Passwort-Richtlinie für Unternehmen
Wie eine zeitgemässe Passwort-Richtlinie aussieht: Mindestlänge, Sperrlisten, Verzicht auf erzwungene Wechsel, MFA-Pflicht – mit Vorlage und Umsetzungsplan.
Was sich an den Empfehlungen geändert hat
Viele bestehende Richtlinien stammen aus einer Zeit, in der erzwungene Passwortwechsel und Zeichenklassenregeln als Stand der Technik galten. Die aktuellen Leitlinien des NIST (SP 800-63B) empfehlen ausdrücklich das Gegenteil: keine periodischen Wechsel ohne Anlass und keine erzwungenen Zeichenklassen, dafür grosszügige Mindest- und Maximallängen sowie den Abgleich mit Sperrlisten bekannter Passwörter. Der Grund ist empirisch: Erzwungene Wechsel führen zu vorhersehbaren Ableitungen wie Passwort1 → Passwort2.
Vor der Übernahme prüfen
Regulatorische Vorgaben Ihrer Branche, Zertifizierungen oder Kundenverträge können strengere oder abweichende Anforderungen enthalten. Diese Vorlage ist ein fachlicher Ausgangspunkt und ersetzt keine Prüfung durch Ihre Compliance- oder Rechtsabteilung.
Vorlage: Regeln mit Begründung
| Regel | Vorgabe | Begründung |
|---|---|---|
| Mindestlänge | 12 Zeichen für Standardkonten, 16 für privilegierte Konten | Länge ist der wirksamste Hebel gegen Durchprobieren |
| Maximallänge | mindestens 64 Zeichen erlauben | Passphrasen und Manager-Passwörter dürfen nicht abgeschnitten werden |
| Zeichenklassen | keine Pflicht | erzeugt vorhersehbare Muster ohne Sicherheitsgewinn |
| Sperrliste | Abgleich gegen bekannte und geleakte Passwörter bei jeder Festlegung | verhindert die real erfolgreichsten Angriffe |
| Wechselintervall | kein Wechsel ohne Anlass; sofortiger Wechsel bei Verdacht | anlasslose Wechsel senken die Qualität |
| Wiederverwendung | dienstliche Passwörter nie privat verwenden und umgekehrt | verhindert Übergriff von privaten Datenlecks |
| MFA | Pflicht für Remote-Zugriff, Administratoren und Cloud-Dienste | entwertet gestohlene Passwörter |
| Speicherung | unternehmensweiter Passwortmanager, keine Listen in Dateien oder Tickets | macht einzigartige Passwörter praktikabel |
| Hashing | Argon2, scrypt oder bcrypt mit zeitgemässen Parametern, immer gesalzen | verteuert Offline-Angriffe nach einem Leck |
| Kontosperre | Rate Limiting und Verzögerung statt harter Dauersperre | verhindert Denial-of-Service durch gezielte Fehlversuche |
| Sicherheitsfragen | nicht einsetzen | Antworten sind oft öffentlich recherchierbar |
| Offboarding | Zugänge am letzten Arbeitstag deaktivieren, geteilte Geheimnisse rotieren | verhindert Zugriff nach dem Austritt |
Einführung in sechs Schritten
- Bestand aufnehmen: Welche Systeme haben eigene Passwortdatenbanken, welche hängen am zentralen Verzeichnis?
- Technische Umsetzbarkeit prüfen: Unterstützen Verzeichnisdienst und Fachanwendungen Längen bis 64 Zeichen und Sperrlisten?
- Richtlinie schriftlich verabschieden, Verantwortlichkeiten und Ausnahmen mit Begründung festhalten.
- Passwortmanager unternehmensweit ausrollen, inklusive Team-Tresoren für geteilte Zugänge.
- MFA gestaffelt einführen: Administratoren und Remote-Zugriff zuerst, danach alle Mitarbeitenden.
- Schulung und Wirksamkeitskontrolle: Sperrlisten-Treffer, MFA-Abdeckung und privilegierte Konten regelmässig auswerten.
- Privilegierte Konten getrennt vom Alltagskonto führen.
- Dienst- und Maschinenkonten mit langen Zufallsgeheimnissen versehen und automatisiert rotieren.
- Geteilte Zugänge nur über den Passwortmanager, nie per E-Mail oder Chat.
- Angriffsmodell und Begründung im Team teilen – Grundlagen dazu unter Brute Force und Credential Stuffing.
Quellen
- NIST SP 800-63B (Draft 4): Passwords
- BSI – Bundesamt für Sicherheit in der Informationstechnik: Sichere Passwörter erstellen
- NIST SP 800-63-4: Digital Identity Guidelines
Die Auswahlkriterien für Quellen sind auf der Seite Redaktionelle Richtlinien & Quellen dokumentiert.
Verwandte Ratgeber
- Zwei-Faktor-Authentifizierung und PasskeysWelcher zweite Faktor wogegen schützt – mit Vergleichstabelle und Entscheidungshilfe.
- Brute Force, Wörterbuch- und Credential-Stuffing-AngriffeOnline- und Offline-Angriffe im Vergleich – mit realistischem Angriffsszenario.
- Passwortmanager richtig einsetzenVergleich der Bauarten, Auswahlkriterien und ein Schritt-für-Schritt-Einstieg.
Hinweis: Dieser Beitrag ist allgemeine Information zur IT-Sicherheit und keine individuelle Sicherheitsberatung. Für konkrete Risiken in Ihrer Organisation ziehen Sie bitte eine fachkundige Prüfung heran.