Passwort Richtlinien Best Practices für Passwort-Policies

Anbieter zum Thema

FTAPI Software GmbH

Starke Passwort-Policies gelten als eine erste Verteidigungslinie in jeder Organisation, um alle wichtigen Daten und Systeme vor Angreifern zu schützen. Welche Best Practices bieten sich an? Wie muss das IT-Team das Management von der Notwenigkeit zielführender Maßnahmen überzeugen?

Passwörter sind sowohl im Privat- als auch Geschäftsumfeld allgegenwärtig. Daher muss sich heute jeder eine Vielzahl von verschiedenen Kennwörtern merken, und es erscheint für die meisten fast unmöglich, sich für jedes davon einzigartige, komplexe Passwörter zu merken.

Dies führt dazu, dass Mitarbeiter sich leicht einzuprägende Passwörter ausdenken und sie auch noch für mehrere Konten wiederverwenden“, erklärt Stephan Halbmeier, Product Specialist bei Outpost24. „Kompromittierte, schwache oder wiederverwendete Passwörter sind weltweit die Hauptursache für Datenschutzverletzungen.“

Veraltete Passwortpraktiken

Das Georgia Institute of Technology fand beispielsweise in einer Studie heraus, dass viele Websites die Mindestanforderungen an Sicherheit nicht erfüllen. Beispielsweise stellen 12 Prozent der Websites überhaupt keine Anforderungen an die Passwortlänge.

Mehr als die Hälfte der untersuchten Websites akzeptierten Passwörter mit höchstens sechs Zeichen. 75 Prozent verlangten nicht einmal die Mindestlänge von acht Zeichen. Rund 12 Prozent hatten keine Längenvorgaben und 30 Prozent unterstützten weder Leerzeichen noch Sonderzeichen.

Nur 28 Prozent der untersuchten Websites setzten eine Sperrliste für Passwörter durch. Das bedeutet, dass Tausende von Websites für Hacker anfällig sind, um mit gängigen Passwörtern in Netzwerke einzudringen. Solche Angriffe werden auch als „Password-Spraying“ bezeichnet.

IT-Teams nicht immer vorbildlich

Selbst wenn Admins Vorgaben zu Passwörtern herausgeben, wird sehr häufig noch nach überholten Mustern vorgegangen. „Es wurde dabei vielfach verstanden, dass Kennwörter länger sein müssen, was mehr Spielraum beim Faktor Komplexität bei gleichbleibender Entropie erlaubt, so Halbmeier. „Lange Kennwörter sind aber allemal besser und einfacher zu merken als kürzere, die komplexer aufgebaut sind. Doch egal ob lang oder kurz, klassische Muster bei der Kennwort-Erstellung lassen sich nur durch entsprechende Sensibilisierung verringern.

Das größte Problem ist jedoch, dass sie oftmals kompromittiert sind. Hacker müssen dann nur noch mit ein paar wenigen dieser Zugangsdaten Anmeldeversuche bei gängigen Accounts durchführen. Dann ist es im Grunde nur eine Frage der Zeit, bis ein Treffer erzielt wird. Das liegt nach Halbmeier im Wesentlichen daran, dass User gerne Kennwörter mehrfach verwenden oder ihnen erlaubt wird, mit privaten, möglicherweise mit „Infostealer-Malware“ infizierten Rechnern auf Firmendaten zuzugreifen.

„Daher ist es besonders wichtig herauszufinden, ob diese Passwörter nicht bereits kompromittiert sind“, so Halbmeier. „Wenn wir beispielsweise identische Passwörter prüfen, fällt uns nicht selten auf, dass sogar die IT-Teams für verschiedene Konten die gleichen Kennwörter benutzen. Die schlimmsten Vorfälle waren für uns, als wir kompromittierte Passwörter bei Admins gefunden haben. Und dies für Konten von Systemen oder Diensten mit privilegierten Zugriffen.“

Best Practices für Passwort-Policies

In der Folge sind einige der wichtigsten Empfehlungen zum Thema Kennwort-Richtlinien zusammengestellt:

• Längere und komplexere Passwörter: Hacker nutzen gerne Methoden wie beispielsweise Brute-Force-Angriffe, um Zugriff auf Konten zu erhalten. Bei einem Brute-Force-Angriff führen Hacker ein Programm aus und prüfen alle möglichen Kombinationen aus Buchstaben, Zahlen und Symbolen, bis die richtige gefunden ist. Jedes zusätzliche Zeichen erhöht die Zeit, die zum Knacken eines Passworts benötigt wird, exponentiell. Das Hinzufügen von Zahlen, Symbolen, Groß- und Kleinbuchstaben zum Passwort macht es sehr schwer, mit Brute-Force erfolgreich zu sein.

