Passwortstärke und Richtlinien

Trotz der zunehmenden Verbreitung von MFA und passwortloser Authentifizierung sind Passwörter weiterhin der häufigste Authentifizierungsfaktor. Ein schwaches Passwort ist bei Sicherheitsverletzungen der häufigste Ausgangspunkt für den Erstzugriff.

Starke Passwörter zeichnen sich aus durch:

• Länge – 16 oder mehr Zeichen erhöhen die Entropie erheblich
• Komplexität – eine Mischung aus Groß- und Kleinbuchstaben, Zahlen und Symbolen
• Unvorhersagbarkeit – keine Wörter aus dem Wörterbuch, Tastaturmuster oder persönlichen Informationen
• Einzigartigkeit – ein anderes Passwort für jedes Konto

Entropie misst die Unvorhersagbarkeit in Bits. Bei einem Passwort, das 94 druckbare ASCII-Zeichen verwendet, fügt jedes Zeichen etwa 6,5 Bit hinzu. Ein 16 Zeichen langes Passwort hat etwa 104 Bit Entropie und ist durch Brute-Force praktisch nicht zu knacken.

Länge ist wichtiger als Komplexität: "correcthorsebatterystaple" > "P@ss1".

Angreifer wissen, dass Benutzer Folgendes wählen:

• Wörter aus dem Wörterbuch mit einfachen Ersetzungen (p@ssw0rd)
• Persönliche Informationen (Geburtsdatum, Name des Haustiers)
• Tastaturmuster (qwerty, 123456)
• Firmennamen + Jahreszahl
• Überall dasselbe Passwort

Wirksame Passwortrichtlinien (gemäß NIST SP 800-63B):

• Mindestens 8 Zeichen (12 oder mehr empfohlen)
• Abgleich mit Listen bekanntermaßen kompromittierter Passwörter
• Keine regelmäßig vorgeschriebenen Passwortänderungen erzwingen (fördert schwache Passwörter)
• Keine willkürlichen Komplexitätsregeln erzwingen, die Benutzer umgehen
• Einfügen erlauben, damit Passwortmanager verwendet werden können

Ein Passwortmanager erzeugt und speichert für jedes Konto ein einzigartiges, starkes Passwort, geschützt durch ein einziges Master-Passwort. Dadurch wird die Wiederverwendung von Passwörtern vermieden – die Ursache von Credential-Stuffing.

Beliebte Optionen: Bitwarden (Open Source), 1Password, KeePass, Dashlane.

Eine Passphrase – vier oder mehr zufällige Wörter – verbindet gute Merkfähigkeit mit hoher Entropie. "TrafficLampFrogBridge" ist sicherer als "T!@#k7" und lässt sich wesentlich leichter merken und eingeben.

Für Unternehmensumgebungen:

• Mindestlänge über Group Policy / IdP erzwingen
• Häufig verwendete Passwörter blockieren (Liste der 100.000 häufigsten Passwörter)
• MFA für alle Konten aktivieren
• Protokolle auf Muster von Password-Spraying und Brute-Force-Angriffen überwachen
• LAPS für die Rotation lokaler Administratorkennwörter verwenden

HaveIBeenPwned (HIBP) von Troy Hunt enthält Milliarden gestohlener Zugangsdaten. Organisationen können die HIBP-API verwenden, um Passwörter zu blockieren, die in bekannten Sicherheitsverletzungen gefunden wurden.

Benutzer können ihre E-Mail-Adresse unter haveibeenpwned.com prüfen.

Biometrische Merkmale (Fingerabdruck, Gesicht) sind praktisch, haben aber Einschränkungen: Wenn sie kompromittiert wurden, können sie nicht geändert werden. Sie werden am besten als zweiter Faktor zusammen mit einem starken Passwort verwendet, nicht als Ersatz dafür.

Passkeys (FIDO2/WebAuthn) ersetzen Passwörter durch kryptografische Schlüsselpaaren. Der private Schlüssel verlässt das Gerät nie. Sie sind von Grund auf phishing-resistent – es gibt kein Passwort, das gestohlen werden kann. Apple, Google und Microsoft haben sie eingeführt.

Welche Maßnahme wird gemäß NIST SP 800-63B empfohlen, um die Passwortsicherheit zu verbessern?

Starke Passwörter beruhen eher auf Länge und Einzigartigkeit als auf komplexen Zeichenregeln. Passwortmanager lösen das Problem der Wiederverwendung. Die NIST-Richtlinien empfehlen den Abgleich mit Datenbanken zu Sicherheitsverletzungen, anstatt häufige Passwortänderungen zu erzwingen. Passkeys (FIDO2) sind die phishing-resistente Zukunft der Authentifizierung.