Vereinspraxis
Vereinsdaten schützen: Passwortrichtlinie und Zwei-Faktor
Ein übernommener Administratorzugang ist für einen Verein der schlimmste denkbare Vorfall. Nicht wegen der Mitgliederliste — wegen allem, was daran hängt: Bankverbindungen, SEPA-Mandate, Rechnungen, Adressen von Kindern.
Und es ist kein hypothetisches Risiko. Vereine sind attraktive Ziele, weil sie personenbezogene Daten in Mengen führen und die Zugänge in der Regel schlechter gesichert sind als in Betrieben.
Was diese Seite regelt
Zwei Dinge, die für alle Konten des Vereins gelten:
- Passwortrichtlinie — Mindestlänge und Zeichenanforderungen.
- Zwei-Faktor-Authentifizierung — ob sie verlangt wird.
Wer diese Einstellungen ändern darf, hängt am Recht „Organisation bearbeiten“. Fehlt es, bleiben die Felder gesperrt — mit dem Hinweis, welches Recht fehlt. Das ist konsequent: Wer die Sicherheit des Vereins einstellen darf, sollte ausdrücklich dazu berechtigt sein.
Passwortrichtlinie: was wirklich hilft
Die Schalter: Mindestlänge, Großbuchstabe, Kleinbuchstabe, Ziffer, Sonderzeichen verlangen.
Was die Forschung dazu sagt, ist inzwischen eindeutig und widerspricht dem, was viele Vereine tun: Länge schlägt Komplexität. Ein Passwort aus vier zufälligen Wörtern ist sicherer und besser zu merken als Tr1kot!.
Konkret bewährt:
| Einstellung | Empfehlung |
|---|---|
| Mindestlänge | 12 Zeichen, besser 14 |
| Großbuchstabe | optional |
| Ziffer | optional |
| Sonderzeichen | eher nicht verlangen |
Warum keine Sonderzeichen erzwingen: Zwang zu Sonderzeichen führt zu Passwort1! und zu Zetteln unter der Tastatur. Wer stattdessen Länge verlangt, bekommt bessere Passwörter.
Die Richtlinie greift ab der nächsten Passwortänderung — bestehende Passwörter werden nicht ungültig. Das ist gewollt: Eine Umstellung, die 600 Mitglieder gleichzeitig aussperrt, wäre schlimmer als das Problem.
Zwei-Faktor-Authentifizierung
Ein zweiter Faktor macht ein gestohlenes Passwort wertlos. Das ist der ganze Punkt — und der Grund, warum die Frage „ist das für einen Verein nicht übertrieben?“ mit Nein zu beantworten ist, jedenfalls für Administratorkonten.
Der Schalter Zwei-Faktor-Authentifizierung verlangen setzt sie für alle Konten des Vereins durch. Und es gibt einen Hinweis, der sich lohnt: „Dein eigener Zugang erfüllt die Pflicht noch nicht.“ Wer die Pflicht einführt, ohne sie selbst zu erfüllen, sperrt sich beim nächsten Anmelden aus.
Die Reihenfolge ist also:
- Eigenen zweiten Faktor einrichten.
- Anderen Administratoren Zeit geben, dasselbe zu tun.
- Pflicht einschalten.
Wer Zwei-Faktor nicht für alle einführen will, sollte sie mindestens für Administratoren verlangen. Ein Mitgliedskonto ohne besondere Rechte ist ein anderes Risiko als ein Zugang, der Bankdaten ändern kann.
Passkeys: der bessere Weg
Neben Passwort und zweitem Faktor gibt es Passkeys — die Anmeldung über Fingerabdruck, Gesichtserkennung oder Geräte-PIN, ohne Passwort.
Für einen Verein ist das aus zwei Gründen interessant:
- Nicht abfischbar. Ein Passkey lässt sich nicht durch eine gefälschte Anmeldeseite abgreifen, weil er an die echte Adresse gebunden ist. Phishing ist der häufigste Angriffsweg, und Passkeys schließen ihn.
- Einfacher. Kein Passwort zu merken bedeutet auch: keine Passwort-Zurücksetzung, die der Administrator bearbeiten muss.
Passkeys wirken auch für angebundene Anwendungen: Weil die Anmeldung immer bei Methacore stattfindet, gilt derselbe Passkey für Forum, Shop und Buchungswerkzeug.
Was diese Seite nicht leistet
Sicherheit hat mehr Bestandteile als eine Richtlinie. Drei Dinge, die daneben gehören:
- Rechte. Der wirksamste Schutz ist ein Konto, das nur das kann, was es braucht.
- Änderungsprotokoll und Protokolle. Wer wann was geändert hat und wer sich von welcher IP-Adresse angemeldet hat. Ohne Protokoll ist ein Vorfall nicht aufklärbar.
- Verhalten. Keine geteilten Konten, keine Passwörter per E-Mail, Zugänge beim Ausscheiden entfernen.
Was tun, wenn ein Vorfall vermutet wird
Die Reihenfolge, in fünf Schritten:
- Passwörter der betroffenen Konten ändern, zweiten Faktor neu einrichten.
- Zugänge entziehen, die nicht mehr gebraucht werden.
- Angebundene Anwendungen prüfen — abschalten und, bei Verdacht, Secret erneuern.
- Protokolle ansehen — Anmeldungen mit fremden IP-Adressen, geänderte Bankverbindungen.
- Meldepflicht prüfen. Bei einer Datenschutzverletzung mit Risiko für Betroffene gilt eine Meldefrist von 72 Stunden gegenüber der Aufsichtsbehörde. Diese Frist ist der Grund, warum Schritt 4 nicht drei Wochen dauern darf.
Das ist eine Einordnung aus der Vereinspraxis und keine Rechtsberatung.
Häufige Fragen
Welche Passwortregeln sind sinnvoll?
Mindestens 12 Zeichen, besser 14, ohne Zwang zu Sonderzeichen. Länge ist wirksamer als Komplexität, und erzwungene Sonderzeichen führen zu schlechteren, aufgeschriebenen Passwörtern.
Ist Zwei-Faktor-Authentifizierung für einen Verein übertrieben?
Für Administratorkonten nein — dort hängen Bankdaten und Mitgliederdaten daran. Für einfache Mitgliedskonten ist es eine Abwägung; Passkeys sind dort oft der bequemere Weg zum gleichen Ziel.
Was ist ein Passkey?
Eine Anmeldung ohne Passwort, über Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Sie ist an die echte Adresse gebunden und damit gegen Phishing geschützt.
Was passiert, wenn ein Mitglied seinen zweiten Faktor verliert?
Dafür gibt es Wiederherstellungscodes, die beim Einrichten erzeugt werden. Sie gehören ausgedruckt oder in einen Passwortmanager — nicht in dasselbe Telefon, auf dem der zweite Faktor läuft.