Die EU-Vertragsverletzungsmaschinerie ist im Juli 2026 von Warnungen zu Gerichtsverweisungen übergegangen. Irland, Spanien, Frankreich und die Niederlande sehen sich nun finanziellen Sanktionen gegenüber, weil sie die NIS2-Umsetzungsfrist vom Oktober 2024 verpasst haben — tägliche Strafen laufen auf, bis jedes Land der Kommission die vollständige Umsetzung meldet.

Gleichzeitig nimmt die Durchsetzungsinfrastruktur Gestalt an. Das deutsche BSI prüft aktiv registrierte Einrichtungen. Die Niederlande haben ihr nationales Gesetz einen Tag vor der Gerichtsverweisung verabschiedet. Die NIS-Kooperationsgruppe hat das bisher detaillierteste Mapping-Dokument zu Artikel 21 veröffentlicht. Und die Kommission hat NIS2 erstmals explizit mit KI-gestützter Bedrohungserkennung verknüpft.

Dieser Artikel behandelt alle wesentlichen NIS2-Entwicklungen: was sich geändert hat, welche Fristen aktuell gelten und worauf Ihr Team jetzt reagieren muss. Für die Entwicklungen des Vormonats siehe Aktuelle NIS2-Nachrichten: Mai 2026.

Wichtigste Erkenntnisse

• Gerichtsverweisungen gegen vier Mitgliedstaaten eingereicht. Am 8. Juli 2026 hat die Europäische Kommission Irland, Spanien, Frankreich und die Niederlande an den Gerichtshof der EU verwiesen, weil sie NIS2 nicht vollständig umgesetzt haben. Für jedes Land werden finanzielle Sanktionen beantragt.
• Das niederländische Cyberbeveiligingswet tritt am 15. August 2026 in Kraft. Der niederländische Senat hat das Gesetz am 7. Juli verabschiedet. Mehr als 8.000 Organisationen müssen sich beim NCSC registrieren, risikobasierte Sicherheitsmaßnahmen umsetzen und bis zu diesem Datum eine Aufsicht auf Vorstandsebene sicherstellen.
• Das deutsche BSI prüft jetzt aktiv, nicht nur Registrierungen. Die aktive Aufsichtsphase begann am 6. März 2026. Das BSI kann Nachweise über Sicherheitsmaßnahmen anfordern, ohne auf einen Vorfall zu warten. Eine sekundäre Registrierungsfrist vom 31. Juli gilt für den erheblichen Anteil der 29.000 betroffenen Einrichtungen, die den März-Termin verpasst haben.
• Die NIS-Kooperationsgruppe hat ihr Artikel-21-Mapping-Dokument veröffentlicht. Im Juni 2026 veröffentlicht, ordnet es NIS2-Pflichten und die Durchführungsverordnung 2024/2690 ISO 27001, NIST CSF 2.0, IEC 62443 und nationalen Rahmenwerken zu — die bisher konkreteste EU-weite Compliance-Orientierung.
• Irlands NCSC hat Leitlinien zur Cyber-Governance auf Vorstandsebene veröffentlicht. Am 7. Juli 2026 veröffentlicht, richtet sich das Dokument an CEOs, CIOs und CISOs in NIS2-regulierten Organisationen und basiert auf dem NIST-basierten CyFun-Framework.
• ENISA hat den Raumfahrtsektor auf hohe Kritikalität angehoben. Der NIS360-Bericht 2026 stellt Raumfahrt neben Banken, Elektrizität und Luftfahrt. Sieben Sektoren verbleiben in der Risikozone, wo die Reife hinter den Kritikalitätsanforderungen zurückbleibt.
• Der EU-Aktionsplan zu Cybersicherheit und KI wurde am 7. Juli 2026 veröffentlicht. Es ist das erste EU-Dokument, das NIS2-Compliance formal mit KI-gestützter Bedrohungserkennung als erwartete operative Praxis verknüpft.
• Das britische Cyber Security and Resilience Bill hat das Unterhaus am 16. Juni passiert. Es wurde am 17. Juni ins Oberhaus eingebracht und ist für eine zweite Lesung am 14. Juli vorgesehen. Managed-Service-Provider und Rechenzentrumsbetreiber fallen erstmals in den Geltungsbereich.

EU-Kommission verklagt Irland, Spanien, Frankreich und die Niederlande wegen NIS2-Verzögerungen

Am 8. Juli 2026 hat die Europäische Kommission Irland, Spanien, Frankreich und die Niederlande an den Gerichtshof der EU verwiesen, weil sie die vollständige Umsetzung der NIS2-Richtlinie nicht gemeldet haben. Die Verweisungen beinhalten einen Antrag auf finanzielle Sanktionen: einen Pauschalbetrag plus tägliche Strafen, die auflaufen, bis jedes Land die vollständige Umsetzung meldet.

Die Umsetzungsfrist war der 17. Oktober 2024. Die Kommission sandte im November 2024 förmliche Mahnschreiben an nicht konforme Mitgliedstaaten und im Mai 2025 mit Gründen versehene Stellungnahmen. Die Gerichtsverweisung ist die dritte und letzte Stufe des EU-Vertragsverletzungsverfahrens.

Der Zeitpunkt ist für die Niederlande bemerkenswert. Der niederländische Senat hat das Cyberbeveiligingswet am 7. Juli verabschiedet — einen Tag bevor die Verweisung eingereicht wurde (mehr dazu unten). Das Gesetz tritt am 15. August 2026 in Kraft, aber die förmliche Mitteilung der Umsetzung an die Kommission war zum Zeitpunkt der Verweisung noch nicht eingereicht. Die täglichen Strafen werden nicht mehr auflaufen, sobald die Mitteilung abgeschlossen ist.

Für Spanien, Frankreich und Irland ist kein entsprechendes nationales Gesetz verabschiedet worden. Spaniens Umsetzung wird für Ende 2026 erwartet. Frankreich und Irland haben keine festen Zeitpläne angekündigt.

Die Vertragsverletzungsverfahren haben individuelle Fallnummern:

• Irland (INFR(2024)0279)
• Spanien (INFR(2024)0270)
• Frankreich (INFR(2024)0274)
• Niederlande (INFR(2024)0288)

Die Verweisungen bekräftigen einen Punkt, den Compliance-Teams in diesen Ländern bereits kennen sollten: Die Anforderungen der NIS2-Richtlinie sind unabhängig vom nationalen Umsetzungsstatus verbindlich. Gerichtsverfahren setzen die zugrunde liegenden Verpflichtungen nicht aus — sie erhöhen den finanziellen Druck auf Regierungen, die Lücke schneller zu schließen.

Quelle: Europäische Kommission, 2026

Niederlande: Cyberbeveiligingswet verabschiedet, tritt am 15. August in Kraft

Am 7. Juli 2026 hat der niederländische Senat sowohl das Cyberbeveiligingswet (die niederländische Umsetzung von NIS2) als auch das Critical Entities Resilience Act (Wwke) verabschiedet, das die EU-Richtlinie über die Resilienz kritischer Einrichtungen (CER) umsetzt. Beide Gesetze treten am 15. August 2026 in Kraft.

Mehr als 8.000 Organisationen fallen in den Geltungsbereich: Ministerien, Gemeinden, Wasserbehörden, Provinzen, unabhängige Verwaltungsorgane und interkommunale Partnerschaften. Ab dem 15. August müssen sie:

1. Sich beim National Cyber Security Centre (NCSC) über das Entitätenregister registrieren.
2. Angemessene technische, betriebliche und organisatorische Maßnahmen auf Basis einer Risikobewertung umsetzen — einschließlich Lieferkettenabhängigkeiten.
3. Schwerwiegende Cybersicherheitsvorfälle dem zuständigen CSIRT und der zuständigen Aufsichtsbehörde innerhalb der gesetzlichen Fristen melden.
4. Aufsicht auf Vorstandsebene sicherstellen: Mitglieder der Leitungsorgane müssen über ausreichende Cybersicherheitskenntnisse verfügen und entsprechende Schulungen absolvieren.

Die Durchsetzung liegt bei den benannten Aufsichtsbehörden, einschließlich der niederländischen Behörde für digitale Infrastruktur. Das Cyberbeveiligingswet führt eine Geschäftsführerhaftung ein: Aufsichtsbehörden können verbindliche Anweisungen erteilen, Inspektionen durchführen und Geschäftsführer bei Bedarf suspendieren.

Für Organisationen des öffentlichen Sektors zählt die Einhaltung des Standards Baseline Information Security Government (BIO) 2 zur Erfüllung der Sicherheitsanforderungen des Cbw.

Das Inkrafttreten am 15. August ist eine harte Frist. Die Registrierung beim NCSC sollte vor diesem Datum beginnen — das NCSC selbst empfiehlt, sich im Voraus vorzubereiten, um Engpässe im Registrierungsprozess zu vermeiden.

Quelle: NL Digital Government, 2026

EU-weit: Neues Referenzdokument zu Sicherheitsmaßnahmen veröffentlicht

Im Juni 2026 veröffentlicht, gibt das Referenzdokument zu Sicherheitsmaßnahmen der NIS-Kooperationsgruppe Organisationen die bisher konkreteste EU-weite Orientierung zur Einhaltung von NIS2 Artikel 21. Das Dokument etabliert einen gemeinsamen europäischen Rahmen für Cybersicherheitsziele und enthält eine Mapping-Tabelle, die NIS2-Pflichten und die Europäische Durchführungsverordnung 2024/2690 verknüpft mit:

• ISO/IEC 27001
• IEC 62443
• NIST Cybersecurity Framework 2.0
• nationalen Cybersicherheitsrahmenwerken
• dem CyberFundamentals Framework, CyFun®

Das Dokument ist nicht verbindlich. Es ersetzt weder nationale NIS2-Gesetzgebung noch sektorspezifische Leitlinien. Aber für Compliance-Teams, die bereits gegen ISO 27001 oder NIST CSF 2.0 arbeiten, beantwortet es eine Frage, die seit Verabschiedung der Richtlinie offen war: Wie genau ordnen sich meine bestehenden Kontrollen den NIS2-Anforderungen zu?

Das Mapping ist besonders nützlich für Organisationen, die in mehreren Mitgliedstaaten tätig sind. Anstatt separate Gap-Analysen pro Jurisdiktion zu pflegen, können Teams das Referenzdokument als gemeinsame Basis verwenden und dann nationale Abweichungen darüber legen.

Zugangskontrolle, Authentifizierung und Privileged Access Management erscheinen explizit in den gemappten Zielen — Bereiche, in denen sich die Orientierung des Referenzdokuments direkt mit NIS2 Artikel 21(2)(j) zur Verwendung von Multi-Faktor-Authentifizierung und sicheren Kommunikationssystemen deckt.

Quellen: Center for Cybersecurity Belgium, 2026; Europäische Kommission, 2026

Irland: NCSC veröffentlicht Leitlinien zur Cyber-Governance auf Vorstandsebene für NIS2-Einrichtungen

Am 7. Juli 2026 hat Irlands National Cyber Security Centre Leitlinien zur Cyber-Governance für Mitglieder von Leitungsorganen in NIS2-regulierten Organisationen veröffentlicht. Das Dokument richtet sich an CEOs, Geschäftsführer, CIOs und CISOs — die Führungskräfte, die unter NIS2 persönlich für das Cybersicherheits-Risikomanagement verantwortlich sind.

Die Leitlinien konzentrieren sich auf das Cyber Fundamentals Framework (CyFun), Irlands bevorzugtes nationales Framework für NIS2-Compliance. CyFun basiert auf dem NIST Cybersecurity Framework und gibt Vorständen einen strukturierten, risikobasierten Ansatz zur Erfüllung ihrer rechtlichen Verpflichtungen, ohne tiefes technisches Fachwissen zu erfordern.

Das Dokument deckt drei praktische Bereiche ab: Verständnis, welche Fragen Vorstände zu Cyberrisiken stellen sollten, Identifizierung und Management von Lieferkettenrisiken sowie Aufbau einer Organisationskultur, in der Cybersicherheit als Governance-Thema behandelt wird, nicht als Problem der IT-Abteilung.

Der Zeitpunkt ist bewusst gewählt. Irland ist derzeit Gegenstand eines EU-Vertragsverletzungsverfahrens wegen nicht vollständiger Umsetzung von NIS2 in nationales Recht — die Kommission hat das Land am 8. Juli 2026 an den Gerichtshof verwiesen. Die Veröffentlichung von Leitlinien auf Vorstandsebene vor der formellen Umsetzung signalisiert, dass das NCSC Organisationen unabhängig vom Stand des Gesetzgebungsverfahrens zur Compliance führt.

Quelle: Offizielles Portal der irischen Regierung, 2026

ENISA NIS360 2026: Raumfahrtsektor auf hohe Kritikalität angehoben

Der ENISA NIS360-Bericht 2026 ist die dritte jährliche Bewertung der Cybersicherheitsreife und Kritikalität aller Sektoren aus Anhang I der NIS2-Richtlinie. Die Haupterkenntnis: Der Raumfahrtsektor hat sich zu Banken, Elektrizität, Luftfahrt und digital-nativen Diensten im höchsten Kritikalitätsband gesellt.

Die Anhebung spiegelt die wachsende Rolle der Raumfahrtinfrastruktur als Abhängigkeitsschicht für andere Sektoren wider: Navigation, Kommunikation, Finanzabwicklung und Militärlogistik laufen alle über Satellitensysteme. Höhere Abhängigkeit bedeutet höhere Auswirkungen bei Störungen und höhere Zeitkritikalität bei der Wiederherstellung.

Sieben Sektoren fallen in die NIS360-Risikozone 2026, in der die Cybersicherheitsreife hinter dem Niveau zurückbleibt, das ihre Kritikalität erfordert:

1. Gesundheit
2. Schienenverkehr
3. Seeverkehr
4. IKT-Dienstleistungsmanagement
5. Raumfahrt
6. Öffentliche Verwaltung
7. Trink- und Abwasser

Drei Sektoren erreichten das hohe Reifeband: Vertrauensdienste, Luftfahrt und Finanzmarktinfrastrukturen. Der Gassektor hat begonnen, sich aus der Risikozone zu bewegen, angetrieben durch verbesserten Informationsaustausch und stärkere Umsetzung von Risikomanagementmaßnahmen.

Die Zusammensetzung der Risikozone ist operativ relevant. Aufsichtsbehörden nutzen NIS360-Daten zur Priorisierung ihrer Auditkalender. Wenn Ihre Organisation im Gesundheitswesen, Schienenverkehr oder der öffentlichen Verwaltung tätig ist, erwarten Sie in der zweiten Jahreshälfte 2026 erhöhte aufsichtliche Aufmerksamkeit.

Die ENISA NIS Investments 2025-Studie ergab, dass 70% der befragten Organisationen NIS2-, DORA- und CRA-Compliance als Haupttreiber der Cybersicherheitsausgaben nannten — eine Zahl, die wahrscheinlich steigen wird, wenn Aufsichtsbehörden von der Registrierung zur aktiven Prüfung übergehen.

Quelle: ENISA, 2026

Deutschland: BSI tritt in aktive Aufsichtsphase ein

Das deutsche BSI trat am 6. März 2026 in die aktive Aufsichtsphase ein — das Datum, an dem die Registrierungsfrist gemäß dem NIS2-Umsetzungsgesetz (NIS2UmsuCG) ablief. Das Gesetz wurde am 6. Dezember 2025 erlassen. Bis Juni 2026 war es sechs Monate in Kraft.

Die Analyse von SecurityToday.de vom 16. Juni zum Aufsichtswechsel stellte fest, dass sich die Frage geändert hat: nicht mehr, ob eine Einrichtung registriert ist, sondern ob ihre gemeldeten Maßnahmen einer Prüfung standhalten.

Das BSI-Registrierungsportal wurde am 6. Januar 2026 eröffnet. Ein erheblicher Anteil der etwa 29.000 betroffenen Einrichtungen hat die März-Frist verpasst. Das BSI hat eine sekundäre Registrierungsfrist auf den 31. Juli 2026 gesetzt. Eine späte Registrierung bleibt möglich, schafft aber keinen sicheren Hafen — die Compliance-Pflichten gelten seit Dezember 2025, unabhängig vom Registrierungsstatus.

Was aktive Aufsicht in der Praxis bedeutet:

• Das BSI kann proaktiv Nachweise über Sicherheitsmaßnahmen anfordern — ohne auf einen Vorfall zu warten.
• Vor-Ort- und Fernprüfungen sind jetzt im Umfang enthalten.
• Bußgelder für wesentliche Einrichtungen erreichen bis zu 10 Millionen Euro oder 2% des weltweiten Jahresumsatzes, je nachdem, welcher Betrag höher ist.
• Mitglieder von Leitungsorganen tragen persönliche Haftung, einschließlich möglicher vorübergehender Verbote zur Ausübung von Leitungsfunktionen.

Deutschlands Umsetzung geht bei der Geschäftsführerhaftung über das EU-Minimum hinaus. Das NIS2UmsuCG verlangt ausdrücklich, dass Leitungsorgane Cybersicherheitsmaßnahmen genehmigen, deren Umsetzung überwachen und persönliche Kompetenz nachweisen. Aufsichtsbehörden können einzelne Führungskräfte persönlich für systemische Versäumnisse zur Verantwortung ziehen.

Es gibt einen praktischen Vorteil von Deutschlands strengerem Standard. Organisationen, die die NIS2UmsuCG-Anforderungen erfüllen, erfüllen das EU-Minimum mit Spielraum. Für Unternehmen, die in mehreren Mitgliedstaaten tätig sind, wird eine Sicherheitslage, die der BSI-Prüfung standhält, in der Regel auch bei benachbarten Aufsichtsbehörden bestehen.

Für späte Registranten ist die Prioritätenreihenfolge klar: zuerst registrieren, dann dokumentierte Nachweise über Maßnahmen erstellen. Wenn ein meldepflichtiger Vorfall eintritt, bevor Maßnahmen nachweislich vorhanden sind, ist eine versäumte oder verspätete Registrierung ein erschwerender Faktor.

Quelle: SecurityToday.de, 2026

EU-Aktionsplan zu Cybersicherheit und KI veröffentlicht

Am 7. Juli 2026 hat die Europäische Kommission den EU-Aktionsplan zu Cybersicherheit und Künstlicher Intelligenz veröffentlicht. Das Dokument legt einen koordinierten EU-Ansatz für KI-gestützte Cybersicherheit über Mitgliedstaaten, Behörden und Unternehmen hinweg fest.

Der Plan ist auf drei Ziele ausgerichtet: Förderung einer sicheren und verantwortungsvollen Nutzung fortschrittlicher KI, Stärkung der EU-Cybersicherheit und -Resilienz sowie Ausbau der KI-Fähigkeiten Europas für Cybersicherheitszwecke.

Auf der NIS2-Seite nennt der Aktionsplan explizit die NIS2-Richtlinie als Teil des bestehenden Rechtsrahmens, auf dem er aufbaut, und ermutigt Organisationen, die NIS2 unterliegen, KI (einschließlich Open-Source-Modelle) zur schnelleren Erkennung und Behebung von Schwachstellen einzusetzen. Dies ist das erste EU-Dokument, das NIS2-Compliance formal mit KI-gestützter Bedrohungserkennung als erwartete operative Praxis verknüpft.

Konkrete Maßnahmen umfassen:

• Einen European Blueprint für sicheren Zugang zu fortschrittlichen KI-Systemen für Cybersicherheitszwecke, der mit ENISA entwickelt werden soll.
• Eine sichere Testplattform für Organisationen in kritischen Sektoren (Energie, Verkehr, Gesundheit, Finanzen und öffentliche Verwaltung) zum sicheren Testen und Einsetzen von KI-Lösungen.
• Eine EU Grand Challenge zu KI für Cybersicherheit, die Industrie, Forscher und Open-Source-Communities zusammenbringt.

Der Aktionsplan steht neben dem AI Act, dem Cyber Resilience Act, DORA und dem Cyber Solidarity Act. Er schafft selbst keine neuen verbindlichen Verpflichtungen, signalisiert aber, wohin die Kommission erwartet, dass Durchsetzungsschwerpunkte und Investitionen im nächsten Gesetzgebungszyklus gehen.

Quelle: Europäische Kommission, 2026

UK: Cyber Security and Resilience Bill passiert Unterhaus, geht ins Oberhaus

Am 16. Juni 2026 hat das Cyber Security and Resilience (Network and Information Systems) Bill seine dritte Lesung und Berichtsphase im House of Commons abgeschlossen. Es erhielt seine erste Lesung im House of Lords am 17. Juni und ist für eine zweite Lesung im Lords am 14. Juli 2026 vorgesehen.

Das Gesetz wurde am 12. November 2025 ins Parlament eingebracht und aktualisiert die bestehenden Network and Information Systems Regulations 2018 (NIS1). Es setzt NIS2 nicht um (das Vereinigte Königreich ist nicht mehr an EU-Recht gebunden), aber es nähert die UK-Anforderungen erheblich dem NIS2-Standard in Umfang und Durchsetzung an.

Was das Gesetz hinzufügt:

• Managed-Service-Provider fallen erstmals in den Geltungsbereich. Relevant Managed Service Providers (RMSPs) müssen sich beim ICO registrieren, Risikomanagementmaßnahmen umsetzen und einen UK-Vertreter benennen, wenn sie nicht im UK ansässig sind.
• Rechenzentrumsbetreiber werden ebenfalls in den Geltungsbereich aufgenommen.
• Fristen für die Vorfallsmeldung werden verschärft: 24-Stunden-Erstmeldung, 72-Stunden-Vollmeldung — entsprechend der NIS2-Artikel-23-Struktur.
• Bezeichnung kritischer Lieferanten: Das ICO erhält die Befugnis, Lieferanten zu bezeichnen, deren Kompromittierung wesentliche Dienste oder RMSPs beeinträchtigen würde.
• Strafen steigen auf bis zu 17 Millionen Pfund oder 4% des weltweiten Jahresumsatzes bei schwerwiegenden Verstößen; bis zu 10 Millionen Pfund oder 2% bei weniger schwerwiegenden.

Die Vorfallsdefinition wird ebenfalls erweitert: Das Gesetz erfasst Vorfälle, die „geeignet sind, eine nachteilige Auswirkung" auf regulierte Dienste zu haben, nicht nur solche mit einer nachgewiesenen tatsächlichen Auswirkung. Dies ist eine bedeutsame Änderung für Organisationen, die derzeit ihre Meldeschwellen kalibrieren.

63 Änderungsanträge wurden während der Gesetzespassage vorgeschlagen. Zwei im Juni eingereichte Änderungsanträge, darunter einer zur Aufnahme der Lebensmittellieferkette als regulierten wesentlichen Dienst, erhielten in der Berichtsphase keine Entscheidung.

Die Regierung erwartet, 2026 eine Konsultation zu sekundärer Gesetzgebung durchzuführen, die spezifische Risikomanagementmaßnahmen und Meldepflichten abdeckt. Einige Bestimmungen werden ab dem ersten Tag oder zweiten Monat nach der königlichen Zustimmung in Kraft treten; andere werden durch sekundäre Gesetzgebung folgen.

Quellen: UK Parliament, 2026; Parallel Parliament, 2026

Zusammenfassung

Der Zeitraum von Juni bis Anfang Juli 2026 markiert den Punkt, an dem die NIS2-Durchsetzung von politischem Druck zu aktiven rechtlichen und aufsichtlichen Maßnahmen übergegangen ist. Gerichtsverweisungen sind eingereicht. Nationale Gesetze treten in Kraft. Aufsichtsbehörden fordern Nachweise über Sicherheitsmaßnahmen an, nicht nur Registrierungsbestätigungen.

Für Organisationen in Irland, Spanien, Frankreich und den Niederlanden ändern die Vertragsverletzungsverfahren nichts an den zugrunde liegenden Verpflichtungen. NIS2-Anforderungen sind seit Oktober 2024 verbindlich, unabhängig vom nationalen Umsetzungsstatus. Die Verfahren fügen finanzielle Konsequenzen für Regierungen hinzu — sie schaffen keine Schonfrist für regulierte Einrichtungen.

Für Organisationen in Deutschland und den Niederlanden ist der Compliance-Kalender jetzt festgelegt. Das BSI prüft. Das Cyberbeveiligingswet tritt am 15. August in Kraft. Das im Juni 2026 von der NIS-Kooperationsgruppe veröffentlichte Artikel-21-Mapping-Dokument ist das umsetzbarste Ergebnis dieses Zeitraums: Wenn Ihr Team bereits gegen ISO 27001 oder NIST CSF 2.0 arbeitet, bietet es einen direkten Weg, Ihre NIS2-Gap-Analyse abzuschließen, bevor eine Aufsichtsbehörde dies für Sie übernimmt.

NIS2-Zugangskontrollen für Lieferkettensicherheit

48% der Sicherheitsverletzungen betreffen mittlerweile Dritte. NIS2 Artikel 21 macht Lieferanten-Zugangs-Governance zu einer rechtlichen Verpflichtung. Hier erfahren Sie, wie Sie Lieferantenzugriffe erfassen, MFA und Least Privilege durchsetzen und Audit-Nachweise führen, die Ihre Kontrollen belegen.

Passwork BlogAlex Muntyan

Schatten-IT vs. Schatten-KI: Warum KI die größere Bedrohung ist

Mitarbeiter nutzen KI-Tools, die Sie nicht genehmigt haben, auf Konten, die Sie nicht überwachen können, mit Daten, die Sie nicht wiederherstellen können. Hier erfahren Sie, wie das Risiko tatsächlich aussieht und was Governance adressieren muss.

Passwork BlogAlex Muntyan

Mitarbeiter-Offboarding: Leitfaden zur sicheren Zugangsentziehung 2026

Das Deaktivieren eines SSO-Kontos entzieht nicht den Zugang. API-Schlüssel, KI-Agenten-Credentials und geteilte Passwörter überleben es. Dieser Leitfaden behandelt das vollständige Offboarding-Playbook — von Zero-Hour-Triggern bis zur NHI-Bereinigung.

Passwork BlogAlex Muntyan

El mecanismo de infracción de la UE pasó de las advertencias a las remisiones judiciales en julio de 2026. Irlanda, España, Francia y los Países Bajos enfrentan ahora sanciones económicas por incumplir el plazo de transposición de NIS2 de octubre de 2024 — con penalizaciones diarias que se acumulan hasta que cada país notifique la transposición completa a la Comisión.

Al mismo tiempo, la infraestructura de aplicación se está consolidando. La BSI de Alemania está auditando activamente a las entidades registradas. Los Países Bajos aprobaron su ley nacional un día antes de que se presentara la remisión. El Grupo de Cooperación NIS publicó el documento de mapeo del Artículo 21 más detallado hasta la fecha. Y la Comisión vinculó explícitamente NIS2 con la detección de amenazas asistida por IA por primera vez.

Este artículo cubre todos los desarrollos materiales de NIS2: qué cambió, qué plazos están vigentes y qué necesita abordar su equipo ahora. Para los desarrollos del mes anterior, consulte Últimas noticias de NIS2: mayo de 2026.

Puntos clave

• Remisiones judiciales presentadas contra cuatro Estados miembros. El 8 de julio de 2026, la Comisión Europea remitió a Irlanda, España, Francia y los Países Bajos al Tribunal de Justicia de la UE por no transponer completamente NIS2. Se solicitan sanciones económicas para cada país.
• La Cyberbeveiligingswet de los Países Bajos entra en vigor el 15 de agosto de 2026. El Senado neerlandés aprobó la ley el 7 de julio. Más de 8.000 organizaciones deben registrarse ante el NCSC, implementar medidas de seguridad basadas en riesgos y garantizar la supervisión a nivel de consejo directivo para esa fecha.
• La BSI de Alemania ahora audita, no solo registra. La fase de supervisión activa comenzó el 6 de marzo de 2026. La BSI puede solicitar evidencia de medidas de seguridad sin esperar a que ocurra un incidente. Un plazo de registro secundario del 31 de julio se aplica a la parte significativa de las 29.000 entidades dentro del ámbito que no cumplieron en marzo.
• El Grupo de Cooperación NIS publicó su documento de mapeo del Artículo 21. Publicado en junio de 2026, mapea las obligaciones de NIS2 y el Reglamento de Implementación 2024/2690 con ISO 27001, NIST CSF 2.0, IEC 62443 y marcos nacionales — la guía de cumplimiento más concreta a nivel de la UE publicada hasta la fecha.
• El NCSC de Irlanda publicó orientación sobre gobernanza cibernética a nivel de consejo directivo. Publicado el 7 de julio de 2026, el documento está dirigido a CEO, CIO y CISO en organizaciones reguladas por NIS2 y se basa en el marco CyFun basado en NIST.
• ENISA elevó el sector espacial a alta criticidad. El informe NIS360 2026 coloca el espacio junto con la banca, la electricidad y la aviación. Siete sectores permanecen en la zona de riesgo, donde la madurez no alcanza las demandas de criticidad.
• El Plan de Acción de la UE sobre Ciberseguridad e IA se publicó el 7 de julio de 2026. Es el primer documento a nivel de la UE que vincula formalmente el cumplimiento de NIS2 con la detección de amenazas asistida por IA como práctica operativa esperada.
• El proyecto de ley de Ciberseguridad y Resiliencia del Reino Unido fue aprobado por los Comunes el 16 de junio. Ingresó a los Lores el 17 de junio y está programado para una segunda lectura el 14 de julio. Los proveedores de servicios gestionados y los operadores de centros de datos entran en el ámbito por primera vez.

La Comisión de la UE lleva a Irlanda, España, Francia y los Países Bajos ante los tribunales por retrasos en NIS2

El 8 de julio de 2026, la Comisión Europea remitió a Irlanda, España, Francia y los Países Bajos al Tribunal de Justicia de la UE por no notificar la transposición completa de la Directiva NIS2. Las remisiones incluyen una solicitud de sanciones económicas: una suma global más penalizaciones diarias que se acumulan hasta que cada país notifique la transposición completa.

El plazo de transposición fue el 17 de octubre de 2024. La Comisión envió notificaciones formales a los Estados miembros incumplidores en noviembre de 2024 y dictámenes motivados en mayo de 2025. La remisión judicial es la tercera y última etapa del procedimiento de infracción de la UE.

El momento es notable para los Países Bajos. El Senado neerlandés aprobó la Cyberbeveiligingswet el 7 de julio — un día antes de que se presentara la remisión (más información al respecto a continuación). La ley entra en vigor el 15 de agosto de 2026, pero la notificación formal de transposición a la Comisión aún no se había presentado en el momento de la remisión. Las penalizaciones diarias dejarán de acumularse una vez que se complete la notificación.

Para España, Francia e Irlanda, no se ha aprobado ninguna ley nacional equivalente. Se espera que la transposición de España se realice a finales de 2026. Francia e Irlanda no han anunciado plazos firmes.

Los casos de infracción tienen números de caso individuales:

• Irlanda (INFR(2024)0279)
• España (INFR(2024)0270)
• Francia (INFR(2024)0274)
• Países Bajos (INFR(2024)0288)

Las remisiones refuerzan un punto que los equipos de cumplimiento en estos países ya deberían conocer: los requisitos de la Directiva NIS2 son vinculantes independientemente del estado de transposición nacional. Los procedimientos judiciales no suspenden las obligaciones subyacentes — añaden presión financiera sobre los gobiernos para cerrar la brecha más rápidamente.

Fuente: Comisión Europea, 2026

Países Bajos: Cyberbeveiligingswet aprobada, entra en vigor el 15 de agosto

El 7 de julio de 2026, el Senado neerlandés aprobó tanto la Cyberbeveiligingswet (la transposición neerlandesa de NIS2) como la Ley de Resiliencia de Entidades Críticas (Wwke), que implementa la Directiva de Resiliencia de Entidades Críticas (CER) de la UE. Ambas leyes entran en vigor el 15 de agosto de 2026.

Más de 8.000 organizaciones están dentro del ámbito: ministerios, municipios, autoridades del agua, provincias, organismos administrativos independientes y asociaciones intermunicipales. A partir del 15 de agosto, deben:

1. Registrarse ante el Centro Nacional de Ciberseguridad (NCSC) a través del Registro de Entidades.
2. Implementar medidas técnicas, operativas y organizativas apropiadas basadas en una evaluación de riesgos — incluyendo dependencias de la cadena de suministro.
3. Notificar incidentes de ciberseguridad importantes al CSIRT correspondiente y a la autoridad de supervisión competente dentro de los plazos legales.
4. Garantizar la supervisión a nivel de consejo directivo: los miembros del órgano de dirección deben tener conocimientos suficientes de ciberseguridad y completar la formación adecuada.

La aplicación recae en las autoridades de supervisión designadas, incluyendo la Autoridad Neerlandesa para la Infraestructura Digital. La Cyberbeveiligingswet introduce la responsabilidad de los directores: los supervisores pueden emitir instrucciones vinculantes, realizar inspecciones y suspender a los directores cuando sea necesario.

Para las organizaciones del sector público, el cumplimiento del estándar Baseline Information Security Government (BIO) 2 cuenta para cumplir los requisitos de seguridad de la Cbw.

La fecha de entrada en vigor del 15 de agosto es un plazo estricto. El registro ante el NCSC debería comenzar antes de esa fecha — el propio NCSC recomienda prepararse con antelación para evitar cuellos de botella en el proceso de registro.

Fuente: NL Digital Government, 2026

A nivel de la UE: Publicado nuevo documento de referencia sobre medidas de seguridad

Publicado en junio de 2026, el documento de referencia sobre medidas de seguridad del Grupo de Cooperación NIS ofrece a las organizaciones la guía más concreta a nivel de la UE sobre el cumplimiento del Artículo 21 de NIS2 hasta la fecha. El documento establece un marco europeo común para objetivos de ciberseguridad e incluye una tabla de mapeo que vincula las obligaciones de NIS2 y el Reglamento de Implementación Europeo 2024/2690 con:

• ISO/IEC 27001
• IEC 62443
• NIST Cybersecurity Framework 2.0
• marcos nacionales de ciberseguridad
• el CyberFundamentals Framework, CyFun®

El documento no es vinculante. No reemplaza la legislación nacional de NIS2 ni las directrices específicas del sector. Pero para los equipos de cumplimiento que ya trabajan con ISO 27001 o NIST CSF 2.0, responde a una pregunta que ha estado abierta desde que se aprobó la directiva: ¿cómo se mapean exactamente mis controles existentes con los requisitos de NIS2?

El mapeo es particularmente útil para organizaciones que operan en múltiples Estados miembros. En lugar de mantener análisis de brechas separados por jurisdicción, los equipos pueden usar el documento de referencia como una línea base compartida y luego añadir las desviaciones nacionales encima.

El control de acceso, la autenticación y la gestión de acceso privilegiado aparecen explícitamente en los objetivos mapeados — áreas donde la guía del documento de referencia se alinea directamente con el Artículo 21(2)(j) de NIS2 sobre el uso de autenticación multifactor y sistemas de comunicación seguros.

Fuentes: Centro de Ciberseguridad de Bélgica, 2026; Comisión Europea, 2026

Irlanda: El NCSC publica orientación sobre gobernanza cibernética a nivel de consejo directivo para entidades NIS2

El 7 de julio de 2026, el Centro Nacional de Ciberseguridad de Irlanda publicó orientación sobre gobernanza cibernética para miembros de consejos de administración en organizaciones reguladas por NIS2. El documento está dirigido a CEO, directores generales, CIO y CISO — los ejecutivos que asumen responsabilidad personal por la gestión de riesgos de ciberseguridad bajo NIS2.

La orientación se centra en el Cyber Fundamentals Framework (CyFun), el marco nacional preferido de Irlanda para el cumplimiento de NIS2. CyFun está basado en el NIST Cybersecurity Framework y proporciona a los consejos un enfoque estructurado y basado en riesgos para cumplir sus obligaciones legales sin requerir experiencia técnica profunda.

El documento cubre tres áreas prácticas: comprender qué preguntas deberían hacer los consejos sobre el riesgo cibernético, identificar y gestionar los riesgos de la cadena de suministro, y construir una cultura organizacional donde la ciberseguridad se trate como un tema de gobernanza, no como un problema del departamento de TI.

El momento es deliberado. Irlanda está actualmente sujeta a procedimientos de infracción de la UE por no transponer completamente NIS2 a la legislación nacional — la Comisión remitió al país al Tribunal de Justicia el 8 de julio de 2026. Publicar orientación a nivel de consejo directivo antes de la transposición formal señala que el NCSC está moviendo a las organizaciones hacia el cumplimiento independientemente de dónde se encuentre el proceso legislativo.

Fuente: Portal oficial del Gobierno de Irlanda, 2026

ENISA NIS360 2026: El sector espacial elevado a alta criticidad

El informe ENISA NIS360 2026 es la tercera evaluación anual de madurez y criticidad en ciberseguridad en todos los sectores del Anexo I bajo la Directiva NIS2. El hallazgo principal: el sector espacial se ha unido a la banca, la electricidad, la aviación y los servicios digitales por defecto en la banda de mayor criticidad.

La elevación refleja el creciente papel de la infraestructura espacial como capa de dependencia para otros sectores: la navegación, las comunicaciones, la liquidación financiera y la logística militar funcionan con sistemas satelitales. Mayor dependencia significa mayor impacto ante una interrupción y mayor criticidad temporal en la recuperación.

Siete sectores caen en la zona de riesgo de NIS360 2026, donde la madurez en ciberseguridad está por debajo del nivel que exige su criticidad:

1. Salud
2. Ferrocarril
3. Marítimo
4. Gestión de servicios TIC
5. Espacio
6. Administración pública
7. Agua potable y residual

Tres sectores alcanzaron la banda de alta madurez: servicios de confianza, aviación e infraestructuras del mercado financiero. El sector del gas ha comenzado a salir de la zona de riesgo, impulsado por una mejor compartición de información y una implementación más sólida de medidas de gestión de riesgos.

La composición de la zona de riesgo importa operativamente. Las autoridades de supervisión utilizan los datos de NIS360 para priorizar los calendarios de auditoría. Si su organización opera en salud, ferrocarril o administración pública, espere mayor atención supervisora en la segunda mitad de 2026.

El estudio ENISA NIS Investments 2025 encontró que el 70% de las organizaciones encuestadas citaron el cumplimiento de NIS2, DORA y CRA como el principal impulsor del gasto en ciberseguridad — una cifra que probablemente aumentará a medida que los supervisores pasen del registro a la revisión activa.

Fuente: ENISA, 2026

Alemania: La BSI entra en fase de supervisión activa

La BSI de Alemania entró en la fase de supervisión activa el 6 de marzo de 2026 — la fecha en que expiró el plazo de registro bajo la NIS2-Umsetzungsgesetz (NIS2UmsuCG). La ley se promulgó el 6 de diciembre de 2025. Para junio de 2026, había estado en vigor durante seis meses.

El análisis del 16 de junio de SecurityToday.de sobre el cambio de supervisión señaló que la pregunta ha cambiado: ya no se trata de si una entidad está registrada, sino de si las medidas declaradas resisten el escrutinio.

El portal de registro de la BSI abrió el 6 de enero de 2026. Una parte significativa de las aproximadamente 29.000 entidades dentro del ámbito no cumplió el plazo de marzo. La BSI estableció un plazo de registro secundario del 31 de julio de 2026. El registro tardío sigue siendo posible pero no crea ningún puerto seguro — las obligaciones de cumplimiento se aplican desde diciembre de 2025, independientemente del estado de registro.

Lo que significa la supervisión activa en la práctica:

• La BSI puede solicitar proactivamente evidencia de medidas de seguridad — sin esperar a que ocurra un incidente.
• Las auditorías presenciales y remotas están ahora dentro del ámbito.
• Las multas para entidades esenciales alcanzan hasta 10 millones de euros o el 2% de la facturación anual global, lo que sea mayor.
• Los miembros del órgano de dirección enfrentan responsabilidad personal, incluyendo posibles prohibiciones temporales para ejercer funciones de gestión.

La implementación de Alemania va más allá del mínimo de la UE en cuanto a responsabilidad ejecutiva. La NIS2UmsuCG requiere explícitamente que los órganos de dirección aprueben las medidas de ciberseguridad, supervisen su implementación y demuestren competencia personal. Los supervisores pueden responsabilizar personalmente a ejecutivos individuales por fallos sistémicos.

Hay una ventaja práctica en el estándar más estricto de Alemania. Las organizaciones que cumplen los requisitos de la NIS2UmsuCG satisfacen el mínimo de la UE con margen. Para las empresas que operan en múltiples Estados miembros, una postura de seguridad que pase el escrutinio de la BSI generalmente también se sostendrá ante las autoridades de supervisión vecinas.

Para los que se registran tarde, el orden de prioridades es claro: registrarse primero, luego establecer evidencia documentada de las medidas. Si ocurre un incidente notificable antes de que las medidas estén demostrablemente implementadas, un registro omitido o retrasado es un factor agravante.

Fuente: SecurityToday.de, 2026

Publicado el Plan de Acción de la UE sobre Ciberseguridad e IA

El 7 de julio de 2026, la Comisión Europea publicó el Plan de Acción de la UE sobre Ciberseguridad e Inteligencia Artificial. El documento establece un enfoque coordinado de la UE para la ciberseguridad impulsada por IA en los Estados miembros, autoridades públicas y empresas.

