Illustration: Absmeier
Qwertz123, Passwort, Hallo – Sündenfälle bei der Passwortvergabe halten sich hartnäckig. Vielen Nutzern scheint immer noch nicht bewusst zu sein, dass sich Cyberkriminelle, etwa durch die Verwendung von Passwortlisten gestohlener, gängiger und beliebter Kennwörter, relativ einfach Zugang zu Konten verschaffen können. Um Sicherheitsmaßnahmen wie eine Sperrung wegen mehrfacher Eingabe falscher Zugangsdaten zu umgehen, nutzen Angreifer zum Beispiel zusätzlich Account-Listen und testen pro Konto jeweils nur ein besonders gängiges Passwort. Da in Deutschland die Zahlenfolge 123456 immer noch zu den absoluten Spitzenreitern bei der Passwortvergabe gehört, dürfte für Kriminelle bei derlei Attacken ein Treffer ins Schwarze nicht lange auf sich warten lassen.
Auch für die Unternehmenssicherheit gehört es deshalb zu den wichtigsten Maßnahmen, Mitarbeitern schlechte Passwortangewohnheiten möglichst abzutrainieren. Angestellte sollten regelmäßig darin geschult werden, was ein wirklich gutes Passwort ausmacht und welche Best Practices helfen, ihre Konten geschützt zu halten.
- Die Basics: Komplexe, lange, schwer zu erratende Passwörter
Um die Sicherheit zu erhöhen, können Security-Teams Richtlinien im Unternehmen für die Passwörtervergabe einführen. Einfache, leicht zu erratende Passwörter wie der Name des Ehepartners, das Geburtsdatum, Hobbys und andere Informationen, die durch Cyberkriminelle in Social-Media-Profilen ausgespäht werden können, sollten vermieden werden. Zu den allgemein bekannten Elementen, um Passwörtern Komplexität und damit eine Mindestsicherheit zu verleihen, gehören:
- Eine Kombination aus Groß- und Kleinbuchstaben
- Nummern
- Sonderzeichen oder Symbole
- Eine Mindestanzahl von Zeichen
Unter Sicherheitsexperten gibt es unterschiedliche Ansichten, ob Komplexität oder Länge von Passwörtern für die Sicherheit entscheidender ist. Längere Passwörter haben exponentiell mehr mögliche, zufällige Zeichenkombinationen, und Passwort-Cracker benötigen daher länger, um sie zu knacken. Es empfiehlt sich daher, Komplexität und Länge zu kombinieren.
- Einfache, aber starke Alternative: Passphrasen
Leicht zu merken und trotzdem stark? Hierfür bieten sich zum Beispiel Passphrasen an. Nutzer sollten jedoch einen individuellen und einzigartigen Ansatz verwenden, um ihre Passphrasen zu erstellen, die für sie leicht zu merken, aber für andere besonders schwer zu erraten sind. Im Folgenden ein Beispiel, wie sich aus einem Satz eine Passphrase mit Groß- und Kleinschreibung, Zahlen und Sonderzeichen generieren lässt, indem der jeweilige Anfangsbuchstabe der Wörter verwendet wird:
Heute ist der 1. Januar 2019 und ich erstelle eine Passphrase mit 18 Zeichen
=
Hid1J2019&ieePm18Z
- Kenn ich eines, kenn ich alle? Keine Mehrfachverwendung von Passwörtern
Die Mehrfachverwendung von Passwörtern zählt zu den größten Risiken in puncto Account-Sicherheit. Nutzer sollten für alle ihre Konten einzigartige Passwörter verwenden, denn hat ein Angreifer das Passwort eines Kontos erst mal geknackt, hat er logischerweise Zugriff auf alle anderen. Wichtig für die Unternehmenssicherheit ist auch, dass Mitarbeiter dazu angehalten werden, für ihre persönlichen und beruflichen Konten völlig unterschiedliche Passwörter zu verwenden.
- Zwei- oder Multifaktor-Authentifizierung
Wo möglich, empfiehlt sich die Verwendung von Zwei- oder Multi-Faktor-Authentifizierung, da sie eine zusätzliche, starke Sicherheitsebene gegen potenzielle Angreifer bietet. Diese Best Practice ist heute den meisten Nutzern bekannt, wird allerdings nicht immer ohne weiteres positiv angenommen, da sie teilweise als zeitaufwendig und frustrierend wahrgenommen wird.
- Regelmäßige Passwortänderung mit Augenmaß
Über die empfohlene Häufigkeit von Passwortänderungen gibt es einige Debatten unter Sicherheitsexperten, wie oft zu oft ist. Zu häufige obligatorische Passwortänderungen können auch negative Auswirkungen auf die Sicherheit haben, da dies die Wahrscheinlichkeit erhöht, dass bestimmte Nutzer sich für weniger sichere Passwörter entscheiden. Zudem neigen Nutzer auch dazu, nur subtile Änderungen vorzunehmen, anstatt völlig neue und starke Kennwörter zu erstellen. Bei der Festlegung der Richtlinien innerhalb eines Unternehmens sollte deshalb Wert auf Regelmäßigkeit, jedoch mit Augenmaß, gelegt werden.
- Passwörter niemals im Plain-Text speichern
Passwörter sollten niemals im Plain-Text gespeichert werden. Als Alternative bietet sich ein Passwort-Manager an. Diese Tools helfen zudem bei der Erstellung äußerst komplexer Kennwörter, ohne dass sich der Nutzer jedes einzelne merken muss.
Schutz selbst im Fall eines Sicherheitsverstoßes
Bei allen Sicherheitsvorkehrungen können jedoch auch starke Passwörter niemals einen 100-prozentigen Schutz gewährleisten. Ein mehrschichtiger Sicherheitsansatz aus Mitarbeiterschulungen und Technologien ist deshalb unabdingbar.
Für die Unternehmenssicherheit ist es wichtig, dass selbst im Falle eines Sicherheitsverstoßes wertvolle und sensible Informationen wie Kunden- oder Bankdaten, Geschäftsgeheimnisse und geistiges Eigentum geschützt bleiben. Datenzentrierte Sicherheitstechnologien wie Data Loss Prevention-Tools können hier Sicherheitsrisiken minimieren, indem sie verhindern, dass sensible Daten unerlaubt kopiert, verschoben oder gelöscht werden. Zudem können diese Technologien beispielsweise mithilfe von User Behavior and Entity Analysis (UEBA) ungewöhnliche Nutzeraktivitäten erkennen und schlagen Alarm, wenn ein kompromittierter Account von Cyberkriminellen dazu missbraucht wird, Datendiebstahl zu begehen.
Christoph M. Kumpa, Director DACH & EE bei Digital Guardian
Fast die Hälfte aller Unternehmen haben keine Kontrolle über Passwortsicherheit
Erhebliches Sicherheitsrisiko: Studie zur Passwort-Sicherheit bei Webportalen
Sorgloser Umgang mit Passwörtern als heikle Sicherheitslücke
Das hilfreiche Dutzend – Zwölf digitale Sicherheitstipps (nicht nur) für die Feiertage