Eine Passwortrichtlinie muss mehr beantworten als die Frage nach der Mindestlänge. Sie legt fest, wie Menschen Zugang erhalten, wie zusätzliche Faktoren geschützt werden, wer ein verlorenes Konto wiederherstellen darf und welche technischen Kontrollen die Regeln tatsächlich durchsetzen. Eine lange Zeichenfolge hilft wenig, wenn der Support den zweiten Faktor nach einem überzeugenden Telefonanruf entfernt.
Dieser Leitfaden führt von einem Verzeichnis der Anmeldeverfahren zu einer freigabefähigen Richtlinie mit einem ausgefüllten Beispiel. Die vorgeschlagenen Unternehmensregeln sind anpassbare Entscheidungen. Die DSGVO schreibt keine allgemeine Passwortlänge für alle Unternehmen vor: Artikel 32 verlangt ein dem Risiko angemessenes Schutzniveau. Das Beispiel verwendet eine technische Referenz, ohne daraus eine deutsche gesetzliche Mindestvorgabe zu machen.
1. Zuerst Konten und Anmeldewege erfassen
Erstellen Sie eine Liste der tatsächlich erreichbaren Anmeldewege: zentrale Mitarbeiteranmeldung, lokale Administratorkonten, Kundenportal, Fernwartung, Mobilgeräte, Notfallkonten und technische Dienstkonten. Ein System mit zentralem Login kann weiterhin einen lokalen Passwortzugang besitzen. Dieser fällt bei einer reinen Prüfung des Identitätsanbieters leicht durch das Raster.
Die Prüfung lokaler Zugänge gehört auch in den Windows- und Linux-Härtungsarbeitsplan, damit zentrale Anmelderegeln nicht durch abweichende Gerätekonfigurationen umgangen werden.
Notieren Sie je Anwendung den fachlichen Eigentümer, die zugänglichen Daten, die möglichen Aktionen, den externen Zugang und das Wiederherstellungsverfahren. Ergänzen Sie, ob die Anwendung Mehrfaktor-Authentisierung unterstützt und ob ausgeschiedene Beschäftigte über noch gültige Sitzungen weiter zugreifen könnten. Ein solches Inventar lässt sich mit der Kartierung der IT-Systemlandschaft verbinden.
Trennen Sie außerdem Kennwörter, die ein Server überprüft, von einer lokalen PIN zur Freigabe eines geschützten Geräts oder Authentikators. Beide sind Geheimnisse, haben aber andere Angriffsmöglichkeiten und technische Schutzmaßnahmen. Eine achtstellige lokale PIN mit wirksamer Versuchsbeschränkung lässt sich nicht allein anhand ihrer Länge mit einem öffentlich erreichbaren Passwortformular vergleichen.
2. Eine nachvollziehbare technische Referenz wählen
Die NIST-Empfehlung SP 800-63B-4, Abschnitt 3.1.1, unterscheidet Passwörter als einzigen Faktor von ihrer Verwendung innerhalb einer Mehrfaktor-Anmeldung. Sie verlangt im ersten Fall mindestens 15 Zeichen; innerhalb von MFA kann eine Mindestlänge von acht Zeichen zugelassen werden. Sie empfiehlt, mindestens 64 Zeichen zu ermöglichen. Diese US-amerikanische technische Referenz ist keine unmittelbar geltende deutsche Passwortverordnung.
Für die eigene Richtlinie sind außerdem die weiteren Schutzmaßnahmen entscheidend: bekannte kompromittierte und leicht vorhersehbare Passwörter sperren, automatisierte Versuche begrenzen, Passwortmanager unterstützen und bei einem Kompromittierungsverdacht reagieren. NIST fordert keine regelmäßigen Wechsel ohne solchen Anlass und keine beliebigen Zusammensetzungsregeln. Ein angehängtes Sonderzeichen ersetzt daher weder die Prüfung gegen bekannte schwache Passwörter noch einen zusätzlichen Faktor.
Dokumentieren Sie, warum Ihre Auswahl zu den betroffenen Konten passt. Eine Behörde mit besonderen Vorgaben, ein reguliertes Unternehmen oder ein vertraglich gebundener Dienstleister muss zusätzlich seine konkreten Anforderungen prüfen. Die gewählte Referenz ersetzt diese Prüfung nicht. Halten Sie die Entscheidung in der Informationssicherheitsrichtlinie fest und verweisen Sie von dort auf die detaillierte Anmelderegel.
