Über Bord mit veralteten starren Passwort-Richtlinien

Passwörter müs­sen stets lang (min­de­stens 8 Zeichen) und kom­plex (Groß- und Kleinbuchstaben, Sonderzeichen und Zahlen) sein. Dazu bit­te ein Wechselintervall von 90 Tagen und für jede Anmeldung ein ande­res Passwort. Steht so in den mei­sten Richtlinien, Dienstanweisungen und Betriebsvereinbarungen die­ser Welt.

Das Bundesamt für Sicherheit in der Informationstechnik (kurz BSI) beschreibt die­se Vorgaben bei­spiels­wei­se in den Maßnahmen M 2.11 (Regelungen des Passwortgebrauchs) oder auch M 4.48 (Passwortschutz unter Windows) des IT-Grundschutzkatalogs. Und in vie­len Fällen gilt der BSI IT-Grundschutzkatalog als das Maß aller Dinge bei Auditoren und Prüfern.

Passwort-Mythen

Doch wer­fen wir mal einen Blick auf die Details die­ser Vorgaben und deren Sinnhaftigkeit.  Klar ist, tri­via­le Passwörter wie “123456”, “QWERTZ” oder “pass­wort” soll­ten sich eben­so aus­schlie­ßen wie die Namen der Familienangehörigen oder Haustiere. Diese sind dank Google und der akti­ven Unterstützung durch die stets miß­ver­ständ­li­chen Privatsphäre-Einstellungen sozia­ler Netzwerke dann doch zu leicht her­aus­zu­fin­den.

Anders sieht es jedoch schon bei den Empfehlungen des BSI bei der zu wäh­len­den Passwort-Länge aus. Das BSI emp­fiehlt 8 Stellen oder mehr, nur in begrenz­ten Ausnahmefällen 6 Stellen. In der Maßnahme 4.48 ist sogar von 14 Stellen und mehr für Verwaltungsaccounts die Rede.

Haben Sie sich schon mal gefragt, wie­so Banken für die Absicherung von EC- und Kreditkarten nur auf 4 Zahlen PIN set­zen? Machen die­se denn kein Risikomanagement? Na klar machen sie das, jeden Tag und das sogar sehr erfolg­reich. Dreimalige Falscheingabe und die Karte ist gesperrt, der Missbrauch aus­ge­schlos­sen. Schutzziel erreicht!

Also wie­so dann bei einem sol­chen Bedrohungsszenario stur auf ein Passwort unter den ein­gangs genann­ten Regelungen bestehen? Sinnfrei, oder? Drei oder eini­ge mehr Fehlversuche und dann ist Schluss. Übertragen auf den mit einer sol­chen Sperre aus­ge­stat­te­ten Benutzeraccount: Mehrmalige Falschanmeldung und der Benutzeraccount ist gesperrt und / oder wird erst nach eini­ger Verzögerung wie­der zur erneu­ten Anmeldung frei­ge­ge­ben. Der Benutzer merkt es (sofern er die Sperrung nicht selbst ver­ur­sacht hat) beim näch­sten Anmelden. Die IT erhält über das Systemprotokoll eben­falls einen Hinweis über die­sen “Versuch”, kann prü­fen und ange­mes­sen reagie­ren. Schutzziel erreicht! Dies funk­tio­niert zumin­dest bei Accounts, die mit einer sol­chen Sperre und / oder Verzögerung aus­ge­stat­tet wer­den kön­nen. In der Praxis wür­de sich auch eine Kombination anbie­ten (nach 3 Fehlversuchen Verzögerung, nach wei­te­ren x Fehlversuchen Sperrung), dies wäre im Einzelfall aus­zu­pro­bie­ren. Für Offline-Angriffe (bei­spiels­wei­se Dokumenten-Passwörter) müs­sen selbst­ver­ständ­lich gehär­te­te Passwörter mit ent­spre­chen­der Länge und Komplexität gewählt wer­den.

Und da haben wir auch schon das näch­ste Stichwort: Wie sieht es mit dem Thema Passwort-Komplexität aus? Nach der Länge eines Passworts scheint die Komplexität den mei­sten Schutz zu bie­ten, glaubt man den Verfechtern die­ser Theorie. Generell steigt der Aufwand zum Erraten (oder Knacken) eines Passworts mit der Vergrößerung des Suchraums. Daher wer­den neben den 52 Zeichen des Alphabets (groß- und klein­ge­schrie­ben) die zehn Ziffern 0 bis 9 sowie die 22 übli­chen Sonderzeichen hin­zu­ge­nom­men. Schwenken wir kurz in die Mathematik und schau­en, wie­vie­le Varianten sich im Vergleich erge­ben:

  • 2,5 * 1015  mög­li­che Varianten für ein Passwort mit 8 Stellen mit Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen
  • 2,8 * 1015  mög­li­che Varianten für ein Passwort mit 9 Stellen und nur mit Buchstaben

Auf einen Blick ist zu erken­nen, der Suchraum wird mit einer Stelle mehr viel höher als durch die Beibehaltung der Länge und dem Hinzufügen einer Komplexität. Noch Fragen?

