Sonderzeichen, monatliche Resets, Komplexitätsvorgaben: Viele Passwortrichtlinien in deutschen Unternehmen sind veraltet – und machen Systeme im schlimmsten Fall sogar angreifbarer. Was Sicherheitsexperten heute wirklich empfehlen.
Passwort-Sicherheit: Was wirklich zählt – und was Unternehmen falsch machen
Komplexe Sonderzeichen, regelmäßige Passwort-Wechsel, monatliche Resets: Viele Sicherheitsrichtlinien in deutschen Unternehmen basieren auf Annahmen, die Experten längst revidiert haben. Sicherheitsforscher Jake Moore vom Cybersicherheitsunternehmen ESET fasst zusammen, worauf es beim Passwortschutz tatsächlich ankommt – und räumt dabei mit einigen hartnäckigen Irrtümern auf.
Länge schlägt Komplexität
Die verbreitete Anforderung, Passwörter müssten Großbuchstaben, Ziffern und Sonderzeichen enthalten, greift zu kurz. Entscheidend für die Sicherheit eines Passworts ist vor allem seine Länge. Ein langes, einprägsames Passphrase – also eine Kombination mehrerer zufälliger Wörter – ist einem kurzen, kryptischen Zeichenmix in der Praxis überlegen.
Brute-Force-Angriffe stoßen bei ausreichender Passwortlänge rechnerisch an ihre Grenzen – unabhängig davon, ob Sonderzeichen enthalten sind oder nicht.
Empfohlen werden Passwörter mit mindestens 16 Zeichen. Passphrases aus vier bis fünf zufälligen, nicht zusammenhängenden Wörtern erfüllen dieses Kriterium und sind gleichzeitig leichter zu merken.
Regelmäßige Passwort-Wechsel sind meist kontraproduktiv
Eine der am weitesten verbreiteten Unternehmensrichtlinien – der erzwungene Passwortwechsel alle 30, 60 oder 90 Tage – hat sich in der Praxis als wenig wirksam erwiesen. Das National Institute of Standards and Technology (NIST) hat diese Empfehlung bereits 2017 aus seinen Richtlinien gestrichen.
Der Grund: Wenn Nutzer gezwungen werden, Passwörter regelmäßig zu ändern, wählen sie vorhersehbare Muster.
Aus „Sommer2024!” wird „Herbst2024!” – eine Änderung, die keinen echten Sicherheitsgewinn bringt.
Passwörter sollten laut Experten nur dann geändert werden, wenn ein konkreter Verdacht auf Kompromittierung besteht – etwa nach einem bekannten Datenleck. Dienste wie „Have I Been Pwned” ermöglichen es, E-Mail-Adressen gegen Datenbanken bekannter Leaks abzugleichen.
Passwort-Manager sind keine Option, sondern Standard
Der durchschnittliche Mitarbeiter verwaltet Dutzende Accounts. Wer für jeden einen einzigartigen, langen Passcode verwenden soll, kommt ohne technische Unterstützung nicht aus. Passwort-Manager lösen dieses Problem: Sie generieren starke, einzigartige Passwörter und speichern sie sicher – der Nutzer muss sich nur noch ein einziges Master-Passwort merken.
Kritisch bleibt dabei der Umgang mit dem Master-Passwort selbst sowie die Wahl eines vertrauenswürdigen Anbieters. Für Unternehmen empfehlen sich Business-Varianten etablierter Lösungen, die zentrale Verwaltung, Zugriffskontrolle und Audit-Logs bieten.
Multi-Faktor-Authentifizierung als unverzichtbare Ergänzung
Auch das stärkste Passwort schützt nicht vor allen Angriffsvektoren – etwa vor Phishing oder kompromittierten Endgeräten. Multi-Faktor-Authentifizierung (MFA) gilt daher als unverzichtbare Ergänzung, kein Ersatz.
Besonders bei privilegierten Zugängen, Cloud-Diensten und Remote-Zugängen sollte MFA verpflichtend sein.
Einordnung für deutsche Unternehmen: Auch eine Compliance-Frage
Für Unternehmen in Deutschland ist das Thema auch regulatorisch relevant: Die NIS2-Richtlinie, die seit Oktober 2024 in nationales Recht überführt wurde, schreibt für betroffene Organisationen explizit technische und organisatorische Maßnahmen zur Zugangssicherung vor.
Eine Überprüfung bestehender Passwortrichtlinien auf Basis aktueller NIST- oder BSI-Empfehlungen ist damit nicht nur eine Frage der IT-Hygiene, sondern zunehmend auch eine Compliance-Anforderung. IT-Verantwortliche, die ihre internen Richtlinien noch nicht aktualisiert haben, sollten dies kurzfristig auf die Agenda setzen.
Quelle: New Scientist Tech – „The 3 things you need to know about passwords from a security expert”