El plan se construye en torno a tres objetivos: promover el uso seguro y responsable de la IA avanzada, reforzar la ciberseguridad y la resiliencia de la UE, y ampliar las capacidades de IA de Europa para fines de ciberseguridad.

En cuanto a NIS2, el Plan de Acción nombra explícitamente la Directiva NIS2 como parte del marco legal existente sobre el que se construye, y alienta a las organizaciones sujetas a NIS2 a utilizar IA (incluyendo modelos de código abierto) para detectar y abordar vulnerabilidades más rápidamente. Este es el primer documento a nivel de la UE que vincula formalmente el cumplimiento de NIS2 con la detección de amenazas asistida por IA como práctica operativa esperada.

Las medidas concretas incluyen:

• Un Plan Europeo para el acceso seguro a sistemas de IA avanzados para fines de ciberseguridad, a desarrollar con ENISA.
• Una plataforma de pruebas segura para organizaciones en sectores críticos (energía, transporte, salud, finanzas y administración pública) para probar e implementar soluciones de IA de forma segura.
• Un Gran Desafío de la UE sobre IA para ciberseguridad, que reúne a la industria, investigadores y comunidades de código abierto.

El Plan de Acción se sitúa junto con la Ley de IA, la Ley de Ciberresiliencia, DORA y la Ley de Cibersolidaridad. No crea nuevas obligaciones vinculantes por sí solo, pero señala dónde espera la Comisión que se concentren el énfasis en la aplicación y la inversión durante el próximo ciclo legislativo.

Fuente: Comisión Europea, 2026

Reino Unido: El proyecto de ley de Ciberseguridad y Resiliencia es aprobado por los Comunes, ingresa a los Lores

El 16 de junio de 2026, el proyecto de ley de Ciberseguridad y Resiliencia (Sistemas de Redes e Información) completó su tercera lectura y etapa de informe en la Cámara de los Comunes. Recibió su primera lectura en los Lores el 17 de junio y está programado para una segunda lectura en los Lores el 14 de julio de 2026.

El proyecto de ley se presentó al Parlamento el 12 de noviembre de 2025 y actualiza los Reglamentos de Sistemas de Redes e Información de 2018 (NIS1) existentes. No transpone NIS2 (el Reino Unido ya no está vinculado por la legislación de la UE) pero acerca significativamente los requisitos del Reino Unido al estándar NIS2 en alcance y aplicación.

Lo que añade el proyecto de ley:

• Los proveedores de servicios gestionados entran en el ámbito por primera vez. Los Proveedores de Servicios Gestionados Relevantes (RMSP) deben registrarse ante el ICO, implementar medidas de gestión de riesgos y designar un representante en el Reino Unido si no están establecidos en el país.
• Los operadores de centros de datos también se incluyen en el ámbito.
• Los plazos de notificación de incidentes se acortan: informe inicial de 24 horas, notificación completa de 72 horas — coincidiendo con la estructura del Artículo 23 de NIS2.
• Designación de proveedores críticos: El ICO obtiene la facultad de designar proveedores cuyo compromiso afectaría a servicios esenciales o RMSP.
• Las sanciones aumentan hasta 17 millones de libras o el 4% de la facturación anual global por infracciones graves; hasta 10 millones de libras o el 2% por las menos graves.

La definición de incidente también se amplía: el proyecto de ley cubre incidentes «capaces de tener un efecto adverso» en los servicios regulados, no solo aquellos con un efecto real demostrado. Este es un cambio significativo para las organizaciones que actualmente calibran sus umbrales de notificación.

Se han propuesto 63 enmiendas durante el trámite del proyecto de ley. Dos enmiendas presentadas en junio, incluyendo una para añadir la cadena de suministro alimentario como servicio esencial regulado, no recibieron decisión en la etapa de informe.

El gobierno espera consultar en 2026 sobre la legislación secundaria que cubra medidas específicas de gestión de riesgos y requisitos de notificación. Algunas disposiciones entrarán en vigor desde el primer día o segundo mes después de la sanción real; otras seguirán mediante legislación secundaria.

Fuentes: Parlamento del Reino Unido, 2026; Parallel Parliament, 2026

Resumen

El período de junio a principios de julio de 2026 marca el punto en que la aplicación de NIS2 pasó de la presión política a la acción legal y de supervisión activa. Se presentaron remisiones judiciales. Las leyes nacionales están entrando en vigor. Las autoridades de supervisión están solicitando evidencia de medidas de seguridad, no solo confirmaciones de registro.

Para las organizaciones en Irlanda, España, Francia y los Países Bajos, los procedimientos de infracción no cambian nada sobre las obligaciones subyacentes. Los requisitos de NIS2 han sido vinculantes desde octubre de 2024 independientemente del estado de transposición nacional. Los procedimientos añaden consecuencias financieras para los gobiernos — no crean un período de gracia para las entidades reguladas.

Para las organizaciones en Alemania y los Países Bajos, el calendario de cumplimiento ya está establecido. La BSI está auditando. La Cyberbeveiligingswet entra en vigor el 15 de agosto. El documento de mapeo del Artículo 21 publicado por el Grupo de Cooperación NIS en junio de 2026 es el resultado más accionable de este período: si su equipo ya trabaja con ISO 27001 o NIST CSF 2.0, proporciona un camino directo para cerrar su análisis de brechas de NIS2 antes de que una autoridad de supervisión lo haga por usted.

Controles de acceso NIS2 para la seguridad de la cadena de suministro

El 48% de las brechas ahora involucran a terceros. El Artículo 21 de NIS2 convierte la gobernanza del acceso de proveedores en una obligación legal. Aquí se explica cómo mapear el acceso de proveedores, aplicar MFA y privilegio mínimo, y mantener la evidencia de auditoría que demuestra que sus controles funcionan.

Passwork BlogAlex Muntyan

Shadow IT vs Shadow AI: Por qué la IA es la mayor amenaza

Los empleados están usando herramientas de IA que usted no aprobó, en cuentas que no puede monitorear, con datos que no puede recuperar. Aquí se muestra cómo es realmente el riesgo y qué debe abordar la gobernanza.

Passwork BlogAlex Muntyan

Offboarding de empleados: Guía de revocación segura de accesos 2026

Desactivar una cuenta SSO no revoca el acceso. Las claves API, las credenciales de agentes de IA y las contraseñas compartidas sobreviven. Esta guía cubre el playbook completo de offboarding — desde disparadores de hora cero hasta limpieza de NHI.

Passwork BlogAlex Muntyan

The EU infringement machine moved from warnings to court referrals in July 2026. Ireland, Spain, France, and the Netherlands now face financial sanctions for missing the October 2024 NIS2 transposition deadline — daily penalties accruing until each country notifies complete transposition to the Commission.

At the same time, enforcement infrastructure is filling in. Germany's BSI is actively auditing registered entities. The Netherlands passed its national law one day before the referral landed. The NIS Cooperation Group published the most detailed Article 21 mapping document to date. And the Commission tied NIS2 explicitly to AI-assisted threat detection for the first time.

This article covers every material NIS2 development: what changed, which deadlines are live, and what your team needs to act on now. For the previous month's developments, see NIS2 latest news: May 2026.

Key takeaways

• Court referrals filed against four member states. On July 8, 2026, the European Commission referred Ireland, Spain, France, and the Netherlands to the Court of Justice of the EU for failing to fully transpose NIS2. Financial sanctions are requested for each country.
• Netherlands' Cyberbeveiligingswet enters force August 15, 2026. The Dutch Senate approved the law on July 7. More than 8,000 organizations must register with the NCSC, implement risk-based security measures, and ensure board-level oversight by that date.
• Germany's BSI is now auditing, not just registering. The active supervision phase began March 6, 2026. The BSI can request evidence of security measures without waiting for an incident. A secondary registration deadline of July 31 applies to the significant share of the 29,000 in-scope entities that missed March.
• The NIS Cooperation Group published its Article 21 mapping document. Released in June 2026, it maps NIS2 obligations and Implementing Regulation 2024/2690 to ISO 27001, NIST CSF 2.0, IEC 62443, and national frameworks — the most concrete EU-level compliance guidance published to date.
• Ireland's NCSC published board-level cyber governance guidance. Released July 7, 2026, the document targets CEOs, CIOs, and CISOs in NIS2-regulated organizations and is built around the NIST-based CyFun framework.
• ENISA elevated the space sector to high criticality. The NIS360 2026 report places space alongside banking, electricity, and aviation. Seven sectors remain in the risk zone, where maturity falls below criticality demands.
• The EU Action Plan on Cybersecurity and AI was published July 7, 2026. It is the first EU-level document to formally link NIS2 compliance with AI-assisted threat detection as an expected operational practice.
• The UK's Cyber Security and Resilience Bill passed the Commons on June 16. It entered the Lords on June 17 and is scheduled for a second reading on July 14. Managed service providers and data centre operators come into scope for the first time.

EU Commission takes Ireland, Spain, France, and the Netherlands to court over NIS2 delays

On July 8, 2026, the European Commission referred Ireland, Spain, France, and the Netherlands to the Court of Justice of the EU for failing to notify full transposition of the NIS2 Directive. The referrals include a request for financial sanctions: a lump sum plus daily penalties accruing until each country notifies complete transposition.

The transposition deadline was October 17, 2024. The Commission sent formal notices to non-compliant member states in November 2024 and reasoned opinions in May 2025. Court referral is the third and final stage of the EU infringement procedure.

The timing is notable for the Netherlands. The Dutch Senate approved the Cyberbeveiligingswet on July 7 — one day before the referral was filed (more on this below). The law enters into force on August 15, 2026, but formal notification of transposition to the Commission had not yet been submitted at the time of the referral. Daily penalties will stop accruing once notification is complete.

For Spain, France, and Ireland, no equivalent national law has passed. Spain's transposition is expected in late 2026. France and Ireland have not announced firm timelines.

The infringement cases carry individual case numbers:

• Ireland (INFR(2024)0279)
• Spain (INFR(2024)0270)
• France (INFR(2024)0274)
• Netherlands (INFR(2024)0288)

The referrals reinforce a point compliance teams in these countries should already know: the NIS2 Directive's requirements are binding regardless of national transposition status. Court proceedings do not suspend the underlying obligations — they add financial pressure on governments to close the gap faster.

Source: European Commision, 2026

Netherlands: Cyberbeveiligingswet approved, enters force August 15

On July 7, 2026, the Dutch Senate approved both the Cyberbeveiligingswet (the Dutch transposition of NIS2) and the Critical Entities Resilience Act (Wwke), which implements the EU's Critical Entities Resilience (CER) Directive. Both laws enter into force on August 15, 2026.

More than 8,000 organizations fall in scope: ministries, municipalities, water authorities, provinces, independent administrative bodies, and inter-municipal partnerships. From August 15, they must:

1. Register with the National Cyber Security Centre (NCSC) via the Entities Register.
2. Implement appropriate technical, operational, and organizational measures based on a risk assessment — including supply chain dependencies.
3. Report major cybersecurity incidents to the relevant CSIRT and competent supervisory authority within statutory deadlines.
4. Ensure board-level oversight: governing body members must have sufficient cybersecurity knowledge and complete appropriate training.

Enforcement sits with designated supervisory authorities, including the Dutch Authority for Digital Infrastructure. The Cyberbeveiligingswet introduces director liability: supervisors can issue binding instructions, conduct inspections, and suspend directors where necessary.

For public sector organizations, compliance with the Baseline Information Security Government (BIO) 2 standard counts toward meeting the Cbw's security requirements.

The August 15 entry-into-force date is a hard deadline. Registration with the NCSC should begin before that date — the NCSC itself recommends preparing in advance to avoid bottlenecks in the registration process.

Source: NL Digital Government, 2026

EU-wide: New security measures reference document released

Published on June, 2026, the NIS Cooperation Group's reference document on security measures gives organizations the most concrete EU-level guidance on NIS2 Article 21 compliance to date. The document establishes a common European framework for cybersecurity objectives and includes a mapping table that links NIS2 obligations and the European Implementing Regulation 2024/2690 to:

• ISO/IEC 27001
• IEC 62443
• NIST Cybersecurity Framework 2.0
• national cybersecurity frameworks
• the CyberFundamentals Framework, CyFun®

The document is non-binding. It does not replace national NIS2 legislation or sector-specific guidelines. But for compliance teams already working against ISO 27001 or NIST CSF 2.0, it answers a question that has been open since the directive passed: how exactly do my existing controls map to NIS2 requirements?

The mapping is particularly useful for organizations operating across multiple member states. Rather than maintaining separate gap analyses per jurisdiction, teams can use the reference document as a shared baseline and then layer national deviations on top.

Access control, authentication, and privileged access management appear explicitly in the mapped objectives — areas where the reference document's guidance aligns directly with NIS2 Article 21(2)(j) on the use of multi-factor authentication and secure communication systems.

Sources: Center for Cybersecurity Belgium, 2026; European Commission, 2026

Ireland: NCSC publishes board-level cyber governance guidance for NIS2 entities

On July 7, 2026, Ireland's National Cyber Security Centre published guidance on cyber governance for management board members in NIS2-regulated organizations. The document targets CEOs, Managing Directors, CIOs, and CISOs — the executives who bear personal accountability for cybersecurity risk management under NIS2.

The guidance centers on the Cyber Fundamentals Framework (CyFun), Ireland's preferred national framework for NIS2 compliance. CyFun is built on the NIST Cybersecurity Framework and gives boards a structured, risk-based approach to meeting their legal obligations without requiring deep technical expertise.

The document covers three practical areas: understanding what questions boards should be asking about cyber risk, identifying and managing supply chain risks, and building an organizational culture where cybersecurity is treated as a governance issue, not an IT department problem.

The timing is deliberate. Ireland is currently subject to EU infringement proceedings for failing to fully transpose NIS2 into national law — the Commission referred the country to the Court of Justice on July 8, 2026. Publishing board-level guidance ahead of formal transposition signals that the NCSC is moving organizations toward compliance regardless of where the legislative process stands.

Source: The Irish Government's official portal, 2026

ENISA NIS360 2026: Space sector elevated to high criticality

The ENISA NIS360 2026 report is the third annual assessment of cybersecurity maturity and criticality across all Annex I sectors under the NIS2 Directive. The headline finding: the space sector has joined banking, electricity, aviation, and digital-by-default services in the highest criticality band.

The elevation reflects space infrastructure's growing role as a dependency layer for other sectors: navigation, communications, financial settlement, and military logistics all run on satellite systems. Higher dependency means higher impact from disruption, and higher time criticality in recovery.

Seven sectors fall into the NIS360 2026 risk zone, where cybersecurity maturity falls below the level their criticality demands:

1. Health
2. Railway
3. Maritime
4. ICT service management
5. Space
6. Public administration
7. Drinking and waste water

Three sectors reached the high maturity band: trust services, aviation, and financial market infrastructures. The gas sector has begun moving out of the risk zone, driven by improved information sharing and stronger implementation of risk management measures.

The risk zone composition matters operationally. Supervisory authorities use NIS360 data to prioritize audit calendars. If your organization operates in health, railway, or public administration, expect increased supervisory attention in the second half of 2026.

ENISA NIS Investments 2025 study found that 70% of surveyed organizations cited NIS2, DORA, and CRA compliance as the main driver of cybersecurity spending — a figure that will likely climb as supervisors shift from registration to active review.

Source: ENISA, 2026

Germany: BSI enters active supervision phase

Germany's BSI entered the active supervision phase on March 6, 2026 — the date the registration deadline under the NIS2-Umsetzungsgesetz (NIS2UmsuCG) expired. The law was enacted on December 6, 2025. By June 2026, it had been in force for six months.

SecurityToday.de's June 16 analysis of the supervisory shift noted that the question has changed: no longer whether an entity is registered, but whether its reported measures hold up under scrutiny.

The BSI registration portal opened January 6, 2026. A significant share of the approximately 29,000 in-scope entities missed the March deadline. The BSI set a secondary registration deadline of July 31, 2026. Late registration remains possible but creates no safe harbor — the compliance obligations have applied since December 2025, regardless of registration status.

What active supervision means in practice:

• The BSI can proactively request evidence of security measures — without waiting for an incident.
• On-site and remote audits are now within scope.
• Fines for essential entities reach up to €10 million or 2% of global annual turnover, whichever is higher.
• Management body members face personal liability, including potential temporary bans from exercising management functions.

Germany's implementation goes beyond the EU minimum on executive accountability. The NIS2UmsuCG explicitly requires management bodies to approve cybersecurity measures, supervise their implementation, and demonstrate personal competence. Supervisors can hold individual executives personally responsible for systemic failures.

There is a practical upside to Germany's stricter standard. Organizations that meet the NIS2UmsuCG requirements satisfy the EU minimum with margin. For companies operating across multiple member states, a security posture that passes BSI scrutiny will generally hold up with neighboring supervisory authorities as well.

For late registrants, the priority order is clear: register first, then establish documented evidence of measures. If a reportable incident occurs before measures are demonstrably in place, a missed or delayed registration is an aggravating factor.

Source: SecurityToday.de, 2026

EU Action Plan on Cybersecurity and AI published

On July 7, 2026, the European Commission published the EU Action Plan on Cybersecurity and Artificial Intelligence. The document sets out a coordinated EU approach to AI-driven cybersecurity across member states, public authorities, and businesses.

The plan is built around three objectives: promoting safe and responsible use of advanced AI, reinforcing EU cybersecurity and resilience, and scaling up Europe's AI capabilities for cybersecurity purposes.

On the NIS2 side, the Action Plan explicitly names the NIS2 Directive as part of the existing legal framework it builds on, and encourages organizations subject to NIS2 to use AI (including open-source models) to detect and address vulnerabilities faster. This is the first EU-level document to formally link NIS2 compliance with AI-assisted threat detection as an expected operational practice.

Concrete measures include:

• A European Blueprint for secure access to advanced AI systems for cybersecurity purposes, to be developed with ENISA.
• A secure testing platform for organizations in critical sectors (energy, transport, health, finance, and public administration) to safely test and deploy AI solutions.
• An EU Grand Challenge on AI for cybersecurity, bringing together industry, researchers, and open-source communities.

The Action Plan sits alongside the AI Act, the Cyber Resilience Act, DORA, and the Cyber Solidarity Act. It does not create new binding obligations on its own, but it signals where the Commission expects enforcement emphasis and investment to go over the next legislative cycle.

Source: European Commision, 2026

UK: Cyber Security and Resilience Bill passes Commons, enters Lords

On June 16, 2026, the Cyber Security and Resilience (Network and Information Systems) Bill completed its third reading and report stage in the House of Commons. It received its first reading in the Lords on June 17 and is scheduled for a Lords second reading on July 14, 2026.

The Bill was introduced to Parliament on November 12, 2025, and updates the existing Network and Information Systems Regulations 2018 (NIS1). It does not transpose NIS2 (the UK is no longer bound by EU law) but it moves UK requirements significantly closer to the NIS2 standard in scope and enforcement.

What the Bill adds:

• Managed service providers come into scope for the first time. Relevant Managed Service Providers (RMSPs) must register with the ICO, implement risk management measures, and nominate a UK representative if not established in the UK.
• Data centre operators are also brought into scope.
• Incident reporting timelines tighten: 24-hour initial report, 72-hour full notification — matching NIS2's Article 23 structure.
• Critical supplier designation: The ICO gains power to designate suppliers whose compromise would affect essential services or RMSPs.
• Penalties increase to up to £17 million or 4% of global annual turnover for serious breaches; up to £10 million or 2% for less serious ones.

The incident definition is also broadened: the Bill covers incidents "capable of having an adverse effect" on regulated services, not just those with a demonstrated actual effect. This is a meaningful change for organizations currently calibrating their reporting thresholds.

63 amendments have been proposed during the Bill's passage. Two amendments tabled in June, including one to add the food supply chain as a regulated essential service, received no decision at report stage.

The government expects to consult in 2026 on secondary legislation covering specific risk management measures and notification requirements. Some provisions will take effect from the first day or second month after Royal Assent; others will follow via secondary legislation.

Sources: UK Parliament, 2026; Parallel Parliament, 2026

Recap

The period from June to early July 2026 marks the point where NIS2 enforcement moved from political pressure to active legal and supervisory action. Court referrals are filed. National laws are entering force. Supervisory authorities are requesting evidence of security measures, not just registration confirmations.

For organizations in Ireland, Spain, France, and the Netherlands, the infringement proceedings change nothing about the underlying obligations. NIS2 requirements have been binding since October 2024 regardless of national transposition status. The proceedings add financial consequences for governments — they do not create a grace period for regulated entities.

For organizations in Germany and the Netherlands, the compliance calendar is now set. The BSI is auditing. The Cyberbeveiligingswet enters force August 15. The Article 21 mapping document published by the NIS Cooperation Group in June 2026 is the most actionable output from this period: if your team is already working against ISO 27001 or NIST CSF 2.0, it provides a direct path to closing your NIS2 gap analysis before a supervisory authority does it on your behalf.

NIS2 access controls for supply chain security

48% of breaches now involve third parties. NIS2 Article 21 makes supplier access governance a legal obligation. Here’s how to map vendor access, enforce MFA and least privilege, and keep the audit evidence that proves your controls work.

Passwork BlogAlex Muntyan

Shadow IT vs Shadow AI: Why AI is the bigger threat

Employees are using AI tools you didn’t approve, on accounts you can’t monitor, with data you can’t recover. Here’s what the risk actually looks like and what governance needs to address.

Passwork BlogAlex Muntyan

Employee offboarding: Secure access revocation guide 2026

Disabling an SSO account doesn’t revoke access. API keys, AI agent credentials, and shared passwords survive it. This guide covers the full offboarding playbook — from zero-hour triggers to NHI cleanup.

Passwork BlogAlex Muntyan

A gestão de palavras-passe em equipa consiste em armazenar, organizar e partilhar credenciais num grupo através de uma ferramenta dedicada (gestor de palavras-passe), em vez de mensageiros, folhas de cálculo ou cofres individuais nos navegadores. Quando bem implementada, dá a cada membro da equipa acesso exatamente ao que necessita, e nada mais, com um registo de auditoria completo de quem acedeu a quê e quando.

Este guia aborda os problemas reais que as equipas enfrentam ao partilhar credenciais sem um sistema adequado, o que procurar numa solução, a forma como o Passwork responde a cada desafio e como conduzir uma migração sem perturbar a equipa.

Pontos principais

• O abuso de credenciais surge em 39 % de todas as violações de dados, o que o torna a técnica mais disseminada em toda a cadeia de ataque, e não apenas no acesso inicial.
• Os três modos de falha da partilha informal de credenciais são as lacunas de visibilidade, o alargamento indevido de permissões (scope creep) e as falhas na saída de colaboradores. Todos podem ser evitados com um gestor de palavras-passe estruturado.
• A NIST SP 800-63B Rev. 4 mudou as regras: palavras-passe com um mínimo de 15 caracteres, sem requisitos de composição obrigatórios e sem expiração periódica. Muitas organizações continuam a aplicar políticas que contradizem as três medidas.
• Uma gestão eficaz de palavras-passe em equipa exige mais do que armazenamento: o controlo de acesso baseado em funções (RBAC), os registos de auditoria, a integração com AD/LDAP, o SSO e a partilha externa segura são indispensáveis para qualquer equipa com mais do que um punhado de pessoas.
• A saída de um colaborador é um evento de segurança, não uma formalidade de RH. Uma lista de verificação de credenciais em 7 passos, executada até ao último dia do colaborador (ou antes), fecha as lacunas que a maioria dos incidentes explora.
• A migração é bem-sucedida ou falha consoante a gestão da mudança, não a tecnologia. A falha mais comum é manter a antiga folha de cálculo em uso após a implementação.

O custo da partilha informal de credenciais

A maioria das equipas começa com uma folha partilhada do Google Sheets, uma mensagem no Slack ou uma nota adesiva na porta da sala de servidores. Funciona. Até deixar de funcionar.

O custo médio de uma violação de dados desceu para 4,44 milhões de dólares em 2025, a primeira descida em cinco anos, segundo o 2025 Cost of a Data Breach Report da IBM. Continuam a ser 4,44 milhões de dólares por incidente. E as credenciais roubadas ou comprometidas continuam profundamente enraizadas na forma como os ataques se desenrolam: o 2026 Data Breach Investigations Report da Verizon concluiu que o abuso de credenciais surge, em algum momento, em 39 % de todas as violações de dados, sendo a técnica mais disseminada de todo o conjunto de dados.

O problema da partilha informal tem três modos de falha distintos:

1. Lacunas de visibilidade. Quando uma palavra-passe fica numa conversa do Slack, não existe registo de quem a tem, de quem a reencaminhou ou de se foi alterada. Se essa credencial vier a ser comprometida, não é possível reconstituir a cronologia.
2. Alargamento indevido de permissões (scope creep). As folhas de cálculo não impõem limites de acesso. Um programador que precisou de uma palavra-passe de base de dados em janeiro continua a ter a folha inteira em dezembro, incluindo credenciais de sistemas em que nunca tocou e de contas a que não tem motivo para aceder.
3. Falhas na saída de colaboradores. É aqui que a partilha informal causa mais danos. Quando um colaborador sai, a equipa de TI não dispõe de um inventário fiável dos acessos que essa pessoa tinha. A resposta habitual (alterar todas as palavras-passe partilhadas) é simultaneamente disruptiva e raramente completa. Algumas credenciais ficam esquecidas. Outras só são alteradas semanas depois.

Um estudo de 2024 da Huntress concluiu que 46 % das pessoas tiveram uma palavra-passe roubada nesse ano. Nas organizações que dependem de folhas de cálculo partilhadas e de mensagens de chat, essa exposição multiplica-se por cada conta existente no ficheiro.

O que as equipas realmente necessitam de um gestor de palavras-passe

Antes de avaliar qualquer ferramenta, convém definir claramente os requisitos. A lista seguinte reflete o que os gestores de TI e as equipas de segurança identificam de forma consistente como indispensável.

Um repositório centralizado e estruturado

As credenciais dispersas pelos navegadores e pelos cofres pessoais de cada indivíduo são, na prática, invisíveis para a organização. Um gestor de palavras-passe para equipas necessita de um único repositório pesquisável, acessível a toda a equipa e organizado por projeto, sistema ou departamento, com nomenclatura e etiquetagem coerentes.

Controlo de acesso flexível e granular

Nem todos precisam de tudo. Um programador júnior não precisa de credenciais da base de dados de produção. Um prestador de serviços externo não precisa de contas de administração internas. O controlo de acesso baseado em funções (RBAC) permite definir quem pode ler, editar ou gerir credenciais ao nível do cofre ou da pasta, e aplicar esses limites de forma automática.

Mecanismos de partilha segura

Por vezes, é necessário partilhar uma credencial com alguém exterior à organização: um fornecedor, um prestador de serviços, um parceiro. Enviá-la por e-mail ou chat é um incidente de segurança à espera de acontecer. A ferramenta adequada disponibiliza ligações de utilização única e com limite de tempo, que expiram após o primeiro acesso ou após um prazo definido.

Monitorização de atividade e registos de auditoria

Os quadros de conformidade, incluindo os SOC 2 Trust Services Criteria CC6.1 e o anexo A.9 da ISO 27001, exigem provas documentadas de quem acedeu a quê e quando. Um registo de auditoria não é opcional. É o rasto documental que evita problemas durante um incidente ou uma auditoria.

Integração com a infraestrutura de TI existente

Um gestor de palavras-passe que exija um silo de identidades separado cria mais trabalho, não menos. A integração com o Active Directory (AD), o LDAP e os fornecedores de SSO permite que os utilizadores se autentiquem com as credenciais que já possuem, e que o aprovisionamento e o desaprovisionamento ocorram automaticamente quando os RH atualizam o diretório.

NIST SP 800-63B Rev. 4: O que mudou em 2025

A NIST SP 800-63B Rev. 4 (2025) atualiza as diretrizes de identidade digital a que a maioria das políticas de segurança empresariais faz referência. Várias alterações afetam diretamente a forma como as organizações devem configurar as suas políticas de palavras-passe.

A passagem de não deveria (should not) para não deve (shall not) nas regras de composição é significativa. As organizações que ainda aplicam políticas do tipo «incluir um número, um símbolo e uma letra maiúscula» estão agora em desacordo com as orientações do NIST, e com razão. A investigação mostra de forma consistente que as regras de complexidade forçada produzem padrões previsíveis: Password1!, Summer2024@, Qwerty#1. O comprimento é um indicador de segurança mais fiável do que a diversidade de caracteres.

O mínimo de 15 caracteres reflete a mesma lógica. Uma frase-passe de 15 caracteres como correct-horse-battery-staple é muito mais resistente a ataques de força bruta do que uma P@ssw0rd de 8 caracteres.

O requisito obrigatório de verificação de palavras-passe comprometidas significa que as organizações precisam de um mecanismo para comparar as novas palavras-passe com bases de dados de violações conhecidas no momento da criação ou da reposição, e não apenas no início de sessão.

Como o Passwork responde a cada desafio

A gestão de credenciais exige um equilíbrio constante entre controlos de segurança rigorosos e rapidez operacional. O Passwork resolve estes desafios de infraestrutura ao integrar-se diretamente nos serviços de diretório existentes, ao automatizar o controlo de acesso e ao proporcionar visibilidade total sobre a utilização das credenciais.

Organização dos dados: Cofres, pastas, etiquetas e histórico

O Passwork estrutura as credenciais numa hierarquia de cofres e pastas. Um cofre pode corresponder a um departamento ou a um projeto. As pastas existentes dentro dele agrupam credenciais relacionadas. As etiquetas acrescentam uma dimensão transversal: é possível etiquetar as credenciais por ambiente (produção, staging, desenvolvimento) ou por tipo de sistema (base de dados, nuvem, rede), independentemente do local da árvore de pastas onde se encontrem.

Cada entrada de credencial mantém um histórico de alterações completo. Se uma palavra-passe foi rodada na terça-feira passada às 14:32 por um utilizador específico, fica registado. Se for necessário reverter ou auditar uma alteração, o histórico está disponível. É o tipo de rastreabilidade que os auditores de SOC 2 e ISO 27001 exigem.

Acesso baseado em funções: Separação entre acesso aos dados e administração do sistema

O Passwork separa o acesso aos dados do controlo administrativo através de dois mecanismos distintos: os grupos de utilizadores e as funções do sistema.

• Os grupos de utilizadores controlam o acesso aos dados: este modelo gere o acesso a cofres e pastas. As permissões são atribuídas a um grupo (por exemplo, a equipa de DevOps) e todos os membros herdam-nas automaticamente. Quando alguém entra na equipa, obtém acesso. Quando sai, é removido do grupo e o acesso é revogado em todos os cofres e pastas a que o grupo está associado. 
• As funções do sistema definem os privilégios administrativos: as funções predefinidas e personalizadas gerem o acesso às definições do sistema, às configurações de LDAP e aos registos de auditoria globais. Assim, os utilizadores padrão interagem apenas com os cofres que lhes foram atribuídos, enquanto os administradores gerem a infraestrutura da plataforma. No modelo Zero-Knowledge, os administradores do sistema não conseguem aceder às palavras-passe propriamente ditas.

As permissões dentro dos cofres são granulares: só de leitura, edição e administração. Um utilizador com permissão só de leitura pode obter credenciais, mas não pode modificá-las nem eliminá-las. Um administrador pode gerir a estrutura e os membros do cofre. É possível combinar estas permissões em cofres diferentes para o mesmo utilizador: um programador pode ter acesso de edição ao cofre de staging e acesso só de leitura ao de produção.

Esta estrutura resolve diretamente o problema da saída de colaboradores. Quando um colaborador sai, a sua conta é desativada. As suas associações a grupos são removidas. O acesso deixa de existir. Não é necessário qualquer inventário manual do tipo «a que é que esta pessoa tinha acesso?».

Segurança e integração: 2FA, AD/LDAP e SSO

O Passwork impõe a autenticação de dois fatores (2FA) ao nível da organização. Os administradores podem torná-la obrigatória para todos os utilizadores, e não apenas opcional. Os métodos compatíveis incluem aplicações de autenticação TOTP, chaves de segurança de hardware, biometria e passkeys.

Nas organizações que utilizam o Active Directory ou o LDAP, o Passwork sincroniza utilizadores e grupos diretamente a partir do diretório. O aprovisionamento e o desaprovisionamento de utilizadores seguem o diretório: quando os RH desativam uma conta no AD, o acesso correspondente no Passwork é revogado automaticamente. Isto elimina o passo manual que a maioria dos processos de saída de colaboradores deixa escapar.

A integração de SSO através de SAML permite que os utilizadores se autentiquem através do fornecedor de identidade existente. Não há credenciais separadas do Passwork para gerir, nem risco de reutilização de palavras-passe, nem fricção para o utilizador final. 

Partilha externa: Ligações seguras de utilização única

Partilhar uma credencial com uma entidade externa (um prestador de serviços, um fornecedor, um testador de intrusão) sem expor o cofre é uma necessidade operacional comum. O Passwork resolve-a com ligações de partilha de utilização única e com limite de tempo. Gera-se uma ligação para uma credencial específica, define-se uma validade (horas, dias ou um único acesso) e envia-se. Depois de a ligação expirar ou ser utilizada, deixa de existir. O destinatário nunca obtém acesso ao próprio cofre.

Isto é categoricamente diferente de colar uma palavra-passe num e-mail. A ligação é cifrada em trânsito, o evento de acesso fica registado e é possível revogá-la antes de expirar, se as circunstâncias mudarem.

Auditoria: Registos de atividade e painel de segurança

Cada ação no Passwork (criação, modificação, acesso, partilha e eliminação de credenciais) é registada no registo de atividade com data e hora e com a identificação do utilizador. O registo é exportável e pode ser encaminhado para um SIEM através de Syslog ou da integração com o Windows Event Viewer.

O painel de segurança destaca palavras-passe fracas, palavras-passe antigas e credenciais que não são rodadas há um período definido. Isto dá à equipa de segurança uma visão contínua da higiene das credenciais, sem auditorias manuais. Quando uma credencial surge como fraca ou reutilizada, fica visível para o administrador, em vez de ficar enterrada numa folha de cálculo.

Autoalojado vs. nuvem: Que modelo de implementação se adequa à organização

O Passwork está disponível em dois modelos de implementação. A escolha entre eles depende dos requisitos de conformidade, da capacidade de TI e da tolerância ao risco.

A implementação autoalojada faz sentido quando a organização opera sob requisitos rigorosos de soberania dos dados: organismos públicos, instituições financeiras, organizações de saúde e empresas sujeitas a regulamentação setorial que proíbe a saída dos dados da infraestrutura interna. O Passwork é executado nos servidores da própria organização (Linux com Docker ou Windows Server) e todos os dados de credenciais são cifrados com AES-256 antes de chegarem sequer ao disco. As chaves de cifragem permanecem na posse da organização.

O Passwork Cloud é a escolha certa quando é necessário ficar operacional rapidamente e não existe capacidade de TI para gerir uma infraestrutura nas instalações. A instância na nuvem está alojada sob jurisdição da UE e utiliza a mesma arquitetura de cifragem zero-knowledge, do lado do cliente, da versão autoalojada. O Passwork Cloud tem certificação ISO 27001 e está em conformidade com o RGPD e a NIS2.

Ambos os modelos incluem o conjunto completo de funcionalidades: RBAC, integração com AD/LDAP, SSO, registos de auditoria e a REST API.

A lista de verificação de saída de colaboradores: Proteger as credenciais quando alguém sai

A maioria dos incidentes de segurança de credenciais associados a colaboradores que saem acontece porque a saída de colaboradores é tratada como um processo de RH, e não como um processo de segurança. Os passos seguintes devem decorrer em paralelo com o último dia do colaborador, ou antes dele.

A lista de verificação de credenciais em 7 passos para a saída de colaboradores

1. Desativar a conta de imediato. No Passwork, a desativação de uma conta de utilizador revoga instantaneamente todo o acesso a cofres e pastas. Se a sincronização com AD/LDAP estiver configurada, isto acontece automaticamente quando a conta do diretório é desativada.
2. Auditar as credenciais partilhadas. Rever o registo de atividade para identificar as credenciais a que o colaborador que sai acedeu nos últimos 30 a 90 dias. Esta é a lista de rotação.
3. Rodar as credenciais a que tinha acesso de edição. O acesso só de leitura representa menor risco; o acesso de edição significa que o colaborador poderia ter copiado ou modificado a credencial. Estas devem ser rodadas em primeiro lugar.
4. Revogar as ligações de partilha ativas. Verificar se existem ligações de utilização única por expirar geradas pelo colaborador. Revogá-las antes do último dia.
5. Reatribuir a propriedade dos cofres. Se o colaborador era proprietário ou administrador de algum cofre, transferir a propriedade para outro administrador antes de a conta ser desativada.
6. Verificar a existência de cofres pessoais. Alguns utilizadores guardam credenciais profissionais em cofres pessoais do navegador ou em contas de gestores de palavras-passe fora da ferramenta corporativa. Isto é shadow IT. Deve ser tratado na política da organização, e não apenas na saída do colaborador.
7. Documentar o processo. Registar as ações de saída executadas, as credenciais rodadas e a data e hora. Este é o rasto de prova para uma futura auditoria.

A diferença entre uma saída de colaborador sem problemas e um incidente de credenciais reside, normalmente, em o passo 2 ter sido executado antes ou depois de o colaborador sair.

Boas práticas para a gestão de palavras-passe em equipa em 2026

Implementar um gestor de palavras-passe é apenas o primeiro passo para proteger a infraestrutura da organização. Para construir uma postura de segurança resiliente, é necessário alinhar os fluxos de trabalho diários com os padrões modernos de autenticação e eliminar os hábitos que expõem as credenciais a ameaças externas.

As práticas seguintes centram-se em reduzir a superfície de ataque, proteger a comunicação entre máquinas e criar uma experiência de utilização fluida que elimine, de forma natural, as soluções alternativas inseguras.

Tratar o shadow IT antes que seja ele a tratar-nos

O shadow IT na gestão de credenciais refere-se à utilização, pelos colaboradores, de gestores de palavras-passe pessoais, de palavras-passe guardadas no navegador ou de folhas de cálculo partilhadas fora da ferramenta autorizada. Segundo a Huntress (2024), mais de um quarto dos profissionais de cibersegurança identifica a utilização de palavras-passe iguais ou fracas pelos colaboradores como o hábito de segurança mais problemático.

A solução não é uma circular interna sobre políticas. É tornar a ferramenta aprovada mais fácil de utilizar do que a alternativa informal. As extensões de navegador, as aplicações móveis e a compatibilidade com preenchimento automático eliminam a fricção que leva as pessoas a recorrer a alternativas informais. Se utilizar um gestor de palavras-passe for mais rápido do que abrir uma folha de cálculo, a maioria dos colaboradores vai utilizá-lo.

Aplicar os mínimos da NIST Rev. 4 à política de palavras-passe

Atualizar a política de palavras-passe da organização de acordo com a NIST SP 800-63B Rev. 4 (2025):

• Mínimo de 15 caracteres para palavras-passe utilizadas como único autenticador
• Sem regras de composição obrigatórias (sem requisitos do tipo «incluir um número e um símbolo»)
• Sem expiração periódica; rodar apenas em caso de comprometimento confirmado ou suspeito
• Verificar as novas palavras-passe numa base de dados de credenciais comprometidas

O painel de segurança do Passwork assinala as palavras-passe fracas que não cumprem os limiares definidos. Combinado com uma política que reflita as orientações atuais do NIST, resulta numa postura defensável de higiene das credenciais.

Tratar as credenciais não humanas como credenciais de primeira classe

As chaves de API, as palavras-passe de contas de serviço, as cadeias de ligação a bases de dados e os tokens de implementação também são credenciais. Muitas vezes são mais perigosas do que as credenciais humanas, porque têm longa duração, raramente são rodadas e estão frequentemente incorporadas em código ou em ficheiros de configuração.

O Passwork gere segredos (credenciais de máquina) a par das palavras-passe humanas, com o mesmo RBAC, o mesmo registo de auditoria e o mesmo acompanhamento de rotação. Os guias técnicos do Passwork abordam a gestão de segredos em fluxos de trabalho DevOps, incluindo a integração com pipelines de CI/CD.

Impor a 2FA em todas as contas

O relatório 2026 State of Passkeys da FIDO Alliance concluiu que 5 mil milhões de passkeys estão atualmente em utilização ativa a nível mundial e que 68 % das organizações estão a implementar, a testar ou a lançar passkeys para a autenticação dos colaboradores. As passkeys indicam a direção a seguir, mas, entretanto, a 2FA baseada em TOTP em todas as contas é o nível mínimo.

No Passwork, os administradores podem tornar a 2FA obrigatória ao nível da organização. Os utilizadores não têm a possibilidade de a recusar. Se a configuração atual torna a 2FA opcional, trata-se de uma lacuna de política que vale a pena corrigir hoje.

Migrar a equipa para um gestor de palavras-passe centralizado

A migração falha quando é tratada como um projeto técnico e não como um projeto de gestão da mudança. Os passos técnicos são simples. Levar a equipa a abandonar os métodos antigos exige mais trabalho.

