Startpunkt: Analyse des Ist-Zustands
Zunächst einmal ist es wichtig, eine Bestandsaufnahme der im Unternehmen verwendeten Passwortrichtlinien zu machen. Für dieses Sicherheits-Assessment helfen Tools wie der Specops Password Auditor. Er analysiert die Benutzerkonten im Active Directory auf sämtliche passwortrelevanten Schwachstellen. Die Software scannt und überprüft die Passwort-Hashes der Benutzerkonten und gleicht sie gegen eine Datenbank mit kompromittierten Passwörtern, eine sogenannte Breached-Password-List, ab.

Die Offline-Datenbank umfasst beispielsweise bei der kostenlosen Version des Specops Password Auditor mehr als 800 Millionen Passwort-Hashes, die in der Vergangenheit durch Datendiebstahl bekannt geworden sind. Bei kostenpflichtigen Angeboten sind die Datenbanken bedeutend größer: So umfasst die Specops-Gesamtdatenbank 2,6 Milliarden kompromittierte Kennwörter.

Die gesammelten Informationen landen anschließend in einem Audit-Bericht und ermöglichen es Unternehmen, die Sicherheitsrisiken, die sich aus der Verwendung der eingesetzten Passwortrichtlinien ergeben, zu bewerten. Aufgrund dieser Fakten kann die Geschäftsführung dann je nach Risikobereitschaft entscheiden, ob diese akzeptiert oder mitigiert werden sollen.

Dreh- und Angelpunkt: Starkes Passwort
Im Anschluss geht es darum, technische und / oder organisatorische Maßnahmen zu implementieren, die den Einsatz starker Passwörter im Idealfall unternehmensweit garantieren. Aber was sind eigentlich starke Passwörter, und wie oft sollten diese von den Mitarbeitern gewechselt werden? Es ist bekannt, dass zu häufige Passwortwechsel die Benutzer dazu verleiten, in Muster bei der Passwortvergabe zu verfallen, die sich leicht erraten lassen.

Nach den aktuellen Empfehlungen des BSI fällt die Notwendigkeit die Passwörter regelmäßig zu ändern sogar weg, wenn starke Passwörter Verwendung finden – es sei denn sie sind kompromittiert. Allerdings ist die Gefahr groß, dass ein Kennwort durch "über die Schulter schauen" aufgedeckt wird. Eine mögliche Richtlinie kann es daher beispielsweise sein, Passwörter zumindest einmal pro Jahr zu ändern.

Um deren Stärke zu gewährleisten ist es wichtig, möglichst lange Passwörter zu nutzen. Denn wo bisher beispielsweise eine Kennwortlänge mit mindestens acht Zeichen und hoher Komplexität als Empfehlung galt, ist heute klar, dass sich damit keine starken Kennwörter mehr bilden lassen. Im Gegenteil: Starke Passwörter müssen heute in erster Linie lang sein, dafür aber nicht mehr zwingend komplex. Eine einfache und effektive Methode ist es, Passphrasen zur Generierung starker Kennwörter zu nutzen. Zusammenfassend lautet die einfache Formel: Starkes Passwort = Lang + geringe Komplexität + nicht kompromittiert.

Die Durchsetzung dieser Richtlinien lässt sich durch den Einsatz einer Third Party Password Policy beziehungsweise eines externen Passwortfilters für das Active Directory sicherstellen. Insbesondere der Übergang von klassischen Richtlinien (Acht Zeichen plus hohe Komplexität) zu Passphrasen kann über ein längenbasiertes Ablaufdatum schonend erfolgen. Hierbei sind sehr detaillierte und rollenbasierte Richtlinien möglich. So ergibt es Sinn, dort festzulegen, dass privilegierte Konten mindestens eine Länge von 15 Zeichen haben müssen und unterschiedliche Regeln für Standard- und Admin-Accounts gelten. Um die Stärke der Passwörter noch besser zu gewährleisten, muss die IT zwingend alle Kennwörter gegen Listen mit kompromittierten Passwörtern validieren und einfach zu erratene Kennwörter blockieren.

Fazit
Die Bedrohungslage durch Cyberkriminelle nimmt weiter zu. Gleichzeitig ist die Durchsetzung von starken Passwörtern ist einer sich zunehmend dezentral organisierten Unternehmenswelt wichtiger denn je. Nötig ist es daher, die Schwachstelle Passwort in einen effektiven Schutz und aktiven Posten in der Gefahrenabwehr umzugestalten. Hilfreich, wenn nicht unentbehrlich, ist dabei der Einsatz von Password Policies als technische Maßnahme, die individuell auf die Sicherheitsbedürfnisse des Unternehmens zugeschnitten ist und es den Benutzern ermöglichen, starke Passwörter zu erstellen, die in Echtzeit auf Kompromittierung überprüft werden.