado. Sin un SBOM, esa misma determinación puede llevar días o semanas, durante las cuales la vulnerabilidad permanece sin parchear y explotable.

¿Qué debe incluir un anexo de seguridad del contrato con el proveedor?

Como mínimo: un requisito de cuentas individuales nominativas (sin credenciales compartidas), MFA resistente al phishing para acceso privilegiado, obligaciones de notificación dentro de 24–72 horas de un incidente de seguridad, derechos de auditoría que permitan a su organización revisar los registros de acceso, y un proceso de desvinculación definido que incluya rotación de credenciales. Tanto el artículo 21 de NIS2 como el artículo 30 de DORA requieren disposiciones de seguridad contractuales — el anexo es su evidencia de cumplimiento.

¿Cómo deben las organizaciones clasificar a los proveedores para propósitos de evaluación de riesgos?

Clasifique por nivel de acceso, no por valor del contrato o tamaño del proveedor. Una pequeña consultoría con acceso de administrador a su entorno de producción es de mayor riesgo que un gran proveedor de software sin acceso directo al sistema. El modelo de clasificación de riesgos de proveedores de 5 niveles anterior proporciona una estructura práctica: Nivel 1 (acceso privilegiado a producción) hasta Nivel 5 (sin acceso a datos o sistemas), con requisitos de evaluación y frecuencia de revisión escalados en consecuencia.

¿Cuál es el fallo de control de acceso más común en las filtraciones de terceros?

Credenciales compartidas sin responsabilidad individual. Un único conjunto de credenciales emitido a un equipo de proveedor, almacenado fuera de una bóveda, nunca rotado, y nunca revocado cuando termina el compromiso. El DBIR 2026 de Verizon identifica los fallos de autenticación como el mecanismo principal en escenarios de filtración de terceros. La solución son cuentas individuales nominativas, almacenamiento de credenciales en bóveda y un proceso de desvinculación documentado — no tecnología más compleja.

¿Qué es el riesgo de la cadena de suministro de hardware y cómo se diferencia del riesgo de la cadena de suministro de software?

El riesgo de la cadena de suministro de hardware involucra componentes físicos falsificados o manipulados — equipos de red, hardware de servidor, firmware — que pueden introducir puertas traseras persistentes invisibles para los controles de seguridad de la capa de software. A diferencia de las vulnerabilidades de software, la manipulación de hardware sobrevive a la reinstalación del sistema operativo. La Ley de Ciberresiliencia de la UE aborda esto directamente, exigiendo a los fabricantes documentar la seguridad de la cadena de suministro para productos de hardware con elementos digitales.

Dentro de ataques reales a la cadena de suministro: Bitwarden CLI, Axios y Vercel

¿Por qué vulnerar su red cuando los atacantes pueden comprometer una dependencia de confianza con millones de descargas y deslizarse silenciosamente en miles de organizaciones a la vez? Tres campañas de 2026 demuestran que los ataques a la cadena de suministro ya no son incidentes aislados.

Passwork BlogAlex Muntyan

Shadow IT vs Shadow AI: Por qué la IA es la mayor amenaza

Los empleados están usando herramientas de IA que usted no aprobó, en cuentas que no puede monitorear, con datos que no puede recuperar. Así es como realmente se ve el riesgo y qué debe abordar la gobernanza.

Passwork BlogAlex Muntyan

Controles de acceso NIS2 para seguridad de la cadena de suministro

El 48% de las filtraciones ahora involucran a terceros. El artículo 21 de NIS2 convierte la gobernanza del acceso de proveedores en una obligación legal. Así es cómo mapear el acceso de proveedores, aplicar MFA y privilegio mínimo, y mantener la evidencia de auditoría que demuestra que sus controles funcionan.

Passwork BlogAlex Muntyan

A few years ago, the standard advice was simple: vet your vendors, sign an NDA, run an annual questionnaire. Then SolarWinds happened, then MOVEit, then XZ Utils — a backdoor planted over two years of legitimate open-source contributions, caught by an engineer who noticed a process running 500ms slower than it should. Every one of those attacks entered through a trusted relationship.

The pattern holds across every major incident. Third-party involvement now accounts for 48% of all data breaches (up from 30% the previous year) according to Verizon's 2026 DBIR, and the average supply chain compromise costs $4.91 million and takes 267 days to contain, per IBM's 2025 Cost of a Data Breach Report. 

Most organizations still respond with questionnaires and annual audits. Those have their place. But a questionnaire doesn't stop a breach. Revoking a vendor's standing privileges does. This guide treats supply chain security as what it actually is: an IAM and credential control problem, with a compliance layer on top.

Key takeaways

• Third-party involvement now accounts for 48% of all data breaches — up from 30% the previous year, according to Verizon's 2026 DBIR. Supply chain attacks are the dominant breach vector.
• The average supply chain compromise costs $4.91 million and takes 267 days to contain. That dwell time is what makes standing vendor privileges so dangerous — attackers don't need to move fast if the credentials never expire.
• Every major supply chain incident entered through a trusted relationship. SolarWinds, MOVEit, XZ Utils — in each case, the attacker used access that was already provisioned and already trusted.
• Questionnaires and annual audits don't stop breaches. Revoking standing vendor privileges does. The controls that matter are technical: credential vaulting, JIT access, RBAC scoped to the engagement, and phishing-resistant MFA.
• NIS2, DORA, and the EU Cyber Resilience Act make supply chain security a legal obligation. NIS2 Article 21, DORA Articles 28–30, and CRA requirements apply on a staggered timeline through 2027.
• 70% of the top 50 vendors shared by Global 2000 companies carry at least one unpatched KEV vulnerability, per Black Kite's 2026 Third-Party Breach Report.

What is cyber supply chain risk management (C-SCRM)?

Cyber Supply Chain Risk Management (C-SCRM) is the discipline of identifying, assessing, and mitigating cybersecurity risks that originate from an organization's extended network of suppliers, vendors, service providers, and software dependencies. It covers everything from the SaaS tools your developers use to the managed service provider (MSP) with admin access to your production environment.

C-SCRM sits at the intersection of procurement, IT security, and compliance. NIST SP 800-161 Rev. 1 provides the most detailed federal framework for it, defining C-SCRM as a structured process for managing exposure to cybersecurity risks throughout the supply chain lifecycle — from initial vendor selection through contract termination and access revocation.

The scope is broader than most teams realize. Your supply chain includes:

• Software vendors and open-source dependencies
• Cloud infrastructure and SaaS providers
• Managed service and IT support providers
• Hardware manufacturers and firmware suppliers
• Professional services firms with network or data access

Each of these is a potential entry point. The SolarWinds, MOVEit, and XZ Utils incidents all exploited that entry point in different ways.

The state of supply chain attacks in 2025–2026

Supply chain attacks reached record levels in 2025–2026. Verizon's 2026 DBIR recorded third-party involvement in 48% of all breaches analyzed — the highest in the report's history and a 60% increase over the prior year's 30%. IBM's 2025 Cost of a Data Breach Report puts the average supply chain compromise at $4.91 million, with a 267-day average lifecycle from detection to containment.

Threat actors have learned that compromising one trusted vendor yields access to dozens or hundreds of downstream organizations simultaneously. The economics favor the attacker: one successful intrusion, multiplied across an entire vendor's customer base.

According to Black Kite's 2026 Third-Party Breach Report, 70% of the top 50 vendors shared by Global 2000 companies carry at least one unpatched vulnerability from CISA's Known Exploited Vulnerabilities (KEV) catalog. These aren't theoretical risks — CISA flags KEV entries specifically because they are being actively exploited in the wild.

Lessons from SolarWinds, MOVEit, and XZ Utils

All three incidents share a common thread: the initial access vector was trusted. Trusted software, trusted vendor, trusted contributor. Once inside, the attacker moved laterally using credentials and access that were already provisioned.

SolarWinds (2020)

Attackers compromised the build pipeline directly, inserting a backdoor into a signed software update that went out to customers as a routine patch. Roughly 18,000 organizations installed it. The legal fallout ran for years: the SEC filed a civil enforcement action against SolarWinds and its CISO in October 2023, with the case finally dismissed in full in 2025.

The lesson: software integrity controls and SBOM (Software Bill of Materials) visibility matter as much as network perimeter controls — and the liability exposure from a build pipeline compromise extends well beyond the initial breach.

MOVEit (2023)

A zero-day SQL injection vulnerability (CVE-2023-34362) in a managed file transfer product gave the Cl0p ransomware group access to data held by over 2,700 organizations — many of which had no direct relationship with MOVEit but were affected through their vendors' use of it. Final victim counts reached approximately 95 million individuals. 

The lesson: your attack surface includes software your vendors run, not just software you run.

XZ Utils (2024)

A multi-year social engineering campaign inserted a backdoor into a widely used open-source compression library. The attacker contributed legitimate code for two years before introducing the malicious payload — and the backdoor was caught not by any formal security process, but by a Microsoft engineer who noticed a 500ms delay in SSH logins. 

The lesson: open-source dependency risk is real, SBOMs are the only systematic way to track it, and your detection controls need to cover behavior, not just signatures.

Top vendor risks in the modern supply chain

The five most common supply chain risk categories are:

• Shared credentials and poor access control
• Software dependency vulnerabilities
• Hardware and component tampering
• Shadow AI and third-party data exposure
• Vendor concentration risk

Each requires a distinct control response. Shared credential failures are a process problem. Hardware tampering requires physical provenance verification.

Shared credentials and poor access control

The most common and most preventable supply chain risk is also the least glamorous: shared accounts. A vendor support team gets a single set of credentials to access your environment. Those credentials are shared across the vendor's staff, stored in a spreadsheet or email thread, and never rotated after the engagement ends.

When that vendor is breached, or when a disgruntled employee leaves, you have no way to know who used those credentials, when, or what they accessed. You have no audit trail. You have no way to revoke access for one individual without changing credentials for everyone.

Verizon's 2026 DBIR identifies authentication failures (missing or bypassed MFA, stolen credentials) as the primary mechanism in third-party breach scenarios. This is a process failure.

Software supply chain vulnerabilities and the need for SBOMs

A Software Bill of Materials (SBOM) is a machine-readable inventory of every component in a software product: libraries, dependencies, versions, and their known vulnerabilities. The U.S. Executive Order 14028 (2021) mandated SBOMs for software sold to federal agencies. The EU's Cyber Resilience Act (CRA) extends similar requirements to products sold in the European market, with vulnerability reporting obligations applying from September 2026 and full product requirements from December 2027.

Without an SBOM, you cannot answer "Are we running the vulnerable version of Log4j?" in under 24 hours. With one, you can. That speed difference is the gap between a contained incident and a breach that takes 267 days to close.

Hardware and component tampering

Hardware supply chain risk is distinct from software risk and often underestimated. Counterfeit or tampered components — network equipment, server hardware, firmware — can introduce persistent backdoors that survive OS reinstallation and are invisible to software-layer security controls.

The EU Cyber Resilience Act explicitly addresses hardware products with digital elements, requiring manufacturers to assess and document supply chain security for physical components. For organizations procuring network infrastructure or industrial control systems, this means verifying component provenance, requiring firmware integrity attestation from suppliers, and maintaining an inventory of hardware versions equivalent to a software SBOM.

Shadow AI and third-party data exposure

Verizon's 2026 DBIR identifies shadow AI as a top-three insider behavior — employees using unauthorized AI tools that process organizational data outside approved channels. The supply chain angle: many of these tools are third-party SaaS products with their own data retention policies, subprocessor agreements, and security postures that your organization never reviewed.

When a developer pastes database credentials into an AI assistant to debug a query, those credentials may be retained, logged, or used for model training. The vendor risk is not just the AI provider — it is every subprocessor in their chain.

Availability disruptions and vendor concentration risk

A supply chain security failure does not always mean a data breach. Vendor outages, ransomware attacks on critical suppliers, and single points of failure in shared infrastructure can disrupt operations entirely. DORA's operational resilience mandate exists precisely because the EU financial sector recognized that availability risk from ICT third parties is as material as confidentiality risk.

Concentration risk compounds this: when 70% of Forbes Global 2000 companies share the same top 50 vendors, a single compromise propagates at scale. Mapping your critical vendor dependencies and maintaining documented continuity plans for Tier 1 supplier failures is a DORA Article 28 requirement for financial entities.

European and international regulatory requirements for supply chain security

NIS2, DORA, and the EU Cyber Resilience Act together form the binding regulatory framework for supply chain security in the European market. NIST CSF 2.0 and SP 800-161 are U.S. frameworks — not EU legal obligations — but are widely referenced by multinational organizations and provide operational detail that complements the EU requirements.

NIS2 Directive (Article 21)

NIS2 Article 21 requires covered entities to implement "supply chain security, including security-related aspects concerning the relationships between each entity and its direct suppliers or service providers." This is a legal obligation for essential and important entities across 18 sectors, with enforcement that EU member states began applying in late 2024.

In practice, Article 21 means you must assess the security posture of your direct vendors, include security requirements in contracts, and maintain a documented process for managing vendor-related incidents. For credential management specifically, this translates to: no shared accounts, documented access provisioning and revocation procedures, and audit logs that can be produced during a supervisory review.

For a detailed breakdown of how NIS2 maps to access control requirements, see Passwork's NIS2 compliance guide.

DORA (Digital Operational Resilience Act)

DORA applies to financial entities and their ICT third-party service providers operating in the EU. Articles 28 through 30 establish a detailed ICT third-party risk management framework, including requirements to maintain a register of all ICT providers, conduct risk assessments before onboarding, and ensure contracts include provisions for audit rights and incident notification.

DORA also introduces the concept of "critical ICT third-party providers" (CTPPs), which the European Supervisory Authorities can designate for direct oversight. If your organization is a CTPP — or relies on one — the scrutiny on your supply chain security controls is substantially higher. The availability disruption risk described above is a DORA concern as much as a security one: Article 28 explicitly requires documented continuity plans for critical third-party dependencies.

EU Cyber Resilience Act (CRA)

The CRA was adopted in 2024 and applies in a staggered timeline. Vulnerability and incident reporting obligations take effect from 11 September 2026. Full product requirements — including SBOM mandates and conformity assessments for products with digital elements — apply from 11 December 2027. Organizations selling connected hardware or software in the EU market need to begin compliance work now; the 2027 deadline arrives faster than most product development cycles allow.

NIST CSF 2.0 and NIST SP 800-161

NIST CSF 2.0, released in February 2024, added "Govern" as a sixth core function. The GV.SC subcategory explicitly addresses supply chain risk management, requiring organizations to integrate C-SCRM into enterprise risk governance — not treat it as a separate IT project. For EU organizations, CSF 2.0 is not a legal requirement but provides useful operational structure that maps well onto NIS2 and DORA obligations.

NIST SP 800-161 Rev. 1 provides the operational detail: how to conduct supplier assessments, what controls to require in contracts, and how to structure a C-SCRM program across the full acquisition lifecycle. For U.S. federal contractors, alignment with SP 800-161 is increasingly a procurement requirement.

How to secure vendor access: The technical blueprint

The four highest-impact controls for vendor access security are RBAC scoped to the engagement, just-in-time privileged access, centralized credential vaulting, and phishing-resistant MFA. Applied in that order, they address the most common failure modes — standing privileges, shared accounts, and authentication gaps — without requiring new infrastructure in most environments.

Enforce strict role-based access control (RBAC)

Role-based access control (RBAC) assigns permissions to roles, not individuals. A vendor support engineer gets the "read-only production monitoring" role, not a personal admin account. When the engagement ends, you remove the role assignment. When the vendor rotates their staff, you don't need to track individual accounts — the role defines what's accessible.

For vendor access specifically, RBAC should be scoped to the minimum required for the engagement. A database vendor performing a performance audit does not need write access to application configuration. Define the role before provisioning access, not after.

Implement just-in-time (JIT) privileged access

Just-in-time (JIT) access means privileged credentials are issued for a defined time window and automatically revoked when that window closes. A vendor engineer requests access for a two-hour maintenance window; the system grants it, logs the session, and revokes it at hour two regardless of whether the engineer remembers to log out.

JIT access eliminates standing privileges: the persistent, always-on access that attackers exploit during the 267-day average dwell time of a supply chain breach. There is nothing to steal if the credentials expire before the attacker can use them. JIT is particularly effective for break-glass scenarios: emergency vendor access during an incident, where speed matters but so does accountability.

Secure vendor credential vaulting

Shared vendor accounts are a liability. The alternative is a credential vault: a centralized, encrypted store where vendor credentials are held by your organization, not the vendor. The vendor authenticates to the vault, checks out credentials for their session, and the vault logs every access event.

This approach gives you a complete audit trail of who accessed what and when, the ability to rotate credentials without coordinating with the vendor, automatic revocation when the vendor relationship ends, and compliance evidence for NIS2 Article 21 and DORA Article 30 audit rights requirements.

Passwork's enterprise password and secrets manager supports time-limited credential sharing, session logging, and integration with AD/LDAP and SSO infrastructure — with AES-256 client-side encryption and a full REST API for integration into existing provisioning workflows.

Mandate phishing-resistant MFA for third parties

MFA is the single highest-ROI control for third-party access. Verizon's 2026 DBIR attributes the majority of third-party breach scenarios to authentication failures — and most of those failures are missing MFA, not bypassed MFA.

For privileged vendor access to production systems, the bar should be phishing-resistant MFA: FIDO2/WebAuthn hardware keys or passkeys, not SMS OTP. SMS-based MFA is vulnerable to SIM-swapping and real-time phishing proxies. Contractually require phishing-resistant MFA from vendors as a condition of access. Include it in your vendor security addendum, not just your internal policy.

Most of the access control failures described in this guide trace back to the same root cause: vendor credentials that were never properly vaulted, scoped, or revoked. Passwork addresses that directly — centralized credential vaulting, role-based access, time-limited sharing, and a full audit log tied to named identities. Available self-hosted or as a cloud deployment, it integrates with AD/LDAP and SAML SSO and is ISO 27001 certified.

Building a vendor risk assessment framework

A vendor risk assessment framework classifies third parties by access level and applies proportionate security requirements to each tier. The 5-tier model below scales from Tier 1 vendors with privileged production access, which require full security assessments and annual reviews — down to Tier 5 vendors with no data or system access, where standard procurement due diligence is sufficient.

The 5-tier vendor risk classification model:

The classification drives proportionate effort. You don't need a full penetration test report from your office supply vendor. You do need one from the MSP with admin access to your Active Directory.

Vendor access control checklist

The following pre-audit vendor access checklist maps directly to NIS2 Article 21, DORA Article 28, and NIST SP 800-161 requirements. Use it at vendor onboarding and at each annual review.

Pre-access provisioning:

•  Vendor classified by tier based on access level
•  Minimum necessary access scope defined in writing
•  Named individuals identified (no shared/generic accounts)
•  MFA requirement confirmed and tested
•  Access provisioned via credential vault, not direct credential sharing
•  Session logging enabled

During the engagement:

•  Access scope reviewed if engagement scope changes
•  Unusual access patterns flagged for review
•  Vendor incident notification clause active in contract

Access revocation:

•  Offboarding trigger defined (contract end, staff change, incident)
•  Credentials rotated immediately on offboarding
•  Vault access revoked and audit log exported
•  Access review documented for compliance records

Conclusion: Making supply chain security operational

Organizations that manage this well don't have fewer vendors; they have tighter controls on how those vendors authenticate, what they can access, and for how long.

The technical blueprint is clear: classify vendors by access tier, eliminate shared accounts, vault credentials centrally, enforce JIT access for privileged sessions, and require phishing-resistant MFA. NIS2, DORA, and the CRA provide the governance structure and the contractual leverage to hold vendors to the same standard.

Start with your Tier 1 vendors — the ones with privileged access to production systems. Audit their current access scope, confirm individual account assignment, and verify MFA is active. That single pass will surface more actionable risk than a year of questionnaires.

Frequently asked questions

What is the difference between supply chain security and vendor risk management?

Vendor risk management (VRM) is the broader discipline covering financial, operational, reputational, and cyber risks from third parties. Supply chain security is the cybersecurity-specific subset: protecting systems, data, and software integrity from threats that enter through supplier relationships. VRM informs procurement decisions; supply chain security governs technical access controls and software integrity.

Which regulations require supply chain security controls in 2025–2026?

NIS2 Directive Article 21 requires EU essential and important entities to assess and manage supplier security risks. DORA Articles 28–30 impose ICT third-party risk management obligations on EU financial entities. The EU Cyber Resilience Act requires vulnerability reporting from September 2026 and full SBOM and conformity requirements from December 2027. In the U.S., NIST SP 800-161 and Executive Order 14028 set C-SCRM expectations for federal contractors.

What is just-in-time (JIT) access and why does it matter for vendor security?

JIT access issues privileged credentials for a defined time window and revokes them automatically when that window closes. It eliminates standing privileges — persistent access that attackers exploit during the extended dwell time typical of supply chain breaches. IBM's 2025 data shows supply chain compromises average 267 days to identify and contain; JIT access reduces the exploitable window to hours, not months.

How do SBOMs reduce supply chain risk?

A Software Bill of Materials (SBOM) is a machine-readable inventory of all software components and their versions. When a new vulnerability is disclosed — such as Log4Shell in 2021 — an SBOM lets you determine within minutes whether any of your systems or vendor-supplied software contains the affected component. Without an SBOM, that same determination can take days or weeks, during which the vulnerability remains unpatched and exploitable.

What should a vendor security contract addendum include?

At minimum: a requirement for named individual accounts (no shared credentials), phishing-resistant MFA for privileged access, notification obligations within 24–72 hours of a security incident, audit rights allowing your organization to review access logs, and a defined offboarding process including credential rotation. NIS2 Article 21 and DORA Article 30 both require contractual security provisions — the addendum is your compliance evidence.

How should organizations classify vendors for risk assessment purposes?

Classify by access level, not by contract value or vendor size. A small consultancy with admin access to your production environment is higher risk than a large software vendor with no direct system access. The 5-tier vendor risk classification model above provides a practical structure: Tier 1 (privileged production access) through Tier 5 (no data or system access), with assessment requirements and review frequency scaled accordingly.

What is the most common access control failure in third-party breaches?

Shared credentials with no individual accountability. A single set of credentials issued to a vendor team, stored outside a vault, never rotated, and never revoked when the engagement ends. Verizon's 2026 DBIR identifies authentication failures as the primary mechanism in third-party breach scenarios. The fix is individual named accounts, credential vaulting, and a documented offboarding process — not more complex technology.

What is hardware supply chain risk and how is it different from software supply chain risk?

Hardware supply chain risk involves counterfeit or tampered physical components — network equipment, server hardware, firmware — that can introduce persistent backdoors invisible to software-layer security controls. Unlike software vulnerabilities, hardware tampering survives OS reinstallation. The EU Cyber Resilience Act addresses this directly, requiring manufacturers to document supply chain security for hardware products with digital elements.

Inside real supply chain attacks: Bitwarden CLI, Axios, and Vercel

Why breach your network when attackers can compromise a trusted dependency with millions of downloads and slip silently into thousands of organizations at once? Three 2026 campaigns prove supply chain attacks are no longer isolated incidents.

Passwork BlogAlex Muntyan

Shadow IT vs Shadow AI: Why AI is the bigger threat

Employees are using AI tools you didn’t approve, on accounts you can’t monitor, with data you can’t recover. Here’s what the risk actually looks like and what governance needs to address.

Passwork BlogAlex Muntyan

NIS2 access controls for supply chain security

48% of breaches now involve third parties. NIS2 Article 21 makes supplier access governance a legal obligation. Here’s how to map vendor access, enforce MFA and least privilege, and keep the audit evidence that proves your controls work.

Passwork BlogAlex Muntyan

La mayoría de las brechas no comienzan con un ataque sofisticado. Comienzan con una contraseña que alguien usó en dos sitios web diferentes. Según el Informe de Investigaciones de Brechas de Datos 2026 de Verizon, las credenciales robadas aparecieron en algún punto del 39% de todas las brechas confirmadas — no solo como puerta de entrada, sino a lo largo del movimiento lateral, la persistencia y el robo de datos. 

La explotación de vulnerabilidades ha superado a las credenciales como el principal vector de acceso inicial, pero los atacantes no han abandonado el abuso de credenciales. Lo han integrado más profundamente en la cadena de intrusión. Si sus empleados reutilizan contraseñas (y estadísticamente, la mayoría lo hace), su empresa está asumiendo riesgos de reutilización de contraseñas que no se manifiestan hasta que los atacantes ya están dentro.

Puntos clave

• Una sola contraseña reutilizada crea un riesgo sistémico inmediato. Cuando una credencial se filtra de cualquier fuente personal o corporativa, las herramientas automatizadas la prueban en toda su red en cuestión de horas.
• El relleno de credenciales es altamente automatizado e inmediato. Los atacantes ejecutan bases de datos automatizadas de credenciales filtradas contra portales corporativos en cuestión de horas tras una brecha pública.
• El secuestro de sesión elude completamente la autenticación multifactor. Los infostealers roban cookies de sesión activas junto con las contraseñas guardadas en el navegador, permitiendo a los atacantes clonar sesiones legítimas sin activar solicitudes de MFA.
• La rotación forzada de contraseñas debilita la seguridad corporativa. Los cambios obligatorios cada 90 días generan patrones predecibles. Los estándares modernos (incluido NIST SP 800-63B) recomiendan una longitud mínima de 15 caracteres y rotación solo ante un compromiso real.
• Eliminar la reutilización requiere un enfoque estructurado de tres pilares. Las organizaciones deben actualizar políticas obsoletas, realizar auditorías de credenciales para identificar shadow IT y desplegar una bóveda centralizada para que los hábitos seguros sean fáciles de adoptar.
• El control sistémico debe reemplazar la responsabilidad individual. El gestor de contraseñas automatiza la higiene de credenciales escaneando continuamente en busca de duplicados, asegurando cuentas de servicio huérfanas y gestionando el acceso granular de proveedores en una bóveda centralizada.

Por qué la reutilización de contraseñas es peligrosa: el panorama de 2026

La reutilización de contraseñas crea un punto único de fallo en todas las cuentas que comparten la misma credencial. Cuando los atacantes obtienen esa credencial de cualquier fuente (corporativa o personal), las herramientas automatizadas la prueban contra el correo electrónico corporativo, portales VPN y aplicaciones en la nube en cuestión de horas. En 2025, Recorded Future indexó 1.950 millones de exposiciones de credenciales procedentes de malware, de las cuales el 31% incluía cookies de sesión activas que eluden completamente el MFA (autenticación multifactor).

Los delincuentes crean e intercambian combolists: archivos estructurados de pares de correo electrónico/contraseña filtrados, agregados de años de brechas de datos. Las herramientas automatizadas prueban estos pares contra páginas de inicio de sesión corporativas, portales VPN y aplicaciones en la nube en cuestión de horas tras la aparición de una nueva lista en mercados de la dark web. El ataque es mecánico: tomar una lista de credenciales conocidas, ejecutarlas contra una página de inicio de sesión y recopilar los aciertos.

Los infostealers son el canal más rápido y peligroso. Este malware se ejecuta silenciosamente en un dispositivo infectado, extrae todas las contraseñas guardadas del navegador, recopila las cookies de sesión activas y exfiltra el paquete — a menudo en cuestión de minutos. Si el atacante tiene un token de sesión válido, no se dispara ningún evento de inicio de sesión, no aparece ninguna solicitud de MFA y el acceso parece completamente legítimo.

El volumen en 2025 fue asombroso. El Informe de Panorama de Amenazas de Identidad 2025 de Recorded Future (publicado en marzo de 2026) detectó 1.950 millones de exposiciones de credenciales de combolists de malware a lo largo del año, con un volumen acelerándose drásticamente — el último trimestre produjo un 90% más de credenciales indexadas que el primero. El Informe de Brechas de Identidad 2026 de Constella Intelligence encontró que casi el 60% de los conjuntos de datos de brechas ingeridos eran compilaciones de credenciales recicladas — un aumento respecto al año anterior.

Un detalle de los datos de Recorded Future merece atención: 276 millones de las credenciales indexadas en 2025 incluían cookies de sesión activas. Eso es el 31% de las credenciales procedentes de malware eludiendo completamente el MFA, por diseño. La reutilización de contraseñas es peligrosa. La reutilización de credenciales combinada con el secuestro de sesión es una categoría diferente de problema.

11 riesgos de reutilización de contraseñas que toda empresa debe conocer

La reutilización de contraseñas crea una cadena de vulnerabilidades. Cada riesgo a continuación es independiente, pero en una intrusión real se combinan. Un atacante que explota el riesgo #1 a menudo obtiene la posición para explotar los riesgos #3, #7 y #11 en la misma sesión.

1. Los ataques de inicio de sesión automatizados alcanzan todas las cuentas a la vez

Cuando una contraseña aparece en una brecha, los atacantes la ejecutan contra el correo electrónico de su empresa, el sistema de recursos humanos, el almacenamiento en la nube y el portal VPN simultáneamente. Esto es relleno de credenciales — completamente automatizado, ejecutándose a escala en cuestión de horas tras la aparición de una nueva combolist. Según la investigación adicional del DBIR 2025 de Verizon sobre relleno de credenciales, la proporción diaria mediana de relleno de credenciales en los registros de proveedores de SSO fue del 19% de todos los intentos de autenticación. Casi uno de cada cinco intentos de inicio de sesión, en un día promedio.

2. Una brecha en un dispositivo personal se convierte en su problema

Si el portátil doméstico de un empleado recibe malware infostealer (a través de un enlace de phishing o una descarga comprometida), todas las contraseñas guardadas en su navegador son robadas. Si alguna de esas contraseñas coincide con la que usan en el trabajo, sus sistemas ahora están expuestos. Usted no tuvo participación en esa brecha. Aun así, asume las consecuencias.