O modelo de migração em 5 fases

1. Inventário (semana 1-2). Identificar todos os repositórios de credenciais atualmente em uso: folhas de cálculo, perfis de navegador partilhados, gestores de palavras-passe pessoais, mensagens de chat. Não se deve presumir que se conhecem todos; convém perguntar à equipa. O objetivo é obter um quadro completo antes de começar a mover o que quer que seja.
2. Desenho da estrutura (semana 2-3). Definir a hierarquia de cofres e pastas antes de importar o que quer que seja. Uma estrutura plana com 200 credenciais num único cofre dificilmente é melhor do que uma folha de cálculo. A estrutura deve refletir a forma como a equipa realmente trabalha: por projeto, por sistema, por ambiente ou por equipa.
3. Importação e validação (semana 3-4). Importar as credenciais das fontes existentes com as ferramentas de importação do Passwork. Validar se as entradas estão completas e corretamente categorizadas. Atribuir a propriedade e as permissões de acesso antes de anunciar a migração.
4. Formação e implementação (semana 4-5). Realizar uma sessão curta (30 minutos bastam para a maioria das equipas) sobre a extensão de navegador, a forma de obter uma credencial e a forma de partilhar uma. O objetivo é eliminar a desculpa «não sei como se utiliza».
5. Desativação dos repositórios antigos (semana 6+). Definir um prazo firme para retirar a folha de cálculo ou a pasta partilhada. Anunciá-lo com antecedência. Depois do prazo, eliminar o repositório antigo e confirmar com a equipa que o novo sistema é a única fonte de verdade.

A falha de migração mais comum é manter o sistema antigo em funcionamento «só por precaução». Enquanto a folha de cálculo existir, algumas pessoas vão continuar a utilizá-la.

Pôr em prática

A distância entre «temos um gestor de palavras-passe» e «a segurança das nossas credenciais está realmente sob controlo» é maior do que a maioria das equipas espera. A ferramenta é a parte fácil. O trabalho está na estrutura dos cofres, na política de acessos, no processo de saída de colaboradores e na higiene contínua: garantir que as credenciais fracas são rodadas e que a folha de cálculo que alguém das finanças ainda utiliza é desativada.

Começar pelo inventário. Não é possível proteger o que não se vê. Depois de saber que credenciais existem e onde se encontram, todos os restantes passos decorrem de forma lógica.

Perguntas frequentes

Gestão de palavras-passe para equipas: A solução de que toda a PME precisa

Guardar palavras-passe no Slack e em navegadores expõe a empresa a violações de dados. Descubra porque é que as ferramentas pessoais falham nas equipas, como processar a saída de colaboradores de forma segura com um só clique e porque é que as diretrizes mais recentes do NIST desaconselham a rotação forçada de palavras-passe.

Passwork BlogAlex Muntyan

Caos de palavras-passe: Porque é um problema para o negócio e como o resolver

Uma palavra-passe esquecida custa 70 dólares. Uma violação de dados custa 4,44 milhões de dólares. Ambas começam da mesma forma: credenciais partilhadas no Slack, guardadas em folhas de cálculo e nunca rodadas. Eis o custo real do caos de palavras-passe e como eliminá-lo.

Passwork BlogAlex Muntyan

Shadow IT vs. Shadow AI: Porque é que a IA é a maior ameaça

Os colaboradores utilizam ferramentas de IA que não foram aprovadas, em contas que não é possível monitorizar, com dados que não é possível recuperar. Eis o que o risco representa na realidade e o que a governação precisa de abordar.

Passwork BlogAlex Muntyan

Team-Passwortverwaltung bezeichnet die Praxis, Zugangsdaten innerhalb einer Gruppe mit einem dedizierten Tool (Passwort-Manager) zu speichern, zu organisieren und zu teilen — anstelle von Messengern, Tabellenkalkulationen oder individuellen Browser-Tresoren. Richtig umgesetzt erhält jedes Teammitglied Zugriff auf genau das, was es benötigt, nicht mehr, mit einem vollständigen Audit-Trail darüber, wer wann auf was zugegriffen hat.

Dieser Leitfaden behandelt die tatsächlichen Probleme, auf die Teams stoßen, wenn sie Zugangsdaten ohne ein geeignetes System teilen, worauf Sie bei einer Lösung achten sollten, wie Passwork jede Herausforderung adressiert und wie Sie eine Migration durchführen, ohne Ihr Team zu beeinträchtigen.

Wichtige Erkenntnisse

• Missbrauch von Zugangsdaten tritt in 39 % aller Sicherheitsverletzungen auf und ist damit die am weitesten verbreitete Technik über die gesamte Angriffskette hinweg — nicht nur beim initialen Zugriff.
• Die drei Fehlerarten beim informellen Teilen von Zugangsdaten sind Sichtbarkeitslücken, schleichende Zugriffsausweitung und Offboarding-Versäumnisse. Alle drei sind mit einem strukturierten Passwort-Manager vermeidbar.
• NIST SP 800-63B Rev. 4 hat die Regeln geändert: mindestens 15 Zeichen für Passwörter, keine obligatorischen Komplexitätsanforderungen und kein periodisches Ablaufdatum. Viele Organisationen arbeiten noch mit Richtlinien, die allen drei Punkten widersprechen.
• Effektive Team-Passwortverwaltung erfordert mehr als nur Speicherung: RBAC, Audit-Logs, AD/LDAP-Integration, SSO und sicheres externes Teilen sind für jedes Team, das über eine Handvoll Personen hinausgeht, unverzichtbar.
• Offboarding ist ein Sicherheitsereignis, keine HR-Formalität. Eine 7-Schritte-Checkliste für Zugangsdaten, die am oder vor dem letzten Arbeitstag eines Mitarbeiters durchgeführt wird, schließt die Lücken, die die meisten Vorfälle ausnutzen.
• Migration gelingt oder scheitert am Change Management, nicht an der Technologie. Der häufigste Fehler ist, die alte Tabellenkalkulation nach dem Rollout weiter zugänglich zu lassen.

Die Kosten des informellen Teilens von Zugangsdaten

Die meisten Teams beginnen mit einem geteilten Google Sheet, einer Slack-Nachricht oder einem Klebezettel an der Serverraumtür. Es funktioniert. Bis es nicht mehr funktioniert.

Die durchschnittlichen Kosten einer Datenschutzverletzung sanken laut dem IBM Cost of a Data Breach Report 2025 auf 4,44 Millionen US-Dollar — der erste Rückgang seit fünf Jahren. Das sind immer noch 4,44 Millionen US-Dollar pro Vorfall. Und gestohlene oder kompromittierte Zugangsdaten bleiben tief in der Durchführung von Angriffen verankert: Der Verizon Data Breach Investigations Report 2026 stellte fest, dass der Missbrauch von Zugangsdaten irgendwann in 39 % aller Sicherheitsverletzungen auftritt — die häufigste Technik im gesamten Datensatz.

Das Problem des informellen Teilens hat drei unterschiedliche Fehlerarten:

1. Sichtbarkeitslücken. Wenn ein Passwort in einem Slack-Thread existiert, gibt es keine Aufzeichnung darüber, wer es hat, wer es weitergeleitet hat oder ob es geändert wurde. Wenn diese Zugangsdaten später kompromittiert werden, können Sie den zeitlichen Ablauf nicht rekonstruieren.
2. Schleichende Zugriffsausweitung. Tabellenkalkulationen erzwingen keine Zugriffsgrenzen. Ein Entwickler, der im Januar ein Datenbankpasswort benötigte, hat im Dezember immer noch das gesamte Sheet — einschließlich Zugangsdaten für Systeme, die er nie berührt hat, und Accounts, auf die er keinen Zugriff haben sollte.
3. Offboarding-Versäumnisse. Hier verursacht informelles Teilen den größten Schaden. Wenn ein Mitarbeiter das Unternehmen verlässt, hat die IT kein zuverlässiges Inventar dessen, worauf er Zugriff hatte. Die Standardreaktion (jedes geteilte Passwort ändern) ist sowohl störend als auch selten vollständig. Einige Zugangsdaten werden übersehen. Einige werden wochenlang nicht geändert.

Eine Huntress-Studie von 2024 ergab, dass 46 % der Menschen in diesem Jahr ein Passwort gestohlen wurde. Für Organisationen, die sich auf geteilte Tabellenkalkulationen und Chat-Nachrichten verlassen, multipliziert sich diese Gefährdung über jeden Account in der Datei.

Was Teams wirklich von einem Passwort-Manager benötigen

Bevor Sie ein Tool evaluieren, ist es hilfreich, die Anforderungen klar zu definieren. Die folgende Liste spiegelt wider, was IT-Manager und Sicherheitsteams durchweg als unverzichtbar identifizieren.

Ein zentrales, strukturiertes Repository

Zugangsdaten, die über die Browser und persönlichen Tresore einzelner Personen verstreut sind, sind für die Organisation praktisch unsichtbar. Ein Team-Passwort-Manager benötigt ein einziges, durchsuchbares Repository, auf das das gesamte Team zugreifen kann — organisiert nach Projekt, System oder Abteilung, mit einheitlicher Benennung und Tagging.

Flexible, granulare Zugriffskontrolle

Nicht jeder benötigt alles. Ein Junior-Entwickler braucht keine Produktionsdatenbank-Zugangsdaten. Ein externer Dienstleister braucht keine internen Admin-Accounts. Rollenbasierte Zugriffskontrolle (RBAC) ermöglicht es Ihnen zu definieren, wer Zugangsdaten auf Tresor- oder Ordnerebene lesen, bearbeiten oder verwalten darf — und diese Grenzen automatisch durchzusetzen.

Sichere Freigabemechanismen

Manchmal müssen Sie Zugangsdaten mit jemandem außerhalb Ihrer Organisation teilen: einem Anbieter, einem externen Dienstleister, einem Partner. Diese per E-Mail oder Chat zu versenden ist ein Sicherheitsvorfall, der nur darauf wartet zu passieren. Das richtige Tool bietet zeitlich begrenzte Einmal-Links, die nach dem ersten Zugriff oder nach einem festgelegten Zeitfenster ablaufen.

Aktivitätsüberwachung und Audit-Logs

Compliance-Frameworks einschließlich SOC 2 Trust Services Criteria CC6.1 und ISO 27001 Annex A.9 erfordern dokumentierte Nachweise darüber, wer wann auf was zugegriffen hat. Ein Audit-Log ist nicht optional. Es ist der Nachweis, der Sie bei einem Vorfall oder einer Prüfung vor Schwierigkeiten bewahrt.

Integration in bestehende IT-Infrastruktur

Ein Passwort-Manager, der einen separaten Identitätssilo erfordert, schafft mehr Arbeit, nicht weniger. Integration mit Active Directory (AD), LDAP und SSO-Anbietern bedeutet, dass sich Benutzer mit den Zugangsdaten authentifizieren, die sie bereits haben, und Bereitstellung/Deprovisionierung automatisch erfolgt, wenn HR das Verzeichnis aktualisiert.

NIST SP 800-63B Rev. 4: Was sich 2025 geändert hat

NIST SP 800-63B Rev. 4 (2025) aktualisiert die Richtlinien für digitale Identität, auf die sich die meisten Unternehmenssicherheitsrichtlinien beziehen. Mehrere Änderungen wirken sich direkt darauf aus, wie Organisationen ihre Passwortrichtlinien konfigurieren sollten.

Der Wechsel von sollte nicht zu darf nicht bei Komplexitätsregeln ist bedeutsam. Organisationen, die immer noch „muss eine Zahl, ein Symbol, einen Großbuchstaben enthalten"-Richtlinien durchsetzen, sind nun nicht mehr mit den NIST-Empfehlungen konform — und das aus gutem Grund. Forschungen zeigen durchweg, dass erzwungene Komplexitätsregeln vorhersehbare Muster erzeugen: Password1!, Summer2024@, Qwerty#1. Länge ist ein zuverlässigeres Sicherheitssignal als Zeichenvielfalt.

Das 15-Zeichen-Minimum folgt der gleichen Logik. Eine 15 Zeichen lange Passphrase wie correct-horse-battery-staple ist weitaus widerstandsfähiger gegen Brute-Force-Angriffe als ein 8-Zeichen-Passwort wie P@ssw0rd.

Die verpflichtende Prüfung auf kompromittierte Passwörter bedeutet, dass Organisationen einen Mechanismus benötigen, um neue Passwörter zum Zeitpunkt der Erstellung oder des Zurücksetzens gegen bekannte Breach-Datenbanken zu prüfen — nicht erst beim Login.

Wie Passwork jede Herausforderung adressiert

Die Verwaltung von Zugangsdaten erfordert einen ständigen Ausgleich zwischen strengen Sicherheitskontrollen und operativer Geschwindigkeit. Passwork löst diese Infrastrukturherausforderungen durch direkte Integration in Ihre bestehenden Verzeichnisdienste, Automatisierung der Zugriffskontrolle und vollständige Transparenz über die Nutzung von Zugangsdaten.

Datenorganisation: Tresore, Ordner, Tags und Verlauf

Passwork strukturiert Zugangsdaten in einer Hierarchie aus Tresoren und Ordnern. Ein Tresor kann einer Abteilung oder einem Projekt entsprechen. Ordner darin gruppieren zusammengehörige Zugangsdaten. Tags fügen eine übergreifende Dimension hinzu: Sie können Zugangsdaten nach Umgebung (Produktion, Staging, Entwicklung) oder nach Systemtyp (Datenbank, Cloud, Netzwerk) taggen — unabhängig davon, wo sie in der Ordnerstruktur liegen.

Jeder Zugangsdateneintrag pflegt einen vollständigen Änderungsverlauf. Wenn ein Passwort letzten Dienstag um 14:32 Uhr von einem bestimmten Benutzer rotiert wurde, wird das aufgezeichnet. Wenn Sie eine Änderung rückgängig machen oder prüfen müssen, ist der Verlauf vorhanden. Dies ist die Art von Nachverfolgbarkeit, nach der SOC 2- und ISO 27001-Prüfer fragen.

Rollenbasierter Zugriff: Trennung von Datenzugriff und Systemadministration

Passwork trennt den Datenzugriff von der administrativen Kontrolle durch zwei unterschiedliche Mechanismen: Benutzergruppen und Systemrollen.

• Benutzergruppen steuern den Datenzugriff — Dieses Modell verwaltet den Zugriff auf Tresore und Ordner. Sie weisen einer Gruppe (wie dem DevOps-Team) Berechtigungen zu, und jedes Mitglied erbt diese Berechtigungen automatisch. Wenn jemand dem Team beitritt, erhält er Zugriff. Wenn er geht, entfernen Sie ihn aus der Gruppe und der Zugriff wird für jeden Tresor und Ordner, den diese Gruppe berührt, widerrufen.
• Systemrollen definieren administrative Privilegien — Vordefinierte und benutzerdefinierte Rollen verwalten den Zugriff auf Systemeinstellungen, LDAP-Konfigurationen und globale Audit-Logs. Dies stellt sicher, dass Standardbenutzer nur mit ihren zugewiesenen Tresoren interagieren, während Administratoren die Plattforminfrastruktur verwalten. Unter dem Zero-Knowledge-Modell können Systemadministratoren nicht auf tatsächliche Passwörter zugreifen.

Berechtigungen innerhalb von Tresoren sind granular: Nur Lesen, Bearbeiten und Admin. Ein Nur-Lesen-Benutzer kann Zugangsdaten abrufen, aber nicht ändern oder löschen. Ein Admin kann die Struktur und Mitgliedschaft des Tresors verwalten. Sie können diese Berechtigungen über verschiedene Tresore für denselben Benutzer mischen: Ein Entwickler könnte Bearbeitungszugriff auf den Staging-Tresor und Nur-Lesen-Zugriff auf Produktion haben.

Diese Struktur löst das Offboarding-Problem direkt. Wenn ein Mitarbeiter das Unternehmen verlässt, deaktivieren Sie sein Konto. Seine Gruppenmitgliedschaften werden entfernt. Der Zugriff ist weg. Kein manuelles Inventar von „worauf hatte diese Person Zugriff?" erforderlich.

Sicherheit und Integration: 2FA, AD/LDAP und SSO

Passwork erzwingt Zwei-Faktor-Authentifizierung (2FA) auf Organisationsebene. Administratoren können sie für alle Benutzer verpflichtend machen, nicht nur optional. Unterstützte Methoden umfassen TOTP-Authenticator-Apps, Hardware-Sicherheitsschlüssel, Biometrie und Passkeys.

Für Organisationen, die Active Directory oder LDAP betreiben, synchronisiert Passwork Benutzer und Gruppen direkt aus dem Verzeichnis. Benutzerbereitstellung und -deprovisionierung folgen dem Verzeichnis: Wenn HR ein Konto in AD deaktiviert, wird der entsprechende Passwork-Zugriff automatisch widerrufen. Dies eliminiert den manuellen Schritt, den die meisten Offboarding-Prozesse übersehen.

SSO-Integration über SAML bedeutet, dass sich Benutzer über Ihren bestehenden Identity Provider authentifizieren. Keine separaten Passwork-Zugangsdaten zu verwalten, kein Passwort-Wiederverwendungsrisiko und keine Reibungsverluste für den Endbenutzer.

Externe Freigabe: Sichere Einmal-Links

Das Teilen von Zugangsdaten mit einer externen Partei (einem Auftragnehmer, einem Anbieter, einem Penetrationstester), ohne Ihren Tresor preiszugeben, ist ein häufiges operatives Erfordernis. Passwork handhabt dies mit zeitlich begrenzten Einmal-Freigabelinks. Sie generieren einen Link für bestimmte Zugangsdaten, legen ein Ablaufdatum fest (Stunden, Tage oder ein einziger Zugriff) und senden ihn. Sobald der Link abläuft oder verwendet wird, ist er weg. Der Empfänger erhält niemals Zugriff auf den Tresor selbst.

Dies unterscheidet sich kategorisch vom Einfügen eines Passworts in eine E-Mail. Der Link ist während der Übertragung verschlüsselt, das Zugriffsereignis wird protokolliert, und Sie können ihn vor Ablauf widerrufen, wenn sich die Umstände ändern.

Auditing: Aktivitätsprotokolle und Sicherheits-Dashboard

Jede Aktion in Passwork (Erstellung, Änderung, Zugriff, Freigabe, Löschung von Zugangsdaten) wird im Aktivitätsprotokoll mit Zeitstempel und Benutzerzuordnung aufgezeichnet. Das Protokoll ist exportierbar und kann über Syslog oder Windows Event Viewer-Integration an ein SIEM weitergeleitet werden.

Das Sicherheits-Dashboard zeigt schwache Passwörter, alte Passwörter und Zugangsdaten an, die innerhalb eines definierten Zeitraums nicht rotiert wurden. Dies gibt dem Sicherheitsteam einen kontinuierlichen Überblick über die Zugangsdaten-Hygiene ohne manuelle Audits. Wenn Zugangsdaten als schwach oder wiederverwendet erscheinen, ist dies für den Administrator sichtbar, nicht in einer Tabellenkalkulation vergraben.

Self-hosted vs. Cloud: Welche Bereitstellung passt zu Ihrer Organisation

Passwork ist in zwei Bereitstellungsmodellen verfügbar. Die Wahl zwischen ihnen hängt von Ihren Compliance-Anforderungen, IT-Kapazitäten und Risikotoleranz ab.

Self-hosted-Bereitstellung ist sinnvoll, wenn Ihre Organisation unter strengen Datensouveränitätsanforderungen arbeitet: Behörden, Finanzinstitute, Gesundheitsorganisationen und Unternehmen, die branchenspezifischen Vorschriften unterliegen, die verbieten, dass Daten die interne Infrastruktur verlassen. Sie betreiben Passwork auf Ihren eigenen Servern (Linux mit Docker oder Windows Server), und alle Zugangsdaten werden mit AES-256 verschlüsselt, bevor sie jemals die Festplatte berühren. Die Verschlüsselungsschlüssel bleiben bei Ihnen.

Passwork Cloud ist die richtige Wahl, wenn Sie schnell einsatzbereit sein müssen und nicht die IT-Kapazität haben, um eine On-Premises-Infrastruktur zu verwalten. Die Cloud-Instanz wird innerhalb der EU-Jurisdiktion gehostet und verwendet dieselbe Zero-Knowledge-, clientseitige Verschlüsselungsarchitektur wie die Self-hosted-Version. Passwork Cloud ist ISO 27001 zertifiziert und DSGVO- sowie NIS2-konform.

Beide Modelle unterstützen den vollständigen Funktionsumfang: RBAC, AD/LDAP-Integration, SSO, Audit-Logs und die REST API.

Die Offboarding-Checkliste: Zugangsdaten sichern, wenn jemand das Unternehmen verlässt

Die meisten Sicherheitsvorfälle im Zusammenhang mit ausscheidenden Mitarbeitern passieren, weil Offboarding als HR-Prozess behandelt wird, nicht als Sicherheitsprozess. Die folgenden Schritte sollten parallel zu oder vor dem letzten Arbeitstag des Mitarbeiters durchgeführt werden.

Die 7-Schritte-Offboarding-Checkliste für Zugangsdaten

1. Deaktivieren Sie das Konto sofort. In Passwork widerruft die Deaktivierung eines Benutzerkontos sofort alle Tresor- und Ordnerzugriffe. Wenn AD/LDAP-Synchronisierung konfiguriert ist, geschieht dies automatisch, wenn das Verzeichniskonto deaktiviert wird.
2. Prüfen Sie geteilte Zugangsdaten. Überprüfen Sie das Aktivitätsprotokoll auf Zugangsdaten, auf die der ausscheidende Mitarbeiter in den letzten 30-90 Tagen zugegriffen hat. Dies ist Ihre Rotationsliste.
3. Rotieren Sie Zugangsdaten, auf die er Bearbeitungszugriff hatte. Nur-Lesen-Zugriff ist risikoärmer; Bearbeitungszugriff bedeutet, dass er die Zugangsdaten hätte kopieren oder ändern können. Rotieren Sie diese zuerst.
4. Widerrufen Sie alle aktiven Freigabelinks. Prüfen Sie auf nicht abgelaufene Einmal-Links, die der Mitarbeiter generiert hat. Widerrufen Sie sie vor dem letzten Arbeitstag.
5. Übertragen Sie die Tresor-Eigentümerschaft. Wenn der Mitarbeiter Tresore besaß oder administrierte, übertragen Sie die Eigentümerschaft auf einen anderen Administrator, bevor das Konto deaktiviert wird.
6. Prüfen Sie auf persönliche Tresore. Einige Benutzer speichern Arbeitszugangsdaten in persönlichen Browser-Tresoren oder Passwort-Manager-Konten außerhalb des Unternehmenstools. Dies ist Shadow IT. Adressieren Sie dies in Ihrer Richtlinie, nicht erst beim Offboarding.
7. Dokumentieren Sie den Prozess. Protokollieren Sie die durchgeführten Offboarding-Aktionen, die rotierten Zugangsdaten und den Zeitstempel. Dies ist der Nachweis für ein zukünftiges Audit.

Der Unterschied zwischen einem sauberen Offboarding und einem Zugangsdaten-Vorfall liegt meist darin, ob Schritt 2 vor oder nach dem Ausscheiden des Mitarbeiters durchgeführt wurde.

Best Practices für Team-Passwortverwaltung 2026

Die Implementierung eines Passwort-Managers ist nur der erste Schritt zur Absicherung der Infrastruktur Ihrer Organisation. Um eine widerstandsfähige Sicherheitslage aufzubauen, müssen Sie Ihre täglichen Arbeitsabläufe mit modernen Authentifizierungsstandards in Einklang bringen und Gewohnheiten eliminieren, die Zugangsdaten externen Bedrohungen aussetzen.

Die folgenden Praktiken konzentrieren sich auf die Reduzierung der Angriffsfläche, die Sicherung der Maschine-zu-Maschine-Kommunikation und die Etablierung einer nahtlosen Benutzererfahrung, die unsichere Workarounds auf natürliche Weise eliminiert.

Adressieren Sie Shadow IT, bevor es Sie adressiert

Shadow IT im Bereich der Zugangsdatenverwaltung bedeutet, dass Mitarbeiter persönliche Passwort-Manager, im Browser gespeicherte Passwörter oder geteilte Tabellenkalkulationen außerhalb des genehmigten Tools verwenden. Laut Huntress (2024) identifizieren mehr als ein Viertel der Cybersicherheitsexperten Mitarbeiter, die dieselben oder schwache Passwörter verwenden, als ihre problematischste Sicherheitsgewohnheit.

Die Lösung ist kein Richtlinienmemo. Sie besteht darin, das genehmigte Tool einfacher zu bedienen als den Workaround. Browser-Erweiterungen, mobile Apps und Autofill-Unterstützung beseitigen die Reibung, die Menschen zu informellen Alternativen treibt. Wenn die Nutzung eines Passwort-Managers schneller ist als das Öffnen einer Tabellenkalkulation, werden die meisten Mitarbeiter ihn verwenden.

Wenden Sie die NIST Rev. 4-Mindestanforderungen auf Ihre Passwortrichtlinie an

Aktualisieren Sie die Passwortrichtlinie Ihrer Organisation entsprechend NIST SP 800-63B Rev. 4 (2025):

• Mindestens 15 Zeichen für Passwörter, die als einziger Authentifikator verwendet werden
• Keine obligatorischen Komplexitätsregeln (keine „muss eine Zahl und ein Symbol enthalten"-Anforderungen)
• Kein periodisches Ablaufdatum; Rotation nur bei bestätigter oder vermuteter Kompromittierung
• Neue Passwörter gegen eine Datenbank kompromittierter Zugangsdaten prüfen

Das Sicherheits-Dashboard von Passwork markiert schwache Passwörter, die Ihre definierten Schwellenwerte nicht erfüllen. Kombinieren Sie dies mit einer Richtlinie, die aktuelle NIST-Empfehlungen widerspiegelt, und Sie haben eine vertretbare Zugangsdaten-Hygiene-Position.

Behandeln Sie nicht-menschliche Zugangsdaten als vollwertige Bürger

API-Schlüssel, Service-Account-Passwörter, Datenbankverbindungszeichenfolgen und Deployment-Tokens sind ebenfalls Zugangsdaten. Sie sind oft gefährlicher als menschliche Zugangsdaten, weil sie langlebig sind, selten rotiert werden und häufig in Code oder Konfigurationsdateien eingebettet sind.

Passwork handhabt Secrets (Maschinen-Zugangsdaten) zusammen mit menschlichen Passwörtern, mit denselben RBAC-, Audit-Logging- und Rotationsverfolgungsfunktionen. Die technischen Leitfäden von Passwork behandeln Secrets-Management für DevOps-Workflows, einschließlich CI/CD-Pipeline-Integration.

Erzwingen Sie 2FA flächendeckend

Der State of Passkeys Report 2026 der FIDO Alliance ergab, dass 5 Milliarden Passkeys weltweit aktiv genutzt werden und 68 % der Organisationen Passkeys für die Mitarbeiterauthentifizierung einführen, pilotieren oder ausrollen. Passkeys repräsentieren die Entwicklungsrichtung, aber in der Zwischenzeit ist TOTP-basierte 2FA auf jedem Account der Mindeststandard.

In Passwork können Administratoren 2FA auf Organisationsebene verpflichtend machen. Es gibt keine Opt-out-Möglichkeit für Benutzer. Wenn Ihre aktuelle Einrichtung 2FA optional macht, ist das eine Richtlinienlücke, die es wert ist, heute geschlossen zu werden.

Migration Ihres Teams zu einem zentralen Passwort-Manager

Migration scheitert, wenn sie als technisches Projekt behandelt wird statt als Change-Management-Projekt. Die technischen Schritte sind unkompliziert. Das Team dazu zu bringen, die alten Methoden nicht mehr zu verwenden, erfordert mehr Arbeit.

Das 5-Phasen-Migrationsframework

1. Inventur (Woche 1-2). Identifizieren Sie alle derzeit genutzten Zugangsdatenspeicher: Tabellenkalkulationen, geteilte Browser-Profile, persönliche Passwort-Manager, Chat-Nachrichten. Gehen Sie nicht davon aus, dass Sie alle kennen; fragen Sie das Team. Das Ziel ist ein vollständiges Bild, bevor Sie etwas verschieben.
2. Strukturdesign (Woche 2-3). Definieren Sie Ihre Tresor- und Ordnerhierarchie, bevor Sie etwas importieren. Eine flache Struktur mit 200 Zugangsdaten in einem Tresor ist kaum besser als eine Tabellenkalkulation. Gestalten Sie sie entsprechend der tatsächlichen Arbeitsweise Ihres Teams: nach Projekt, nach System, nach Umgebung oder nach Team.
3. Import und Validierung (Woche 3-4). Importieren Sie Zugangsdaten aus bestehenden Quellen mit den Import-Tools von Passwork. Validieren Sie, dass Einträge vollständig und korrekt kategorisiert sind. Weisen Sie Eigentümerschaft und Zugriffsberechtigungen zu, bevor Sie die Migration ankündigen.
4. Schulung und Rollout (Woche 4-5). Führen Sie eine kurze Sitzung durch (30 Minuten reichen für die meisten Teams), die die Browser-Erweiterung behandelt, wie man Zugangsdaten abruft und wie man sie teilt. Das Ziel ist, die Ausrede „Ich weiß nicht, wie man es benutzt" zu beseitigen.
5. Alte Speicher außer Betrieb nehmen (Woche 6+). Setzen Sie eine feste Frist für die Abschaltung der Tabellenkalkulation oder des geteilten Ordners. Kündigen Sie sie im Voraus an. Nach der Frist löschen Sie den alten Speicher und bestätigen Sie mit dem Team, dass das neue System die einzige Wahrheitsquelle ist.

Der häufigste Migrationsfehler ist, das alte System „nur für den Fall" weiter zugänglich zu lassen. Solange die Tabellenkalkulation existiert, werden einige Leute sie verwenden.

In die Praxis umsetzen

Die Lücke zwischen „wir haben einen Passwort-Manager" und „unsere Zugangsdatensicherheit ist tatsächlich unter Kontrolle" ist größer, als die meisten Teams erwarten. Das Tool ist der einfache Teil. Die Arbeit sind die Tresor-Struktur, die Zugriffsrichtlinie, der Offboarding-Prozess und die laufende Hygiene: sicherstellen, dass schwache Zugangsdaten rotiert werden und dass die Tabellenkalkulation, die jemand in der Finanzabteilung noch verwendet, außer Betrieb genommen wird.

Beginnen Sie mit der Inventur. Sie können nicht sichern, was Sie nicht sehen können. Sobald Sie wissen, welche Zugangsdaten existieren und wo sie sich befinden, folgt jeder andere Schritt logisch.

Häufig gestellte Fragen

Passwortverwaltung für Teams: Die Lösung, die jedes KMU braucht

Das Speichern von Passwörtern in Slack und Browsern setzt Ihr Unternehmen Sicherheitsverletzungen aus. Erfahren Sie, warum persönliche Tools für Teams versagen, wie Sie ausscheidende Mitarbeiter mit einem Klick sicher offboarden und warum die neuesten NIST-Richtlinien von erzwungener Passwortrotation abraten.

Passwork BlogAlex Muntyan

Passwort-Chaos: Warum es ein Geschäftsproblem ist und wie man es behebt

Ein vergessenes Passwort kostet 70 US-Dollar. Eine Sicherheitsverletzung kostet 4,44 Millionen US-Dollar. Beide beginnen auf die gleiche Weise — Zugangsdaten werden über Slack geteilt, in Tabellenkalkulationen gespeichert, nie rotiert. Hier erfahren Sie, was Passwort-Chaos wirklich kostet und wie man es eliminiert.

Passwork BlogAlex Muntyan

Shadow IT vs. Shadow AI: Warum KI die größere Bedrohung ist

Mitarbeiter nutzen KI-Tools, die Sie nicht genehmigt haben, auf Konten, die Sie nicht überwachen können, mit Daten, die Sie nicht wiederherstellen können. Hier erfahren Sie, wie das Risiko tatsächlich aussieht und was Governance adressieren muss.

Passwork BlogAlex Muntyan

La gestión de contraseñas en equipo es la práctica de almacenar, organizar y compartir credenciales entre un grupo utilizando una herramienta dedicada (gestor de contraseñas), en lugar de mensajeros, hojas de cálculo o bóvedas individuales del navegador. Cuando se hace correctamente, proporciona a cada miembro del equipo acceso exactamente a lo que necesita, nada más, con un registro completo de auditoría de quién accedió a qué y cuándo.

Esta guía cubre los problemas reales que enfrentan los equipos al compartir credenciales sin un sistema adecuado, qué buscar en una solución, cómo Passwork aborda cada desafío y cómo ejecutar una migración sin interrumpir a su equipo.

Puntos clave

• El abuso de credenciales aparece en el 39% de todas las brechas, convirtiéndolo en la técnica más generalizada en toda la cadena de ataque — no solo en el acceso inicial.
• Los tres modos de fallo del intercambio informal de credenciales son las brechas de visibilidad, la expansión de alcance y los fallos en la baja de empleados. Los tres son prevenibles con un gestor de contraseñas estructurado.
• NIST SP 800-63B Rev. 4 ha cambiado las reglas: contraseñas de mínimo 15 caracteres, sin requisitos obligatorios de composición y sin caducidad periódica. Muchas organizaciones todavía aplican políticas que contradicen las tres.
• La gestión efectiva de contraseñas en equipo requiere más que almacenamiento: RBAC, registros de auditoría, integración AD/LDAP, SSO y uso compartido externo seguro son innegociables para cualquier equipo más allá de un puñado de personas.
• La baja de empleados es un evento de seguridad, no una formalidad de RRHH. Una lista de verificación de credenciales de 7 pasos ejecutada en o antes del último día del empleado cierra las brechas que la mayoría de los incidentes explotan.
• La migración tiene éxito o fracasa en la gestión del cambio, no en la tecnología. El fallo más común es dejar la antigua hoja de cálculo en su lugar después del despliegue.

El costo del intercambio informal de credenciales

La mayoría de los equipos comienzan con una hoja de cálculo compartida en Google, un mensaje de Slack o una nota adhesiva en la puerta de la sala de servidores. Funciona. Hasta que deja de funcionar.

El costo promedio de una brecha de datos bajó a $4.44 millones en 2025, la primera disminución en cinco años, según el Informe de Costo de una Brecha de Datos 2025 de IBM. Eso sigue siendo $4.44 millones por incidente. Y las credenciales robadas o comprometidas siguen profundamente incrustadas en cómo se desarrollan los ataques: el Informe de Investigaciones de Brechas de Datos 2026 de Verizon encontró que el abuso de credenciales aparece en algún momento en el 39% de todas las brechas, convirtiéndolo en la técnica más generalizada en el conjunto de datos.

El problema del intercambio informal tiene tres modos de fallo distintos:

1. Brechas de visibilidad. Cuando una contraseña vive en un hilo de Slack, no hay registro de quién la tiene, quién la reenvió o si fue cambiada. Si esa credencial se ve comprometida posteriormente, no se puede reconstruir la línea de tiempo.
2. Expansión de alcance. Las hojas de cálculo no imponen límites de acceso. Un desarrollador que necesitaba una contraseña de base de datos en enero todavía tiene toda la hoja en diciembre, incluyendo credenciales para sistemas que nunca ha tocado y cuentas a las que no tiene por qué acceder.
3. Fallos en la baja de empleados. Aquí es donde el intercambio informal causa más daño. Cuando un empleado se va, TI no tiene un inventario confiable de a qué tenía acceso. La respuesta estándar (cambiar cada contraseña compartida) es tanto disruptiva como raramente completa. Algunas credenciales se omiten. Algunas no se cambian durante semanas.

Un estudio de Huntress de 2024 encontró que el 46% de las personas tuvieron una contraseña robada ese año. Para las organizaciones que dependen de hojas de cálculo compartidas y mensajes de chat, esa exposición se multiplica en cada cuenta del archivo.

Lo que los equipos realmente necesitan de un gestor de contraseñas

Antes de evaluar cualquier herramienta, es útil definir los requisitos claramente. La lista a continuación refleja lo que los gerentes de TI y los equipos de seguridad identifican consistentemente como innegociable.

Un repositorio centralizado y estructurado

Las credenciales dispersas en los navegadores individuales y bóvedas personales son funcionalmente invisibles para la organización. Un gestor de contraseñas de equipo necesita un repositorio único y con capacidad de búsqueda al que todo el equipo pueda acceder, organizado por proyecto, sistema o departamento, con nomenclatura y etiquetado consistentes.

Control de acceso flexible y granular

No todos necesitan todo. Un desarrollador junior no necesita credenciales de bases de datos de producción. Un contratista no necesita cuentas de administrador internas. El control de acceso basado en roles (RBAC) permite definir quién puede leer, editar o administrar credenciales a nivel de bóveda o carpeta, e imponer esos límites automáticamente.

Mecanismos de uso compartido seguros

A veces es necesario compartir una credencial con alguien fuera de su organización: un proveedor, un contratista, un socio. Enviarla por correo electrónico o chat es un evento de seguridad esperando a ocurrir. La herramienta adecuada proporciona enlaces de tiempo limitado y un solo uso que expiran después del primer acceso o después de un período establecido.

Monitoreo de actividad y registros de auditoría

Los marcos de cumplimiento, incluyendo SOC 2 Trust Services Criteria CC6.1 e ISO 27001 Anexo A.9, requieren evidencia documentada de quién accedió a qué y cuándo. Un registro de auditoría no es opcional. Es el rastro documental que lo mantiene fuera de problemas durante un incidente o una auditoría.

Integración con la infraestructura de TI existente

Un gestor de contraseñas que requiere un silo de identidad separado crea más trabajo, no menos. La integración con Active Directory (AD), LDAP y proveedores de SSO significa que los usuarios se autentican con las credenciales que ya tienen, y el aprovisionamiento/desaprovisionamiento ocurre automáticamente cuando RRHH actualiza el directorio.

NIST SP 800-63B Rev. 4: Qué cambió en 2025

NIST SP 800-63B Rev. 4 (2025) actualiza las directrices de identidad digital que la mayoría de las políticas de seguridad empresarial referencian. Varios cambios afectan directamente cómo las organizaciones deben configurar sus políticas de contraseñas.

El cambio de no debería a no deberá en las reglas de composición es significativo. Las organizaciones que todavía imponen políticas de «debe incluir un número, un símbolo, una letra mayúscula» ahora están fuera de alineación con la guía de NIST, y por buenas razones. La investigación muestra consistentemente que las reglas de complejidad forzada producen patrones predecibles: Password1!, Summer2024@, Qwerty#1. La longitud es una señal de seguridad más confiable que la diversidad de caracteres.

El mínimo de 15 caracteres refleja la misma lógica. Una frase de contraseña de 15 caracteres como correct-horse-battery-staple es mucho más resistente a ataques de fuerza bruta que una P@ssw0rd de 8 caracteres.

El requisito obligatorio de verificación de contraseñas comprometidas significa que las organizaciones necesitan un mecanismo para comprobar las nuevas contraseñas contra bases de datos de brechas conocidas en el momento de la creación o el restablecimiento, no solo al iniciar sesión.

Cómo Passwork aborda cada desafío

La gestión de credenciales requiere un equilibrio constante entre controles de seguridad estrictos y velocidad operativa. Passwork resuelve estos desafíos de infraestructura integrándose directamente en sus servicios de directorio existentes, automatizando el control de acceso y proporcionando visibilidad completa sobre el uso de credenciales.

Organización de datos: Bóvedas, carpetas, etiquetas e historial

Passwork estructura las credenciales en una jerarquía de bóvedas y carpetas. Una bóveda puede corresponder a un departamento o un proyecto. Las carpetas dentro de ella agrupan credenciales relacionadas. Las etiquetas añaden una dimensión transversal: puede etiquetar credenciales por entorno (producción, staging, desarrollo) o por tipo de sistema (base de datos, nube, red) independientemente de dónde se encuentren en el árbol de carpetas.

Cada entrada de credencial mantiene un historial completo de cambios. Si una contraseña fue rotada el martes pasado a las 14:32 por un usuario específico, eso queda registrado. Si necesita revertir o auditar un cambio, el historial está ahí. Este es el tipo de trazabilidad que los auditores de SOC 2 e ISO 27001 solicitan.

Acceso basado en roles: Separando el acceso a datos y la administración del sistema

Passwork separa el acceso a datos del control administrativo a través de dos mecanismos distintos: grupos de usuarios y roles del sistema.

• Los grupos de usuarios controlan el acceso a datos — Este modelo gestiona el acceso a bóvedas y carpetas. Se asignan permisos a un grupo (como el equipo de DevOps) y cada miembro hereda esos permisos automáticamente. Cuando alguien se une al equipo, obtiene acceso. Cuando se va, se le elimina del grupo y el acceso se revoca en cada bóveda y carpeta que ese grupo toca.
• Los roles del sistema definen privilegios administrativos — Los roles predefinidos y personalizados gestionan el acceso a la configuración del sistema, configuraciones LDAP y registros de auditoría globales. Esto asegura que los usuarios estándar solo interactúen con sus bóvedas asignadas, mientras que los administradores gestionan la infraestructura de la plataforma. Bajo el modelo Zero-Knowledge, los administradores del sistema no pueden acceder a las contraseñas reales.

Los permisos dentro de las bóvedas son granulares: solo lectura, editar y admin. Un usuario de solo lectura puede recuperar credenciales pero no puede modificarlas o eliminarlas. Un admin puede gestionar la estructura y membresía de la bóveda. Puede mezclar estos permisos en diferentes bóvedas para el mismo usuario: un desarrollador puede tener acceso de edición a la bóveda de staging y acceso de solo lectura a producción.

