Trotz moderner Sicherheitstechnologien bleibt das Passwort eine der meistgenutzten Angriffsflächen in Unternehmen – dabei lassen sich die entscheidenden Schutzmaßnahmen auf drei klare Prinzipien reduzieren.
Passwort-Sicherheit 2025: Drei Grundsätze, die Unternehmen kennen sollten
Trotz ausgereifter Sicherheitstechnologien bleibt das Passwort eine der häufigsten Angriffsflächen in Unternehmensumgebungen. Sicherheitsexperten mahnen, dass viele Organisationen grundlegende Schutzmaßnahmen noch immer nicht konsequent umsetzen. Dabei lassen sich die wichtigsten Handlungsfelder auf drei klare Prinzipien reduzieren.
1. Länge schlägt Komplexität
Ein verbreiteter Irrtum in der IT-Sicherheit lautet, dass ein Passwort mit Sonderzeichen, Großbuchstaben und Ziffern automatisch sicher ist. Sicherheitsexperten widersprechen dieser Annahme deutlich.
Entscheidend ist vor allem die Länge eines Passworts – nicht seine vermeintliche Komplexität.
Sogenannte Passphrasen – mehrere zufällige Wörter aneinandergereiht – sind statistisch schwieriger zu knacken als kurze, zeichenreiche Konstrukte. Unternehmen sollten ihre Passwort-Richtlinien entsprechend anpassen und Mindestlängen von 16 Zeichen einfordern, anstatt sich auf Sonderzeichen-Kombinationen zu verlassen.
2. Passwort-Wiederverwendung als systemisches Risiko
Ein einzelnes kompromittiertes Passwort kann erheblichen Schaden anrichten – sofern es für mehrere Dienste genutzt wird. Credential-Stuffing-Angriffe, bei denen gestohlene Zugangsdaten automatisiert gegen zahlreiche Plattformen getestet werden, gehören zu den häufigsten Angriffsmethoden.
Besonders in Unternehmensumgebungen, wo Mitarbeitende private und berufliche Accounts bisweilen mit identischen Passwörtern absichern, entstehen so systemische Schwachstellen.
Die Lösung: Passwort-Manager generieren für jeden Dienst ein einzigartiges, starkes Passwort – und speichern es sicher.
Enterprise-Lösungen lassen sich zentral verwalten und in bestehende Identity-Management-Systeme integrieren – eine der kosteneffizientesten Sicherheitsinvestitionen überhaupt.
3. Multi-Faktor-Authentifizierung als Mindeststandard
Selbst ein starkes, einzigartiges Passwort bietet keinen ausreichenden Schutz, wenn es durch Phishing oder Datenlecks in fremde Hände gelangt. Multi-Faktor-Authentifizierung (MFA) gilt inzwischen als unverzichtbare Ergänzung – und nicht mehr als optionales Feature.
Sicherheitsexperten empfehlen dabei:
- App-basierte Authenticator-Lösungen gegenüber SMS-basierter Verifizierung (anfällig für SIM-Swapping)
- Hardware-Tokens oder FIDO2-konforme Sicherheitsschlüssel für privilegierte Accounts und Systemadministratoren
MFA ist keine Option mehr – sie ist der Mindeststandard moderner Unternehmens-IT.
Menschlicher Faktor bleibt zentrale Schwachstelle
Technische Maßnahmen allein lösen das Problem nicht. Passwort-Hygiene muss aktiv in der Unternehmenskultur verankert werden. Regelmäßige Schulungen, klare Richtlinien und eine niedrigschwellige Meldepflicht bei Sicherheitsvorfällen sind ebenso wichtig wie die technische Infrastruktur.
Mitarbeitende, die den Grund hinter Sicherheitsanforderungen verstehen, halten diese erfahrungsgemäß zuverlässiger ein.
Einordnung für deutsche Unternehmen
Für Unternehmen in Deutschland gewinnt das Thema auch regulatorisch an Gewicht: Die NIS2-Richtlinie, die seit Oktober 2024 in nationales Recht umgesetzt werden muss, stellt explizit höhere Anforderungen an das Zugangsdaten-Management in kritischen Sektoren.
IT-Verantwortliche sollten die drei Kernprinzipien – Passwortlänge, Einzigartigkeit und MFA – als absoluten Mindeststandard betrachten und bestehende Richtlinien zeitnah auf Lücken prüfen.
Quelle: New Scientist Tech
