Richtlinie, Umgang mit Passwörtern

Kurzbeschreibung

Musterrichtlinie für den richtigen Umgang mit Passwörtern und Tipps für die Bildung von sicheren Passwörtern.

Vorbemerkung

Bei der Wahl der richtigen Passwörter tun sich viele PC-Nutzer schwer. Um dem zu entgehen, kommt es nicht selten vor, dass jemand ein Passwort für zehn verschiedene Programme bzw. Zugänge hat. Wen wundert's da, dass schlecht gewählte Passwörter auf der Hitliste besonders häufiger IT-Sicherheitsdefizite ganz weit oben stehen. Für Hacker ist dies natürlich dann sehr erfreulich. Sie setzen Werkzeuge ein, die vollautomatisch alle möglichen Zeichenkombinationen ausprobieren oder ganze Wörterbücher einschließlich gängiger Kombinationen aus Worten und angefügten Zahlen testen. Um das zu verhindern, sollte ein Passwort bestimmte Qualitätsanforderungen erfüllen.

Hinweis

Bitte lassen Sie sich Zeit und lesen Sie diese Richtlinie sehr aufmerksam, da in Zukunft davon ausgegangen wird, dass Sie ihren Inhalt sehr genau kennen und wissen, dass Sie sich an die hier festgelegten Grundsätze halten sollen.

Richtlinie zum Umgang mit Passwörtern

• Dokument in Textverarbeitung übernehmen

1 Hinweise zu Passwörtern

Passwörter spielen in den Konzepten der Datensicherheit nach wie vor eine zentrale Rolle und dienen der Legitimation der Benutzer. Oftmals werden Passwörter zusammen mit dem Benutzernamen als einziges Authentifizierungsmerkmal verwendet. Der Zugang zu bestimmten Informationen oder Rechnerressourcen wird ebenso über Passwörter reguliert wird wie der Zugriff auf ganze Netze.

Mit Passwörtern geschützte Ressourcen haben dabei höchst unterschiedliche Sicherheitsanforderungen. Wer etwa ein Passwort zur Teilnahme an einem Webforum benötigt, muss hieran nicht dieselben Anforderungen stellen wie an ein Passwort für einen ins Firmennetz integrierten Rechner mit weitreichenden Zugriffsrechten.

In den letzen Jahren sehen sich PC-Nutzer in ihrem beruflichen und auch privaten Umfeld einer ständig steigenden Flut an passwortgeschützten Diensten und Bereichen ausgesetzt. Neben dem Rechner-Passwort werden weitere Passwörter etwa für E-Mail-Postfächer, für Verschlüsselungstools oder den Zugriff auf geschützte Netzwerkressourcen benötigt. Auch bei der Nutzung von Internet-Diensten (Online-Shops, Online-Banking etc.) werden oftmals Passwörter zur Authentifizierung des Anwenders genutzt. Viele Nutzer neigen daher dazu, durch Vereinfachungsstrategien dieser Passwort-Flut besser zu begegnen.

Dies darf jedoch keinesfalls dazu führen, dass für sicherheitssensitive Bereiche im Unternehmen solche Passwörter verwendet werden, die aufgrund fehlender Komplexität oder zu einfacher Gestaltung keinen ausreichenden Schutz bieten.

Grundsätzlich muss bei der Passwortwahl ein Kompromiss zwischen zwei Anforderungen gefunden werden. Zum einen muss das Passwort möglichst lang und komplex sein, damit es ausreichend Sicherheit bietet, auf der anderen Seite muss es handhabbar bzw. praktikabel bleiben, etwa indem es sich leicht auswendig lernen lässt.

Richtlinien / Handlungsanweisungen

1. Je sensitiver die zu schützenden Ressourcen, desto größer müssen die Anforderungen an die Sicherheit der Passwörter sein. Um höheren Sicherheitsansprüchen zu genügen, sollte ein Passwort aus mindestens acht Zeichen bestehen. Je länger das Passwort, desto schwerer ist es zu knacken. Neben Buchstaben und Ziffern sollten im Passwort auch Sonderzeichen verwendet werden. Bei den Buchstaben sollten in jedem Fall Groß- und Kleinbuchstaben benutzt werden.

2. Auf keinen Fall dürfen dabei Namen oder sonstige reale Wörter aus welchen Sprachen auch immer verwendet werden, da diese zu leicht zu erraten sind und bei ernsthaften Angriffen stets zuerst ausprobiert werden. Auch nebeneinander liegende Tasten (qwertz, yxcvb) bieten keinerlei Sicherheit.

3. Begriffe oder Namen aus dem persönlichen Umfeld des Nutzers sollten in keinem Fall verwendet werden, auch nicht in abgewandelter Form, etwa indem diese Namen durch vor- oder nachgestellte Zahlen erweitert werden (etwa Julia87, 31_Klaus).

4. Um sich komplexe Passwörter besser zu merken, kann man auf bestimmte Eselsbrücken, zurückgreifen. So kann man z.B. Passwörter aus Gedichtzeilen, Liedtexten oder Buchtiteln herleiten, indem man zunächst die Anfangsbuchstaben hintereinander notiert und diese dann zusätzlich noch durch weitere Maßnahmen verfremdet. Ausgehend von WrssdNuW? (Wer reitet so spät durch Nacht und Wind?) könnte man z.B. bestimmte Buchstaben durch Ziffern ersetzen (etwa alle Vokale in ihrer Reihenfolge durch 1,2, 3 etc., was hier dann zum Passwort WrssdN1W? führt. Es sind aber auch beliebige andere Variationen möglich (Weglassen von Vokalen, Versetzen der Buchstaben um eine Stelle im Alphabet etc.). Anstelle eines komplizierten Passworts muss man sich hier nur noch die Konstruktionsregel merken, was wesentlich leichter sein dürfte.

5. Ein und dasselbe Passwort sollte nicht für unterschiedliche Einsatzbereiche verwendet werden. So angenehm es ist, sich nur ein Passwort merken zu müssen, so groß sind hier die Missbrauchsmöglichkeiten, wenn dieses Passwort in die falschen Hände gerät.

6. Passwörter dür...