• Passwörter nicht wiederverwenden: Bei groß angelegten Datendiebstählen werden E-Mail-Adressen und Passwörter häufig online weitergegeben. Wenn Anmeldeinformationen für mehrere Konten wiederverwendet werden und eines davon kompromittiert wird, können Hacker problemlos auch auf anderen Konten zugreifen.

• Keine persönlichen Daten verwenden: Viele Menschen binden Namen, Geburtsdaten, Telefonnummern und andere persönliche Daten in ihren Passwörtern mit ein. Diese sind zwar leicht zu merken, aber solche Daten sind online leicht verfügbar und für Hacker zugänglich.

• Passwörter überprüfen: Eine der wichtigsten Empfehlungen in den NIST SP800-63B –Passwort-Richtlinien besteht darin, die potenziellen Passwörter mit Listen zu vergleichen, die bekanntermaßen häufig verwendete, erwartete oder kompromittierte Werte enthalten.

• Passwörter niemals per SMS oder E-Mail versenden: Bei der Weitergabe von Benutzernamen und Passwörter per E-Mail oder SMS können Anmelde-Informationen offengelegt werden, wenn das E-Mail-Konto oder Gerät der betreffenden Person kompromittiert wird, selbst wenn diese Person diese Daten sonst niemandem mitteilt. Es empfiehlt sich, sichere Methoden wie Passwort-Manager zu nutzen, um Passwörter weiterzugeben.

• Passwort-Audits durchführen: Die Einhaltung der Kennwort-Richtlinien müssen von Zeit zu Zeit immer wieder überprüft werden. Dadurch wird sichergestellt, dass schwache Kennwörter identifiziert und sofort geändert werden.

• MFA implementieren: Die Multi-Faktor-Authentifizierung (MFA) bietet zusätzliche Sicherheitsebenen. Für den Zugriff auf ein Konto sind dadurch mindestens zwei Authentifizierungsfaktoren erforderlich. Das heißt, es kommen beispielsweise ein Kennwort, ein generierter einmaliger Authentifizierungscode und ein Fingerabdruck zum Einsatz.

Passwort-Policies implementieren

Die IT-Welt steht klar hinter einer MFA-Lösung. Für eine Implementierung muss jedoch das Management ein Budget freigeben. Solche Budgets für ein verbessertes Risikomanagement erfordern je nach Unternehmensgröße und Anforderungen größere Summen.

„Somit ist es angezeigt, dass die IT nicht nur mit Mitgliedern der Geschäftsführungsebene kommunizieren sollte, die auch letztlich Entscheidungen treffen können, sondern auch in der Lage sein muss, mögliche Risiken en detail zu qualifizieren und quantifizieren“, betont Halbmeier. „Dies sollte in einer für das Management angepassten und möglichst ‚technisch-reduzierten‘ Präsentation erfolgen. Das heißt, die IT muss die Sprache des Managements sprechen!“

Dabei kann die IT-Abteilung laut Halbmeier vieles falsch machen. Beispielsweise wird dafür gerne ein Horrorszenario herangezogen, das durchaus plausibel sein kann, dagegen aber selten eintritt. „Auf diese Weise wird mit Angst versucht, ein Budget zu erhalten“, so Halbmeier. „Eine solche Vorgehensweise ist dann häufig zum Scheitern verurteilt.

Fazit

Die genannten Empfehlungen stellen einen guten Ausgangspunkt für die Gewährleistung der Informationssicherheit dar. Halbmeier rät mindestens zu einer 2-Faktoren-Athentifizierung – auch im AD. Bei einer Cloud-Lösung muss aber der zweite Faktor in jedem Falle gesetzt sein.

Wenn MFA aus Kostengründen nicht möglich ist, müssen die Kennwörter entsprechend stark sein. Dafür ist sicher zu stellen, dass sie nicht kompromittiert, also nicht erratbar sind. Damit sind schon mal viele Probleme vom Tisch.

Benennung der größten Risikofaktoren. Beispielsweise Ransome oder Datenabfluss? Jedes Unternehmen muss das jedoch selber bewerten. Es gibt keine allgemeingültige Empfehlung. Für Websites können Password-Manager zum Einsatz kommen. Aber die wichtigsten Passwörter muss der User immer im Kopf haben.

(ID:50179630)