El Informe Anual de Exposición de Identidad 2025 de SpyCloud encontró que el 91% de las organizaciones informaron haber sufrido un incidente relacionado con la identidad en el último año — casi el doble de las cifras del año anterior — siendo el malware infostealer un impulsor principal. La infección no necesita ocurrir en una máquina de la empresa para convertirse en un problema de la empresa.

3. Una contraseña abre muchas puertas

Dentro de una empresa, los sistemas están conectados. Un atacante que accede a una cuenta con una contraseña reutilizada puede usar esa misma credencial para sondear otros sistemas internos. Lo que comienza como acceso a una sola cuenta de empleado puede expandirse a servidores de archivos, herramientas internas o consolas de administrador. Para cuando se detecta, el atacante ha estado dentro durante semanas.

4. Las aplicaciones no rastreadas crean puertas traseras ocultas

Los empleados se registran en herramientas por su cuenta (gestores de proyectos, plataformas de diseño, aplicaciones de comunicación) usando su correo electrónico del trabajo y, a menudo, una contraseña que también usan en el trabajo. TI no sabe que estas cuentas existen. Cuando una de esas aplicaciones sufre una brecha, el atacante tiene una credencial funcional para sus sistemas corporativos, a través de una puerta que nadie sabía que estaba abierta.

Esto es shadow IT, y es uno de los riesgos de reutilización de contraseñas más difíciles de gestionar porque la exposición ocurre completamente fuera de su visibilidad.

5. La autenticación de dos factores no siempre le salvará

2FA vale la pena tenerlo. No es una solución completa para la reutilización de contraseñas. Los atacantes interceptan el proceso de autenticación en tiempo real, capturando tanto la contraseña como el token de sesión temporal que demuestra que la verificación de 2FA ya se ha completado. Una vez que tienen ese token, están dentro — y 2FA ya ha cumplido su función en lo que respecta al sistema.

2FA reduce el riesgo significativamente. Una contraseña reutilizada sigue dando a los atacantes un punto de partida con el que pueden trabajar, y el secuestro de sesión elimina completamente el MFA de la ecuación.

6. Las contraseñas reutilizadas pueden hacer que falle su próxima auditoría

Si su empresa maneja datos de pago, información personal u opera bajo cualquier marco de seguridad formal, las prácticas de contraseñas son examinadas. Los estándares de seguridad como SOC 2, ISO 27001 y PCI DSS requieren que los controles de acceso se gestionen adecuadamente — y los auditores verifican si su organización aplica calidad en las contraseñas. Encontrar reutilización generalizada de contraseñas es una señal de alerta que puede resultar en hallazgos de auditoría, certificaciones fallidas o brechas de cumplimiento que necesitan remediación formal antes de poder cerrar un trato o renovar un contrato.

7. El acceso de proveedores es parte de su superficie de ataque

Los contratistas y proveedores externos a menudo necesitan acceso a sus sistemas. Si esas credenciales se comparten descuidadamente — o si el propio personal del proveedor reutiliza contraseñas — una brecha en el proveedor se convierte en una brecha en su organización. El DBIR 2026 de Verizon encontró que el 48% de las brechas involucraron a un tercero en alguna capacidad, un aumento del 60% respecto al año anterior. Las cuentas de proveedores frecuentemente se olvidan después de que termina un proyecto. El acceso permanece activo, la contraseña nunca cambia y nadie la supervisa.

8. Los empleados también reutilizan contraseñas de sistemas

Las cuentas de servicio y las credenciales de sistema reciben mucha menos atención que las cuentas de empleados. Un desarrollador que gestiona tres entornos de base de datos con la misma contraseña no aparecerá en ninguna lista de baja de recursos humanos. Nadie es propietario de esa credencial, por lo que nadie la audita. Cuando un entorno se ve comprometido, cada sistema que comparte esa credencial queda expuesto.

Estas cuentas no aparecen en un directorio de empleados estándar. Ninguna persona individual es propietaria de ellas. Ese es el hueco por el que caminan los atacantes.

9. Las cuentas de trabajo y personales se contaminan mutuamente

La línea entre las contraseñas personales y profesionales se ha difuminado casi por completo. Según el Informe Anual de Exposición de Identidad 2025 de SpyCloud, el 70% de los usuarios expuestos en brechas reutilizaron contraseñas previamente expuestas en múltiples cuentas. SpyCloud describe esto como una tasa histórica — lo que significa que refleja el comportamiento de reutilización acumulativo a través de cada brecha en su conjunto de datos, no una instantánea de un solo año. Un empleado que usa su contraseña de trabajo en una cuenta personal expone a la empresa cuando esa cuenta personal sufre una brecha. Lo contrario es igualmente cierto.

Los datos de SpyCloud también muestran que las exposiciones procedentes de infostealers mezclan cada vez más datos de identidad personal y corporativa del mismo dispositivo, haciendo que el límite personal/profesional sea funcionalmente irrelevante para un atacante que ya tiene la credencial.

10. Los cambios de contraseña forzados son contraproducentes

Muchas empresas todavía requieren que los empleados cambien las contraseñas cada 90 días. El resultado suele ser que Password123! se convierte en Password124! — un cambio que satisface la política sin proporcionar protección real. Las personas hacen el cambio más pequeño posible para que desaparezca el recordatorio.

NIST SP 800-63B-4 (2025) recomienda no hacer rotación periódica obligatoria exactamente por esta razón. Los cambios forzados producen patrones predecibles. El estándar requiere un mínimo de 15 caracteres para contraseñas elegidas por el usuario cuando la contraseña es el único autenticador, y recomienda rotación solo ante evidencia de compromiso — no según un calendario.

11. Las credenciales robadas son difíciles de detectar

Cuando un atacante usa una contraseña de empleado real y válida, su actividad parece comportamiento normal de usuario. No se dispara ninguna alarma, no se bloquea ningún inicio de sesión, no aparece ninguna señal obvia de que algo está mal. Pueden permanecer dentro de sus sistemas durante semanas — leyendo correos electrónicos, accediendo a archivos, mapeando su estructura interna — antes de que alguien lo note. Según el Informe de Costo de una Brecha de Datos 2025 de IBM, las organizaciones tardaron una media de 158 días en identificar una brecha — y otros 83 días en contenerla, para un ciclo de vida total de 241 días, un mínimo de nueve años pero aún tiempo suficiente para que un atacante con una credencial válida cause daños graves.

Cómo alejar a su equipo de la reutilización de contraseñas

Cambiar los hábitos de contraseñas en un equipo no ocurre enviando un documento de política. Requiere eliminar la fricción que hace que la reutilización parezca necesaria en primer lugar. La estructura a continuación (la Estrategia de Defensa de Contraseñas de 3 Pilares: Política, Auditoría y Bóveda) aborda cada capa donde la reutilización echa raíces.

Pilar 1 — Política: cambie las reglas, no solo los recordatorios.

Elimine el requisito de rotación cada 90 días. Siga en su lugar las directrices NIST SP 800-63B: requiera contraseñas de al menos 15 caracteres, verifique las nuevas contraseñas contra listas de brechas conocidas y deje de aplicar reglas de complejidad que solo producen patrones como Summer2026!. Comunique el cambio a su equipo con una razón clara — «estamos eliminando la rotación forzada porque estaba produciendo contraseñas predecibles, no seguras». Las personas siguen las reglas que entienden.

Pilar 2 — Auditoría: descubra con qué está tratando realmente.

Antes de poder solucionar el problema, necesita mapearlo. En esta etapa, no está auditando contraseñas — está auditando la superficie de ataque. Obtenga una lista de cada sistema, aplicación y servicio al que accede su equipo. Verifique su directorio AD/LDAP en busca de cuentas activas, cuentas obsoletas y credenciales compartidas. Identifique dónde SSO ya cubre la autenticación y dónde no. El resultado es una imagen clara: cuántas contraseñas separadas está gestionando realmente su equipo y qué sistemas conllevan más riesgo si esas credenciales se ven comprometidas.

Este es el trabajo preparatorio para el Pilar 3. Una vez que el gestor de contraseñas está desplegado, ejecuta el segundo paso — escaneando en busca de contraseñas débiles, duplicadas u obsoletas en todo lo que está fuera de SSO. Ahí es cuando emerge la imagen completa.

Pilar 3 — Bóveda: haga que la opción segura sea la opción fácil.

Despliegue un gestor de contraseñas con uso obligatorio para cada cuenta fuera de SSO. El objetivo es hacer que la opción segura sea la predeterminada. Cuando la herramienta genera y completa credenciales automáticamente, la reutilización deja de ser una opción. Despliegue equipo por equipo, comenzando con los grupos que tienen acceso a los sistemas más sensibles. Acompáñelo con una breve sesión de incorporación, no con un extenso documento de formación.

Cómo Passwork aborda la reutilización de contraseñas a nivel organizacional

Gestionar la reutilización de contraseñas requiere la transición de la responsabilidad individual al control sistémico. La tabla a continuación describe cómo Passwork mitiga los principales riesgos de reutilización de contraseñas identificados en esta guía.

El panel de auditoría de seguridad de Passwork escanea cada bóveda continuamente. Las credenciales débiles y obsoletas aparecen automáticamente — no se requiere verificación manual. Los administradores obtienen una vista consolidada de todos los equipos y cuentas. Esa es la capa de visibilidad que hace que una auditoría de credenciales funcione a escala.

El control de acceso basado en roles (RBAC) significa que las contraseñas se comparten a través de la bóveda, no a través de mensajes de chat o hilos de correo electrónico. Cuando un miembro del equipo se une a un proyecto, obtiene acceso a las credenciales relevantes automáticamente. Cuando se va, el acceso se revoca en un solo paso. No hay que buscar a qué carpetas compartidas todavía tiene acceso.

Para organizaciones con requisitos estrictos de residencia de datos o cumplimiento, Passwork está disponible como despliegue autoalojado — todo se ejecuta en infraestructura que usted controla, sin dependencia de un proveedor externo. Los equipos que desean un despliegue más rápido sin gestionar sus propios servidores pueden usar Passwork Cloud, que ofrece el mismo conjunto de funciones sin la sobrecarga de infraestructura.

Conclusión

La reutilización de contraseñas persiste porque los sistemas que las rodean hacen que la reutilización sea el camino de menor resistencia. Cuando el 70% de los usuarios expuestos en brechas reutilizan contraseñas previamente expuestas en múltiples cuentas, la respuesta no es un memorando más contundente sobre higiene — es eliminar las condiciones que hacen que la reutilización parezca necesaria.

La Estrategia de Defensa de Contraseñas de 3 Pilares proporciona a su equipo un camino práctico hacia adelante. Primero los cambios de política, porque auditar contra las reglas equivocadas es una pérdida de tiempo. Luego la auditoría, porque no se puede arreglar lo que no se puede ver. Luego la bóveda, porque la aplicación sin herramientas es solo documentación.

El primer mes revelará una larga lista de riesgos de reutilización de contraseñas hechos visibles. Eso no es un problema — eso es la auditoría haciendo su trabajo. Ejecute la auditoría primero. Todo lo demás se deriva de lo que revela.

Preguntas frecuentes

¿Es un problema la reutilización de contraseñas si la contraseña es muy fuerte?

Sí. Una contraseña fuerte expuesta en una brecha es inmediatamente utilizable por los atacantes — no necesitan descifrarla, ya la tienen en texto plano de la base de datos de la brecha. La fortaleza solo importa contra ataques de adivinación. Contra una lista de credenciales robadas, una contraseña de 20 caracteres no ofrece más protección que una de 6 caracteres. La unicidad es lo que importa, no la complejidad.

¿Cómo se audita la reutilización de contraseñas en una empresa?

Utilice un gestor de contraseñas empresarial con auditoría de seguridad integrada que marque automáticamente las credenciales duplicadas, débiles u obsoletas en todas las cuentas. Las verificaciones manuales no escalan y pasan por alto cuentas de servicio, inicios de sesión compartidos y shadow IT. El escaneo automatizado proporciona visibilidad continua en lugar de una instantánea única.

¿La autenticación de dos factores detiene los ataques de reutilización de contraseñas?

No completamente. Los atacantes pueden capturar tanto la contraseña como el token de sesión activo en tiempo real, eludiendo 2FA después de que ya se ha completado. Recorded Future encontró que el 31% de las credenciales procedentes de malware en 2025 incluían cookies de sesión activas — lo que significa que el MFA fue eludido por diseño, no eludido. 2FA es una capa importante de defensa, pero no cancela el riesgo creado por las contraseñas reutilizadas.

¿Qué es una combolist?

Una combolist es un archivo que contiene millones de pares de nombre de usuario y contraseña filtrados, recopilados de varias brechas de datos y vendidos en mercados criminales. Los atacantes usan estas listas para probar automáticamente credenciales contra sistemas de inicio de sesión. Si su contraseña aparece en una — de cualquier brecha, en cualquier lugar — cada cuenta donde la haya reutilizado está en riesgo.

¿Puede una auditoría de seguridad detectar la reutilización de contraseñas?

Sí. Los auditores que evalúan el cumplimiento de SOC 2, ISO 27001 o PCI DSS buscan evidencia de que los controles de acceso se gestionan adecuadamente. La reutilización generalizada de contraseñas se trata como un fallo de control y típicamente resulta en un hallazgo formal que debe abordarse antes de que se otorgue la certificación o atestación.

¿Cuál es la diferencia entre el relleno de credenciales y un ataque de fuerza bruta?

El relleno de credenciales usa pares de nombre de usuario/contraseña conocidos y ya robados de bases de datos de brechas y los prueba contra otros servicios. Los ataques de fuerza bruta intentan adivinar una contraseña desconocida generando combinaciones. El relleno de credenciales es más rápido, más barato y más efectivo contra contraseñas reutilizadas — porque el atacante ya tiene la respuesta correcta, solo está encontrando qué cerraduras abre.

¿Qué dice NIST sobre la rotación de contraseñas?

NIST SP 800-63B-4 (final, julio de 2025) recomienda no hacer rotación periódica obligatoria. Los cambios forzados producen patrones incrementales predecibles — Password1 se convierte en Password2 — sin mejorar la seguridad. El estándar recomienda rotación solo cuando hay evidencia de compromiso, y establece una longitud mínima de 15 caracteres para contraseñas elegidas por el usuario utilizadas como único autenticador.

Shadow AI: La amenaza oculta que cuesta a las empresas $670K por brecha

Shadow AI cuesta a las empresas $670K extra por brecha — y la mayoría se origina en credenciales pegadas en LLMs públicos. Aprenda cómo es realmente shadow AI, por qué es más difícil de detener que shadow IT y cómo gobernarlo.

Passwork BlogAlex Muntyan

Gestión de contraseñas para equipos: La solución que toda PYME necesita

Almacenar contraseñas en Slack y navegadores expone su negocio a brechas. Descubra por qué las herramientas personales fallan en los equipos, cómo dar de baja de forma segura a empleados que se marchan con un solo clic, y por qué las últimas directrices NIST recomiendan no forzar la rotación de contraseñas.

Passwork BlogAlex Muntyan

Ataques de fuerza bruta en 2026: Tipos, ejemplos y cómo prevenirlos

Clústeres de GPU, listas de palabras asistidas por IA, botnets de 2,8 millones de dispositivos. La fuerza bruta ha escalado. Esta guía cubre seis variantes de ataque, casos reales de 2025 y una estrategia de defensa por capas que su equipo puede implementar hoy.

Passwork BlogAlex Muntyan

Die meisten Sicherheitsverletzungen beginnen nicht mit einem ausgeklügelten Angriff. Sie beginnen mit einem Passwort, das jemand auf zwei verschiedenen Websites verwendet hat. Laut dem Data Breach Investigations Report 2026 von Verizon tauchten gestohlene Anmeldedaten irgendwo in 39 % aller bestätigten Sicherheitsverletzungen auf — nicht nur als Einstiegspunkt, sondern auch bei lateraler Bewegung, Persistenz und Datendiebstahl. 

Die Ausnutzung von Schwachstellen hat Anmeldedaten als einzelnen Top-Vektor für den Erstzugang überholt, aber Angreifer haben den Missbrauch von Anmeldedaten nicht aufgegeben. Sie haben ihn tiefer in die Angriffskette integriert. Wenn Ihre Mitarbeiter Passwörter wiederverwenden (und statistisch gesehen tun das die meisten), trägt Ihr Unternehmen Risiken durch Passwortwiederverwendung, die erst sichtbar werden, wenn Angreifer bereits im System sind.

Wichtige Erkenntnisse

• Ein einziges wiederverwendetes Passwort erzeugt sofort ein systemisches Risiko. Wenn Anmeldedaten aus einer privaten oder geschäftlichen Quelle geleakt werden, testen automatisierte Tools sie innerhalb von Stunden in Ihrem gesamten Netzwerk.
• Credential Stuffing ist hochgradig automatisiert und unmittelbar. Angreifer führen automatisierte Datenbanken mit geleakten Anmeldedaten innerhalb von Stunden nach einem öffentlichen Datenleck gegen Unternehmensportale aus.
• Session Hijacking umgeht die Multi-Faktor-Authentifizierung vollständig. Infostealer stehlen aktive Session-Cookies zusammen mit gespeicherten Browser-Passwörtern und ermöglichen es Angreifern, legitime Sitzungen zu klonen, ohne MFA-Abfragen auszulösen.
• Erzwungene Passwortrotation schwächt die Unternehmenssicherheit. Obligatorische 90-Tage-Änderungen führen zu vorhersehbaren Mustern. Moderne Standards (einschließlich NIST SP 800-63B) empfehlen eine Mindestlänge von 15 Zeichen und Rotation nur bei tatsächlicher Kompromittierung.
• Die Eliminierung von Wiederverwendung erfordert einen strukturierten Drei-Säulen-Ansatz. Organisationen müssen veraltete Richtlinien aktualisieren, Credential-Audits durchführen, um Schatten-IT aufzudecken, und einen zentralisierten Tresor bereitstellen, um sichere Gewohnheiten reibungslos zu gestalten.
• Systemische Kontrolle muss individuelle Verantwortung ersetzen. Ein Passwort-Manager automatisiert die Credential-Hygiene durch kontinuierliches Scannen nach Duplikaten, Absicherung verwaister Dienstkonten und Verwaltung granularer Lieferantenzugriffe in einem zentralisierten Tresor.

Warum Passwortwiederverwendung gefährlich ist: Das Bild 2026

Passwortwiederverwendung schafft einen Single Point of Failure für alle Konten, die dieselben Anmeldedaten teilen. Wenn Angreifer diese Anmeldedaten aus einer beliebigen Quelle (geschäftlich oder privat) erhalten, testen automatisierte Tools sie innerhalb von Stunden gegen Unternehmens-E-Mail, VPN-Portale und Cloud-Anwendungen. Im Jahr 2025 indexierte Recorded Future 1,95 Milliarden Credential-Expositionen aus Malware-Quellen, von denen 31 % aktive Session-Cookies enthielten, die MFA (Multi-Faktor-Authentifizierung) vollständig umgehen.

Kriminelle erstellen und handeln Combolists: strukturierte Dateien mit geleakten E-Mail/Passwort-Paaren, die aus Jahren von Datenlecks aggregiert wurden. Automatisierte Tools testen diese Paare innerhalb von Stunden nach Erscheinen einer neuen Liste auf Dark-Web-Märkten gegen Unternehmens-Anmeldeseiten, VPN-Portale und Cloud-Anwendungen. Der Angriff ist mechanisch: Nehmen Sie eine Liste bekannter Anmeldedaten, führen Sie sie gegen eine Anmeldeseite aus, sammeln Sie die Treffer.

Infostealer sind die schnellere, gefährlichere Pipeline. Diese Malware läuft unbemerkt auf einem infizierten Gerät, extrahiert jedes im Browser gespeicherte Passwort, sammelt aktive Session-Cookies und exfiltriert das Paket — oft innerhalb von Minuten. Wenn der Angreifer einen gültigen Session-Token hat, wird kein Login-Ereignis ausgelöst, keine MFA-Abfrage erscheint, und der Zugriff sieht völlig legitim aus.

Das Volumen im Jahr 2025 war beeindruckend. Der Identity Threat Landscape Report 2025 von Recorded Future (veröffentlicht März 2026) erkannte 1,95 Milliarden Malware-Combolist-Credential-Expositionen über das Jahr, mit einem starken Volumenanstieg — das letzte Quartal produzierte 90 % mehr indexierte Anmeldedaten als das erste. Der Identity Breach Report 2026 von Constella Intelligence stellte fest, dass fast 60 % der aufgenommenen Datenleck-Datensätze recycelte Credential-Zusammenstellungen waren — ein Anstieg gegenüber dem Vorjahr.

Ein Detail aus den Daten von Recorded Future verdient Aufmerksamkeit: 276 Millionen der Anmeldedaten, die 2025 indexiert wurden, enthielten aktive Session-Cookies. Das sind 31 % der Malware-basierten Anmeldedaten, die MFA konstruktionsbedingt vollständig umgehen. Passwortwiederverwendung ist gefährlich. Credential-Wiederverwendung kombiniert mit Session Hijacking ist eine andere Kategorie von Problem.

11 Risiken der Passwortwiederverwendung, die jedes Unternehmen kennen sollte

Passwortwiederverwendung erzeugt eine Kette von Schwachstellen. Jedes unten aufgeführte Risiko ist unabhängig, aber bei einem echten Angriff verstärken sie sich gegenseitig. Ein Angreifer, der Risiko Nr. 1 ausnutzt, erlangt oft die Position, um die Risiken Nr. 3, Nr. 7 und Nr. 11 in derselben Sitzung auszunutzen.

1. Automatisierte Login-Angriffe treffen alle Konten gleichzeitig

Wenn ein Passwort in einem Datenleck auftaucht, führen Angreifer es gleichzeitig gegen Ihre Unternehmens-E-Mail, Ihr HR-System, Ihren Cloud-Speicher und Ihr VPN-Portal aus. Das ist Credential Stuffing — vollständig automatisiert, läuft im großen Maßstab innerhalb von Stunden nach Erscheinen einer neuen Combolist. Laut der zusätzlichen DBIR-Forschung 2025 von Verizon zu Credential Stuffing lag der mediane tägliche Anteil von Credential Stuffing in SSO-Provider-Logs bei 19 % aller Authentifizierungsversuche. Fast einer von fünf Anmeldeversuchen, an einem durchschnittlichen Tag.

2. Ein Datenleck auf einem privaten Gerät wird zu Ihrem Problem

Wenn der private Laptop eines Mitarbeiters Infostealer-Malware aufschnappt (durch einen Phishing-Link oder einen kompromittierten Download), wird jedes im Browser gespeicherte Passwort gestohlen. Wenn eines dieser Passwörter mit dem übereinstimmt, das bei der Arbeit verwendet wird, sind Ihre Systeme jetzt exponiert. Sie hatten keinen Anteil an diesem Datenleck. Sie tragen trotzdem die Konsequenzen.

Der Annual Identity Exposure Report 2025 von SpyCloud stellte fest, dass 91 % der Organisationen angaben, im vergangenen Jahr einen identitätsbezogenen Vorfall erlitten zu haben — fast doppelt so viele wie im Vorjahr — wobei Infostealer-Malware ein Haupttreiber war. Die Infektion muss nicht auf einem Firmenrechner stattfinden, um ein Firmenproblem zu werden.

3. Ein Passwort öffnet viele Türen

Innerhalb eines Unternehmens sind Systeme verbunden. Ein Angreifer, der mit einem wiederverwendeten Passwort in ein Konto gelangt, kann dieselben Anmeldedaten verwenden, um andere interne Systeme zu sondieren. Was als Zugriff auf ein einzelnes Mitarbeiterkonto beginnt, kann sich auf Dateiserver, interne Tools oder Administratorkonsolen ausweiten. Bis es bemerkt wird, war der Angreifer wochenlang im System.

4. Nicht nachverfolgte Apps erzeugen versteckte Hintertüren

Mitarbeiter melden sich selbstständig bei Tools an (Projekt-Tracker, Design-Plattformen, Kommunikations-Apps) mit ihrer Arbeits-E-Mail und oft einem Passwort, das sie auch bei der Arbeit verwenden. Die IT-Abteilung weiß nicht, dass diese Konten existieren. Wenn eine dieser Apps gehackt wird, hat der Angreifer funktionierende Anmeldedaten für Ihre Unternehmenssysteme durch eine Tür, von der niemand wusste, dass sie offen war.

Das ist Schatten-IT, und sie ist eines der am schwierigsten zu verwaltenden Risiken der Passwortwiederverwendung, da die Exposition vollständig außerhalb Ihrer Sichtbarkeit stattfindet.

5. Zwei-Faktor-Authentifizierung rettet Sie nicht immer

2FA ist wertvoll. Es ist keine vollständige Lösung für Passwortwiederverwendung. Angreifer fangen den Authentifizierungsprozess in Echtzeit ab und erfassen sowohl das Passwort als auch den temporären Session-Token, der beweist, dass die 2FA-Prüfung bereits bestanden wurde. Sobald sie diesen Token haben, sind sie drin — und 2FA hat seine Aufgabe aus Sicht des Systems bereits erfüllt.

2FA reduziert das Risiko erheblich. Ein wiederverwendetes Passwort gibt Angreifern jedoch immer noch einen Ausgangspunkt, mit dem sie arbeiten können, und Session Hijacking eliminiert MFA vollständig aus der Gleichung.

6. Wiederverwendete Passwörter können Ihr nächstes Audit scheitern lassen

Wenn Ihr Unternehmen Zahlungsdaten oder personenbezogene Daten verarbeitet oder unter einem formalen Sicherheitsrahmen operiert, werden Passwortpraktiken genau unter die Lupe genommen. Sicherheitsstandards wie SOC 2, ISO 27001 und PCI DSS verlangen alle, dass Zugriffskontrollen ordnungsgemäß verwaltet werden — und Auditoren prüfen, ob Ihre Organisation Passwortqualität durchsetzt. Das Auffinden weit verbreiteter Passwortwiederverwendung ist ein Warnsignal, das zu Audit-Feststellungen, fehlgeschlagenen Zertifizierungen oder Compliance-Lücken führen kann, die vor dem Abschluss eines Geschäfts oder der Verlängerung eines Vertrags formell behoben werden müssen.

7. Lieferantenzugriff ist Teil Ihrer Angriffsfläche

Auftragnehmer und Drittanbieter benötigen oft Zugriff auf Ihre Systeme. Wenn diese Anmeldedaten nachlässig geteilt werden — oder wenn das Personal des Anbieters selbst Passwörter wiederverwendet — wird ein Datenleck beim Anbieter zu einem Datenleck in Ihrer Organisation. Der DBIR 2026 von Verizon stellte fest, dass 48 % der Sicherheitsverletzungen in irgendeiner Form einen Dritten involvierten, ein Anstieg von 60 % gegenüber dem Vorjahr. Lieferantenkonten werden häufig nach Projektende vergessen. Der Zugriff bleibt aktiv, das Passwort wird nie geändert, und niemand überwacht es.

8. Mitarbeiter verwenden auch Systempasswörter wieder

Dienstkonten und Systemanmeldedaten erhalten weit weniger Aufmerksamkeit als Mitarbeiterkonten. Ein Entwickler, der drei Datenbankumgebungen mit demselben Passwort verwaltet, erscheint auf keiner HR-Offboarding-Liste. Niemand besitzt diese Anmeldedaten, also prüft sie auch niemand. Wenn eine Umgebung kompromittiert wird, ist jedes System, das diese Anmeldedaten teilt, exponiert.

Diese Konten erscheinen nicht in einem Standard-Mitarbeiterverzeichnis. Keine einzelne Person besitzt sie. Das ist die Lücke, durch die Angreifer gehen.

9. Geschäftliche und private Konten kontaminieren sich gegenseitig

Die Grenze zwischen privaten und beruflichen Passwörtern ist fast vollständig verschwommen. Laut dem Annual Identity Exposure Report 2025 von SpyCloud verwendeten 70 % der in Datenlecks exponierten Benutzer zuvor exponierte Passwörter über mehrere Konten hinweg wieder. SpyCloud beschreibt dies als eine Allzeit-Rate — was bedeutet, dass sie das kumulative Wiederverwendungsverhalten über jedes Datenleck in ihrem Datensatz widerspiegelt, nicht eine Momentaufnahme eines einzelnen Jahres. Ein Mitarbeiter, der sein Arbeitspasswort für ein privates Konto verwendet, exponiert das Unternehmen, wenn dieses private Konto gehackt wird. Das Umgekehrte gilt gleichermaßen.

Die Daten von SpyCloud zeigen auch, dass Infostealer-basierte Expositionen zunehmend private und geschäftliche Identitätsdaten vom selben Gerät vermischen, was die Grenze zwischen privat und beruflich für einen Angreifer, der die Anmeldedaten bereits hat, funktionell irrelevant macht.

10. Erzwungene Passwortänderungen haben gegenteilige Wirkung

Viele Unternehmen verlangen noch immer, dass Mitarbeiter ihre Passwörter alle 90 Tage ändern. Das Ergebnis ist normalerweise, dass Password123! zu Password124! wird — eine Änderung, die die Richtlinie erfüllt, aber keinen echten Schutz bietet. Menschen nehmen die kleinstmögliche Änderung vor, um die Erinnerung loszuwerden.

NIST SP 800-63B-4 (2025) rät aus genau diesem Grund von obligatorischer periodischer Rotation ab. Erzwungene Änderungen erzeugen vorhersehbare Muster. Der Standard verlangt mindestens 15 Zeichen für benutzerdefinierte Passwörter, wenn das Passwort der einzige Authentifikator ist, und empfiehlt Rotation nur bei Nachweis einer Kompromittierung — nicht nach einem Kalenderplan.

