Die Abkürzung, die auf Dauer zum Risiko wird
Die meisten Probleme mit einem gemeinsamen Postfach beginnen mit einem Satz, der harmlos klingt: „Wir nehmen einfach alle dasselbe Passwort.“
Ein paar Tage lang klappt das. Alle können die Adresse öffnen. Niemand muss Berechtigungen einrichten. Das Team beantwortet E-Mails von derselben Stelle aus.
Dann holt Sie der Alltag ein. Jemand verlässt das Team, und das Passwort steckt noch in seinem Handy. Ein Ehrenamtlicher hat es in eine Notiz kopiert. Der Browser hat es auf dem Familienrechner gespeichert. Eine Antwort geht zu schnell raus, und niemand weiß, wer sie geschickt hat. Das Konto verlangt eine Bestätigung, aber die Wiederherstellungsnummer gehört einer Person, die gerade im Urlaub ist.
Das Problem ist nicht, dass Ihr Team nachlässig wäre. Das Problem ist, dass ein geteiltes Passwort genau die Schutzmechanismen aushebelt, auf denen E-Mail-Systeme aufbauen: die Identität jeder einzelnen Person, die Kontrolle über Zugänge und die Nachvollziehbarkeit.
Risiko 1: Niemand weiß, wer was getan hat
Wenn alle mit denselben Zugangsdaten arbeiten, sieht jede Aktion so aus, als käme sie von derselben Person.
Wird eine E-Mail gelöscht, wissen Sie nicht, wer sie gelöscht hat. Geht eine Antwort im falschen Ton raus, wissen Sie nicht, wer sie geschrieben hat. Wird eine E-Mail mit einer Rechnung verändert oder weitergeleitet, lässt sich der Ablauf kaum rekonstruieren.
Für ein kleines Unternehmen ist das ein Risiko gegenüber den eigenen Kunden. Für eine Schule oder einen Verein ist es ein Risiko für die Kontinuität. Ein aufwendiges Prüfsystem brauchen Sie dafür nicht, aber Sie müssen wissen, wer welche E-Mail bearbeitet hat.
Ein echtes gemeinsames Postfach behält den Zugang pro Person bei. Das Team arbeitet weiter mit einer gemeinsamen Adresse, aber jede Person meldet sich mit ihrem eigenen Konto an. Genau das ist der Unterschied zwischen Teamarbeit und einem blinden Fleck.
Risiko 2: Zugänge bleiben offen, wenn Leute gehen
Kleine Organisationen verändern sich ständig. Eine Saisonkraft hört auf. Eine Sekretärin wechselt die Schule. Ein Ehrenamtlicher kümmert sich nicht mehr um die Mitgliedsanträge. Ein Vorstandsmitglied übergibt sein Amt.
War das Passwort geteilt, müssten Sie es eigentlich bei jedem Abschied ändern. In der Praxis wird das aufgeschoben, weil es lästig ist. Alle anderen müssen es auf ihren Geräten neu eingeben. Irgendwer sperrt sich aus. Und das neue Passwort wird wieder über einen unsicheren Kanal verschickt.
So überleben alte Zugänge.
Mit delegiertem Zugriff oder einem Werkzeug für ein gemeinsames Postfach nehmen Sie eine Person heraus, ohne den Rest des Teams zu stören. Das ist einfacher und sicherer.
Risiko 3: Die Schutzsysteme des Anbieters können Sie aussperren
Private wie geschäftliche E-Mail-Anbieter achten auf verdächtige Anmeldungen. Wird dasselbe Postfach von mehreren Geräten, Orten oder Netzwerken aus geöffnet, kann der Anbieter das als riskant einstufen.
Das kann Sicherheitsabfragen auslösen. Das Konto verlangt dann vielleicht einen Code, der an die Wiederherstellungsnummer geschickt wird. Gehört das Handy der falschen Person, steht im ungünstigsten Moment das ganze Team vor verschlossener Tür.
Für kleine Teams ist das besonders unangenehm, weil über die gemeinsame Adresse oft die dringenden Dinge laufen: Eltern, die ihr Kind krankmelden, Kunden, die ein Angebot möchten, Mitglieder, die Beiträge oder Unterlagen schicken.
