Was heute als Stand der Technik gilt
- Länge vor Komplexität: lange Passphrasen sind leichter zu merken und schwerer zu knacken als kurze, kryptische Kennwörter.
- Einzigartig je Dienst: Wiederverwendung ist das größte Risiko bei Datenlecks.
- Kein turnusmäßiger Pflichtwechsel, sondern Wechsel bei Verdacht auf Kompromittierung. So empfehlen es BSI und NIST.
- Bekannte schwache Passwörter sperren: Listen aus Datenlecks und Trivialpasswörter ablehnen.
- MFA ergänzen, damit ein gestohlenes Passwort nicht genügt.
- Passwortmanager zulassen und fördern.
Eine praktische Richtlinie
Mindestlänge von zwölf oder mehr Zeichen für Benutzerkonten, deutlich länger für Administratorkonten, Sperre nach wiederholten Fehlversuchen, keine Weitergabe, Speicherung im Passwortmanager. Für Dienstkonten gelten lange Zufallskennwörter oder verwaltete Konten.
Umsetzung
In Active Directory lassen sich Regeln über Kennwortrichtlinien und Fine-Grained Password Policies umsetzen, in Entra ID über Kennwortschutz. Entscheidend ist die Begleitung: Erklären Sie Mitarbeitenden, warum die Regeln gelten, und stellen Sie einen Passwortmanager bereit.