Schwache oder wiederverwendete Passwörter gehören nach wie vor zu den häufigsten Einfallstoren für Cyberangriffe – doch trotz jahrelanger Warnungen bleibt die Umsetzung bewährter Sicherheitsprinzipien in vielen Unternehmen erschreckend lückenhaft.
Passwortsicherheit im Unternehmen: Drei Grundsätze, die wirklich zählen
Länge schlägt Komplexität
Ein verbreiteter Irrglaube in der IT-Sicherheit ist, dass Passwörter besonders komplex sein müssen – also eine Mischung aus Sonderzeichen, Zahlen sowie Groß- und Kleinbuchstaben. Tatsächlich ist die schiere Länge der entscheidende Faktor. Ein Passwort aus vier zufälligen, aber alltäglichen Wörtern – sogenannte Passphrases – ist für automatisierte Angriffswerkzeuge weitaus schwerer zu knacken als ein kurzes, kryptisches Zeichenwirrwarr, das sich Mitarbeiter kaum merken können.
Das National Institute of Standards and Technology (NIST) hat seine Empfehlungen zuletzt entsprechend angepasst: Länge und Einzigartigkeit stehen im Vordergrund – erzwungene Sonderzeichen-Kombinationen hingegen nicht mehr.
Passwort-Wiederverwendung ist das eigentliche Risiko
Das größte praktische Sicherheitsrisiko in Unternehmen ist nicht das schwache Einzelpasswort, sondern dessen Wiederverwendung über mehrere Dienste hinweg. Wird ein Zugangsdatensatz bei einem Drittanbieter kompromittiert – etwa durch einen Datenbankabfluss –, testen Angreifer diese Kombinationen automatisiert bei anderen Plattformen. Dieser Ansatz, bekannt als Credential Stuffing, ist niedrigschwellig und weit verbreitet.
Für Unternehmen bedeutet das: Auch wenn die eigene Infrastruktur sicher ist, können kompromittierte Zugangsdaten aus externen Quellen zum Problem werden. Die Nutzung eines Password Managers löst dieses Problem strukturell, indem für jeden Dienst ein einzigartiges, zufällig generiertes Passwort verwendet wird.
Multi-Faktor-Authentifizierung ist keine Option, sondern Standard
Selbst ein starkes, einzigartiges Passwort bietet keinen ausreichenden Schutz, wenn es abgefangen oder durch Phishing erbeutet wird. Multi-Faktor-Authentifizierung (MFA) – also die Kombination aus Passwort und einem zweiten Verifizierungsschritt wie einer Authenticator-App oder einem Hardware-Token – reduziert das Angriffsrisiko deutlich.
Viele Angriffe, die auf gestohlenen Zugangsdaten basieren, scheitern bereits an einer konsequent durchgesetzten MFA-Policy.
Dennoch verzichten viele Unternehmen auf eine verpflichtende Einführung – häufig mit Verweis auf den Komfortverlust für Mitarbeiter.
Technische Maßnahmen brauchen organisatorische Begleitung
Technische Lösungen wie Password Manager oder MFA entfalten ihre Wirkung nur dann vollständig, wenn sie unternehmensweit verbindlich eingeführt und durch Schulungen begleitet werden. Sicherheitsrichtlinien, die lediglich auf Papier existieren, aber nicht im Arbeitsalltag verankert sind, bieten keinen realen Schutz.
Regelmäßige Awareness-Trainings, klare IT-Richtlinien und ein zentrales Identity Management sind dabei keine Luxus-Maßnahmen, sondern Teil einer grundlegenden Risikominimierung.
Für deutsche Unternehmen, die unter der Datenschutz-Grundverordnung (DSGVO) operieren, hat das Thema eine zusätzliche Dimension: Unzureichende Zugangssicherung kann im Falle eines Datenlecks als organisatorisches Versäumnis gewertet werden und empfindliche Bußgelder nach sich ziehen.
Die Einführung eines unternehmensweiten Password Managers in Kombination mit verpflichtender MFA gilt mittlerweile als Mindeststandard – und lässt sich auch in mittelständischen Strukturen mit überschaubarem Aufwand umsetzen.
Quelle: New Scientist Tech