Esta estructura resuelve directamente el problema de la baja de empleados. Cuando un empleado se va, se desactiva su cuenta. Sus membresías de grupo se eliminan. El acceso desaparece. No se requiere ningún inventario manual de «¿a qué tenía acceso esta persona?».

Seguridad e integración: 2FA, AD/LDAP y SSO

Passwork impone la autenticación de dos factores (2FA) a nivel de organización. Los administradores pueden hacerla obligatoria para todos los usuarios, no solo opcional. Los métodos compatibles incluyen aplicaciones de autenticación TOTP, llaves de seguridad de hardware, biometría y passkeys.

Para las organizaciones que ejecutan Active Directory o LDAP, Passwork sincroniza usuarios y grupos directamente desde el directorio. El aprovisionamiento y desaprovisionamiento de usuarios sigue al directorio: cuando RRHH desactiva una cuenta en AD, el acceso correspondiente en Passwork se revoca automáticamente. Esto elimina el paso manual que la mayoría de los procesos de baja omiten.

La integración SSO vía SAML significa que los usuarios se autentican a través de su proveedor de identidad existente. No hay credenciales separadas de Passwork que gestionar, no hay riesgo de reutilización de contraseñas y no hay fricción para el usuario final.

Uso compartido externo: Enlaces seguros de un solo uso

Compartir una credencial con una parte externa (un contratista, un proveedor, un probador de penetración) sin exponer su bóveda es una necesidad operativa común. Passwork maneja esto con enlaces de uso compartido de tiempo limitado y un solo uso. Se genera un enlace para una credencial específica, se establece una caducidad (horas, días o un solo acceso) y se envía. Una vez que el enlace expira o se usa, desaparece. El destinatario nunca obtiene acceso a la bóveda en sí.

Esto es categóricamente diferente de pegar una contraseña en un correo electrónico. El enlace está cifrado en tránsito, el evento de acceso se registra y puede revocarlo antes de la caducidad si las circunstancias cambian.

Auditoría: Registros de actividad y panel de seguridad

Cada acción en Passwork (creación de credenciales, modificación, acceso, uso compartido, eliminación) se registra en el registro de actividad con una marca de tiempo y atribución de usuario. El registro es exportable y puede reenviarse a un SIEM vía Syslog o integración con Windows Event Viewer.

El panel de seguridad muestra contraseñas débiles, contraseñas antiguas y credenciales que no se han rotado en un período definido. Esto proporciona al equipo de seguridad una vista continua de la higiene de credenciales sin auditorías manuales. Cuando una credencial aparece como débil o reutilizada, es visible para el administrador, no enterrada en una hoja de cálculo.

Autoalojado vs. nube: Qué implementación se adapta a su organización

Passwork está disponible en dos modelos de implementación. La elección entre ellos depende de sus requisitos de cumplimiento, capacidad de TI y tolerancia al riesgo.

La implementación autoalojada tiene sentido cuando su organización opera bajo requisitos estrictos de soberanía de datos: agencias gubernamentales, instituciones financieras, organizaciones de salud y empresas sujetas a regulaciones sectoriales específicas que prohíben que los datos salgan de la infraestructura interna. Ejecuta Passwork en sus propios servidores (Linux con Docker o Windows Server), y todos los datos de credenciales se cifran con AES-256 antes de que toquen el disco. Las claves de cifrado permanecen con usted.

Passwork Cloud es la opción correcta cuando necesita estar operativo rápidamente y no tiene la capacidad de TI para gestionar infraestructura local. La instancia en la nube está alojada dentro de la jurisdicción de la UE y utiliza la misma arquitectura de cifrado zero-knowledge del lado del cliente que la versión autoalojada. Passwork Cloud tiene certificación ISO 27001 y cumple con GDPR y NIS2.

Ambos modelos soportan el conjunto completo de características: RBAC, integración AD/LDAP, SSO, registros de auditoría y la REST API.

La lista de verificación de baja: Asegurando las credenciales cuando alguien se va

La mayoría de los incidentes de seguridad de credenciales relacionados con empleados que se van ocurren porque la baja se trata como un proceso de RRHH, no como un proceso de seguridad. Los pasos a continuación deben ejecutarse en paralelo con, o antes del, último día del empleado.

La lista de verificación de credenciales de 7 pasos para la baja

1. Desactivar la cuenta inmediatamente. En Passwork, desactivar una cuenta de usuario revoca todo el acceso a bóvedas y carpetas instantáneamente. Si la sincronización AD/LDAP está configurada, esto ocurre automáticamente cuando la cuenta del directorio se desactiva.
2. Auditar las credenciales compartidas. Revisar el registro de actividad para las credenciales a las que el empleado que se va accedió en los últimos 30-90 días. Esta es su lista de rotación.
3. Rotar las credenciales a las que tenían acceso de edición. El acceso de solo lectura es de menor riesgo; el acceso de edición significa que podrían haber copiado o modificado la credencial. Rotar esas primero.
4. Revocar cualquier enlace de uso compartido activo. Verificar si hay enlaces de un solo uso no expirados que el empleado generó. Revocarlos antes del último día.
5. Reasignar la propiedad de la bóveda. Si el empleado era propietario o administrador de alguna bóveda, transferir la propiedad a otro administrador antes de que la cuenta sea desactivada.
6. Verificar bóvedas personales. Algunos usuarios almacenan credenciales de trabajo en bóvedas personales del navegador o cuentas de gestores de contraseñas fuera de la herramienta corporativa. Esto es shadow IT. Abordarlo en su política, no solo en la baja.
7. Documentar el proceso. Registrar las acciones de baja tomadas, las credenciales rotadas y la marca de tiempo. Esta es la evidencia para una auditoría futura.

La diferencia entre una baja limpia y un incidente de credenciales es generalmente si el paso 2 ocurrió antes o después de que el empleado se fuera.

Mejores prácticas para la gestión de contraseñas en equipo en 2026

Implementar un gestor de contraseñas es solo el primer paso para asegurar la infraestructura de su organización. Para construir una postura de seguridad resiliente, debe alinear sus flujos de trabajo diarios con los estándares de autenticación modernos y eliminar los hábitos que exponen las credenciales a amenazas externas.

Las siguientes prácticas se centran en reducir la superficie de ataque, asegurar la comunicación máquina a máquina y establecer una experiencia de usuario fluida que elimine naturalmente las soluciones alternativas inseguras.

Abordar el shadow IT antes de que lo aborde a usted

El shadow IT en la gestión de credenciales significa que los empleados usan gestores de contraseñas personales, contraseñas guardadas en el navegador u hojas de cálculo compartidas fuera de la herramienta autorizada. Según Huntress (2024), más de una cuarta parte de los profesionales de ciberseguridad identifican que los empleados que usan las mismas contraseñas o contraseñas débiles son su hábito de seguridad más problemático.

La solución no es un memorando de política. Es hacer que la herramienta aprobada sea más fácil de usar que la alternativa. Las extensiones del navegador, las aplicaciones móviles y el soporte de autocompletado eliminan la fricción que impulsa a las personas hacia alternativas informales. Si usar un gestor de contraseñas es más rápido que abrir una hoja de cálculo, la mayoría de los empleados lo usarán.

Aplicar los mínimos de NIST Rev. 4 a su política de contraseñas

Actualice la política de contraseñas de su organización para reflejar NIST SP 800-63B Rev. 4 (2025):

• Mínimo de 15 caracteres para contraseñas usadas como único autenticador
• Sin reglas de composición obligatorias (sin requisitos de «debe incluir un número y un símbolo»)
• Sin caducidad periódica; rotar solo ante compromiso confirmado o sospechado
• Verificar las nuevas contraseñas contra una base de datos de credenciales comprometidas

El panel de seguridad de Passwork marca las contraseñas débiles que no cumplen con sus umbrales definidos. Combine esto con una política que refleje la guía actual de NIST, y tendrá una postura de higiene de credenciales defendible.

Tratar las credenciales no humanas como ciudadanos de primera clase

Las claves API, las contraseñas de cuentas de servicio, las cadenas de conexión de bases de datos y los tokens de implementación también son credenciales. A menudo son más peligrosas que las credenciales humanas porque son de larga duración, rara vez se rotan y frecuentemente están incrustadas en archivos de código o configuración.

Passwork maneja secretos (credenciales de máquinas) junto con las contraseñas humanas, con el mismo RBAC, registro de auditoría y seguimiento de rotación. Las guías técnicas de Passwork cubren la gestión de secretos para flujos de trabajo de DevOps, incluyendo la integración de pipelines CI/CD.

Imponer 2FA en todos los ámbitos

El informe State of Passkeys 2026 de FIDO Alliance encontró que 5 mil millones de passkeys están ahora en uso activo a nivel mundial, y el 68% de las organizaciones están implementando, pilotando o desplegando passkeys para la autenticación de empleados. Las passkeys representan la dirección del camino, pero mientras tanto, 2FA basado en TOTP en cada cuenta es la línea base.

En Passwork, los administradores pueden hacer obligatorio el 2FA a nivel de organización. No hay opción de exclusión para los usuarios. Si su configuración actual hace que el 2FA sea opcional, esa es una brecha de política que vale la pena cerrar hoy.

Migrar su equipo a un gestor de contraseñas centralizado

La migración falla cuando se trata como un proyecto técnico en lugar de un proyecto de gestión del cambio. Los pasos técnicos son sencillos. Lograr que el equipo deje de usar los métodos antiguos requiere más trabajo.

El marco de migración de 5 fases

1. Inventario (semana 1-2). Identificar todos los almacenes de credenciales actualmente en uso: hojas de cálculo, perfiles de navegador compartidos, gestores de contraseñas personales, mensajes de chat. No asuma que los conoce todos; pregunte al equipo. El objetivo es una imagen completa antes de comenzar a mover nada.
2. Diseño de estructura (semana 2-3). Definir su jerarquía de bóvedas y carpetas antes de importar nada. Una estructura plana con 200 credenciales en una bóveda es apenas mejor que una hoja de cálculo. Diseñar en torno a cómo su equipo realmente trabaja: por proyecto, por sistema, por entorno o por equipo.
3. Importar y validar (semana 3-4). Importar credenciales de fuentes existentes usando las herramientas de importación de Passwork. Validar que las entradas estén completas y correctamente categorizadas. Asignar propiedad y permisos de acceso antes de anunciar la migración.
4. Capacitación y despliegue (semana 4-5). Realizar una sesión corta (30 minutos es suficiente para la mayoría de los equipos) cubriendo la extensión del navegador, cómo recuperar una credencial y cómo compartir una. El objetivo es eliminar la excusa «No sé cómo usarlo».
5. Desmantelar los almacenes antiguos (semana 6+). Establecer una fecha límite firme para retirar la hoja de cálculo o carpeta compartida. Anunciarla con anticipación. Después de la fecha límite, eliminar el almacén antiguo y confirmar con el equipo que el nuevo sistema es la única fuente de verdad.

El fallo de migración más común es dejar el sistema antiguo en su lugar «por si acaso». Mientras la hoja de cálculo exista, algunas personas la usarán.

Poniéndolo en práctica

La brecha entre «tenemos un gestor de contraseñas» y «nuestra seguridad de credenciales está realmente bajo control» es más amplia de lo que la mayoría de los equipos esperan. La herramienta es la parte fácil. El trabajo es la estructura de la bóveda, la política de acceso, el proceso de baja y la higiene continua: asegurarse de que las credenciales débiles se roten y que la hoja de cálculo que alguien en finanzas todavía usa se retire.

Comience con el inventario. No puede asegurar lo que no puede ver. Una vez que sepa qué credenciales existen y dónde residen, cada otro paso sigue lógicamente.

Preguntas frecuentes

Gestión de contraseñas para equipos: La solución que toda PyME necesita

Almacenar contraseñas en Slack y navegadores expone su negocio a brechas. Descubra por qué las herramientas personales fallan a los equipos, cómo dar de baja de forma segura a los empleados que se van con un solo clic, y por qué las últimas directrices de NIST recomiendan no forzar la rotación de contraseñas.

Passwork BlogAlex Muntyan

Caos de contraseñas: Por qué es un problema empresarial y cómo solucionarlo

Una contraseña olvidada cuesta $70. Una brecha cuesta $4.44 millones. Ambas comienzan de la misma manera — credenciales compartidas por Slack, almacenadas en hojas de cálculo, nunca rotadas. Esto es lo que realmente cuesta el caos de contraseñas y cómo eliminarlo.

Passwork BlogAlex Muntyan

Shadow IT vs Shadow AI: Por qué la IA es la mayor amenaza

Los empleados están usando herramientas de IA que usted no aprobó, en cuentas que no puede monitorear, con datos que no puede recuperar. Esto es lo que realmente parece el riesgo y lo que la gobernanza necesita abordar.

Passwork BlogAlex Muntyan

Team password management is the practice of storing, organizing, and sharing credentials across a group using a dedicated tool (password manager), rather than messengers, spreadsheets, or individual browser vaults. Done right, it gives every team member access to exactly what they need, nothing more, with a full audit trail of who touched what and when.

This guide covers the real problems teams run into when sharing credentials without a proper system, what to look for in a solution, how Passwork addresses each challenge, and how to run a migration without disrupting your team.

Key takeaways

• Credential abuse appears in 39% of all breaches, making it the most pervasive technique across the full attack chain — not just at initial access.
• The three failure modes of informal credential sharing are visibility gaps, scope creep, and offboarding failures. All three are preventable with a structured password manager.
• NIST SP 800-63B Rev. 4 has changed the rules: 15-character minimum passwords, no mandatory composition requirements, and no periodic expiration. Many organizations are still running policies that contradict all three.
• Effective team password management requires more than storage: RBAC, audit logs, AD/LDAP integration, SSO, and secure external sharing are non-negotiable for any team beyond a handful of people.
• Offboarding is a security event, not an HR formality. A 7-step credential checklist run on or before an employee's last day closes the gaps that most incidents exploit.
• Migration succeeds or fails on change management, not technology. The most common failure is leaving the old spreadsheet in place after rollout.

The cost of informal credential sharing

Most teams start with a shared Google Sheet, a Slack message, or a sticky note on the server room door. It works. Until it doesn't.

The average cost of a data breach dropped to $4.44 million in 2025, the first decline in five years, according to IBM's 2025 Cost of a Data Breach Report. That's still $4.44 million per incident. And stolen or compromised credentials remain deeply embedded in how attacks unfold: Verizon's 2026 Data Breach Investigations Report found that credential abuse appears at some point in 39% of all breaches, making it the single most pervasive technique in the dataset.

The informal sharing problem has three distinct failure modes:

1. Visibility gaps. When a password lives in a Slack thread, there's no record of who has it, who forwarded it, or whether it was changed. If that credential is later compromised, you can't reconstruct the timeline.
2. Scope creep. Spreadsheets don't enforce access boundaries. A developer who needed one database password in January still has the whole sheet in December, including credentials for systems they've never touched and accounts they have no business accessing.
3. Offboarding failures. This is where informal sharing causes the most damage. When an employee leaves, IT has no reliable inventory of what they had access to. The standard response (change every shared password) is both disruptive and rarely complete. Some credentials get missed. Some don't get changed for weeks.

A 2024 Huntress study found that 46% of people had a password stolen that year. For organizations relying on shared spreadsheets and chat messages, that exposure is multiplied across every account in the file.

What teams actually need from a password manager

Before evaluating any tool, it helps to define the requirements clearly. The list below reflects what IT managers and security teams consistently identify as non-negotiable.

A centralized, structured repository

Credentials scattered across individuals' browsers and personal vaults are functionally invisible to the organization. A team password manager needs a single, searchable repository that the whole team can access, organized by project, system, or department, with consistent naming and tagging.

Flexible, granular access control

Not everyone needs everything. A junior developer doesn't need production database credentials. A contractor doesn't need internal admin accounts. Role-based access control (RBAC) lets you define who can read, edit, or manage credentials at the vault or folder level, and enforce those boundaries automatically.

Secure sharing mechanisms

Sometimes you need to share a credential with someone outside your organization: a vendor, a contractor, a partner. Sending it over email or chat is a security event waiting to happen. The right tool provides time-limited, single-use links that expire after first access or after a set window.

Activity monitoring and audit logs

Compliance frameworks including SOC 2 Trust Services Criteria CC6.1 and ISO 27001 Annex A.9 require documented evidence of who accessed what and when. An audit log isn't optional. It's the paper trail that keeps you out of trouble during an incident or an audit.

Integration with existing IT infrastructure

A password manager that requires a separate identity silo creates more work, not less. Integration with Active Directory (AD), LDAP, and SSO providers means users authenticate with the credentials they already have, and provisioning/deprovisioning happens automatically when HR updates the directory.

NIST SP 800-63B Rev. 4: What changed in 2025

NIST SP 800-63B Rev. 4 (2025) updates the digital identity guidelines that most enterprise security policies reference. Several changes directly affect how organizations should configure their password policies.

The shift from should not to shall not on composition rules is significant. Organizations that still enforce "must include one number, one symbol, one uppercase letter" policies are now out of alignment with NIST guidance, and for good reason. Research consistently shows that forced complexity rules produce predictable patterns: Password1!, Summer2024@, Qwerty#1. Length is a more reliable security signal than character diversity.

The 15-character minimum reflects the same logic. A 15-character passphrase like correct-horse-battery-staple is far more resistant to brute-force attacks than an 8-character P@ssw0rd.

The mandatory compromised password screening requirement means organizations need a mechanism to check new passwords against known breach databases at the point of creation or reset, not just at login.

How Passwork addresses each challenge

Managing credentials requires a constant balance between strict security controls and operational speed. Passwork solves these infrastructure challenges by integrating directly into your existing directory services, automating access control, and providing complete visibility over credential usage.

Data organization: Vaults, folders, tags, and history

Passwork structures credentials in a hierarchy of vaults and folders. A vault might correspond to a department or a project. Folders within it group related credentials. Tags add a cross-cutting dimension: you can tag credentials by environment (production, staging, dev) or by system type (database, cloud, network) regardless of where they sit in the folder tree.

Every credential entry maintains a full change history. If a password was rotated last Tuesday at 14:32 by a specific user, that's recorded. If you need to roll back or audit a change, the history is there. This is the kind of traceability that SOC 2 and ISO 27001 auditors ask for.

Role-based access: Separating data access and system administration

Passwork separates data access from administrative control through two distinct mechanisms: user groups and system roles.

• User groups control data access — This model manages access to vaults and folders. You assign permissions to a group (such as the DevOps team) and every member inherits those permissions automatically. When someone joins the team, they get access. When they leave, you remove them from the group and access is revoked across every vault and folder that group touches. 
• System roles define administrative privileges — Predefined and custom roles manage access to system settings, LDAP configurations, and global audit logs. This ensures standard users only interact with their assigned vaults, while administrators manage the platform infrastructure. Under the Zero-Knowledge model, system administrators cannot access actual passwords.

Permissions within vaults are granular: read-only, edit, and admin. A read-only user can retrieve credentials but can't modify or delete them. An admin can manage the vault's structure and membership. You can mix these permissions across different vaults for the same user: a developer might have edit access to the staging vault and read-only access to production.

This structure directly solves the offboarding problem. When an employee leaves, you deactivate their account. Their group memberships are removed. Access is gone. No manual inventory of "what did this person have access to?" required.

Security and integration: 2FA, AD/LDAP, and SSO

Passwork enforces two-factor authentication (2FA) at the organization level. Administrators can make it mandatory for all users, not just optional. Supported methods include TOTP authenticator apps, hardware security keys, biometrics, and passkeys.

For organizations running Active Directory or LDAP, Passwork syncs users and groups directly from the directory. User provisioning and deprovisioning follow the directory: when HR disables an account in AD, the corresponding Passwork access is revoked automatically. This eliminates the manual step that most offboarding processes miss.

SSO integration via SAML means users authenticate through your existing identity provider. No separate Passwork credentials to manage, no password reuse risk, and no friction for the end user. 

External sharing: Secure one-time links

Sharing a credential with an external party (a contractor, a vendor, a penetration tester) without exposing your vault is a common operational need. Passwork handles this with time-limited, single-use sharing links. You generate a link for a specific credential, set an expiration (hours, days, or a single access), and send it. Once the link expires or is used, it's gone. The recipient never gets access to the vault itself.

This is categorically different from pasting a password into an email. The link is encrypted in transit, the access event is logged, and you can revoke it before expiration if circumstances change.

Auditing: Activity logs and security dashboard

Every action in Passwork (credential creation, modification, access, sharing, deletion) is recorded in the activity log with a timestamp and user attribution. The log is exportable and can be forwarded to a SIEM via Syslog or Windows Event Viewer integration.

The security dashboard surfaces weak passwords, old passwords, and credentials that haven't been rotated in a defined period. This gives the security team a continuous view of credential hygiene without manual audits. When a credential shows up as weak or reused, it's visible to the administrator, not buried in a spreadsheet.

Self-hosted vs. cloud: Which deployment fits your organization

Passwork is available in two deployment models. The choice between them depends on your compliance requirements, IT capacity, and risk tolerance.

Self-hosted deployment makes sense when your organization operates under strict data sovereignty requirements: government agencies, financial institutions, healthcare organizations, and companies subject to sector-specific regulations that prohibit data leaving internal infrastructure. You run Passwork on your own servers (Linux with Docker or Windows Server), and all credential data is encrypted with AES-256 before it ever touches the disk. The encryption keys stay with you.

Passwork Cloud is the right choice when you need to be operational quickly and don't have the IT capacity to manage on-premises infrastructure. The cloud instance is hosted within EU jurisdiction, and uses the same zero-knowledge, client-side encryption architecture as the self-hosted version. Passwork Cloud is ISO 27001 certified and GDPR and NIS2 compliant.

Both models support the full feature set: RBAC, AD/LDAP integration, SSO, audit logs, and the REST API.

The offboarding checklist: Securing credentials when someone leaves

Most credential security incidents tied to departing employees happen because offboarding is treated as an HR process, not a security process. The steps below should run in parallel with, or ahead of, the employee's last day.

The 7-step offboarding credential checklist

1. Disable the account immediately. In Passwork, deactivating a user account revokes all vault and folder access instantly. If AD/LDAP sync is configured, this happens automatically when the directory account is disabled.
2. Audit shared credentials. Review the activity log for credentials the departing employee accessed in the last 30-90 days. This is your rotation list.
3. Rotate credentials they had edit access to. Read-only access is lower risk; edit access means they could have copied or modified the credential. Rotate those first.
4. Revoke any active sharing links. Check for unexpired one-time links the employee generated. Revoke them before the last day.
5. Reassign vault ownership. If the employee owned or administered any vaults, transfer ownership to another administrator before the account is deactivated.
6. Check for personal vaults. Some users store work credentials in personal browser vaults or password manager accounts outside the corporate tool. This is shadow IT. Address it in your policy, not just at offboarding.
7. Document the process. Log the offboarding actions taken, the credentials rotated, and the timestamp. This is the evidence trail for a future audit.

The difference between a clean offboarding and a credential incident is usually whether step 2 happened before or after the employee left.

Best practices for team password management in 2026

Implementing a password manager is only the first step toward securing your organization's infrastructure. To build a resilient security posture, you must align your daily workflows with modern authentication standards and eliminate the habits that expose credentials to external threats.

The following practices focus on reducing the attack surface, securing machine-to-machine communication, and establishing a seamless user experience that naturally eliminates insecure workarounds.

Address shadow IT before it addresses you

Shadow IT in credential management means employees using personal password managers, browser-saved passwords, or shared spreadsheets outside the sanctioned tool. According to Huntress (2024), more than a quarter of cybersecurity professionals identify employees using the same or weak passwords as their most problematic security habit.

The solution isn't a policy memo. It's making the approved tool easier to use than the workaround. Browser extensions, mobile apps, and autofill support remove the friction that drives people to informal alternatives. If using a password manager is faster than opening a spreadsheet, most employees will use it.

Apply NIST Rev. 4 minimums to your password policy

Update your organization's password policy to reflect NIST SP 800-63B Rev. 4 (2025):

• Minimum 15 characters for passwords used as the sole authenticator
• No mandatory composition rules (no "must include a number and symbol" requirements)
• No periodic expiration; rotate only on confirmed or suspected compromise
• Screen new passwords against a compromised credential database

Passwork's security dashboard flags weak passwords that don't meet your defined thresholds. Pair this with a policy that reflects current NIST guidance, and you have a defensible credential hygiene posture.

Treat non-human credentials as first-class citizens

API keys, service account passwords, database connection strings, and deployment tokens are credentials too. They're often more dangerous than human credentials because they're long-lived, rarely rotated, and frequently embedded in code or configuration files.

Passwork handles secrets (machine credentials) alongside human passwords, with the same RBAC, audit logging, and rotation tracking. The Passwork technical guides cover secrets management for DevOps workflows, including CI/CD pipeline integration.

Enforce 2FA across the board

The FIDO Alliance's 2026 State of Passkeys report found that 5 billion passkeys are now in active use globally, and 68% of organizations are deploying, piloting, or rolling out passkeys for employee authentication. Passkeys represent the direction of travel, but in the meantime, TOTP-based 2FA on every account is the baseline.

In Passwork, administrators can make 2FA mandatory at the organization level. There's no opt-out for users. If your current setup makes 2FA optional, that's a policy gap worth closing today.

Migrating your team to a centralized password manager

Migration fails when it's treated as a technical project rather than a change management project. The technical steps are straightforward. Getting the team to stop using the old methods takes more work.

The 5-phase migration framework

1. Inventory (week 1-2). Identify all credential stores currently in use: spreadsheets, shared browser profiles, personal password managers, chat messages. Don't assume you know all of them; ask the team. The goal is a complete picture before you start moving anything.
2. Structure design (week 2-3). Define your vault and folder hierarchy before importing anything. A flat structure with 200 credentials in one vault is barely better than a spreadsheet. Design around how your team actually works: by project, by system, by environment, or by team.
3. Import and validate (week 3-4). Import credentials from existing sources using Passwork's import tools. Validate that entries are complete and correctly categorized. Assign ownership and access permissions before announcing the migration.
4. Training and rollout (week 4-5). Run a short session (30 minutes is enough for most teams) covering the browser extension, how to retrieve a credential, and how to share one. The goal is removing the excuse "I don't know how to use it."
5. Decommission old stores (week 6+). Set a hard deadline for retiring the spreadsheet or shared folder. Announce it in advance. After the deadline, delete the old store and confirm with the team that the new system is the only source of truth.

The most common migration failure is leaving the old system in place "just in case." As long as the spreadsheet exists, some people will use it.

Putting it into practice

The gap between "we have a password manager" and "our credential security is actually under control" is wider than most teams expect. The tool is the easy part. The work is the vault structure, the access policy, the offboarding process, and the ongoing hygiene: making sure weak credentials get rotated and that the spreadsheet someone in finance is still using gets retired.

Start with the inventory. You can't secure what you can't see. Once you know what credentials exist and where they live, every other step follows logically.

Frequently asked questions

Password management for teams: The fix every SMB needs

Storing passwords in Slack and browsers exposes your business to breaches. Discover why personal tools fail teams, how to securely offboard departing employees in one click, and why the latest NIST guidelines recommend against forced password rotation.

Passwork BlogAlex Muntyan

Password chaos: Why it’s a business problem and how to fix it

A forgotten password costs $70. A breach costs $4.44 million. Both start the same way — credentials shared over Slack, stored in spreadsheets, never rotated. Here’s what password chaos actually costs and how to eliminate it.

Passwork BlogAlex Muntyan

Shadow IT vs Shadow AI: Why AI is the bigger threat

Employees are using AI tools you didn’t approve, on accounts you can’t monitor, with data you can’t recover. Here’s what the risk actually looks like and what governance needs to address.

Passwork BlogAlex Muntyan

Escolher um gestor de credenciais para uma empresa europeia em 2026 é tanto uma decisão de conformidade como uma decisão de produto. 

O abuso de credenciais continua a ser uma das vias de entrada mais comuns nos ambientes empresariais. O Data Breach Investigations Report de 2026 da Verizon confirma que 50 % das vítimas de ransomware registaram um evento de credenciais ou de infostealer nos 95 dias anteriores ao ataque. 

Ao mesmo tempo, a aplicação do RGPD tem consequências reais. Em abril de 2026, o Garante italiano multou a empresa de consultoria Ambrosetti em 85 000 euros por armazenar palavras-passe como texto em claro e recorrer a hashing MD5, invocando expressamente o artigo 32.º do RGPD como fundamento. A NIS2 deixou de ser um projeto: 23 dos 27 Estados-Membros da UE já a transpuseram para o direito nacional, segundo o rastreador de transposição da ECSO. 

Ao avaliar soluções como o Passwork e o 1Password, os fatores que vão além das funcionalidades começam a ter peso. Este artigo compara ambos os produtos nessa perspetiva: jurisdição, soberania de dados, flexibilidade de implementação, preparação para auditorias, conformidade a longo prazo com o RGPD e a NIS2, bem como custo total de propriedade.

Pontos principais

• Ambas as plataformas oferecem gestão de palavras-passe empresarial, mas seguem abordagens arquitetónicas diferentes. O 1Password é um serviço baseado na cloud, assente no seu modelo de segurança Secret Key, enquanto o Passwork oferece implementação autoalojada com cifragem AES-256 do lado do cliente.
• O modelo de implementação determina quem controla a infraestrutura e quem é responsável por ela. Numa implementação autoalojada, a organização gere o ambiente. Num serviço SaaS, o fornecedor opera a infraestrutura e permanece sujeito às leis da sua própria jurisdição.
• A residência de dados e a soberania de dados abordam aspetos diferentes da governação de dados. Escolher um centro de dados na UE determina onde os dados são armazenados. Por si só, isso não determina a legislação de que país pode aplicar-se ao fornecedor do serviço.
• O RGPD e a NIS2 centram-se na forma como as organizações protegem e gerem o acesso às credenciais. As organizações devem ser capazes de demonstrar controlos técnicos adequados, gestão de acessos, registo de eventos e provas de auditoria.
• Com 100 utilizadores, a licença padrão do Passwork custa 3600 €/ano, contra cerca de 9588 USD/ano do 1Password Business. O Passwork custa 3 €/utilizador/mês (licença padrão) ou 4,5 €/utilizador/mês (licença avançada). O 1Password Business custa 7,99 USD/utilizador/mês. Os escalões Enterprise têm preço sob consulta em ambos os casos.
• Escolher o 1Password se a equipa privilegia a conveniência operacional e uma experiência cloud cuidada em detrimento de uma soberania de dados estrita. Escolher o Passwork se a organização está sujeita ao RGPD, à NIS2 ou ao DORA e precisa de demonstrar que os dados de credenciais nunca saem da sua própria infraestrutura.

O campo de batalha da conformidade: Residência de dados vs. soberania de dados

As organizações europeias que avaliam gestores de palavras-passe têm de distinguir entre residência de dados e soberania de dados. A residência de dados define onde os dados são armazenados. A soberania de dados define o sistema jurídico que os rege. Uma solução baseada na cloud pode oferecer residência de dados na UE e, ainda assim, estar sujeita a uma jurisdição fora da UE. As soluções autoalojadas eliminam essa lacuna ao manter os dados de credenciais inteiramente dentro da infraestrutura da própria organização, sob um único quadro jurídico previsível.

1Password oferece residência de dados na UE: os clientes podem selecionar uma região de alojamento europeia e os dados dos cofres ficam em servidores na UE. No entanto, por si só, isso não resolve todas as preocupações jurisdicionais das organizações com requisitos rigorosos de soberania.

O que significa o acesso transfronteiriço a dados para os fornecedores de cloud

Quando um gestor de credenciais baseado na cloud é operado por uma empresa fora da UE, a questão de conformidade essencial não é onde se localizam os servidores, mas que sistema jurídico pode obrigar essa empresa a divulgar dados.

Qualquer fornecedor fora da UE pode receber pedidos legais das autoridades da sua jurisdição de origem. A lei aplicável depende do local onde o fornecedor está constituído, e não do local onde os dados são armazenados.

O U.S. CLOUD Act (2018) é o exemplo mais conhecido. Permite que as autoridades policiais dos EUA exijam que os fornecedores constituídos nos EUA forneçam dados armazenados em qualquer parte do mundo.

1Password não é uma empresa dos EUA. A AgileBits Inc. está constituída no Canadá, pelo que o CLOUD Act não se aplica da mesma forma que aos fornecedores norte-americanos. No entanto, o Canadá participa em quadros internacionais de cooperação entre autoridades policiais, como o Five Eyes, o que significa que os pedidos legais transfronteiriços continuam a ser um fator a ter em conta.

Artigo 48.º do RGPD estabelece que uma decisão judicial estrangeira, por si só, não constitui base jurídica válida para a transferência de dados pessoais a partir da UE. Essa restrição aplica-se sobretudo à organização enquanto responsável pelo tratamento de dados.

Tal como qualquer gestor de credenciais baseado na cloud operado por uma entidade fora da UE, o 1Password introduz uma camada de complexidade jurisdicional que uma implementação autoalojada não tem.

Como a implementação on-premise elimina esta lacuna

Passwork baseia-se num modelo autoalojado: nenhum terceiro detém os dados de credenciais da organização. Quando implementado na infraestrutura própria, dentro da jurisdição da UE, o conteúdo dos cofres nunca sai do ambiente da organização. Nenhuma empresa externa pode receber uma ordem de um governo estrangeiro relativa a dados a que não tem acesso. As leis que regem os dados são as da jurisdição onde se encontram os servidores.

O Passwork está disponível como solução autoalojada e numa cloud soberana na UE, o que dá à organização controlo total sobre os dados e a infraestrutura. Conhecer as opções de implementação: passwork.pro

Comparação de funcionalidades: Passwork vs 1Password

Passwork e o 1Password no escalão Business partilham uma base comum: cifragem AES-256, controlo de acesso baseado em funções (RBAC), SSO e ferramentas para programadores. As diferenças surgem ao nível da arquitetura. A implementação autoalojada do Passwork dá à organização controlo direto sobre as chaves de cifragem, os registos de auditoria e o perímetro de administração, sem dependência da infraestrutura do fornecedor nem de ligação de saída a serviços externos.

Arquitetura de segurança

A arquitetura Secret Key do 1Password exige uma chave de 128 bits codificada como uma cadeia de 34 carateres, gerada na configuração do dispositivo, que é combinada com a palavra-passe mestra para derivar a chave de cifragem. Mesmo que os servidores do 1Password fossem comprometidos, seria computacionalmente inviável decifrar os cofres cifrados sem a Secret Key. É um modelo de segurança cloud bem concebido.

O Passwork utiliza cifragem zero-knowledge do lado do cliente numa instância autoalojada. A cifragem e a decifragem ocorrem no cliente (dispositivo do utilizador). O servidor armazena apenas texto cifrado. Como a plataforma é alojada pela própria organização, esta mantém controlo total sobre o servidor de aplicação, as chaves de cifragem e os registos de auditoria. Esta implementação garante um ambiente isolado, sem infraestrutura partilhada, riscos de ambientes multi-tenant nem dependência da gestão de chaves do fornecedor.

Administração empresarial: RBAC, AD/LDAP e SSO

Ambas as plataformas cobrem as funcionalidades de administração empresarial que as equipas de TI esperam.

O 1Password Business inclui aprovisionamento SCIM, integração SSO através do Okta e do Azure AD e uma consola de administração madura. O produto Extended Access Management (disponível como módulo adicional com licença separada) alarga o controlo de confiança no dispositivo e de acesso a aplicações para além do próprio cofre de palavras-passe.

O Passwork oferece RBAC granular, integração nativa com Active Directory e LDAP para aprovisionamento de utilizadores e sincronização de grupos, e SSO SAML. Para simplificar a gestão em grande escala, o Passwork separa o acesso aos dados dos privilégios administrativos através de dois mecanismos distintos:

• Os grupos de utilizadores controlam o acesso aos dados: os administradores atribuem permissões a cofres e pastas ao nível do grupo. Quando os utilizadores são adicionados a um grupo, herdam automaticamente o acesso às palavras-passe e credenciais correspondentes. 
• As funções definem os privilégios do sistema: as funções predefinidas e personalizadas gerem o acesso às definições do sistema, aos diretórios de utilizadores e aos registos de auditoria. Assim, os utilizadores comuns interagem apenas com os cofres que lhes foram atribuídos, enquanto os administradores gerem a infraestrutura sem acesso às palavras-passe propriamente ditas, graças ao modelo Zero-Knowledge.

Para as organizações que utilizam infraestrutura de identidade baseada em AD (a maioria das empresas europeias), a ligação ao LDAP faz com que a integração e a saída de colaboradores sigam os fluxos de trabalho do diretório já existentes. Os grupos de segurança sincronizam-se automaticamente, o que garante que as permissões dos cofres e as funções administrativas permanecem alinhadas com o diretório central da organização.

Uma diferença prática que merece destaque: como o Passwork é autoalojado, a consola de administração, os registos de auditoria e o diretório de utilizadores situam-se todos dentro do perímetro da rede da própria organização. As operações administrativas não dependem do SLA de disponibilidade de um fornecedor.

DevOps e gestão de segredos

O 1Password investiu fortemente em ferramentas para programadores. A sua CLI (op), o Secrets Automation e as integrações nativas com GitHub Actions, Kubernetes e pipelines de CI/CD fazem dele um gestor de segredos competente para equipas cloud-native. A experiência do programador é cuidada.

O Passwork disponibiliza uma REST API completa e ferramentas CLI para fluxos de trabalho DevOps: injeção de segredos em pipelines, rotação programática de credenciais, gestão de chaves de API e de credenciais de bases de dados juntamente com as palavras-passe de utilizadores humanos, num cofre unificado.

Para equipas que operam em ambientes com isolamento físico (air gap) ou em ambientes com perímetro estritamente controlado, a diferença de arquitetura é relevante. O 1Password oferece, de facto, um Connect Server autoalojado que mantém os segredos em cache local e reduz a dependência da API do 1Password, mas a configuração inicial e a sincronização periódica continuam a exigir ligação de saída à infraestrutura cloud do 1Password. 

O Passwork não exige tal dependência em nenhuma fase: todo o conjunto de componentes funciona dentro do perímetro da própria empresa desde o primeiro dia, sem chamadas a serviços externos. Para as organizações em que o tráfego de saída para a cloud de um fornecedor não é permitido por política ou por arquitetura, essa distinção é um requisito obrigatório.

Preparar o futuro: A NIS2 e o mandato pós-quântico de 2027

A NIS2 introduziu uma cláusula que os fornecedores preferiam que passasse despercebida

Artigo 21.º da NIS2 inclui a segurança dos fornecedores de serviços de TIC no registo de riscos da organização. Um gestor de palavras-passe baseado na cloud é um fornecedor de serviços de TIC. Ao abrigo da NIS2, a organização é responsável por avaliar se a postura de segurança desse fornecedor (incluindo a sua jurisdição legal e as obrigações de resposta a incidentes) cumpre o limiar de risco definido.

Se uma violação no fornecedor do gestor de palavras-passe expuser as credenciais da organização, podem ser acionadas do seu lado as obrigações de notificação de incidentes da NIS2: notificação inicial no prazo de 24 horas e relatório detalhado no prazo de 72 horas.

A implementação de uma solução autoalojada altera esse perfil de risco. A superfície de ataque é a infraestrutura da própria organização, regida pelos seus controlos de segurança e auditada pela sua equipa. As avaliações de risco da cadeia de abastecimento exigidas pela NIS2 tornam-se substancialmente mais simples quando a «cadeia de abastecimento» do armazenamento de credenciais é interna.

O mandato da ANSSI para 2027: Resistência à computação quântica

A agência nacional de cibersegurança de França, a ANSSI, anunciou que deixará de certificar produtos de segurança (incluindo gestores de palavras-passe) sem cifragem resistente à computação quântica a partir de 2027. Até 2030, a ANSSI prevê que todas as aquisições empresariais exijam criptografia resistente à computação quântica. Para as organizações em França e em toda a UE, isto cria um prazo de certificação inadiável nos próximos 12–18 meses.

A questão relevante para as equipas de aquisição não é apenas se um fornecedor é compatível com a criptografia pós-quântica (PQC), mas se a organização controla quando e como essa transição ocorre.

Num gestor de palavras-passe baseado na cloud, a migração da camada de cifragem dos cofres ocorre segundo o calendário do fornecedor, numa infraestrutura partilhada. Numa implementação autoalojada, a organização aplica as atualizações criptográficas (incluindo os algoritmos PQC normalizados pelo NIST) ao seu próprio ritmo, sem depender do ciclo de lançamentos de um fornecedor.

Preços e custo total de propriedade

Preços de referência

O 1Password Business custa 7,99 USD por utilizador por mês (com faturação anual). O plano Teams custa 4,99 USD/utilizador/mês. O preço do plano Enterprise é fornecido mediante orçamento personalizado.

Os preços do Passwork estão estruturados para os compradores europeus:

Com 100 utilizadores, a licença padrão do Passwork custa 3600 €/ano, contra cerca de 9588 USD/ano do 1Password Business. A diferença aumenta com a escala.

