Über Bord mit veralteten starren Passwort-Richtlinien

Pass­wör­ter müs­sen stets lang (min­des­tens 8 Zei­chen) und kom­plex (Groß- und Klein­buch­sta­ben, Son­der­zei­chen und Zah­len) sein. Dazu bit­te ein Wech­sel­in­ter­vall von 90 Tagen und für jede Anmel­dung ein ande­res Pass­wort. Steht so in den meis­ten Richt­li­ni­en, Dienst­an­wei­sun­gen und Betriebs­ver­ein­ba­run­gen die­ser Welt.

Das Bun­des­amt für Sicher­heit in der Infor­ma­ti­ons­tech­nik (kurz BSI) beschreibt die­se Vor­ga­ben bei­spiels­wei­se in den Maß­nah­men M 2.11 (Rege­lun­gen des Pass­wort­ge­brauchs) oder auch M 4.48 (Pass­wort­schutz unter Win­dows) des IT-Grund­schutz­ka­ta­logs. Und in vie­len Fäl­len gilt der BSI IT-Grund­schutz­ka­ta­log als das Maß aller Din­ge bei Audi­to­ren und Prü­fern.

Pass­wort-Mythen

Doch wer­fen wir mal einen Blick auf die Details die­ser Vor­ga­ben und deren Sinn­haf­tig­keit.  Klar ist, tri­via­le Pass­wör­ter wie “123456”, “QWERTZ” oder “pass­wort” soll­ten sich eben­so aus­schlie­ßen wie die Namen der Fami­li­en­an­ge­hö­ri­gen oder Haus­tie­re. Die­se sind dank Goog­le und der akti­ven Unter­stüt­zung durch die stets miß­ver­ständ­li­chen Pri­vat­sphä­re-Ein­stel­lun­gen sozia­ler Netz­wer­ke dann doch zu leicht her­aus­zu­fin­den.

Anders sieht es jedoch schon bei den Emp­feh­lun­gen des BSI bei der zu wäh­len­den Pass­wort-Län­ge aus. Das BSI emp­fiehlt 8 Stel­len oder mehr, nur in begrenz­ten Aus­nah­me­fäl­len 6 Stel­len. In der Maß­nah­me 4.48 ist sogar von 14 Stel­len und mehr für Ver­wal­tungs­ac­counts die Rede.

Haben Sie sich schon mal gefragt, wie­so Ban­ken für die Absi­che­rung von EC- und Kre­dit­kar­ten nur auf 4 Zah­len PIN set­zen? Machen die­se denn kein Risi­ko­ma­nage­ment? Na klar machen sie das, jeden Tag und das sogar sehr erfolg­reich. Drei­ma­li­ge Falsch­ein­ga­be und die Kar­te ist gesperrt, der Miss­brauch aus­ge­schlos­sen. Schutz­ziel erreicht!

Also wie­so dann bei einem sol­chen Bedro­hungs­sze­na­rio stur auf ein Pass­wort unter den ein­gangs genann­ten Rege­lun­gen bestehen? Sinn­frei, oder? Drei oder eini­ge mehr Fehl­ver­su­che und dann ist Schluss. Über­tra­gen auf den mit einer sol­chen Sper­re aus­ge­stat­te­ten Benut­zer­ac­count: Mehr­ma­li­ge Falsch­an­mel­dung und der Benut­zer­ac­count ist gesperrt und / oder wird erst nach eini­ger Ver­zö­ge­rung wie­der zur erneu­ten Anmel­dung frei­ge­ge­ben. Der Benut­zer merkt es (sofern er die Sper­rung nicht selbst ver­ur­sacht hat) beim nächs­ten Anmel­den. Die IT erhält über das Sys­tem­pro­to­koll eben­falls einen Hin­weis über die­sen “Ver­such”, kann prü­fen und ange­mes­sen reagie­ren. Schutz­ziel erreicht! Dies funk­tio­niert zumin­dest bei Accounts, die mit einer sol­chen Sper­re und / oder Ver­zö­ge­rung aus­ge­stat­tet wer­den kön­nen. In der Pra­xis wür­de sich auch eine Kom­bi­na­ti­on anbie­ten (nach 3 Fehl­ver­su­chen Ver­zö­ge­rung, nach wei­te­ren x Fehl­ver­su­chen Sper­rung), dies wäre im Ein­zel­fall aus­zu­pro­bie­ren. Für Off­line-Angrif­fe (bei­spiels­wei­se Doku­men­ten-Pass­wör­ter) müs­sen selbst­ver­ständ­lich gehär­te­te Pass­wör­ter mit ent­spre­chen­der Län­ge und Kom­ple­xi­tät gewählt wer­den.

