Neue Regeln für Passwörter
Noch immer muss die Belegschaft in vielen Firmen und Behörden regelmäßig die Passwörter wechseln. Das Wechseln alle 90 Tage gehörte seit 2003 zum Standard für sichere Passwörter. Zwar hat das »National Institute of Standards and Technology« (NIST) – eine US-Behörde, welche die Technologiestandards für die USA festlegt – diese von ihr festgelegte Vorgabe schon 2017 zurückgezogen, in Deutschland änderte sich dadurch aber nichts. Damit sollte es nun vorbei sein, denn das »Bundesamt für Sicherheit in der Informationstechnik« (BSI) fordert im aktuellen »IT-Grundschutz-Kompendium« vom Februar 2020 nicht mehr den regelmäßigen Passwortwechsel.
Bis wann diese Erkenntnis in deutschen Betrieben und Verwaltungen angekommen sein wird, bleibt abzuwarten. Dabei sprechen gewichtige Gründe gegen einen regelmäßigen Passwortwechsel: Die Erfahrung zeigt, dass ein regelmäßiger Passwortwechsel dazu führt, dass sich die Betroffenen das Passwort viel schlechter merken können und es daher häufig in der Nähe des Arbeitsplatzes notieren oder von vornherein ein unsicheres Passwort verwenden. Die neue Empfehlung lautet: Gilt ein Passwort als sicher und ist noch nicht bei anderen Menschen im Umlauf, sollte es nicht geändert werden. Eine Änderung des Passworts muss allerdings immer erfolgen, wenn es offengelegt wurde oder dies zu vermuten ist. Doch was ist ein sicheres Passwort und wie geht man sicher mit einem Passwort um?
Das kleine Passwort-ABC
Passwörter werden an vielen Stellen im PC-Bereich benötigt. Daher machen Administrierende Vorgaben, wie ein Passwort aussehen muss (also Passwortlänge und Zusammensetzung des Passworts, wie Zahlen, Großbuchstaben, Sonderzeichen etc.). Ist das nicht der Fall, führt das immer wieder dazu, dass zu einfache, nicht sichere Passwörter benutzt werden und/oder ein Passwort überall benutzt wird, da es schwierig ist, sich die vielen Passwörter zu merken. Das ist leider auch auf den Computern der Interessenvertretung häufig so.
Passwörter werden auch häufig im Internet gefordert – ob beim Kauf eines Produkts, bei internen Websites oder beim Anmelden zum E-Mail-Account. Daher fragen Browser beim Besuch von passwortgeschützten Websites, ob sie das Passwort speichern sollen. Das ist zwar praktisch, da beim erneuten Besuch der Website das Passwort nicht erneut eingegeben werden muss, aber nicht wirklich sicher, da es dann für alle, die den Rechner ebenfalls benutzen, leicht ist, in den geschützten Bereich zu gelangen. Zudem ist das Speichern von Passwörtern im Browser gefährlich, da sie oftmals leicht auszulesen sind. Gespeicherte Passwörter werden zwar verschlüsselt abgelegt, lassen sich aber mit einem entsprechenden Hackertool recht problemlos knacken. In allen Browsern lässt sich aber das Speichern von Passwörtern in den Einstellungen deaktivieren und stattdessen beispielsweise ein Passwortmanager oder eine andere Methode einsetzen.
Drei Aspekte sind für die Sicherheit von Passwörtern besonders wichtig:
- Wie sicher ist das benutzte Programm konstruiert, d.h., liegen Passwörter beispielsweise in einer Klartextdatei ab?
- Hat das Passwort eine ausreichende Qualität?
- Wird es sicher aufbewahrt?
Wie sicher ein Programm ist, können Laien kaum beurteilen. Daher sollte jegliche Software nur aus sicheren Quellen bezogen (Herstellerseite im Internet) und Updates regelmäßig aufgespielt werden. (...)
Den vollständigen Beitrag lesen Sie in »Computer und Arbeit« 6/2020.
Jetzt 2 Ausgaben »Computer und Arbeit« gratis testen und sofort online auf alle Inhalte zugreifen!
© bund-verlag.de (ct)