TCO para além do preço da licença

A implementação on-premise (nas instalações da organização) exige infraestrutura de servidores, manutenção e esforço operacional interno. Para as organizações que já operam infraestrutura própria (a maioria das empresas europeias em setores regulados), o custo marginal de acrescentar uma instância autoalojada do Passwork é baixo. Para as organizações sem presença on-premise, o esforço de infraestrutura é uma consideração real e deve ser dimensionado com realismo antes de se assinar o contrato.

O cálculo do custo total de propriedade (TCO) tem também de incluir uma linha para o risco de conformidade. Uma violação que envolva um repositório de credenciais baseado na cloud pode desencadear as coimas previstas no artigo 83.º do RGPD de até 10 milhões de euros ou 2 % do volume de negócios anual mundial em caso de violação dos requisitos de segurança previstos no artigo 32.º. As coimas do RGPD já ultrapassaram, em termos acumulados, 6,31 mil milhões de euros até 2026. O caso Ambrosetti (85 000 euros por palavras-passe protegidas com hash MD5) ilustra que as autoridades de proteção de dados já auditam diretamente a implementação criptográfica, e não apenas os prazos de notificação de violações.

Veredicto: Que gestor de palavras-passe se adequa a uma organização sediada na UE

A escolha de um gestor de palavras-passe para uso empresarial resume-se a uma pergunta: onde termina o perímetro de conformidade da organização? As equipas cloud-native com ambientes de identidade modernos encontrarão um ajuste natural nas integrações profundas com o ecossistema e numa experiência de utilização multiplataforma. As organizações sujeitas ao RGPD, à NIS2 ou ao DORA têm um requisito adicional e inegociável: o controlo jurisdicional sobre o local onde as credenciais são armazenadas e tratadas. 

Escolher o 1Password Business se:

• A equipa está distribuída globalmente e é cloud-native
• A equipa dá prioridade à experiência do programador e à experiência de utilização multiplataforma em detrimento da arquitetura de conformidade
• O ambiente regulamentar não exige uma soberania de dados estrita
• A organização precisa do Extended Access Management ou de uma integração profunda com um ambiente moderno de identidade na cloud

Escolher o Passwork se:

• A organização está sujeita ao RGPD, à NIS2 ou ao DORA e precisa de demonstrar soberania de dados
• A organização opera em infraestruturas críticas, serviços financeiros, saúde ou setor público
• A organização precisa de integração nativa com AD/LDAP num ambiente de identidade on-premise existente
• A organização prepara-se para a certificação ANSSI ou para a contratação pública na UE
• A equipa de segurança precisa de controlo total sobre a camada de cifragem, os registos de auditoria e a gestão de chaves

Para as empresas europeias em setores regulados, a arquitetura que responde «sim» a todos os cinco critérios é autoalojada, on-premise e livre de conflitos jurisdicionais. 

O Passwork oferece às equipas de TI europeias um cofre de credenciais autoalojado, preparado para o RGPD, com registo de auditoria completo, integração AD/LDAP e cifragem zero-knowledge, tudo dentro da infraestrutura própria. Solicitar uma demonstração ou consultar o guia de implementação autoalojada: passwork.pro

Perguntas frequentes

Die Wahl eines Credential-Managers für ein europäisches Unternehmen im Jahr 2026 ist ebenso eine Compliance-Entscheidung wie eine Produktentscheidung. 

Der Missbrauch von Anmeldedaten bleibt einer der häufigsten Wege in Unternehmensumgebungen. Der Data Breach Investigations Report 2026 von Verizon bestätigt, dass 50 % der Ransomware-Opfer innerhalb von 95 Tagen vor dem Angriff ein Credential- oder Infostealer-Ereignis hatten. 

Gleichzeitig hat die DSGVO-Durchsetzung echte Durchschlagskraft. Im April 2026 verhängte die italienische Garante gegen das Beratungsunternehmen Ambrosetti ein Bußgeld von 85.000 € für die Speicherung von Passwörtern im Klartext und die Verwendung von MD5-Hashing, wobei ausdrücklich auf DSGVO-Artikel 32 als Grundlage verwiesen wurde. NIS2 ist kein Entwurf mehr: 23 von 27 EU-Mitgliedstaaten haben es laut dem ECSO-Transpositions-Tracker in nationales Recht umgesetzt. 

Bei der Bewertung von Lösungen wie Passwork und 1Password spielen Faktoren jenseits der Funktionen eine Rolle. Dieser Artikel vergleicht beide Produkte aus dieser Perspektive: Jurisdiktion, Datensouveränität, Bereitstellungsflexibilität, Audit-Bereitschaft, langfristige Compliance mit DSGVO und NIS2 sowie Gesamtbetriebskosten.

Die wichtigsten Erkenntnisse

• Beide Plattformen bieten Enterprise-Passwortverwaltung, verwenden jedoch unterschiedliche architektonische Ansätze. 1Password ist ein cloudbasierter Dienst, der auf seinem Secret-Key-Sicherheitsmodell aufbaut, während Passwork eine selbstgehostete Bereitstellung mit clientseitiger AES-256-Verschlüsselung bietet.
• Das Bereitstellungsmodell bestimmt, wer die Infrastruktur kontrolliert und wer dafür verantwortlich ist. Bei einer selbstgehosteten Bereitstellung verwaltet Ihre Organisation die Umgebung. Bei einem SaaS-Dienst betreibt der Anbieter die Infrastruktur und unterliegt den Gesetzen seiner eigenen Jurisdiktion.
• Datenresidenz und Datensouveränität adressieren unterschiedliche Aspekte der Daten-Governance. Die Wahl eines EU-Rechenzentrums bestimmt, wo Ihre Daten gespeichert werden. Es bestimmt jedoch nicht allein, welche Landesgesetze auf den Dienstanbieter Anwendung finden können.
• DSGVO und NIS2 konzentrieren sich darauf, wie Organisationen den Zugriff auf Anmeldedaten schützen und verwalten. Organisationen sollten in der Lage sein, angemessene technische Kontrollen, Zugangsverwaltung, Protokollierung und Audit-Nachweise nachzuweisen.
• Bei 100 Benutzern kostet Passwork Standardlizenz 3.600 €/Jahr gegenüber ca. 9.588 $/Jahr für 1Password Business. Passwork wird mit 3 €/Benutzer/Monat (Standardlizenz) oder 4,5 €/Benutzer/Monat (Erweiterte Lizenz) berechnet. 1Password Business kostet 7,99 $/Benutzer/Monat. Enterprise-Stufen werden bei beiden Anbietern individuell angeboten.
• Wählen Sie 1Password, wenn Ihr Team operativen Komfort und eine ausgefeilte Cloud-Erfahrung gegenüber strikter Datensouveränität priorisiert. Wählen Sie Passwork, wenn Ihre Organisation der DSGVO, NIS2 oder DORA unterliegt und nachweisen muss, dass Anmeldedaten niemals Ihre eigene Infrastruktur verlassen.

Das Compliance-Schlachtfeld: Datenresidenz vs. Datensouveränität

Europäische Organisationen, die Passwort-Manager evaluieren, müssen zwischen Datenresidenz und Datensouveränität unterscheiden. Datenresidenz definiert, wo Daten gespeichert werden. Datensouveränität definiert, welches Rechtssystem sie regiert. Eine cloudbasierte Lösung kann EU-Datenresidenz bieten, während sie dennoch einer nicht-europäischen Jurisdiktion unterliegt. Selbstgehostete Lösungen schließen diese Lücke, indem Anmeldedaten vollständig innerhalb der eigenen Infrastruktur der Organisation verbleiben — unter einem einzigen, vorhersehbaren Rechtsrahmen.

1Password bietet EU-Datenresidenz: Kunden können eine europäische Hosting-Region auswählen, und Tresor-Daten befinden sich auf Servern innerhalb der EU. Dies allein löst jedoch nicht alle Jurisdiktionsbedenken für Organisationen mit strengen Souveränitätsanforderungen.

Was grenzüberschreitender Datenzugriff für Cloud-Anbieter bedeutet

Wenn ein cloudbasierter Credential-Manager von einem Unternehmen außerhalb der EU betrieben wird, ist die zentrale Compliance-Frage nicht, wo sich die Server befinden, sondern welches Rechtssystem dieses Unternehmen zur Datenoffenlegung zwingen kann.

Jeder nicht-europäische Anbieter kann rechtmäßige Anfragen von Behörden in seiner Heimatjurisdiktion erhalten. Das anwendbare Recht hängt davon ab, wo der Anbieter eingetragen ist, nicht wo die Daten gespeichert werden.

Der U.S. CLOUD Act (2018) ist das bekannteste Beispiel. Er ermöglicht es US-amerikanischen Strafverfolgungsbehörden, von in den USA eingetragenen Anbietern die Herausgabe von weltweit gespeicherten Daten zu verlangen.

1Password ist kein US-Unternehmen. AgileBits Inc. ist in Kanada eingetragen, sodass der CLOUD Act nicht in gleicher Weise gilt wie für US-Anbieter. Kanada nimmt jedoch an internationalen Rahmenwerken für die Zusammenarbeit der Strafverfolgungsbehörden wie Five Eyes teil, was bedeutet, dass grenzüberschreitende rechtliche Anfragen weiterhin zu berücksichtigen sind.

DSGVO-Artikel 48 besagt, dass eine ausländische Gerichtsentscheidung allein keine gültige Rechtsgrundlage für die Übermittlung personenbezogener Daten aus der EU darstellt. Diese Einschränkung gilt in erster Linie für Ihre Organisation als Verantwortlicher.

Wie jeder cloudbasierte Credential-Manager, der von einer nicht-europäischen Einheit betrieben wird, führt 1Password eine Ebene jurisdiktioneller Komplexität ein, die eine selbstgehostete Bereitstellung nicht hat.

Wie eine On-Premise-Bereitstellung die Lücke schließt

Das selbstgehostete Modell von Passwork bedeutet, dass kein Dritter Ihre Anmeldedaten besitzt. Bereitgestellt auf Ihrer eigenen Infrastruktur innerhalb der EU-Jurisdiktion verlassen Tresorinhalte niemals Ihre Umgebung. Kein externes Unternehmen kann eine ausländische Regierungsanordnung für Daten erhalten, auf die es keinen Zugriff hat. Die Gesetze, die Ihre Daten regieren, sind die Gesetze der Jurisdiktion, in der sich Ihre Server befinden.

Passwork ist als selbstgehostete Lösung und in einer souveränen EU-Cloud verfügbar und gibt Ihnen die volle Kontrolle über Ihre Daten und Infrastruktur. Erkunden Sie die Bereitstellungsoptionen — passwork.pro

Funktionsvergleich: Passwork vs. 1Password

Passwork und 1Password auf der Business-Stufe teilen eine gemeinsame Basis: AES-256-Verschlüsselung, RBAC, SSO und Entwicklertools. Die Unterschiede zeigen sich auf architektonischer Ebene. Die selbstgehostete Bereitstellung von Passwork gibt der Organisation direkte Kontrolle über Verschlüsselungsschlüssel, Audit-Logs und den Admin-Perimeter — ohne Abhängigkeit von Anbieter-Infrastruktur oder ausgehender Konnektivität zu externen Diensten.

Sicherheitsarchitektur

Die Secret-Key-Architektur von 1Password erfordert einen 128-Bit-Schlüssel, der als 34-Zeichen-String codiert ist und bei der Geräteeinrichtung generiert wird. Dieser wird mit dem Masterpasswort kombiniert, um den Verschlüsselungsschlüssel abzuleiten. Selbst wenn die Server von 1Password kompromittiert würden, wäre es rechnerisch nicht machbar, verschlüsselte Tresore ohne den Secret Key zu entschlüsseln. Es ist ein gut konzipiertes Cloud-Sicherheitsmodell.

Passwork verwendet clientseitige Zero-Knowledge-Verschlüsselung auf einer selbstgehosteten Instanz. Ver- und Entschlüsselung erfolgen auf dem Client (Benutzergerät). Der Server speichert nur Chiffretext. Da Sie die Plattform hosten, behalten Sie die vollständige Kontrolle über den Anwendungsserver, Verschlüsselungsschlüssel und Audit-Logs. Diese Bereitstellung garantiert eine isolierte Umgebung, frei von gemeinsam genutzter Infrastruktur, Multi-Tenant-Risiken oder Abhängigkeit von Anbieter-Schlüsselverwaltung.

Enterprise-Administration: RBAC, AD/LDAP und SSO

Beide Plattformen decken die Enterprise-Administrationsfunktionen ab, die IT-Teams erwarten.

1Password Business umfasst SCIM-Provisioning, SSO-Integration über Okta und Azure AD sowie eine ausgereifte Admin-Konsole. Sein Extended Access Management-Produkt (verfügbar als separat lizenziertes Add-on) erweitert Gerätevertrauen und Anwendungszugriffskontrollen über den Passwort-Tresor hinaus.

Passwork bietet granulare rollenbasierte Zugriffskontrolle (RBAC), native Active Directory- und LDAP-Integration für Benutzer-Provisioning und Gruppensynchronisation sowie SAML SSO. Um die Verwaltung im großen Maßstab zu vereinfachen, trennt Passwork den Datenzugriff von administrativen Berechtigungen durch zwei unterschiedliche Mechanismen:

• Benutzergruppen steuern den Datenzugriff — Administratoren weisen Berechtigungen für Tresore und Ordner auf Gruppenebene zu. Wenn Benutzer einer Gruppe hinzugefügt werden, erben sie automatisch den Zugriff auf die entsprechenden Passwörter und Anmeldedaten. 
• Rollen definieren Systemrechte — Vordefinierte und benutzerdefinierte Rollen verwalten den Zugriff auf Systemeinstellungen, Benutzerverzeichnisse und Audit-Logs. Dies stellt sicher, dass Standardbenutzer nur mit ihren zugewiesenen Tresoren interagieren, während Administratoren die Infrastruktur verwalten, ohne unter dem Zero-Knowledge-Modell Zugriff auf tatsächliche Passwörter zu haben.

Für Organisationen, die AD-basierte Identitätsinfrastruktur betreiben (die Mehrheit der europäischen Unternehmen), bedeutet die LDAP-Integration, dass Onboarding und Offboarding über bestehende Verzeichnis-Workflows laufen. Sicherheitsgruppen werden automatisch synchronisiert, sodass Tresor-Berechtigungen und administrative Rollen mit Ihrem zentralen Verzeichnis abgestimmt bleiben.

Ein praktischer Unterschied, der erwähnt werden sollte: Da Passwork selbstgehostet ist, befinden sich Admin-Konsole, Audit-Logs und Benutzerverzeichnis alle innerhalb Ihres eigenen Netzwerkperimeters. Administrative Operationen haben keine Abhängigkeit von einem Verfügbarkeits-SLA des Anbieters.

DevOps und Secrets Management

1Password hat stark in Entwicklertools investiert. Seine CLI (op), Secrets Automation und native Integrationen mit GitHub Actions, Kubernetes und CI/CD-Pipelines machen es zu einem leistungsfähigen Secrets Manager für cloud-native Teams. Die Entwicklererfahrung ist ausgereift.

Passwork bietet eine vollständige REST API und CLI-Tools für DevOps-Workflows: Einspeisung von Secrets in Pipelines, programmatische Rotation von Anmeldedaten, Verwaltung von API-Schlüsseln und Datenbank-Anmeldedaten zusammen mit menschlichen Passwörtern in einem einheitlichen Tresor.

Für Teams, die in air-gapped oder strikt perimeter-kontrollierten Umgebungen arbeiten, ist der architektonische Unterschied relevant. 1Password bietet zwar einen selbstgehosteten Connect Server, der Secrets lokal zwischenspeichert und die Abhängigkeit von der 1Password-API reduziert, aber die Ersteinrichtung und periodische Synchronisation erfordern weiterhin ausgehende Konnektivität zur Cloud-Infrastruktur von 1Password. 

Passwork erfordert zu keinem Zeitpunkt eine solche Abhängigkeit: Der gesamte Stack läuft vom ersten Tag an innerhalb des eigenen Unternehmensperimeters, ohne Aufrufe zu externen Diensten. Für Organisationen, bei denen ausgehender Datenverkehr zur Cloud eines Anbieters durch Richtlinien oder Architektur nicht erlaubt ist, ist dieser Unterschied eine harte Anforderung.

Zukunftssicherheit: NIS2 und das Post-Quantum-Mandat 2027

NIS2 fügte eine Klausel hinzu, die Anbieter lieber übersehen würden

NIS2-Artikel 21 setzt die Sicherheit Ihrer IKT-Dienstleister auf Ihr Risikoregister. Nicht auf deren — auf Ihres. Ein cloudbasierter Passwort-Manager ist ein IKT-Dienstleister. Unter NIS2 ist Ihre Organisation dafür verantwortlich zu bewerten, ob die Sicherheitslage dieses Anbieters — einschließlich seiner rechtlichen Jurisdiktion und Incident-Response-Verpflichtungen — Ihrer Risikoschwelle entspricht.

Wenn ein Sicherheitsvorfall bei Ihrem Passwort-Manager-Anbieter Ihre Anmeldedaten offenlegt, können NIS2-Incident-Reporting-Verpflichtungen auf Ihrer Seite ausgelöst werden: Erstmeldung innerhalb von 24 Stunden, detaillierter Bericht innerhalb von 72 Stunden.

Die Bereitstellung einer selbstgehosteten Lösung verändert dieses Risikoprofil. Die Angriffsfläche ist Ihre Infrastruktur, die von Ihren Sicherheitskontrollen geregelt und von Ihrem Team auditiert wird. NIS2-Lieferketten-Risikobewertungen werden wesentlich einfacher, wenn die „Lieferkette" für die Credential-Speicherung intern ist.

Das ANSSI-Mandat 2027 für quantensichere Kryptographie

Frankreichs nationale Cybersicherheitsbehörde ANSSI kündigte an, ab 2027 keine Sicherheitsprodukte (einschließlich Passwort-Manager) mehr zu zertifizieren, die keine quantenresistente Verschlüsselung haben. Bis 2030 erwartet ANSSI, dass alle Geschäftsbeschaffungen quantensichere Kryptographie erfordern. Für Organisationen in Frankreich und in der gesamten EU schafft dies eine harte Zertifizierungsfrist innerhalb der nächsten 12–18 Monate.

Die relevante Frage für Beschaffungsteams ist nicht nur, ob ein Anbieter PQC unterstützt, sondern ob die Organisation kontrolliert, wann und wie diese Umstellung erfolgt.

Bei einem cloudbasierten Passwort-Manager erfolgt die Migration der Tresor-Verschlüsselungsschicht nach dem Zeitplan des Anbieters, über gemeinsam genutzte Infrastruktur. Bei einer selbstgehosteten Bereitstellung wendet Ihre Organisation kryptographische Updates (einschließlich NIST-standardisierter PQC-Algorithmen) nach Ihrem eigenen Zeitplan an, ohne Abhängigkeit vom Release-Zyklus eines Anbieters.

Preisgestaltung und Gesamtbetriebskosten

Übersicht der Preise

1Password Business wird mit 7,99 $ pro Benutzer pro Monat (jährliche Abrechnung) berechnet. Der Teams-Plan liegt bei 4,99 $/Benutzer/Monat. Enterprise-Preise erfordern ein individuelles Angebot.

Die Preisgestaltung von Passwork ist auf europäische Käufer ausgerichtet:

Bei 100 Benutzern kostet Passwork Standardlizenz 3.600 €/Jahr gegenüber 1Password Business mit etwa 9.588 $/Jahr. Die Differenz wächst mit zunehmender Skalierung.

TCO jenseits der Lizenzgebühr

On-Premise-Bereitstellung erfordert Server-Infrastruktur, Wartung und internen operativen Aufwand. Für Organisationen, die bereits On-Premises-Infrastruktur betreiben (die meisten europäischen Unternehmen in regulierten Sektoren), sind die Grenzkosten für das Hinzufügen einer selbstgehosteten Passwork-Instanz gering. Für Organisationen ohne On-Premises-Präsenz ist der Infrastruktur-Overhead eine echte Überlegung und sollte vor Vertragsunterzeichnung ehrlich eingeschätzt werden.

Die TCO-Berechnung benötigt auch eine Zeile für Compliance-Risiko. Ein Sicherheitsvorfall mit einem cloudbasierten Credential-Speicher kann DSGVO-Artikel 83-Bußgelder von bis zu 10 Millionen € oder 2 % des weltweiten Jahresumsatzes für Verstöße gegen die Sicherheitsanforderungen von Artikel 32 auslösen. DSGVO-Bußgelder haben bis 2026 kumulativ 6,31 Milliarden € überschritten. Der Ambrosetti-Fall (85.000 € für MD5-gehashte Passwörter) zeigt, dass Datenschutzbehörden jetzt die kryptographische Implementierung direkt prüfen — nicht nur Zeitpläne für Benachrichtigungen bei Sicherheitsvorfällen.

Fazit: Welcher Passwort-Manager passt zu EU-basierten Organisationen

Die Wahl eines Passwort-Managers für den Enterprise-Einsatz läuft auf die Frage hinaus: Wo endet Ihr Compliance-Perimeter? Cloud-native Teams mit modernen Identity-Stacks finden eine natürliche Passung in tiefen Ökosystem-Integrationen und plattformübergreifender UX. Organisationen, die unter DSGVO, NIS2 oder DORA operieren, stehen vor einer anderen Einschränkung — nicht Benutzerfreundlichkeit, sondern Jurisdiktion. 

Wählen Sie 1Password Business, wenn:

• Ihr Team global verteilt und cloud-native ist
• Sie Entwicklererfahrung und plattformübergreifende UX über Compliance-Architektur priorisieren
• Ihr regulatorisches Umfeld keine strikte Datensouveränität erfordert
• Sie Extended Access Management oder tiefe Integration mit einem modernen Cloud-Identity-Stack benötigen

Wählen Sie Passwork, wenn:

• Ihre Organisation der DSGVO, NIS2 oder DORA unterliegt und Datensouveränität nachweisen muss
• Sie in kritischer Infrastruktur, Finanzdienstleistungen, Gesundheitswesen oder dem öffentlichen Sektor tätig sind
• Sie AD/LDAP-native Integration innerhalb einer bestehenden On-Premises-Identitätsumgebung benötigen
• Sie sich auf ANSSI-Zertifizierung oder EU-Beschaffung im öffentlichen Sektor vorbereiten
• Ihr Sicherheitsteam die volle Kontrolle über die Verschlüsselungsschicht, Audit-Logs und Schlüsselverwaltung benötigt

Für europäische Unternehmen in regulierten Sektoren ist die Architektur, die bei allen fünf Kriterien „Ja" antwortet, selbstgehostet, On-Premise und jurisdiktionell sauber. 

Passwork bietet europäischen IT-Teams einen selbstgehosteten, DSGVO-konformen Credential-Tresor mit vollständiger Audit-Protokollierung, AD/LDAP-Integration und Zero-Knowledge-Verschlüsselung — alles innerhalb Ihrer eigenen Infrastruktur. Fordern Sie eine Demo an oder erkunden Sie den Leitfaden zur selbstgehosteten Bereitstellung — passwork.pro

Häufig gestellte Fragen

Elegir un gestor de credenciales para una empresa europea en 2026 es tanto una decisión de cumplimiento normativo como una decisión de producto.

El abuso de credenciales sigue siendo una de las vías más comunes de acceso a entornos corporativos. El informe Data Breach Investigations Report 2026 de Verizon confirma que el 50% de las víctimas de ransomware experimentaron un evento relacionado con credenciales o infostealers en los 95 días previos al ataque.

Al mismo tiempo, la aplicación del RGPD tiene consecuencias reales. En abril de 2026, el Garante italiano multó a la consultora Ambrosetti con 85.000 € por almacenar contraseñas en texto plano y usar hash MD5, citando explícitamente el Artículo 32 del RGPD como fundamento. NIS2 ya no es un borrador: 23 de los 27 estados miembros de la UE lo han transpuesto a la legislación nacional, según el rastreador de transposición de ECSO.

Al evaluar soluciones como Passwork y 1Password, los factores más allá de las funcionalidades empiezan a importar. Este artículo compara ambos productos desde esa perspectiva: jurisdicción, soberanía de datos, flexibilidad de despliegue, preparación para auditorías, cumplimiento a largo plazo con RGPD y NIS2, y coste total de propiedad.

Puntos clave

• Ambas plataformas proporcionan gestión de contraseñas empresarial, pero utilizan enfoques arquitectónicos diferentes. 1Password es un servicio basado en la nube construido en torno a su modelo de seguridad Secret Key, mientras que Passwork ofrece despliegue autoalojado con cifrado AES-256 del lado del cliente.
• El modelo de despliegue determina quién controla la infraestructura y quién es responsable de ella. Con un despliegue autoalojado, su organización gestiona el entorno. Con un servicio SaaS, el proveedor opera la infraestructura y permanece sujeto a las leyes de su propia jurisdicción.
• La residencia de datos y la soberanía de datos abordan aspectos diferentes de la gobernanza de datos. Elegir un centro de datos en la UE determina dónde se almacenan sus datos. Por sí solo, no determina qué leyes de qué país pueden aplicarse al proveedor del servicio.
• El RGPD y NIS2 se centran en cómo las organizaciones protegen y gestionan el acceso a las credenciales. Las organizaciones deben poder demostrar controles técnicos apropiados, gestión de accesos, registro de actividad y evidencia de auditoría.
• Con 100 usuarios, Passwork licencia estándar cuesta 3.600 €/año frente a ~9.588 $/año de 1Password Business. Passwork tiene un precio de 3 €/usuario/mes (licencia estándar) o 4,5 €/usuario/mes (licencia avanzada). 1Password Business cuesta 7,99 $/usuario/mes. Los niveles Enterprise tienen precios personalizados en ambos casos.
• Elija 1Password si su equipo prioriza la comodidad operativa y una experiencia en la nube pulida sobre la soberanía de datos estricta. Elija Passwork si su organización está sujeta al RGPD, NIS2 o DORA y necesita demostrar que los datos de credenciales nunca salen de su propia infraestructura.

El campo de batalla del cumplimiento: Residencia de datos vs. soberanía de datos

Las organizaciones europeas que evalúan gestores de contraseñas necesitan distinguir entre residencia de datos y soberanía de datos. La residencia de datos define dónde se almacenan los datos. La soberanía de datos define qué sistema legal los gobierna. Una solución basada en la nube puede ofrecer residencia de datos en la UE mientras sigue estando sujeta a jurisdicción fuera de la UE. Las soluciones autoalojadas eliminan esa brecha al mantener los datos de credenciales completamente dentro de la propia infraestructura de la organización, bajo un marco legal único y predecible.

1Password ofrece residencia de datos en la UE: los clientes pueden seleccionar una región de alojamiento europea, y los datos de la bóveda residen en servidores dentro de la UE. Sin embargo, esto por sí solo no resuelve todas las preocupaciones jurisdiccionales para organizaciones con requisitos estrictos de soberanía.

Qué significa el acceso transfronterizo a datos para los proveedores en la nube

Cuando un gestor de credenciales basado en la nube es operado por una empresa fuera de la UE, la pregunta clave de cumplimiento no es dónde están ubicados los servidores, sino qué sistema legal puede obligar a esa empresa a divulgar datos.

Cualquier proveedor fuera de la UE puede recibir solicitudes legales de las autoridades de su jurisdicción de origen. La ley aplicable depende de dónde está constituido el proveedor, no de dónde se almacenan los datos.

La CLOUD Act de EE. UU. (2018) es el ejemplo más conocido. Permite a las fuerzas del orden estadounidenses exigir a los proveedores constituidos en EE. UU. que entreguen datos almacenados en cualquier parte del mundo.

1Password no es una empresa estadounidense. AgileBits Inc. está constituida en Canadá, por lo que la CLOUD Act no se aplica de la misma manera que a los proveedores estadounidenses. Sin embargo, Canadá participa en marcos de cooperación internacional de aplicación de la ley como Five Eyes, lo que significa que las solicitudes legales transfronterizas siguen siendo una consideración.

El Artículo 48 del RGPD establece que una orden judicial extranjera por sí sola no es una base legal válida para transferir datos personales desde la UE. Esa restricción se aplica principalmente a su organización como responsable del tratamiento de datos.

Como cualquier gestor de credenciales basado en la nube operado por una entidad fuera de la UE, 1Password introduce una capa de complejidad jurisdiccional que un despliegue autoalojado no tiene.

Cómo el despliegue en las instalaciones cierra la brecha

El modelo autoalojado de Passwork significa que ningún tercero tiene sus datos de credenciales. Desplegado en su propia infraestructura dentro de la jurisdicción de la UE, el contenido de las bóvedas nunca abandona su entorno. Ninguna empresa externa puede recibir una orden de un gobierno extranjero para datos a los que no tiene acceso. Las leyes que gobiernan sus datos son las leyes de la jurisdicción donde se encuentran sus servidores.

Passwork está disponible como solución autoalojada y en una nube soberana de la UE, ofreciéndole control total sobre sus datos e infraestructura. Explore las opciones de despliegue — passwork.pro

Comparativa de funcionalidades: Passwork vs 1Password

Passwork y 1Password en el nivel Business comparten una base común: cifrado AES-256, RBAC, SSO y herramientas para desarrolladores. Las diferencias emergen a nivel arquitectónico. El despliegue autoalojado de Passwork otorga a la organización control directo sobre las claves de cifrado, los registros de auditoría y el perímetro de administración sin dependencia de la infraestructura del proveedor ni conectividad saliente a servicios externos.

Arquitectura de seguridad

La arquitectura Secret Key de 1Password requiere una clave de 128 bits codificada como una cadena de 34 caracteres generada en la configuración del dispositivo, combinada con la contraseña maestra, para derivar la clave de cifrado. Incluso si los servidores de 1Password fueran comprometidos, las bóvedas cifradas serían computacionalmente inviables de descifrar sin la Secret Key. Es un modelo de seguridad en la nube bien diseñado.

Passwork utiliza cifrado de conocimiento cero del lado del cliente en una instancia autoalojada. El cifrado y descifrado ocurren en el cliente (dispositivo del usuario). El servidor almacena solo texto cifrado. Dado que usted aloja la plataforma, mantiene control completo sobre el servidor de aplicaciones, las claves de cifrado y los registros de auditoría. Este despliegue garantiza un entorno aislado, libre de infraestructura compartida, riesgos de multitenencia o dependencia de la gestión de claves del proveedor.

Administración empresarial: RBAC, AD/LDAP y SSO

Ambas plataformas cubren las funcionalidades de administración empresarial que los equipos de TI esperan.

1Password Business incluye aprovisionamiento SCIM, integración SSO vía Okta y Azure AD, y una consola de administración madura. Su producto Extended Access Management (disponible como complemento con licencia separada) extiende la confianza de dispositivos y los controles de acceso a aplicaciones más allá de la propia bóveda de contraseñas.

Passwork proporciona control de acceso basado en roles (RBAC) granular, integración nativa con Active Directory y LDAP para aprovisionamiento de usuarios y sincronización de grupos, y SSO SAML. Para simplificar la gestión a escala, Passwork separa el acceso a datos de los privilegios administrativos mediante dos mecanismos distintos:

• Los grupos de usuarios controlan el acceso a datos — Los administradores asignan permisos a bóvedas y carpetas a nivel de grupo. Cuando los usuarios se añaden a un grupo, heredan automáticamente el acceso a las contraseñas y credenciales correspondientes.
• Los roles definen privilegios del sistema — Los roles predefinidos y personalizados gestionan el acceso a la configuración del sistema, directorios de usuarios y registros de auditoría. Esto asegura que los usuarios estándar solo interactúen con sus bóvedas asignadas, mientras que los administradores gestionan la infraestructura sin tener acceso a las contraseñas reales bajo el modelo de conocimiento cero.

Para organizaciones que ejecutan infraestructura de identidad basada en AD (la mayoría de las empresas europeas), la integración LDAP significa que la incorporación y baja de usuarios se ejecuta a través de los flujos de trabajo de directorio existentes. Los grupos de seguridad se sincronizan automáticamente, asegurando que los permisos de bóveda y los roles administrativos permanezcan alineados con su directorio central.

Una diferencia práctica que vale la pena mencionar: debido a que Passwork es autoalojado, la consola de administración, los registros de auditoría y el directorio de usuarios residen dentro de su propio perímetro de red. Las operaciones administrativas no tienen dependencia del SLA de disponibilidad de un proveedor.

DevOps y gestión de secretos

1Password ha invertido fuertemente en herramientas para desarrolladores. Su CLI (op), Secrets Automation e integraciones nativas con GitHub Actions, Kubernetes y pipelines CI/CD lo convierten en un gestor de secretos capaz para equipos cloud-native. La experiencia de desarrollador está pulida.

Passwork ofrece una API REST completa y herramientas CLI para flujos de trabajo DevOps: inyectar secretos en pipelines, rotar credenciales programáticamente, gestionar claves API y credenciales de bases de datos junto con contraseñas humanas en una bóveda unificada.

Para equipos que operan en entornos aislados o estrictamente controlados por perímetro, la diferencia arquitectónica importa. 1Password ofrece un Connect Server autoalojado que almacena secretos en caché localmente y reduce la dependencia de la API de 1Password, pero la configuración inicial y la sincronización periódica todavía requieren conectividad saliente a la infraestructura en la nube de 1Password.

Passwork no requiere tal dependencia en ninguna etapa: toda la pila se ejecuta dentro del propio perímetro de la empresa desde el primer día, sin llamadas a servicios externos. Para organizaciones donde el tráfico saliente a la nube de un proveedor no está permitido por política o arquitectura, esa distinción es un requisito indispensable.

Preparación para el futuro: NIS2 y el mandato post-cuántico de 2027

NIS2 añadió una cláusula que los proveedores preferirían que no notara

El Artículo 21 de NIS2 coloca la seguridad de sus proveedores de servicios TIC en su registro de riesgos. No en el de ellos — en el suyo. Un gestor de contraseñas basado en la nube es un proveedor de servicios TIC. Bajo NIS2, su organización es responsable de evaluar si la postura de seguridad de ese proveedor — incluyendo su jurisdicción legal y obligaciones de respuesta a incidentes — cumple con su umbral de riesgo.

Si una brecha en su proveedor de gestor de contraseñas expone sus credenciales, las obligaciones de notificación de incidentes de NIS2 pueden activarse de su lado: notificación inicial en 24 horas, informe detallado en 72 horas.

Desplegar una solución autoalojada modifica ese perfil de riesgo. La superficie de ataque es su infraestructura, gobernada por sus controles de seguridad, auditada por su equipo. Las evaluaciones de riesgo de la cadena de suministro de NIS2 se simplifican sustancialmente cuando la «cadena de suministro» para el almacenamiento de credenciales es interna.

El mandato de seguridad cuántica de ANSSI para 2027

La agencia nacional de ciberseguridad de Francia, ANSSI, anunció que dejará de certificar productos de seguridad (incluidos los gestores de contraseñas) que carezcan de cifrado resistente a la computación cuántica a partir de 2027. Para 2030, ANSSI espera que todas las adquisiciones empresariales requieran criptografía segura ante amenazas cuánticas. Para organizaciones en Francia y en toda la UE, esto crea un plazo de certificación firme en los próximos 12-18 meses.

La pregunta relevante para los equipos de adquisiciones no es solo si un proveedor soporta PQC, sino si la organización controla cuándo y cómo ocurre esa transición.

Con un gestor de contraseñas basado en la nube, la migración de la capa de cifrado de la bóveda ocurre según el calendario del proveedor, a través de infraestructura compartida. Con un despliegue autoalojado, su organización aplica actualizaciones criptográficas (incluidos los algoritmos PQC estandarizados por NIST) en su propio calendario, sin dependencia del ciclo de lanzamiento de un proveedor.

Precios y coste total de propiedad

Precios principales

1Password Business tiene un precio de 7,99 $ por usuario al mes (facturado anualmente). El plan Teams está en 4,99 $/usuario/mes. Los precios Enterprise requieren una cotización personalizada.

Los precios de Passwork están estructurados para compradores europeos:

Con 100 usuarios, Passwork licencia estándar cuesta 3.600 €/año frente a 1Password Business con aproximadamente 9.588 $/año. La diferencia aumenta a mayor escala.

TCO más allá de la tarifa de licencia

El despliegue en las instalaciones requiere infraestructura de servidores, mantenimiento y gastos operativos internos. Para organizaciones que ya ejecutan infraestructura en sus instalaciones (la mayoría de las empresas europeas en sectores regulados), el coste marginal de añadir una instancia autoalojada de Passwork es bajo. Para organizaciones sin presencia en instalaciones propias, los gastos de infraestructura son una consideración real y deben evaluarse honestamente antes de firmar.

El cálculo del TCO también necesita incluir el riesgo de cumplimiento. Una brecha que involucre un almacén de credenciales basado en la nube puede activar multas del Artículo 83 del RGPD de hasta 10 millones de euros o el 2% de la facturación anual global por violaciones de los requisitos de seguridad del Artículo 32. Las multas del RGPD han superado acumulativamente los 6.310 millones de euros para 2026. El caso Ambrosetti (85.000 € por contraseñas con hash MD5) ilustra que las autoridades de protección de datos ahora auditan la implementación criptográfica directamente, no solo los plazos de notificación de brechas.

Veredicto: Qué gestor de contraseñas se adapta a una organización con sede en la UE

Elegir un gestor de contraseñas para uso empresarial se reduce a la pregunta: ¿dónde termina su perímetro de cumplimiento? Los equipos cloud-native con pilas de identidad modernas encontrarán un ajuste natural en las integraciones profundas del ecosistema y la experiencia de usuario multiplataforma. Las organizaciones que operan bajo RGPD, NIS2 o DORA enfrentan una restricción diferente — no la usabilidad, sino la jurisdicción.

Elija 1Password Business si:

• Su equipo está distribuido globalmente y es cloud-native.
• Prioriza la experiencia de desarrollador y la UX multiplataforma sobre la arquitectura de cumplimiento.
• Su entorno regulatorio no requiere soberanía de datos estricta.
• Necesita Extended Access Management o integración profunda con una pila de identidad en la nube moderna.

Elija Passwork si:

• Su organización está sujeta al RGPD, NIS2 o DORA y necesita demostrar soberanía de datos.
• Opera en infraestructura crítica, servicios financieros, sanidad o sector público.
• Necesita integración nativa AD/LDAP dentro de un entorno de identidad existente en sus instalaciones.
• Se está preparando para la certificación ANSSI o adquisiciones del sector público de la UE.
• Su equipo de seguridad necesita control total sobre la capa de cifrado, los registros de auditoría y la gestión de claves.

Para empresas europeas en sectores regulados, la arquitectura que responde «sí» a los cinco criterios es autoalojada, en las instalaciones y jurisdiccionalmente limpia.

Passwork ofrece a los equipos de TI europeos una bóveda de credenciales autoalojada, preparada para el RGPD, con registro de auditoría completo, integración AD/LDAP y cifrado de conocimiento cero — todo dentro de su propia infraestructura. Solicite una demostración o explore la guía de despliegue autoalojado — passwork.pro

Preguntas frecuentes

Choosing a credential manager for a European enterprise in 2026 is a compliance decision as much as it is a product decision. 

Credential abuse remains one of the most common paths into corporate environments. Verizon's 2026 Data Breach Investigations Report confirms that 50% of ransomware victims had a credential or infostealer event within 95 days before the attack. 

At the same time, GDPR enforcement has real teeth. In April 2026, Italy's Garante fined a consulting firm Ambrosetti €85,000 for storing passwords in cleartext and using MD5 hashing, explicitly citing GDPR Article 32 as the basis. NIS2 is no longer a draft: 23 out of 27 EU member states have transposed it into national law, according to the ECSO transposition tracker. 

When evaluating solutions like Passwork and 1Password, factors beyond features start to matter. This article compares both products from that perspective: jurisdiction, data sovereignty, deployment flexibility, audit readiness, long-term compliance with GDPR and NIS2, and total cost of ownership.

Key takeaways

• Both platforms provide enterprise password management, but they use different architectural approaches. 1Password is a cloud-based service built around its Secret Key security model, while Passwork offers self-hosted deployment with client-side AES-256 encryption.
• Deployment model determines who controls the infrastructure and who is responsible for it. With a self-hosted deployment, your organization manages the environment. With a SaaS service, the provider operates the infrastructure and remains subject to the laws of its own jurisdiction.
• Data residency and data sovereignty address different aspects of data governance. Choosing an EU data center determines where your data is stored. It does not, by itself, determine which country's laws may apply to the service provider.
• GDPR and NIS2 focus on how organizations protect and manage access to credentials. Organizations should be able to demonstrate appropriate technical controls, access management, logging, and audit evidence.
• At 100 users, Passwork Standard costs €3,600/year versus ~$9,588/year for 1Password Business. Passwork is priced at €3/user/month (Standard) or €4.5/user/month (Advanced). 1Password Business is $7.99/user/month. Enterprise tiers are custom-quoted on both sides.
• Choose 1Password if your team prioritizes operational convenience and a polished cloud experience over strict data sovereignty. Choose Passwork if your organization is subject to GDPR, NIS2, or DORA and needs to demonstrate that credential data never leaves your own infrastructure.

