Kennen Sie das? Die IT verlangt alle 30 Tage ein neues Passwort mit Großbuchstaben, Ziffer und Sonderzeichen, und drei Wochen später klebt ein gelber Zettel unter der Tastatur. Eine Passwort-Richtlinie im Unternehmen ist nur so gut wie ihre Akzeptanz im Alltag. In diesem Beitrag zeigen wir, welche Regeln sich bei unseren Kunden bewährt haben und wo gut gemeinte Vorgaben eher schaden.
Anlass gibt es genug: Erst im September hat Yahoo bekanntgegeben, dass Daten von mindestens 500 Millionen Konten entwendet wurden. Solche Datensätze landen früher oder später in Listen, mit denen Angreifer automatisiert ausprobieren, ob dieselbe Kombination aus E-Mail-Adresse und Passwort auch woanders funktioniert. Wer sein Firmenpasswort auch privat nutzt, öffnet damit unter Umständen die Tür zum Firmennetz.
Warum viele Passwortregeln im Unternehmen scheitern
Menschen sind erfinderisch, wenn eine Regel lästig ist. Aus „Sommer2016!“ wird im nächsten Quartal „Herbst2016!“. Formal erfüllt das jede Komplexitätsvorgabe, praktisch ist es leicht zu erraten. Die typischen Fehler, die wir bei Bestandsaufnahmen sehen:
- Zu häufiger Wechselzwang: Wer ständig neue Passwörter erfinden muss, wählt Muster mit hochgezählten Ziffern.
- Komplexität statt Länge: Ein kurzes Passwort mit Sonderzeichen ist oft schwächer als ein langer, merkbarer Satz.
- Ein Passwort für alles: Windows-Anmeldung, Webshop-Backend, Router, private Mailbox.
- Geteilte Konten: „info@“ oder „admin“ mit einem Passwort, das seit Jahren alle kennen, auch ehemalige Mitarbeiter.
- Keine Regel für Notfälle: Niemand weiß, wo das Passwort für die Domainverwaltung liegt, wenn der zuständige Kollege krank ist.
Regeln, die im Alltag funktionieren
Unsere Empfehlung für kleine und mittlere Betriebe lässt sich auf wenige Punkte bringen. Sie ersetzen keine individuelle Sicherheitsanalyse, sind aber ein guter Startpunkt.
1. Länge schlägt Komplexität
Setzen Sie eine Mindestlänge von zwölf Zeichen, für Administratorkonten gerne mehr. Erlauben Sie ausdrücklich Passphrasen, also mehrere Wörter mit Leerzeichen oder Trennzeichen: „Kaffee mit Milch um halb neun am Rhein“ ist lang, merkbar und für Angreifer deutlich schwerer zu knacken als „K@ffee1“.
2. Ein Konto, ein Passwort
Das Firmenpasswort wird nirgendwo sonst verwendet, schon gar nicht privat. Diese Regel ist wichtiger als jede Vorgabe zu Sonderzeichen, weil sie genau gegen das Ausprobieren gestohlener Zugangsdaten schützt.
3. Passwortmanager statt Zettelwirtschaft
Niemand kann sich zwanzig unterschiedliche Passwörter merken. Ein Passwortmanager, lokal oder als Teamlösung, erzeugt starke Passwörter und füllt sie aus. Mitarbeiter merken sich dann nur noch ein gutes Masterpasswort. Wichtig: Klären Sie, welches Werkzeug freigegeben ist, und schulen Sie die Nutzung kurz. Sonst installiert jeder etwas anderes.
4. Wechsel bei Anlass, nicht nach Kalender
Wir halten wenig davon, Passwörter monatlich zu erzwingen. Sinnvoller ist ein Wechsel, wenn es einen Grund gibt: Verdacht auf Kompromittierung, Ausscheiden eines Mitarbeiters mit Kenntnis gemeinsamer Zugänge, ein bekannt gewordener Datenabfluss bei einem Dienst. Falls Ihre Branche oder Ihr Auditor feste Intervalle verlangt, wählen Sie lieber großzügige Zeiträume und kombinieren Sie diese mit Länge statt Komplexität.
