Schwache oder wiederverwendete Passwörter zählen nach wie vor zu den gefährlichsten Sicherheitslücken in Unternehmen. Sicherheitsexperte Jake Moore fasst zusammen, worüber sich die IT-Security-Community einig ist – und was in vielen Betrieben noch immer ignoriert wird.
Passwortsicherheit im Unternehmen: Drei Empfehlungen, auf die Experten sich einigen
Cyberangriffe auf Unternehmen beginnen erschreckend oft dort, wo die Abwehr am schwächsten ist: beim Passwort. Dabei existieren klare, wissenschaftlich fundierte Empfehlungen, die in der Fachwelt als Konsens gelten. Das Problem liegt nicht am fehlenden Wissen – sondern an der mangelnden Umsetzung.
Länge schlägt Komplexität
Eine der hartnäckigsten Fehlannahmen in der Unternehmenspraxis ist, dass ein Passwort mit Sonderzeichen und Ziffern automatisch sicher ist. Sicherheitsexperten sehen das anders: Entscheidend ist vor allem die Länge.
Ein kurzes Passwort wie „P@ssw0rd!” ist für moderne Brute-Force-Angriffe innerhalb von Sekunden zu knacken. Ein längerer, aus zufälligen Wörtern zusammengesetzter Satz – eine sogenannte Passphrase – erfordert dagegen ein Vielfaches an Rechenaufwand.
Das US-amerikanische National Institute of Standards and Technology (NIST) empfiehlt Passwörter mit mindestens 15 Zeichen – ohne zwingend auf Sonderzeichenmuster zu bestehen.
Die entsprechend aktualisierten NIST-Richtlinien markieren einen klaren Paradigmenwechsel, der in vielen Unternehmens-IT-Policies noch nicht angekommen ist.
Passwort-Wiederverwendung bleibt das größte Risiko
Mitarbeiter, die dasselbe Passwort für mehrere Dienste nutzen, setzen das gesamte Unternehmen einem erhöhten Risiko aus. Wird ein Dienst kompromittiert und die Zugangsdaten in einem sogenannten Credential-Dump veröffentlicht, können Angreifer diese direkt gegen Unternehmenskonten testen – ein als Credential Stuffing bekannter Angriffsvektor.
Abhilfe schafft der unternehmensweite Einsatz eines Password Managers, der für jeden Dienst einzigartige, zufällig generierte Passwörter erstellt und speichert. Bewährte Tools für Business-Umgebungen:
- Bitwarden – Open Source, zentral verwaltbar
- 1Password – ausgereiftes Team-Management
- KeePass – lokal betriebene Alternative
Alle drei lassen sich in den meisten IT-Umgebungen mit überschaubarem Aufwand einführen und zentral administrieren.
Multi-Faktor-Authentifizierung als zweite Verteidigungslinie
Selbst ein starkes, einzigartiges Passwort bietet keinen vollständigen Schutz, wenn es durch Phishing oder einen Datenbankeinbruch abgegriffen wird.
Die Kombination mit Multi-Faktor-Authentifizierung (MFA) reduziert das Angriffsrisiko nach Angaben von Microsoft um bis zu 99 Prozent.
Empfohlen werden Authenticator-Apps oder Hardware-Token. SMS-basierte Codes gelten dagegen als weniger sicher, da sie anfällig für SIM-Swapping-Angriffe sind.
Für besonders schutzbedürftige Systeme – etwa ERP-Zugänge oder Cloud-Administrationskonten – sollte MFA als verbindliche Pflichtanforderung definiert werden.
Regelmäßige Passwortänderungen: Eine überholte Praxis
Ein weiterer Punkt, bei dem Expertenmeinung und gelebte IT-Richtlinien weit auseinanderklaffen: Der erzwungene Passwortwechsel alle 90 Tage gilt inzwischen als kontraproduktiv.
Nutzer reagieren auf solche Vorgaben typischerweise mit minimalen Anpassungen:
Aus „Sommer2024!” wird „Herbst2024!” – die Sicherheit bleibt dabei auf dem gleichen niedrigen Niveau.
Sowohl das NIST als auch das britische National Cyber Security Centre (NCSC) empfehlen stattdessen: Passwörter nur dann ändern, wenn ein konkreter Verdacht auf eine Kompromittierung besteht.
Handlungsbedarf für deutsche Unternehmen
Für Betriebe in Deutschland ergibt sich ein klarer Fahrplan: Veraltete IT-Richtlinien, die auf Sonderzeichenpflicht und erzwungenen Passwortwechseln beruhen, sollten auf Basis aktueller NIST-Empfehlungen überarbeitet werden.
Die Kombination aus unternehmensweitem Password Manager und MFA-Pflicht für kritische Systeme lässt sich in den meisten Betrieben mit überschaubarem Aufwand umsetzen – und erhöht das Sicherheitsniveau messbar.
Angesichts der gestiegenen Anforderungen durch NIS2 und die DSGVO ist das kein optionaler Schritt mehr, sondern Teil einer grundlegenden Compliance-Hygiene.
Quelle: New Scientist Tech – „The 3 things you need to know about passwords from a security expert”
