Passwörter sind schon so lange bei uns, wie Computersysteme. Aber da die Anzahl der Konten, Websites und Apps, die wir sichern müssen, gestiegen ist, wird es schwieriger, diese Anmeldedaten zu verwalten.
Heute schreiben mehr als die Hälfte (57 %) der Amerikaner ihre arbeitsbezogenen Passwörter immer noch auf klebrige Notizpapiere. Überraschend? Nun, vielleicht sollten wir es nicht sein, wenn wir wissen, was wir über die menschliche Natur tun.
Oft werden diese Herausforderungen durch übereifrige Richtlinien verschlimmert, die komplexe, schwer zu merkende Zugangsdaten und regelmäßige Passwortänderungen erfordern. Das richtige Gleichgewicht zwischen Sicherheit und Komfort ist der Schlüssel.
Sehen wir uns also einige häufige Missverständnisse in Bezug auf die Passwortsicherheit an, um Ihnen diesen Weltpassworttag zu helfen. Und erklären Sie, wie eine gute Richtlinie aussieht.
Sehen Sie sich diese Folge von „To the Point“ mit zwei Experten von Tanium an, Chris Hallenbeck, Chief Information Security Officer für Nord- und Südamerika, und Oliver Cronk, Chief IT Architect für EMEA.
https://youtu.be/0ri1bQsobig
Die vier wichtigsten Passwortmythen löschen
Mythos Nr. 1 – Passwörter müssen komplex sein, um sicherer zu sein.
Das ist nicht unbedingt der Fall. Untersuchungen haben gezeigt, dass ein relativ leicht zu merkender, langer Satz oder Satz für Angreifer schwieriger zu knacken oder zu erraten ist als ein kürzeres, komplexeres Wort.
Mythos Nr. 2 – Passwörter müssen häufig geändert werden.
Ihre Passwortrichtlinie des Unternehmens muss dynamisch an das Risiko angepasst werden. Wenn wir von einem Administratorkonto oder einem Konto mit einer hohen Anzahl an Berechtigungen sprechen, müssen Passwörter relativ häufig gewechselt werden. Wenn es sich jedoch um ein Endbenutzerkonto handelt, führen häufige erzwungene Updates nur zu einer schlechten Praxis, wie das Beispiel für Haftnotizen oben. Dies ist ein Ausgleichsakt, der eine sorgfältige Abwägung durch die IT erfordert.
Mythos Nr. 3 – Wenn ich Multi-Faktor-Authentifizierung (MFA) und ein starkes Passwort verwende, bin ich kugelsicher.
Leider gibt es keinen 100 %-Schutz in der Cybersicherheit. Selbst wenn Sie einen Weg durch effektive Benutzerauthentifizierung geschlossen haben, können Angreifer andere erkunden – wie z. B. den Diebstahl von Browser-Cookies, die Anmeldedaten enthalten. Ziel ist es jedoch, Ihrem Gegner die Dinge so schwierig wie möglich zu machen. Und mit MFA und starken Passwörtern, die im gesamten Unternehmen durchgesetzt werden, haben Sie einen starken Start hingelegt – insbesondere, wenn sie im Rahmen eines Zero Trust-Ansatzes implementiert werden.
Mythos Nr. 4 – Wenn mein Konto gehackt wird, ist jemand nach mir.
Überhaupt nicht. In den meisten Fällen sind Eindringlinge relativ zufällig und opportunistisch. Credential Stuffing-Angriffe können beispielsweise auftreten, wenn Sie Ihr Passwort auf einer anderen Website erneut verwendet haben, die später verletzt wird. Diese Zugangsdaten werden dann von Bedrohungsakteuren von Dark-Web-Marktplätzen erhalten und gleichzeitig über viele Websites hinweg versucht, mit der Hoffnung, dass sie einige Ihrer anderen Konten freischalten werden.
Best Practices für Passwörter
Glücklicherweise gibt es viel, was Organisationen und Einzelpersonen tun können, um ihre Passwortsicherheit zu verbessern. Und das erfordert nicht unbedingt viel zusätzliche Zeit und Mühe. Berücksichtigen Sie Folgendes:
- Identitätsmanagementanbieter wie Google und Microsoft bieten Sicherheitsüberprüfungen an, die eine gute Möglichkeit sein können, um zu sehen, ob Sie schwache, wiederholte und/oder zuvor verletzte Passwörter in Ihren Konten verwenden. Wenn die Ergebnisse überwältigend erscheinen, konzentrieren Sie sich einfach auf die Konten, die Sie als „Tier One“ betrachten – wie Online-Banking und E-Mail. Letzteres wird von Anbietern gesendet, sodass es wichtig ist, dass Sie diese mit starken, einzigartigen Passwörtern und MFA sicher aufbewahren.
- Drehen Sie Passwörter auf Ihren Admin- und High-Privileg-Unternehmenskonten häufiger als bei regulären Benutzerkonten.
- MFA sollte für alle Benutzer, insbesondere Administratoren, aktiviert werden.
- Länge bei der Auswahl von Passwörtern wählen – eine vollständige Phrase ist sicherer als ein 10- bis 12-stelliges Passwort.
- Stellen Sie sicher, dass Richtlinien befolgt werden, indem Sie überprüfen, ob Zugangsdaten auf Websites wie GitHub gespeichert werden, was die Organisation unnötigen zusätzlichen Risiken aussetzen kann.
- Sie können auch überprüfen, ob Ihre E-Mail eine Datenschutzverletzung auf der Website begangen hat – Wurde ich pwned?
- Unternehmen können Tage wie den World Password Day nutzen, um Aufmerksamkeit zu erregen, aber sie sollten nicht nur mit Passwörtern aufhören. Es ist auch ein guter Zeitpunkt, ihre Zugriffsprotokolle zu untersuchen. Das Aufheben eines schwachen Passworts bietet Zugriff. Was ein Cyberkrimineller mit diesem Zugriff tun kann, ist, wo Unternehmen ihre Zeit konzentrieren sollten.
Wie Tanium helfen kann
Tanium kann diese Bemühungen auf zwei Arten unterstützen:
Wir bieten die Visibilität und Kontrolle, die Sie benötigen, schnell und skalierbar, um sicherzustellen, dass globale Richtlinien auf Endpunktgeräte angewendet werden. Zum Beispiel, indem Sie nach Klartext-Passwortdateien suchen, die im gesamten Unternehmen verwendet werden.
Wir unterstützen einen bewährten Zero-Trust-Ansatz, indem wir das Gerät authentifizieren, bevor sich Unternehmensbenutzer anmelden können. Identitätsmanagement ist ein entscheidender Schritt. Wenn Ihre Endpunkte jedoch kompromittiert wurden, könnte es Angreifern dennoch ermöglichen, sich durch die Unternehmensverteidigung zu durchschlagen.
Um mehr über die Implementierung der Passwortsicherheit in Ihrer Organisation zu erfahren, besuchen Sie unsere Website oder kontaktieren Sie uns für eine Demo.
