Das ist das Ende der Passwortkomplexität, wie wir sie kennen.
Nachdem das NIST (National Institute of Standards and Technology) Unternehmen jahrelang dazu gedrängt hatte, regelmäßige Passwortwechsel durchzusetzen und von den Mitarbeitern die Verwendung komplexer Passwörter mit Buchstaben, Zahlen und Sonderzeichen zu verlangen, hat es nun überraschende neue Leitlinien herausgegeben – denn wie sich herausstellt, funktioniert nichts von all dem, was bisher als Standard galt.
Die kürzlich unter aktualisierten NIST-Empfehlungen sehen vor, dass Passwörter zwischen 15 und 64 Zeichen lang sein sollten, und empfehlen Unternehmen, Zufallsgeneratoren und Passwortmanager zu verwenden, um die Sicherheit der Passwörter zu gewährleisten.
Die neuen Leitlinien überraschten Teile der Branche, obwohl die NIST-Mitglieder bereits seit einigen Jahren in diese Richtung tendierten. Tatsächlich hat Bill Burr, ein Manager der mittleren Führungsebene, der das NIST-Papier „ 2003 “ verfasst hat, in dem den Menschen empfohlen wurde, komplexe Passwörter zu verwenden, eingeräumt, dass dieser Ratschlag falsch war. „Vieles von dem, was ich getan habe, bereue ich heute“, erklärte der inzwischen im Ruhestand befindliche Burr im Jahr 2017 gegenüber dem „Wall Street Journal“.
Roger Grimes, ein renommierter Experte für Passwortauthentifizierung bei KnowBe4, erklärt, dass es – obwohl sich Unternehmen an die Richtlinien zur Komplexität gehalten haben – kaum – wenn überhaupt – Belege dafür gibt, dass Passwörter durch eine bestimmte Art der Erstellung unknackbar werden können.
„-Hacker können heutzutage sogar komplexe Passwörter mit 18 Zeichen knacken, wenn diese nicht wirklich zufällig sind“, erklärt er. „Komplexität vermittelt den Anschein von Sicherheit, führt in der Praxis jedoch häufig zu vorhersehbaren Mustern oder sogar zur Wiederverwendung von Passwörtern auf verschiedenen Websites.“
Diese Sichtweise scheint im Mittelpunkt der neuen Leitlinien des NIST zu stehen, wonach einfache Passphrasen mit 19 Zeichen wie „OfficeLunchOrder2024“ sicherer wären als komplexere Passwörter mit 10 Zeichen wie „P@ssw0rd1!“. da es mit Brute-Force-Methoden länger dauert, sie zu knacken.
„Hochkomplexe Passwörter bergen eine neue potenzielle Schwachstelle: Sie lassen sich weniger gut merken und werden daher eher notiert oder auf unsichere Weise elektronisch gespeichert“, heißt es in dem NIST-Vorschlag.
Bitte unterlassen Sie es, Passwortänderungen zu erzwingen
Eine der aufschlussreichsten neuen Empfehlungen des NIST lautet, dass Organisationen davon absehen sollten, regelmäßige Passwortwechsel vorzuschreiben. Seit Jahren schreiben viele IT-Teams Passwortwechsel nach 60 oder 90 Tagen vor, in der Annahme, dass dies die Gefahr eines Passwortdiebstahls minimieren würde.
„. Hochkomplexe Passwörter bergen eine neue potenzielle Schwachstelle: Sie lassen sich weniger gut merken und werden daher eher notiert oder auf unsichere Weise elektronisch gespeichert.“Im August wurden neue NIST-Richtlinien zu Passwörtern veröffentlicht
Mit der Änderung seiner Empfehlung räumte das NIST jedoch ein, dass häufige Passwortwechsel mehr Probleme verursachen können, als sie lösen. Zeitlich stark eingebundene und ungeduldige Nutzer aktualisieren ihre Passwörter regelmäßig, indem sie neuere Varianten eingeben, die alte, schwache und leicht zu erratende Muster wiederholen – wie beispielsweise die Änderung von Summer2024 in Fall2024.
Bemerkenswerterweise geht das NIST noch einen Schritt weiter und erklärt, dass Organisationen eine Passwortzurücksetzung erst dann verlangen müssen, wenn es zu einem Sicherheitsvorfall gekommen ist. Das NIST argumentiert, dass dies die kognitive Belastung der Mitarbeiter verringern und es der IT-Abteilung ermöglichen wird, sich auf echte Sicherheitsbedrohungen zu konzentrieren, anstatt sich mit willkürlichen Passwortzurücksetzungen zu befassen. Und beides trägt wesentlich dazu bei, das gesamte Mitarbeitererlebnis unter zu verbessern.
