Was sind gute Passwortrichtlinien?

Eine Passwortrichtlinie definiert, wie Benutzer und Anwendungen mit Passwörtern umgehen. Dazu gehören nicht nur Mindestlänge und erlaubte Zeichen, sondern auch Wiederverwendung, Prüfung gegen bekannte Leaks, Speicherung, Anmeldeversuche und Kontowiederherstellung. Ihr Zweck ist eine belastbare Authentifizierung – nicht die möglichst komplizierte Regel.

Was gehört in eine moderne Passwortrichtlinie?

• Ausreichende Länge:
  Lange Passwörter und Passphrasen zulassen und eine sinnvolle Mindestlänge vorgeben.
• Leak-Prüfung:
  Häufig verwendete, erwartbare und nachweislich kompromittierte Passwörter ablehnen.
• Passwortmanager:
  Einfügen erlauben und den Einsatz eines freigegebenen Passwortmanagers unterstützen.
• Einmaligkeit:
  Für jeden Dienst ein eigenes Passwort verwenden und alte Passwörter nicht unmittelbar wieder zulassen.
• Sichere Wiederherstellung:
  Zurücksetzung und Support-Prozesse mindestens so sorgfältig wie die Anmeldung schützen.

Länge oder Komplexität?

Lange Passwörter bieten einen größeren Suchraum und lassen sich als Passphrase häufig besser merken. Starre Vorgaben wie Großbuchstabe, Zahl und Sonderzeichen führen dagegen oft zu vorhersehbaren Varianten: Aus „Passwort“ wird „Passwort1!“. Solche Muster kennen Angreifer und berücksichtigen sie beim Erraten. Anwendungen sollten alle üblichen Zeichen verarbeiten, lange Eingaben zulassen und keine stillen Kürzungen vornehmen.

Ein Passwortmanager kann lange, zufällige und einmalige Werte erzeugen. Das zentrale Master-Passwort muss seinerseits stark sein und der Tresor sollte mit MFA geschützt werden. Geteilte Tabellen, Browsernotizen oder wiederverwendete Team-Passwörter sind kein geeigneter Ersatz.

Wann müssen Passwörter geändert werden?

Regelmäßige erzwungene Änderungen ohne konkreten Anlass führen häufig zu schwachen Abwandlungen und erhöhen den Aufwand, ohne den Schutz im gleichen Maß zu verbessern. Ein Wechsel ist erforderlich, wenn ein Passwort offengelegt wurde, ein verdächtiger Zugriff stattfand, ein Gerät kompromittiert ist oder ein gemeinsamer Zugang nicht mehr benötigt wird. Nach einem Vorfall müssen außerdem aktive Sitzungen und gegebenenfalls Wiederherstellungscodes ungültig gemacht werden.

Wie müssen Anwendungen Passwörter schützen?

Passwörter dürfen nicht im Klartext und nicht mit einer schnellen allgemeinen Hashfunktion gespeichert werden. Geeignet ist eine dafür vorgesehene, rechenintensive Passwort-Hashfunktion mit individuellem Salt. So lassen sich identische Passwörter in einer gestohlenen Datenbank nicht direkt erkennen und massenhafte Rateversuche werden teurer. Transportverschlüsselung schützt das Passwort zusätzlich auf dem Weg zum Dienst.

Welche ergänzenden Kontrollen sind wichtig?

Technische Vorgaben sollten verständlich kommuniziert und auf ihre Wirkung überprüft werden. Wenn Benutzer Regeln regelmäßig umgehen, ist die Richtlinie in der Praxis nicht wirksam – selbst wenn sie auf dem Papier besonders streng aussieht.