Mit sicheren Identitäten gegen den Datenklau

Passwort-Manager als Grundpfeiler des IAM

| Autor / Redakteur: Gerald Beuchelt / Peter Schmitz

Das Investment in einen Passwort-Manager lohnt sich, denn IT-Abteilungen können dadurch sehr einfach die IT-Sicherheit erhöhen.
Das Investment in einen Passwort-Manager lohnt sich, denn IT-Abteilungen können dadurch sehr einfach die IT-Sicherheit erhöhen. (Bild: gemeinfrei / Pixabay)

Die IT-Sicherheit steht heute ganz oben auf der Agenda in Unternehmen. Doch während es an Antiviren-Tools, Firewalls und Backup-Routinen in der Regel nicht mangelt, wird das schwächste Glied oft vernachlässigt – der eigene Mitarbeiter. So fehlt es Organisationen nicht selten an einer klaren Strategie für das Identity- und Access-Management (IAM) – und die beginnt mit den Passwörtern.

2,2 Milliarden E-Mail-Adressen mitsamt Passwörtern: Was Anfang des Jahres unter der Bezeichnung „Collection #1-5“ frei zugänglich im Internet kursierte, lässt IT-Sicherheits­experten noch heute die Haare zu Berge stehen. Gleichzeitig weisen Security-Profis gebetsmühlenartig darauf hin, wie essenziell sichere Codes für Datenschutz und -sicherheit sind. Totzukriegen sind Kombinationen wie „123456“, „hallo123“ oder gar „passwort“ trotzdem nicht. Sie zählen zu den zehn beliebtesten Passwörtern deutscher User.

123456 ist auch aus DSGVO-Sicht ein schlechtes Passwort

Nachholbedarf bei der Passwortsicherheit

123456 ist auch aus DSGVO-Sicht ein schlechtes Passwort

17.10.18 - Unsichere Passwörter, zugängliches Impressum, fehlende Verschlüsselung: Obwohl sich die meisten DSGVO-Anforderungen für Online-Anwendungen vergleichsweise einfach umsetzen lassen, gehen viele Unternehmen und Mitarbeiter auch bei einfachsten Themen weiterhin fahrlässig mit dem Datenschutz um. lesen

Doch woran liegt es, dass sich das Problem mit Passwörtern partout nicht in den Griff bekommen lässt? Vieles hängt mit der Bequemlichkeit von Anwendern zusammen. Oft siegt die Faulheit beim Anlegen eines Accounts. Hinzu kommt, dass persönliche Gewohnheiten und geschäftliche Prozesse zunehmend miteinander verschmelzen. Mitarbeiter nutzen mehrere mobile Endgeräte für geschäftliche und private Zwecke (Stichwort: Bring your own device). Darüber hinaus teilen Anwender häufig Passwörter mit Kollegen und verwenden dieselben Zugangsdaten für unterschiedliche Accounts. All das öffnet Cyber-Kriminellen Tür und Tor – entweder, weil sich entwendete Zugangsdaten gleich für mehrere Accounts nutzen lassen, oder weil Logins mit einfachen Methoden wie Brute-Force-Attacken ausgehebelt werden können.

Passwort-Manager: Datensicherheit mit System

Um die Datensicherheit auf dem Benutzer-Level schlagartig erhöhen zu können, empfiehlt sich die Einführung eines Passwort-Managers. Ein von LogMeIn erstellter Passwortsicherheitsreport aus dem Jahr 2018 etwa zeigt, dass Unternehmen, die einen Passwort-Manager wie LastPass einsetzen, bereits nach einem Jahr einen um 15 Punkte höheren Sicherheitswert (LastPass-Sicherheitswert siehe Kasten) erreichen und eine jährliche Steigerung erzielen. Hier haben sich SaaS-Lösungen durchgesetzt. Sie haben den Vorteil, dass sie für die IT-Abteilung mit minimalem Aufwand zu implementieren sind und Mitarbeitern einen einfachen und sicheren Zugriff bieten.

Dabei sollten IT-Entscheider unter anderem darauf achten, dass ein Passwort-Manager eine Datenbank mit End-to-End-Verschlüsselung, ein sicheres Verschlüsselungsverfahren wie AES oder Blowfish und das Generieren zufälliger Passwörter unterstützt. Hinzu kommen Funktionen wie ein übersichtliches Dashboard, das automatische Ausfüllen von Login-Feldern und der Check für unsichere Passwörter und Dubletten. Zu den empfohlenen Features gehören weiterhin die Möglichkeit, Zugangsdaten zu deaktivieren, sobald ein Mitarbeiter die Organisation verlassen hat und eine zusätzliche Sicherheitsebene durch Multifaktor-Authentifizierung. Ein Anwender muss dafür nicht nur etwas wissen, nämlich das Passwort, sondern zusätzlich über einen Token verfügen, der über eine App generiert wird oder einen Fingerabdruck per Scanner einbringen, um Zugang zu seinem Account zu erhalten.