11. Gestohlene Anmeldedaten sind schwer zu erkennen

Wenn ein Angreifer ein echtes, gültiges Mitarbeiterpasswort verwendet, sieht seine Aktivität wie normales Benutzerverhalten aus. Kein Alarm wird ausgelöst, kein Login wird blockiert, kein offensichtliches Zeichen erscheint, dass etwas nicht stimmt. Sie können wochenlang in Ihren Systemen sitzen — E-Mails lesen, auf Dateien zugreifen, Ihre interne Struktur kartieren — bevor es jemand bemerkt. Laut dem Cost of a Data Breach Report 2025 von IBM benötigten Organisationen durchschnittlich 158 Tage, um einen Sicherheitsvorfall zu identifizieren — und weitere 83 Tage, um ihn einzudämmen, für einen Gesamtlebenszyklus von 241 Tagen, ein Neun-Jahres-Tief, aber immer noch lang genug für einen Angreifer mit gültigen Anmeldedaten, um erheblichen Schaden anzurichten.

So bringen Sie Ihr Team weg von der Passwortwiederverwendung

Passwortgewohnheiten in einem Team zu ändern, geschieht nicht durch das Versenden eines Richtliniendokuments. Es erfordert die Beseitigung der Reibung, die Wiederverwendung überhaupt erst notwendig erscheinen lässt. Die folgende Struktur (die 3-Säulen-Passwort-Verteidigungsstrategie: Richtlinie, Audit und Tresor) adressiert jede Ebene, auf der Wiederverwendung Fuß fasst.

Säule 1 — Richtlinie: Ändern Sie die Regeln, nicht nur die Erinnerungen.

Streichen Sie die 90-Tage-Rotationsanforderung. Folgen Sie stattdessen den NIST SP 800-63B-Richtlinien: Verlangen Sie Passwörter mit mindestens 15 Zeichen, prüfen Sie neue Passwörter gegen bekannte Datenleck-Listen und hören Sie auf, Komplexitätsregeln durchzusetzen, die nur Summer2026!-Muster erzeugen. Kommunizieren Sie die Änderung an Ihr Team mit einem klaren Grund — „Wir streichen die erzwungene Rotation, weil sie vorhersehbare Passwörter erzeugt hat, keine sicheren." Menschen befolgen Regeln, die sie verstehen.

Säule 2 — Audit: Finden Sie heraus, womit Sie es tatsächlich zu tun haben.

Bevor Sie das Problem beheben können, müssen Sie es kartieren. In dieser Phase prüfen Sie nicht Passwörter — Sie prüfen die Angriffsfläche. Erstellen Sie eine Liste aller Systeme, Anwendungen und Dienste, auf die Ihr Team zugreift. Überprüfen Sie Ihr AD/LDAP-Verzeichnis auf aktive Konten, veraltete Konten und gemeinsam genutzte Anmeldedaten. Identifizieren Sie, wo SSO die Authentifizierung bereits abdeckt und wo nicht. Das Ergebnis ist ein klares Bild: wie viele separate Passwörter Ihr Team tatsächlich verwaltet und welche Systeme das größte Risiko tragen, wenn diese Anmeldedaten kompromittiert werden.

Das ist die Grundlage für Säule 3. Sobald der Passwort-Manager bereitgestellt ist, führen Sie den zweiten Durchgang durch — Scannen nach schwachen, duplizierten oder veralteten Passwörtern über alles außerhalb von SSO. Dann entsteht das vollständige Bild.

Säule 3 — Tresor: Machen Sie die sichere Option zur einfachen Option.

Führen Sie einen Passwort-Manager mit obligatorischer Nutzung für jedes Konto außerhalb von SSO ein. Das Ziel ist, die sichere Option zum Standard zu machen. Wenn das Tool Anmeldedaten automatisch generiert und ausfüllt, ist Wiederverwendung keine Wahlmöglichkeit mehr. Führen Sie die Einführung teamweise durch, beginnend mit den Gruppen, die Zugriff auf die sensibelsten Systeme haben. Kombinieren Sie es mit einer kurzen Onboarding-Sitzung, nicht mit einem langen Schulungsdokument.

Wie Passwork Passwortwiederverwendung auf Organisationsebene adressiert

Die Verwaltung von Passwortwiederverwendung erfordert den Übergang von individueller Verantwortung zu systemischer Kontrolle. Die folgende Tabelle zeigt, wie Passwork die primären in diesem Leitfaden identifizierten Risiken der Passwortwiederverwendung mindert.

Das Sicherheitsaudit-Dashboard von Passwork scannt jeden Tresor kontinuierlich. Schwache und veraltete Anmeldedaten werden automatisch angezeigt — keine manuelle Prüfung erforderlich. Administratoren erhalten eine konsolidierte Ansicht über alle Teams und Konten. Das ist die Sichtbarkeitsebene, die ein Credential-Audit im großen Maßstab funktionieren lässt.

Rollenbasierte Zugriffskontrolle (RBAC) bedeutet, dass Passwörter über den Tresor geteilt werden, nicht über Chat-Nachrichten oder E-Mail-Threads. Wenn ein Teammitglied einem Projekt beitritt, erhält es automatisch Zugriff auf die relevanten Anmeldedaten. Wenn es geht, wird der Zugriff in einem Schritt widerrufen. Kein Suchen danach, auf welche freigegebenen Ordner es noch Zugriff hat.

Für Organisationen mit strengen Anforderungen an Datenresidenz oder Compliance ist Passwork als Self-Hosted-Deployment verfügbar — alles läuft auf Infrastruktur, die Sie kontrollieren, ohne Abhängigkeit von einem externen Anbieter. Teams, die eine schnellere Bereitstellung ohne Verwaltung eigener Server wünschen, können Passwork Cloud nutzen, das denselben Funktionsumfang ohne den Infrastrukturaufwand bietet.

Fazit

Passwortwiederverwendung besteht fort, weil die Systeme um sie herum Wiederverwendung zum Weg des geringsten Widerstands machen. Wenn 70 % der in Datenlecks exponierten Benutzer zuvor exponierte Passwörter über mehrere Konten hinweg wiederverwenden, ist die Antwort kein stärkeres Memo über Hygiene — sondern die Beseitigung der Bedingungen, die Wiederverwendung notwendig erscheinen lassen.

Die 3-Säulen-Passwort-Verteidigungsstrategie gibt Ihrem Team einen praktischen Weg nach vorn. Zuerst Richtlinienänderungen, weil Audits gegen die falschen Regeln Zeitverschwendung sind. Dann das Audit, weil Sie nicht beheben können, was Sie nicht sehen. Dann der Tresor, weil Durchsetzung ohne Tools nur Dokumentation ist.

Der erste Monat wird eine lange Liste von wiederverwendeten und schwachen sichtbar gemachten Risiken der Passwortwiederverwendung aufdecken. Das ist kein Problem — das bedeutet, dass das Audit seine Aufgabe erfüllt. Führen Sie zuerst das Audit durch. Alles andere folgt aus dem, was es aufdeckt.

Häufig gestellte Fragen

Ist Passwortwiederverwendung ein Problem, wenn das Passwort sehr stark ist?

Ja. Ein starkes Passwort, das in einem Datenleck exponiert wurde, ist für Angreifer sofort nutzbar — sie müssen es nicht knacken, sie haben es bereits im Klartext aus der Datenleck-Datenbank. Stärke zählt nur gegen Rateangriffe. Gegen eine gestohlene Anmeldedatenliste bietet ein 20-Zeichen-Passwort nicht mehr Schutz als ein 6-Zeichen-Passwort. Einzigartigkeit ist das, was zählt, nicht Komplexität.

Wie prüft man Passwortwiederverwendung in einem Unternehmen?

Verwenden Sie einen Enterprise-Passwort-Manager mit integriertem Sicherheitsaudit, der automatisch doppelte, schwache oder veraltete Anmeldedaten über alle Konten hinweg markiert. Manuelle Prüfungen skalieren nicht und übersehen Dienstkonten, gemeinsam genutzte Logins und Schatten-IT. Automatisiertes Scannen gibt Ihnen kontinuierliche Sichtbarkeit anstelle einer einmaligen Momentaufnahme.

Stoppt Zwei-Faktor-Authentifizierung Angriffe durch Passwortwiederverwendung?

Nicht vollständig. Angreifer können sowohl das Passwort als auch den aktiven Session-Token in Echtzeit abfangen und 2FA umgehen, nachdem es bereits bestanden wurde. Recorded Future stellte fest, dass 31 % der Malware-basierten Anmeldedaten im Jahr 2025 aktive Session-Cookies enthielten — was bedeutet, dass MFA konstruktionsbedingt umgangen wurde, nicht umgangen werden musste. 2FA ist eine wichtige Verteidigungsschicht, aber es hebt das durch wiederverwendete Passwörter geschaffene Risiko nicht auf.

Was ist eine Combolist?

Eine Combolist ist eine Datei, die Millionen von geleakten Benutzername-und-Passwort-Paaren enthält, die aus verschiedenen Datenlecks gesammelt und auf kriminellen Märkten verkauft werden. Angreifer verwenden diese Listen, um Anmeldedaten automatisch gegen Anmeldesysteme zu testen. Wenn Ihr Passwort in einer erscheint — aus irgendeinem Datenleck, irgendwo — ist jedes Konto, bei dem Sie es wiederverwendet haben, gefährdet.

Kann ein Sicherheitsaudit Passwortwiederverwendung markieren?

Ja. Auditoren, die SOC 2, ISO 27001 oder PCI DSS Compliance bewerten, suchen nach Nachweisen, dass Zugriffskontrollen ordnungsgemäß verwaltet werden. Weitverbreitete Passwortwiederverwendung wird als Kontrollversagen behandelt und führt in der Regel zu einer formellen Feststellung, die behoben werden muss, bevor Zertifizierung oder Attestierung erteilt wird.

Was ist der Unterschied zwischen Credential Stuffing und einem Brute-Force-Angriff?

Credential Stuffing verwendet bekannte, bereits gestohlene Benutzername/Passwort-Paare aus Datenleck-Datenbanken und testet sie gegen andere Dienste. Brute-Force-Angriffe versuchen, ein unbekanntes Passwort durch Generieren von Kombinationen zu erraten. Credential Stuffing ist schneller, günstiger und effektiver gegen wiederverwendete Passwörter — weil der Angreifer bereits die richtige Antwort hat und nur herausfindet, welche Schlösser sie öffnet.

Was sagt NIST zur Passwortrotation?

NIST SP 800-63B-4 (final, Juli 2025) rät von obligatorischer periodischer Rotation ab. Erzwungene Änderungen erzeugen vorhersehbare inkrementelle Muster — Password1 wird zu Password2 — ohne die Sicherheit zu verbessern. Der Standard empfiehlt Rotation nur bei Nachweis einer Kompromittierung und setzt eine Mindestlänge von 15 Zeichen für benutzerdefinierte Passwörter fest, die als einziger Authentifikator verwendet werden.

Shadow AI: The hidden threat costing enterprises $670K per breach

Shadow AI costs enterprises $670K extra per breach — and most of it traces back to credentials pasted into public LLMs. Learn what shadow AI actually looks like, why it's harder to stop than shadow IT, and how to govern it.

Passwork BlogAlex Muntyan

Password management for teams: The fix every SMB needs

Storing passwords in Slack and browsers exposes your business to breaches. Discover why personal tools fail teams, how to securely offboard departing employees in one click, and why the latest NIST guidelines recommend against forced password rotation.

Passwork BlogAlex Muntyan

Brute force attacks in 2026: Types, examples & how to prevent them

GPU clusters, AI-assisted wordlists, botnets of 2.8M devices. Brute force has scaled. This guide covers six attack variants, real-world cases from 2025, and a layered defense strategy your team can implement today.

Passwork BlogAlex Muntyan

Most breaches don't start with a sophisticated attack. They start with a password someone used on two different websites. According to Verizon's 2026 Data Breach Investigations Report, stolen credentials appeared somewhere in 39% of all confirmed breaches — not just as the front door, but throughout lateral movement, persistence, and data theft. 

Vulnerability exploitation has overtaken credentials as the single top initial access vector, but attackers haven't abandoned credential abuse. They've folded it deeper into the intrusion chain. If your employees are reusing passwords (and statistically, most of them are) your business is carrying password reuse risks that don't show up until they're already inside.

Key takeaways

• A single reused password creates instant systemic risk. When a credential is leaked from any personal or corporate source, automated tools test it across your entire network within hours.
• Credential stuffing is highly automated and immediate. Attackers run automated databases of leaked credentials against corporate portals within hours of a public breach.
• Session hijacking bypasses multi-factor authentication entirely. Infostealers steal active session cookies alongside saved browser passwords, allowing attackers to clone legitimate sessions without triggering MFA prompts.
• Forced password rotation weakens corporate security. Mandatory 90-day changes lead to predictable patterns. Modern standards (including NIST SP 800-63B) recommend a 15-character minimum length and rotation only upon actual compromise.
• Eliminating reuse requires a structured three-pillar approach. Organizations must update outdated policies, run credential audits to surface shadow IT, and deploy a centralized vault to make secure habits friction-free.
• Systemic control must replace individual responsibility. Password manager automates credential hygiene by continuously scanning for duplicates, securing orphaned service accounts, and managing granular vendor access in a centralized vault.

Why password reuse is dangerous: The 2026 picture

Password reuse creates a single point of failure across every account sharing the same credential. When attackers obtain that credential from any source (corporate or personal) automated tools test it against corporate email, VPN portals, and cloud applications within hours. In 2025, Recorded Future indexed 1.95 billion malware-sourced credential exposures, 31% of which included active session cookies that bypass MFA (multi-factor authentication) entirely.

Criminals build and trade combolists: structured files of leaked email/password pairs aggregated from years of data breaches. Automated tools test these pairs against corporate login pages, VPN portals, and cloud applications within hours of a new list appearing on dark web markets. The attack is mechanical: take a list of known credentials, run them against a login page, collect the hits.

Infostealers are the faster, more dangerous pipeline. This malware runs silently on an infected device, pulls every saved password from the browser, harvests active session cookies, and exfiltrates the package — often within minutes. If the attacker has a valid session token, no login event fires, no MFA prompt appears, and the access looks entirely legitimate.

The volume in 2025 was staggering. Recorded Future's 2025 Identity Threat Landscape Report (published March 2026) detected 1.95 billion malware combolist credential exposures across the year, with volume accelerating sharply — the final quarter produced 90% more indexed credentials than the first. Constella Intelligence's 2026 Identity Breach Report found that nearly 60% of breach datasets ingested were recycled credential compilations — an increase from the prior year.

One detail from Recorded Future's data deserves attention: 276 million of the credentials indexed in 2025 included active session cookies. That's 31% of malware-sourced credentials bypassing MFA entirely, by design. Password reuse is dangerous. Credential reuse combined with session hijacking is a different category of problem.

11 password reuse risks every business should know

Password reuse creates a chain of vulnerabilities. Each risk below is independent, but in a real intrusion they compound. An attacker who exploits risk #1 often gains the position to exploit risks #3, #7, and #11 in the same session.

1. Automated login attacks hit every account at once

When a password appears in a breach, attackers run it against your company email, HR system, cloud storage, and VPN portal simultaneously. This is credential stuffing — fully automated, running at scale within hours of a new combolist appearing. According to Verizon's additional 2025 DBIR research on credential stuffing, the median daily share of credential stuffing in SSO provider logs was 19% of all authentication attempts. Nearly one in five login attempts, on an average day.

2. A breach on a personal device becomes your problem

If an employee's home laptop picks up infostealer malware (through a phishing link or a compromised download) every password saved in their browser gets stolen. If any of those passwords match what they use at work, your systems are now exposed. You had no part in that breach. You bear the consequences anyway.

SpyCloud's 2025 Annual Identity Exposure Report found that 91% of organizations reported suffering an identity-related incident in the past year — nearly double the previous year's numbers — with infostealer malware as a primary driver. The infection doesn't need to happen on a company machine to become a company problem.

3. One password opens many doors

Inside a business, systems are connected. An attacker who gets into one account with a reused password can use that same credential to probe other internal systems. What starts as access to a single employee account can expand into file servers, internal tools, or administrator consoles. By the time it's noticed, the attacker has been inside for weeks.

4. Untracked apps create hidden backdoors

Employees sign up for tools on their own (project trackers, design platforms, communication apps) using their work email and, often, a password they also use at work. IT doesn't know these accounts exist. When one of those apps gets breached, the attacker has a working credential for your corporate systems, through a door nobody knew was open.

This is shadow IT, and it's one of the hardest password reuse risks to manage because the exposure happens entirely outside your visibility.

5. Two-factor authentication doesn't always save you

2FA is worth having. It's not a complete fix for password reuse. Attackers intercept the authentication process in real time, capturing both the password and the temporary session token that proves the 2FA check has already passed. Once they have that token, they're in — and 2FA has already done its job as far as the system is concerned.

2FA reduces risk significantly. A reused password still gives attackers a starting point they can work with, and session hijacking removes MFA from the equation entirely.

6. Reused passwords can fail your next audit

If your business handles payment data, personal information, or operates under any formal security framework, password practices get scrutinized. Security standards like SOC 2, ISO 27001, and PCI DSS all require that access controls are properly managed — and auditors look at whether your organization enforces password quality. Finding widespread password reuse is a red flag that can result in audit findings, failed certifications, or compliance gaps that need formal remediation before you can close a deal or renew a contract.

7. Vendor access is part of your attack surface

Contractors and third-party vendors often need access to your systems. If those credentials are shared carelessly — or if the vendor's own staff reuse passwords — a breach at the vendor becomes a breach at your organization. Verizon's 2026 DBIR found that 48% of breaches involved a third party in some capacity, a 60% increase from the previous year. Vendor accounts are frequently forgotten after a project ends. The access stays active, the password never changes, and nobody is watching it.

8. Employees reuse system passwords too

Service accounts and system credentials get far less attention than employee accounts. A developer who manages three database environments with the same password won't appear on any HR offboarding list. Nobody owns that credential, so nobody audits it. When one environment is compromised, every system sharing that credential is exposed.

These accounts don't appear in a standard employee directory. No single person owns them. That's the gap attackers walk through.

9. Work and personal accounts contaminate each other

The line between personal and professional passwords has blurred almost completely. According to SpyCloud's 2025 Annual Identity Exposure Report, 70% of users exposed in breaches reused previously-exposed passwords across multiple accounts. SpyCloud describes this as an all-time rate — meaning it reflects cumulative reuse behavior across every breach in their dataset, not a single year's snapshot. An employee who uses their work password on a personal account exposes the business when that personal account is breached. The reverse is equally true.

SpyCloud's data also shows that infostealer-sourced exposures increasingly blend personal and corporate identity data from the same device, making the personal/professional boundary functionally irrelevant to an attacker who already has the credential.

10. Forced password changes backfire

Many businesses still require employees to change passwords every 90 days. The result is usually Password123! becoming Password124! — a change that satisfies the policy while providing no real protection. People make the smallest possible change to get the reminder to go away.

NIST SP 800-63B-4 (2025) recommends against mandatory periodic rotation for exactly this reason. Forced changes produce predictable patterns. The standard requires a minimum of 15 characters for user-chosen passwords when the password is the sole authenticator, and recommends rotation only on evidence of compromise — not on a calendar schedule.

11. Stolen credentials are hard to detect

When an attacker uses a real, valid employee password, their activity looks like normal user behavior. No alarm fires, no login gets blocked, no obvious sign appears that anything is wrong. They can sit inside your systems for weeks — reading emails, accessing files, mapping your internal structure — before anyone notices. According to IBM's 2025 Cost of a Data Breach Report, organizations took a mean of 158 days to identify a breach — and another 83 days to contain it, for a total lifecycle of 241 days, a nine-year low but still long enough for an attacker with a valid credential to cause serious damage.

How to move your team away from password reuse

Changing password habits across a team doesn't happen by sending a policy document. It requires removing the friction that makes reuse feel necessary in the first place. The structure below (the 3-Pillar Password Defense Strategy: Policy, Audit, and Vaulting) addresses each layer where reuse takes root.

Pillar 1 — Policy: change the rules, not just the reminders.

Drop the 90-day rotation requirement. Follow NIST SP 800-63B guidelines instead: require passwords of at least 15 characters, screen new passwords against known breach lists, and stop enforcing complexity rules that just produce Summer2026! patterns. Communicate the change to your team with a clear reason — "we're dropping forced rotation because it was producing predictable passwords, not secure ones." People follow rules they understand.

Pillar 2 — Audit: find out what you're actually dealing with.

Before you can fix the problem, you need to map it. At this stage, you're not auditing passwords — you're auditing the attack surface. Pull a list of every system, application, and service your team accesses. Check your AD/LDAP directory for active accounts, stale accounts, and shared credentials. Identify where SSO already covers authentication and where it doesn't. The output is a clear picture: how many separate passwords your team is actually managing, and which systems carry the most risk if those credentials are compromised.

This is the groundwork for Pillar 3. Once the password manager is deployed, you run the second pass — scanning for weak, duplicated, or stale passwords across everything outside SSO. That's when the full picture emerges.

Pillar 3 — Vaulting: make the secure option the easy option.

Roll out a password manager with mandatory use for every account outside SSO. The goal is to make the secure option the default. When the tool generates and fills credentials automatically, reuse stops being a choice. Deploy team by team, starting with the groups that have access to the most sensitive systems. Pair it with a short onboarding session, not a lengthy training document.

How Passwork addresses password reuse at the organizational level

Managing password reuse requires transition from individual responsibility to systemic control. The table below outlines how Passwork mitigates the primary password reuse risks identified in this guide.

Passwork's security audit dashboard scans every vault continuously. Weak and outdated credentials surface automatically — no manual check required. Administrators get a consolidated view across all teams and accounts. That's the visibility layer that makes a credential audit work at scale.

Role-based access control (RBAC) means passwords are shared through the vault, not through chat messages or email threads. When a team member joins a project, they get access to the relevant credentials automatically. When they leave, access is revoked in one step. No hunting down which shared folders they still have access to.

For organizations with strict data residency or compliance requirements, Passwork is available as a self-hosted deployment — everything runs on infrastructure you control, with no dependency on an external provider. Teams that want faster deployment without managing their own servers can use Passwork Cloud, which delivers the same feature set without the infrastructure overhead.

Conclusion

Password reuse persists because the systems around them make reuse the path of least resistance. When 70% of users exposed in breaches reuse previously-exposed passwords across multiple accounts, the answer isn't a stronger memo about hygiene — it's removing the conditions that make reuse feel necessary.

The 3-Pillar Password Defense Strategy gives your team a practical path forward. Policy changes first, because auditing against the wrong rules wastes time. Then the audit, because you can't fix what you can't see. Then vaulting, because enforcement without tooling is just documentation.

The first month will surface a long list of reused and weak password reuse risks made visible. That's not a problem — that's the audit doing its job. Run the audit first. Everything else follows from what it surfaces.

Frequently asked questions

Is password reuse a problem if the password is very strong?

Yes. A strong password exposed in a breach is immediately usable by attackers — they don't need to crack it, they already have it in plain text from the breach database. Strength only matters against guessing attacks. Against a stolen credential list, a 20-character password offers no more protection than a 6-character one. Uniqueness is what matters, not complexity.

How do you audit password reuse in a business?

Use an enterprise password manager with built-in security auditing that automatically flags duplicate, weak, or outdated credentials across all accounts. Manual checks don't scale and miss service accounts, shared logins, and shadow IT. Automated scanning gives you continuous visibility rather than a one-time snapshot.

Does two-factor authentication stop password reuse attacks?

Not completely. Attackers can capture both the password and the active session token in real time, bypassing 2FA after it has already been passed. Recorded Future found that 31% of malware-sourced credentials in 2025 included active session cookies — meaning MFA was bypassed by design, not circumvented. 2FA is an important layer of defense, but it doesn't cancel out the risk created by reused passwords.

What is a combolist?

A combolist is a file containing millions of leaked username-and-password pairs, collected from various data breaches and sold on criminal markets. Attackers use these lists to automatically test credentials against login systems. If your password appears in one — from any breach, anywhere — every account where you've reused it is at risk.

Can a security audit flag password reuse?

Yes. Auditors assessing SOC 2, ISO 27001, or PCI DSS compliance look for evidence that access controls are properly managed. Widespread password reuse is treated as a control failure and typically results in a formal finding that must be addressed before certification or attestation is granted.

What's the difference between credential stuffing and a brute-force attack?

Credential stuffing uses known, already-stolen username/password pairs from breach databases and tests them against other services. Brute-force attacks try to guess an unknown password by generating combinations. Credential stuffing is faster, cheaper, and more effective against reused passwords — because the attacker already has the correct answer, they're just finding which locks it opens.

What does NIST say about password rotation?

NIST SP 800-63B-4 (final, July 2025) recommends against mandatory periodic rotation. Forced changes produce predictable incremental patterns — Password1 becomes Password2 — without improving security. The standard recommends rotation only when there is evidence of compromise, and sets a minimum length of 15 characters for user-chosen passwords used as the sole authenticator.

Shadow AI: The hidden threat costing enterprises $670K per breach

Shadow AI costs enterprises $670K extra per breach — and most of it traces back to credentials pasted into public LLMs. Learn what shadow AI actually looks like, why it’s harder to stop than shadow IT, and how to govern it.

Passwork BlogAlex Muntyan

Password management for teams: The fix every SMB needs

Storing passwords in Slack and browsers exposes your business to breaches. Discover why personal tools fail teams, how to securely offboard departing employees in one click, and why the latest NIST guidelines recommend against forced password rotation.

Passwork BlogAlex Muntyan

Brute force attacks in 2026: Types, examples & how to prevent them

GPU clusters, AI-assisted wordlists, botnets of 2.8M devices. Brute force has scaled. This guide covers six attack variants, real-world cases from 2025, and a layered defense strategy your team can implement today.

Passwork BlogAlex Muntyan

Shadow AI bezeichnet die nicht genehmigte Nutzung von KI-Tools, Modellen und Agenten durch Mitarbeiter ohne Wissen oder Genehmigung der IT-Abteilung. Diese Praxis ist weit verbreitet und für Sicherheitsteams weitgehend unsichtbar — genau das macht sie so kostspielig.

Laut dem IBM-Bericht 2025 zahlen Organisationen mit hohem Shadow-AI-Anteil 670.000 $ mehr pro Datenpanne als solche mit geringem oder keinem Shadow-AI-Anteil. Das ergibt eine erwartete Gesamtsumme von 4,63 Mio. $. Diese Differenz spiegelt unkontrollierte Datenflüsse, ungesteuerten Modellzugriff und Zugangsdaten wider, die außerhalb jedes Sicherheitsperimeters an KI-Dienste Dritter übermittelt werden.

Das Ausmaß lässt sich schwerer abtun, als die meisten Sicherheitsteams erwarten. Entwickler, Finanzabteilungen, HR und der operative Bereich setzen KI-Tools nach eigenem Ermessen ein. Dieser Artikel erläutert, wie Shadow AI in Unternehmensumgebungen tatsächlich aussieht, warum es zu Sicherheits- und Compliance-Risiken führt und was IT-Teams tun können, um dem zuvorzukommen.

Was ist Shadow AI?

Shadow AI umfasst jedes KI-Tool, Modell, Plugin oder jeden Agenten, der innerhalb einer Organisation ohne ausdrückliche IT- oder Sicherheitsgenehmigung verwendet wird. Es befindet sich an der Schnittstelle zwischen Shadow IT und generativer KI und erbt die Governance-Blindstellen des ersteren, während es die Datenverarbeitungsrisiken der letzteren hinzufügt. Laut Varonis-Daten haben 98 % der Organisationen Mitarbeiter, die nicht genehmigte Apps nutzen, einschließlich Shadow AI.

Der Umfang ist größer, als die meisten Sicherheitsteams annehmen.

KI-Agenten stellen eine qualitative Verschiebung des Risikos dar. Eine Tabelle, die in einem nicht genehmigten Cloud-Speicher liegt, ist ein Datenexpositionsproblem. Ein KI-Agent mit delegiertem Zugriff auf E-Mail, Kalender und Dateisystem ist ein Access-Governance-Problem.

Shadow IT vs. Shadow AI: Den Risikomultiplikator verstehen

Shadow IT und Shadow AI haben gemeinsam, dass Mitarbeiter Tools außerhalb der Sichtbarkeit der IT nutzen. Das Risikoprofil ist jedoch grundlegend unterschiedlich.

Shadow IT (nicht genehmigte SaaS, privater Cloud-Speicher, nicht verwaltete Geräte) verursacht primär Datenhaltungs- und Compliance-Probleme. Daten liegen irgendwo, wo die IT keine Kontrolle hat. Die Exposition ist größtenteils statisch.

Shadow AI verarbeitet Daten. Es analysiert sie, fasst sie zusammen, generiert Ausgaben daraus und handelt im Fall von agentenbasierten Systemen autonom danach. Die Exposition ist dynamisch und oft irreversibel.

Das SaaS-Wildwuchs-Problem verstärkt dies. Mitarbeiter nutzen über 665 KI-Tools in einer typischen Unternehmensumgebung, laut der Analyse von Harmonic Security von 22 Millionen KI-Prompts in Unternehmen (2025). Sechs Anwendungen sind für 92,6 % der Exposition sensibler Daten verantwortlich, aber die verbleibenden 659 zu blockieren ist operativ zwecklos und zerstört die Produktivität. Die Governance-Herausforderung liegt in Sichtbarkeit, Klassifizierung und kontrolliertem Zugriff.