[Lesen Sie auch: Strategien zur Mitarbeiterbindung für die moderne Belegschaft neu überdenken]
Grimes ist der Ansicht, dass diese Empfehlung zu weit geht, da sie die Tatsache außer Acht lässt, dass bereits schwache Passwörter an sich zu Sicherheitsverletzungen führen können.
„Die meisten Menschen wissen nicht, dass ihre Passwörter kompromittiert wurden“, sagt er. „Wenn Sie den Mitarbeitern sagen: ‚Ändern Sie Ihre Passwörter nicht‘, und diese sie über Jahre hinweg nicht ändern, werden eines oder mehrere Passwortmuster letztendlich auf diesen Passwort-Dump-Listen landen und das Unternehmen einem Risiko aussetzen.“
Mehrfaktor-Authentifizierung: Der Schlüssel zu einem sicheren Unternehmen?
Neben der Überarbeitung seiner Passwortrichtlinien betonte das NIST die Bedeutung der Multi-Faktor-Authentifizierung (MFA) für die Unternehmenssicherheit. Leider setzen zwar fast 97 % der großen Unternehmen Passwortrichtlinien durch, doch nutzen laut einer aktuellen Umfrage von „ “ KnowBe4 nur 38 % die Multi-Faktor-Authentifizierung (MFA) unternehmensweit.
„Die meisten Menschen wissen nicht, dass ihre Passwörter kompromittiert wurden. „[Ihre] Passwortmuster landen auf diesen Passwort-Dump-Listen und gefährden damit das Unternehmen.“Roger Grimes, renommierter Experte für Echtheitsprüfung, KnowBe4
Das offenbart zweifellos eine Lücke. Diese Sicherheitslücke könnte jedoch für Unternehmen, die MFA einsetzen, weiterhin bestehen, da die meisten von ihnen – ohne es zu wissen – veraltete Verfahren wie SMS verwenden – und Hacker diese Systeme mit zunehmendem Erfolg ins Visier nehmen: . Eine der von ihnen angewandten Techniken ist die sogenannte „ “ (MFA-Ermüdung), bei der Nutzer durch wiederholte MFA-Aufforderungen überfordert werden, was dazu führt, dass sie aus Frustration oder Gewohnheit betrügerische Anfragen genehmigen. Ein weiterer Ansatz besteht darin, schlecht gesicherte Unternehmen zu hacken, die MFA-Dienste für andere Unternehmen anbieten. So wurde beispielsweise Anfang dieses Jahres ein Anbieter, der die MFA-Lösung von Cisco betreute, durch einen Social-Engineering-Angriff vom Typ „ “ ( ) kompromittiert.
Andrew Shikiar, CEO der FIDO Alliance ( ), eines globalen Branchenkonsortiums, das sich dafür einsetzt, die weltweite Abhängigkeit von Passwörtern zu beseitigen, erklärt, dass es nun eine bessere Alternative gibt: Passkeys, die auf dem Rahmenwerk „ FIDO2“ der Organisation basieren.
Passkeys basieren auf kryptografischen Schlüsselpaaren und nicht auf gemeinsamen Geheimnissen wie Passwörtern, bei denen ein Benutzer (hoffentlich) einen Code kennt und eingibt, der sich auch auf dem Server einer Organisation befindet. Dadurch sind sie weitaus widerstandsfähiger gegen Brute-Force- und Social-Engineering-Angriffe, wie sie zur Überwindung älterer MFA-Verfahren eingesetzt werden.
[Lesen Sie auch: Was ist Social Engineering in der Cybersicherheit – ein umfassender Leitfaden]
Passkeys lassen sich nahezu unmöglich per Phishing erbeuten, da sie auf öffentlichen und privaten Schlüsselpaaren basieren, wobei die gesamte Authentifizierung über einen verschlüsselten Dialog zwischen den Schlüsseln erfolgt. Dadurch wird verhindert, dass Angreifer Nutzer dazu verleiten können, sensible Informationen preiszugeben. Dieser Dialog wird erst angezeigt, nachdem sich der Benutzer lokal auf seinem Gerät authentifiziert hat – was in der Regel durch denselben einfachen Vorgang erfolgt, den er auch zum Entsperren des Geräts verwendet –, beispielsweise durch die biometrische Erkennung des Telefons (wie FaceID) oder die Eingabe eines PIN-Codes.
Was die Leitlinien des NIST für Passwörter, Passkeys – und Ihr Unternehmen – bedeuten
Werden Passkeys Passwörter endgültig ablösen?