Sicherer ist es, das Postfach unter dem Schutz seines Anbieters zu belassen und jede Person mit ihren eigenen Zugangsdaten mitarbeiten zu lassen.
Risiko 4: Phishing von innen und Rechnungsbetrug fallen schwerer auf
Viele heikle Vorgänge beginnen per E-Mail: Rechnungen, Bankverbindungen, Anfragen von Lieferanten, Spenden, Anmeldungen, persönliche Dokumente.
Teilt das ganze Team ein Konto, lässt sich ungewöhnliches Verhalten schwerer zuordnen. Hat jemand aus dem Team diese Weiterleitungsregel angelegt oder ein Angreifer? Hat jemand absichtlich zusätzliche Rechte vergeben? Warum fehlt plötzlich die Konversation mit einem Lieferanten?
Sicherheitsempfehlungen für Microsoft 365 und andere Systeme werten unerwartete Delegierungen oder geänderte Berechtigungen an einem Postfach als Warnsignal, das man im Blick behalten sollte. Kleine Teams haben selten Zeit, solche Details von Hand zu überwachen. Umso wichtiger ist eine saubere, einfache Zugangsverwaltung.
Das sichere Muster: eine gemeinsame Adresse, persönliche Zugänge
Sie müssen Ihre bestehende E-Mail-Adresse nicht aufgeben. Das sichere Vorgehen ist überschaubar:
- Behalten Sie die gemeinsame Adresse, etwa die Kontaktadresse oder die des Büros.
- Geben Sie das Passwort des Postfachs nicht mehr weiter.
- Geben Sie jedem Teammitglied einen eigenen Zugang.
- Sorgen Sie dafür, dass sich jede E-Mail einer Person zuordnen lässt, die sich darum kümmert.
- Entziehen Sie den Zugang sofort, wenn jemand geht.
Google Workspace und Microsoft 365 bringen beide eigene Berechtigungsmodelle mit. Trupeo geht weiter und ergänzt, was im Alltag fehlt: Es zeigt, wer sich um welche E-Mail kümmert, und bietet Notizen fürs Team, Labels sowie einen Hinweis, wenn jemand anderes gerade auf dieselbe E-Mail antwortet.
Wenn Sie noch überlegen, welches Modell passt, lesen Sie den Ratgeber zum gemeinsamen Postfach und den Artikel darüber, wie Sie ein Postfach teilen, ohne das Passwort zu teilen. Wenn Sie die Gewohnheit mit dem geteilten Passwort ablösen möchten, sehen Sie sich unsere Preise an.
Ein kurzer Check für Ihr Team
Stellen Sie fünf Fragen:
- Wer kennt derzeit das Passwort des Postfachs?
- Ist dieses Passwort auf privaten Geräten gespeichert?
- Können Sie einer Person den Zugang entziehen, ohne für die anderen etwas zu ändern?
- Können Sie sagen, wer letzten Monat auf eine heikle E-Mail geantwortet hat?
- Würde das Team weiterhin E-Mails erhalten, wenn die Person mit der Wiederherstellungsnummer nicht erreichbar ist?
Ist auch nur eine Antwort unklar, ist das Risiko bereits da. Es jetzt zu beheben ist viel einfacher, als später einen Vorfall im Postfach aufzuarbeiten.
Quellen:
- Gmail-Hilfe: Zugriff auf E-Mails delegieren und E-Mails gemeinsam bearbeiten: die offizielle Alternative zum geteilten Gmail-Passwort; eine bevollmächtigte Person liest, sendet und löscht E-Mails, kann aber das Passwort nicht ändern (Stand: Oktober 2026).
- Microsoft Learn: Informationen zu freigegebenen Postfächern in Microsoft 365: der Zugriff auf ein freigegebenes Postfach wird jeder Person über Berechtigungen gewährt, und Microsoft empfiehlt, die direkte Anmeldung am Konto des Postfachs zu blockieren und dessen Kennwort nicht zu verwenden (Stand: Oktober 2026).
- Elastic Security Docs: M365 Exchange Mailbox High-Risk Permission Delegated (auf Englisch): eine Erkennungsregel, die unerwartet vergebene Rechte an einem Postfach als mögliches Zeichen dafür wertet, dass sich ein Angreifer dauerhaften Zugriff auf ein Postfach sichert.