Der Schlüssel zu sicheren Passwörtern

Aus unserer Blogreihe: IT Sicherheit für KMU

In der digitalen Welt von heute sind Passwörter die erste Verteidigungslinie gegen Cyberangriffe. Dennoch werden viele Sicherheitsvorfälle dadurch ermöglicht, dass einfache oder identische Passwörter für verschiedene Dienste verwendet werden. In diesem Artikel erfahren Sie, warum sichere Passwörter so wichtig sind und wie Sie effektive Richtlinien für Ihr Unternehmen implementieren können.

Warum sind sichere Passwörter so wichtig?

Angreifer nutzen verschiedene Methoden, um Passwörter zu knacken:

• ●
  Brute-Force-Angriffe: Hierbei werden alle möglichen Kombinationen ausprobiert, bis das richtige Passwort gefunden ist.
• ●
  Wörterbuchangriffe: Dabei werden gängige Passwörter oder Wörter aus Wörterbüchern getestet, etwa "password123" oder "qwertz".
• ●
  Social Engineering: Angreifer recherchieren persönliche Informationen, wie Namen von Familienmitgliedern oder Haustieren, um Passwörter zu erraten.

Ein kompromittiertes Passwort kann nicht nur den betroffenen Dienst gefährden, sondern auch weitere Systeme innerhalb Ihres Unternehmens oder bei Geschäftspartnern. Beispielsweise könnten Angreifer Ihre E-Mail-Adresse nutzen, um Phishing-E-Mails an Ihre Kontakte zu senden und so weitere Schäden anzurichten.

Was macht ein Passwort sicher?

Ein sicheres Passwort sollte folgende Kriterien erfüllen:

Grundlegende Anforderungen

• ●
  Ausreichende Länge: Mindestens 12 Zeichen (NIST-Standard 2025), optimal sind 16+ Zeichen
• ●
  Entropie statt Komplexität: Fokus auf Unvorhersagbarkeit und Länge, nicht nur auf Zeichenvielfalt
• ●
  Passphrasen verwenden: Vier zufällige Wörter sind sicherer als komplexe kurze Passwörter
• ●
  Unvorhersehbarkeit: Keine Verwendung von persönlichen Informationen oder gängigen Mustern
• ●
  Einzigartigkeit: Jedes Passwort nur einmal verwenden, keine Variationen bestehender Passwörter

Merkhilfen für komplexe Passwörter

Um sich komplexe Passwörter besser merken zu können, können Sie Eselsbrücken nutzen:

• ●
  Satz-Methode: Erstellen Sie einen Satz und verwenden Sie die Anfangsbuchstaben jedes Wortes, z. B. "Mein Hund Bello liebt lange Spaziergänge am Strand" wird zu "MHBlSaSAS".
• ●
  Wort-Ketten: Verwenden Sie eine Reihe von Wörtern, verbunden durch Sonderzeichen, z. B. "Sonne!Mond&Sterne2023".
• ●
  WLAN-Besonderheiten: Gerade bei WLAN-Passwörtern sollten Sie auf eine noch größere Länge achten, idealerweise mindestens 20 Zeichen, da hier spezielle Angriffsarten wie KRACK-Angriffe und WPA3-Downgrade-Attacken möglich sind.

Moderne Bedrohungen und Passwort-Hygiene

Angreifer nutzen gestohlene Passwort-Listen aus Datenlecks für automatisierte Angriffe. Bei Credential Stuffing und Password Spraying ist es deshalb besonders wichtig:

• ●
  Niemals dasselbe Passwort mehrfach zu verwenden
• ●
  Regelmäßig zu prüfen, ob Ihre Passwörter in bekannten Datenlecks auftauchen
• ●
  Breach-Monitoring-Services wie HaveIBeenPwned zu nutzen

Moderne KI kann menschliche Passwortmuster lernen und typische Gewohnheiten erkennen. Dagegen helfen vor allem:

• ●
  Wirklich zufällige Passwörter von sicheren Generatoren
• ●
  Vermeidung von vorhersagbaren Mustern oder Substitutionen (@ für a, 3 für e)
• ●
  Verwendung von kryptographisch sicheren Zufallsgeneratoren

Richtlinien für sichere Passwörter in Ihrem Unternehmen

Um die Passwortsicherheit zu erhöhen, sollten Sie folgende Maßnahmen ergreifen:

1. Einzigartige Passwörter

• ●
  Verwenden Sie für jeden Dienst ein eigenes Passwort
• ●
  Insbesondere sollten berufliche und private Passwörter getrennt sein
• ●
  Nutzen Sie niemals dasselbe Passwort für kritische Systeme

2. Enterprise Passwort-Manager nutzen

Für Unternehmen kommen unter anderem diese Lösungen infrage:

• ●
  1Password Business, Bitwarden Business, Dashlane Business
• ●
  KeePass Enterprise für höchste Sicherheitsanforderungen
• ●
  Azure AD Password Protection für Microsoft-Umgebungen

Wichtige Funktionen für Unternehmen sind:

• ●
  Zero-Knowledge-Architektur: Anbieter kann Ihre Passwörter nicht einsehen
• ●
  Sichere Passwort-Freigabe: Kontrollierte Weitergabe ohne Preisgabe
• ●
  Breach-Monitoring: Automatische Warnung bei kompromittierten Passwörtern
• ●
  Compliance-Reporting: Audit-Logs und Sicherheitsberichte
• ●
  Integration in SSO: Nahtlose Zusammenarbeit mit Single Sign-On-Lösungen

Für die sichere Nutzung gelten zusätzlich diese Best Practices:

• ●
  Master-Passwort mit mindestens 20 Zeichen und hoher Entropie
• ●
  Hardware-basierte MFA (YubiKey, FIDO2) für Master-Account
• ●
  Regelmäßige Security-Audits der gespeicherten Passwörter
• ●
  Emergency Access für kritische Geschäftskontinuität konfigurieren

3. Mitarbeitersensibilisierung

• ●
  Schulen Sie Ihre Mitarbeiter regelmäßig über die Risiken unsicherer Passwörter
• ●
  Betonen Sie die Bedeutung von Passwortsicherheit
• ●
  Erstellen Sie klare Unternehmensrichtlinien

4. Adaptive Multi-Faktor-Authentifizierung (MFA)

Eine moderne MFA-Hierarchie nach Sicherheitsniveau sieht typischerweise so aus:

1. 1.
   Hardware-Token (FIDO2/WebAuthn): Höchste Sicherheit, Phishing-resistent
2. 2.
   Authenticator-Apps: TOTP/HOTP basiert (Authy, Microsoft Authenticator)
3. 3.
   Push-Notifications: App-basierte Bestätigung mit Kontextinformationen
4. 4.
   SMS/Anruf: Nur als letzter Ausweg, anfällig für SIM-Swapping

Für Unternehmen sind besonders diese MFA-Strategien relevant:

• ●
  Conditional Access: Risikobasierte Authentifizierung basierend auf Kontext
• ●
  Passwordless Authentication: Kompletter Verzicht auf Passwörter mit FIDO2
• ●
  Phishing-resistant MFA: Schutz vor modernen Phishing-Techniken
• ●
  Backup-Methoden: Mehrere MFA-Optionen für Ausfallsicherheit

Für KMU bietet sich eine pragmatische Umsetzung an:

• ●
  Microsoft 365: Azure AD MFA aktivieren
• ●
  Google Workspace: 2-Schritt-Verifizierung erzwingen
• ●
  Critical Services: Hardware-Token für Administratoren mandatory
• ●
  Phishing-Simulation: Regelmäßige Tests der MFA-Resilienz

Die Zukunft: Passwörter überflüssig machen

Neue Technologien wie "Passkeys" könnten Passwörter in Zukunft ersetzen. Dabei kommen kryptografische Verfahren zum Einsatz, die sicherer und benutzerfreundlicher sind.

Vorteile von Passkeys

• ●
  Höhere Sicherheit: Kryptografische Schlüssel statt Passwörter
• ●
  Benutzerfreundlichkeit: Einfachere Anmeldung ohne komplexe Passwörter
• ●
  Phishing-Schutz: Passkeys funktionieren nur auf der richtigen Website

Viele Geräte wie Smartphones, Tablets und PCs unterstützen diese Technologien bereits. Es bleibt abzuwarten, wann sich diese Verfahren flächendeckend durchsetzen, aber sie bieten schon jetzt eine vielversprechende Alternative.

Zusätzliche Sicherheitsmaßnahmen für Unternehmen

Kleine und mittlere Unternehmen können weitere Schritte unternehmen, um die Passwortsicherheit zu gewährleisten:

Account-Sicherheit

• ●
  Kontensperrung nach Fehlversuchen: Nach mehreren falschen Eingaben wird das Konto temporär oder dauerhaft gesperrt
• ●
  Deaktivierung von Gastkonten: Anonyme Anmeldeoptionen sollten deaktiviert werden, um unbefugten Zugriff zu verhindern

Single Sign-On (SSO)

• ●
  Ermöglicht Mitarbeitern den Zugriff auf mehrere Dienste mit nur einer Authentifizierung
• ●
  Erhöht sowohl die Sicherheit als auch die Benutzerfreundlichkeit
• ●
  Reduziert die Anzahl der zu merkenden Passwörter

Monitoring und Überwachung

• ●
  Überwachen Sie verdächtige Anmeldeaktivitäten
• ●
  Implementieren Sie Warnsysteme bei ungewöhnlichen Zugriffsmustern
• ●
  Führen Sie regelmäßige Sicherheitsaudits durch

Fazit

Sichere Passwörter sind ein essenzieller Bestandteil der IT-Sicherheit in jedem Unternehmen. Durch die Umsetzung effektiver Richtlinien und Sensibilisierung Ihrer Mitarbeiter können Sie das Risiko von Cyberangriffen deutlich reduzieren.

Die zentralen Empfehlungen sind:

• ●
  Nutzen Sie einen Passwort-Manager
• ●
  Aktivieren Sie Multifaktor-Authentifizierung
• ●
  Schulen Sie Ihre Mitarbeiter regelmäßig
• ●
  Bleiben Sie über neue Technologien wie Passkeys informiert

Bleiben Sie informiert über neue Technologien und passen Sie Ihre Sicherheitsstrategien entsprechend an, um stets optimal geschützt zu sein.