The compliance battlefield: Data residency vs. data sovereignty

European organizations evaluating password managers need to distinguish between data residency and data sovereignty. Data residency defines where data is stored. Data sovereignty defines which legal system governs it. A cloud-based solution can offer EU data residency while still being subject to non-EU jurisdiction. Self-hosted solutions eliminate that gap by keeping credential data entirely within the organization's own infrastructure, under a single, predictable legal framework.

1Password offers EU data residency: customers can select a European hosting region, and vault data sits on servers inside the EU. It does not, however, by itself resolve all jurisdictional concerns for organizations with strict sovereignty requirements.

What cross-border data access means for cloud vendors

When a cloud-based credential manager is operated by a company outside the EU, the key compliance question is not where the servers are located, but which legal system can compel that company to disclose data.

Any non-EU provider can receive lawful requests from authorities in its home jurisdiction. The applicable law depends on where the provider is incorporated, not where the data is stored.

The U.S. CLOUD Act (2018) is the best-known example. It allows U.S. law enforcement to require U.S.-incorporated providers to produce data stored anywhere in the world.

1Password is not a U.S. company. AgileBits Inc. is incorporated in Canada, so the CLOUD Act does not apply in the same way it does to U.S. providers. Canada, however, participates in international law enforcement cooperation frameworks such as Five Eyes, meaning cross-border legal requests remain a consideration.

GDPR Article 48 states that a foreign court order alone is not a valid legal basis for transferring personal data from the EU. That restriction primarily applies to your organization as the data controller.

Like any cloud-based credential manager operated by a non-EU entity, 1Password introduces a layer of jurisdictional complexity that a self-hosted deployment does not.

How on-premise deployment closes the gap

Passwork's self-hosted model means no third party holds your credential data. Deployed on your own infrastructure within EU jurisdiction, vault contents never leave your environment. No external company can receive a foreign government order for data it doesn't have access to. The laws that govern your data are the laws of the jurisdiction where your servers sit.

Passwork is available as a self-hosted solution and in a sovereign EU cloud, giving you full control over your data and infrastructure. Explore deployment options — passwork.pro

Feature comparison: Passwork vs 1Password

Passwork and 1Password at the Business tier share a common baseline: AES-256 encryption, RBAC, SSO, and developer tooling. The differences emerge at the architectural level. Passwork’s self-hosted deployment gives the organization direct control over encryption keys, audit logs, and the admin perimeter with no dependency on vendor infrastructure or outbound connectivity to external services.

Security architecture

1Password's Secret Key architecture requires a 128-bit key encoded as a 34-character string generated on device setup, combined with the master password, to derive the encryption key. Even if 1Password's servers were compromised, encrypted vaults would be computationally infeasible to crack without the Secret Key. It is a well-designed cloud security model.

Passwork uses client-side, zero-knowledge encryption on a self-hosted instance. Encryption and decryption happen on the client (user device). The server stores only ciphertext. Because you host the platform, you maintain complete control over the application server, encryption keys, and audit logs. This deployment guarantees an isolated environment, free from shared infrastructure, multi-tenant risks, or reliance on vendor key management.

Enterprise administration: RBAC, AD/LDAP, and SSO

Both platforms cover the enterprise administration features IT teams expect.

1Password Business includes SCIM provisioning, SSO integration via Okta and Azure AD, and a mature admin console. Its Extended Access Management product (available as a separately licensed add-on) extends device trust and application access controls beyond the password vault itself.

Passwork provides granular role-based access control (RBAC), native Active Directory and LDAP integration for user provisioning and group sync, and SAML SSO. To simplify management at scale, Passwork separates data access from administrative privileges through two distinct mechanisms:

• User groups control data access — Administrators assign permissions to vaults and folders at the group level. When users are added to a group, they automatically inherit access to the corresponding passwords and credentials. 
• Roles define system privileges — Predefined and custom roles manage access to system settings, user directories, and audit logs. This ensures standard users only interact with their assigned vaults, while administrators manage the infrastructure without having access to actual passwords under the Zero-Knowledge model.

For organizations running AD-based identity infrastructure (the majority of European enterprises) the LDAP integration means onboarding and offboarding run through existing directory workflows. Security groups sync automatically, ensuring that vault permissions and administrative roles remain aligned with your central directory.

One practical difference worth noting: because Passwork is self-hosted, the admin console, audit logs, and user directory all sit within your own network perimeter. Administrative operations have no dependency on a vendor's availability SLA.

DevOps and secrets management

1Password has invested heavily in developer tooling. Its CLI (op), Secrets Automation, and native integrations with GitHub Actions, Kubernetes, and CI/CD pipelines make it a capable secrets manager for cloud-native teams. The developer experience is polished.

Passwork offers a full REST API and CLI tools for DevOps workflows: injecting secrets into pipelines, rotating credentials programmatically, managing API keys and database credentials alongside human passwords in a unified vault.

For teams operating in air-gapped or strictly perimeter-controlled environments, the architectural difference matters. 1Password does offer a self-hosted Connect Server that caches secrets locally and reduces dependency on the 1Password API, but initial setup and periodic synchronisation still require outbound connectivity to 1Password's cloud infrastructure. 

Passwork requires no such dependency at any stage: the entire stack runs inside company’s own perimeter from day one, with no calls to external services. For organisations where outbound traffic to a vendor's cloud is not permitted by policy or architecture, that distinction is a hard requirement.

Future-proofing: NIS2 and the 2027 post-quantum mandate

NIS2 added a clause vendors would prefer you not notice

NIS2 Article 21 puts the security of your ICT service providers on your risk register. A cloud-based password manager is an ICT service provider. Under NIS2, your organization is responsible for evaluating whether that vendor's security posture (including its legal jurisdiction and incident response obligations) meets your risk threshold.

If a breach at your password manager vendor exposes your credentials, NIS2 incident reporting obligations may be triggered on your side: initial notification within 24 hours, detailed report within 72 hours.

Deploying a self-hosted solution shifts that risk profile. The attack surface is your infrastructure, governed by your security controls, audited by your team. NIS2 supply chain risk assessments become substantially simpler when the "supply chain" for credential storage is internal.

The ANSSI 2027 quantum-safe mandate

France's national cybersecurity agency, ANSSI, announced it will stop certifying security products (including password managers) that lack quantum-resistant encryption starting in 2027. By 2030, ANSSI expects all business procurement to require quantum-safe cryptography. For organizations in France and across the EU, this creates a hard certification deadline within the next 12–18 months.

The relevant question for procurement teams is not only whether a vendor supports PQC, but whether the organization controls when and how that transition happens.

With a cloud-based password manager, the migration of the vault encryption layer occurs on the vendor's schedule, across shared infrastructure. With a self-hosted deployment, your organization applies cryptographic updates (including NIST-standardized PQC algorithms) on your own timeline, without dependency on a vendor's release cycle.

Pricing and total cost of ownership

Headline pricing

1Password Business is priced at $7.99 per user per month (billed annually). The Teams plan sits at $4.99/user/month. Enterprise pricing requires a custom quote.

Passwork's pricing is structured for European buyers:

At 100 users, Passwork Standard runs €3,600/year versus 1Password Business at approximately $9,588/year. The gap widens at scale.

TCO beyond the license fee

On-premise deployment requires server infrastructure, maintenance, and internal operational overhead. For organizations that already run on-premises infrastructure (most European enterprises in regulated sectors) the marginal cost of adding a self-hosted Passwork instance is low. For organizations with no on-premises footprint, the infrastructure overhead is a real consideration and should be scoped honestly before signing.

The TCO calculation also needs a line for compliance risk. A breach involving a cloud-based credential store can trigger GDPR Article 83 fines of up to €10 million or 2% of global annual turnover for violations of Article 32 security requirements. GDPR fines have cumulatively exceeded €6,31 billion by 2026. The Ambrosetti case (€85,000 for MD5-hashed passwords) illustrates that DPAs are now auditing cryptographic implementation directly, not just breach notification timelines.

Verdict: Which password manager fits EU-based organization

Choosing a password manager for enterprise use comes down to the question: where does your compliance perimeter end? Cloud-native teams with modern identity stacks will find a natural fit in deep ecosystem integrations and cross-platform UX. Organizations operating under GDPR, NIS2, or DORA have an additional, non-negotiable requirement: jurisdictional control over where credentials are stored and processed. 

Choose 1Password Business if:

• Your team is globally distributed and cloud-native
• You prioritize developer experience and cross-platform UX above compliance architecture
• Your regulatory environment does not require strict data sovereignty
• You need Extended Access Management or deep integration with a modern cloud identity stack

Choose Passwork if:

• Your organization is subject to GDPR, NIS2, or DORA and needs to demonstrate data sovereignty
• You operate in critical infrastructure, financial services, healthcare, or the public sector
• You need AD/LDAP-native integration within an existing on-premises identity environment
• You are preparing for ANSSI certification or EU public sector procurement
• Your security team needs full control over the encryption layer, audit logs, and key management

For European enterprises in regulated sectors, the architecture that answers "yes" to all five of those criteria is self-hosted, on-premise, and jurisdictionally clean. 

Passwork gives European IT teams a self-hosted, GDPR-ready credential vault with full audit logging, AD/LDAP integration, and zero-knowledge encryption — all within your own infrastructure. Request a demo or explore the self-hosted deployment guide — passwork.pro

Frequently asked questions

Os incidentes desta semana têm um fio condutor comum: credenciais roubadas há semanas ou meses continuam a abrir portas. Corrigir a vulnerabilidade que permitiu o roubo não invalida o que já foi levado. Três casos desta semana ilustram essa ideia de formas diferentes:

• FortiBleed confirmou que mais de 15 000 credenciais verificadas de administrador e de VPN da Fortinet (recolhidas de ficheiros de configuração de firewalls em mais de 100 países) já circulam. A mensagem da CISA foi inequívoca: após um comprometimento, a rotação de credenciais não é opcional, e as atualizações de software, por si só, não fecham essa janela.
• Operation Endgame desarticulou a infraestrutura por trás do Amadey e do StealC, duas das famílias de infostealers (malware que rouba credenciais) mais ativas. A Europol recuperou cerca de 27 milhões de credenciais roubadas e apreendeu centenas de servidores. A infraestrutura está inoperacional; as credenciais que já circulam, não.
• O FICOBA francês foi alvo de uma violação que não exigiu qualquer exploit. Um atacante utilizou uma única conta comprometida de um funcionário público para consultar 3,5 milhões de registos bancários ao longo de duas semanas: nenhuma vulnerabilidade de software, apenas uma credencial ativa e sem monitorização.

A semana trouxe ainda uma violação na cadeia de abastecimento da LastPass através de uma plataforma SaaS de terceiros, um zero-day ativamente explorado na solução Cisco SD-WAN, que deu aos atacantes acesso root e contas de administrador ocultas durante mais de dois meses, e uma suspeita exfiltração de 200 GB provenientes do Conselho da Europa, reivindicada pelo ShinyHunters. 

Do lado do setor, a empresa checa Wultra angariou 3,5 milhões de euros para autenticação pós-quântica, e a WALLIX associou-se ao Inria para abordar o crescente problema das identidades de máquina: chaves de API, tokens e contas de serviço que a maioria das organizações ainda não consegue inventariar por completo.

Este resumo abrange 8 acontecimentos significativos de 22 a 29 de junho de 2026.

FortiBleed: Mais de 15 000 credenciais de administrador da Fortinet roubadas em mais de 100 países, a CISA exige a rotação imediata

Investigadores de segurança descobriram uma campanha de recolha de credenciais em larga escala, designada FortiBleed, que expôs mais de 15 000 credenciais verificadas de administrador e de VPN SSL de firewalls Fortinet FortiGate em mais de 100 países. As credenciais, recolhidas ao longo de vários anos através de ficheiros de configuração de firewalls comprometidos, foram associadas a organizações como a Siemens, a DHL e um fornecedor turco do setor da defesa. 

Porque isto importa: O FortiBleed evidencia uma distinção crítica: corrigir uma vulnerabilidade não elimina o risco quando as credenciais já foram roubadas. Após a divulgação, a CISA instou as organizações a agir de imediato:

• Terminar sessões e repor credenciais. Termine todas as sessões ativas de VPN SSL e de administrador. Reponha todas as palavras-passe de VPN e de administrador da Fortinet, especialmente nos sistemas expostos à internet.
• Garantir o armazenamento seguro das credenciais. Confirme a utilização de PBKDF2 para armazenar as credenciais de administrador e elimine os hashes legados mais fracos, de acordo com as orientações da Fortinet.
• Rever os logs. Verifique os logs da firewall, da VPN, de autenticação e dos controladores de domínio, em busca de movimento lateral, contas suspeitas ou alterações de configuração não autorizadas.
• Ativar a autenticação multifator (MFA) resistente a phishing. Exija a MFA resistente a phishing em todas as contas de acesso remoto e de administração, incluindo todos os gateways externos e interfaces administrativas.
• Reduzir a superfície de ataque e proteger o acesso de gestão. Mantenha a administração da firewall fora da internet pública, restrinja as interfaces de gestão a redes internas fiáveis e desative as contas desnecessárias.

Fontes: Dark Reading – 23 de junho de 2026

Dados de suporte ao cliente da LastPass roubados através da violação da cadeia de abastecimento da Klue

A LastPass notificou os utilizadores de que dados de suporte ao cliente e de vendas foram roubados depois de os atacantes terem comprometido a Klue, uma plataforma de investigação de mercado de terceiros. O grupo de extorsão Icarus terá abusado de tokens OAuth para aceder a dados do Salesforce de cerca de 20 empresas de cibersegurança, incluindo a LastPass, a HackerOne e a Recorded Future. A LastPass afirmou que os cofres de palavras-passe não foram afetados, mas os dados roubados incluíam nomes de clientes, números de telefone, endereços de e-mail e físicos, detalhes de casos de suporte e registos de vendas. 

Porque isto importa: O incidente mostra como as integrações SaaS podem expor dados sensíveis de clientes mesmo quando os sistemas principais permanecem seguros. Para as empresas, o incidente reforça a necessidade de avaliar o acesso de aplicações SaaS de terceiros, restringir as permissões OAuth, monitorizar a atividade das integrações e tratar a governação de fornecedores como parte da segurança de identidades. Em quadros de conformidade como a Diretiva NIS2, o risco de fornecedores e o controlo de acessos estão a tornar-se preocupações de segurança ao nível da administração.

Fontes: TechCrunch – 23 de junho de 2026

Operation Endgame: A Europol apreende centenas de servidores e recupera 27 milhões de credenciais roubadas das redes Amadey e StealC

Uma operação internacional de aplicação da lei, liderada pela Europol, desarticulou a infraestrutura por trás das famílias de malware Amadey e StealC, duas das plataformas de roubo de credenciais mais ativas. As autoridades apreenderam centenas de servidores e domínios, congelaram criptomoedas associadas aos operadores e recuperaram cerca de 27 milhões de credenciais roubadas. A operação envolveu vários países europeus, entre os quais a Alemanha, a França, os Países Baixos e o Reino Unido. A Microsoft estimou que estas famílias de malware infetaram centenas de milhares de dispositivos em todo o mundo durante as campanhas recentes.

Porque isto importa: Esta é uma das maiores desarticulações recentes do ecossistema de infostealers. No entanto, as organizações não devem presumir que o risco desapareceu. Milhões de palavras-passe e de tokens de sessão roubados já circulam em mercados criminosos e continuarão a alimentar ataques de apropriação de contas (account takeover). 

Fonte: The Hacker News / Europol – 24 de junho de 2026

Zero-day no SD-WAN da Cisco explorado durante mais de 2 meses: Os atacantes obtiveram acesso root e criaram contas de administrador ocultas

A Cisco revelou que os atacantes exploravam uma vulnerabilidade zero-day no Catalyst SD-WAN Manager pelo menos dois meses antes da divulgação. Segundo a Mandiant, os atacantes obtiveram privilégios de root, modificaram credenciais de administrador, criaram contas privilegiadas ocultas e removeram provas forenses para manter uma persistência de longo prazo. A Cisco publicou também informações sobre uma vulnerabilidade relacionada de contorno de autenticação que afeta a mesma plataforma.

Porque isto importa: Muitas organizações tratam os equipamentos de rede como infraestrutura de confiança, mas estes dispositivos detêm frequentemente credenciais com privilégios muito elevados. Uma vez comprometidos, dão aos atacantes acesso administrativo persistente em toda a rede. A aplicação de patches deve ser acompanhada de monitorização contínua das identidades privilegiadas.

Fonte: The Hacker News / Google Mandiant – 25 de junho de 2026

Credenciais governamentais comprometidas expõem 3,5 milhões de contas bancárias na violação do registo francês FICOBA

As autoridades francesas revelaram que os atacantes utilizaram credenciais governamentais comprometidas para aceder ao FICOBA, o registo nacional de contas bancárias do país. Durante um período de aproximadamente duas semanas, os atacantes consultaram informações associadas a cerca de 3,5 milhões de contas bancárias, incluindo nomes, moradas e números IBAN. As autoridades indicaram que o atacante abusou de uma conta existente de um funcionário público, em vez de explorar uma vulnerabilidade de software.

Porque isto importa: O incidente evidencia que as credenciais comprometidas continuam a ser uma ameaça importante, mesmo nos sistemas governamentais. Os controlos de identidade sólidos são tão importantes como a segurança da infraestrutura. À medida que a aplicação da NIS2 se alarga pela Europa, incidentes como este mostram por que razão a segurança de identidades se está a tornar uma questão de conformidade ao nível da administração.

Fonte: Shattered.io – 23 de junho de 2026

O ShinyHunters afirma ter roubado 200 GB dos sistemas de RH e de processamento salarial do Conselho da Europa

O grupo ShinyHunters reivindicou a responsabilidade pela intrusão em sistemas internos do Conselho da Europa e pelo roubo de mais de 200 GB de informação de recursos humanos e de processamento salarial. A organização confirmou um incidente de cibersegurança, restringiu o acesso aos sistemas afetados e iniciou uma investigação forense. No momento da publicação, o alcance total do comprometimento ainda não tinha sido confirmado.

Porque isto importa: Embora a atribuição continue sob investigação, o incidente insere-se num padrão crescente de ataques contra instituições públicas com recurso a credenciais roubadas ou a phishing. As organizações europeias devem esperar que os atacantes continuem a visar os sistemas de identidade e não apenas a infraestrutura. Controlos de acesso sólidos e uma resposta rápida a incidentes continuam a ser essenciais, tanto no setor público como no privado.

Fonte: CyPro – 26 de junho de 2026

A empresa checa Wultra angaria 3,5 milhões de euros para desenvolver autenticação pós-quântica e resistente a phishing para bancos europeus

A empresa checa de cibersegurança Wultra anunciou uma ronda de financiamento Série A de 3,5 milhões de euros para expandir a sua plataforma de autenticação na Europa. A empresa desenvolve tecnologias de autenticação resistente a phishing para bancos, serviços financeiros e fornecedores de identidade digital. O investimento apoiará a adoção da criptografia pós-quântica e de métodos de autenticação concebidos para cumprir os próximos regulamentos europeus, incluindo PSD3, PSR e eIDAS 2.0.

Porque isto importa: As organizações europeias estão a preparar-se não só para as ameaças de identidade atuais, mas também para futuros riscos criptográficos. À medida que os reguladores promovem cada vez mais normas mais exigentes de identidade digital, os investimentos estão a deslocar-se para a autenticação resistente a phishing e pós-quântica. O financiamento reflete a procura crescente de tecnologias de autenticação capazes de sustentar a conformidade a longo prazo, reduzindo a dependência de palavras-passe e de métodos de MFA legados.

Fonte: The Recursive – 29 de junho de 2026

A WALLIX e o Inria associam-se para proteger identidades de máquina

O fornecedor europeu de gestão de identidades e acessos (IAM) e de gestão de acessos privilegiados (PAM) WALLIX e o instituto de investigação francês Inria anunciaram uma parceria para desenvolver soluções de IA de confiança para proteger identidades de máquina. A colaboração visa responder aos riscos estruturais criados pelo rápido crescimento das identidades não humanas, incluindo chaves de API, contas de serviço, tokens e certificados utilizados em fluxos de trabalho automatizados e em pipelines de CI/CD. 

Porque isto importa: As identidades de máquina já ultrapassam as identidades humanas na maioria dos ambientes empresariais, e o seu número continua a crescer com cada novo microsserviço e pipeline de implementação. No entanto, muitas organizações continuam a não ter um controlo centralizado sobre estas credenciais, que permanecem dispersas por ficheiros de configuração, variáveis de ambiente e repositórios de código-fonte. A atenção crescente dos principais intervenientes europeus em cibersegurança confirma que a gestão de identidades de máquina se está a tornar uma das principais prioridades da segurança empresarial.

Fonte: Industrial Cyber – 26 de junho de 2026

Resumo da semana

Três lacunas destacam-se de forma recorrente nos incidentes desta semana:

• A rotação de credenciais é tratada como uma tarefa posterior à violação, e não como uma tarefa de rotina. Nos três casos, rodar as credenciais antes ou imediatamente após o comprometimento inicial teria contido os danos.
• O acesso de aplicações SaaS de terceiros é, em grande medida, deixado sem auditoria. A violação da LastPass ocorreu através de uma plataforma de investigação de mercado com acesso OAuth ao Salesforce. A maioria das equipas de segurança não conseguiria, neste momento, listar todas as integrações OAuth do respetivo ambiente.
• As identidades de máquina continuam a ser a classe de credenciais com menor governação. O anúncio da WALLIX/Inria e o caso da Cisco apontam para a mesma lacuna: chaves de API, contas de serviço e tokens em pipelines que ninguém monitoriza ativamente.

A boa notícia da Operation Endgame é real: desativar a infraestrutura do Amadey e do StealC é importante. Mas milhões de credenciais roubadas anteriormente continuam disponíveis para os atacantes.

Uma gestão de acessos eficaz limita o valor das credenciais roubadas, mesmo depois de o ataque original ter terminado. O Passwork reúne a gestão de palavras-passe e de segredos numa única plataforma, com REST API, SDK Python e CLI, para as equipas que precisam de controlo centralizado sobre as credenciais de máquina sem a sobrecarga da PAM tradicional. Controlar as credenciais antes dos atacantes.

Shadow IT em 2026: Riscos, deteção e como geri-lo

Em 2026, o shadow IT abrange agentes de IA, contas SaaS órfãs e sessões de LLM não monitorizadas: riscos que a maioria das organizações não consegue ver. Saiba o que mudou, quanto custa e como um modelo de governação em 6 passos colmata a lacuna.

Passwork BlogAlex Muntyan

Ciclo de vida da rotação de segredos: Da criação à revogação

A rotação de segredos falha quando é tratada como uma tarefa agendada e não como um ciclo de vida. Este guia abrange as sete fases: da criação e atribuição de responsabilidade à rotação segura, à revogação de emergência e às evidências de auditoria.

Passwork BlogAlex Muntyan

Guia de segurança da cadeia de abastecimento: Riscos de fornecedores, regulamentação e controlo de acessos em 2026

48 % das violações envolvem atualmente terceiros. Este guia aborda os padrões de ataque por trás do SolarWinds, do MOVEit e do XZ Utils, bem como os controlos de acesso, as práticas de gestão de credenciais e os requisitos regulamentares que realmente os travam.

Passwork BlogAlex Muntyan

Die Vorfälle dieser Woche haben einen gemeinsamen Nenner: Zugangsdaten, die vor Wochen oder Monaten gestohlen wurden, öffnen noch immer Türen. Das Patchen der Schwachstelle, die den Diebstahl ermöglichte, macht bereits gestohlene Daten nicht ungültig. Drei Fälle dieser Woche verdeutlichen dies auf unterschiedliche Weise:

• FortiBleed bestätigte, dass über 15.000 verifizierte Fortinet-Admin- und VPN-Zugangsdaten (aus Firewall-Konfigurationsdateien in über 100 Ländern gesammelt) bereits im Umlauf sind. Die Botschaft von CISA war eindeutig: Nach einer Kompromittierung ist die Rotation von Zugangsdaten nicht optional, und Software-Updates allein schließen das Zeitfenster nicht.
• Operation Endgame störte die Infrastruktur hinter Amadey und StealC, zwei der aktivsten Infostealer-Familien. Europol stellte rund 27 Millionen gestohlene Zugangsdaten sicher und beschlagnahmte Hunderte von Servern. Die Infrastruktur ist abgeschaltet; die bereits im Umlauf befindlichen Zugangsdaten sind es nicht.
• Frankreichs FICOBA-Breach erforderte überhaupt keinen Exploit. Ein Angreifer nutzte einen einzigen kompromittierten Beamten-Account, um über zwei Wochen 3,5 Millionen Bankdatensätze zu durchsuchen: keine Software-Schwachstelle, nur ein nicht überwachtes Zugangsdatum, das aktiv blieb.

Die Woche brachte außerdem einen Supply-Chain-Breach bei LastPass über eine Drittanbieter-SaaS-Plattform, einen aktiv ausgenutzten Cisco-SD-WAN-Zero-Day, der Angreifern über zwei Monate Root-Zugriff und versteckte Admin-Konten ermöglichte, sowie eine mutmaßliche 200-GB-Exfiltration vom Europarat, die von ShinyHunters beansprucht wird. 

Auf Branchenseite sammelte das tschechische Unternehmen Wultra 3,5 Mio. € für Post-Quantum-Authentifizierung, und WALLIX kooperierte mit Inria, um das wachsende Problem der Maschinenidentitäten anzugehen: API-Schlüssel, Token und Servicekonten, die die meisten Organisationen noch immer nicht vollständig inventarisieren können.

Dieser Digest behandelt 8 bedeutende Ereignisse vom 22. bis 29. Juni 2026.

FortiBleed: Über 15.000 Fortinet-Admin-Zugangsdaten in über 100 Ländern gestohlen, CISA fordert sofortige Rotation

Sicherheitsforscher deckten eine groß angelegte Credential-Harvesting-Kampagne namens FortiBleed auf, die mehr als 15.000 verifizierte Administrator- und SSL-VPN-Zugangsdaten für Fortinet-FortiGate-Firewalls in über 100 Ländern offenlegte. Die Zugangsdaten, die über mehrere Jahre durch kompromittierte Firewall-Konfigurationsdateien gesammelt wurden, wurden mit Organisationen wie Siemens, DHL und einem türkischen Rüstungsunternehmen in Verbindung gebracht. 

Warum es wichtig ist: FortiBleed verdeutlicht eine kritische Unterscheidung: Das Patchen einer Schwachstelle beseitigt nicht das Risiko, sobald Zugangsdaten bereits gestohlen wurden. Nach der Offenlegung forderte CISA Organisationen auf, sofort zu handeln:

• Sitzungen beenden und Zugangsdaten zurücksetzen. Alle aktiven SSL-VPN- und Admin-Sitzungen beenden. Alle Fortinet-VPN- und Admin-Passwörter zurücksetzen, insbesondere auf internetexponierten Systemen.
• Sichere Speicherung von Zugangsdaten gewährleisten. Die Verwendung von PBKDF2 zur Speicherung von Administrator-Zugangsdaten bestätigen und schwächere Legacy-Hashes gemäß Fortinets Anleitung entfernen.
• Logs überprüfen. Firewall-, VPN-, Authentifizierungs- und Domain-Controller-Logs auf laterale Bewegungen, verdächtige Konten oder nicht autorisierte Konfigurationsänderungen prüfen.
• Phishing-resistente MFA aktivieren. Phishing-resistente MFA für alle Remote-Zugriffs- und Admin-Konten erforderlich machen, einschließlich aller externen Gateways und administrativen Schnittstellen.
• Angriffsfläche reduzieren und Verwaltungszugriff sperren. Die Firewall-Administration vom öffentlichen Internet fernhalten, Verwaltungsschnittstellen auf vertrauenswürdige interne Netzwerke beschränken und unnötige Konten deaktivieren.

Quellen: Dark Reading – 23. Juni 2026

LastPass-Kundensupport-Daten durch Klue-Supply-Chain-Breach gestohlen

LastPass informierte Benutzer, dass Kundensupport- und Vertriebsdaten gestohlen wurden, nachdem Angreifer Klue, eine Drittanbieter-Marktforschungsplattform, kompromittiert hatten. Die Erpressergruppe Icarus missbrauchte Berichten zufolge OAuth-Token, um auf Salesforce-Daten von rund 20 Cybersicherheitsunternehmen zuzugreifen, darunter LastPass, HackerOne und Recorded Future. LastPass erklärte, dass Passwort-Tresore nicht betroffen waren, aber die gestohlenen Daten enthielten Kundennamen, Telefonnummern, E-Mail- und physische Adressen, Support-Fall-Details und Vertriebsunterlagen. 

Warum es wichtig ist: Der Vorfall zeigt, wie SaaS-Integrationen sensible Kundendaten offenlegen können, selbst wenn Kernsysteme sicher bleiben. Für Unternehmen unterstreicht der Vorfall die Notwendigkeit, den SaaS-Zugriff von Drittanbietern zu bewerten, OAuth-Berechtigungen einzuschränken, Integrationsaktivitäten zu überwachen und Lieferanten-Governance als Teil der Identitätssicherheit zu behandeln. Im Rahmen von Regelwerken wie NIS2 werden Lieferantenrisiko und Zugangskontrolle zu Sicherheitsthemen auf Vorstandsebene.

Quellen: TechCrunch – 23. Juni 2026

Operation Endgame: Europol beschlagnahmt Hunderte von Servern, stellt 27 Millionen gestohlene Zugangsdaten aus Amadey- und StealC-Netzwerken sicher

Eine internationale Strafverfolgungsoperation unter Führung von Europol störte die Infrastruktur hinter den Malware-Familien Amadey und StealC, zwei der aktivsten Credential-Stealing-Plattformen. Die Behörden beschlagnahmten Hunderte von Servern und Domains, froren Kryptowährungen der Betreiber ein und stellten rund 27 Millionen gestohlene Zugangsdaten sicher. An der Operation waren mehrere europäische Länder beteiligt, darunter Deutschland, Frankreich, die Niederlande und Großbritannien. Microsoft schätzte, dass diese Malware-Familien während der jüngsten Kampagnen weltweit Hunderttausende von Geräten infizierten.

Warum es wichtig ist: Dies ist eine der größten Störungen des Infostealer-Ökosystems in jüngster Zeit. Organisationen sollten jedoch nicht davon ausgehen, dass das Risiko verschwunden ist. Millionen von gestohlenen Passwörtern und Sitzungstoken sind bereits auf kriminellen Märkten im Umlauf und werden weiterhin Account-Takeover-Angriffe befeuern. 

Quelle: The Hacker News / Europol – 24. Juni 2026

Cisco-SD-WAN-Zero-Day über 2+ Monate ausgenutzt: Angreifer erlangten Root-Zugriff und erstellten versteckte Admin-Konten

Cisco gab bekannt, dass Angreifer eine Zero-Day-Schwachstelle im Catalyst SD-WAN Manager mindestens zwei Monate vor der Offenlegung ausgenutzt hatten. Laut Mandiant erlangten die Angreifer Root-Privilegien, modifizierten Administrator-Zugangsdaten, erstellten versteckte privilegierte Konten und entfernten forensische Beweise, um langfristige Persistenz zu gewährleisten. Cisco veröffentlichte auch Informationen über eine verwandte Authentication-Bypass-Schwachstelle, die dieselbe Plattform betrifft.

Warum es wichtig ist: Viele Organisationen behandeln Netzwerkgeräte als vertrauenswürdige Infrastruktur, doch diese Geräte halten oft hoch privilegierte Zugangsdaten. Einmal kompromittiert, bieten sie Angreifern persistenten administrativen Zugriff über das gesamte Netzwerk. Patching sollte mit kontinuierlicher Überwachung privilegierter Identitäten kombiniert werden.

Quelle: The Hacker News / Google Mandiant – 25. Juni 2026

Kompromittierte Regierungszugangsdaten legen 3,5 Millionen Bankkonten bei französischem FICOBA-Registerbreach offen

Französische Behörden gaben bekannt, dass Angreifer kompromittierte Regierungszugangsdaten nutzten, um auf FICOBA, das nationale Bankkontoverzeichnis des Landes, zuzugreifen. Über einen Zeitraum von etwa zwei Wochen sahen Angreifer Informationen ein, die mit rund 3,5 Millionen Bankkonten verknüpft waren, darunter Namen, Adressen und IBAN-Nummern. Die Behörden berichteten, dass der Angreifer ein bestehendes Beamtenkonto missbrauchte, anstatt eine Software-Schwachstelle auszunutzen.

Warum es wichtig ist: Der Vorfall verdeutlicht, dass kompromittierte Zugangsdaten selbst in Regierungssystemen eine große Bedrohung bleiben. Starke Identitätskontrollen sind genauso wichtig wie Infrastruktursicherheit. Da die NIS2-Durchsetzung in Europa ausgeweitet wird, zeigen Vorfälle wie dieser, warum Identitätssicherheit zu einem Compliance-Thema auf Vorstandsebene wird.

Quelle: Shattered.io – 23. Juni 2026

ShinyHunters beansprucht 200 GB Diebstahl aus HR- und Gehaltsabrechnungssystemen des Europarats

Die Gruppe ShinyHunters übernahm die Verantwortung für den Einbruch in interne Systeme des Europarats und den Diebstahl von mehr als 200 GB an HR- und Gehaltsabrechnungsinformationen. Die Organisation bestätigte einen Cybersicherheitsvorfall, schränkte den Zugriff auf betroffene Systeme ein und leitete eine forensische Untersuchung ein. Zum Zeitpunkt der Veröffentlichung war das volle Ausmaß der Kompromittierung noch nicht bestätigt.

Warum es wichtig ist: Obwohl die Zuschreibung noch untersucht wird, folgt der Vorfall einem wachsenden Muster von Angriffen auf öffentliche Institutionen unter Verwendung gestohlener Zugangsdaten oder Phishing. Europäische Organisationen sollten erwarten, dass Angreifer weiterhin Identitätssysteme und nicht nur die Infrastruktur angreifen. Starke Zugangskontrollen und schnelle Incident Response bleiben sowohl für den öffentlichen als auch für den privaten Sektor unerlässlich.

Quelle: CyPro – 26. Juni 2026

Tschechisches Unternehmen Wultra sammelt 3,5 Mio. € für Post-Quantum-, Phishing-resistente Authentifizierung für europäische Banken

Das tschechische Cybersicherheitsunternehmen Wultra kündigte eine 3,5 Millionen Euro Series-A-Finanzierungsrunde an, um seine Authentifizierungsplattform in Europa zu erweitern. Das Unternehmen entwickelt Phishing-resistente Authentifizierungstechnologien für Banken, Finanzdienstleister und Anbieter digitaler Identität. Die Investition wird die Einführung von Post-Quantum-Kryptographie und Authentifizierungsmethoden unterstützen, die kommende europäische Vorschriften erfüllen sollen, darunter PSD3, PSR und eIDAS 2.0.

Warum es wichtig ist: Europäische Organisationen bereiten sich nicht nur auf heutige Identitätsbedrohungen vor, sondern auch auf zukünftige kryptographische Risiken. Da Regulierungsbehörden zunehmend stärkere Standards für digitale Identität fördern, verschieben sich Investitionen in Richtung Phishing-resistenter und Post-Quantum-Authentifizierung. Die Finanzierung spiegelt die wachsende Nachfrage nach Authentifizierungstechnologien wider, die langfristige Compliance unterstützen und gleichzeitig die Abhängigkeit von Passwörtern und Legacy-MFA-Methoden reduzieren können.

Quelle: The Recursive – 29. Juni 2026

WALLIX und Inria kooperieren zur Sicherung von Maschinenidentitäten

Der europäische IAM/PAM-Anbieter WALLIX und das französische Forschungsinstitut Inria haben eine Partnerschaft zur Entwicklung vertrauenswürdiger KI-Lösungen zur Sicherung von Maschinenidentitäten angekündigt. Die Zusammenarbeit zielt darauf ab, die strukturellen Risiken anzugehen, die durch das schnelle Wachstum von nicht-menschlichen Identitäten entstehen, einschließlich API-Schlüssel, Servicekonten, Token und Zertifikate, die in automatisierten Workflows und CI/CD-Pipelines verwendet werden. 

Warum es wichtig ist: Maschinenidentitäten übersteigen bereits die Zahl menschlicher Identitäten in den meisten Unternehmensumgebungen, und ihre Anzahl wächst mit jedem neuen Microservice und jeder Deployment-Pipeline weiter. Dennoch fehlt vielen Organisationen noch immer eine zentrale Kontrolle über diese Zugangsdaten, die über Konfigurationsdateien, Umgebungsvariablen und Source-Code-Repositories verstreut bleiben. Die wachsende Aufmerksamkeit großer europäischer Cybersicherheitsakteure bestätigt, dass das Management von Maschinenidentitäten zu einer der Top-Prioritäten für die Unternehmenssicherheit wird.

Quelle: Industrial Cyber – 26. Juni 2026

Zusammenfassung dieser Woche

Drei Dinge fallen als konsistente Lücken bei den Vorfällen dieser Woche auf:

• Credential Rotation wird als Post-Breach-Aufgabe behandelt, nicht als Routine. In allen drei Fällen hätte die Rotation von Zugangsdaten vor oder unmittelbar nach der initialen Kompromittierung den Schaden begrenzt.
• Der SaaS-Zugriff von Drittanbietern ist weitgehend ungeprüft. Der LastPass-Breach erfolgte über eine Marktforschungsplattform mit OAuth-Zugriff auf Salesforce. Die meisten Sicherheitsteams könnten nicht auf Anhieb jede OAuth-Integration in ihrer Umgebung auflisten.
• Maschinenidentitäten bleiben die am wenigsten kontrollierte Zugangsdatenklasse. Die WALLIX/Inria-Ankündigung und der Cisco-Fall weisen auf dieselbe Lücke hin: API-Schlüssel, Servicekonten und Token in Pipelines, die niemand aktiv überwacht.

Die guten Nachrichten von Operation Endgame sind real: Die Abschaltung der Amadey- und StealC-Infrastruktur ist bedeutsam. Aber Millionen von zuvor gestohlenen Zugangsdaten sind für Angreifer noch immer verfügbar.

Effektives Zugriffsmanagement begrenzt den Wert gestohlener Zugangsdaten, selbst nachdem der ursprüngliche Angriff vorbei ist. Passwork vereint Passwort- und Secrets-Management in einer einzigen Plattform — mit einer REST API, Python SDK und CLI für Teams, die eine zentrale Kontrolle über Maschinen-Zugangsdaten ohne den Overhead traditioneller PAM-Lösungen benötigen. Kontrollieren Sie Ihre Zugangsdaten, bevor Angreifer es tun.

Shadow IT in 2026: Risiken, Erkennung und Management

Shadow IT in 2026 umfasst KI-Agenten, verwaiste SaaS-Konten und unüberwachte LLM-Sitzungen — Risiken, die die meisten Organisationen nicht sehen können. Erfahren Sie, was sich geändert hat, was es kostet und wie ein 6-Schritte-Governance-Framework die Lücke schließt.

Passwork BlogAlex Muntyan

Secrets-Rotation-Lebenszyklus: Von der Erstellung bis zum Widerruf

Secret Rotation scheitert, wenn sie als geplante Aufgabe statt als Lebenszyklus behandelt wird. Dieser Leitfaden behandelt alle sieben Phasen — von der Erstellung und Zuständigkeit bis zur sicheren Rotation, Notfall-Widerruf und Audit-Nachweisen.

Passwork BlogAlex Muntyan

Leitfaden zur Supply-Chain-Sicherheit: Lieferantenrisiken, Vorschriften, Zugangskontrolle in 2026

48 % der Breaches betreffen mittlerweile einen Drittanbieter. Dieser Leitfaden behandelt die Angriffsmuster hinter SolarWinds, MOVEit und XZ Utils — sowie die Zugangskontrollen, Credential-Management-Praktiken und regulatorischen Anforderungen, die sie tatsächlich stoppen.

Passwork BlogAlex Muntyan

Los incidentes de esta semana comparten un hilo conductor: credenciales robadas hace semanas o meses siguen abriendo puertas. Parchear la vulnerabilidad que permitió el robo no invalida lo que ya fue sustraído. Tres casos de esta semana ilustran este punto de diferentes maneras:

• FortiBleed confirmó que más de 15.000 credenciales verificadas de administradores y VPN de Fortinet (recopiladas de archivos de configuración de firewalls en más de 100 países) ya están en circulación. El mensaje de CISA fue inequívoco: la rotación de credenciales no es opcional después de un compromiso, y las actualizaciones de software por sí solas no cierran la ventana.
• Operation Endgame desmanteló la infraestructura detrás de Amadey y StealC, dos de las familias de infostealers más activas. Europol recuperó alrededor de 27 millones de credenciales robadas y confiscó cientos de servidores. La infraestructura está caída; las credenciales que ya estaban en circulación no lo están.
• La brecha de FICOBA en Francia no requirió ningún exploit. Un atacante utilizó una única cuenta comprometida de un funcionario público para consultar 3,5 millones de registros bancarios durante dos semanas: ninguna vulnerabilidad de software, solo una credencial no monitoreada que permaneció activa.

La semana también trajo una brecha en la cadena de suministro de LastPass a través de una plataforma SaaS de terceros, un zero-day de Cisco SD-WAN explotado activamente que dio a los atacantes acceso root y cuentas de administrador ocultas durante más de dos meses, y una supuesta exfiltración de 200 GB del Consejo de Europa reclamada por ShinyHunters. 