Ok, aber der regel­mä­ßi­ge Passwort-Wechsel, das ist sicher, das müs­sen wir so machen! Warum? [Anmerkung des Autors: “Eine mei­ner Lieblingsfragen!”] Wenn sich die Passwort-Strategie in mei­ner Organisation an der Bedrohungslage und den mög­li­chen Angriffsszenarien aus­rich­tet, gibt es weni­ge Anlässe, zu denen ein Passwort zu wech­seln ist:

  • Passwort wur­de aus­ge­späht
  • Passwort wur­de unzu­läs­si­ger­wei­se an eine Kollegin oder einen Kollegen wei­ter­ge­ge­ben
  • Bei der Erstkonfiguration, also dem Ändern vor­ein­ge­stell­ter Passwörter

Salopp: Besteht der Verdacht, ein Passwort wur­de kom­pro­mit­tiert, dann wird es gewech­selt. Doch die Praxis sieht anders aus, Wechselintervalle von alle 90–120 Tage sind die Regel. Wie reagiert der Anwender? Genervt. Und das zu Recht. Lesen Sie ger­ne mehr zum Thema (exter­ner Link Ars Technica 2016).

Dann brau­chen wir aber unbe­dingt die Vermeidung von ein- und dem­sel­ben Passwort für meh­re­re Anmeldungen! Warum? 🙂 Müssten dann nicht Vorgehensweisen wie das Single-Sign-on (M 4.498 BSI) von vorn­her­ein aus Schutzgründen abge­lehnt wer­den? Auch hier gilt es erneut, dif­fe­ren­zier­ter vor­zu­ge­hen. Bei inter­nen Anmeldeverfahren mit ent­spre­chen­den Schutzmöglichkeiten (sie­he Passwort-Komplexität) gibt es kei­nen nach­voll­zieh­ba­ren Grund für unter­schied­li­che Passwörter. Hier macht bei­spiels­wei­se Single-Sign-on auch Sinn. Für Anmeldeverfahren außer Haus wie bei­spiels­wei­se Cloud-Services und Online-Shops soll­te jedoch nicht das “inter­ne” Passwort zum Einsatz kom­men. Dafür emp­fiehlt sich in der Tat die Nutzung ande­rer Passwörter mit ent­spre­chen­den Vorschriften in Bezug auf Länge und Wechsel. Eine Faustregel für exter­ne Passwörter kann lau­ten “Jeder Betreiber / Anbieter erhält ein eige­nes Passwort”.

Passwort-Richtlinien in der Praxis

Sie ner­ven unge­mein! Da die wenig­sten Richtlinien sich mit den Sachverhalten der Angriffsszenarien und Bedrohungen aus­ein­an­der­set­zen, wird hier meist mit “Schema F” gear­bei­tet. Haben wir ja auch schon immer so gemacht. Hat sich ja bewährt. Fragen Sie mal Ihre Anwender! Die haben über Jahre ihre Mittel und Wege gefun­den, um mit dem so beque­men Thema nach “Schema F” umzu­ge­hen. Nämlich ihr eige­nes “Schema F”. Passwörter wer­den auf­ge­schrie­ben, mun­ter getauscht, ent­hal­ten nume­ri­sche Sequenzen zum Hochzählen zur Umgehung der Generationenpasswörter, fügen bei jedem Wechsel das näch­ste Sonderzeichen auf der Tastatur am Anfang oder Ende des Passworts ein und … und … und … Und Sie glau­ben, das ist sicher?

Informationssicherheit wird immer wich­ti­ger

Neben allen recht­li­chen Auflagen zur Informationssicherheit, der IT-Sicherheit und dem Datenschutz wird es immer wich­ti­ger, zur Absicherung der eige­nen Organisation bis­he­ri­ge Vorgehensweisen auf den Prüfstand zu stel­len, bei Bedarf anzu­pas­sen oder bei Nichtvorhandensein ent­spre­chend ein­zu­füh­ren. Das Thema wird immer kom­ple­xer, die Bedrohungen und Risiken immer mehr.

Ohne Ihre Anwender ste­hen Sie auf ver­lo­re­nem Posten. Sie brau­chen deren Unterstützung, damit neben zahl­rei­chen Richtlinien und Anweisungen das Thema Sicherheit in Ihrer Organisation wirk­lich gelebt wird und nicht nur auf dem Papier steht. Feilschen Sie dar­um! Wie jetzt? Ja, feil­schen Sie dar­um! Fordern Sie die Unterstützung Ihrer Mitarbeiter ein und bie­ten dafür im Gegenzug pra­xis­ge­rech­te Regelungen, die den Arbeitsalltag nicht noch schwe­rer machen als bis­her. Mehr Unterstützung (z.B. beim manu­el­len Logout aus Systemen bei Abwesenheit oder der rich­ti­gen Entsorgung von Daten) sei­tens der Mitarbeiter und dafür im Gegenzug eine prak­ti­ka­ble Passwort-Richtlinie, die nicht die Gängelung der Mitarbeiter im Vordergrund hat, son­dern Lösungen anbie­tet. Klappt! Glauben Sie nicht? Probieren Sie es aus! Wir machen die Erfahrung immer wie­der auf’s Neue bei unse­ren Kunden.

Danke an Dirk Fox und Frank Schaefer, die die­ses Thema bereits 2009 beleuch­tet haben. Dies ist ein neu­er Anlauf, um etwas Schwung rein­zu­brin­gen.

Sie sehen das ganz anders? Wir freu­en uns auf eine rege Diskussion.

1 Antwort

Trackbacks & Pingbacks

  1. […] In einem Interview hat sich der nun in Rente ste­hen­de Burr gegen­über der Washington Post geäu­ßert. „Die Wahrheit ist: Ich war auf dem fal­schen Dampfer.“ Wir haben auf unse­rem Sicherheitsblog in 2016 bereits einen Artikel hier­zu ver­fasst „Über Bord mit ver­al­te­ten star­ren Passwort-Richtlinien“. […]

Dein Kommentar

Want to join the discussion?
Feel free to contribute!

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.