Die finanziellen Auswirkungen: Warum Shadow AI Unternehmen 670.000 $ pro Datenpanne kostet

Laut dem IBM-Bericht „Cost of a Data Breach" 2025 erhöhen Datenpannen mit hohem Shadow-AI-Anteil die durchschnittlichen Kosten um 670.000 $ im Vergleich zu solchen mit geringem oder keinem Shadow-AI-Anteil — ein Anstieg von 16 %, der die erwartete Gesamtsumme auf 4,63 Mio. $ pro Vorfall bringt.

Zwei zugrunde liegende Statistiken erklären den Mechanismus:

• 97 % der Organisationen, die einen KI-bezogenen Sicherheitsvorfall erlebten, hatten keine angemessenen KI-Zugriffskontrollen.
• 63 % der betroffenen Organisationen hatten keine Governance-Richtlinien für die Verwaltung von KI oder die Erkennung nicht autorisierter Nutzung.

Die Kausalkette ist direkt. Mitarbeiter führen KI-Tools schneller ein, als Sicherheitsteams sie bewerten können. Ohne Zugriffskontrollen fließen sensible Daten in Modelle, die die IT nie genehmigt hat und nicht auditieren kann. Wenn eine Datenpanne auftritt, verlängert das Fehlen von Logging und Governance die Erkennungs- und Eindämmungszeit — und in der Ökonomie von Datenpannen ist Zeit der primäre Kostentreiber.

Für CFOs ist die Rechnung eindeutig: Die erwarteten Kosten einer Shadow-AI-bezogenen Datenpanne betragen 4,63 Mio. $. Die Kosten eines KI-Governance-Programms für Unternehmen — Zugriffskontrollen, CASB-Bereitstellung, Lizenzierung genehmigter Tools, Credential-Management — sind nur ein Bruchteil davon. Das risikobereinigte Argument für Governance-Investitionen ist nicht mehrdeutig.

Sicherheitsteams haben auch eine DLP-Blindstelle (Data Loss Prevention): Die meisten DLP-Tools prüfen strukturierte Datenübertragungen. Konversationelle KI-Prompts sind unstrukturierter Text. Ein Mitarbeiter, der einen Datenbank-Verbindungsstring in einen Free-Tier-LLM-Account eingibt, löst keinen DLP-Alarm aus. Die Daten verlassen die Organisation unbemerkt.

Die versteckte Bedrohung: Credential-Exposition und KI-Agenten

Das direkteste und am wenigsten berichtete Shadow-AI-Risiko ist die Credential-Exposition. Mitarbeiter fügen ständig Secrets in öffentliche LLMs ein, weil es der schnellste Weg ist, Hilfe zu bekommen.

Ein Entwickler, der ein Produktionsproblem debuggt, fügt einen Datenbank-Verbindungsstring zusammen mit dem Fehlerprotokoll in ChatGPT ein. Ein DevOps-Ingenieur teilt eine Kubernetes-Konfigurationsdatei, einschließlich eingebetteter API-Keys, mit einem KI-Assistenten, um nach einem Deployment-Fehler zu fragen. Ein Finanzanalyst lädt eine Q3-Prognosetabelle in ein nicht genehmigtes KI-Zusammenfassungs-Tool hoch, um sich auf eine Vorstandssitzung vorzubereiten.

Laut der Analyse von Harmonic Security von 22,4 Millionen KI-Prompts in Unternehmen (2025) machen Code, juristische Dokumente und Finanzdaten 74,5 % der an KI-Tools exponierten sensiblen Daten aus. Quellcode allein enthält eingebettete Secrets (fest codierte API-Keys, Zugriffstokens und Dienstkonto-Credentials), die die meisten Entwickler als Konfigurationsdetails und nicht als sicherheitskritisches Material behandeln.

Die agentenbasierte Risikoebene fügt eine zweite Angriffsfläche hinzu. KI-Agenten — Systeme, die delegierte OAuth-Berechtigungen zum Lesen von Dateien, Senden von E-Mails, Abfragen von Datenbanken und Aufrufen externer APIs verwenden — arbeiten mit breiten Zugriffserteilungen, die nie für autonome Nutzung konzipiert wurden. Wenn ein Mitarbeiter einen Produktivitäts-KI-Agenten autorisiert, auf seine Unternehmens-E-Mails und seinen Dateispeicher zuzugreifen, hat dieser Agent möglicherweise breitere effektive Berechtigungen, als es die Rolle des Mitarbeiters rechtfertigen würde.

Die meisten Organisationen haben kein Inventar darüber, welche Agenten welche OAuth-Erteilungen halten, und keinen Prozess, um sie zu widerrufen, wenn ein Mitarbeiter ausscheidet.

16,9 % aller Expositionen sensibler Daten im Datensatz von Harmonic flossen durch private Free-Tier-Accounts — wo die IT keine Sichtbarkeit, keinen Audit-Trail hat und Daten zum Training öffentlicher Modelle verwendet werden können (Harmonic Security, 2025).

Die Kombination aus Credential-Exposition und agentenbasiertem Zugriff erzeugt ein kumulierendes Risiko: Ein kompromittierter KI-Agent mit Zugriff auf einen Tresor nicht verwalteter Secrets kann weit mehr exfiltrieren als ein einzelner geleakter API-Key.

Reale Datenpannen im Zusammenhang mit Shadow AI

Diese drei Vorfälle haben einen gemeinsamen Nenner: In jedem Fall griff eine KI-Komponente, die innerhalb einer vertrauenswürdigen Umgebung operierte, auf weit mehr Daten zu, als irgendjemand ausdrücklich autorisiert hatte.

Microsoft AI Research: 38 TB interner Daten exponiert

Was geschah. Ein Microsoft-KI-Forschungsteam veröffentlichte einen offenen Datensatz auf GitHub zum Training von Bilderkennungsmodellen. Um die Dateien zu teilen, verwendeten sie einen Azure-SAS-Token — konfigurierten ihn aber mit vollem Zugriff auf das gesamte Storage-Konto anstatt nur auf den Zielordner. Jeder, der dem Repository-Link folgte, erhielt uneingeschränkten Zugriff auf 38 TB privater Unternehmensdaten.

Was geleakt wurde. Workstation-Backups von zwei Mitarbeitern, über 30.000 interne Microsoft-Teams-Nachrichten von 359 Mitarbeitern, private Schlüssel, Dienstpasswörter und geheime Tokens. Der Token hatte „Vollzugriff"-Berechtigungen und war auf ein Ablaufdatum im Jahr 2051 eingestellt.

Warum dies ein Shadow-AI-Vorfall ist. Die Datenpanne geschah direkt im Rahmen der KI-Datensatzarbeit. Forscher, die schnell KI-Modelle ausliefern wollten, umgingen standardmäßige Zugriffsprüfungsverfahren. Wiz Research, das die Exposition entdeckte, beschrieb es als „eine neue Risikoklasse, der Organisationen bei beschleunigter KI-Einführung gegenüberstehen". Da der Token Schreibzugriff gewährte, hätte ein Angreifer bösartigen Code in KI-Modelle einschleusen können, die andere Entwickler aktiv herunterluden.

Reaktion. Wiz machte den Vorfall im September 2023 öffentlich. Microsoft widerrief den Token und schloss den Zugriff. Der Fall wurde zu einem Referenzbeispiel im IBM-Bericht „Cost of a Data Breach" 2025.

Slack AI: Datenexfiltration aus privaten Kanälen via Prompt Injection

Was geschah. Forscher bei PromptArmor fanden eine kritische Schwachstelle in Slack AI — dem integrierten Assistenten, der es Mitarbeitern ermöglicht, ihre gesamte Slack-Historie in natürlicher Sprache abzufragen. Die Angriffsklasse war indirekte Prompt Injection: Ein Bedrohungsakteur postet eine Nachricht in einem öffentlichen Kanal, die versteckte Anweisungen für das LLM enthält. Wenn ein Ziel Slack AI verwendet, um nach Informationen zu suchen, behandelt das Modell die bösartigen Anweisungen als legitim und führt sie aus.

Was gefährdet war. API-Keys und andere Secrets, die in privaten Kanälen gespeichert waren, auf die der Angreifer keinen direkten Zugriff hatte. Slack AI aggregierte Daten sowohl aus öffentlichen als auch aus privaten Kanälen bei der Beantwortung von Benutzeranfragen — dieser kanalübergreifende Zugriff war der Angriffsvektor. Ein zweites Szenario ermöglichte es Slack AI, einen Phishing-Link zu rendern, um Credentials abzufangen.

Warum dies ein Shadow-AI-Vorfall ist. Slack AI ist ein Lehrbuchfall für eingebettete Shadow AI: eine KI-Funktion, die innerhalb eines bereits genehmigten Unternehmenstools aktiviert wird, ohne separate Sicherheitsprüfung ihrer KI-Komponente. IT-Teams hatten keine Sichtbarkeit darüber, dass der Assistent auf private Kanäle zugreifen und als Exfiltrationsvektor dienen konnte. Am 14. August 2024 (am selben Tag, an dem die Schwachstelle offengelegt wurde) erweiterte Slack die Fähigkeiten des Assistenten, um hochgeladene Dokumente und Google-Drive-Dateien zu indexieren, was die Angriffsfläche weiter vergrößerte.

Reaktion. Slack klassifizierte das Verhalten zunächst als „beabsichtigt", veröffentlichte dann aber einen Patch. Das Unternehmen erklärte, es gebe „keine Hinweise auf unbefugten Zugriff auf Kundendaten". Der Vorfall wurde weithin als erster dokumentierter Fall von Datenexfiltration via Prompt Injection in einem produktiven Enterprise-SaaS-Produkt behandelt.

Microsoft 365 Copilot: EchoLeak, Zero-Click-Datenexfiltration

Was geschah. Forscher bei Aim Security veröffentlichten CVE-2025-32711 (CVSS 9.3 — Kritisch) in Microsoft 365 Copilot, genannt EchoLeak. Es ist die erste dokumentierte Zero-Click-Prompt-Injection mit bestätigter Datenexfiltration in einem produktiven KI-System. Der Angriff erforderte keine Aktion des Opfers.

Wie es funktionierte. Ein Angreifer sendete dem Ziel eine E-Mail mit versteckten Anweisungen, die als Markdown-Links im Referenzstil getarnt waren. Als Copilot die E-Mail verarbeitete, umging es den eingebauten XPIA-Klassifikator (Prompt-Injection-Schutz) und den Link-Schwärzungsmechanismus. Copilot griff dann automatisch auf die Dateien des Opfers in OneDrive, SharePoint und Teams zu, konstruierte eine URL über die Microsoft Teams Proxy API — die auf Copilots Whitelist steht — und sendete die Daten an den Server des Angreifers. Keine Klicks erforderlich.

Was gefährdet war. Jede Datei oder Konversation, auf die der Benutzer innerhalb von Microsoft 365 zugreifen konnte: OneDrive-Dokumente, SharePoint-Dateien, Teams-Nachrichten. Bis Mitte 2024 betrieben laut Netrix Global bereits mehr als 10.000 Unternehmen Microsoft 365 Copilot.

Warum dies ein Shadow-AI-Vorfall ist. EchoLeak repräsentiert die nächste Generation des Shadow-AI-Risikos: ein KI-Agent mit breitem Zugriff auf Unternehmensdaten, der innerhalb eines genehmigten Tools operiert, ohne angemessene Sicherheitsprüfung seiner KI-Komponente. Der Angriff hinterließ keine Spuren in Standard-Überwachungssystemen — der gesamte Datenverkehr lief über vertrauenswürdige Microsoft-Domains.

Reaktion. Microsoft veröffentlichte im Juni 2025 einen Notfall-Patch. Der Fall veränderte grundlegend, wie die Branche das Risiko für KI-Agenten mit breiten Zugriffsberechtigungen bewertet.

Shadow AI im Unternehmen erkennen und verhindern

Erkennung und Prävention erfordern einen strukturierten Ansatz. KI vollständig zu verbieten funktioniert nicht — die Daten von Harmonic zeigen, dass Mitarbeiter KI-Tools unabhängig von Richtlinien nutzen, oft über private Geräte und Accounts, die Unternehmenskontrollen vollständig umgehen. Das Ziel ist Governance, nicht Verbot.

Das 5-Schritte-Framework für Shadow-AI-Governance

1. KI-Exposition ermitteln. Setzen Sie Netzwerküberwachung ein, um ausgehenden Datenverkehr zu bekannten KI-Domains zu identifizieren. Verwenden Sie einen Cloud Access Security Broker (CASB), um Einblick in die SaaS-Nutzung auf verwalteten Geräten zu erhalten. Prüfen Sie Browser-Erweiterungen auf Unternehmens-Endpunkten — viele KI-Tools operieren als Erweiterungen mit breitem Zugriff auf Seiteninhalte. Erstellen Sie ein Inventar dessen, was tatsächlich verwendet wird, bevor Sie Richtlinien schreiben.
2. Richtlinien für akzeptable Nutzung definieren. Klassifizieren Sie KI-Tools in drei Stufen: genehmigt (Enterprise-lizenziert, Datenverarbeitungsvereinbarungen vorhanden), bedingt (nur für nicht sensible Aufgaben erlaubt) und verboten (keine Datensouveränitätskontrollen, öffentliches Modelltraining). Veröffentlichen Sie die Richtlinie.
3. RBAC für KI-Tools implementieren. Rollenbasierte Zugangskontrolle (RBAC) gilt für den Zugriff auf KI-Tools genauso wie für jedes andere System. Entwickler sollten keinen Zugriff auf Finanz-KI-Tools haben. Finanzteams sollten keinen Zugriff auf Code-Repositories haben, die in KI-Pipelines eingespeist werden. Beschränken Sie Zugriffserteilungen auf das für jede Rolle erforderliche Minimum. Prüfen Sie vierteljährlich.
4. Genehmigte Alternativen bereitstellen. Mitarbeiter setzen Shadow AI ein, weil genehmigte Tools zu langsam zu beschaffen oder für die Aufgabe unzureichend sind. Stellen Sie für jede verbotene Tool-Kategorie eine genehmigte Alternative mit gleichwertiger Funktionalität bereit. Wenn Entwickler einen KI-Coding-Assistenten benötigen, geben Sie ihnen einen mit Enterprise-Datenkontrollen. Governance ohne Befähigung erzeugt Unmut und Workarounds.
5. Die zugrunde liegenden Credentials sichern. Dies ist der Schritt, den die meisten Governance-Frameworks überspringen. Selbst mit Richtlinien und CASB können Mitarbeiter, die direkten Zugriff auf rohe API-Keys, Datenbankpasswörter und Dienstkonto-Credentials haben, diese in jedes Tool einfügen. Die Zentralisierung des Secrets-Managements — sodass Credentials gespeichert, injiziert und programmatisch rotiert werden, anstatt manuell kopiert zu werden — entfernt den direktesten Pfad von Shadow AI zur Credential-Kompromittierung.

Wie Passwork die Grundlage gegen Shadow-AI-Risiken sichert

Sie können einen Mitarbeiter nicht physisch daran hindern, einen Browser-Tab zu öffnen und in ein öffentliches LLM zu tippen. Was Sie kontrollieren können, ist, worauf er Zugriff zum Einfügen hat.

Das Kernprinzip: Klartext aus der Gleichung entfernen

Wenn API-Keys, Datenbank-Credentials, Produktions-Secrets und Dienstkonto-Passwörter in einem zentralisierten verschlüsselten Tresor liegen — auf den programmatisch zugegriffen wird anstatt manuell zu kopieren — sinkt das Credential-Expositionsrisiko durch Shadow AI erheblich. Der Entwickler, der ein Produktionsproblem mit einem KI-Assistenten debuggen möchte, kann den Datenbank-Verbindungsstring nicht einfügen, weil er ihn nie im Klartext hatte.

Was Passwork bietet

Passwork ist sowohl als Self-Hosted-Deployment als auch als Cloud-gehostete Lösung verfügbar. Beide teilen dieselbe Kernarchitektur: AES-256-Verschlüsselung unter einem Zero-Knowledge-Modell, bei dem Credentials clientseitig verschlüsselt werden, bevor sie das Gerät verlassen.

Vier Kontrollen sind im Shadow-AI-Kontext am wichtigsten:

• Rollenbasierte Zugangskontrolle. Administratoren beschränken den Tresorzugriff auf bestimmte Teams und Rollen. Ein Entwickler erhält Zugriff auf Entwicklungsumgebungs-Secrets, nicht auf Produktion. Der Zugriff wird nach Funktion gewährt, nicht nach Seniorität oder Bequemlichkeit.
• Audit-Logs. Jedes Zugriffsereignis wird aufgezeichnet: wer welches Credential abgerufen hat, wann und von welchem System. Wenn ein Credential an einem unerwarteten Ort auftaucht, haben Sie einen Nachweis.
• Dienstkonto-Management. Das Shadow-AI-Risiko beschränkt sich nicht auf Menschen, die Secrets in Chat-Fenster einfügen. KI-Agenten und automatisierte Pipelines laufen unter Dienstkonten — und diese Konten sammeln im Laufe der Zeit Berechtigungen an, ohne dass jemand sie aktiv überprüft. Passwork ermöglicht es, Dienstkonto-Credentials genauso zu speichern, zu rotieren und zu beschränken wie menschlichen Zugriff: mit expliziten Rollen, Ablaufrichtlinien und einer vollständigen Zugriffshistorie.
• API-first Credential-Bereitstellung. Die REST API von Passwork ermöglicht es Pipelines und Anwendungen, Secrets programmatisch zur Laufzeit abzurufen, anstatt sie aus Umgebungsdateien oder Konfigurations-Repositories zu lesen. Das Credential berührt nie die Zwischenablage eines Entwicklers. Es geht direkt vom Tresor zum Prozess, der es benötigt — und der Abruf wird protokolliert.

Self-Hosted vs. Cloud

Die Self-Hosted-Option hält alle Daten innerhalb der eigenen Infrastruktur der Organisation — die richtige Wahl für Teams mit strengen Datenstandortanforderungen oder regulierten Umgebungen. Die Cloud-Option entfernt den operativen Aufwand des Betriebs einer eigenen Instanz bei gleichzeitiger Beibehaltung derselben Verschlüsselungsgarantien und Zugriffskontrollen. Keine der Optionen sendet Klartext-Credentials an Passwork-Server.

Wie Passwork Shadow-AI-Risiken adressiert

Fazit

Die Mehrkosten von 670.000 $ pro Datenpanne durch Shadow AI sind die Kosten der KI-Nutzung ohne Governance. Die Organisationen, die diese Mehrkosten zahlen, sind keine Ausreißer. Es sind die 63 %, die keine KI-Governance-Richtlinien hatten, und die 97 %, denen es bei einem Vorfall an angemessenen Zugriffskontrollen mangelte.

Governance beginnt auf der Credential-Ebene. Ein Mitarbeiter, der keinen Zugriff auf rohe Produktions-Secrets hat, kann diese nicht versehentlich exponieren — unabhängig davon, welches KI-Tool er öffnet. Das ist der Kontrollpunkt, den die meisten Shadow-AI-Frameworks übersehen, und derjenige, der die unmittelbarste Risikoreduktion liefert.

Prüfen Sie noch heute, auf welche Credentials Ihre Teams im Klartext zugreifen können. Diese Liste ist Ihre Shadow-AI-Expositionsfläche.

FAQ: Shadow AI im Unternehmen

Wie erkennt man Shadow AI?

Organisationen können Shadow AI erkennen, indem sie Netzwerkprotokolle auf ungewöhnlichen ausgehenden Datenverkehr zu KI-Domains überwachen, einen Cloud Access Security Broker (CASB) einsetzen, um die SaaS-Nutzung auf verwalteten Geräten zu prüfen, und Browser-Erweiterungen auf Unternehmens-Endpunkten überprüfen. Endpoint-DLP-Tools können große Textübertragungen zu bekannten KI-Diensten markieren, obwohl private Free-Tier-Accounts eine hartnäckige Blindstelle bleiben.

Was ist ein Beispiel für Shadow AI?

Ein häufiges Beispiel ist ein Entwickler, der proprietären Quellcode in einen privaten ChatGPT-Account einfügt, um ein Produktionsproblem zu debuggen — dabei werden fest codierte API-Keys und interne Architektur exponiert. Ein weiteres ist ein Marketingteam, das vertrauliche Kundendaten in ein nicht genehmigtes KI-Zusammenfassungs-Tool hochlädt, oder ein Finanzanalyst, der Q3-Prognosen mit einem Free-Tier-KI-Assistenten teilt, um Vorstandsmaterialien vorzubereiten.

Warum ist Shadow AI gefährlicher als Shadow IT?

Shadow IT verursacht Datenstandortprobleme — Daten liegen irgendwo, wo die IT keine Kontrolle hat. Shadow AI verarbeitet Daten: Es analysiert sie, generiert Outputs daraus und handelt bei agentenbasierten Deployments autonom danach. Die Exposition durch Shadow AI ist oft irreversibel, besonders wenn Daten durch Free-Tier-Accounts fließen, wo sie zum Training öffentlicher Modelle verwendet werden können.

Welche Credentials sind am meisten durch Shadow AI gefährdet?

API-Keys, Datenbank-Verbindungsstrings, OAuth-Tokens und Dienstkonto-Passwörter sind die am höchsten gefährdeten Credentials. Dies sind die Secrets, die Entwickler und DevOps-Ingenieure am wahrscheinlichsten in KI-Prompts einfügen, wenn sie debuggen oder um Konfigurationshilfe bitten. Fest codierte Secrets im Quellcode sind besonders exponiert, da Code die größte Einzelkategorie sensibler Daten ist, die mit KI-Tools geteilt werden (Harmonic Security, 2025).

Verhindert das Verbot von KI-Tools Shadow AI?

Nein. Die Analyse von Harmonic Security von 22,4 Millionen Enterprise-Prompts ergab, dass Mitarbeiter in über 90 % der Organisationen aktiv KI-Tools nutzen, meist über private Accounts, die die IT nie genehmigt hat. Pauschale Verbote verlagern die Nutzung auf private Geräte und Accounts mit noch weniger Sichtbarkeit. Effektive Governance kombiniert genehmigte Alternativen, klare Richtlinien für akzeptable Nutzung und technische Kontrollen auf der Zugriffsebene.

Passwortverwaltung für Teams: Die Lösung, die jedes KMU braucht

Das Speichern von Passwörtern in Slack und Browsern setzt Ihr Unternehmen Datenpannen aus. Erfahren Sie, warum persönliche Tools für Teams versagen, wie Sie ausscheidende Mitarbeiter mit einem Klick sicher offboarden und warum die neuesten NIST-Richtlinien von erzwungener Passwortrotation abraten.

Passwork BlogAlex Muntyan

VaultJacking: Wie eine PIN einen Google Password Manager-Tresor exponieren kann

VaultJacking zielt auf die Google Password Manager-PIN ab, um Ihren gesamten Tresor zu entsperren. Eine abgefangene PIN exponiert jedes gespeicherte Passwort und jeden Passkey. Erfahren Sie, wie der Angriff funktioniert, wer gefährdet ist und was zu tun ist, wenn Sie gephisht wurden.

Passwork BlogAlex Muntyan

Mitarbeiter-Offboarding: Leitfaden zur sicheren Zugriffsentziehung 2026

Das Deaktivieren eines SSO-Accounts widerruft keinen Zugriff. API-Keys, KI-Agent-Credentials und geteilte Passwörter überleben es. Dieser Leitfaden behandelt das vollständige Offboarding-Playbook — von Zero-Hour-Triggern bis zur NHI-Bereinigung.

Passwork BlogAlex Muntyan

Shadow AI es el uso no autorizado de herramientas, modelos y agentes de IA por parte de empleados sin conocimiento ni aprobación del departamento de TI. Esta práctica está muy extendida y es en gran medida invisible para los equipos de seguridad — lo cual es precisamente lo que la hace costosa.

Según el informe de 2025 de IBM, las organizaciones con altos niveles de shadow AI pagan 670.000 $ más por brecha que aquellas con niveles bajos o sin shadow AI, elevando el total esperado a 4,63 millones de dólares. Esa diferencia refleja flujos de datos no monitoreados, acceso a modelos sin gobernanza y credenciales transferidas a servicios de IA de terceros fuera de cualquier perímetro de seguridad.

La magnitud es más difícil de ignorar de lo que la mayoría de los equipos de seguridad esperan. Desarrolladores, personal financiero, recursos humanos y operaciones están adoptando herramientas de IA según sus propios criterios. Este artículo analiza cómo se manifiesta realmente shadow AI en entornos empresariales, por qué genera exposición de seguridad y cumplimiento, y qué pueden hacer los equipos de TI para adelantarse.

¿Qué es Shadow AI?

Shadow AI es cualquier herramienta, modelo, plugin o agente de IA utilizado dentro de una organización sin aprobación explícita de TI o seguridad. Se sitúa en la intersección de Shadow IT y la IA generativa, heredando los puntos ciegos de gobernanza del primero y añadiendo los riesgos de procesamiento de datos de la segunda. Según datos de Varonis, el 98% de las organizaciones tienen empleados que utilizan aplicaciones no autorizadas, incluida shadow AI.

El alcance es más amplio de lo que la mayoría de los equipos de seguridad suponen.

Los agentes de IA representan un cambio cualitativo en el riesgo. Una hoja de cálculo almacenada en una unidad en la nube no aprobada es un problema de exposición de datos. Un agente de IA con acceso delegado a su correo electrónico, calendario y sistema de archivos es un problema de gobernanza de accesos.

Shadow IT vs. Shadow AI: comprender el multiplicador de riesgo

Shadow IT y Shadow AI implican que los empleados utilicen herramientas fuera de la visibilidad de TI. El perfil de riesgo es fundamentalmente diferente.

Shadow IT (SaaS no autorizado, almacenamiento personal en la nube, dispositivos no gestionados) genera principalmente problemas de residencia de datos y cumplimiento. Los datos residen en algún lugar que TI no controla. La exposición es en gran medida estática.

Shadow AI procesa datos. Razona sobre ellos, los resume, genera resultados a partir de ellos y, en el caso de sistemas agénticos, actúa sobre ellos. La exposición es dinámica y a menudo irreversible.

El problema de la proliferación de SaaS agrava esto. Los empleados utilizan más de 665 herramientas de IA en un entorno empresarial típico, según el análisis de Harmonic Security de 22 millones de prompts empresariales de IA (2025). Seis aplicaciones representan el 92,6% de la exposición de datos sensibles, pero bloquear las 659 restantes es operativamente inútil y destruye la productividad. El desafío de gobernanza es la visibilidad, la clasificación y el acceso controlado.

El impacto financiero: por qué Shadow AI cuesta a las empresas 670.000 $ por brecha

Según el Informe del Coste de una Brecha de Datos 2025 de IBM, las brechas que involucran altos niveles de shadow AI añaden 670.000 $ al coste medio de la brecha en comparación con aquellas con niveles bajos o sin shadow AI — un aumento del 16%, elevando el total esperado a 4,63 millones de dólares por incidente.

Dos estadísticas subyacentes explican el mecanismo:

• El 97% de las organizaciones que experimentaron un incidente de seguridad relacionado con IA carecían de controles de acceso a IA adecuados.
• El 63% de las organizaciones que sufrieron brechas no tenían políticas de gobernanza para gestionar la IA o detectar el uso no autorizado.

La cadena causal es directa. Los empleados adoptan herramientas de IA más rápido de lo que los equipos de seguridad pueden evaluarlas. Sin controles de acceso, los datos sensibles fluyen hacia modelos que TI nunca aprobó y no puede auditar. Cuando ocurre una brecha, la ausencia de registro y gobernanza extiende el tiempo de detección y contención — y en la economía de las brechas, el tiempo es el principal factor de coste.

Para los directores financieros, el cálculo es sencillo: el coste esperado de una brecha relacionada con shadow AI es de 4,63 millones de dólares. El coste de un programa de gobernanza de IA empresarial — controles de acceso, despliegue de CASB, licencias de herramientas aprobadas, gestión de credenciales — es una fracción de eso. El caso ajustado al riesgo para la inversión en gobernanza no es ambiguo.

Los equipos de seguridad también enfrentan un punto ciego de DLP (Prevención de Pérdida de Datos): la mayoría de las herramientas DLP inspeccionan transferencias de datos estructurados. Los prompts de IA conversacional son texto no estructurado. Un empleado que escribe una cadena de conexión de base de datos en una cuenta LLM de nivel gratuito no genera ninguna alerta DLP. Los datos abandonan la organización silenciosamente.

La amenaza oculta: exposición de credenciales y agentes de IA

El riesgo de shadow AI más directo y menos reportado es la exposición de credenciales. Los empleados pegan secretos en LLMs públicos constantemente porque es la forma más rápida de obtener ayuda.

Un desarrollador que depura un problema de producción pega una cadena de conexión de base de datos en ChatGPT junto con el registro de errores. Un ingeniero DevOps comparte un archivo de configuración de Kubernetes, incluidas las claves API incrustadas, con un asistente de IA para preguntar sobre un fallo de despliegue. Un analista financiero sube una hoja de proyecciones del tercer trimestre a una herramienta de resumen de IA no aprobada para preparar una reunión de la junta directiva.

Según el análisis de Harmonic Security de 22,4 millones de prompts empresariales de IA (2025), el código, los documentos legales y los datos financieros comprenden el 74,5% de los datos sensibles expuestos a herramientas de IA. El código fuente por sí solo contiene secretos incrustados (claves API hardcodeadas, tokens de acceso y credenciales de cuentas de servicio) que la mayoría de los desarrolladores tratan como detalles de configuración en lugar de material crítico para la seguridad.