En el ámbito industrial, la empresa checa Wultra recaudó 3,5 millones de euros para autenticación post-cuántica, y WALLIX se asoció con Inria para abordar el creciente problema de las identidades de máquinas: claves API, tokens y cuentas de servicio que la mayoría de las organizaciones todavía no pueden inventariar completamente.

Este resumen cubre 8 eventos significativos del 22 al 29 de junio de 2026.

FortiBleed: más de 15.000 credenciales de administrador de Fortinet robadas en más de 100 países, CISA exige rotación inmediata

Investigadores de seguridad descubrieron una campaña de recolección de credenciales a gran escala denominada FortiBleed, que expuso más de 15.000 credenciales verificadas de administrador y SSL VPN de firewalls FortiGate de Fortinet en más de 100 países. Las credenciales, recopiladas durante varios años a través de archivos de configuración de firewalls comprometidos, se han vinculado a organizaciones como Siemens, DHL y un contratista de defensa turco. 

Por qué es importante: FortiBleed destaca una distinción crítica: parchear una vulnerabilidad no elimina el riesgo una vez que las credenciales ya han sido robadas. Tras la divulgación, CISA instó a las organizaciones a actuar de inmediato:

• Terminar sesiones y restablecer credenciales. Finalice todas las sesiones activas de SSL VPN y administración. Restablezca todas las contraseñas de VPN y administrador de Fortinet, especialmente en sistemas expuestos a internet.
• Garantizar el almacenamiento seguro de credenciales. Confirme el uso de PBKDF2 para almacenar credenciales de administrador y elimine los hashes heredados más débiles según las directrices de Fortinet.
• Revisar registros. Verifique los registros de firewall, VPN, autenticación y controlador de dominio en busca de movimiento lateral, cuentas sospechosas o cambios de configuración no autorizados.
• Habilitar MFA resistente al phishing. Exija MFA resistente al phishing en todas las cuentas de acceso remoto y administración, incluyendo todas las puertas de enlace externas e interfaces administrativas.
• Reducir la superficie de ataque y restringir el acceso de gestión. Mantenga la administración del firewall fuera de internet público, restrinja las interfaces de gestión a redes internas de confianza y deshabilite las cuentas innecesarias.

Fuentes: Dark Reading – 23 jun 2026

Datos de soporte al cliente de LastPass robados a través de la brecha en la cadena de suministro de Klue

LastPass notificó a los usuarios que se robaron datos de soporte al cliente y ventas después de que los atacantes comprometieran Klue, una plataforma de investigación de mercado de terceros. Según los informes, el grupo de extorsión Icarus abusó de tokens OAuth para acceder a datos de Salesforce de alrededor de 20 empresas de ciberseguridad, incluyendo LastPass, HackerOne y Recorded Future. LastPass declaró que las bóvedas de contraseñas no se vieron afectadas, pero los datos robados incluían nombres de clientes, números de teléfono, direcciones de correo electrónico y físicas, detalles de casos de soporte y registros de ventas. 

Por qué es importante: El incidente muestra cómo las integraciones SaaS pueden exponer datos sensibles de clientes incluso cuando los sistemas principales permanecen seguros. Para las empresas, el incidente refuerza la necesidad de evaluar el acceso SaaS de terceros, restringir los permisos OAuth, monitorear la actividad de integración y tratar la gobernanza de proveedores como parte de la seguridad de identidad. Bajo marcos como NIS2, el riesgo de proveedores y el control de acceso se están convirtiendo en preocupaciones de seguridad a nivel de dirección.

Fuentes: TechCrunch – 23 jun 2026

Operation Endgame: Europol confisca cientos de servidores y recupera 27 millones de credenciales robadas de las redes Amadey y StealC

Una operación policial internacional liderada por Europol desmanteló la infraestructura detrás de las familias de malware Amadey y StealC, dos de las plataformas de robo de credenciales más activas. Las autoridades confiscaron cientos de servidores y dominios, congelaron criptomonedas vinculadas a los operadores y recuperaron alrededor de 27 millones de credenciales robadas. La operación involucró a varios países europeos, incluyendo Alemania, Francia, Países Bajos y Reino Unido. Microsoft estimó que estas familias de malware infectaron cientos de miles de dispositivos en todo el mundo durante las campañas recientes.

Por qué es importante: Esta es una de las mayores disrupciones recientes del ecosistema de infostealers. Sin embargo, las organizaciones no deben asumir que el riesgo ha desaparecido. Millones de contraseñas y tokens de sesión robados ya están circulando en mercados criminales y seguirán alimentando ataques de apropiación de cuentas. 

Fuente: The Hacker News / Europol – 24 jun 2026

Zero-day de Cisco SD-WAN explotado durante más de 2 meses: los atacantes obtuvieron acceso root y crearon cuentas de administrador ocultas

Cisco reveló que los atacantes habían estado explotando una vulnerabilidad zero-day en Catalyst SD-WAN Manager durante al menos dos meses antes de la divulgación. Según Mandiant, los atacantes obtuvieron privilegios root, modificaron credenciales de administrador, crearon cuentas privilegiadas ocultas y eliminaron evidencia forense para mantener persistencia a largo plazo. Cisco también publicó información sobre una vulnerabilidad relacionada de elusión de autenticación que afecta a la misma plataforma.

Por qué es importante: Muchas organizaciones tratan los dispositivos de red como infraestructura de confianza, sin embargo, estos dispositivos a menudo contienen credenciales altamente privilegiadas. Una vez comprometidos, proporcionan a los atacantes acceso administrativo persistente a través de la red. El parcheo debe ir acompañado de monitoreo continuo de identidades privilegiadas.

Fuente: The Hacker News / Google Mandiant – 25 jun 2026

Credenciales gubernamentales comprometidas exponen 3,5 millones de cuentas bancarias en la brecha del registro FICOBA en Francia

Las autoridades francesas revelaron que los atacantes utilizaron credenciales gubernamentales comprometidas para acceder a FICOBA, el registro nacional de cuentas bancarias del país. Durante un período de aproximadamente dos semanas, los atacantes visualizaron información vinculada a alrededor de 3,5 millones de cuentas bancarias, incluyendo nombres, direcciones y números IBAN. Las autoridades informaron que el atacante abusó de una cuenta existente de un funcionario público en lugar de explotar una vulnerabilidad de software.

Por qué es importante: El incidente destaca que las credenciales comprometidas siguen siendo una amenaza importante incluso en sistemas gubernamentales. Los controles de identidad sólidos son tan importantes como la seguridad de la infraestructura. A medida que la aplicación de NIS2 se expande por Europa, incidentes como este muestran por qué la seguridad de identidad se está convirtiendo en un tema de cumplimiento a nivel de dirección.

Fuente: Shattered.io – 23 jun 2026

ShinyHunters afirma haber robado 200 GB de los sistemas de RRHH y nóminas del Consejo de Europa

El grupo ShinyHunters se atribuyó la responsabilidad de vulnerar los sistemas internos del Consejo de Europa y robar más de 200 GB de información de RRHH y nóminas. La organización confirmó un incidente de ciberseguridad, restringió el acceso a los sistemas afectados e inició una investigación forense. Al momento de la publicación, no se había confirmado el alcance completo del compromiso.

Por qué es importante: Aunque la atribución sigue bajo investigación, el incidente sigue un patrón creciente de ataques contra instituciones públicas utilizando credenciales robadas o phishing. Las organizaciones europeas deben esperar que los atacantes continúen atacando sistemas de identidad en lugar de solo la infraestructura. Los controles de acceso sólidos y la respuesta rápida a incidentes siguen siendo esenciales tanto para el sector público como para el privado.

Fuente: CyPro – 26 jun 2026

La empresa checa Wultra recauda 3,5 millones de euros para desarrollar autenticación post-cuántica resistente al phishing para bancos europeos

La empresa checa de ciberseguridad Wultra anunció una ronda de financiación Serie A de 3,5 millones de euros para expandir su plataforma de autenticación por toda Europa. La empresa desarrolla tecnologías de autenticación resistentes al phishing para bancos, servicios financieros y proveedores de identidad digital. La inversión apoyará la adopción de criptografía post-cuántica y métodos de autenticación diseñados para cumplir con las próximas regulaciones europeas, incluyendo PSD3, PSR y eIDAS 2.0.

Por qué es importante: Las organizaciones europeas se están preparando no solo para las amenazas de identidad actuales, sino también para los riesgos criptográficos futuros. A medida que los reguladores promueven cada vez más estándares de identidad digital más sólidos, las inversiones se están desplazando hacia la autenticación resistente al phishing y post-cuántica. La financiación refleja una demanda creciente de tecnologías de autenticación que puedan respaldar el cumplimiento a largo plazo mientras reducen la dependencia de las contraseñas y los métodos MFA heredados.

Fuente: The Recursive – 29 jun 2026

WALLIX e Inria se asocian para proteger las identidades de máquinas

El proveedor europeo de IAM/PAM WALLIX y el instituto de investigación francés Inria han anunciado una asociación para desarrollar soluciones de IA de confianza para proteger las identidades de máquinas. La colaboración tiene como objetivo abordar los riesgos estructurales creados por el rápido crecimiento de las identidades no humanas, incluyendo claves API, cuentas de servicio, tokens y certificados utilizados en flujos de trabajo automatizados y pipelines CI/CD. 

Por qué es importante: Las identidades de máquinas ya superan en número a las identidades humanas en la mayoría de los entornos empresariales, y sus números continúan creciendo con cada nuevo microservicio y pipeline de despliegue. Sin embargo, muchas organizaciones todavía carecen de control centralizado sobre estas credenciales, que permanecen dispersas en archivos de configuración, variables de entorno y repositorios de código fuente. La creciente atención de los principales actores europeos de ciberseguridad confirma que la gestión de identidades de máquinas se está convirtiendo en una de las principales prioridades para la seguridad empresarial.

Fuente: Industrial Cyber – 26 jun 2026

Resumen de esta semana

Tres aspectos destacan como brechas consistentes en los incidentes de esta semana:

• La rotación de credenciales se trata como una tarea posterior a la brecha, no como una rutina. En los tres casos, rotar las credenciales antes o inmediatamente después del compromiso inicial habría contenido el daño.
• El acceso SaaS de terceros está en gran medida sin auditar. La brecha de LastPass llegó a través de una plataforma de investigación de mercado con acceso OAuth a Salesforce. La mayoría de los equipos de seguridad no podrían enumerar cada integración OAuth en su entorno en este momento.
• Las identidades de máquinas siguen siendo la clase de credenciales menos gobernada. El anuncio de WALLIX/Inria y el caso de Cisco apuntan a la misma brecha: claves API, cuentas de servicio y tokens en pipelines que nadie está monitoreando activamente.

Las buenas noticias de Operation Endgame son reales: desmantelar la infraestructura de Amadey y StealC importa. Pero millones de credenciales robadas previamente todavía están disponibles para los atacantes.

La gestión de acceso eficaz limita el valor de las credenciales robadas, incluso después de que el ataque original haya terminado. Passwork reúne la gestión de contraseñas y secretos en una única plataforma — con REST API, Python SDK y CLI para equipos que necesitan control centralizado sobre las credenciales de máquinas sin la sobrecarga del PAM tradicional. Controle sus credenciales antes de que lo hagan los atacantes.

Shadow IT en 2026: Riesgos, detección y cómo gestionarlo

El Shadow IT en 2026 abarca agentes de IA, cuentas SaaS huérfanas y sesiones LLM no monitoreadas — riesgos que la mayoría de las organizaciones no pueden ver. Descubra qué ha cambiado, cuánto cuesta y cómo un marco de gobernanza de 6 pasos cierra la brecha.

Passwork BlogAlex Muntyan

Ciclo de vida de la rotación de secretos: De la creación a la revocación

La rotación de secretos falla cuando se trata como una tarea programada en lugar de un ciclo de vida. Esta guía cubre las siete etapas — desde la creación y la propiedad hasta la rotación segura, la revocación de emergencia y la evidencia de auditoría.

Passwork BlogAlex Muntyan

Guía de seguridad de la cadena de suministro: Riesgos de proveedores, regulaciones y control de acceso en 2026

El 48% de las brechas ahora involucran a un tercero. Esta guía cubre los patrones de ataque detrás de SolarWinds, MOVEit y XZ Utils — y los controles de acceso, prácticas de gestión de credenciales y requisitos regulatorios que realmente los detienen.

Passwork BlogAlex Muntyan

This week's incidents share a single thread: credentials stolen weeks or months ago are still opening doors. Patching the vulnerability that enabled the theft doesn't invalidate what was already taken. Three cases from this week make that point in different ways:

• FortiBleed confirmed that over 15,000 verified Fortinet admin and VPN credentials (collected from firewall config files across 100+ countries) are already in circulation. CISA's message was unambiguous: rotating credentials is not optional after a compromise, and software updates alone don't close the window.
• Operation Endgame disrupted the infrastructure behind Amadey and StealC, two of the most active infostealer families. Europol recovered around 27 million stolen credentials and seized hundreds of servers. The infrastructure is down; the credentials already in circulation are not.
• France's FICOBA breach required no exploit at all. An attacker used a single compromised civil servant account to browse 3.5 million bank records over two weeks: no software vulnerability, just an unmonitored credential left active.

The week also brought a supply chain breach at LastPass through a third-party SaaS platform, an actively exploited Cisco SD-WAN zero-day that gave attackers root access and hidden admin accounts for over two months, and a suspected 200 GB exfiltration from the Council of Europe claimed by ShinyHunters. 

On the industry side, Czech firm Wultra raised €3.5M for post-quantum authentication, and WALLIX partnered with Inria to address the growing machine identity problem: API keys, tokens, and service accounts that most organizations still can't fully inventory.

This digest covers 8 significant events from 22 to 29 June 2026.

FortiBleed: 15,000+ Fortinet admin credentials stolen across 100+ countries, CISA demands immediate rotation

Security researchers uncovered a large-scale credential harvesting campaign dubbed FortiBleed, which exposed more than 15,000 verified administrator and SSL VPN credentials for Fortinet FortiGate firewalls across 100+ countries. The credentials, collected over several years through compromised firewall configuration files, have been linked to organizations including Siemens, DHL, and a Turkish defense contractor. 

Why it matters: FortiBleed highlights a critical distinction: patching a vulnerability does not eliminate the risk once credentials have already been stolen. Following the disclosure, CISA urged organizations to act immediately:

• Terminate sessions and reset credentials. End all active SSL VPN and admin sessions. Reset all Fortinet VPN and admin passwords, especially on internet-facing systems.
• Ensure secure credential storage. Confirm use of PBKDF2 for storing administrator credentials and remove weaker legacy hashes per Fortinet's guidance.
• Review logs. Check firewall, VPN, authentication, and domain controller logs for lateral movement, suspicious accounts, or unauthorized configuration changes.
• Enable phishing-resistant MFA. Require phishing-resistant MFA on all remote access and admin accounts, including all external gateways and administrative interfaces.
• Reduce the attack surface and lock down management access. Keep firewall administration off the public internet, restrict management interfaces to trusted internal networks, and disable unnecessary accounts.

Sources: Dark Reading – 23 Jun 2026

LastPass customer support data stolen through Klue supply chain breach

LastPass notified users that customer support and sales data was stolen after attackers compromised Klue, a third-party market research platform. The extortion group Icarus reportedly abused OAuth tokens to access Salesforce data from around 20 cybersecurity companies, including LastPass, HackerOne, and Recorded Future. LastPass said password vaults were not affected, but the stolen data included customer names, phone numbers, email and physical addresses, support case details, and sales records. 

Why it matters: The incident shows how SaaS integrations can expose sensitive customer data even when core systems remain secure. For enterprises, the incident reinforces the need to assess third-party SaaS access, restrict OAuth permissions, monitor integration activity, and treat supplier governance as part of identity security. Under frameworks like NIS2, vendor risk and access control are becoming board-level security concerns.

Sources: TechCrunch – 23 Jun 2026

Operation Endgame: Europol seizes hundreds of servers, recovers 27 million stolen credentials from Amadey and StealC networks

An international law enforcement operation led by Europol disrupted the infrastructure behind the Amadey and StealC malware families, two of the most active credential-stealing platforms. Authorities seized hundreds of servers and domains, froze cryptocurrency linked to the operators, and recovered around 27 million stolen credentials. The operation involved several European countries, including Germany, France, the Netherlands and the UK. Microsoft estimated that these malware families infected hundreds of thousands of devices worldwide during recent campaigns.

Why it matters: This is one of the largest recent disruptions of the infostealer ecosystem. However, organizations should not assume the risk has disappeared. Millions of stolen passwords and session tokens are already circulating in criminal markets and will continue to fuel account takeover attacks. 

Source: The Hacker News / Europol – 24 Jun 2026

Cisco SD-WAN zero-day exploited for 2+ months: attackers gained root access and created hidden admin accounts

Cisco disclosed that attackers had been exploiting a zero-day vulnerability in Catalyst SD-WAN Manager for at least two months before disclosure. According to Mandiant, attackers obtained root privileges, modified administrator credentials, created hidden privileged accounts and removed forensic evidence to maintain long-term persistence. Cisco also released information about a related authentication bypass vulnerability affecting the same platform.

Why it matters: Many organizations treat network appliances as trusted infrastructure, yet these devices often hold highly privileged credentials. Once compromised, they provide attackers with persistent administrative access across the network. Patching should be paired with continuous monitoring of privileged identities.

Source: The Hacker News / Google Mandiant – 25 Jun 2026

Compromised government credentials expose 3.5 million bank accounts in French FICOBA registry breach

French authorities disclosed that attackers used compromised government credentials to access FICOBA, the country's national bank account registry. Over a period of approximately two weeks, attackers viewed information linked to around 3.5 million bank accounts, including names, addresses and IBAN numbers. Authorities reported that the attacker abused an existing civil servant account rather than exploiting a software vulnerability.

Why it matters: The incident highlights that compromised credentials remain a major threat even in government systems. Strong identity controls are just as important as infrastructure security. As NIS2 enforcement expands across Europe, incidents like this show why identity security is becoming a board-level compliance issue.

Source: Shattered.io – 23 Jun 2026

ShinyHunters claims 200 GB stolen from Council of Europe HR and payroll systems

The ShinyHunters group claimed responsibility for breaching internal systems belonging to the Council of Europe and stealing more than 200 GB of HR and payroll information. The organization confirmed a cybersecurity incident, restricted access to affected systems and launched a forensic investigation. At the time of publication, the full scope of the compromise had not been confirmed.

Why it matters: Although attribution remains under investigation, the incident follows a growing pattern of attacks against public institutions using stolen credentials or phishing. European organizations should expect attackers to continue targeting identity systems rather than infrastructure alone. Strong access controls and rapid incident response remain essential for both public and private sectors.

Source: CyPro – 26 Jun 2026

Czech firm Wultra raises €3.5M to build post-quantum, phishing-resistant authentication for European banks

Czech cybersecurity company Wultra announced a €3.5 million Series A funding round to expand its authentication platform across Europe. The company develops phishing-resistant authentication technologies for banks, financial services and digital identity providers. The investment will support the adoption of post-quantum cryptography and authentication methods designed to meet upcoming European regulations, including PSD3, PSR and eIDAS 2.0.

Why it matters: European organizations are preparing not only for today's identity threats but also for future cryptographic risks. As regulators increasingly promote stronger digital identity standards, investments are shifting toward phishing-resistant and post-quantum authentication. The funding reflects growing demand for authentication technologies that can support long-term compliance while reducing dependence on passwords and legacy MFA methods.

Source: The Recursive – 29 Jun 2026

WALLIX and Inria partner to secure machine identities

European IAM/PAM vendor WALLIX and the French research institute Inria have announced a partnership to develop trusted AI solutions for securing machine identities. The collaboration aims to address the structural risks created by the rapid growth of non-human identities, including API keys, service accounts, tokens, and certificates used in automated workflows and CI/CD pipelines. 

Why it matters: Machine identities already outnumber human identities in most enterprise environments, and their numbers continue to grow with every new microservice and deployment pipeline. Yet many organizations still lack centralized control over these credentials, which remain scattered across configuration files, environment variables, and source code repositories. The growing attention from major European cybersecurity players confirms that machine identity management is becoming one of the top priorities for enterprise security.

Source: Industrial Cyber – 26 Jun 2026

This week's recap

Three things stand out as consistent gaps across this week's incidents:

• Credential rotation is treated as a post-breach task, not a routine one. In all three cases, rotating credentials before or immediately after the initial compromise would have contained the damage.
• Third-party SaaS access is largely unaudited. The LastPass breach came through a market research platform with OAuth access to Salesforce. Most security teams couldn't list every OAuth integration in their environment right now.
• Machine identities remain the least-governed credential class. The WALLIX/Inria announcement and the Cisco case both point to the same gap: API keys, service accounts, and tokens in pipelines that no one is actively monitoring.

The good news from Operation Endgame is real: taking down Amadey and StealC infrastructure matters. But millions of previously stolen credentials are still available to attackers.

Effective access management limits the value of stolen credentials, even after the original attack is over. Passwork brings password and secrets management into a single platform — with a REST API, Python SDK, and CLI for teams that need centralized control over machine credentials without the overhead of traditional PAM. Control your credentials before attackers do.

Shadow IT in 2026: Risks, detection, and how to manage it

Shadow IT in 2026 spans AI agents, orphaned SaaS accounts, and unmonitored LLM sessions — risks most organizations can’t see. Learn what’s changed, what it costs, and how a 6-step governance framework closes the gap.

Passwork BlogAlex Muntyan

Secrets rotation lifecycle: From creation to revocation

Secret rotation fails when it’s treated as a scheduled task rather than a lifecycle. This guide covers all seven stages — from creation and ownership to safe rotation, emergency revocation, and audit evidence.

Passwork BlogAlex Muntyan

Supply chain security guide: Vendor risks, regulations, access control in 2026

48% of breaches now involve a third party. This guide covers the attack patterns behind SolarWinds, MOVEit, and XZ Utils — and the access controls, credential management practices, and regulatory requirements that actually stop them.

Passwork BlogAlex Muntyan

Durante décadas, a resposta a «como se cria uma palavra-passe forte?» foi: acrescentar uma maiúscula, pôr um símbolo no fim, juntar um número. O problema é que, sujeitas a regras, as pessoas tornam-se previsíveis. A maiúscula vai para o início. O símbolo e o número vão para o fim. As ferramentas de quebra de palavras-passe sabem-no, porque foram treinadas com milhares de milhões de palavras-passe reais de pessoas que seguiram exatamente o mesmo instinto.

Tanto a memória humana como os algoritmos de quebra funcionam à base de padrões. Este é o conflito, e não desaparece ao acrescentar @ ao final do nome de um cão. Este guia explica os mecanismos, a única exceção e o que é, na prática, um sistema de credenciais sustentável.

Pontos principais

• Quanto mais fácil é memorizar uma palavra-passe, mais fácil é quebrá-la. A facilidade de memorização e a segurança puxam em sentidos opostos. Esta tensão é estrutural: decorre do modo como a memória humana funciona.
• As substituições de símbolos e as regras de complexidade não aumentam de forma significativa a segurança. Os algoritmos modernos de quebra de palavras-passe são treinados especificamente com estes padrões humanos previsíveis, o que permite aos atacantes contorná-las com ataques de força bruta otimizados.
• As diretrizes mais recentes do NIST SP 800-63B eliminam oficialmente as regras de complexidade obrigatórias e a rotação de 90 em 90 dias, e estabelecem um novo mínimo recomendado de 15 carateres.
• O único tipo de palavra-passe simultaneamente memorizável e criptograficamente forte é a frase-passe Diceware: palavras aleatórias escolhidas com dados, e não pelo utilizador.
• É necessário memorizar exatamente uma palavra-passe: a frase-passe mestra que desbloqueia o gestor de palavras-passe. Todas as outras credenciais devem ser geradas aleatoriamente e guardadas no cofre.

O que é uma palavra-passe forte

Uma palavra-passe forte é uma credencial que resiste tanto à adivinhação automatizada como a ataques dirigidos.  O NIST SP 800-63B fixa o mínimo em 8 carateres, recomenda que os sistemas aceitem até 64 carateres e elimina por completo as regras de complexidade obrigatórias em favor do comprimento e da unicidade. A base de trabalho prática para a maioria das equipas de segurança é de 12 a 16 carateres gerados aleatoriamente, com entropia superior a 75 bits.

Quatro parâmetros definem se uma palavra-passe cumpre essa base:

• Comprimento. A variável mais eficaz. Cada caráter adicional multiplica exponencialmente o espaço de pesquisa. Com 12 carateres, uma cadeia alfanumérica totalmente aleatória exige milhares de milhões de anos para ser quebrada por força bruta à velocidade atual do hardware. Com 8, essa janela reduz-se a horas. 
• Aleatoriedade. As palavras-passe escolhidas por pessoas concentram-se em torno de padrões previsíveis: nomes, datas, palavras do dicionário com substituições. Um gerador de palavras-passe elimina por completo essa concentração. Uma palavra-passe escolhida por uma pessoa é provavelmente mais fraca do que parece.
• Unicidade. Uma credencial por conta. Uma única palavra-passe comprometida dá acesso a todos os sistemas onde é utilizada. A reutilização transforma uma violação isolada numa oportunidade de movimento lateral.
• Sem expiração injustificada. O NIST SP 800-63B desaconselha expressamente a rotação periódica obrigatória. A rotação forçada produz incrementos previsíveis (Password1 → Password2) e leva os utilizadores a escolher palavras-passe de base mais fracas. Deve alterar-se uma credencial quando existirem indícios de comprometimento.

O paradoxo da memorização: Porque é que o cérebro é um fator de risco

Qualquer propriedade que torne uma palavra-passe mais fácil de memorizar torna-a também mais fácil de adivinhar. A memória humana codifica a informação através de padrões, associações e significado. Uma palavra-passe que fica na memória fá-lo porque se liga a algo já conhecido: uma palavra, uma data, um nome, uma forma no teclado. Essas mesmas ligações são precisamente o que as ferramentas de quebra exploram.

PassGAN (Generative Adversarial Network para quebra de palavras-passe) e ferramentas semelhantes são treinadas com milhares de milhões de credenciais divulgadas. Não experimentam aaaaaaa antes de p@ssword. Experimentam o que as pessoas realmente escolhem, pela ordem em que realmente o escolhem. Usar @ em vez de a em password dá p@ssword, que o PassGAN gera ao fim de apenas alguns milhares de tentativas, em menos de uma fração de segundo. Pôr a primeira letra em maiúscula e acrescentar 1 no fim são padrões que o modelo já viu milhões de vezes.

O comprimento e o conjunto de carateres são ambos importantes, mas não têm o mesmo peso. A tabela de palavras-passe de 2025 da Hive Systems, testada com 12 × RTX 5090 GPUs e bcrypt com fator de trabalho 10, mostra que uma palavra-passe de 8 carateres só com letras minúsculas é quebrada em três semanas. Com maiúsculas, números e símbolos, esse valor sobe para 164 anos com o mesmo hardware. Uma palavra-passe de 12 carateres com o mesmo conjunto completo de carateres mistos leva a tabela para a escala dos séculos.

A tabela é atualizada anualmente para refletir o hardware de GPU de consumo atual. A passagem da edição de 2024 para a de 2025 reflete tanto um hardware mais rápido como pressupostos mais realistas sobre a robustez dos hashes, retirados do que a Hive Systems observou em dados reais de violações.

Porque os conselhos tradicionais sobre palavras-passe estão obsoletos

As antigas regras de complexidade (oito carateres, uma maiúscula, um número, um símbolo) falharam porque estavam erradas quanto ao comportamento humano sob restrições. Enquanto o paradoxo da memorização descreve uma falha cognitiva, as regras de complexidade obrigatórias produziram uma falha de política sobreposta a essa.

Durante anos, a abordagem de quebra dominante foram os ataques de dicionário: ferramentas automatizadas que percorrem palavras conhecidas e substituições comuns. As equipas de segurança responderam impondo complexidade. O problema é que as pessoas sob pressão de complexidade são previsíveis. Quando lhes é pedido que acrescentem um símbolo, a maioria coloca-o no fim. Quando lhes é pedido que substituam uma letra, a maioria escolhe as mesmas substituições. As regras concebidas para aumentar a imprevisibilidade produziram uma nova camada de comportamento previsível.

A outra falha dos conselhos antigos era a política de rotação de 90 dias. As renovações forçadas produzem Summer2025! seguido de Fall2025!. O DBIR de 2026 da Verizon, que analisou mais de 22 000 violações confirmadas em 145 países, concluiu que a exploração de vulnerabilidades ultrapassou o roubo de credenciais como principal ponto de entrada das violações (31 %). O abuso de credenciais surge com 13 % como vetor de acesso inicial, mas esse valor considera apenas a primeira ação. O DBIR concluiu que o abuso de credenciais aparece em 39 % de todas as violações quando medido ao longo de toda a cadeia de ataque, o que o torna a técnica mais disseminada do conjunto de dados.

O comprimento é a principal defesa. Uma frase-passe de 15 carateres composta por palavras aleatórias é ordens de magnitude mais forte do que uma cadeia de 8 símbolos, e uma pessoa consegue de facto memorizá-la.

A nova norma: Diretrizes NIST SP 800-63B Rev. 4

NIST SP 800-63B Rev. 4 (2025) define a base atual para a segurança das palavras-passe. Quando a palavra-passe é o único fator de autenticação, os sistemas têm de exigir um mínimo de 8 carateres e devem exigir pelo menos 15 carateres. As regras de complexidade obrigatórias (símbolos, números e combinação de maiúsculas e minúsculas forçados) são expressamente eliminadas, tal como o ciclo de expiração de 90 dias. A verificação de novas palavras-passe em listas de credenciais conhecidas como comprometidas passa a ser obrigatória, e não opcional.

A mudança completa de política resume-se assim:

A lógica por trás da eliminação da complexidade está bem documentada. A investigação do próprio NIST concluiu que os requisitos de complexidade empurram os utilizadores para padrões previsíveis e aumentam os custos de suporte sem melhorar de forma significativa a resistência a ataques automatizados. O comprimento tem uma relação matemática direta com a dificuldade de quebra: cada caráter adicional multiplica exponencialmente o espaço de pesquisa.

Para os administradores de TI, a implicação prática é clara: é necessário atualizar as políticas de palavras-passe para exigir 15 ou mais carateres, remover as imposições arbitrárias de complexidade e implementar verificações em listas de palavras-passe comprometidas, como o conjunto de dados Have I Been Pwned, que o NIST refere expressamente. Deve deixar-se de forçar rotações por calendário.

Palavras-passe vs. frases-passe

Uma frase-passe é uma sequência de palavras aleatórias e não relacionadas, utilizada como credencial única. As palavras são mais fáceis de reter do que carateres aleatórios, e só o comprimento eleva a entropia muito acima do que a maioria das palavras-passe baseadas em carateres alcança. Quatro palavras já superam uma cadeia típica de 10 carateres com maiúsculas e minúsculas.

A entropia de uma palavra-passe mede o grau de imprevisibilidade de uma credencial, expressa em bits. Maior entropia significa mais combinações possíveis que um atacante tem de experimentar.

Tr0ub4dor&3 parece complexa. Mas é uma palavra do dicionário com substituições previsíveis, uma maiúscula no início e um símbolo e um número acrescentados no fim, um padrão que as ferramentas de quebra modelam explicitamente. A sua entropia efetiva é muito inferior à que aparenta.

correct horse battery staple ilustra diretamente o cálculo. Quatro palavras escolhidas aleatoriamente dessa lista dão aproximadamente 44 bits de entropia (log₂ de 2000⁴). Seis palavras aleatórias da lista Diceware (7776 palavras) produzem cerca de 77 bits, o suficiente para resistir a ataques de força bruta durante décadas com a velocidade de computação atual.

A palavra decisiva é «aleatória». «Adoro o meu cão Biscuit» é uma frase-passe, mas não é aleatória. Reflete informação pessoal e uma estrutura de frase natural que as ferramentas de quebra conseguem modelar. Uma frase-passe inventada por uma pessoa não é aleatória, precisamente porque foi inventada. A verdadeira aleatoriedade exige um método que retire por completo a escolha humana da equação.

Como criar uma palavra-passe forte que não se esquece

As técnicas abaixo resolvem um problema específico: como criar e memorizar uma única frase-passe mestra. Essa frase-passe tem uma única função: desbloquear o gestor de palavras-passe. Para todas as outras credenciais, a resposta é uma palavra-passe gerada aleatoriamente e guardada nesse gestor, e não uma frase-passe construída e memorizada pelo utilizador. 

O método Diceware

O método Diceware gera frases-passe criptograficamente aleatórias com dados físicos e uma lista de palavras normalizada. Como a aleatoriedade provém do lançamento dos dados e não de uma escolha humana, a frase-passe resultante tem entropia comprovável e contorna por completo o paradoxo da memorização.

1. Transfira a EFF Large Wordlist, que contém 7776 palavras indexadas por códigos de dados de cinco dígitos (por exemplo, 16132 = cleft).
2. Lance cinco dados de seis faces (ou um dado cinco vezes). Registe o resultado, por exemplo, 2-4-1-3-6.
3. Procure a palavra correspondente na lista da EFF. 24136 corresponde a dragster.
4. Repita os passos 2 e 3 mais cinco vezes para gerar uma frase-passe de seis palavras.
5. O resultado poderá ser: dragster cleft robin usage stomp anvil. Escreva-a temporariamente. 

Seis palavras da lista da EFF dão aproximadamente 77,5 bits de entropia. Esse é o objetivo. Cinco palavras (64,6 bits) são aceitáveis para a maioria dos casos de utilização; quatro palavras é o mínimo absoluto para uma palavra-passe mestra.

Sem dados? Utilizar um gerador

Se não houver dados físicos disponíveis, o gerador gratuito de frases-passe do Passwork aplica a mesma lógica no navegador. Funciona inteiramente a nível local: nada é guardado nem transmitido. É possível ajustar o número de palavras, os separadores e as maiúsculas conforme os requisitos. O resultado é igualmente aleatório de forma comprovável, tal como no Diceware, sem a consulta à lista de palavras.

O método da frase

O método da frase é mais adequado para quem precisa de criar rapidamente uma palavra-passe mestra forte sem dados. Escolhe-se uma frase com significado pessoal, mas não conhecida publicamente, e deriva-se uma palavra-passe a partir da sua estrutura.

• Frase de exemplo: «My first car was a 1998 Honda and I drove it to college.» (O meu primeiro carro foi um Honda de 1998 e conduzi-o até à faculdade.)
• Palavra-passe derivada: MfcWa1998HaIdItC

Resulta numa cadeia de 16 carateres, com maiúsculas, minúsculas e números, sem qualquer relação com o dicionário. A própria frase funciona como mnemónica: lembra-se a frase, não a palavra-passe.

A limitação: este método produz menos entropia do que o Diceware, porque as pessoas escolhem frases fáceis de memorizar, e essas frases seguem padrões gramaticais previsíveis. Deve usar-se apenas para a palavra-passe mestra quando o Diceware não for prático. Para tudo o resto, deve utilizar-se um gestor.

A técnica do palácio da memória

O palácio da memória (método dos loci) é uma técnica mnemónica para reter a frase-passe mestra gerada com o Diceware. Funciona associando cada palavra a um local físico específico de um espaço familiar: a casa, o trajeto para o trabalho, um edifício bem conhecido.

Para memorizar dragster cleft robin usage stomp anvil:

1. Escolha um percurso familiar por um espaço bem conhecido: porta de entrada, corredor, cozinha, sala, escadas, quarto.
2. Atribua uma palavra a cada local. Crie uma imagem vívida e invulgar: um dragster a rugir pela porta de entrada, uma rocha cleft a fender o chão do corredor, um robin pousado na bancada da cozinha.
3. Percorra mentalmente o trajeto, por ordem, várias vezes. Quanto mais estranha a imagem, mais fiável é a fixação.
4. Passadas 24 horas, teste a memorização sem consultar a frase-passe escrita. A maioria das pessoas consegue recordar as seis palavras após três ou quatro percursos mentais.

O palácio da memória funciona porque o cérebro codifica a informação espacial e visual de forma mais fiável do que cadeias abstratas. Não se está a memorizar dragster cleft robin usage stomp anvil. Está-se a memorizar um percurso pela casa.

Depois de memorizada a frase-passe, deve destruir-se a cópia escrita.

Saber construir e reter uma frase-passe mestra é uma competência útil. Mas a facilidade de memorização é uma restrição, e as restrições geram compromissos. Um gestor de palavras-passe elimina por completo essa restrição: gera credenciais com entropia total, guarda-as cifradas e recupera-as sem exigir que se memorize mais do que uma frase-passe. As técnicas acima servem para proteger essa única frase-passe. Tudo o resto deve ser gerado, não inventado.

A única norma: Uma frase-passe, tudo o resto num gestor de palavras-passe

O paradoxo da memorização tem uma única solução estrutural. Memoriza-se uma frase-passe mestra gerada aleatoriamente. Um gestor de palavras-passe gera e guarda tudo o resto, produzindo credenciais totalmente aleatórias e únicas para cada conta, que nunca é necessário ver, escrever nem memorizar. Esta estrutura mantém-se quer existam cinco contas, quer quinhentas.

Na prática, isto significa:

• Nenhuma reutilização de palavras-passe entre contas: cada credencial é única e gerada aleatoriamente
• Uma única coisa a memorizar: a frase-passe mestra criada com o Diceware
• Nenhuma decisão de segurança a tomar no início de sessão: o gestor trata da geração, do armazenamento e do preenchimento automático

O Passwork foi concebido para esta arquitetura. Está disponível numa implementação autoalojada ou como serviço cloud. Ambas as opções utilizam cifragem do lado do cliente AES-256: as credenciais são cifradas antes de saírem do dispositivo e o Passwork nunca vê palavras-passe em texto em claro.

Os dois modelos de implementação diferem numa só dimensão:

• A opção autoalojada mantém todos os dados dentro da própria infraestrutura
• A opção cloud elimina a sobrecarga operacional de gerir uma instância própria, sem alterar o modelo de cifragem

O controlo de acessos baseado em funções permite que os administradores atribuam permissões de cofres a equipas em vez de a indivíduos, o que é relevante quando se gerem credenciais para uma equipa e não apenas para uma única pessoa. Um novo engenheiro herda o acesso aos cofres certos no primeiro dia e perde-o no momento em que sai, sem necessidade de limpeza manual.

Para as equipas com requisitos de conformidade, os registos de auditoria do Passwork fornecem um histórico completo de quem acedeu a que credencial e quando, o tipo de documentação que os controlos SOC 2 CC6.1 e ISO 27001:2022 Anexo A 5.15 exigem. Os guias técnicos abordam a integração AD/LDAP, o SAML SSO e o acesso por REST API para as equipas que precisam de integrar a gestão de credenciais em fluxos de trabalho existentes.

Exemplos de palavras-passe fortes: Como é uma boa credencial em 2026

A coluna «utilização recomendada» é o ponto essencial. As palavras-passe Diceware e as derivadas de frases surgem uma só vez na vida, como credencial mestra. Todas as outras contas recebem uma palavra-passe gerada por máquina que nunca se vê, nunca se escreve e nunca é necessário memorizar.

Colocar em prática

O paradoxo da memorização não se resolve com atalhos: tem solução. Memorizar uma única coisa, gerada aleatoriamente, com um método que retira o cérebro do processo. Usá-la para desbloquear um gestor de palavras-passe que trata de todas as outras credenciais com uma aleatoriedade gerada por máquina em que ninguém precisa de pensar.

Gerar uma frase-passe Diceware de 6 palavras. Codificá-la com um palácio da memória. Colocar tudo o resto num cofre.

Perguntas frequentes

Gestão de palavras-passe para equipas: A solução de que toda a PME precisa

Guardar palavras-passe no Slack e em navegadores expõe a empresa a violações de dados. Descubra porque falham as ferramentas pessoais nas equipas, como processar com segurança a saída de colaboradores com um só clique e porque é que as diretrizes mais recentes do NIST desaconselham a rotação forçada de palavras-passe.

Passwork BlogAlex Muntyan

11 riscos da reutilização de palavras-passe e como evitá-los

Reutilizar uma palavra-passe parece inofensivo. Não é. Eis porque é que uma única credencial divulgada pode comprometer a segurança de toda a organização e como evitar que isso aconteça.

Passwork BlogAlex Muntyan

Caos de palavras-passe: Porque é um problema para a empresa e como resolvê-lo

Uma palavra-passe esquecida custa 70 dólares. Uma violação de dados custa 4,44 milhões de dólares. Ambas começam da mesma forma: credenciais partilhadas pelo Slack, guardadas em folhas de cálculo e nunca alteradas. Eis o que o caos de palavras-passe custa na realidade e como o eliminar.

Passwork BlogAlex Muntyan

Jahrzehntelang lautete die Antwort auf „Wie erstelle ich ein starkes Passwort?": Fügen Sie einen Großbuchstaben hinzu, setzen Sie ein Symbol ans Ende, hängen Sie eine Zahl an. Das Problem ist, dass Menschen unter Regeln vorhersehbar sind. Der Großbuchstabe steht am Anfang. Symbol und Zahl stehen am Ende. Cracking-Tools wissen das, weil sie mit Milliarden echter Passwörter von Menschen trainiert wurden, die genau demselben Instinkt folgten.