Ergänzendes zum Thema
 
Der LastPass-Sicherheitswert

Das Change-Management nicht unterschätzen

Passwortmanagement bedeutet Change-Management. Wichtig ist bei der Einführung eines Passwort-Managers, dass Mitarbeiter der Lösung offen gegenüberstehen und lernen, damit effektiv und selbstverständlich umzugehen. Dafür sollte die Organisation nicht nur ein Konzept zur Implementierung eines Passwort-Managers erstellen sowie fundierte Authentifizierungs- und Passwortrichtlinien einführen, sondern auch frühzeitig auf Kommunikation und Aufklärung setzen. Auch lassen sich die Richtlinien und der Umgang durch Schulungen und regelmäßige Trainings verankern.

Kennwortverwaltung für Unternehmen

Enterprise Password Management

Kennwortverwaltung für Unternehmen

28.10.16 - Das Kennwort-Management im Unternehmen ist zu wichtig, um es über ein Excel-Dokument zu erledigen. In diesem Beitrag stellen wir sechs Passwort-Management-Lösungen für Teams, Firmen und externe Mitarbeiter vor, mit der Zugangsdaten sicher gespeichert und verschlüsselt getauscht werden können. Wahlweise aus der Cloud oder für die lokale Installation im Unternehmen. lesen

Passwort-Manager entlasten IT-Abteilungen

Idealerweise erlaubt es die Lösung der IT-Abteilung, die aktuelle Passwortsicherheit von Anwendern zu analysieren. Damit lässt sich feststellen, wie oft identische Login-Informationen über verschiedene schützenswerte Applikationen hinweg wiederverwendet werden. Die Einhaltung von Richtlinien kann effektiv kontrolliert werden, indem die IT-Abteilung auf einem zentralen Dashboard Einblicke in potenzielle Risikobereiche wie schwache und mehrfach verwendete Passwörter, niedrige Passwortqualität sowie inaktive Konten erhält.

Dafür sollte eine entsprechende Lösung mit dem Active-Directory synchronisiert und ein Single Sign-On ermöglicht werden. Ein weiterer wichtiger Aspekt ist das so genannte Zero-Knowledge-Sicherheitskonzept. Dabei handelt es sich um ein Vorgehen, bei dem selbst der SaaS-Anbieter eines Passwort-Managers keinen Zugriff auf die von ihm gehosteten Kundenpasswörter erhält. Auch regelmäßige Penetrationstests spielen eine wichtige Rolle, wenn es darum geht, das Sicherheitsbewusstsein im Unternehmen nachhaltig zu stärken. Mit ihrer Hilfe lassen sich Einfallstore für Hacker erkennen und durch entsprechende Sicherheitsmaßnahmen schließen. Fest steht: Das Investment in einen Passwort-Manager lohnt sich.

Über den Autror: Gerald Beuchelt ist CISO von LogMeIn / LastPass.

Beliebte Passwort-Manager im Überblick

Kennwortverwaltung

Beliebte Passwort-Manager im Überblick

01.02.17 - Programme zur Kennwortverwaltung sind praktisch und nehmen dem Anwender das Merken langer Zeichenkombinationen ab. Passwort-Manager gehören inzwischen ins Arsenal von IT-Profis. In diesem Artikel stellen wir mehrere Lösungen vor. Neben Cloud-basierten Applikationen und lokal installierten Managern zeigen wir drei Lösungen, die Kennwörter nicht speichern sondern bei Bedarf berechnen. lesen

Stiftung Warentest testet Passwort Manager

Passwortmanager unter der Lupe

Stiftung Warentest testet Passwort Manager

16.10.17 - Die Stiftung Warentest hat sich Programme zur Speicherung und Verwaltung von Kennwörtern angesehen. Neun Programme waren im Test, neben Cloud-Diensten wie Dashlane und LastPass haben die Tester auch lokale Programme wie F-Secure Key und Kaspersky Passwort Manager überprüft. lesen

Mit KeePass Passwörter im Griff

Tool-Tipp: KeePass

Mit KeePass Passwörter im Griff

23.07.19 - Die steigende Anzahl an Diensten im Internet, bedeuten auch eine steigende Anzahl an Anmeldedaten. Will man für jeden Login ein eigenes Passwort verwenden helfen Passwort-Manager wie das kostenlose Open-Source-Tool „KeePass“ dabei, nicht den Überblick zu verlieren. KeePass gibt es für Windows, macOS und Linux, auch eine mobile Nutzung unter iOS und Android ist möglich. lesen

Password Manager – Nein Danke?

Pro und Contra Passwort-Manager

Password Manager – Nein Danke?

02.03.18 - Ohne Passworte geht es nicht! Ein Login Bildschirm am PC, der Account für das Onlinebanking, die Web-Bestellseite, das Login für das Social Media-Netzwerk, überall wird man nach einem Passwort gefragt. Selbiges soll möglichst kompliziert sein, Sonderzeichen enthalten und nicht bereits an anderer Stelle Verwendung finden. Eine Anforderung, die eher einer Herausforderung gleicht und nicht wenige Anwender vor Probleme stellt. Doch die Lösung ist nah. Es gibt Passwort-Manager, die sich hier als universelles Utility präsentieren und alle Problem lösen. lesen

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 46040620 / Passwort-Management)