Und da haben wir auch schon das nächs­te Stich­wort: Wie sieht es mit dem The­ma Pass­wort-Kom­ple­xi­tät aus? Nach der Län­ge eines Pass­worts scheint die Kom­ple­xi­tät den meis­ten Schutz zu bie­ten, glaubt man den Ver­fech­tern die­ser Theo­rie. Gene­rell steigt der Auf­wand zum Erra­ten (oder Kna­cken) eines Pass­worts mit der Ver­grö­ße­rung des Such­raums. Daher wer­den neben den 52 Zei­chen des Alpha­bets (groß- und klein­ge­schrie­ben) die zehn Zif­fern 0 bis 9 sowie die 22 übli­chen Son­der­zei­chen hin­zu­ge­nom­men. Schwen­ken wir kurz in die Mathe­ma­tik und schau­en, wie­vie­le Vari­an­ten sich im Ver­gleich erge­ben:

• 2,5 * 10¹⁵  mög­li­che Vari­an­ten für ein Pass­wort mit 8 Stel­len mit Groß- und Klein­buch­sta­ben, Zif­fern und Son­der­zei­chen
• 2,8 * 10¹⁵  mög­li­che Vari­an­ten für ein Pass­wort mit 9 Stel­len und nur mit Buch­sta­ben

Auf einen Blick ist zu erken­nen, der Such­raum wird mit einer Stel­le mehr viel höher als durch die Bei­be­hal­tung der Län­ge und dem Hin­zu­fü­gen einer Kom­ple­xi­tät. Noch Fra­gen?

Ok, aber der regel­mä­ßi­ge Pass­wort-Wech­sel, das ist sicher, das müs­sen wir so machen! War­um? [Anmer­kung des Autors: “Eine mei­ner Lieb­lings­fra­gen!”] Wenn sich die Pass­wort-Stra­te­gie in mei­ner Orga­ni­sa­ti­on an der Bedro­hungs­la­ge und den mög­li­chen Angriffs­sze­na­ri­en aus­rich­tet, gibt es weni­ge Anläs­se, zu denen ein Pass­wort zu wech­seln ist:

• Pass­wort wur­de aus­ge­späht
• Pass­wort wur­de unzu­läs­si­ger­wei­se an eine Kol­le­gin oder einen Kol­le­gen wei­ter­ge­ge­ben
• Bei der Erst­kon­fi­gu­ra­ti­on, also dem Ändern vor­ein­ge­stell­ter Pass­wör­ter

Salopp: Besteht der Ver­dacht, ein Pass­wort wur­de kom­pro­mit­tiert, dann wird es gewech­selt. Doch die Pra­xis sieht anders aus, Wech­sel­in­ter­val­le von alle 90–120 Tage sind die Regel. Wie reagiert der Anwen­der? Genervt. Und das zu Recht. Lesen Sie ger­ne mehr zum The­ma (exter­ner Link Ars Tech­ni­ca 2016).

Dann brau­chen wir aber unbe­dingt die Ver­mei­dung von ein- und dem­sel­ben Pass­wort für meh­re­re Anmel­dun­gen! War­um? 🙂 Müss­ten dann nicht Vor­ge­hens­wei­sen wie das Sin­gle-Sign-on (M 4.498 BSI) von vorn­her­ein aus Schutz­grün­den abge­lehnt wer­den? Auch hier gilt es erneut, dif­fe­ren­zier­ter vor­zu­ge­hen. Bei inter­nen Anmel­de­ver­fah­ren mit ent­spre­chen­den Schutz­mög­lich­kei­ten (sie­he Pass­wort-Kom­ple­xi­tät) gibt es kei­nen nach­voll­zieh­ba­ren Grund für unter­schied­li­che Pass­wör­ter. Hier macht bei­spiels­wei­se Sin­gle-Sign-on auch Sinn. Für Anmel­de­ver­fah­ren außer Haus wie bei­spiels­wei­se Cloud-Ser­vices und Online-Shops soll­te jedoch nicht das “inter­ne” Pass­wort zum Ein­satz kom­men. Dafür emp­fiehlt sich in der Tat die Nut­zung ande­rer Pass­wör­ter mit ent­spre­chen­den Vor­schrif­ten in Bezug auf Län­ge und Wech­sel. Eine Faust­re­gel für exter­ne Pass­wör­ter kann lau­ten “Jeder Betrei­ber / Anbie­ter erhält ein eige­nes Pass­wort”.

