Sicheres Passwort-Management für Unternehmen Passwortschutz für Root- und Admin-Accounts

Der gebräuchlichste Zugangsschutz für alle Arten von IT-Systemen ist der Benutzername und das Passwort. Einfache, leicht zu knackende Passwörter sind das Haupt-Einfallstor für kriminelle Hacker. Um ihre IT vor unbefugtem Zugriff zu schützen, sollten Unternehmen speziell für die Verwendung von Administrator- und Root-Accounts strenge Passwort-Regeln einführen.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

Specops Software GmbH

CyberArk Software (DACH) GmbH

Laut dem Branchenverband BITKOM ändern 40 Prozent aller Deutschen ihre wichtigsten Zugangscodes nicht. Der Umgang mit Passwörtern im privaten Umfeld spiegelt sich durch gleiche Gewohnheiten im Unternehmensumfeld wider. Oft lassen Unternehmen schwache Passwörter zum Schutz von Benutzer-Accounts zu, obwohl sie rechtlich zu effektiveren Maßnahmen verpflichtet wären.

Das Bundesdatenschutzgesetz schreibt Betreibern von IT-Anlagen mit personenbezogenen Daten oder Datenkategorien vor, den unautorisierten Zugriff auf seine Daten zu unterbinden. Außerdem schreibt die EU-Richtlinie Basel II die Definition eines Regelwerks zum Umgang mit Passwörtern vor. Unternehmen, die an US-amerikanischen Börsen notiert sind, unterliegen zusätzlich dem Sarbanes-Oxley-Act und seinen Passwort-Vorschriften.

Um diesen Bestimmungen gerecht zu werden, sind Zugangsdaten und die mit ihnen verbundenen Kennwörter besonders zu schützen. Grundlegender Passwort-Schutz ist mit folgenden Richtlinien einfach herbeizuführen.

Regel 1: Sichere Passwortregeln

Passwörter müssen durch ihren Aufbau schwer zu knacken und möglichst komplex sein. Ein zyklischer Wechsel des Passworts, beispielsweise jeden Monat, stellt eine weitere Hürde für den Missbrauch von Passwörtern dar. Noch besser ist die Verwendung eines Kennwortgenerators mit Einmalpasswörtern, die nur einige Minuten gültig sind.

Seite 2: Regeln 2 bis 5 für sichere Passwörter

Regel 2: Sparsame Nutzung von Admin-Accounts

Passwörter von privilegierten Accounts sollten nur an Personen ausgegeben werden, die sie für die Erfüllung ihrer Aufgaben tatsächlich benötigen. Zusätzlich lässt sich der Sicherheitsgrad durch die Vergabe von Einmal-Passwörtern im Single-Sign-On-Verfahren steigern. So kann sich ein Administrator anmelden, ohne das eigentliche Passwort zu kennen.

Regel 3: Vertrauliche Passwörter statt Gruppenaccounts

Jeder Benutzer verfügt über seinen eigenen Account und ein eigenes, individuelles Passwort. Das sollte auch bei Funktions-Accounts wie dem Administrator oder dem Webmaster der Fall sein, da sich ein Gruppenpasswort für eine von vielen gleichzeitig verwendete Kennung nicht geheim halten lässt. Bei neu erstellten Accounts mit vordefinierten Passwörtern sollten die Anwender diese unverzüglich selbst ändern.

Regel 4: Kontrolle über fehlerhafte Anmeldeversuche

Fehlerhafte Anmeldeversuche sollten protokolliert werden. Zusätzlich ist es empfehlenswert, den Benutzer-Account bei einer gewissen Anzahl von Fehlversuchen zu sperren und die IP-Adresse, von der die Versuche ausgehen, zu speichern.

Regel 5: Systeme zur Verwaltung privilegierter Accounts

Die Gefahr, die von nachlässigem Umgang mit Passwörtern entspringt, ist dann besonders hoch, wenn es sich um privilegierte Accounts wie die von Superusern und Systemadministratoren handelt. Dafür sollten Sicherheitsmaßnahmen getroffen werden wie beispielsweise die Einführung eines Systems zur Verwaltung privilegierter Accounts.

Dafür eignet sich zum Beispiel die Privileged Identity Management Suite von Cyber-Ark: Sie bietet die vollständige Zugriffskontrolle für privilegierte Accounts, die Überwachung und Aufzeichnung privilegierter Sitzungen sowie die Verwaltung von Anwendungs- und Dienstzugangsdaten. Damit wird eine sichere Verwaltung der privilegierten Identitäten, Accounts und Kennwörter möglich.

(ID:2052612)