Ratgeber · Datensicherheit
Regelmäßiger Wechsel, Sonderzeichen, Komplexitätsregeln: welche Vorgaben nach heutigem Stand schaden – und was stattdessen zählt.
Jahrzehntelang galt: Passwörter müssen alle 90 Tage gewechselt werden, mit Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen. Beide Regeln gelten heute als überholt – das Bundesamt für Sicherheit in der Informationstechnik hat die Empfehlung zum regelmäßigen Wechsel bereits vor Jahren gestrichen.
Der Grund ist beobachtetes Verhalten. Wer alle drei Monate wechseln muss, denkt sich kein neues Passwort aus, sondern hängt eine Ziffer an. Aus Sommer2024! wird Sommer2025!. Für einen Angreifer, der ein altes Passwort kennt, ist das kein Hindernis. Und weil sich niemand vier verschiedene komplexe Passwörter im Jahr merken kann, landen sie auf Zetteln unter der Tastatur.
Gewechselt wird deshalb nur noch aus Anlass: bei Verdacht auf Kenntnisnahme durch Dritte, nach einem bekannt gewordenen Datenleck und beim Ausscheiden von Personen, die das Passwort kannten.
Was stattdessen gilt
Vier Regeln, die tatsächlich etwas bewirken – und die sich im Alltag einhalten lassen.
Werkzeug
Die häufigste Sorge lautet: Wenn alles an einer Stelle liegt, ist das nicht besonders gefährlich? Die Antwort: Das Gegenteil ist gefährlicher.
Die Alternative sind nicht sichere Passwörter im Kopf, sondern dieselben drei Passwörter überall, Zettel im Schreibtisch und Listen in Excel-Dateien auf dem Netzlaufwerk. Ein Manager ersetzt genau das.
Manche Zugänge gehören dem Betrieb, nicht einer Person: Bankportale, Behördenkonten, Herstellerportale. Ein Manager mit Team-Funktion gibt sie gezielt frei und protokolliert, wer sie genutzt hat.
Der Tresor sollte so verschlüsselt sein, dass auch der Anbieter nicht hineinsehen kann. Wichtig ist außerdem eine Notfallregelung: Was passiert, wenn die einzige Person mit dem Hauptpasswort ausfällt?
In jedem Betrieb gibt es Zugänge, die mehrere Personen nutzen. Sie sind der Bereich mit dem größten Risiko und der geringsten Aufmerksamkeit.
Häufige Fragen
In den meisten Fällen ja, aber nicht allein. Sinnvoll ist die Kombination: Wechselzwang entfernen, dafür Mindestlänge erhöhen, Zwei-Faktor-Anmeldung einführen und einen Passwortmanager bereitstellen.
Wenn Sie nur den Wechsel abschalten und sonst nichts ändern, verschlechtern Sie die Lage. Prüfen Sie außerdem, ob Vorgaben von Auftraggebern oder einer Zertifizierung entgegenstehen – manche Prüfkataloge hinken der Empfehlung noch hinterher.
Das betroffene Passwort ändern und alle anderen Dienste prüfen, bei denen dasselbe oder ein ähnliches verwendet wurde. Genau deshalb ist die Regel „jeder Dienst ein eigenes Passwort“ so wichtig – sie begrenzt den Schaden auf einen Dienst.
Prüfen Sie zusätzlich, ob im betroffenen Konto Weiterleitungen oder Regeln eingerichtet wurden, und ziehen Sie aktive Sitzungen zurück.
Sie sind der derzeit vielversprechendste Weg. Ein Passkey ist an ein Gerät gebunden und kann über eine gefälschte Anmeldeseite nicht abgegriffen werden – damit fällt der häufigste Angriffsweg weg.
Der Haken ist die Verbreitung: Nicht jede Fachanwendung unterstützt sie, und die Frage, was bei Geräteverlust passiert, muss vorher geklärt sein. Für die großen Dienste lohnt der Einstieg heute schon.
Es ist das einzige Passwort, das sich jemand merken muss – entsprechend darf es lang sein. Vier bis fünf zusammenhanglose Wörter sind ein guter Maßstab.
Wichtig ist die Notfallregelung: Ein Hauptpasswort, das nur eine Person kennt, ist ein Ausfallrisiko für den Betrieb. Hinterlegen Sie es versiegelt an einem sicheren Ort.
Dipl.-Ing. Mohamed Khater
Dipl.-Ing. Mohamed Khater hat die INFONET Computer GmbH 1992 in Köln gegründet. Bei Übernahmen finden wir regelmäßig Passwortlisten in Tabellen auf offenen Netzlaufwerken – meist entstanden, weil niemand eine bessere Lösung bereitgestellt hat.
Kostenloser Sicherheits-Check
Wir sehen uns an, welche Zugänge es gibt, wie sie abgesichert sind und wo noch Werkseinstellungen aktiv sind. Erfahrungsgemäß der Termin mit den meisten Überraschungen.
0221 984300-0Zentrale und Support-Hotline
[email protected]Antwort innerhalb von 4 Stunden an Werktagen
Robert-Perthel-Straße 7250739 Köln – Bilderstöckchen
Mo–Fr 09:00–18:00 UhrNotfallsupport nach Vereinbarung auch außerhalb
Diese Website funktioniert ohne Cookies, ohne Tracking und ohne Werbenetzwerke. Für eine einzelne Zusatzfunktion binden wir Inhalte eines fremden Anbieters ein. Dabei wird Ihre IP-Adresse dorthin übertragen – das geschieht nur, wenn Sie es erlauben.