2FA — Zwei-Fak­tor-Authen­ti­fi­zie­rung oder auch Mul­ti-Fak­tor-Authen­ti­fi­zie­rung

Immer öfter fin­det sich in der prak­ti­schen Anwen­dung die 2FA zur wei­te­ren Absi­che­rung in Ver­bin­dung mit den Klas­si­kern Nut­zer­na­me und Pass­wort. Gän­gi­ge Mög­lich­kei­ten (nicht voll­stän­dig): zeit­ba­sier­ter Code (Soft­ware- oder Hard­ware-Tokens), Chip­kar­ten, Trans­pon­der, zusätz­li­che Ein­mal-Pass­wör­ter oder bio­me­tri­sche Zugangs­da­ten (Fin­ger­ab­druck, FaceID, Augen­scan­ner etc.).

Pass­wort-Richt­li­ni­en in der Pra­xis

Sie ner­ven unge­mein! Da die wenigs­ten Richt­li­ni­en sich mit den Sach­ver­hal­ten der Angriffs­sze­na­ri­en und Bedro­hun­gen aus­ein­an­der­set­zen, wird hier meist mit “Sche­ma F” gear­bei­tet. Haben wir ja auch schon immer so gemacht. Hat sich ja bewährt. Fra­gen Sie mal Ihre Anwen­der! Die haben über Jah­re ihre Mit­tel und Wege gefun­den, um mit dem so beque­men The­ma nach “Sche­ma F” umzu­ge­hen. Näm­lich ihr eige­nes “Sche­ma F”. Pass­wör­ter wer­den auf­ge­schrie­ben, mun­ter getauscht, ent­hal­ten nume­ri­sche Sequen­zen zum Hoch­zäh­len zur Umge­hung der Gene­ra­tio­nen­pass­wör­ter, fügen bei jedem Wech­sel das nächs­te Son­der­zei­chen auf der Tas­ta­tur am Anfang oder Ende des Pass­worts ein und … und … und … Und Sie glau­ben, das ist sicher?

Infor­ma­ti­ons­si­cher­heit wird immer wich­ti­ger

Neben allen recht­li­chen Auf­la­gen zur Infor­ma­ti­ons­si­cher­heit, der IT-Sicher­heit und dem Daten­schutz wird es immer wich­ti­ger, zur Absi­che­rung der eige­nen Orga­ni­sa­ti­on bis­he­ri­ge Vor­ge­hens­wei­sen auf den Prüf­stand zu stel­len, bei Bedarf anzu­pas­sen oder bei Nicht­vor­han­den­sein ent­spre­chend ein­zu­füh­ren. Das The­ma wird immer kom­ple­xer, die Bedro­hun­gen und Risi­ken immer mehr.

Ohne Ihre Anwen­der ste­hen Sie auf ver­lo­re­nem Pos­ten. Sie brau­chen deren Unter­stüt­zung, damit neben zahl­rei­chen Richt­li­ni­en und Anwei­sun­gen das The­ma Sicher­heit in Ihrer Orga­ni­sa­ti­on wirk­lich gelebt wird und nicht nur auf dem Papier steht. Feil­schen Sie dar­um! Wie jetzt? Ja, feil­schen Sie dar­um! For­dern Sie die Unter­stüt­zung Ihrer Mit­ar­bei­ter ein und bie­ten dafür im Gegen­zug pra­xis­ge­rech­te Rege­lun­gen, die den Arbeits­all­tag nicht noch schwe­rer machen als bis­her. Mehr Unter­stüt­zung (z.B. beim manu­el­len Log­out aus Sys­te­men bei Abwe­sen­heit oder der rich­ti­gen Ent­sor­gung von Daten) sei­tens der Mit­ar­bei­ter und dafür im Gegen­zug eine prak­ti­ka­ble Pass­wort-Richt­li­nie, die nicht die Gän­ge­lung der Mit­ar­bei­ter im Vor­der­grund hat, son­dern Lösun­gen anbie­tet. Klappt! Glau­ben Sie nicht? Pro­bie­ren Sie es aus! Wir machen die Erfah­rung immer wie­der auf’s Neue bei unse­ren Kun­den.

Dan­ke an Dirk Fox und Frank Schae­fer, die die­ses The­ma bereits 2009 beleuch­tet haben. Dies ist ein neu­er Anlauf, um etwas Schwung rein­zu­brin­gen.

Sie sehen das ganz anders? Wir freu­en uns auf eine rege Dis­kus­si­on.

Update 28.11.2018: Ergän­zung um MFA/2FA