3. Ausgefülltes Beispiel für eine interne Richtlinie
Das folgende Beispiel betrifft ein fiktives Beratungsunternehmen mit zentraler Anmeldung, einem Projektportal und getrennten Administrationskonten. Es setzt voraus, dass die eingesetzten Anwendungen die Regeln technisch unterstützen. Die genannten Prüfintervalle sind betriebliche Entscheidungen für dieses Beispiel.
| Bereich | Freigegebene Regel im Beispiel | Verantwortlichkeit und Nachweis |
|---|---|---|
| Persönliche Geschäftskonten | Mindestens 15 Zeichen und MFA; mindestens 64 Zeichen werden akzeptiert | IT dokumentiert die tatsächliche Konfiguration und prüft sie nach Änderungen |
| Passwortauswahl | Individuelle, zufällig erzeugte Kennwörter oder geeignete lange Passphrasen; Prüfung gegen gesperrte schwache oder kompromittierte Werte | Passwortmanager wird bereitgestellt; blockierte Werte werden ohne Offenlegung des Geheimnisses erklärt |
| Regelmäßiger Wechsel | Kein kalenderbasierter Zwangswechsel; Wechsel bei tatsächlicher oder vermuteter Kompromittierung | Sicherheitsverantwortliche dokumentieren Anlass und zusätzliche Maßnahmen |
| Administration | Separates Konto und phishingresistentes Anmeldeverfahren; keine tägliche Büroarbeit mit diesem Konto | Systemverantwortliche geben Rechte frei und prüfen ihre weitere Notwendigkeit |
| Wiederherstellung | Identitätsprüfung über einen zuvor festgelegten unabhängigen Weg; sensible Zurücksetzungen mit zweiter Freigabe | Support protokolliert Prüfschritte, jedoch keine Passwörter oder Wiederherstellungscodes |
| Ausnahmen | Befristete, einem konkreten System zugeordnete Ausnahme mit Ersatzkontrollen | Fachlicher Eigentümer und IT-Sicherheit entscheiden über Risiko und Ablösung |
Die Wahl von 15 Zeichen auch mit MFA vereinfacht hier die Kommunikation und schafft eine gemeinsame Untergrenze. Sie bedeutet nicht, dass acht Zeichen innerhalb einer beliebigen MFA-Lösung automatisch sicher wären. Faktorqualität, Versuchsbeschränkung, Wiederherstellung und erreichbare Daten bleiben Teil der Bewertung.
Eine kurze Mitarbeiterfassung könnte lauten: „Nutzen Sie für jedes Geschäftskonto ein eigenes, im freigegebenen Passwortmanager gespeichertes Kennwort. Geben Sie Kennwörter und Wiederherstellungscodes niemandem weiter, auch nicht dem Support. Melden Sie unerwartete Anmeldeabfragen und Verlust eines Anmeldegeräts unverzüglich über den bekannten internen Meldeweg.“ Dazu gehören ein tatsächlicher Kontakt und ein erreichbarer Ersatzweg bei gesperrtem Konto.
4. MFA und Wiederherstellung gemeinsam gestalten
Zwei Anmeldeschritte sind nicht zwangsläufig zwei unabhängige Faktoren. Zwei Wissensabfragen bleiben Wissen. Prüfen Sie daher das verwendete Verfahren und seine Widerstandsfähigkeit gegen Phishing. Ein Angreifer kann beispielsweise zur Eingabe eines Kennworts und eines aktuellen Einmalcodes auf einer nachgebauten Website verleiten. Für privilegierte Zugänge sollte das Unternehmen geeignete phishingresistente Verfahren bewerten und praktisch einführen.
Planen Sie den Verlustfall vor der Ausgabe. Beschäftigte benötigen einen sicheren Ersatzweg, der nicht ausschließlich von dem verlorenen Gerät abhängt. Wiederherstellungscodes gehören an einen geschützten Ort, getrennt von dem Gerät, dessen Verlust sie abfangen sollen. Der Support darf solche Codes nicht zur Dokumentation in Tickets kopieren.
Ein ausgefüllter Ablauf für ein verlorenes Diensttelefon lautet: Die Mitarbeiterin meldet den Verlust über die bekannte Servicenummer. Der Support prüft die Identität anhand des festgelegten unabhängigen Verfahrens und eskaliert Unsicherheiten. Anschließend werden der verlorene Faktor und gegebenenfalls betroffene Sitzungen widerrufen. Erst nach Freigabe wird ein neuer Faktor registriert. Die Mitarbeiterin erhält eine Benachrichtigung über die Änderung auf einem bereits hinterlegten vertrauenswürdigen Kanal.
Für Geschäftsführung oder Administratoren ist ein dringender Termin kein Grund, die Prüfung auszulassen. Gerade solche Ausnahmen sind ein attraktiver Angriffspunkt. Definieren Sie stattdessen einen erreichbaren zweiten Freigeber und einen dokumentierten Notfallprozess.
5. Technische Kontrollen hinter der Richtlinie nachweisen
Eine verständliche Regel braucht wirksame Einstellungen. Prüfen Sie mit einem dafür vorgesehenen Konto, ob das System lange Eingaben vollständig verarbeitet, Einfügen aus dem Passwortmanager zulässt und gesperrte Kennwörter zurückweist. Prüfen Sie ebenfalls alternative Anmeldeseiten, mobile Anwendungen und Kennwortänderungen über ältere Schnittstellen. Unterschiedliche Wege dürfen die zentrale Regel nicht unbemerkt umgehen.