Sowohl das menschliche Gedächtnis als auch Cracking-Algorithmen arbeiten mit Mustern. Das ist der Konflikt, und er verschwindet nicht, indem Sie @ an den Namen Ihres Hundes anhängen. Dieser Leitfaden erklärt die Mechanismen, die einzige Ausnahme und wie ein nachhaltiges Zugangsdatensystem tatsächlich aussieht.

Wichtigste Erkenntnisse

• Je einfacher ein Passwort zu merken ist, desto einfacher ist es zu knacken. Merkbarkeit und Sicherheit ziehen in entgegengesetzte Richtungen. Diese Spannung ist strukturell bedingt: Sie ergibt sich aus der Funktionsweise des menschlichen Gedächtnisses.
• Symbolersetzungen und Komplexitätsregeln erhöhen die Sicherheit nicht wesentlich. Moderne Passwort-Cracking-Algorithmen sind speziell auf diese vorhersehbaren menschlichen Muster trainiert, sodass Angreifer sie mit optimierten Brute-Force-Angriffen umgehen können.
• Die aktuellen NIST SP 800-63B-Richtlinien streichen offiziell verpflichtende Komplexitätsregeln und 90-Tage-Rotationen und legen ein neues empfohlenes Minimum von 15 Zeichen fest.
• Der einzige Passworttyp, der sowohl merkbar als auch kryptografisch stark ist, ist eine Diceware-Passphrase: zufällige Wörter, die durch Würfel gewählt werden, nicht von Ihnen.
• Sie müssen sich genau ein Passwort merken: die Master-Passphrase, die Ihren Passwort-Manager entsperrt. Alle anderen Zugangsdaten sollten zufällig generiert und im Tresor gespeichert werden.

Was ist ein starkes Passwort

Ein starkes Passwort ist ein Zugangsdatum, das sowohl automatisierten Rateversuchen als auch gezielten Angriffen standhält. NIST SP 800-63B legt das Minimum auf 8 Zeichen fest, empfiehlt Systemen, bis zu 64 Zeichen zu akzeptieren, und streicht verpflichtende Komplexitätsregeln vollständig zugunsten von Länge und Einzigartigkeit. Der praktische Arbeitsstandard für die meisten Sicherheitsteams liegt bei 12-16 zufällig generierten Zeichen mit einer Entropie über 75 Bit.

Vier Parameter definieren, ob ein Passwort diese Baseline erfüllt:

• Länge. Die einzelne effektivste Variable. Jedes zusätzliche Zeichen multipliziert den Suchraum exponentiell. Bei 12 Zeichen erfordert eine vollständig zufällige alphanumerische Zeichenkette Milliarden von Jahren zum Brute-Forcen bei aktuellen Hardware-Geschwindigkeiten. Bei 8 Zeichen schrumpft dieses Fenster auf Stunden.
• Zufälligkeit. Von Menschen gewählte Passwörter gruppieren sich um vorhersehbare Muster: Namen, Daten, Wörterbuchwörter mit Ersetzungen. Ein Passwortgenerator eliminiert diese Gruppierung vollständig. Wenn Sie es gewählt haben, ist es wahrscheinlich schwächer, als es aussieht.
• Einzigartigkeit. Ein Zugangsdatum pro Account. Ein einzelnes kompromittiertes Passwort gewährt Zugriff auf jedes System, in dem es vorkommt. Wiederverwendung verwandelt einen isolierten Breach in eine Gelegenheit zur lateralen Bewegung.
• Kein Ablauf ohne Grund. NIST SP 800-63B lehnt verpflichtende periodische Rotation ausdrücklich ab. Erzwungene Rotation produziert vorhersehbare Inkremente (Password1 → Password2) und trainiert Benutzer, schwächere Basispasswörter zu wählen. Ändern Sie ein Zugangsdatum, wenn es Hinweise auf eine Kompromittierung gibt.

Das Merkbarkeits-Paradoxon: Warum Ihr Gehirn eine Schwachstelle ist

Jede Eigenschaft, die ein Passwort leichter merkbar macht, macht es auch leichter zu erraten. Das menschliche Gedächtnis kodiert Informationen durch Muster, Assoziationen und Bedeutung. Ein Passwort, das in Ihrem Gedächtnis haften bleibt, tut dies, weil es mit etwas verbunden ist, das Sie bereits kennen: ein Wort, ein Datum, ein Name, eine Tastaturform. Dieselben Verbindungen sind genau das, was Cracking-Tools ausnutzen.

PassGAN (Generative Adversarial Network für Passwort-Cracking) und ähnliche Tools sind mit Milliarden geleakter Zugangsdaten trainiert. Sie probieren nicht aaaaaaa vor p@ssword. Sie probieren die Dinge, die Menschen tatsächlich wählen, in der Reihenfolge, in der Menschen sie tatsächlich wählen. Das Ersetzen von @ für a in password ergibt p@ssword, das PassGAN innerhalb der ersten paar Tausend Versuche in weniger als einem Bruchteil einer Sekunde generiert. Den ersten Buchstaben großzuschreiben und 1 am Ende hinzuzufügen, sind Muster, die das Modell millionenfach gesehen hat.

Länge und Zeichensatz sind beide wichtig, aber nicht gleich wichtig. Die Passwort-Tabelle 2025 von Hive Systems, getestet gegen 12 × RTX 5090 GPUs mit bcrypt bei Arbeitsfaktor 10, zeigt, dass ein 8-Zeichen-Passwort, das nur Kleinbuchstaben verwendet, in drei Wochen fällt. Fügen Sie Großbuchstaben, Zahlen und Symbole hinzu, und diese Zahl erreicht 164 Jahre gegen dieselbe Hardware. Ein 12-Zeichen-Passwort mit demselben vollständigen gemischten Zeichensatz bringt die Tabelle in Jahrhunderte.

Die Tabelle wird jährlich aktualisiert, um aktuelle Consumer-GPU-Hardware widerzuspiegeln. Die Verschiebung von der Ausgabe 2024 zu 2025 spiegelt sowohl schnellere Hardware als auch realistischere Hash-Stärke-Annahmen wider, die aus dem gewonnen wurden, was Hive Systems in tatsächlichen Breach-Daten beobachtete.

Warum traditionelle Passwort-Ratschläge tot sind

Die alten Komplexitätsregeln (acht Zeichen, ein Großbuchstabe, eine Zahl, ein Symbol) scheiterten, weil sie sich bezüglich des menschlichen Verhaltens unter Einschränkungen irrten. Während das Merkbarkeits-Paradoxon ein kognitives Versagen beschreibt, produzierten verpflichtende Komplexitätsregeln ein Richtlinienversagen zusätzlich dazu.

Jahrelang war der dominierende Cracking-Ansatz der Wörterbuchangriff: automatisierte Tools, die bekannte Wörter und gängige Ersetzungen durchgingen. Sicherheitsteams reagierten mit verpflichtender Komplexität. Das Problem ist, dass Menschen unter Komplexitätsdruck vorhersehbar sind. Wenn sie aufgefordert werden, ein Symbol hinzuzufügen, fügen die meisten Menschen es am Ende hinzu. Wenn sie aufgefordert werden, einen Buchstaben zu ersetzen, wählen die meisten dieselben Ersetzungen. Die Regeln, die darauf ausgelegt waren, die Unvorhersehbarkeit zu erhöhen, produzierten eine neue Schicht vorhersehbaren Verhaltens.

Das andere Versagen alter Ratschläge war die 90-Tage-Rotationsrichtlinie. Erzwungene Zurücksetzungen produzieren Summer2025! gefolgt von Fall2025!. Der DBIR 2026 von Verizon, der über 22.000 bestätigte Breaches in 145 Ländern analysierte, stellte fest, dass die Ausnutzung von Schwachstellen den Diebstahl von Zugangsdaten als primären Breach-Einstiegspunkt überholt hat (31 %). Zugangsdaten-Missbrauch liegt bei 13 % als initialer Zugangsvektor, aber diese Zahl betrachtet nur die erste Aktion. Der DBIR stellte fest, dass Zugangsdaten-Missbrauch in 39 % aller Breaches auftaucht, wenn er über die gesamte Angriffskette gemessen wird — damit ist er die am weitesten verbreitete Technik im Datensatz.

Länge ist die primäre Verteidigung. Eine 15-Zeichen-Passphrase aus zufälligen Wörtern ist um Größenordnungen stärker als eine 8-Zeichen-Zeichenkette aus Symbolen, und ein Mensch kann sie tatsächlich behalten.

Der neue Standard: NIST SP 800-63B Rev. 4 Richtlinien

NIST SP 800-63B Rev. 4 (2025) legt die aktuelle Baseline für Passwortsicherheit fest. Wenn ein Passwort der einzige Authentifizierungsfaktor ist, müssen Systeme ein Minimum von 8 Zeichen verlangen und sollten mindestens 15 Zeichen verlangen. Verpflichtende Komplexitätsregeln (erzwungene Symbole, Zahlen, Groß-/Kleinschreibung) werden ausdrücklich gestrichen, ebenso der 90-Tage-Ablaufzyklus. Die Überprüfung neuer Passwörter gegen bekannte Breach-Zugangsdatenlisten ist jetzt erforderlich, nicht optional.

Die vollständige Richtlinienänderung sieht so aus:

Die Logik hinter dem Streichen der Komplexität ist gut dokumentiert. NISTs eigene Forschung ergab, dass Komplexitätsanforderungen Benutzer zu vorhersehbaren Mustern drängen und die Supportkosten erhöhen, ohne die Widerstandsfähigkeit gegen automatisierte Angriffe wesentlich zu verbessern. Länge hat eine direkte mathematische Beziehung zur Cracking-Schwierigkeit: Jedes zusätzliche Zeichen multipliziert den Suchraum exponentiell.

Für IT-Administratoren ist die praktische Implikation klar: Aktualisieren Sie Ihre Passwortrichtlinien, um 15+ Zeichen zu verlangen, entfernen Sie willkürliche Komplexitätsvorgaben und implementieren Sie Prüfungen gegen bekannte Breach-Passwortlisten wie den Have I Been Pwned-Datensatz, auf den NIST ausdrücklich verweist. Hören Sie auf, Rotationen nach einem Kalenderplan zu erzwingen.

Passwörter vs. Passphrasen

Eine Passphrase ist eine Sequenz zufälliger, nicht zusammenhängender Wörter, die als einzelnes Zugangsdatum verwendet wird. Wörter sind leichter zu behalten als zufällige Zeichen, und allein die Länge treibt die Entropie weit über das hinaus, was die meisten zeichenbasierten Passwörter erreichen. Vier Wörter übertreffen bereits eine typische 10-Zeichen-Zeichenkette mit Groß-/Kleinschreibung.

Passwort-Entropie misst, wie unvorhersehbar ein Zugangsdatum ist, ausgedrückt in Bit. Höhere Entropie bedeutet mehr mögliche Kombinationen, die ein Angreifer ausprobieren muss.

Tr0ub4dor&3 sieht komplex aus. Aber es ist ein Wörterbuchwort mit vorhersehbaren Ersetzungen, einem Großbuchstaben am Anfang und einem Symbol und einer Zahl am Ende — ein Muster, das Cracking-Tools explizit modellieren. Seine effektive Entropie ist weit niedriger, als es erscheint.

correct horse battery staple illustriert die Mathematik direkt. Vier zufällig aus dieser Liste gewählte Wörter ergeben ungefähr 44 Bit Entropie (log₂ von 2.000⁴). Sechs zufällige Wörter aus der Diceware-Liste (7.776 Wörter) erzeugen etwa 77 Bit — genug, um Brute-Force-Angriffen bei aktuellen Rechengeschwindigkeiten jahrzehntelang zu widerstehen.

Das kritische Wort ist zufällig. „Ich liebe meinen Hund Keks" ist eine Passphrase, aber sie ist nicht zufällig. Sie spiegelt persönliche Informationen und eine natürliche Satzstruktur wider, die Cracking-Tools modellieren können. Eine Passphrase, die Sie erfunden haben, ist nicht zufällig, weil Sie sie erfunden haben. Echte Zufälligkeit erfordert eine Methode, die die menschliche Wahl vollständig aus der Gleichung entfernt.

So erstellen Sie ein starkes Passwort, das Sie nicht vergessen

Die folgenden Techniken lösen ein spezifisches Problem: wie man eine einzelne Master-Passphrase erstellt und sich merkt. Diese Passphrase hat eine Aufgabe — Ihren Passwort-Manager zu entsperren. Für alle anderen Zugangsdaten, die Sie besitzen, ist die Antwort ein zufällig generiertes Passwort, das in diesem Manager gespeichert wird, keine Passphrase, die Sie konstruiert und auswendig gelernt haben.

Die Diceware-Methode

Die Diceware-Methode generiert kryptografisch zufällige Passphrasen unter Verwendung physischer Würfel und einer standardisierten Wortliste. Da die Zufälligkeit von Würfelwürfen stammt und nicht von menschlicher Wahl, hat die resultierende Passphrase nachweisbare Entropie und umgeht das Merkbarkeits-Paradoxon vollständig.

1. Laden Sie die EFF Large Wordlist herunter, die 7.776 Wörter enthält, die durch fünfstellige Würfelcodes indiziert sind (z. B. 16132 = cleft).
2. Würfeln Sie fünf sechsseitige Würfel (oder einen Würfel fünfmal). Notieren Sie das Ergebnis, zum Beispiel 2-4-1-3-6.
3. Suchen Sie das entsprechende Wort in der EFF-Liste. 24136 entspricht dragster.
4. Wiederholen Sie die Schritte 2-3 fünf weitere Male, um eine Sechs-Wort-Passphrase zu generieren.
5. Ihr Ergebnis könnte lauten: dragster cleft robin usage stomp anvil. Schreiben Sie es vorübergehend auf.

Sechs Wörter aus der EFF-Liste ergeben ungefähr 77,5 Bit Entropie. Das ist das Ziel. Fünf Wörter (64,6 Bit) sind für die meisten Anwendungsfälle akzeptabel; vier Wörter sind das absolute Minimum für ein Masterpasswort.

Keine Würfel? Verwenden Sie einen Generator

Wenn keine physischen Würfel verfügbar sind, wendet Passworks kostenloser Passphrasen-Generator dieselbe Logik in einem Browser an. Er läuft vollständig lokal — nichts wird gespeichert oder übertragen. Sie können die Wortanzahl, Trennzeichen und Großschreibung an Ihre Anforderungen anpassen. Die Ausgabe ist dasselbe nachweisbar zufällige Ergebnis wie bei Diceware, ohne das Nachschlagen in der Wortliste.

Die Satz-Methode

Die Satz-Methode eignet sich besser für Personen, die schnell ein starkes Masterpasswort erstellen müssen, ohne Würfel. Nehmen Sie einen Satz, der persönlich bedeutsam, aber nicht öffentlich bekannt ist, und leiten Sie ein Passwort aus seiner Struktur ab.

• Beispielsatz: „Mein erstes Auto war ein 1998er Honda und ich fuhr damit zur Uni."
• Abgeleitetes Passwort: MeAwe1998HuifdU

Dies erzeugt eine 15-Zeichen-Zeichenkette mit Groß-/Kleinschreibung und Zahlen, die keine Wörterbuchbeziehung hat. Der Satz selbst ist die Eselsbrücke: Sie merken sich den Satz, nicht das Passwort.

Die Einschränkung: Diese Methode erzeugt weniger Entropie als Diceware, weil Menschen merkbare Sätze wählen und merkbare Sätze vorhersehbaren grammatikalischen Mustern folgen. Verwenden Sie sie nur für das Masterpasswort, wenn Diceware nicht praktikabel ist. Für alles andere verwenden Sie einen Manager.

Die Gedächtnispalast-Technik

Der Gedächtnispalast (Loci-Methode) ist eine mnemonische Technik zum Behalten der Master-Passphrase, die Sie mit Diceware generiert haben. Sie funktioniert, indem jedes Wort mit einem bestimmten physischen Ort in einem vertrauten Raum verknüpft wird: Ihr Zuhause, Ihr Arbeitsweg, ein Gebäude, das Sie gut kennen.

Um sich dragster cleft robin usage stomp anvil zu merken:

1. Wählen Sie eine vertraute Route durch einen Raum, den Sie gut kennen: Ihre Haustür, Flur, Küche, Wohnzimmer, Treppe, Schlafzimmer.
2. Ordnen Sie jedem Ort ein Wort zu. Machen Sie das Bild lebendig und ungewöhnlich: ein Dragster, der durch Ihre Haustür rast, ein Spalt (cleft) im Felsen, der Ihren Flurboden teilt, ein Rotkehlchen (robin), das auf Ihrer Küchentheke sitzt.
3. Gehen Sie die Route mehrmals gedanklich durch, der Reihe nach. Je seltsamer das Bild, desto zuverlässiger bleibt es haften.
4. Nach 24 Stunden testen Sie das Erinnern, ohne auf die geschriebene Passphrase zu schauen. Die meisten Menschen können sich nach drei oder vier gedanklichen Durchgängen an alle sechs Wörter erinnern.

Der Gedächtnispalast funktioniert, weil das Gehirn räumliche und visuelle Informationen zuverlässiger kodiert als abstrakte Zeichenketten. Sie merken sich nicht dragster cleft robin usage stomp anvil. Sie merken sich einen Gang durch Ihr Haus.

Sobald die Passphrase auswendig gelernt ist, vernichten Sie die schriftliche Kopie.

Zu wissen, wie man eine Master-Passphrase konstruiert und behält, ist eine nützliche Fähigkeit. Aber Merkbarkeit ist eine Einschränkung, und Einschränkungen erzeugen Kompromisse. Ein Passwort-Manager entfernt diese Einschränkung vollständig: Er generiert Zugangsdaten mit voller Entropie, speichert sie verschlüsselt und ruft sie ab, ohne Sie zu bitten, sich an irgendetwas außer einer Passphrase zu erinnern. Die obigen Techniken existieren, um diese eine Passphrase zu schützen. Alles andere sollte generiert, nicht erfunden werden.

Der einzige Standard: Eine Passphrase, alles andere im Passwort-Manager

Das Merkbarkeits-Paradoxon hat eine einzige strukturelle Lösung. Sie merken sich eine zufällig generierte Master-Passphrase. Ein Passwort-Manager generiert und speichert alles andere und erzeugt vollständig zufällige, einzigartige Zugangsdaten für jedes Konto, die Sie nie sehen, eingeben oder sich merken müssen. Diese Struktur gilt, ob Sie fünf Konten oder fünfhundert haben.

In der Praxis bedeutet das:

• Keine Passwortwiederverwendung über Konten hinweg — jedes Zugangsdatum ist einzigartig und zufällig generiert.
• Eine Sache zum Merken — die Master-Passphrase, die Sie mit Diceware erstellt haben.
• Keine Sicherheitsentscheidungen beim Login — der Manager übernimmt Generierung, Speicherung und Autofill.

Passwork ist für diese Architektur gebaut. Es ist als selbstgehostete Bereitstellung oder als Cloud-Service verfügbar. Beide Optionen verwenden AES-256-Client-seitige Verschlüsselung: Zugangsdaten werden verschlüsselt, bevor sie Ihr Gerät verlassen, und Passwork sieht niemals Klartext-Passwörter.

Die beiden Bereitstellungsmodelle unterscheiden sich in einer Dimension:

• Die selbstgehostete Option behält alle Daten in Ihrer eigenen Infrastruktur.
• Die Cloud-Option entfernt den operativen Aufwand des Betriebs einer eigenen Instanz, ohne das Verschlüsselungsmodell zu ändern.

Rollenbasierte Zugriffskontrolle ermöglicht es Administratoren, Tresorberechtigungen an Teams statt an Einzelpersonen zuzuweisen — relevant, wenn Sie Zugangsdaten für ein Team verwalten und nicht nur für sich selbst. Ein neuer Ingenieur erbt ab dem ersten Tag Zugriff auf die richtigen Tresore und verliert ihn in dem Moment, in dem er geht, ohne dass manuelle Bereinigung erforderlich ist.

Für Teams mit Compliance-Anforderungen bieten Passworks Audit-Logs einen vollständigen Nachweis darüber, wer wann auf welches Zugangsdatum zugegriffen hat — die Art von Dokumentation, die SOC 2 CC6.1 und ISO 27001:2022 Annex A 5.15-Kontrollen erfordern. Die technischen Anleitungen behandeln AD/LDAP-Integration, SAML SSO und REST API-Zugriff für Teams, die Zugangsdatenverwaltung in bestehende Workflows einbetten müssen.

Beispiele für starke Passwörter: Wie gute Passwörter 2026 aussehen

Die Spalte „Empfohlene Verwendung" ist der Punkt. Diceware- und satzabgeleitete Passwörter erscheinen einmal in Ihrem Leben, als Master-Zugangsdatum. Jedes andere Konto erhält ein maschinell generiertes Passwort, das Sie nie sehen, nie eingeben und nie merken müssen.

In die Praxis umsetzen

Das Merkbarkeits-Paradoxon hat keinen Workaround — es hat eine Lösung. Merken Sie sich eine Sache, zufällig generiert, mit einer Methode, die Ihr Gehirn aus dem Prozess entfernt. Verwenden Sie diese, um einen Passwort-Manager zu entsperren, der alle anderen Zugangsdaten mit maschinell generierter Zufälligkeit verwaltet, über die Sie nie nachdenken müssen.

Generieren Sie eine 6-Wort-Diceware-Passphrase. Kodieren Sie sie mit einem Gedächtnispalast. Legen Sie alles andere in einen Tresor.

Häufig gestellte Fragen

Passwortverwaltung für Teams: Die Lösung, die jedes KMU braucht

Das Speichern von Passwörtern in Slack und Browsern setzt Ihr Unternehmen Breaches aus. Erfahren Sie, warum persönliche Tools für Teams versagen, wie Sie ausscheidende Mitarbeiter mit einem Klick sicher offboarden und warum die neuesten NIST-Richtlinien von erzwungener Passwortrotation abraten.

Passwork BlogAlex Muntyan

11 Risiken der Passwortwiederverwendung und wie Sie sie vermeiden

Ein Passwort wiederzuverwenden fühlt sich harmlos an. Ist es aber nicht. Hier erfahren Sie, warum ein geleaktes Zugangsdatum die gesamte Sicherheit Ihrer Organisation gefährden kann — und wie Sie das verhindern.

Passwork BlogAlex Muntyan

Passwort-Chaos: Warum es ein Geschäftsproblem ist und wie Sie es beheben

Ein vergessenes Passwort kostet 70 $. Ein Breach kostet 4,44 Millionen $. Beides beginnt gleich — Zugangsdaten, die über Slack geteilt, in Tabellen gespeichert und nie rotiert werden. Hier erfahren Sie, was Passwort-Chaos tatsächlich kostet und wie Sie es eliminieren.

Passwork BlogAlex Muntyan

Durante décadas, la respuesta a «¿cómo creo una contraseña segura?» fue: añada una mayúscula, ponga un símbolo al final, agregue un número. El problema es que los humanos bajo reglas son predecibles. La mayúscula va al principio. El símbolo y el número van al final. Las herramientas de descifrado lo saben, porque fueron entrenadas con miles de millones de contraseñas reales de personas que siguieron exactamente el mismo instinto.

Tanto la memoria humana como los algoritmos de descifrado funcionan con patrones. Ese es el conflicto, y no desaparece añadiendo @ al final del nombre de su mascota. Esta guía explica la mecánica, la única excepción y cómo es realmente un sistema de credenciales sostenible.

Puntos clave

• Cuanto más fácil es recordar una contraseña, más fácil es descifrarla. La memorabilidad y la seguridad tiran en direcciones opuestas. Esa tensión es estructural: proviene de cómo funciona la memoria humana.
• Las sustituciones de símbolos y las reglas de complejidad no aumentan significativamente la seguridad. Los algoritmos modernos de descifrado de contraseñas están entrenados específicamente en estos patrones humanos predecibles, lo que permite a los atacantes eludirlos con ataques de fuerza bruta optimizados.
• Las últimas directrices NIST SP 800-63B eliminan oficialmente las reglas de complejidad obligatorias y las rotaciones de 90 días, estableciendo un nuevo mínimo recomendado de 15 caracteres.
• El único tipo de contraseña que es memorable y criptográficamente fuerte es una frase de contraseña Diceware: palabras aleatorias elegidas por dados, no por usted.
• Solo necesita memorizar una contraseña: la frase de contraseña maestra que desbloquea su gestor de contraseñas. Todas las demás credenciales deben generarse aleatoriamente y almacenarse en la bóveda.

Qué es una contraseña segura

Una contraseña segura es una credencial que resiste tanto los intentos automatizados como los ataques dirigidos. NIST SP 800-63B establece el mínimo en 8 caracteres, recomienda que los sistemas acepten hasta 64 caracteres y elimina por completo las reglas de complejidad obligatorias en favor de la longitud y la unicidad. La base práctica de trabajo para la mayoría de los equipos de seguridad es de 12-16 caracteres generados aleatoriamente, con una entropía superior a 75 bits.

Cuatro parámetros definen si una contraseña cumple esa base:

• Longitud. La variable más efectiva. Cada carácter adicional multiplica el espacio de búsqueda exponencialmente. Con 12 caracteres, una cadena alfanumérica completamente aleatoria requiere miles de millones de años para descifrar por fuerza bruta a las velocidades de hardware actuales. Con 8, esa ventana se reduce a horas.
• Aleatoriedad. Las contraseñas elegidas por humanos se agrupan en torno a patrones predecibles: nombres, fechas, palabras de diccionario con sustituciones. Un generador de contraseñas elimina esa agrupación por completo. Si usted la eligió, probablemente sea más débil de lo que parece.
• Unicidad. Una credencial por cuenta. Una sola contraseña comprometida otorga acceso a cada sistema donde aparece. La reutilización transforma una brecha aislada en una oportunidad de movimiento lateral.
• Sin caducidad sin causa. NIST SP 800-63B desaconseja explícitamente la rotación periódica obligatoria. La rotación forzada produce incrementos predecibles (Password1 → Password2) y entrena a los usuarios a elegir contraseñas base más débiles. Cambie una credencial cuando haya evidencia de compromiso.

La paradoja de la memorabilidad: Por qué su cerebro es una vulnerabilidad

Cualquier propiedad que hace que una contraseña sea más fácil de recordar también la hace más fácil de adivinar. La memoria humana codifica información a través de patrones, asociaciones y significado. Una contraseña que permanece en su mente lo hace porque se conecta con algo que ya conoce: una palabra, una fecha, un nombre, una forma de teclado. Esas mismas conexiones son exactamente lo que explotan las herramientas de descifrado.

PassGAN (Red Generativa Adversarial para descifrado de contraseñas) y herramientas similares están entrenadas con miles de millones de credenciales filtradas. No prueban aaaaaaa antes de p@ssword. Prueban las cosas que los humanos realmente eligen, en el orden en que los humanos realmente las eligen. Sustituir @ por a en password le da p@ssword, que PassGAN genera dentro de los primeros miles de intentos en menos de una fracción de segundo. Poner mayúscula en la primera letra y añadir 1 al final son patrones que el modelo ha visto millones de veces.

La longitud y el conjunto de caracteres importan, pero no importan igual. La tabla de contraseñas de Hive Systems de 2025, probada contra 12 × RTX 5090 GPUs con bcrypt en factor de trabajo 10, muestra que una contraseña de 8 caracteres usando solo letras minúsculas cae en tres semanas. Añada mayúsculas, números y símbolos, y esa cifra alcanza 164 años contra el mismo hardware. Una contraseña de 12 caracteres con el mismo conjunto completo de caracteres mixtos lleva la tabla a siglos.

La tabla se actualiza anualmente para reflejar el hardware GPU de consumo actual. El cambio de la edición de 2024 a 2025 refleja tanto hardware más rápido como suposiciones de fortaleza de hash más realistas extraídas de lo que Hive Systems observó en datos reales de brechas.

Por qué los consejos tradicionales sobre contraseñas están obsoletos

Las antiguas reglas de complejidad (ocho caracteres, una mayúscula, un número, un símbolo) fallaron porque estaban equivocadas sobre el comportamiento humano bajo restricciones. Mientras que la paradoja de la memorabilidad describe un fallo cognitivo, las reglas de complejidad obligatorias produjeron un fallo de política sobre él.

Durante años, el enfoque de descifrado dominante fueron los ataques de diccionario: herramientas automatizadas recorriendo palabras conocidas y sustituciones comunes. Los equipos de seguridad respondieron exigiendo complejidad. El problema es que los humanos bajo presión de complejidad son predecibles. Cuando se les dice que añadan un símbolo, la mayoría lo añade al final. Cuando se les dice que sustituyan una letra, la mayoría elige las mismas sustituciones. Las reglas diseñadas para aumentar la imprevisibilidad produjeron una nueva capa de comportamiento predecible.

El otro fallo de los consejos antiguos fue la política de rotación de 90 días. Los restablecimientos forzados producen Summer2025! seguido de Fall2025!. El DBIR de 2026 de Verizon, que analizó más de 22.000 brechas confirmadas en 145 países, encontró que la explotación de vulnerabilidades ha superado al robo de credenciales como principal punto de entrada de brechas (31%). El abuso de credenciales se sitúa en el 13% como vector de acceso inicial, pero esa cifra solo mira la primera acción. El DBIR encontró que el abuso de credenciales aparece en el 39% de todas las brechas cuando se mide a lo largo de toda la cadena de ataque, convirtiéndolo en la técnica más generalizada del conjunto de datos.

La longitud es la defensa principal. Una frase de contraseña de 15 caracteres construida con palabras aleatorias es órdenes de magnitud más fuerte que una cadena de símbolos de 8 caracteres, y un humano puede realmente recordarla.

El nuevo estándar: Directrices NIST SP 800-63B Rev. 4

NIST SP 800-63B Rev. 4 (2025) establece la base actual para la seguridad de contraseñas. Cuando una contraseña es el único factor de autenticación, los sistemas deben requerir un mínimo de 8 caracteres y deberían requerir al menos 15 caracteres. Las reglas de complejidad obligatorias (símbolos forzados, números, mayúsculas y minúsculas) se eliminan explícitamente, al igual que el ciclo de caducidad de 90 días. Verificar las nuevas contraseñas contra listas de credenciales conocidas filtradas es ahora obligatorio, no opcional.

El cambio completo en la política se ve así:

La lógica detrás de eliminar la complejidad está bien documentada. La propia investigación de NIST encontró que los requisitos de complejidad empujan a los usuarios hacia patrones predecibles y aumentan los costes de soporte sin mejorar significativamente la resistencia a ataques automatizados. La longitud tiene una relación matemática directa con la dificultad de descifrado: cada carácter adicional multiplica el espacio de búsqueda exponencialmente.

Para los administradores de TI, la implicación práctica es clara: actualice sus políticas de contraseñas para requerir más de 15 caracteres, elimine los mandatos de complejidad arbitrarios e implemente verificaciones contra listas de contraseñas filtradas conocidas como el conjunto de datos de Have I Been Pwned, al que NIST hace referencia explícitamente. Deje de forzar rotaciones en un calendario programado.

Contraseñas vs. frases de contraseña

Una frase de contraseña es una secuencia de palabras aleatorias y no relacionadas usadas como una sola credencial. Las palabras son más fáciles de retener que los caracteres aleatorios, y la longitud por sí sola eleva la entropía muy por encima de lo que logran la mayoría de las contraseñas basadas en caracteres. Cuatro palabras ya superan a una cadena típica de 10 caracteres con mayúsculas y minúsculas.

La entropía de contraseña mide cuán impredecible es una credencial, expresada en bits. Mayor entropía significa más combinaciones posibles que un atacante debe probar.

Tr0ub4dor&3 parece compleja. Pero es una palabra de diccionario con sustituciones predecibles, una mayúscula al principio y un símbolo y número añadidos al final, un patrón que las herramientas de descifrado modelan explícitamente. Su entropía efectiva es mucho menor de lo que parece.

correct horse battery staple ilustra las matemáticas directamente. Cuatro palabras elegidas aleatoriamente de esa lista dan aproximadamente 44 bits de entropía (log₂ de 2.000⁴). Seis palabras aleatorias de la lista Diceware (7.776 palabras) producen alrededor de 77 bits, suficiente para resistir ataques de fuerza bruta durante décadas a las velocidades de computación actuales.

La palabra crítica es aleatorio. «Amo a mi perro Galleta» es una frase de contraseña, pero no es aleatoria. Refleja información personal y una estructura de oración natural que las herramientas de descifrado pueden modelar. Una frase de contraseña que usted inventó no es aleatoria, porque usted la inventó. La verdadera aleatoriedad requiere un método que elimine la elección humana de la ecuación por completo.

Cómo crear una contraseña segura que no olvidará

Las técnicas a continuación resuelven un problema específico: cómo crear y recordar una única frase de contraseña maestra. Esa frase de contraseña tiene un solo trabajo — desbloquear su gestor de contraseñas. Para todas las demás credenciales que posee, la respuesta es una contraseña generada aleatoriamente almacenada dentro de ese gestor, no una frase de contraseña que construyó y memorizó.

El método Diceware

El método Diceware genera frases de contraseña criptográficamente aleatorias usando dados físicos y una lista de palabras estandarizada. Debido a que la aleatoriedad proviene de tiradas de dados en lugar de elección humana, la frase de contraseña resultante tiene entropía demostrable y evita la paradoja de la memorabilidad por completo.

1. Descargue la lista de palabras grande de EFF, que contiene 7.776 palabras indexadas por códigos de dados de cinco dígitos (p. ej., 16132 = cleft).
2. Lance cinco dados de seis caras (o un dado cinco veces). Registre el resultado, por ejemplo, 2-4-1-3-6.
3. Busque la palabra correspondiente en la lista de EFF. 24136 corresponde a dragster.
4. Repita los pasos 2-3 cinco veces más para generar una frase de contraseña de seis palabras.
5. Su resultado podría ser: dragster cleft robin usage stomp anvil. Escríbalo temporalmente.

Seis palabras de la lista de EFF dan aproximadamente 77,5 bits de entropía. Ese es el objetivo. Cinco palabras (64,6 bits) es aceptable para la mayoría de casos de uso; cuatro palabras es el mínimo absoluto para una contraseña maestra.

¿Sin dados? Use un generador

Si no hay dados físicos disponibles, el generador gratuito de frases de contraseña de Passwork aplica la misma lógica en un navegador. Se ejecuta completamente en local — nada se almacena ni transmite. Puede ajustar el número de palabras, separadores y capitalización según sus requisitos. El resultado es el mismo resultado demostrablemente aleatorio que Diceware, sin la búsqueda en la lista de palabras.

El método de la oración

El método de la oración es más adecuado para personas que necesitan crear una contraseña maestra segura rápidamente sin dados. Tome una oración que sea personalmente significativa pero no públicamente conocida, y derive una contraseña de su estructura.

• Oración de ejemplo: «Mi primer coche fue un Honda de 1998 y lo conduje a la universidad.»
• Contraseña derivada: MpcfuHd1998ylcalu

Esto produce una cadena de 17 caracteres con mayúsculas y minúsculas y números que no tiene relación con el diccionario. La oración misma es el mnemotécnico: recuerda la oración, no la contraseña.

La limitación: este método produce menos entropía que Diceware porque los humanos eligen oraciones memorables, y las oraciones memorables siguen patrones gramaticales predecibles. Úselo solo para la contraseña maestra cuando Diceware no sea práctico. Para todo lo demás, use un gestor.

La técnica del palacio de la memoria

El palacio de la memoria (Método de Loci) es una técnica mnemotécnica para retener la frase de contraseña maestra que generó con Diceware. Funciona asociando cada palabra con una ubicación física específica en un espacio familiar: su casa, su ruta de desplazamiento, un edificio que conoce bien.

Para memorizar dragster cleft robin usage stomp anvil:

1. Elija una ruta familiar a través de un espacio que conoce bien: su puerta de entrada, pasillo, cocina, sala de estar, escaleras, dormitorio.
2. Asigne una palabra a cada ubicación. Haga la imagen vívida e inusual: un dragster rugiendo a través de su puerta de entrada, una roca hendida partiendo el suelo de su pasillo, un petirrojo sentado en la encimera de su cocina.
3. Recorra la ruta mentalmente, en orden, varias veces. Cuanto más extraña sea la imagen, más fiablemente permanece.
4. Después de 24 horas, pruebe el recuerdo sin mirar la frase de contraseña escrita. La mayoría de las personas pueden recordar las seis palabras después de tres o cuatro recorridos mentales.

El palacio de la memoria funciona porque el cerebro codifica la información espacial y visual de manera más fiable que las cadenas abstractas. No está memorizando dragster cleft robin usage stomp anvil. Está memorizando un paseo por su casa.

Una vez memorizada la frase de contraseña, destruya la copia escrita.

Saber cómo construir y retener una frase de contraseña maestra es una habilidad útil. Pero la memorabilidad es una restricción, y las restricciones producen compromisos. Un gestor de contraseñas elimina esa restricción por completo: genera credenciales con entropía completa, las almacena cifradas y las recupera sin pedirle que recuerde nada más allá de una frase de contraseña. Las técnicas anteriores existen para proteger esa única frase de contraseña. Todo lo demás debe generarse, no inventarse.

El único estándar: Una frase de contraseña, todo lo demás en un gestor de contraseñas

La paradoja de la memorabilidad tiene una única solución estructural. Memoriza una frase de contraseña maestra generada aleatoriamente. Un gestor de contraseñas genera y almacena todo lo demás, produciendo credenciales completamente aleatorias y únicas para cada cuenta que nunca necesita ver, escribir ni recordar. Esa estructura se mantiene tanto si tiene cinco cuentas como quinientas.

En la práctica, esto significa:

• Cero reutilización de contraseñas entre cuentas — cada credencial es única y generada aleatoriamente.
• Una sola cosa que memorizar — la frase de contraseña maestra que creó con Diceware.
• Sin decisiones de seguridad que tomar al iniciar sesión — el gestor maneja la generación, almacenamiento y autocompletado.

Passwork está diseñado para esta arquitectura. Está disponible como despliegue autoalojado o como servicio en la nube. Ambas opciones utilizan cifrado AES-256 del lado del cliente: las credenciales se cifran antes de salir de su dispositivo, y Passwork nunca ve las contraseñas en texto plano.

Los dos modelos de despliegue difieren en una dimensión:

• La opción autoalojada mantiene todos los datos dentro de su propia infraestructura.
• La opción en la nube elimina la carga operativa de ejecutar su propia instancia sin cambiar el modelo de cifrado.

El control de acceso basado en roles permite a los administradores asignar permisos de bóveda a equipos en lugar de a individuos — relevante si gestiona credenciales para un equipo en lugar de solo para usted mismo. Un nuevo ingeniero hereda acceso a las bóvedas correctas desde el primer día y lo pierde en el momento en que se va, sin necesidad de limpieza manual.

Para equipos con requisitos de cumplimiento, los registros de auditoría de Passwork proporcionan un registro completo de quién accedió a qué credencial y cuándo — el tipo de documentación que requieren los controles SOC 2 CC6.1 e ISO 27001:2022 Anexo A 5.15. Las guías técnicas cubren la integración con AD/LDAP, SAML SSO y acceso REST API para equipos que necesitan integrar la gestión de credenciales en flujos de trabajo existentes.

Ejemplos de contraseñas seguras: Cómo luce una buena contraseña en 2026

La columna de «uso recomendado» es el punto. Las contraseñas Diceware y derivadas de oraciones aparecen una vez en su vida, como la credencial maestra. Todas las demás cuentas obtienen una contraseña generada por máquina que nunca ve, nunca escribe y nunca necesita recordar.

Poniéndolo en práctica

La paradoja de la memorabilidad no tiene un rodeo — tiene una solución. Memorice una cosa, generada aleatoriamente, usando un método que elimine su cerebro del proceso. Use eso para desbloquear un gestor de contraseñas que maneje todas las demás credenciales con aleatoriedad generada por máquina en la que nunca tiene que pensar.

Genere una frase de contraseña Diceware de 6 palabras. Codifíquela con un palacio de la memoria. Ponga todo lo demás en una bóveda.

Preguntas frecuentes

Gestión de contraseñas para equipos: La solución que toda pyme necesita

Almacenar contraseñas en Slack y navegadores expone su negocio a brechas. Descubra por qué las herramientas personales fallan para los equipos, cómo dar de baja de forma segura a empleados que se van con un clic, y por qué las últimas directrices NIST recomiendan no forzar la rotación de contraseñas.

Passwork BlogAlex Muntyan

11 riesgos de reutilización de contraseñas y cómo evitarlos

Reutilizar una contraseña parece inofensivo. No lo es. Aquí le explicamos por qué una sola credencial filtrada puede desmoronar toda la seguridad de su organización — y cómo evitar que suceda.

Passwork BlogAlex Muntyan

Caos de contraseñas: Por qué es un problema empresarial y cómo solucionarlo

Una contraseña olvidada cuesta $70. Una brecha cuesta $4,44 millones. Ambas empiezan igual — credenciales compartidas por Slack, almacenadas en hojas de cálculo, nunca rotadas. Esto es lo que realmente cuesta el caos de contraseñas y cómo eliminarlo.

Passwork BlogAlex Muntyan