La capa de riesgo agéntico añade una segunda superficie de ataque. Los agentes de IA — sistemas que utilizan permisos OAuth delegados para leer archivos, enviar correos electrónicos, consultar bases de datos y llamar a APIs externas — operan con concesiones de acceso amplias que nunca fueron diseñadas para uso autónomo. Cuando un empleado autoriza a un agente de IA de productividad a acceder a su correo electrónico corporativo y almacenamiento de archivos, ese agente puede tener permisos efectivos más amplios de lo que el rol del propio empleado justifica.

La mayoría de las organizaciones no tienen un inventario de qué agentes poseen qué concesiones OAuth, ni un proceso para revocarlas cuando un empleado se va.

El 16,9% de todas las exposiciones de datos sensibles en el conjunto de datos de Harmonic fluyeron a través de cuentas personales de nivel gratuito — donde TI no tiene visibilidad, no hay registro de auditoría y los datos pueden usarse para entrenar modelos públicos (Harmonic Security, 2025).

La combinación de exposición de credenciales y acceso agéntico crea un riesgo compuesto: un agente de IA comprometido con acceso a una bóveda de secretos no gestionados puede exfiltrar mucho más que una única clave API filtrada.

Brechas reales vinculadas a Shadow AI

Estos tres incidentes comparten un hilo común: en cada caso, un componente de IA operando dentro de un entorno de confianza accedió a muchos más datos de los que alguien había autorizado explícitamente.

Microsoft AI Research: 38 TB de datos internos expuestos

Qué ocurrió. Un equipo de investigación de IA de Microsoft publicó un conjunto de datos abierto en GitHub para entrenar modelos de reconocimiento de imágenes. Para compartir los archivos, utilizaron un token SAS de Azure — pero lo configuraron con acceso completo a toda la cuenta de almacenamiento en lugar de la carpeta objetivo. Cualquiera que siguiera el enlace del repositorio obtenía acceso sin restricciones a 38 TB de datos privados de la empresa.

Qué se filtró. Copias de seguridad de estaciones de trabajo de dos empleados, más de 30.000 mensajes internos de Microsoft Teams de 359 miembros del personal, claves privadas, contraseñas de servicios y tokens secretos. El token tenía permisos de «control total» y estaba configurado para expirar en 2051.

Por qué este es un incidente de Shadow AI. La brecha ocurrió directamente en el curso del trabajo con conjuntos de datos de IA. Los investigadores, moviéndose rápido para lanzar modelos de IA, eludieron los procedimientos estándar de revisión de acceso. Wiz Research, que descubrió la exposición, lo describió como «una nueva clase de riesgo que enfrentan las organizaciones a medida que aceleran la adopción de IA». Debido a que el token otorgaba acceso de escritura, un atacante podría haber inyectado código malicioso en modelos de IA que otros desarrolladores estaban descargando activamente.

Respuesta. Wiz divulgó el incidente públicamente en septiembre de 2023. Microsoft revocó el token y cerró el acceso. El caso se convirtió en un ejemplo de referencia en el informe del Coste de una Brecha de Datos 2025 de IBM.

Slack AI: exfiltración de datos de canales privados mediante inyección de prompts

Qué ocurrió. Investigadores de PromptArmor encontraron una vulnerabilidad crítica en Slack AI — el asistente integrado que permite a los empleados consultar todo su historial de Slack en lenguaje natural. La clase de ataque fue inyección indirecta de prompts: un actor de amenazas publica un mensaje en un canal público que contiene instrucciones ocultas para el LLM. Cuando un objetivo utiliza Slack AI para buscar información, el modelo trata las instrucciones maliciosas como legítimas y las ejecuta.

Qué estaba en riesgo. Claves API y otros secretos almacenados en canales privados a los que el atacante no tenía acceso directo. Slack AI agregaba datos tanto de canales públicos como privados al responder consultas de usuarios — ese acceso entre canales era el vector de ataque. Un segundo escenario permitía que Slack AI mostrara un enlace de phishing para capturar credenciales.

Por qué este es un incidente de Shadow AI. Slack AI es un caso de libro de texto de shadow AI incrustada: una función de IA activada dentro de una herramienta corporativa ya aprobada, sin una revisión de seguridad separada de su componente de IA. Los equipos de TI no tenían visibilidad del hecho de que el asistente podía acceder a canales privados y servir como vector de exfiltración. El 14 de agosto de 2024 (el mismo día en que se divulgó la vulnerabilidad), Slack amplió las capacidades del asistente para indexar documentos cargados y archivos de Google Drive, ampliando aún más la superficie de ataque.

Respuesta. Slack inicialmente clasificó el comportamiento como «previsto», y luego emitió un parche. La empresa declaró que «no había evidencia de acceso no autorizado a datos de clientes». El incidente fue ampliamente cubierto como el primer caso documentado de exfiltración de datos mediante inyección de prompts en un producto SaaS empresarial en producción.

Microsoft 365 Copilot: EchoLeak, exfiltración de datos sin clic

Qué ocurrió. Investigadores de Aim Security divulgaron CVE-2025-32711 (CVSS 9.3 — Crítico) en Microsoft 365 Copilot, denominado EchoLeak. Es la primera inyección de prompts sin clic documentada con exfiltración de datos confirmada en un sistema de IA en producción. El ataque no requería ninguna acción de la víctima.

Cómo funcionó. Un atacante enviaba al objetivo un correo electrónico que contenía instrucciones ocultas disfrazadas de enlaces Markdown de estilo referencia. Cuando Copilot procesaba el correo electrónico, eludía el clasificador XPIA integrado (protección contra inyección de prompts) y el mecanismo de redacción de enlaces. Copilot entonces accedía automáticamente a los archivos de la víctima en OneDrive, SharePoint y Teams, construía una URL a través de la API del Proxy de Microsoft Teams — que está en la lista de permitidos de Copilot — y enviaba los datos al servidor del atacante. Sin clics requeridos.

Qué estaba en riesgo. Cualquier archivo o conversación accesible para el usuario dentro de Microsoft 365: documentos de OneDrive, archivos de SharePoint, mensajes de Teams. Para mediados de 2024, más de 10.000 empresas ya estaban ejecutando Microsoft 365 Copilot, según Netrix Global.

Por qué este es un incidente de Shadow AI. EchoLeak representa la próxima generación de riesgo de shadow AI: un agente de IA con amplio acceso a datos corporativos, operando dentro de una herramienta autorizada, sin una revisión de seguridad adecuada de su componente de IA. El ataque no dejó rastros en los sistemas de monitorización estándar — todo el tráfico se movió a través de dominios de confianza de Microsoft.

Respuesta. Microsoft emitió un parche de emergencia en junio de 2025. El caso cambió fundamentalmente cómo la industria evalúa el riesgo de los agentes de IA con amplios permisos de acceso.

Cómo detectar y prevenir Shadow AI en la empresa

La detección y prevención requieren un enfoque estructurado. Prohibir la IA por completo no funciona — los datos de Harmonic muestran que los empleados utilizan herramientas de IA independientemente de la política, a menudo a través de dispositivos personales y cuentas que eluden completamente los controles corporativos. El objetivo es la gobernanza, no la prohibición.

El marco de gobernanza de Shadow AI en 5 pasos

1. Descubrir la exposición a IA. Despliegue monitorización de red para identificar tráfico saliente a dominios de IA conocidos. Utilice un Cloud Access Security Broker (CASB) para obtener visibilidad del uso de SaaS en dispositivos gestionados. Audite las extensiones de navegador en los endpoints corporativos — muchas herramientas de IA operan como extensiones con amplio acceso al contenido de las páginas. Construya un inventario de lo que realmente se está usando antes de escribir políticas.
2. Definir políticas de uso aceptable. Clasifique las herramientas de IA en tres niveles: aprobadas (con licencia empresarial, acuerdos de procesamiento de datos vigentes), condicionales (permitidas solo para tareas no sensibles) y prohibidas (sin controles de soberanía de datos, entrenamiento de modelos públicos). Publique la política.
3. Implementar RBAC para herramientas de IA. El control de acceso basado en roles (RBAC) se aplica al acceso a herramientas de IA de la misma manera que se aplica a cualquier otro sistema. Los desarrolladores no deberían tener acceso a herramientas de IA financieras. Los equipos de finanzas no deberían tener acceso a repositorios de código alimentados en pipelines de IA. Limite las concesiones de acceso al mínimo requerido para cada rol. Revise trimestralmente.
4. Proporcionar alternativas autorizadas. Los empleados adoptan shadow AI porque las herramientas aprobadas son lentas de adquirir o inadecuadas para la tarea. Para cada categoría de herramienta prohibida, proporcione una alternativa autorizada con capacidad equivalente. Si los desarrolladores necesitan un asistente de codificación con IA, deles uno con controles de datos empresariales. La gobernanza sin habilitación genera resentimiento y soluciones alternativas.
5. Asegurar las credenciales subyacentes. Este es el paso que la mayoría de los marcos de gobernanza omiten. Incluso con políticas y CASB implementados, los empleados que tienen acceso directo a claves API sin procesar, contraseñas de bases de datos y credenciales de cuentas de servicio pueden pegarlas en cualquier herramienta. Centralizar la gestión de secretos — para que las credenciales se almacenen, inyecten y roten programáticamente en lugar de copiarse manualmente — elimina la ruta más directa desde shadow AI hasta el compromiso de credenciales.

Cómo Passwork asegura la base contra los riesgos de Shadow AI

No se puede impedir físicamente que un empleado abra una pestaña del navegador y escriba en un LLM público. Lo que sí se puede controlar es a qué tiene acceso para pegar.

El principio fundamental: eliminar el texto plano de la ecuación

Si las claves API, las credenciales de bases de datos, los secretos de producción y las contraseñas de cuentas de servicio residen en una bóveda cifrada centralizada — accedida programáticamente en lugar de copiada manualmente — el riesgo de exposición de credenciales por shadow AI se reduce sustancialmente. El desarrollador que quiere depurar un problema de producción con un asistente de IA no puede pegar la cadena de conexión de la base de datos porque nunca la tuvo en texto plano para empezar.

Qué ofrece Passwork

Passwork está disponible tanto como despliegue autoalojado como solución alojada en la nube. Ambas comparten la misma arquitectura central: cifrado AES-256 bajo un modelo de conocimiento cero, donde las credenciales se cifran en el lado del cliente antes de abandonar el dispositivo.

Cuatro controles son los más importantes en el contexto de shadow AI:

• Control de acceso basado en roles. Los administradores limitan el acceso a la bóveda a equipos y roles específicos. Un desarrollador obtiene acceso a los secretos del entorno de desarrollo, no a los de producción. El acceso se otorga por función, no por antigüedad o conveniencia.
• Registros de auditoría. Cada evento de acceso se registra: quién recuperó qué credencial, cuándo y desde qué sistema. Si una credencial aparece en algún lugar donde no debería, tiene un rastro.
• Gestión de cuentas de servicio. El riesgo de shadow AI no se limita a humanos pegando secretos en ventanas de chat. Los agentes de IA y los pipelines automatizados se ejecutan bajo cuentas de servicio — y esas cuentas acumulan permisos con el tiempo sin que nadie los revise activamente. Passwork permite almacenar, rotar y limitar las credenciales de cuentas de servicio de la misma manera que gestiona el acceso humano: con roles explícitos, políticas de expiración y un historial de acceso completo.
• Entrega de credenciales basada en API. La REST API de Passwork permite que los pipelines y las aplicaciones recuperen secretos programáticamente en tiempo de ejecución en lugar de leerlos de archivos de entorno o repositorios de configuración. La credencial nunca toca el portapapeles del desarrollador. Va directamente desde la bóveda al proceso que la necesita — y la recuperación queda registrada.

Autoalojado vs. nube

La opción autoalojada mantiene todos los datos dentro de la propia infraestructura de la organización — la elección correcta para equipos con requisitos estrictos de residencia de datos o entornos regulados. La opción en la nube elimina la carga operativa de ejecutar su propia instancia mientras preserva las mismas garantías de cifrado y controles de acceso. Ninguna opción envía credenciales en texto plano a los servidores de Passwork.

Cómo Passwork aborda los riesgos de Shadow AI

Conclusión

El sobrecoste de 670.000 $ por brecha debido a shadow AI es el coste de usar IA sin gobernanza. Las organizaciones que pagan ese sobrecoste no son casos atípicos. Son el 63% que no tenía políticas de gobernanza de IA y el 97% que carecía de controles de acceso adecuados cuando ocurrió un incidente.

La gobernanza comienza en la capa de credenciales. Un empleado que no puede acceder a secretos de producción sin procesar no puede exponerlos accidentalmente — independientemente de qué herramienta de IA abra. Ese es el punto de control que la mayoría de los marcos de shadow AI omiten, y el que ofrece la reducción de riesgo más inmediata.

Audite a qué credenciales pueden acceder sus equipos en texto plano hoy. Esa lista es su superficie de exposición a shadow AI.

Preguntas frecuentes: Shadow AI en la empresa

¿Cómo se detecta Shadow AI?

Las organizaciones pueden detectar shadow AI monitorizando los registros de red en busca de tráfico saliente inusual hacia dominios de IA, desplegando un Cloud Access Security Broker (CASB) para auditar el uso de SaaS en dispositivos gestionados y revisando las extensiones de navegador en los endpoints corporativos. Las herramientas DLP de endpoint pueden marcar grandes transferencias de texto a servicios de IA conocidos, aunque las cuentas personales de nivel gratuito siguen siendo un punto ciego persistente.

¿Cuál es un ejemplo de Shadow AI?

Un ejemplo común es un desarrollador que pega código fuente propietario en una cuenta personal de ChatGPT para depurar un problema de producción — exponiendo claves API hardcodeadas y arquitectura interna en el proceso. Otro es un equipo de marketing que sube datos confidenciales de clientes a una herramienta de resumen de IA no aprobada, o un analista financiero que comparte proyecciones del tercer trimestre con un asistente de IA de nivel gratuito para preparar materiales para la junta directiva.

¿Por qué Shadow AI es más peligrosa que Shadow IT?

Shadow IT crea problemas de residencia de datos — los datos residen en algún lugar que TI no controla. Shadow AI procesa datos: razona sobre ellos, genera resultados a partir de ellos y, en despliegues agénticos, actúa sobre ellos de forma autónoma. La exposición a través de shadow AI es a menudo irreversible, especialmente cuando los datos fluyen a través de cuentas de nivel gratuito donde pueden usarse para entrenar modelos públicos.

¿Qué credenciales corren más riesgo por Shadow AI?

Las claves API, las cadenas de conexión de bases de datos, los tokens OAuth y las contraseñas de cuentas de servicio son las credenciales de mayor riesgo. Estos son los secretos que los desarrolladores e ingenieros DevOps tienen más probabilidades de incluir en prompts de IA cuando depuran o piden ayuda con configuraciones. Los secretos hardcodeados en el código fuente están particularmente expuestos, ya que el código es la categoría más grande de datos sensibles compartidos con herramientas de IA (Harmonic Security, 2025).

¿Prohibir las herramientas de IA previene Shadow AI?

No. El análisis de Harmonic Security de 22,4 millones de prompts empresariales encontró que los empleados de más del 90% de las organizaciones utilizan activamente herramientas de IA, principalmente a través de cuentas personales que TI nunca aprobó. Las prohibiciones generales empujan el uso hacia dispositivos y cuentas personales con aún menos visibilidad. Una gobernanza efectiva combina alternativas aprobadas, políticas claras de uso aceptable y controles técnicos en la capa de acceso.

Gestión de contraseñas para equipos: la solución que toda pyme necesita

Almacenar contraseñas en Slack y navegadores expone su negocio a brechas. Descubra por qué las herramientas personales fallan para los equipos, cómo dar de baja de forma segura a empleados que se van con un solo clic, y por qué las últimas directrices del NIST recomiendan no forzar la rotación de contraseñas.

Passwork BlogAlex Muntyan

VaultJacking: cómo un único PIN puede exponer una bóveda de Google Password Manager

VaultJacking ataca el PIN de Google Password Manager para desbloquear toda su bóveda. Un único PIN capturado expone todas las contraseñas y passkeys guardadas. Descubra cómo funciona el ataque, quién está en riesgo y qué hacer si ha sido víctima de phishing.

Passwork BlogAlex Muntyan

Baja de empleados: guía de revocación segura de accesos 2026

Deshabilitar una cuenta SSO no revoca el acceso. Las claves API, las credenciales de agentes de IA y las contraseñas compartidas sobreviven. Esta guía cubre el manual completo de baja — desde los disparadores de hora cero hasta la limpieza de NHI.

Passwork BlogAlex Muntyan

Shadow AI is the unsanctioned use of AI tools, models, and agents by employees without IT knowledge or approval. The practice is widespread and largely invisible to security teams — which is exactly what makes it expensive.

According to IBM's 2025 report, organizations with high levels of shadow AI pay $670,000 more per breach than those with low or no shadow AI, bringing the expected total to $4.63M. That gap reflects unmonitored data flows, ungoverned model access, and credentials passed to third-party AI services outside any security perimeter.

The scale is harder to dismiss than most security teams expect. Developers, finance staff, HR, and operations are all adopting AI tools on their own terms. This article breaks down what shadow AI actually looks like in enterprise environments, why it creates security and compliance exposure, and what IT teams can do to get ahead of it.

What is Shadow AI?

Shadow AI is any AI tool, model, plugin, or agent used within an organization without explicit IT or security approval. It sits at the intersection of Shadow IT and generative AI, inheriting the governance blind spots of the former and adding the data-processing risks of the latter. According to Varonis data, 98% of organizations have employees using unsanctioned apps, including shadow AI.

The scope is wider than most security teams assume.

AI agents represent a qualitative shift in risk. A spreadsheet stored in an unapproved cloud drive is a data exposure problem. An AI agent with delegated access to your email, calendar, and file system is an access governance problem.

Shadow IT vs. Shadow AI: Understanding the risk multiplier

Shadow IT and Shadow AI both involve employees using tools outside IT's visibility. The risk profile is fundamentally different.

Shadow IT (unauthorized SaaS, personal cloud storage, unmanaged devices) primarily creates data residency and compliance problems. Data sits somewhere IT doesn't control. The exposure is largely static.

Shadow AI processes data. It reasons over it, summarizes it, generates outputs from it, and in the case of agentic systems, acts on it. The exposure is dynamic and often irreversible.

The SaaS sprawl problem compounds this. Employees use 665+ AI tools across a typical enterprise environment, according to Harmonic Security's analysis of 22 million enterprise AI prompts (2025). Six applications account for 92.6% of sensitive data exposure but blocking the remaining 659 is operationally futile and destroys productivity. The governance challenge is visibility, classification, and controlled access.

The financial impact: Why Shadow AI costs enterprises $670K per breach

According to IBM's 2025 Cost of a Data Breach Report, breaches involving high levels of shadow AI add $670,000 to the average breach cost compared to those with low or no shadow AI — a 16% increase, bringing the expected total to $4.63M per incident.

Two underlying statistics explain the mechanism:

• 97% of organizations that experienced an AI-related security incident lacked proper AI access controls.
• 63% of breached organizations had no governance policies for managing AI or detecting unauthorized use.

The causal chain is direct. Employees adopt AI tools faster than security teams can evaluate them. Without access controls, sensitive data flows into models that IT never approved and cannot audit. When a breach occurs, the absence of logging and governance extends detection and containment time — and in breach economics, time is the primary cost driver.

For CFOs, the calculation is straightforward: the expected cost of a shadow AI-related breach is $4.63M. The cost of an enterprise AI governance program — access controls, CASB deployment, approved tool licensing, credential management — is a fraction of that. The risk-adjusted case for governance investment is not ambiguous.

Security teams also face a DLP (Data Loss Prevention) blind spot: most DLP tools inspect structured data transfers. Conversational AI prompts are unstructured text. An employee typing a database connection string into a free-tier LLM account generates no DLP alert. The data leaves the organization silently.

The hidden threat: Credential exposure and AI agents

The most direct and underreported shadow AI risk is credential exposure. Employees paste secrets into public LLMs constantly because it's the fastest path to getting help.

A developer debugging a production issue pastes a database connection string into ChatGPT along with the error log. A DevOps engineer shares a Kubernetes config file, including embedded API keys, with an AI assistant to ask about a deployment failure. A finance analyst uploads a Q3 projection spreadsheet to an unapproved AI summarization tool to prepare for a board meeting.

According to Harmonic Security's analysis of 22.4 million enterprise AI prompts (2025), code, legal documents, and financial data comprise 74.5% of sensitive data exposed to AI tools. Source code alone carries embedded secrets (hardcoded API keys, access tokens, and service account credentials) that most developers treat as configuration details rather than security-critical material.

The agentic risk layer adds a second attack surface. AI agents — systems that use delegated OAuth permissions to read files, send emails, query databases, and call external APIs — operate with broad access grants that were never designed for autonomous use. When an employee authorizes a productivity AI agent to access their corporate email and file storage, that agent may have broader effective permissions than the employee's own role warrants.

Most organizations have no inventory of which agents hold which OAuth grants, and no process for revoking them when an employee leaves.

16.9% of all sensitive data exposures in Harmonic's dataset flowed through personal free-tier accounts — where IT has zero visibility, no audit trail, and data may be used to train public models (Harmonic Security, 2025).

The combination of credential exposure and agentic access creates a compounding risk: a compromised AI agent with access to a vault of unmanaged secrets can exfiltrate far more than a single leaked API key.

Real breaches tied to Shadow AI

These three incidents share a common thread: in each case, an AI component operating inside a trusted environment accessed far more data than anyone had explicitly authorized.

Microsoft AI Research: 38 TB of internal data exposed

What happened. A Microsoft AI research team published an open dataset on GitHub for training image recognition models. To share the files, they used an Azure SAS token — but configured it with full access to the entire Storage Account instead of the target folder. Anyone following the repository link got unrestricted access to 38 TB of private company data.

What leaked. Workstation backups from two employees, over 30,000 internal Microsoft Teams messages from 359 staff members, private keys, service passwords, and secret tokens. The token carried "full control" permissions and was set to expire in 2051.

Why this is a Shadow AI incident. The breach happened directly in the course of AI dataset work. Researchers, moving fast to ship AI models, bypassed standard access review procedures. Wiz Research, which discovered the exposure, described it as "a new class of risk organizations face as they accelerate AI adoption." Because the token granted write access, an attacker could have injected malicious code into AI models that other developers were actively downloading.

Response. Wiz disclosed the incident publicly in September 2023. Microsoft revoked the token and closed access. The case became a reference example in IBM's Cost of a Data Breach 2025 report.

Slack AI: Data exfiltration from private channels via prompt injection

What happened. Researchers at PromptArmor found a critical vulnerability in Slack AI — the built-in assistant that lets employees query their entire Slack history in natural language. The attack class was indirect prompt injection: a threat actor posts a message in a public channel containing hidden instructions for the LLM. When a target uses Slack AI to search for information, the model treats the malicious instructions as legitimate and executes them.

What was at risk. API keys and other secrets stored in private channels the attacker had no direct access to. Slack AI aggregated data from both public and private channels when answering user queries — that cross-channel access was the attack vector. A second scenario allowed Slack AI to render a phishing link to capture credentials.

Why this is a Shadow AI incident. Slack AI is a textbook embedded shadow AI case: an AI feature activated inside an already-approved corporate tool, with no separate security review of its AI component. IT teams had no visibility into the fact that the assistant could reach private channels and serve as an exfiltration vector. On August 14, 2024 (the same day the vulnerability was disclosed) Slack expanded the assistant's capabilities to index uploaded documents and Google Drive files, widening the attack surface further.

Response. Slack initially classified the behavior as "intended," then issued a patch. The company stated there was "no evidence of unauthorized customer data access." The incident was widely covered as the first documented case of data exfiltration via prompt injection in a production enterprise SaaS product.

Microsoft 365 Copilot: EchoLeak, zero-click data exfiltration

What happened. Researchers at Aim Security disclosed CVE-2025-32711 (CVSS 9.3 — Critical) in Microsoft 365 Copilot, named EchoLeak. It is the first documented zero-click prompt injection with confirmed data exfiltration in a production AI system. The attack required no action from the victim.

How it worked. An attacker sent the target an email containing hidden instructions disguised as reference-style Markdown links. When Copilot processed the email, it bypassed the built-in XPIA classifier (prompt injection protection) and the link-redaction mechanism. Copilot then automatically accessed the victim's files in OneDrive, SharePoint, and Teams, constructed a URL through the Microsoft Teams Proxy API — which sits on Copilot's allowlist — and sent the data to the attacker's server. No clicks required.

What was at risk. Any file or conversation accessible to the user within Microsoft 365: OneDrive documents, SharePoint files, Teams messages. By mid-2024, more than 10,000 companies were already running Microsoft 365 Copilot, according to Netrix Global.

Why this is a Shadow AI incident. EchoLeak represents the next generation of shadow AI risk: an AI agent with broad access to corporate data, operating inside a sanctioned tool, with no adequate security review of its AI component. The attack left no traces in standard monitoring systems — all traffic moved through trusted Microsoft domains.

Response. Microsoft issued an emergency patch in June 2025. The case fundamentally changed how the industry assesses risk for AI agents with wide access permissions.

How to detect and prevent Shadow AI in the enterprise

Detection and prevention require a structured approach. Banning AI entirely does not work — Harmonic's data shows employees use AI tools regardless of policy, often through personal devices and accounts that bypass corporate controls entirely. The goal is governance, not prohibition.

The 5-step Shadow AI governance framework

1. Discover AI exposure. Deploy network monitoring to identify outbound traffic to known AI domains. Use a Cloud Access Security Broker (CASB) to gain visibility into SaaS usage across managed devices. Audit browser extensions on corporate endpoints — many AI tools operate as extensions with broad page-content access. Build an inventory of what's actually in use before writing policy.
2. Define acceptable use policies. Classify AI tools into three tiers: approved (enterprise-licensed, data processing agreements in place), conditional (permitted for non-sensitive tasks only), and prohibited (no data sovereignty controls, public model training). Publish the policy.
3. Implement RBAC for AI tools. Role-based access control (RBAC) applies to AI tool access the same way it applies to any other system. Developers should not have access to financial AI tools. Finance teams should not have access to code repositories fed into AI pipelines. Scope access grants to the minimum required for each role. Review quarterly.
4. Provide sanctioned alternatives. Employees adopt shadow AI because approved tools are slow to procure or inadequate for the task. For every prohibited tool category, provide a sanctioned alternative with equivalent capability. If developers need an AI coding assistant, give them one with enterprise data controls. Governance without enablement creates resentment and workarounds.
5. Secure the underlying credentials. This is the step most governance frameworks skip. Even with policies and CASB in place, employees who have direct access to raw API keys, database passwords, and service account credentials can paste them into any tool. Centralizing secrets management — so that credentials are stored, injected, and rotated programmatically rather than copied manually — removes the most direct path from shadow AI to credential compromise.

How Passwork secures the foundation against Shadow AI risks

You cannot physically prevent an employee from opening a browser tab and typing into a public LLM. What you can control is what they have access to paste.

The core principle: remove plaintext from the equation

If API keys, database credentials, production secrets, and service account passwords live in a centralized encrypted vault — accessed programmatically rather than copied manually — the credential exposure risk from shadow AI drops substantially. The developer who wants to debug a production issue with an AI assistant cannot paste the database connection string because they never had it in plaintext to begin with.

What Passwork provides

Passwork is available as both a self-hosted deployment and a cloud-hosted solution. Both share the same core architecture: AES-256 encryption under a zero-knowledge model, where credentials are encrypted client-side before leaving the device.

Four controls matter most in the shadow AI context:

• Role-based access control. Administrators scope vault access to specific teams and roles. A developer gets access to development environment secrets, not production. Access is granted by function, not by seniority or convenience.
• Audit logs. Every access event is recorded: who retrieved which credential, when, and from which system. If a credential surfaces somewhere it shouldn't, you have a trail.
• Service account management. Shadow AI risk isn't limited to humans pasting secrets into chat windows. AI agents and automated pipelines run under service accounts — and those accounts accumulate permissions over time with no one actively reviewing them. Passwork lets you store, rotate, and scope service account credentials the same way you manage human access: with explicit roles, expiry policies, and a full access history.
• API-first credential delivery. Passwork's REST API lets pipelines and applications retrieve secrets programmatically at runtime instead of reading them from environment files or config repositories. The credential never touches a developer's clipboard. It goes directly from the vault to the process that needs it — and the retrieval is logged.

Self-hosted vs. cloud

The self-hosted option keeps all data within the organization's own infrastructure — the right choice for teams with strict data residency requirements or regulated environments. The cloud option removes the operational overhead of running your own instance while preserving the same encryption guarantees and access controls. Neither option sends plaintext credentials to Passwork's servers.

How Passwork addresses Shadow AI risks

Conclusion

The $670K breach cost premium for shadow AI is the cost of using AI without governance. The organizations paying that premium are not outliers. They are the 63% that had no AI governance policies and the 97% that lacked proper access controls when an incident occurred.

Governance starts at the credential layer. An employee who cannot access raw production secrets cannot accidentally expose them — regardless of which AI tool they open. That is the control point that most shadow AI frameworks miss, and the one that delivers the most immediate risk reduction.

Audit which credentials your teams can access in plaintext today. That list is your shadow AI exposure surface.

FAQ: Shadow AI in the enterprise

How do you detect Shadow AI?

Organizations can detect shadow AI by monitoring network logs for unusual outbound traffic to AI domains, deploying a Cloud Access Security Broker (CASB) to audit SaaS usage across managed devices, and reviewing browser extensions on corporate endpoints. Endpoint DLP tools can flag large text transfers to known AI services, though free-tier personal accounts remain a persistent blind spot.

What is an example of Shadow AI?