Anwendungen, die Kennwörter selbst verifizieren, benötigen eine geeignete gesalzene Passwort-Hashfunktion mit angemessenem Aufwand. Reversibles Verschlüsseln eines Passwortbestands ist dafür kein gleichwertiger Standardansatz. Nutzen Sie gepflegte Authentisierungsbausteine und lassen Sie die konkrete Umsetzung fachkundig prüfen. Kennwörter gehören weder im Klartext in Datenbanken noch in Fehlerprotokolle, Analyseereignisse oder Supportexporte.
Beim Logkonzept für Sicherheitsereignisse sind fehlgeschlagene Anmeldungen, Änderungen von Faktoren, privilegierte Freigaben und ungewöhnliche Wiederherstellungen relevant. Speichern Sie dabei die notwendigen Ereignisdaten, nicht das eingegebene Geheimnis. Eine Fehlermeldung darf nicht versehentlich den gesamten Anmeldeinhalt übernehmen.
Auch Begrenzungen brauchen einen durchdachten Betrieb. Eine starre Kontosperre kann Angreifern ermöglichen, fremde Benutzer gezielt auszusperren. Das Team muss deshalb automatisierte Versuche wirksam bremsen und zugleich sichere Entsperrwege sowie erkennbare Warnsignale vorsehen. Dokumentieren Sie die tatsächlich eingesetzte Lösung statt nur das Wort „Sperrmechanismus“ einzutragen.
6. Technische Konten und Austritte separat behandeln
Dienstkonten, API-Schlüssel und Hintergrundprozesse passen nicht in eine Mitarbeiteranweisung zum Merken von Passphrasen. Erfassen Sie deren Eigentümer, Berechtigungen, Speicherort, Verwendungsstellen und Erneuerungsprozess. Vermeiden Sie gemeinsame persönliche Konten als Ersatz für eine fehlende technische Integration. Ein im Quellcode abgelegtes Geheimnis wird nicht dadurch angemessen geschützt, dass es besonders lang ist.
Bei einem Austritt reicht die Änderung des zentralen Kennworts unter Umständen nicht. Prüfen Sie lokale Konten, aktive Sitzungen, Zugriffsschlüssel, geteilte Tresore und delegierte Rechte. Wo Single Sign-on eingesetzt wird, müssen Anwendungen die Sperrung tatsächlich übernehmen. Das sollte anhand einer realen vorgesehenen Austrittsprozedur überprüft werden.
Notfallkonten benötigen eine eigene Aufbewahrung und einen eng begrenzten Einsatzzweck. Protokollieren Sie ihre Nutzung und prüfen Sie danach, ob Geheimnisse oder Faktoren erneuert werden müssen. Ein ständig gemeinsam verwendetes Administratorkonto ist kein überzeugendes Notfallkonzept.
7. Einführung, Ausnahmen und Wirksamkeit kontrollieren
Beginnen Sie mit einer kleinen Gruppe unterschiedlicher Arbeitsplätze: Verwaltung, mobile Beschäftigte und IT-Administration. Prüfen Sie typische Abläufe einschließlich Gerätewechsel, Urlaub eines Freigebers und Ausfall des Identitätsanbieters. Korrigieren Sie Bedienungsprobleme vor der breiten Einführung, damit Beschäftigte nicht auf private Notizen oder geteilte Kennwörter ausweichen.
Ein brauchbarer Ausnahmevermerk lautet beispielsweise: „Das lokale Wartungssystem unterstützt vorübergehend keine zentrale MFA. Zugriff nur über den abgesicherten Verwaltungszugang, namentliche Freigabe für zwei Techniker, keine Erreichbarkeit aus dem Internet. Systemverantwortlicher prüft die Ablösung bis zum intern festgelegten Termin.“ Diese Ersatzmaßnahmen sind zu bewerten; das Beispiel erklärt keine technisch schwache Anwendung pauschal für zulässig.
Nehmen Sie die Richtlinie in die IT-Nutzungsrichtlinie auf und halten Sie den Schulungsinhalt knapp. Die Betriebsprüfung sollte aussagekräftige Ergebnisse liefern: Anteil wirksam geschützter Konten, offene Ausnahmen, fehlgeschlagene Wiederherstellungsproben und nicht rechtzeitig gesperrte Zugänge. Dafür sind keine Listen der tatsächlichen Passwörter erforderlich.
Häufige Fragen
Müssen alle Passwörter alle drei Monate geändert werden? Eine solche pauschale Frist folgt nicht aus der DSGVO. Begründen Sie konkrete Sondervorgaben und reagieren Sie auf Kompromittierung. Ein routinemäßiger Wechsel ersetzt weder MFA noch eine sichere Wiederherstellung.
Darf der Support ein Passwort erfragen? Der Prozess sollte das nicht benötigen. Der Support setzt bei berechtigtem Anlass einen sicheren Wiederherstellungsvorgang in Gang; Beschäftigte geben ihr bestehendes Geheimnis nicht weiter.
Reicht eine unterschriebene Richtlinie als Nachweis? Nein. Eine Freigabe dokumentiert die Entscheidung. Erst überprüfte Einstellungen, erreichbare Hilfe, kontrollierte Ausnahmen und nachvollziehbare Sperrprozesse zeigen, ob die Vorgaben im Betrieb umgesetzt werden.