„Wir beobachten ein wachsendes Interesse von Unternehmen an Passkeys, da diese einen stärkeren Schutz vor den derzeit häufigsten Angriffsvektoren bieten – Phishing und Credential Stuffing.“Andrew Shikiar, Geschäftsführer der FIDO Alliance
Selbst Shikiar, einer ihrer lautstärksten Befürworter, räumt ein, dass Passwörter in Unternehmen so fest verankert sind, dass es schwierig sein wird, sie vollständig abzuschaffen. Dennoch stellt er fest, dass das passwortlose FIDO-Framework dank der Unterstützung bedeutender Plattformanbieter wie Apple, Google und Microsoft zunehmend an Bedeutung gewinnt. Er fügt hinzu, dass mittlerweile mehr als 20 % der weltweit führenden Websites Passkeys unterstützen und dass sich bereits Millionen von Kunden von Amazon und der Bank of America damit anmelden.
„Wir beobachten ein wachsendes Interesse von Unternehmen an Passkeys, da diese einen stärkeren Schutz vor den heute gängigsten Angriffsvektoren bieten –Phishing und Credential Stuffing“, sagt er.
Die Richtlinien des NIST sind genau das: Richtlinien. IT-Organisationen können sie nutzen oder auch nicht. Grimes merkt an, dass viele Organisationen die früheren Richtlinien von vornherein nicht befolgt haben. Dennoch empfehlen Experten Unternehmen, zumindest die neuen Empfehlungen sowie einige bewährte Verfahren zur Risikominderung und zur Verbesserung Ihrer Sicherheitslage zu berücksichtigen, darunter:
1. Legen Sie mehr Wert auf die Länge des Passworts als auf dessen Komplexität
Verlangen Sie Passwörter oder Passphrasen, die sich die Mitarbeiter leichter merken können – die jedoch mindestens 18 Zeichen lang sein müssen. Das Ziel ist es, sich von „P@ssw0rd!“ zu lösen. und in Richtung einer Zahl wie „ProjectKiteboard2025“.
2. Erzwungene Passwortänderungen einschränken
Sofern kein konkreter Vorfall oder keine Sicherheitsverletzung vorliegt, besteht keine Notwendigkeit, die Mitarbeiter dazu zu verpflichten, ihre Passwörter so häufig zu ändern wie bisher. Grimes erklärt, dass dies trotz der Empfehlung des NIST nur dann erforderlich sei, wenn es zu einer Sicherheitsverletzung gekommen sei, und dass es ratsam wäre, etwa einmal jährlich eine Passwortänderung vorzuschreiben.
3. Verlangen Sie, wo immer möglich, eine Zwei-Faktor-Authentifizierung
Aktivieren und setzen Sie die mehrstufige Authentifizierung (MFA) so umfassend wie möglich durch, insbesondere für sensible Konten oder kritische Geschäftssysteme. Change Healthcare, eines der weltweit größten Unternehmen im Bereich der Abwicklung von Zahlungen im Gesundheitswesen, musste diese Lektion auf die harte Tour lernen. Anfang dieses Jahres wurde der Geschäftsbereich von UnitedHealth, der jährlich 15 Milliarden medizinische Leistungsanträge bearbeitet, außer Betrieb gesetzt, da dort keine MFA zum Einsatz kam. Schätzungen zufolge sind die sensiblen Daten eines Drittels der Amerikaner infolgedessen im Dark Web gelandet.
4. Stellen Sie Ihren Mitarbeitern Passwortmanager zur Verfügung
Shikiar weist darauf hin, dass jedes Passwort potenziell für Phishing-Angriffe anfällig ist. Jedes Passwort lässt sich knacken. „Wenn Sie also nach wie vor auf Passwörter setzen, ist es besser, diese durch einen Passwort-Manager zu schützen“, sagt er. Sie sind nicht unfehlbar. Auch diese können gehackt werden. Durch die Erstellung und Verwendung von zufälligen Passwörtern, die für jede Website und jeden Dienst einzigartig sind, können sie jedoch dazu beitragen, die Gefahr von Phishing-Angriffen zu verringern.
„Wenn Sie keine phishing-resistente MFA nutzen können, verwenden Sie MFA; wenn Sie keine MFA nutzen können, verwenden Sie einen Passwort-Manager“, sagt Grimes. „Wenn die meisten Menschen das tun würden, ginge es ihnen weitaus besser. „Wenn Sie keinen Passwort-Manager verwenden, setzen Sie Ihr Unternehmen möglicherweise einem Risiko aus.“
Unternehmen, die diese Veränderungen aktiv umsetzen, werden ihre Angriffsfläche verringern und die Sicherheitsmaßnahmen für ihre Teams vereinfachen. Um es einmal so zu formulieren: „Passwörter sind die Kakerlaken des Internets – man wird sie nur schwer los.“ Doch mit Tools wie „unphishable“ MFA, Passkeys und Passwortmanagern können IT-Abteilungen diese Systeme endlich auf eine Weise absichern, die weder die Benutzer verärgert noch die eigenen Mitarbeiter überlastet.