A common example is a developer pasting proprietary source code into a personal ChatGPT account to debug a production issue — exposing hardcoded API keys and internal architecture in the process. Another is a marketing team uploading confidential customer data to an unapproved AI summarization tool, or a finance analyst sharing Q3 projections with a free-tier AI assistant to prepare board materials.

Why is Shadow AI more dangerous than Shadow IT?

Shadow IT creates data residency problems — data sits somewhere IT doesn't control. Shadow AI processes data: it reasons over it, generates outputs from it, and in agentic deployments, acts on it autonomously. Exposure through shadow AI is often irreversible, especially when data flows through free-tier accounts where it may be used to train public models.

What credentials are most at risk from Shadow AI?

API keys, database connection strings, OAuth tokens, and service account passwords are the highest-risk credentials. These are the secrets developers and DevOps engineers are most likely to include in AI prompts when debugging or asking for configuration help. Hardcoded secrets in source code are particularly exposed, since code is the single largest category of sensitive data shared with AI tools (Harmonic Security, 2025).

Does banning AI tools prevent Shadow AI?

No. Harmonic Security's analysis of 22.4 million enterprise prompts found that employees at over 90% of organizations actively use AI tools, mostly through personal accounts that IT never approved. Blanket bans push usage to personal devices and accounts with even less visibility. Effective governance combines approved alternatives, clear acceptable-use policies, and technical controls at the access layer.

Password management for teams: The fix every SMB needs

Storing passwords in Slack and browsers exposes your business to breaches. Discover why personal tools fail teams, how to securely offboard departing employees in one click, and why the latest NIST guidelines recommend against forced password rotation.

Passwork BlogAlex Muntyan

VaultJacking: How one PIN can expose a Google password manager vault

VaultJacking targets the Google Password Manager PIN to unlock your entire vault. One captured PIN exposes every saved password and passkey. Learn how the attack works, who’s at risk, and what to do if you’ve been phished.

Passwork BlogAlex Muntyan

Employee offboarding: Secure access revocation guide 2026

Disabling an SSO account doesn’t revoke access. API keys, AI agent credentials, and shared passwords survive it. This guide covers the full offboarding playbook — from zero-hour triggers to NHI cleanup.

Passwork BlogAlex Muntyan

Stellen Sie sich einen Montagmorgen vor. Jemand aus dem Marketing-Team muss etwas auf Instagram posten. Die Person, die das Passwort kennt, ist krank. Jemand fragt in Slack nach. Jemand anderes fügt es ein. Jetzt befindet sich dieses Passwort in einem Chat-Verlauf, auf einem privaten Smartphone und möglicherweise auf einem Laptop, der das Unternehmen vor sechs Monaten verlassen hat.

Die Absicherung dieses Workflows erfordert keine komplexe IT-Initiative oder monatelange Planung. Diese Schwachstellen können an einem einzigen Nachmittag beseitigt werden.

Ein Team-Passwortmanager (ein gemeinsamer, verschlüsselter Tresor) ermöglicht es Ihrem Team, Zugangsdaten zu speichern und abzurufen, ohne sie jemals per E-Mail oder Slack zu versenden. Er bietet präzise Kontrolle darüber, wer welche Passwörter sieht, und ermöglicht es, den Zugriff sofort zu widerrufen, wenn ein Mitarbeiter das Unternehmen verlässt. Die meisten Teams richten das System innerhalb weniger Stunden ein.

Wichtige Erkenntnisse

• Die Wurzel des Passwort-Chaos: Die meisten Zugangsdaten kleiner Unternehmen sammeln sich in Slack-Kanälen, Tabellenkalkulationen und persönlichen Browsern an, weil Teams kein zentrales System haben — das schafft einfache Einstiegspunkte für Angreifer.
• Die Browser-Einschränkung: Im Browser gespeicherte Passwörter gehören zu einzelnen Accounts und bieten keine sichere Freigabe, keine rollenbasierte Zugriffskontrolle und keine Audit-Protokolle — das macht sie ungeeignet für Team-Umgebungen.
• Der blinde Fleck beim Offboarding: Das Deaktivieren der E-Mail eines ausscheidenden Mitarbeiters lässt Zugang zu Anbieterportalen, Social-Media-Konten und gemeinsamen Postfächern bestehen. Diese unkontrollierten Zugangsdaten bleiben monatelang aktiv, wenn sie nicht systematisch erfasst und rotiert werden.
• Moderne Passwort-Standards: Die neuesten NIST-Richtlinien empfehlen, auf erzwungene 90-Tage-Passwortänderungen zu verzichten. Obligatorische Rotationen führen zu vorhersehbaren Mustern und schwächen dadurch aktiv die Sicherheit.
• Einrichtung an einem Nachmittag: Der Umstieg auf einen dedizierten Team-Passwortmanager dauert nur wenige Stunden. Für Organisationen mit strengen Anforderungen an die Datenresidenz hält die Self-Hosted-Bereitstellung alle Zugangsdaten vollständig innerhalb der eigenen Infrastruktur.

Wo die Passwörter Ihres Teams gerade wirklich gespeichert sind

In den meisten kleinen Unternehmen landen Passwörter verstreut in Slack-Nachrichten, gemeinsamen Tabellenkalkulationen, persönlichen Browser-Accounts und auf Haftnotizen — nicht weil die Leute nachlässig sind, sondern weil nie ein dediziertes System eingerichtet wurde. Laut dem 2025 Verizon Data Breach Investigations Report beginnen 22 % aller bestätigten Datenschutzverletzungen mit gestohlenen oder kompromittierten Zugangsdaten, und 88 % der Angriffe auf einfache Webanwendungen beinhalten gestohlene Logins.

Hier landen Passwörter typischerweise:

• Eine Slack-DM oder ein Gruppenchat — durchsuchbar für jeden im Workspace
• Eine Tabelle namens passwords_final_v3.xlsx auf einem gemeinsamen Laufwerk
• Der persönliche Browser von jemandem, verknüpft mit dessen privatem Google-Account
• Eine gemeinsame Notizen-App, auf die drei Personen Zugriff haben und die niemand verwaltet
• Der persönliche Passwortmanager-Account von jemandem, über den das Unternehmen keine Kontrolle hat

Das sammelt sich Stück für Stück an — ein gemeinsames Login nach dem anderen. Niemand hat beschlossen, Passwörter in Slack zu speichern. Es passierte einfach, weil es nie eine bessere Option gab. Angreifer gehen zur einfachsten Tür. Ein in einen Chat-Kanal eingefügtes Passwort ist eine sehr einfache Tür.

Warum das Speichern von Passwörtern im Browser für ein Team nicht ausreicht

Im Browser gespeicherte Passwörter funktionieren gut für eine einzelne Person, die ihre eigenen Accounts verwaltet. Für ein Team bricht das Modell zusammen, sobald jemand Zugriff teilen muss, das Unternehmen verlässt oder ein Projekt übergibt — denn Browser-Passwörter sind an den Account einer Person gebunden und wurden nie dafür konzipiert, geteilt oder gruppenübergreifend verwaltet zu werden.

Das Kernproblem: Im Browser gespeicherte Passwörter gehören zum Gerät und Account einer einzelnen Person. Wenn diese Person geht, gehen diese Passwörter entweder mit ihr oder bleiben in einem Account gesperrt, über den das Unternehmen keine Kontrolle mehr hat. Es gibt ein noch größeres Risiko: Alle im Browser gespeicherten Passwörter werden zusammen gespeichert, sodass ein kompromittiertes Gerät oder Account bedeutet, dass alles durchsickert — nicht nur ein Passwort.

Teilen ist die andere Lücke. Es gibt keine Möglichkeit, einem Teammitglied Zugriff auf ein im Browser gespeichertes Passwort zu geben, ohne es abzutippen, einen Screenshot zu machen oder es in einen Messenger einzufügen. Laut der 2025-Analyse von Heimdal Security wurden 94 % der geleakten Passwörter wiederverwendet oder über mehrere Accounts hinweg dupliziert — genau das Muster, das informelles Teilen fördert.

Es gibt auch keine Audit-Protokolle. Keine Aufzeichnung darüber, wer sich freitagabends um 23 Uhr in das E-Mail-Marketing-Tool eingeloggt hat. Keine Möglichkeit, den Zugriff auf ein bestimmtes Konto zu widerrufen, ohne das Passwort überall zu ändern und allen das neue mitzuteilen — was den ganzen Kreislauf von vorne beginnt.

Der Browser ist ein persönliches Werkzeug, das für den Team-Einsatz zweckentfremdet wird. Er wurde nie dafür gebaut.

Das Problem, über das niemand spricht — wenn ein Mitarbeiter geht

Die meisten Unternehmen handhaben das Offboarding, indem sie die E-Mail deaktivieren, den Laptop einsammeln und die Person aus Slack entfernen. Das deckt nur einen Bruchteil des eigentlichen Zugriffsproblems ab. Die Passwörter, die diese Person kannte (für gemeinsam genutzte Tools, Anbieterportale, Social-Media-Accounts und das Büro-WLAN), stehen fast nie auf der Checkliste. Und dieser Zugriff wird selten schnell erkannt — laut IBMs Cost of a Data Breach Report 2025 dauert es bei Zugangsdaten-basierten Datenschutzverletzungen durchschnittlich 246 Tage, bis sie identifiziert und eingedämmt werden. Das sind 8 Monate offener Zugriff, bevor irgendjemand bemerkt, dass etwas nicht stimmt.

Denken Sie an einen Kundensupport-Manager, der seit zwei Jahren im Unternehmen ist. Diese Person kannte das Passwort für die Helpdesk-Software, das gemeinsame Support-Postfach, den Social-Media-Planer, den Canva-Account des Unternehmens und das WLAN. Nichts davon wird durch „Google-Workspace-Account deaktivieren" abgedeckt. SSO — der „Mit Google anmelden"-Button — deckt nur Apps ab, die mit Ihrem Identity Provider verbunden sind. Die meisten Tools, die ein typisches kleines Unternehmen nutzt, sind das nicht.

Das 3-Fragen-Offboarding-Audit

Wenn jemand geht, stellen Sie diese drei Fragen vor dem letzten Arbeitstag:

• Auf welche gemeinsam genutzten Accounts hatte die Person Zugriff? Denken Sie über E-Mail hinaus — Software-Abonnements, Social Media, Anbieterportale, gemeinsame Postfächer, WLAN.
• Welche dieser Passwörter müssen geändert werden? Jeder Account, auf den regelmäßig zugegriffen wurde und der nicht durch SSO abgedeckt ist.
• Wer ist für die Änderung verantwortlich? Benennen Sie eine konkrete Person. „Jemand aus der IT" ist keine Antwort, wenn Sie keine IT-Abteilung haben.

Dieses Audit dauert beim ersten Mal 15 Minuten — aber es funktioniert nur, wenn bereits bekannt ist, welche Accounts existieren und wer darauf Zugriff hatte. Ohne dieses Inventar werden aus den 15 Minuten ein Gespräch, das mit „Ich glaube, die hatten Zugriff darauf, bin mir nicht sicher" endet. Ohne Passwortmanager ist Frage drei eine Verhandlung — wer hat Zeit, wer weiß welche Accounts existieren, wer wird das wirklich durchziehen. Mit einem ist es eine Checkliste: Das Security Dashboard öffnen, jede Zugangsdaten sehen, die diese Person berührt hat, genau diese rotieren.

Was ein Team-Passwortmanager tatsächlich leistet

Ein Team-Passwortmanager ist ein gemeinsamer, verschlüsselter Tresor, in dem alle auf die Passwörter zugreifen, die sie brauchen — und nur auf diese. Er ersetzt verstreute Zugangsdaten durch ein kontrolliertes System. Die meisten Teams sind innerhalb eines Nachmittags vollständig eingerichtet.

Worauf bei der Auswahl zu achten ist:

• Rollenbasierte Zugriffskontrolle (RBAC). Das Marketing-Team sieht die Social-Media-Passwörter. Finance sieht die Logins für die Buchhaltungssoftware. Der CEO sieht alles. Wenn jemand neu anfängt, wird die Person zum Tresor ihres Teams hinzugefügt und hat sofort Zugriff. Beim Ausscheiden wird der Zugriff in einem Schritt widerrufen — und das Security Dashboard von Passwork zeigt sofort jedes Passwort, auf das Zugriff bestand, sodass genau diese Zugangsdaten rotiert werden können. Kein Rätselraten, kein manuelles Audit darüber, wer was hatte.
• Zero-Knowledge-Verschlüsselung bedeutet, dass Passwörter auf Ihrem Gerät verschlüsselt werden, bevor sie den Server erreichen. Der Server speichert Chiffretext, keine Zugangsdaten — sodass weder die Hosting-Infrastruktur noch der Systemadministrator lesen kann, was drin ist. Zugriff auf den Server bedeutet nicht Zugriff auf die Passwörter.
• Audit-Protokolle. Jede Anmeldung, jede Passwort-Ansicht, jede Änderung wird protokolliert. Wenn etwas schiefgeht, wissen Sie genau, wer wann auf was zugegriffen hat — keine grobe Schätzung.
• Einfaches Onboarding. Ein Tool, das niemand nutzt, ist kein Sicherheitstool. Achten Sie auf einen Einrichtungsprozess, der kein dediziertes IT-Projekt erfordert: Import aus CSV, Browser-Erweiterung, klare Ordnerstruktur vom ersten Tag an.
• Eine Benutzeroberfläche, die Ihr Team tatsächlich nutzen wird. Reibung ist der Feind der Akzeptanz. Wenn das Finden eines Passworts mehr als drei Klicks erfordert, gehen die Leute zurück zu Slack.
• Zwei-Faktor-Authentifizierung. Eine zweite Bestätigung bei der Anmeldung bedeutet, dass ein gestohlenes Masterpasswort allein nicht ausreicht, um reinzukommen. Nicht verhandelbar für jeden Business-Account.

Für Unternehmen mit strengen Datenanforderungen (Gesundheitswesen, Finanzen, Recht) können einige Tools auf den eigenen Servern gehostet werden statt in einer Drittanbieter-Cloud. Passwork ist speziell für Self-Hosted-Bereitstellung konzipiert und hält alle Zugangsdaten innerhalb der eigenen Infrastruktur. Teams, die sehen möchten, wie Passwortsicherheit weniger lästig gestaltet werden kann, werden feststellen, dass das Modell unkompliziert zu übernehmen ist.

Die neuen Passwort-Regeln: Was die neuesten NIST-Richtlinien wirklich sagen

Das U.S. National Institute of Standards and Technology (NIST) hat seine Passwort-Richtlinien 2025 aktualisiert, und die Haupterkenntnis ist kontraintuitiv: Erzwungene Passwortrotation — Mitarbeiter dazu zu zwingen, ihr Passwort alle 60 oder 90 Tage zu ändern — verschlechtert die Sicherheit. NIST SP 800-63B empfiehlt jetzt ausdrücklich, auf obligatorische periodische Zurücksetzungen zu verzichten, es sei denn, es gibt Hinweise auf eine Kompromittierung.

Der Grund ist vorhersehbares menschliches Verhalten. Wenn Menschen gezwungen werden, Passwörter ständig zu ändern, nehmen sie die kleinstmögliche Änderung vor: Summer2024! wird zu Summer2025!. Die Struktur bleibt gleich, das Muster ist offensichtlich, und das Ergebnis ist nicht sicherer als vorher — nur nerviger.

Was NIST stattdessen empfiehlt:

• Längere Passwörter — eine Passphrase wie correct-horse-battery-staple ist stärker als P@$$w0rd1 und viel leichter zu merken
• Keine erzwungene Rotation, es sei denn, es gibt Hinweise auf eine Verletzung oder Kompromittierung
• Prüfung neuer Passwörter gegen bekannte Breach-Datenbanken, sodass bereits geleakte Zugangsdaten bei der Erstellung abgelehnt werden

Wenn Ihre Unternehmensrichtlinie immer noch 90-Tage-Zurücksetzungen vorschreibt, lohnt es sich, das zu überdenken. Ein guter Team-Passwortmanager übernimmt die schwierigen Teile automatisch — er generiert starke, einzigartige Passwörter für jeden Account und markiert alle, die in bekannten Breach-Datenbanken aufgetaucht sind.

So richten Sie die Passwortverwaltung für Ihr Team ein — ein praktischer Startpunkt

Die Einrichtung eines Team-Passwortmanagers erfordert keine technische Expertise oder eine dedizierte IT-Person. Diese fünf Schritte bringen die Passwörter Ihres Teams aus Slack und Tabellenkalkulationen in einen gemeinsamen, verschlüsselten Tresor — die meisten Teams schließen den Prozess an einem einzigen Nachmittag ab.

Die 5-Schritte-Team-Tresor-Einrichtung

1. Inventur des Bestands. Verbringen Sie 30 Minuten damit, jeden gemeinsam genutzten Account aufzulisten, den Ihr Team verwendet — Software-Abonnements, Social-Media-Profile, Anbieterportale, gemeinsame Postfächer, WLAN-Passwörter. Versuchen Sie nicht, vollständig zu sein. Erfassen Sie zuerst die offensichtlichen; der Rest taucht im Laufe der Zeit auf.
2. Wählen Sie ein Tool, das zu Ihrem Team passt. Für die meisten kleinen Unternehmen funktioniert ein Cloud-basierter Team-Tresor gut und erfordert keine technische Einrichtung. Wenn Ihr Unternehmen sensible Kundendaten verarbeitet und alles intern gespeichert werden muss, suchen Sie nach Tools, die Self-Hosted-Bereitstellung anbieten — das bedeutet, die Software läuft auf Ihren eigenen Servern, nicht in der Cloud des Anbieters. In jedem Fall sollten Sie Tools priorisieren, die Zero-Knowledge-Verschlüsselung und Zwei-Faktor-Authentifizierung bieten.
3. Richten Sie Passwort-Tresore nach Team oder Funktion ein. Marketing bekommt die Marketing-Passwörter. Finance bekommt die Finance-Passwörter. Halten Sie die Struktur einfach — weitere Tresore können später hinzugefügt werden. Komplexität bei der Einrichtung ist der Hauptgrund, warum Teams das Tool in der zweiten Woche aufgeben.
4. Migrieren Sie zuerst ein Team. Versuchen Sie nicht, das gesamte Unternehmen auf einmal umzustellen. Beginnen Sie mit einer Abteilung, gewöhnen Sie sie an den Workflow und erweitern Sie dann. Ein reibungsloser Rollout mit fünf Personen ist besser als ein chaotischer mit fünfzig.
5. Aktualisieren Sie Ihre Offboarding-Checkliste. Fügen Sie eine Zeile hinzu: „Aus dem Passwort-Tresor entfernen." Das ist die ganze Änderung. Das System erledigt den Rest.

So handhabt Passwork das in der Praxis

Passwork ist ein Passwort- und Secrets-Manager, der für Business-Teams entwickelt wurde. Er bietet IT-Administratoren einen zentralen Ort, um Zugangsdaten zu speichern, zu teilen und den Zugriff zu kontrollieren — ohne auf Browser-Tresore, gemeinsame Tabellenkalkulationen oder Messenger-Threads angewiesen zu sein.

Das wird direkt abgedeckt:

• Gemeinsamer Tresor mit strukturiertem Zugriff. Passwörter sind in Ordnern nach Team oder Funktion organisiert. Marketing sieht, was Marketing braucht. DevOps sieht, was DevOps braucht. Niemand sieht mehr als seine Rolle erfordert.
• Rollenbasierte Zugriffskontrolle. Berechtigungen werden Rollen zugewiesen, nicht Einzelpersonen. Das Hinzufügen eines neuen Mitarbeiters zur richtigen Rolle gibt ihm sofortigen Zugriff auf die benötigten Zugangsdaten. Das Entfernen eines ausscheidenden Mitarbeiters widerruft ihn sofort über alle gemeinsamen Ordner hinweg.
• Security Dashboard fürs Offboarding. Wenn jemand geht, zeigt das Dashboard jede Zugangsdaten, auf die Zugriff bestand. Genau diese rotieren — nicht mehr, nicht weniger. Keine Rekonstruktion aus dem Gedächtnis, kein Rätselraten darüber, was sichtbar war.
• SSO-Integration. Passwork verbindet sich über SAML mit Ihrem bestehenden Identity Provider. Wenn der Zugriff bereits über Active Directory oder ein ähnliches System verwaltet wird, fügt sich Passwork in diese Struktur ein, anstatt außerhalb davon zu stehen.
• Bereitstellungsoptionen. Passwork läuft als Cloud-Service oder als Self-Hosted-Installation auf Ihrer eigenen Infrastruktur. Für Teams im Gesundheitswesen, Finanzwesen oder Rechtswesen — wo Zugangsdaten die Server der Organisation nicht verlassen dürfen — hält die Self-Hosted-Bereitstellung alles innerhalb des eigenen Perimeters.

Die oben genannten Funktionen sind keine neuen Konzepte — RBAC, Audit-Protokolle und SSO existieren in Enterprise-Tools, deren Bereitstellung Monate dauert. Passwork bündelt sie für Teams, die keine dedizierte Sicherheitsabteilung haben und bis Freitag einsatzbereit sein müssen.

Die Passwörter Ihres Teams unter Kontrolle bringen

Die Technologie ist der einfache Teil. Ein Team-Passwortmanager ist unkompliziert einzurichten, und die meisten Teams bemerken den Unterschied innerhalb einer Woche — weniger „Hat jemand das Login für X?"-Nachrichten, keine Passwort-Tabellenkalkulationen mehr und eine klare Antwort auf „Was passiert, wenn jemand geht?"

Die schwierigere Arbeit sind die ersten Wochen: Inventur der bereits existierenden Zugangsdaten, Entscheidung darüber, wer welche Ordner besitzt, und Ablösung des bisherigen Systems. Beginnen Sie mit der Inventur. Alles andere folgt daraus, dass bekannt ist, was tatsächlich vorhanden ist.

Passwork läuft in der Cloud oder auf Ihren eigenen Servern — Ihre Wahl. Teams mit Anforderungen an die Datenresidenz oder internen Sicherheitsrichtlinien, die Drittanbieter-Cloud-Speicher ausschließen, können es On-Premises bereitstellen. Alle anderen können noch am selben Tag in der Cloud einsatzbereit sein.

Häufig gestellte Fragen

Brauchen wir wirklich einen Team-Passwortmanager, wenn wir ein kleines Team sind?

Ja. Kleine Teams sind oft stärker gefährdet, gerade weil es keine dedizierte IT-Person gibt, die auf Probleme achtet. Ein Team-Passwortmanager ist in etwa einem Nachmittag eingerichtet und beseitigt einen der häufigsten Einstiegspunkte für Datenschutzverletzungen — gemeinsame Zugangsdaten ohne Zugriffskontrollen. Je kleiner das Team, desto schneller die Einrichtung.

Ist es sicher, alle unsere Passwörter an einem Ort zu speichern?

Ein seriöser Passwortmanager ist weitaus sicherer als die Alternativen — Slack-Nachrichten, Tabellenkalkulationen oder Haftnotizen. Die Daten werden mit Zero-Knowledge-Verschlüsselung geschützt, was bedeutet, dass die Passwörter selbst dann unlesbar wären, wenn jemand in die Server des Anbieters einbrechen würde. Das Risiko der Konsolidierung ist viel geringer als das Risiko verstreuter, unkontrollierter Zugangsdaten.

Was ist mit Apps, die „Mit Google anmelden" unterstützen?

SSO deckt Apps ab, die mit Ihrem Identity Provider verbunden sind, aber die meisten kleinen Unternehmen nutzen eine Mischung aus SSO-kompatiblen und nicht kompatiblen Tools. Ein Team-Passwortmanager handhabt alles, was SSO nicht erreicht — Anbieterportale, Legacy-Software, gemeinsame Social-Media-Accounts und jedes Tool, das ein eigenes Login erfordert.

Wie bringen wir das Team dazu, es tatsächlich zu nutzen?

Das Tool funktioniert nur, wenn es konsequent genutzt wird. Der schnellste Weg zur Akzeptanz: Es einfacher machen als die Alternative. Wenn der Tresor eingerichtet ist, mit den Passwörtern gefüllt, die die Leute tatsächlich brauchen, und vom ersten Tag an auf ihren Geräten zugänglich ist, wechseln die meisten ohne Reibung. Machen Sie es zunächst für gemeinsame Accounts verpflichtend, die persönlichen Workflow-Gewohnheiten folgen.

10 Sicherheitsfehler bei Remote-Arbeit (und wie man sie behebt)

10 Sicherheitsfehler bei Remote-Arbeit — und das eine Prinzip dahinter: Sicherheit versagt dort, wo der sichere Weg mehr Reibung hat als der unsichere. Echte Fälle, realistische Lösungen, eine 5-Schichten-Baseline, gegen die Ihr Team prüfen kann.

Passwork BlogAlex Muntyan

Brute-Force-Angriffe 2026: Arten, Beispiele und wie man sie verhindert

GPU-Cluster, KI-unterstützte Wortlisten, Botnets mit 2,8 Millionen Geräten. Brute Force hat sich skaliert. Dieser Leitfaden behandelt sechs Angriffsvarianten, reale Fälle aus 2025 und eine mehrschichtige Verteidigungsstrategie, die Ihr Team heute umsetzen kann.

Passwork BlogAlex Muntyan

Shadow IT vs. Shadow AI: Warum KI die größere Bedrohung ist

Mitarbeiter nutzen KI-Tools, die Sie nicht genehmigt haben, mit Accounts, die Sie nicht überwachen können, mit Daten, die Sie nicht wiederherstellen können. So sieht das Risiko tatsächlich aus und was die Governance adressieren muss.

Passwork BlogAlex Muntyan

Imagine un lunes por la mañana. Alguien del equipo de marketing necesita publicar en Instagram. La persona que conoce la contraseña está de baja por enfermedad. Alguien pregunta en Slack. Otra persona la pega. Ahora esa contraseña está en un historial de chat, en un teléfono personal y posiblemente en un portátil que dejó la empresa hace seis meses.

Asegurar este flujo de trabajo no requiere una iniciativa de TI compleja ni meses de planificación. Puede eliminar estas vulnerabilidades en una sola tarde.

Un gestor de contraseñas para equipos (una bóveda compartida y cifrada) permite a su equipo almacenar y acceder a credenciales sin enviarlas nunca por correo electrónico o Slack. Otorga un control preciso sobre quién ve qué contraseñas y permite revocar el acceso instantáneamente cuando un empleado se va. La mayoría de los equipos implementan el sistema en pocas horas.

Puntos clave

• La raíz del caos de contraseñas: La mayoría de las credenciales de pequeñas empresas se acumulan en canales de Slack, hojas de cálculo y navegadores personales porque los equipos carecen de un sistema centralizado, creando puntos de entrada fáciles para los atacantes.
• La limitación del navegador: Las contraseñas guardadas en el navegador pertenecen a cuentas individuales y carecen de uso compartido seguro, control de acceso basado en roles y registros de auditoría, lo que las hace inadecuadas para entornos de equipo.
• El punto ciego de la baja de empleados: Desactivar el correo electrónico de un empleado que se va deja accesibles los portales de proveedores, redes sociales y bandejas de entrada compartidas. Estas credenciales no monitorizadas permanecen activas durante meses a menos que se rastreen y roten sistemáticamente.
• Estándares modernos de contraseñas: Las últimas directrices del NIST desaconsejan los cambios de contraseña forzados cada 90 días. Las rotaciones obligatorias conducen a patrones predecibles, lo que debilita activamente la seguridad.
• Configuración en una tarde: La transición a un gestor de contraseñas dedicado para equipos lleva pocas horas. Para organizaciones con requisitos estrictos de residencia de datos, la implementación autoalojada mantiene todos los datos de credenciales completamente dentro de su propia infraestructura.

Dónde están realmente las contraseñas de su equipo ahora mismo

En la mayoría de las pequeñas empresas, las contraseñas acaban dispersas en mensajes de Slack, hojas de cálculo compartidas, cuentas personales del navegador y notas adhesivas — no porque las personas sean descuidadas, sino porque nunca se implementó un sistema dedicado. Según el Informe de Investigaciones de Filtraciones de Datos de Verizon de 2025, el 22% de todas las filtraciones confirmadas comienzan con credenciales robadas o comprometidas, y el 88% de los ataques contra aplicaciones web básicas involucran inicios de sesión robados.

Aquí es donde suelen acabar las contraseñas:

• Un mensaje directo de Slack o chat grupal — buscable por cualquier persona en el espacio de trabajo
• Una hoja de cálculo llamada passwords_final_v3.xlsx en una unidad compartida
• El navegador personal de alguien, vinculado a su cuenta personal de Google
• Una aplicación de Notas compartida a la que tres personas tienen acceso y nadie gestiona
• La cuenta de gestor de contraseñas personal de alguien que la empresa no controla

Esto se acumula un inicio de sesión compartido a la vez. Nadie decidió almacenar contraseñas en Slack. Simplemente sucedió porque nunca hubo una mejor opción. Los atacantes buscan la puerta más fácil. Una contraseña pegada en un canal de chat es una puerta muy fácil.

Por qué guardar contraseñas en el navegador no es suficiente para un equipo

Las contraseñas guardadas en el navegador funcionan bien para una persona que gestiona sus propias cuentas. Para un equipo, el modelo falla en el primer momento en que alguien necesita compartir acceso, dejar la empresa o traspasar un proyecto — porque las contraseñas del navegador están vinculadas a la cuenta de una persona y nunca fueron diseñadas para compartirse o gestionarse en grupo.

El problema central: las contraseñas guardadas en el navegador pertenecen al dispositivo y cuenta de una persona. Cuando esa persona se va, esas contraseñas o se van con ella o quedan bloqueadas en una cuenta que la empresa ya no controla. Hay un riesgo más difícil: todas las contraseñas guardadas en un navegador se almacenan juntas, así que un dispositivo o cuenta comprometida significa que todo se filtra — no solo una contraseña.

