Passwortrichtlinie nach BSI

Ziel einer Passwortrichtlinie

Eine Passwortrichtlinie regelt verbindlich den Umgang mit Passwörtern und anderen Anmeldedaten. Sie richtet sich an alle Beschäftigten und an die Administration. Im IT-Grundschutz-Kompendium ist das Thema im Baustein ORP.4 «Identitäts- und Berechtigungsmanagement» verankert. Inhaltlich orientiert sich dieser Artikel an den aktuellen Empfehlungen des BSI zu Passwörtern und Accountschutz.

Inhalte der Passwortrichtlinie

Länge und Komplexität

Das BSI beschreibt eine Abwägung zwischen Länge und Komplexität. Ein kurzes Passwort sollte mindestens acht Zeichen haben und vier Zeichenarten kombinieren (Groß- und Kleinbuchstaben, Ziffern, Sonderzeichen). Ein langes Passwort kann weniger komplex sein; das BSI nennt hier etwa 25 Zeichen als Richtwert. Für die WLAN-Verschlüsselung empfiehlt das BSI mindestens 20 Zeichen.

Für die Praxis bewährt sich eine Mindestlänge, die über diesen Werten liegt, kombiniert mit einer Sperrliste. Passphrasen aus mehreren zufälligen Wörtern sind lang, gut merkbar und schwer zu erraten.

Was nicht verwendet werden darf

Namen, Geburtsdaten, Tastaturmuster, Firmen- und Produktnamen sowie einfache Wörter mit angehängter Ziffer oder einem Sonderzeichen am Ende bringen laut BSI wenig Schutz. Technisch lässt sich das mit einer Sperrliste unterstützen, die bekannte und kompromittierte Passwörter ablehnt.

Einzigartigkeit

Jedes Konto bekommt ein eigenes Passwort. Wird ein Dienst gehackt oder ein Passwort per Phishing abgegriffen, sind so die übrigen Konten nicht betroffen. Dienstliche Passwörter dürfen nicht privat verwendet werden und umgekehrt.

Wechsel nur bei Anlass

Das BSI hält einen pauschalen, anlasslosen Wechsel für überholt, weil er erfahrungsgemäß zu schwächeren Passwörtern führt. Ein Wechsel ist geboten, wenn ein Passwort möglicherweise abgeflossen ist: bei einem Datenleck des Dienstes, nach einer Infektion des Geräts, nach Eingabe auf einer verdächtigen Seite oder wenn eine andere Person es kennen könnte. Die Richtlinie sollte diese Anlässe aufzählen und den Wechsel dann verpflichtend machen.

Aufbewahrung

Passwörter gehören in einen Passwortmanager, nicht auf Zettel am Bildschirm, in Tabellen oder unverschlüsselte Notizen. Der Betrieb sollte ein Produkt vorgeben, damit gemeinsam genutzte Zugänge kontrolliert geteilt werden können. Das Masterpasswort des Passwortmanagers ist besonders lang zu wählen und mit einem zweiten Faktor zu schützen.

Weitergabe

Passwörter werden nicht per E-Mail, Chat oder Telefon weitergegeben, auch nicht an Vorgesetzte oder den IT-Dienstleister. Für die Übergabe neuer Zugänge gibt es Einmal- oder Startpasswörter, die bei der ersten Anmeldung geändert werden müssen.

Technische Umsetzung

Vorgaben in den Systemen

Nach Einführung der Richtlinie sollten die Systemeinstellungen angepasst werden. In Verzeichnisdiensten und Cloud-Diensten sind häufig noch Ablaufzeiten und starre Komplexitätsregeln aktiv. Sinnvoll sind stattdessen eine ausreichende Mindestlänge, Sperrlisten und eine Begrenzung von Fehlversuchen.

Zweiter Faktor

Auch ein starkes Passwort kann durch Phishing abgegriffen werden. Das BSI empfiehlt deshalb ausdrücklich, die Zwei-Faktor-Authentifizierung zu aktivieren oder auf Passkeys umzusteigen. Die Passwortrichtlinie sollte festlegen, für welche Zugänge der zweite Faktor Pflicht ist.

Dienst- und Notfallkonten

Konten für Dienste, Schnittstellen und Notfälle brauchen eigene Regeln: sehr lange, zufällig erzeugte Passwörter, klare Verantwortliche, sichere Verwahrung und eine Überprüfung bei Personalwechsel. Notfallpasswörter können versiegelt im Tresor liegen; ihre Nutzung wird dokumentiert.

Standardpasswörter

Geräte wie Router, Drucker, Kameras oder NAS werden oft mit Herstellerpasswörtern ausgeliefert. Die Richtlinie sollte vorschreiben, dass diese vor der Inbetriebnahme geändert werden.

Vorgehen bei Verdacht auf Kompromittierung

Die Richtlinie sollte auch regeln, was passiert, wenn ein Passwort möglicherweise bekannt geworden ist:

1. Das Passwort sofort ändern, bei mehrfacher Verwendung auf allen betroffenen Diensten.
2. Aktive Sitzungen beenden und, falls möglich, angemeldete Geräte abmelden.
3. Prüfen, ob in der Zwischenzeit verdächtige Aktivitäten stattgefunden haben, etwa neue Weiterleitungsregeln im Postfach oder unbekannte Anmeldungen.
4. Die zuständige Person informieren, damit sie entscheiden kann, ob ein Sicherheitsvorfall vorliegt.

Viele Dienste und Passwortmanager melden, wenn Zugangsdaten in bekannten Datenlecks auftauchen. Solche Warnungen sollten ernst genommen und nicht weggeklickt werden.

Mitarbeitende einbinden

Eine Richtlinie wirkt nur, wenn sie verstanden wird. Eine Seite mit klaren Regeln, eine kurze Einweisung in den Passwortmanager und ein Hinweis, wohin man sich bei einem Verdacht wendet, sind wirksamer als ein langes Dokument. Wichtig ist eine Kultur, in der eine versehentliche Eingabe auf einer Phishing-Seite sofort gemeldet wird, ohne Angst vor Konsequenzen.

Muster für den Kern einer Passwortrichtlinie

• Mindestlänge und Verbot bekannter, leicht zu erratender Passwörter.
• Ein eigenes Passwort pro Konto, keine private Nutzung dienstlicher Passwörter.
• Pflicht zur Nutzung des bereitgestellten Passwortmanagers.
• Wechsel nur bei Anlass, dann sofort.
• Zweiter Faktor für E-Mail, Cloud, Fernzugang und Administration.
• Keine Weitergabe, Startpasswörter bei der ersten Anmeldung ändern.
• Standardpasswörter von Geräten vor Inbetriebnahme ändern.

Die Richtlinie sollte von der Geschäftsleitung in Kraft gesetzt, allen Beschäftigten nachweisbar bekannt gemacht und mindestens jährlich auf Aktualität geprüft werden. Änderungen der BSI-Empfehlungen, etwa zur Nutzung von Passkeys, lassen sich so geordnet übernehmen.