Passwortregeln im Unternehmen: Wenn Sicherheit vorhersehbar wird

02 Jan Passwortregeln im Unternehmen: Wenn Sicherheit vorhersehbar wird

Das Sonderzeichen als vorhersehbare Pflicht

Eine Vorgabe wie „Grossbuchstabe, Ziffer, Sonderzeichen“ klingt präzise, sagt aber wenig über die Widerstandsfähigkeit eines Passworts aus. Unter Zeitdruck wählen Beschäftigte oft dasselbe Grundwort und hängen ein verlangtes Zeichen an. Aus einem vertrauten Begriff wird so eine leicht erkennbare Variante. Wer den Aufbau kennt, muss nicht jede Zeichenfolge prüfen, sondern probiert naheliegende Abwandlungen: ein Anfangsbuchstabe gross, ein Zeichen am Ende, eine Jahreszahl oder ein Wechsel des letzten Zeichens.

Der Zettel unter der Tastatur ist kein Zufall

Wird zusätzlich ein häufiger Wechsel verlangt, entstehen weitere Ausweichbewegungen. Das Grundpasswort bleibt gleich, nur die Endung wandert weiter. Oder das neue Passwort wird auf einen Zettel geschrieben, in einer Datei mit unauffälligem Namen abgelegt oder für mehrere Dienste wiederverwendet. Ob eine Richtlinie die richtigen Zugriffsrechte festlegt, klärt https://flinktools.de/ nicht; für die zufällige Erzeugung eines Passworts taugt ein Passwortgenerator dennoch. Bei dem verlinkten Angebot läuft die Erzeugung im Internetprogramm, die Eingabe wird nicht an einen Rechner geschickt. Das macht die Aufbewahrung nicht überflüssig: Ein erzeugtes Passwort gehört in einen Passwortmanager oder, wenn das organisatorisch nicht möglich ist, auf Papier an einen geschützten Ort.

Was bei erzwungenen Wechseln schiefgeht

Ein Passwort verliert nicht automatisch seine Qualität, nur weil ein Kalendertermin erreicht ist. Ein Wechsel ist sinnvoll, wenn ein Zugang möglicherweise offengelegt wurde, ein Dienst einen Vorfall meldet, ein Gerät verloren ging oder eine Person das Unternehmen verlässt. Ohne solchen Anlass erzeugt der Zwang vor allem Aufwand. Menschen suchen dann nach kleinen, merkbaren Veränderungen statt nach einer neuen, zufällig gebildeten Zeichenfolge. Problematisch wird es, wenn zentrale Konten, Fernzugänge und unkritische Anwendungen dieselben starren Regeln verlangen, obwohl ihre Risiken verschieden sind.

Tragfähiger als Zeichenfolgen: die richtige Architektur

Sicherheit hängt nicht an einem einzelnen Sonderzeichen, sondern am Zusammenspiel mehrerer Faktoren: zufällige Erzeugung, ausreichender Zeichenvorrat, Einmaligkeit für jeden Dienst und ein zweiter Faktor. Ein Passwortmanager erleichtert die Verwaltung langer, unterschiedlicher Zugangsdaten, ohne dass Beschäftigte sie aus dem Gedächtnis ableiten müssen. Der zweite Faktor begrenzt den Schaden, wenn ein Passwort bekannt wird. Für wichtige Konten sollten Unternehmen ausserdem getrennte Zuständigkeiten, nachvollziehbare Berechtigungen und einen geregelten Wiederherstellungsweg vorsehen.

Regeln, die Verhalten statt Symbolik steuern

Eine brauchbare Vorgabe beschreibt nicht nur die Eingabe beim Anlegen, sondern den gesamten Umgang mit Konten. Dazu gehören klare Auslöser für einen Wechsel, Schutz vor bekannten oder bereits verwendeten Passwörtern, sichere Zurücksetzung und eine Sperre gegen massenhaftes Ausprobieren. Ebenso wichtig ist eine Anmeldung ohne unnötige Sonderfälle. Beschäftigte brauchen eine verständliche Möglichkeit, einen verdächtigen Zugang sofort zu melden, ohne ihr Passwort an eine andere Person weiterzugeben.

• Für jeden Dienst ein eigenes Zugangspasswort verwenden.
• Passwörter zufällig erzeugen und nicht aus Firmenname, Abteilung oder Kalenderdaten ableiten.
• Einen zweiten Faktor für besonders schützenswerte Zugänge vorsehen.
• Passwortmanager und Wiederherstellung so organisieren, dass kein Zettel unter der Tastatur nötig ist.
• Wechsel verlangen, wenn ein konkreter Verdacht oder ein bekanntes Leck vorliegt.

Die Unternehmensrealität mitdenken

Technische Regeln scheitern, wenn sie den Arbeitsablauf ignorieren. Eine Anmeldung an einem gemeinsam genutzten Gerät, ein Konto für einen Dienstleister und ein persönliches Verwaltungskonto brauchen unterschiedliche Lösungen. Ein Passwortmanager darf ausserdem nicht zum einzigen Zugang zu allen Konten werden: Für ihn selbst sind ein geschütztes Hauptpasswort, ein zweiter Faktor und ein belastbarer Notfallweg entscheidend. Wer diese Fragen klärt, verhindert eher Umgehungen als ein weiteres Pflichtzeichen.