5. Zweiter Faktor, wo es zählt
Für E-Mail-Konten im Webzugang, Fernzugriff (VPN), Online-Banking und Verwaltungsoberflächen von Website und Domain lohnt sich eine Zwei-Faktor-Authentisierung, etwa per App auf dem Smartphone. Ein gestohlenes Passwort allein reicht dann nicht mehr.
6. Persönliche statt geteilte Konten
Wo immer möglich, bekommt jeder Mitarbeiter eigene Zugangsdaten. Das erleichtert das Sperren beim Ausscheiden und zeigt im Zweifel, wer was geändert hat. Unvermeidbare Gemeinschaftskonten gehören in den Passwortmanager mit klarer Zuständigkeit.
Die Passwort-Richtlinie auf einer Seite
Eine Richtlinie, die niemand liest, nützt nichts. Wir empfehlen, die Kernregeln auf eine Seite zu bringen und bei der Einarbeitung neuer Kollegen kurz zu besprechen. So könnte sie aussehen:
| Bereich | Regel |
|---|---|
| Länge | mindestens 12 Zeichen, Passphrasen ausdrücklich erlaubt |
| Wiederverwendung | Firmenpasswörter nur für einen Zugang, nie privat |
| Aufbewahrung | nur im freigegebenen Passwortmanager, keine Zettel, keine Excel-Liste |
| Wechsel | bei Verdacht, nach Datenpannen und bei Personalwechsel |
| Zwei-Faktor | Pflicht für Fernzugriff, E-Mail im Browser, Admin-Oberflächen |
| Weitergabe | niemals per Telefon oder E-Mail, auch nicht an „die IT“ |
| Notfall | versiegelter Umschlag oder Notfallzugang für Geschäftsführung |
Technik unterstützt, ersetzt aber nicht den Menschen
Viele Regeln lassen sich technisch hinterlegen: Im Windows-Netzwerk legen Gruppenrichtlinien Mindestlänge und Kontosperre nach mehreren Fehlversuchen fest. Router, Drucker und NAS-Systeme haben dagegen oft noch Standardpasswörter ab Werk. Gehen Sie diese Geräte einmal systematisch durch, das ist erfahrungsgemäß eine der lohnendsten halben Stunden im Jahr.
Mindestens genauso wichtig ist der Umgang mit Anfragen von außen. Ein Anruf „von der IT-Abteilung“, die angeblich kurz das Passwort braucht, oder eine E-Mail mit Link auf eine nachgebaute Anmeldeseite: Hier hilft keine Gruppenrichtlinie, sondern nur eine klare Ansage. Bei uns heißt sie: Ihr Passwort fragt niemand ab, auch wir nicht.
Checkliste für die Einführung
- Bestandsaufnahme: Welche Systeme, welche Konten, welche gemeinsamen Zugänge gibt es?
- Standardpasswörter an Router, Druckern, Kameras und NAS ändern.
- Passwortmanager auswählen und für alle einrichten.
- Richtlinie auf einer Seite formulieren und mit dem Team besprechen.
- Zwei-Faktor für die kritischen Zugänge aktivieren.
- Prozess für Ein- und Austritt festlegen: Konten anlegen, sperren, gemeinsame Passwörter ändern.
- Einmal im Jahr prüfen, ob die Regeln noch gelebt werden.
Unser ehrlicher Eindruck nach vielen Gesprächen: Die meisten Mitarbeiter wollen sicher arbeiten, sie brauchen nur Regeln, die sich mit dem Arbeitstag vertragen. Eine kurze, verständliche Passwortrichtlinie plus Passwortmanager bringt mehr als jede noch so strenge Vorgabe, die dann heimlich umgangen wird.
Wir helfen Ihnen gerne
Sie möchten Ihre Passwortregeln überarbeiten, einen Passwortmanager im Team einführen oder Ihre Geräte einmal auf Standardpasswörter prüfen lassen? Das IT-Team der Mittelstandsoptimierer unterstützt Sie dabei, pragmatisch und ohne Fachchinesisch. Rufen Sie uns an unter 06131 144928-0.
Herzliche Grüße aus Mainz