Compartir es la otra brecha. No hay forma de dar a un compañero de equipo acceso a una contraseña guardada en el navegador sin escribirla, hacer una captura de pantalla o pegarla en un mensajero. Según el análisis de Heimdal Security de 2025, el 94% de las contraseñas filtradas fueron reutilizadas o duplicadas en múltiples cuentas — exactamente el patrón que fomenta el uso compartido informal.

Tampoco hay registro de auditoría. Ningún registro de quién inició sesión en la herramienta de email marketing a las 11pm un viernes. Ninguna forma de revocar el acceso a una cuenta específica sin cambiar la contraseña en todas partes y comunicar la nueva a todos, lo que inicia todo el ciclo de nuevo.

El navegador es una herramienta personal forzada al servicio del equipo. Nunca fue construido para esto.

El problema del que nadie habla — cuando un empleado se va

La mayoría de las empresas gestionan la baja de empleados desactivando el correo electrónico, recogiendo el portátil y eliminando a la persona de Slack. Eso cubre solo una fracción del problema real de acceso. Las contraseñas que esa persona conocía (de herramientas compartidas, portales de proveedores, cuentas de redes sociales y el Wi-Fi de la oficina) casi nunca llegan a la lista de verificación. Y ese acceso rara vez se detecta rápidamente — el Informe del Coste de una Filtración de Datos de IBM de 2025 encontró que las filtraciones basadas en credenciales tardan una media de 246 días en identificarse y contenerse. Son 8 meses de acceso abierto antes de que alguien note que algo está mal.

Piense en un responsable de atención al cliente que lleva dos años en la empresa. Conocía la contraseña del software de soporte técnico, la bandeja de entrada compartida de soporte, el programador de redes sociales, la cuenta de Canva de la empresa y el Wi-Fi. Nada de eso está cubierto por «desactivar su cuenta de Google Workspace». SSO — el botón de «iniciar sesión con Google» — solo cubre las aplicaciones que están conectadas a su proveedor de identidad. La mayoría de las herramientas que usa una pequeña empresa típica no lo están.

La auditoría de baja en 3 preguntas

Cuando alguien se va, haga estas tres preguntas antes de su último día:

• ¿A qué cuentas compartidas tenía acceso? Piense más allá del correo electrónico — suscripciones de software, redes sociales, portales de proveedores, bandejas de entrada compartidas, Wi-Fi.
• ¿Cuáles de esas contraseñas necesitan cambiarse? Cualquier cuenta a la que accedía regularmente que no esté cubierta por SSO.
• ¿Quién es responsable de cambiarlas? Nombre a una persona específica. «Alguien de TI» no es una respuesta si no tiene un departamento de TI.

Esta auditoría lleva 15 minutos la primera vez — pero solo funciona si ya sabe qué cuentas existen y quién tenía acceso a ellas. Sin ese inventario, los 15 minutos se convierten en una conversación que termina con «creo que tenía acceso a eso, no estoy seguro». Sin un gestor de contraseñas, la pregunta tres es una negociación — quién tiene tiempo, quién sabe qué cuentas existen, quién realmente lo hará. Con uno, es una lista de verificación: abra el Panel de seguridad, vea cada credencial que esa persona tocó, rote exactamente esas.

Qué hace realmente un gestor de contraseñas para equipos

Un gestor de contraseñas para equipos es una bóveda compartida y cifrada donde todos acceden a las contraseñas que necesitan — y solo a esas. Reemplaza las credenciales dispersas con un único sistema controlado. La mayoría de los equipos están completamente configurados en una tarde.

Esto es lo que debe buscar al elegir uno:

• Control de acceso basado en roles (RBAC). El equipo de marketing ve las contraseñas de redes sociales. Finanzas ve los inicios de sesión del software de contabilidad. El CEO lo ve todo. Cuando alguien se incorpora, lo añade a la bóveda de su equipo y tiene acceso inmediatamente. Cuando se va, revoca su acceso en un paso — y el Panel de seguridad de Passwork muestra inmediatamente cada contraseña a la que tenía acceso, para que pueda rotar exactamente esas credenciales. Sin conjeturas, sin auditoría manual de quién tenía qué.
• Cifrado de conocimiento cero significa que las contraseñas se cifran en su dispositivo antes de llegar al servidor. El servidor almacena texto cifrado, no credenciales — así que ni la infraestructura de alojamiento ni el administrador del sistema pueden leer lo que hay dentro. El acceso al servidor no equivale a acceso a las contraseñas.
• Registros de auditoría. Cada inicio de sesión, cada visualización de contraseña, cada cambio queda registrado. Si algo sale mal, sabe exactamente quién accedió a qué y cuándo — no una estimación aproximada.
• Incorporación sencilla. Una herramienta que nadie usa no es una herramienta de seguridad. Busque un proceso de configuración que no requiera un proyecto de TI dedicado: importación desde CSV, extensión del navegador, estructura de carpetas clara desde el primer día.
• Una interfaz que su equipo realmente usará. La fricción es el enemigo de la adopción. Si encontrar una contraseña requiere más de tres clics, la gente vuelve a Slack.
• Autenticación de dos factores. Una segunda confirmación requerida al iniciar sesión significa que una contraseña maestra robada por sí sola no es suficiente para entrar. Innegociable para cualquier cuenta empresarial.

Para empresas con requisitos de datos estrictos (sanidad, finanzas, legal) algunas herramientas pueden alojarse en sus propios servidores en lugar de en una nube de terceros. Passwork está diseñado específicamente para implementación autoalojada, manteniendo todos los datos de credenciales dentro de su propia infraestructura. Los equipos que quieran ver cómo es posible hacer que la seguridad de contraseñas se sienta menos como una tarea encontrarán el modelo sencillo de adoptar.

Las nuevas reglas de contraseñas: Lo que realmente dicen las últimas directrices del NIST

El Instituto Nacional de Estándares y Tecnología de EE.UU. (NIST) actualizó sus directrices de contraseñas en 2025, y el hallazgo principal es contraintuitivo: la rotación forzada de contraseñas — hacer que los empleados cambien su contraseña cada 60 o 90 días — empeora la seguridad. NIST SP 800-63B ahora desaconseja explícitamente los cambios periódicos obligatorios a menos que haya evidencia de compromiso.

La razón es el comportamiento humano predecible. Cuando las personas se ven obligadas a cambiar contraseñas constantemente, hacen el cambio más pequeño posible: Summer2024! se convierte en Summer2025!. La estructura permanece igual, el patrón es obvio, y el resultado no es más seguro que antes — solo más molesto.

Lo que recomienda el NIST en su lugar:

• Contraseñas más largas — una frase de contraseña como correct-horse-battery-staple es más fuerte que P@$$w0rd1 y mucho más fácil de recordar
• Sin rotación forzada a menos que haya evidencia de una filtración o compromiso
• Verificar las nuevas contraseñas contra bases de datos de filtraciones conocidas para que las credenciales ya filtradas se rechacen en el momento de la creación

Si la política de su empresa todavía exige cambios cada 90 días, vale la pena revisarla. Un buen gestor de contraseñas para equipos maneja las partes difíciles automáticamente — generando contraseñas fuertes y únicas para cada cuenta y señalando cualquiera que haya aparecido en bases de datos de filtraciones conocidas.

Cómo configurar la gestión de contraseñas para su equipo — un punto de partida práctico

Poner en marcha un gestor de contraseñas para equipos no requiere experiencia técnica ni una persona dedicada de TI. Estos cinco pasos sacarán las contraseñas de su equipo de Slack y las hojas de cálculo y las pondrán en una bóveda compartida y cifrada — la mayoría de los equipos completan el proceso en una sola tarde.

La configuración de bóveda de equipo en 5 pasos

1. Audite lo que tiene. Dedique 30 minutos a listar cada cuenta compartida que usa su equipo — suscripciones de software, perfiles de redes sociales, portales de proveedores, bandejas de entrada compartidas, contraseñas de Wi-Fi. No intente ser exhaustivo. Anote primero las obvias; el resto surgirá sobre la marcha.
2. Elija una herramienta que se adapte a su equipo. Para la mayoría de las pequeñas empresas, una bóveda de equipo basada en la nube funciona bien y no requiere configuración técnica. Si su empresa maneja datos sensibles de clientes y necesita que todo se almacene internamente, busque herramientas que ofrezcan implementación autoalojada — lo que significa que el software se ejecuta en sus propios servidores, no en la nube del proveedor. En cualquier caso, priorice herramientas que ofrezcan cifrado de conocimiento cero e inicio de sesión en dos pasos.
3. Configure bóvedas de contraseñas por equipo o función. Marketing obtiene las contraseñas de marketing. Finanzas obtiene las contraseñas de finanzas. Mantenga la estructura simple — siempre puede añadir más bóvedas después. La complejidad en la configuración es la razón principal por la que los equipos abandonan la herramienta en la segunda semana.
4. Migre primero un equipo. No intente mover toda la empresa a la vez. Empiece con un departamento, consiga que se sientan cómodos con el flujo de trabajo, luego amplíe. Un despliegue fluido con cinco personas supera a uno caótico con cincuenta.
5. Actualice su lista de verificación de bajas. Añada una línea: «Eliminar de la bóveda de contraseñas». Ese es todo el cambio. El sistema se encarga del resto.

Cómo gestiona esto Passwork en la práctica

Passwork es un gestor de contraseñas y secretos diseñado para equipos empresariales. Proporciona a los administradores de TI un único lugar para almacenar, compartir y controlar el acceso a credenciales — sin depender de bóvedas del navegador, hojas de cálculo compartidas o hilos de mensajería.

Esto es lo que cubre directamente:

• Bóveda compartida con acceso estructurado. Las contraseñas están organizadas en carpetas por equipo o función. Marketing ve lo que marketing necesita. DevOps ve lo que DevOps necesita. Nadie ve más de lo que su rol requiere.
• Control de acceso basado en roles. Los permisos se asignan a roles, no a individuos. Añadir un nuevo empleado al rol correcto le da acceso inmediato a las credenciales que necesita. Eliminar a un empleado que se va lo revoca instantáneamente en todas las carpetas compartidas.
• Panel de seguridad para bajas. Cuando alguien se va, el panel muestra cada credencial a la que tenía acceso. Rote exactamente esas — ni más, ni menos. Sin reconstrucción de memoria, sin conjeturas sobre lo que podían ver.
• Integración SSO. Passwork se conecta a su proveedor de identidad existente a través de SAML. Si ya gestiona el acceso a través de Active Directory o un sistema similar, Passwork se integra en esa estructura en lugar de quedar fuera de ella.
• Opciones de implementación. Passwork funciona como servicio en la nube o como instalación autoalojada en su propia infraestructura. Para equipos en sanidad, finanzas o legal — donde los datos de credenciales no pueden salir de los servidores de la organización — la implementación autoalojada mantiene todo dentro de su propio perímetro.

Las características anteriores no son conceptos nuevos — RBAC, registros de auditoría y SSO existen en herramientas empresariales que tardan meses en implementarse. Passwork las empaqueta para equipos que no tienen un departamento de seguridad dedicado y necesitan estar funcionando para el viernes.

Poner bajo control las contraseñas de su equipo

La tecnología es la parte fácil. Un gestor de contraseñas para equipos es sencillo de configurar, y la mayoría de los equipos notan la diferencia en una semana — menos mensajes de «¿alguien tiene el inicio de sesión de X?», no más hojas de cálculo de contraseñas, y una respuesta clara a «¿qué pasa cuando alguien se va?»

El trabajo más difícil son las primeras semanas: auditar qué credenciales ya existen, decidir quién es propietario de qué carpetas, y retirar el sistema que haya estado usando hasta ahora. Empiece con la auditoría. Todo lo demás se deriva de saber lo que realmente tiene.

Passwork funciona en la nube o en sus propios servidores — usted elige. Los equipos con requisitos de residencia de datos o políticas de seguridad internas que excluyen el almacenamiento en nube de terceros pueden implementarlo en sus instalaciones. Todos los demás pueden estar funcionando en la nube el mismo día.

Preguntas frecuentes

¿Realmente necesitamos un gestor de contraseñas para equipos si somos un equipo pequeño?

Sí. Los equipos pequeños a menudo están más expuestos precisamente porque no hay una persona dedicada de TI vigilando problemas. Un gestor de contraseñas para equipos tarda aproximadamente una tarde en configurarse y elimina uno de los puntos de entrada más comunes para filtraciones — credenciales compartidas sin controles de acceso. Cuanto más pequeño sea el equipo, más rápida será la configuración.

¿Es seguro poner todas nuestras contraseñas en un solo lugar?

Un gestor de contraseñas de buena reputación es mucho más seguro que las alternativas — mensajes de Slack, hojas de cálculo o notas adhesivas. Los datos utilizan cifrado de conocimiento cero, lo que significa que incluso si alguien irrumpiera en los servidores del proveedor, las contraseñas serían ilegibles. El riesgo de consolidación es mucho menor que el riesgo de credenciales dispersas y no controladas.

¿Qué pasa con las aplicaciones que admiten «iniciar sesión con Google»?

SSO cubre las aplicaciones conectadas a su proveedor de identidad, pero la mayoría de las pequeñas empresas usan una mezcla de herramientas compatibles y no compatibles con SSO. Un gestor de contraseñas para equipos maneja todo lo que SSO no alcanza — portales de proveedores, software heredado, cuentas de redes sociales compartidas y cualquier herramienta que requiera su propio inicio de sesión.

¿Cómo conseguimos que el equipo realmente lo use?

La herramienta solo funciona si las personas la usan consistentemente. El camino más rápido hacia la adopción: hacerlo más fácil que la alternativa. Si la bóveda está configurada, poblada con las contraseñas que la gente realmente necesita, y accesible en sus dispositivos desde el primer día, la mayoría de las personas cambian sin fricción. Exíjalo primero para las cuentas compartidas, los hábitos personales de flujo de trabajo seguirán.

10 fallos de seguridad en el trabajo remoto (y cómo solucionarlos)

10 fallos de seguridad en el trabajo remoto — y el único principio detrás de todos ellos: la seguridad falla donde el camino seguro tiene más fricción que el inseguro. Casos reales, soluciones realistas, una línea base de 5 capas contra la que su equipo puede auditar.

Passwork BlogAlex Muntyan

Ataques de fuerza bruta en 2026: Tipos, ejemplos y cómo prevenirlos

Clústeres de GPU, listas de palabras asistidas por IA, botnets de 2,8 millones de dispositivos. La fuerza bruta ha escalado. Esta guía cubre seis variantes de ataque, casos reales de 2025 y una estrategia de defensa en capas que su equipo puede implementar hoy.

Passwork BlogAlex Muntyan

Shadow IT vs Shadow AI: Por qué la IA es la mayor amenaza

Los empleados están usando herramientas de IA que usted no aprobó, en cuentas que no puede monitorizar, con datos que no puede recuperar. Aquí está cómo se ve realmente el riesgo y qué necesita abordar la gobernanza.

Passwork BlogAlex Muntyan

Picture a Monday morning. Someone on the marketing team needs to post on Instagram. The person who knows the password is out sick. Someone asks in Slack. Someone else pastes it. Now that password lives in a chat log, on a personal phone, and possibly on a laptop that left the company six months ago.

Securing this workflow does not require a complex IT initiative or months of planning. You can eliminate these vulnerabilities in a single afternoon.

A team password manager (a shared, encrypted vault) allows your team to store and access credentials without ever sending them over email or Slack. It grants precise control over who sees which passwords and lets you revoke access instantly when an employee leaves. Most teams deploy the system in a few hours.

Key takeaways

• The root of password chaos: Most small business credentials accumulate in Slack channels, spreadsheets, and personal browsers because teams lack a centralized system, creating easy entry points for attackers.
• The browser limitation: Browser-saved passwords belong to individual accounts and lack secure sharing, role-based access control, and audit logs, making them unsuitable for team environments.
• The offboarding blind spot: Disabling a departing employee’s email leaves vendor portals, social media, and shared inboxes accessible. These unmonitored credentials remain active for months unless systematically tracked and rotated.
• Modern password standards: The latest NIST guidelines recommend against forced 90-day password resets. Mandatory rotations lead to predictable patterns, which actively weakens security.
• An afternoon setup: Transitioning to a dedicated team password manager takes a few hours. For organizations with strict data residency requirements, self-hosted deployment keeps all credential data entirely within their own infrastructure.

Where your team's passwords actually live right now

In most small businesses, passwords end up scattered across Slack messages, shared spreadsheets, personal browser accounts, and sticky notes — not because people are careless, but because no dedicated system was ever put in place. According to the 2025 Verizon Data Breach Investigations Report, 22% of all confirmed breaches begin with stolen or compromised credentials, and 88% of attacks against basic web applications involve stolen logins.

Here's where passwords typically end up:

• A Slack DM or group chat — searchable by anyone in the workspace
• A spreadsheet called passwords_final_v3.xlsx on a shared drive
• Someone's personal browser, tied to their personal Google account
• A shared Notes app that three people have access to and nobody manages
• Someone's personal password manager account that the company doesn't control

This accumulates one shared login at a time. Nobody decided to store passwords in Slack. It just happened because there was never a better option. Attackers go for the easiest door. A password pasted into a chat channel is a very easy door.

Why saving passwords in your browser isn't enough for a team

Browser-saved passwords work fine for one person managing their own accounts. For a team, the model breaks down at the first moment someone needs to share access, leave the company, or hand off a project — because browser passwords are tied to one person's account and were never designed to be shared or managed across a group.

The core problem: browser-saved passwords belong to one person's device and account. When that person leaves, those passwords either go with them or stay locked in an account the company no longer controls. There's a harder risk: all passwords saved in a browser are stored together, so one compromised device or account means everything leaks — not just one password.

Sharing is the other gap. There's no way to give a teammate access to a browser-saved password without typing it out, screenshotting it, or pasting it into a messenger. According to Heimdal Security's 2025 analysis, 94% of leaked passwords were reused or duplicated across multiple accounts — exactly the pattern that informal sharing encourages.

There's also no audit trail. No record of who logged into the email marketing tool at 11pm on a Friday. No way to revoke access to one specific account without changing the password everywhere and telling everyone the new one, which starts the whole cycle again.

The browser is a personal tool pressed into team service. It was never built for this.

The problem nobody talks about — when an employee leaves

Most businesses handle offboarding by disabling email, collecting the laptop, and removing the person from Slack. That covers only a fraction of the actual access problem. The passwords that person knew (to shared tools, vendor portals, social media accounts, and the office Wi-Fi) almost never make it onto the checklist. And that access rarely gets flagged quickly — IBM's Cost of a Data Breach Report 2025 found that credential-based breaches take an average of 246 days to identify and contain. That's 8 months of open access before anyone notices something is wrong.

Think about a customer support manager who's been with the company for two years. They knew the password to the helpdesk software, the shared support inbox, the social media scheduler, the company's Canva account, and the Wi-Fi. None of those are covered by "disable their Google Workspace account." SSO — the "log in with Google" button — only covers apps that are connected to your identity provider. Most tools a typical small business uses aren't.

The 3-question offboarding audit

When someone leaves, ask these three questions before their last day:

• What shared accounts did they have access to? Think beyond email — software subscriptions, social media, vendor portals, shared inboxes, Wi-Fi.
• Which of those passwords need to be changed? Any account they accessed regularly that isn't covered by SSO.
• Who is responsible for changing them? Name a specific person. "Someone from IT" is not an answer if you don't have an IT department.

This audit takes 15 minutes the first time — but it only works if you already know what accounts exist and who had access to them. Without that inventory, the 15 minutes turns into a conversation that ends with "I think they had access to that, not sure." Without a password manager, question three is a negotiation — who has time, who knows which accounts exist, who will actually follow through. With one, it's a checklist: open the Security dashboard, see every credential that person touched, rotate exactly those.

What a team password manager actually does

A team password manager is a shared, encrypted vault where everyone accesses the passwords they need — and only those. It replaces scattered credentials with one controlled system. Most teams are fully set up within an afternoon.

Here's what to look for when choosing one:

• Role-based access control (RBAC). The marketing team sees the social media passwords. Finance sees the accounting software logins. The CEO sees everything. When someone joins, you add them to their team's vault and they have access immediately. When they leave, you revoke their access in one step — and Passwork's Security Dashboard immediately shows every password they had access to, so you can rotate exactly those credentials. No guesswork, no manual audit of who had what.
• Zero-knowledge encryption means passwords are encrypted on your device before they reach the server. The server stores ciphertext, not credentials — so neither the hosting infrastructure nor the system administrator can read what's inside. Access to the server doesn't equal access to the passwords.
• Audit trails. Every login, every password view, every change is logged. If something goes wrong, you know exactly who accessed what and when — not a rough estimate.
• Easy onboarding. A tool nobody uses is not a security tool. Look for a setup process that doesn't require a dedicated IT project: import from CSV, browser extension, clear folder structure from day one.
• A UI your team will actually use. Friction is the enemy of adoption. If finding a password takes more than three clicks, people go back to Slack.
• Two-factor authentication. A second confirmation required at login means a stolen master password alone isn't enough to get in. Non-negotiable for any business account.

For businesses with strict data requirements (healthcare, finance, legal) some tools can be hosted on your own servers rather than a third-party cloud. Passwork is built specifically for self-hosted deployment, keeping all credential data inside your own infrastructure. Teams that want to see how making password security feel less like a chore is possible will find the model straightforward to adopt.

The new password rules: What the latest NIST guidelines actually say

The U.S. National Institute of Standards and Technology (NIST) updated its password guidelines in 2025, and the headline finding is counterintuitive: forced password rotation — making employees change their password every 60 or 90 days — makes security worse. NIST SP 800-63B now explicitly recommends against mandatory periodic resets unless there is evidence of compromise.

The reason is predictable human behavior. When people are forced to change passwords constantly, they make the smallest possible change: Summer2024! becomes Summer2025!. The structure stays the same, the pattern is obvious, and the result is no more secure than before — just more annoying.

What NIST recommends instead:

• Longer passwords — a passphrase like correct-horse-battery-staple is stronger than P@$$w0rd1 and far easier to remember
• No forced rotation unless there is evidence of a breach or compromise
• Checking new passwords against known breach databases so that already-leaked credentials are rejected at the point of creation

If your company policy still mandates 90-day resets, it's worth revisiting. A good team password manager handles the hard parts automatically — generating strong, unique passwords for every account and flagging any that have appeared in known breach databases.

How to set up password management for your team — a practical starting point

Getting a team password manager running doesn't require technical expertise or a dedicated IT person. These five steps will get your team's passwords out of Slack and spreadsheets and into a shared, encrypted vault — most teams complete the process in a single afternoon.

The 5-step team vault setup

1. Audit what you have. Spend 30 minutes listing every shared account your team uses — software subscriptions, social media profiles, vendor portals, shared inboxes, Wi-Fi passwords. Don't try to be exhaustive. Get the obvious ones down first; the rest will surface as you go.
2. Pick a tool that fits your team. For most small businesses, a cloud-based team vault works well and requires no technical setup. If your business handles sensitive client data and needs everything stored in-house, look for tools that offer self-hosted deployment — meaning the software runs on your own servers, not the provider's cloud. Either way, prioritize tools that offer zero-knowledge encryption and two-step login.
3. Set up password vaults by team or function. Marketing gets the marketing passwords. Finance gets the finance passwords. Keep the structure simple — you can always add more vaults later. Complexity at setup is the main reason teams abandon the tool in week two.
4. Migrate one team first. Don't try to move the whole company at once. Start with one department, get them comfortable with the workflow, then expand. A smooth rollout with five people beats a chaotic one with fifty.
5. Update your offboarding checklist. Add one line: "Remove from password vault." That's the whole change. The system handles the rest.

How Passwork handles this in practice

Passwork is a password and secrets manager built for business teams. It gives IT administrators a single place to store, share, and control access to credentials — without relying on browser vaults, shared spreadsheets, or messenger threads.

Here's what it covers directly:

• Shared vault with structured access. Passwords are organized into folders by team or function. Marketing sees what marketing needs. DevOps sees what DevOps needs. Nobody sees more than their role requires.
• Role-based access control. Permissions are assigned to roles, not individuals. Adding a new hire to the right role gives them immediate access to the credentials they need. Removing a departing employee revokes it instantly across every shared folder.
• Security Dashboard for offboarding. When someone leaves, the dashboard shows every credential they had access to. Rotate exactly those — nothing more, nothing less. No reconstruction from memory, no guesswork about what they could see.
• SSO integration. Passwork connects to your existing identity provider via SAML. If you already manage access through Active Directory or a similar system, Passwork fits into that structure rather than sitting outside it.
• Deployment options. Passwork runs as a cloud service or as a self-hosted installation on your own infrastructure. For teams in healthcare, finance, or legal — where credential data cannot leave the organization's servers — self-hosted deployment keeps everything inside your own perimeter.

The features above aren't new concepts — RBAC, audit logs, and SSO exist in enterprise tools that take months to deploy. Passwork packages them for teams that don't have a dedicated security department and need to be running by Friday.

Getting your team's passwords under control

The technology is the easy part. A team password manager is straightforward to set up, and most teams notice the difference within a week — fewer "does anyone have the login for X?" messages, no more password spreadsheets, and a clean answer to "what happens when someone leaves."

The harder work is the first few weeks: auditing what credentials already exist, deciding who owns which folders, and retiring whatever system you've been using until now. Start with the audit. Everything else follows from knowing what you actually have.

Passwork runs in the cloud or on your own servers — your choice. Teams with data residency requirements or internal security policies that rule out third-party cloud storage can deploy it on-premises. Everyone else can be up and running in the cloud the same day.

Frequently asked questions

Do we really need a team password manager if we're a small team?

Yes. Small teams are often more exposed precisely because there's no dedicated IT person watching for problems. A team password manager takes about an afternoon to set up and removes one of the most common entry points for breaches — shared credentials with no access controls. The smaller the team, the faster the setup.

Is it safe to put all our passwords in one place?

A reputable password manager is far safer than the alternatives — Slack messages, spreadsheets, or sticky notes. The data uses zero-knowledge encryption, meaning even if someone broke into the provider's servers, the passwords would be unreadable. The risk of consolidation is much lower than the risk of scattered, uncontrolled credentials.

What about apps that support "log in with Google"?

SSO covers apps connected to your identity provider, but most small businesses use a mix of SSO-compatible and non-compatible tools. A team password manager handles everything SSO doesn't reach — vendor portals, legacy software, shared social media accounts, and any tool that requires its own login.

How do we get the team to actually use it?

The tool only works if people use it consistently. The fastest path to adoption: make it easier than the alternative. If the vault is set up, populated with the passwords people actually need, and accessible on their devices from day one, most people switch without friction. Mandate it for shared accounts first, personal workflow habits follow.

10 Remote Work Security Fails (And How to Fix Them)

10 remote work security fails — and the one principle behind all of them: security breaks where the secure path has more friction than the insecure one. Real cases, realistic fixes, a 5-layer baseline your team can audit against.

Passwork BlogAlex Muntyan

Brute force attacks in 2026: Types, examples & how to prevent them

GPU clusters, AI-assisted wordlists, botnets of 2.8M devices. Brute force has scaled. This guide covers six attack variants, real-world cases from 2025, and a layered defense strategy your team can implement today.

Passwork BlogAlex Muntyan

Shadow IT vs Shadow AI: Why AI is the bigger threat

Employees are using AI tools you didn’t approve, on accounts you can’t monitor, with data you can’t recover. Here’s what the risk actually looks like and what governance needs to address.

Passwork BlogAlex Muntyan

Para implementar controles de acceso NIS2 para la seguridad de la cadena de suministro, asigne cada proveedor directo y prestador de servicios a los sistemas, cuentas, privilegios, métodos de autenticación y registros de evidencia que utilizan. Luego aplique el principio de mínimo privilegio, MFA o autenticación continua según corresponda, controles de cuentas privilegiadas, cláusulas contractuales, monitorización y revisiones periódicas de acceso.

La seguridad de la cadena de suministro NIS2 no es un ejercicio de adquisiciones. Significa traducir cada relación con proveedores en controles aplicables sobre cuentas, credenciales compartidas, rutas de acceso remoto, acciones privilegiadas y registros.

Según el Informe de Investigaciones de Brechas de Datos 2025 de Verizon, la participación de terceros apareció en el 30% de las brechas analizadas. El DBIR 2026 muestra que la tendencia se acelera: la participación de terceros ahora aparece en el 48% de las brechas confirmadas, un aumento interanual del 60%. Con esa trayectoria, la gobernanza del acceso de proveedores ya no es un riesgo de primer nivel que pueda posponerse.

El argumento financiero es igualmente contundente. El Informe del Coste de una Brecha de Datos 2025 de IBM sitúa el coste medio de una brecha en la cadena de suministro en 4,91 millones de dólares — y estas brechas tardan un total de 267 días en identificarse y contenerse. El Artículo 21 de NIS2 y el Reglamento de Ejecución (UE) 2024/2690 convierten esto en un mandato de IAM, no en una cuestión de gestión de proveedores.

Su organización asume la responsabilidad regulatoria por cada ruta de acceso que concede a una parte externa.

Puntos clave

• La seguridad de la cadena de suministro NIS2 es un mandato de IAM, no una cuestión de gestión de proveedores. El Artículo 21(2)(d) hace que su organización sea legalmente responsable de cada ruta de acceso concedida a una parte externa — VPNs, APIs, consolas de administración SaaS, pipelines CI/CD y herramientas de soporte remoto incluidas.
• Las brechas de terceros se están acelerando. El DBIR 2026 de Verizon sitúa la participación de terceros en el 48% de las brechas confirmadas — frente al 30% del año anterior.
• La guía 2025 de ENISA exige MFA de Nivel 1 para todo acceso privilegiado de proveedores. FIDO2 y WebAuthn son los únicos métodos aceptables para cuentas de proveedores con acceso administrativo o a sistemas de producción. El OTP por SMS está marcado para eliminación progresiva.
• Las cuentas de proveedor compartidas son una brecha de cumplimiento. Las cuentas individuales nominativas, RBAC de mínimo privilegio y acceso privilegiado just-in-time son la base — no un endurecimiento opcional.
• Los registros de auditoría son la evidencia, no el plan de respaldo. El plazo de alerta temprana de 24 horas del Artículo 23 no puede cumplirse sin registros inmutables que muestren exactamente qué hizo una cuenta de proveedor y cuándo.
• La revocación de acceso debe ser automática y vinculada a eventos del ciclo de vida del contrato. Los tickets manuales de desaprovisionamiento son demasiado lentos. Cuando un contrato de proveedor termina, el acceso termina con él.
• El Registro de Control de Acceso de Proveedores es la unidad de responsabilidad. Un registro por relación con proveedor — ruta de acceso, tipo de identidad, nivel de MFA, evidencia — actualizado en cada ciclo de revisión.

Qué exige NIS2 de los controles de acceso de proveedores

El Artículo 21 de NIS2 exige que las entidades esenciales e importantes adopten medidas técnicas, operativas y organizativas apropiadas y proporcionadas para gestionar los riesgos de ciberseguridad. El Artículo 21(2) enumera diez medidas mínimas. Cinco afectan directamente a la gobernanza del acceso de proveedores.

La directiva no exige una herramienta única ni un método de MFA universal. Requiere medidas que sean apropiadas y proporcionadas al riesgo. Para el acceso de proveedores, eso significa identificar qué usuarios externos, cuentas de soporte, APIs e integraciones pueden alcanzar sus activos críticos — y luego aplicar controles que coincidan con la sensibilidad de lo que esas rutas exponen.

El Artículo 21(3) va más allá: las entidades deben tener en cuenta las vulnerabilidades específicas de cada proveedor directo y prestador de servicios, y la calidad general de sus prácticas de ciberseguridad. Eso convierte la gobernanza de identidad y acceso de proveedores en una obligación legal directa, no en una recomendación de buenas prácticas.

El Reglamento de Ejecución (UE) 2024/2690 traduce los requisitos de alto nivel del Artículo 21 en más de 150 controles de ciberseguridad específicos. Para las relaciones con proveedores, establece expectativas concretas sobre el aprovisionamiento de acceso, la gestión de cuentas privilegiadas y la notificación de incidentes — pasando la cuestión de cumplimiento de «¿tiene una política?» a «¿puede demostrar que los controles funcionan?»

La guía de implementación técnica 2025 de ENISA trata la política de seguridad de la cadena de suministro, la política de control de acceso y las políticas de cuentas privilegiadas como políticas temáticas requeridas bajo el marco NIS2.

Los 5 controles de acceso esenciales para el cumplimiento de la cadena de suministro NIS2

Si un proveedor tiene acceso remoto o privilegiado, la seguridad de la cadena de suministro NIS2 se convierte en un problema de control de identidad. La relación con el proveedor crea una ruta directa hacia su red y sistemas de información.

Aplicar control de acceso basado en roles (RBAC) estricto

Elimine las cuentas de proveedor compartidas. Cada ingeniero de proveedor que necesite acceso al sistema obtiene una cuenta nominativa individual vinculada a su compromiso específico. Las cuentas genéricas de «proveedor» hacen imposible la atribución durante un incidente — y la atribución es exactamente lo que exige el requisito de alerta temprana de 24 horas del Artículo 23.

Aplique el mínimo privilegio a nivel de rol: los proveedores reciben el acceso mínimo requerido para realizar sus funciones contratadas, limitado a activos específicos, no a segmentos amplios del sistema. Cuando el compromiso cambia, los permisos cambian con él.

Implementar MFA de Nivel 1 para acceso privilegiado

La guía técnica 2025 de ENISA clasifica el MFA en tres niveles. Para cualquier proveedor al que se conceda acceso administrativo o privilegiado, el Nivel 1 es la única opción aceptable.

La implicación práctica: si los ingenieros de soporte de su MSP se autentican mediante SMS para acceder a sistemas de producción, eso es una brecha de cumplimiento según la guía actual de ENISA. Los métodos de Nivel 1 son resistentes al phishing porque la credencial criptográfica está vinculada al dominio específico — un sitio de phishing no puede interceptarla.

Implementar gestión de acceso privilegiado (PAM) y almacenamiento seguro de credenciales

El acceso just-in-time (JIT) es el modelo adecuado para equipos de soporte de terceros. Los privilegios elevados se conceden para una sesión definida, se registran completamente y se revocan automáticamente cuando la sesión termina. Sin acceso permanente, sin cuentas privilegiadas persistentes que se acumulan durante años de relaciones con proveedores.

Para las credenciales compartidas que no pueden eliminarse — cuentas de emergencia break-glass, cuentas de servicio de sistemas heredados, claves API compartidas — utilice una bóveda de credenciales con permisos basados en roles y una pista de auditoría completa. Un gestor de contraseñas empresarial puede centralizar las credenciales compartidas de proveedores, restringir el acceso por rol y conservar los registros que un auditor solicitará.

El Informe de Vulnerabilidades de la Cadena de Suministro 2026 de Black Kite encontró que los atacantes explotan vulnerabilidades un promedio de siete días antes de la divulgación pública, analizando más de 48.000 CVEs publicados en 2025. Las credenciales de proveedor de larga duración en pipelines CI/CD o cuentas de integración son una invitación abierta. Rote los tokens API en un calendario definido y revóquelos inmediatamente cuando una relación con un proveedor termine.

Mantener registros de auditoría inmutables

El Artículo 23 establece plazos estrictos de notificación de incidentes: una alerta temprana de 24 horas, una notificación formal de 72 horas y un informe final completo en un mes. Cumplir esos plazos sin registros de auditoría inmutables no es realista. Los registros son la evidencia — muestran exactamente qué hizo una cuenta de proveedor, cuándo y desde dónde.

Los registros deben ser resistentes a manipulaciones y conservarse el tiempo suficiente para respaldar tanto las investigaciones internas como las solicitudes de supervisión. Para las cuentas de proveedores específicamente, capture eventos de autenticación, escaladas de privilegios, actividad de sesión, cambios de configuración y acceso a datos sensibles. Cuando ocurre un incidente, la pregunta «¿qué tocó esta cuenta de proveedor?» necesita una respuesta en horas, no en semanas.

Automatizar la revocación de credenciales

Vincule el acceso del proveedor directamente a los eventos del ciclo de vida del contrato. Cuando un contrato de proveedor expira, se termina, o cuando un ingeniero nominativo deja el equipo del proveedor, la revocación de acceso debe ser inmediata y automática — no dependiente de un ticket manual que alguien recuerde crear.

Crear un Registro de Control de Acceso de Proveedores

Un Registro de Control de Acceso de Proveedores es el registro operativo que vincula una relación con un proveedor a derechos de acceso específicos y la evidencia de que esos derechos están controlados. Un registro por relación con proveedor. Esta es la unidad de responsabilidad.

El registro responde a las preguntas que un auditor, un regulador o su propio equipo de respuesta a incidentes hará: ¿quién tiene acceso, a qué, a través de qué ruta, con qué autenticación y quién lo aprobó?

La guía 2025 de ENISA espera que la política de seguridad de la cadena de suministro gobierne las relaciones con proveedores directos y prestadores de servicios e identifique los roles de los proveedores: proveedor de TIC, proveedor de servicios gestionados (MSP), proveedor de servicios de seguridad gestionados (MSSP) y proveedor de nube.

Sus registros deben reflejar estas distinciones. El perfil de riesgo de un MSP con acceso privilegiado a su infraestructura difiere significativamente de un proveedor SaaS con acceso API de solo lectura, y los controles deben diferir en consecuencia.

Cómo auditar su acceso actual de proveedores

Comience con un ejercicio completo de mapeo de proveedores. Liste cada conexión externa: VPNs, APIs, consolas de administración SaaS, herramientas de soporte remoto, integraciones CI/CD y acceso a repositorios. Para cada conexión, identifique el tipo de identidad, método de autenticación, nivel de privilegio y el propietario interno responsable de esa relación.

Luego trabaje a través de esta Lista de verificación previa a la auditoría de acceso de proveedores (7 puntos):

1. Cada cuenta de proveedor es nominativa — no se utilizan credenciales genéricas compartidas para acceso privilegiado.
2. El nivel de MFA coincide con la sensibilidad del acceso: Nivel 1 para privilegiado, Nivel 2 mínimo para estándar.
3. Todas las cuentas de proveedor se aprovisionan a través de controles de directorio con desaprovisionamiento automatizado.
4. Los contratos con proveedores incluyen requisitos de cuentas nominativas, obligaciones de MFA, notificación de brechas en 24 horas, derechos de auditoría y divulgación de subcontratistas.
5. PAM o registro de sesiones cubre todas las sesiones privilegiadas de proveedores.
6. Los tokens API y las credenciales de cuentas de servicio tienen calendarios de rotación definidos.
7. La cadencia de revisión de acceso está documentada: trimestral para proveedores críticos, anual para todos los demás, inmediatamente después de cualquier terminación o incidente.

Actualice los contratos con proveedores para incluir cláusulas explícitas de notificación de brechas en 24 horas y derechos de auditoría si aún no las tienen. La guía 2025 de ENISA establece que los contratos o SLAs deben cubrir requisitos de ciberseguridad, obligaciones de notificación de incidentes, gestión de vulnerabilidades, requisitos de subcontratación y obligaciones de terminación.

El coste del incumplimiento: multas y responsabilidad personal

Las entidades esenciales enfrentan multas máximas de hasta 10 millones de euros o el 2% de la facturación anual global bajo NIS2, lo que sea mayor. Las entidades importantes enfrentan hasta 7 millones de euros o el 1,4% de la facturación. Estos son máximos administrativos — los reguladores aplican proporcionalidad — pero son el techo que su junta directiva necesita entender.

El Artículo 20 va más allá. Establece responsabilidad personal para ejecutivos de nivel C y órganos de dirección. Los ejecutivos pueden enfrentar prohibiciones temporales de ocupar puestos directivos si se determina que su organización ha sido gravemente negligente en sus obligaciones de ciberseguridad. La obligación de aprobar las medidas de gestión de riesgos de ciberseguridad y supervisar su implementación recae en la dirección, no solo en el equipo de TI.

La conexión con el acceso de proveedores es directa. Si una brecha se remonta a una cuenta de proveedor no controlada — sin MFA, sin registro de sesiones, sin desaprovisionamiento después del fin del contrato — y la dirección no puede producir evidencia de que los controles estaban en vigor y se revisaban, ese es el escenario para el que se redactó el Artículo 20.

Incorporar requisitos de acceso en contratos y revisiones de proveedores

Los controles de acceso fallan cuando los contratos con proveedores no definen responsabilidades. Traduzca la guía de ENISA en cláusulas contractuales concretas:

• Los proveedores deben usar cuentas nominativas y aplicar MFA de Nivel 1 para acceso privilegiado o remoto.
• Está prohibido compartir credenciales.
• Los proveedores deben notificar al cliente los incidentes sin demora indebida, y no más tarde de 24 horas para incidentes significativos.
• Los subcontratistas que requieran acceso deben ser divulgados y estar sujetos a controles equivalentes.
• Los proveedores deben respaldar la retención de registros y las solicitudes de auditoría.
• La información debe ser devuelta o eliminada al terminar el contrato.

Las revisiones de acceso deben seguir una cadencia definida: como mínimo anualmente para todos los proveedores, trimestralmente para proveedores con acceso privilegiado o a sistemas de producción, e inmediatamente después de un incidente, cambio de contrato, cambio de rol o terminación.

Conservar evidencia de auditoría para el cumplimiento de NIS2

La evidencia de auditoría es lo que separa un control documentado de una afirmación. Durante una auditoría interna, una revisión de cliente o una solicitud de supervisión, necesita producir registros — no descripciones de lo que pretendía hacer.

La evidencia útil incluye: registro de proveedores, matriz de control de acceso, solicitudes de acceso aprobadas, informes de inscripción de MFA, registros de aprobación PAM, permisos de bóveda de contraseñas, registros de rotación de tokens API, aprobaciones de revisión de acceso, cláusulas contractuales con proveedores, registros de notificación de incidentes, tickets de remediación de vulnerabilidades y registros de desaprovisionamiento.

La aceptación del riesgo para el acceso privilegiado de proveedores debe tener un propietario responsable. Esa aceptación, y los controles implementados, deben ser visibles para la dirección a través de informes periódicos — no enterrados en una hoja de cálculo que solo el equipo de TI puede encontrar.

10 pasos para el cumplimiento de acceso de proveedores NIS2

Mapee el acceso de proveedores, aplique controles, contracte las obligaciones, monitorice continuamente y conserve evidencia. La tabla siguiente consolida cada paso de implementación en una única referencia — úsela como una lista de verificación de trabajo, no como un ejercicio único.

El Registro de Control de Acceso de Proveedores une las filas 1 a 10: un documento por relación, actualizado en cada ciclo de revisión, visible para la dirección.

Si su equipo gestiona contraseñas de proveedores compartidas o credenciales privilegiadas de proveedores, el software de compartición de contraseñas para empresas como Passwork puede ayudar a organizar el acceso, los permisos y la evidencia de auditoría en un entorno controlado. Ese es un componente dentro de un programa de control de acceso más amplio, no un sustituto del trabajo de gobernanza descrito anteriormente.

Preguntas frecuentes

¿Exige NIS2 MFA para todo acceso de proveedores?

El Artículo 21(2)(j) de NIS2 se refiere a MFA o autenticación continua «cuando sea apropiado», por lo que se aplica un enfoque basado en riesgos. La guía 2025 de ENISA exige MFA resistente al phishing de Nivel 1 (FIDO2, WebAuthn) para todo acceso privilegiado y administrativo. Los métodos de Nivel 2 son aceptables para cuentas estándar sin privilegios elevados. El OTP por SMS y correo electrónico está marcado para eliminación progresiva en entornos regulados.

¿Qué es el Reglamento de Ejecución (UE) 2024/2690?

El Reglamento de Ejecución 2024/2690 traduce los requisitos amplios del Artículo 21 de NIS2 en más de 150 controles de ciberseguridad específicos. Para la seguridad de la cadena de suministro, establece expectativas concretas sobre el aprovisionamiento de acceso de proveedores, la gestión de cuentas privilegiadas y la notificación de incidentes. Se aplica directamente a proveedores DNS, servicios en la nube, proveedores de servicios gestionados y otros tipos de entidades designadas.

¿Se aplica NIS2 a subcontratistas y cuartas partes?

El Artículo 21(2)(d) se centra en las relaciones con proveedores directos y prestadores de servicios. Los contratos deben requerir la divulgación de subcontratistas y la extensión de los requisitos de ciberseguridad siempre que el acceso del proveedor o la continuidad del servicio dependa de un subcontratista. La guía 2025 de ENISA respalda esto a través de sus recomendaciones sobre requisitos de subcontratación en los SLAs de proveedores.

¿Qué evidencia demuestra que los controles de acceso de proveedores funcionan?

La evidencia útil incluye registros de acceso de proveedores, registros de inscripción e inicio de sesión de MFA, aprobaciones de sesión PAM, cláusulas contractuales que especifican requisitos de acceso, aprobaciones de revisión de acceso con fechas, tickets de desaprovisionamiento y registros de notificación de incidentes. La combinación demuestra que los controles existen, se aplican y se revisan en un calendario definido.

¿Con qué frecuencia debe revisarse el acceso de proveedores?

Revise todo el acceso de proveedores al menos anualmente. Para proveedores con acceso privilegiado o a sistemas de producción, las revisiones trimestrales son más apropiadas. Active una revisión fuera de ciclo inmediata después de cualquier incidente, cambio de contrato, cambio de personal en el lado del proveedor o terminación de contrato.

¿Qué es un Registro de Control de Acceso de Proveedores?

Un Registro de Control de Acceso de Proveedores es un documento por relación que asigna un proveedor a las cuentas específicas, rutas de acceso, tipos de identidad, controles de autenticación y registros de evidencia asociados con esa relación. Es la unidad operativa para demostrar que el riesgo de la cadena de suministro se ha convertido en gobernanza de acceso aplicable bajo el Artículo 21 de NIS2.

Últimas noticias de NIS2: Actualizaciones de aplicación de mayo 2026

La fase de sanciones completas de Bulgaria, la nueva ley de Luxemburgo, la Cyberbeveiligingswet de los Países Bajos, ENISA NIS360 2026 — desarrollos de aplicación de NIS2 de mayo 2026.

Passwork BlogAlex Muntyan

Guía de cumplimiento NIS2: La hoja de ruta de gestión de acceso para 2026

Las credenciales robadas dominan las brechas en 2026. El Artículo 21 de NIS2 exige 10 medidas de seguridad para eliminar los vectores de ataque basados en credenciales. Esta guía cubre los requisitos técnicos, la obligación de notificación de incidentes en 24 horas, los niveles de MFA de ENISA y una hoja de ruta de 5 fases para el cumplimiento listo para auditoría.

Passwork BlogAlex Muntyan

Desvinculación de empleados: Guía de revocación segura de acceso 2026

Deshabilitar una cuenta SSO no revoca el acceso. Las claves API, las credenciales de agentes de IA y las contraseñas compartidas sobreviven. Esta guía cubre el manual completo de desvinculación — desde los disparadores de hora cero hasta la limpieza de NHI.

Passwork BlogAlex Muntyan

Um NIS2-Zugriffskontrollen für die Lieferkettensicherheit zu implementieren, ordnen Sie jeden direkten Lieferanten und Dienstleister den Systemen, Accounts, Berechtigungen, Authentifizierungsmethoden und Nachweisdokumenten zu, die diese nutzen. Setzen Sie dann das Least-Privilege-Prinzip durch, MFA oder kontinuierliche Authentifizierung wo angemessen, Kontrollen für privilegierte Accounts, Vertragsklauseln, Monitoring und regelmäßige Zugriffsüberprüfungen.

NIS2-Lieferkettensicherheit ist keine Beschaffungsübung. Sie bedeutet, jede Lieferantenbeziehung in durchsetzbare Kontrollen über Accounts, gemeinsam genutzte Zugangsdaten, Remote-Zugriffspfade, privilegierte Aktionen und Protokolle zu übersetzen.

Laut Verizons Data Breach Investigations Report 2025 waren Drittparteien an 30 % der analysierten Sicherheitsverletzungen beteiligt. Der DBIR 2026 zeigt eine Beschleunigung des Trends: Die Beteiligung von Drittparteien erscheint nun bei 48 % der bestätigten Sicherheitsverletzungen — ein Anstieg von 60 % im Jahresvergleich. Bei dieser Entwicklung ist die Steuerung von Lieferantenzugriffen kein erstrangiges Risiko mehr, das Sie aufschieben können.

Die finanziellen Auswirkungen sind ebenso deutlich. IBMs Cost of a Data Breach Report 2025 beziffert die durchschnittlichen Kosten einer Lieferkettenkompromittierung auf 4,91 Millionen US-Dollar — und diese Sicherheitsverletzungen benötigen insgesamt 267 Tage zur Identifizierung und Eindämmung. NIS2 Artikel 21 und die Durchführungsverordnung (EU) 2024/2690 machen dies zu einem IAM-Mandat, nicht zu einer Frage des Lieferantenmanagements.

Ihre Organisation trägt die regulatorische Verantwortung für jeden Zugriffspfad, den Sie einer externen Partei gewähren.

Die wichtigsten Erkenntnisse

• NIS2-Lieferkettensicherheit ist ein IAM-Mandat, keine Frage des Lieferantenmanagements. Artikel 21(2)(d) macht Ihre Organisation rechtlich verantwortlich für jeden Zugriffspfad, der einer externen Partei gewährt wird — einschließlich VPNs, APIs, SaaS-Adminkonsolen, CI/CD-Pipelines und Remote-Support-Tools.
• Sicherheitsverletzungen durch Drittparteien nehmen zu. Verizons DBIR 2026 beziffert die Beteiligung von Drittparteien auf 48 % der bestätigten Sicherheitsverletzungen — gegenüber 30 % im Vorjahr.
• ENISAs Leitfaden von 2025 schreibt Tier-1-MFA für alle privilegierten Lieferantenzugriffe vor. FIDO2 und WebAuthn sind die einzigen akzeptablen Methoden für Lieferantenaccounts mit administrativem oder Produktionssystemzugriff. SMS-OTP ist zur Abschaffung vorgesehen.
• Gemeinsam genutzte Lieferantenaccounts sind eine Compliance-Lücke. Namentlich zugeordnete individuelle Accounts, Least-Privilege-RBAC und Just-in-Time-privilegierter Zugriff sind die Mindestanforderung — keine optionale Härtung.
• Audit-Protokolle sind der Nachweis, nicht der Notfallplan. Die 24-Stunden-Frühwarnfrist nach Artikel 23 kann ohne unveränderliche Protokolle nicht eingehalten werden, die genau zeigen, was ein Lieferantenaccount wann getan hat.
• Der Zugriffsentzug muss automatisch erfolgen und an Vertragslebenszyklus-Ereignisse gekoppelt sein. Manuelle Deprovisionierungs-Tickets sind zu langsam. Wenn ein Lieferantenvertrag endet, endet damit auch der Zugriff.
• Der Supplier Access Control Record ist die Einheit der Verantwortlichkeit. Ein Eintrag pro Lieferantenbeziehung — Zugriffspfad, Identitätstyp, MFA-Tier, Nachweis — aktualisiert bei jedem Überprüfungszyklus.

Was NIS2 von Lieferantenzugriffskontrollen verlangt

NIS2 Artikel 21 verlangt von wesentlichen und wichtigen Einrichtungen, angemessene und verhältnismäßige technische, operative und organisatorische Maßnahmen zur Bewältigung von Cybersicherheitsrisiken zu ergreifen. Artikel 21(2) listet zehn Mindestmaßnahmen auf. Fünf davon betreffen direkt die Steuerung von Lieferantenzugriffen.

Die Richtlinie schreibt kein einzelnes Tool oder eine universelle MFA-Methode vor. Sie verlangt Maßnahmen, die dem Risiko angemessen und verhältnismäßig sind. Für Lieferantenzugriff bedeutet das, zu identifizieren, welche externen Benutzer, Support-Accounts, APIs und Integrationen Ihre kritischen Assets erreichen können — und dann Kontrollen anzuwenden, die der Sensibilität dessen entsprechen, was diese Pfade offenlegen.

Artikel 21(3) geht weiter: Einrichtungen müssen Schwachstellen berücksichtigen, die spezifisch für jeden direkten Lieferanten und Diensteanbieter sind, sowie die Gesamtqualität ihrer Cybersicherheitspraktiken. Das macht die Steuerung von Lieferantenidentitäten und -zugriffen zu einer direkten rechtlichen Verpflichtung, nicht zu einer Best-Practice-Empfehlung.

Die Durchführungsverordnung (EU) 2024/2690 übersetzt die übergeordneten Anforderungen von Artikel 21 in über 150 spezifische Cybersicherheitskontrollen. Für Lieferantenbeziehungen setzt sie konkrete Erwartungen an die Zugriffsbereitstellung, das Management privilegierter Accounts und die Vorfallmeldung — und verschiebt die Compliance-Frage von „Haben Sie eine Richtlinie?" zu „Können Sie nachweisen, dass die Kontrollen funktionieren?"

ENISAs technische Implementierungsanleitung von 2025 behandelt Lieferkettensicherheitsrichtlinien, Zugriffskontrollrichtlinien und Richtlinien für privilegierte Accounts als erforderliche themenspezifische Richtlinien im NIS2-Rahmenwerk.

Die 5 wesentlichen Zugriffskontrollen für NIS2-Lieferketten-Compliance

Wenn ein Lieferant Remote- oder privilegierten Zugriff hat, wird NIS2-Lieferkettensicherheit zu einem Identitätskontrollproblem. Die Lieferantenbeziehung schafft einen direkten Pfad in Ihre Netz- und Informationssysteme.

Strikte rollenbasierte Zugriffskontrolle (RBAC) durchsetzen

Eliminieren Sie gemeinsam genutzte Lieferantenaccounts. Jeder Lieferanteningenieur, der Systemzugriff benötigt, erhält einen namentlich zugeordneten, individuellen Account, der an seinen spezifischen Einsatz gekoppelt ist. Generische „Vendor"-Accounts machen eine Zuordnung während eines Vorfalls unmöglich — und genau diese Zuordnung verlangt die 24-Stunden-Frühwarnfrist nach Artikel 23.

Wenden Sie das Least-Privilege-Prinzip auf Rollenebene an: Lieferanten erhalten den minimalen Zugriff, der zur Erfüllung ihrer vertraglich vereinbarten Aufgaben erforderlich ist, beschränkt auf spezifische Assets, nicht auf breite Systemsegmente. Wenn sich der Einsatz ändert, ändern sich auch die Berechtigungen.

Tier-1-MFA für privilegierten Zugriff implementieren

ENISAs technische Anleitung von 2025 stuft MFA in drei Tiers ein. Für jeden Lieferanten mit administrativem oder privilegiertem Zugriff ist Tier 1 die einzig akzeptable Option.

Die praktische Auswirkung: Wenn Ihre MSP-Support-Ingenieure sich per SMS authentifizieren, um Produktionssysteme zu erreichen, ist das nach der aktuellen ENISA-Anleitung eine Compliance-Lücke. Tier-1-Methoden sind Phishing-resistent, da die kryptografischen Anmeldedaten an die spezifische Domain gebunden sind — eine Phishing-Seite kann sie nicht abfangen.

Privileged Access Management (PAM) und Credential Vaulting einsetzen

Just-in-Time (JIT)-Zugriff ist das richtige Modell für Drittanbieter-Support-Teams. Erhöhte Berechtigungen werden für eine definierte Sitzung gewährt, vollständig protokolliert und automatisch widerrufen, wenn die Sitzung endet. Kein ständiger Zugriff, keine persistenten privilegierten Accounts, die sich über Jahre von Lieferantenbeziehungen ansammeln.

Für gemeinsam genutzte Zugangsdaten, die nicht eliminiert werden können — Notfall-Break-Glass-Accounts, Legacy-System-Dienstaccounts, gemeinsam genutzte API-Schlüssel — verwenden Sie einen Credential-Tresor mit rollenbasierten Berechtigungen und vollständigem Audit-Trail. Ein Enterprise Password Manager kann gemeinsam genutzte Lieferantenzugangsdaten zentralisieren, den Zugriff nach Rollen einschränken und die Aufzeichnungen aufbewahren, nach denen ein Prüfer fragen wird.

Black Kites Supply Chain Vulnerability Report 2026 ergab, dass Angreifer Schwachstellen durchschnittlich sieben Tage vor der öffentlichen Bekanntmachung ausnutzen — basierend auf der Analyse von über 48.000 CVEs, die 2025 veröffentlicht wurden. Langlebige Lieferantenzugangsdaten in CI/CD-Pipelines oder Integrationsaccounts sind eine offene Einladung. Rotieren Sie API-Tokens nach einem definierten Zeitplan und widerrufen Sie sie sofort, wenn eine Lieferantenbeziehung endet.

Unveränderliche Audit-Protokolle führen

Artikel 23 setzt strenge Fristen für die Vorfallmeldung: eine 24-Stunden-Frühwarnung, eine 72-Stunden-förmliche Meldung und einen umfassenden Abschlussbericht innerhalb eines Monats. Diese Fristen ohne unveränderliche Audit-Protokolle einzuhalten, ist nicht realistisch. Die Protokolle sind der Nachweis — sie zeigen genau, was ein Lieferantenaccount wann und von wo aus getan hat.

Protokolle müssen manipulationssicher sein und lange genug aufbewahrt werden, um sowohl interne Untersuchungen als auch Anfragen der Aufsichtsbehörden zu unterstützen. Erfassen Sie speziell für Lieferantenaccounts Authentifizierungsereignisse, Berechtigungseskalationen, Sitzungsaktivitäten, Konfigurationsänderungen und den Zugriff auf sensible Daten. Wenn ein Vorfall eintritt, muss die Frage „Was hat dieser Lieferantenaccount berührt?" innerhalb von Stunden beantwortet werden können, nicht innerhalb von Wochen.

Zugangsdatenwiderruf automatisieren

Koppeln Sie den Lieferantenzugriff direkt an Vertragslebenszyklus-Ereignisse. Wenn ein Lieferantenvertrag ausläuft, gekündigt wird oder wenn ein namentlich zugeordneter Ingenieur das Lieferantenteam verlässt, muss der Zugriffsentzug sofort und automatisch erfolgen — nicht abhängig von einem manuellen Ticket, das jemand zu erstellen nicht vergisst.

Einen Supplier Access Control Record erstellen

Ein Supplier Access Control Record ist der operative Datensatz, der eine Lieferantenbeziehung mit spezifischen Zugriffsrechten und dem Nachweis verknüpft, dass diese Rechte kontrolliert werden. Ein Datensatz pro Lieferantenbeziehung. Dies ist die Einheit der Verantwortlichkeit.

Der Datensatz beantwortet die Fragen, die ein Prüfer, eine Aufsichtsbehörde oder Ihr eigenes Incident-Response-Team stellen wird: Wer hat Zugriff, worauf, über welchen Pfad, mit welcher Authentifizierung und wer hat es genehmigt?