Passwörter gibt es schon so lange wie Computersysteme. Da jedoch die Anzahl der Konten, Websites und Apps, die wir schützen müssen, gestiegen ist, ist es schwieriger geworden, diese Zugangsdaten zu verwalten.
Heute schreibt mehr als die Hälfte (57 %) der Amerikaner ihre berufsbezogenen Passwörter immer noch auf Haftnotizen. Überrascht? Nun, vielleicht sollten wir das nicht tun, wenn man bedenkt, was wir über die menschliche Natur wissen.
Häufig werden diese Herausforderungen durch übertrieben strenge Richtlinien verschärft, die komplexe, schwer zu merkende Zugangsdaten und regelmäßige Passwortänderungen vorschreiben. Es ist entscheidend, das richtige Gleichgewicht zwischen Sicherheit und Komfort zu finden.
Um Ihnen an diesem Weltpassworttag eine Hilfe zu bieten, wollen wir uns daher einige verbreitete Irrtümer zum Thema Passwortsicherheit ansehen. Und erläutern Sie, wie eine gute Politik aussieht.
Sehen Sie sich diese Folge von „To the Point“ mit zwei Experten von Tanium an: Chris Hallenbeck, Chief Information Security Officer für Nord- und Südamerika, und Oliver Cronk, Chief IT Architect für die EMEA-Region.
https://youtu.be/0ri1bQsobig
Die vier größten Mythen rund um Passwörter entlarven
Mythos Nr. 1 – Passwörter müssen komplex sein, um sicherer zu sein.
Das muss nicht unbedingt der Fall sein. Untersuchungen haben gezeigt, dass ein relativ leicht zu merkender, langer Satz oder eine lange Wortgruppe für Angreifer möglicherweise schwieriger zu knacken oder zu erraten ist als ein kürzeres, komplexeres Wort.
Mythos Nr. 2 – Passwörter müssen regelmäßig geändert werden.
Ihre unternehmensinterne Passwortrichtlinie muss dynamisch entsprechend dem Risiko angepasst werden. Wenn es sich um ein Administratorkonto oder ein Konto mit weitreichenden Berechtigungen handelt, ist es erforderlich, Passwörter relativ häufig zu ändern. Handelt es sich jedoch um ein Endbenutzerkonto, führen häufige erzwungene Aktualisierungen lediglich zu unsachgemäßer Vorgehensweise, wie das oben genannte Beispiel mit den Haftnotizen zeigt. Dies ist ein Balanceakt, der eine sorgfältige Abwägung seitens der IT erfordert.
Mythos Nr. 3 – Wenn ich die Multi-Faktor-Authentifizierung (MFA) von und ein sicheres Passwort verwende, bin ich absolut sicher.
Leider gibt es in der Cybersicherheit keinen 100-prozentigen Schutz. Selbst wenn Sie durch eine wirksame Benutzerauthentifizierung einen Angriffsweg versperrt haben, gibt es möglicherweise noch andere, die Angreifer ausnutzen können – wie beispielsweise den Diebstahl von Browser-Cookies, die Anmeldedaten enthalten. Das Ziel besteht jedoch darin, es Ihrem Gegner so schwer wie möglich zu machen. Und wenn in Ihrem gesamten Unternehmen die Multi-Faktor-Authentifizierung (MFA) und sichere Passwörter vorgeschrieben sind, haben Sie bereits einen soliden Grundstein gelegt – insbesondere, wenn diese als Teil eines „ “-Zero-Trust-Ansatzes umgesetzt werden.
Mythos Nr. 4 – Wenn mein Konto gehackt wird, hat es jemand auf mich abgesehen.
Ganz und gar nicht. In den meisten Fällen erfolgen Angriffe eher zufällig und opportunistisch. Angriffe durch „Credential Stuffing“ können beispielsweise auftreten, wenn Sie Ihr Passwort auf einer anderen Website wiederverwendet haben, die anschließend gehackt wurde. Diese Zugangsdaten werden anschließend von Angreifern auf Dark-Web-Marktplätzen erworben und gleichzeitig auf zahlreichen Websites ausprobiert, in der Hoffnung, dass sie Ihnen den Zugriff auf einige Ihrer anderen Konten ermöglichen.
Bewährte Vorgehensweisen bei Passwörtern
Glücklicherweise gibt es zahlreiche Maßnahmen, die Unternehmen und Einzelpersonen ergreifen können, um ihre Passwortsicherheit zu verbessern. Und dies erfordert nicht unbedingt einen großen zusätzlichen Zeit- und Arbeitsaufwand. Bitte beachten Sie Folgendes:
- Anbieter von Identitätsmanagement-Lösungen wie Google und Microsoft bieten Sicherheitsüberprüfungen an, mit denen Sie auf einfache Weise feststellen können, ob Sie in Ihren Konten schwache, wiederholt verwendete und/oder bereits kompromittierte Passwörter nutzen. Sollten Ihnen die Ergebnisse zu viel erscheinen, konzentrieren Sie sich einfach auf jene Konten, die Sie als „oberste Priorität“ betrachten – wie beispielsweise Online-Banking und E-Mail. An diese E-Mail-Adresse senden die Anbieter etwaige Passwort-Zurücksetzungen; daher ist es unerlässlich, dass Sie diese mit sicheren, einzigartigen Passwörtern und einer Zwei-Faktor-Authentifizierung (MFA) schützen.
- Wechseln Sie die Passwörter für Ihre Administrator- und Unternehmenskonten mit erweiterten Berechtigungen häufiger als für normale Benutzerkonten.
- MFA sollte für alle Benutzer, insbesondere für Administratoren, aktiviert sein.
- Achten Sie bei der Wahl Ihrer Passwörter auf eine ausreichende Länge – ein vollständiger Satz ist sicherer als ein Passwort mit 10 bis 12 Zeichen.
- Bitte stellen Sie sicher, dass die Richtlinien eingehalten werden, indem Sie überprüfen, ob Anmeldedaten auf Websites wie GitHub gespeichert werden, was die Organisation einem unnötigen zusätzlichen Risiko aussetzen könnte.
- Sie können auf dieser Website auch überprüfen, ob Ihre E-Mail-Adresse von einer Datenpanne betroffen war – . „Have I been pwned?“
- Unternehmen können Tage wie den Weltpassworttag nutzen, um das Bewusstsein zu schärfen, sollten sich dabei jedoch nicht nur auf Passwörter beschränken. Dies ist zudem ein guter Zeitpunkt, um deren Zugriffsprotokolle zu überprüfen. Das Knacken eines schwachen Passworts ermöglicht den Zugriff. Unternehmen sollten ihre Aufmerksamkeit darauf richten, was ein Cyberkrimineller mit diesem Zugriff anstellen kann.
Wie Tanium Ihnen helfen kann
Tanium kann diese Bemühungen auf zweierlei Weise unterstützen:
Wir bieten Ihnen die Transparenz und Kontrolle, die Sie benötigen – schnell und in großem Umfang –, um sicherzustellen, dass globale Richtlinien auf Endgeräten angewendet werden. Beispielsweise, indem es Ihnen ermöglicht, zu überprüfen, ob in Ihrem gesamten Unternehmen Dateien mit Passwörtern im Klartext verwendet werden.
Wir unterstützen einen „Zero Trust“-Ansatz gemäß bewährten Verfahren, indem wir das Gerät authentifizieren, bevor sich Unternehmensnutzer anmelden können. Die Identitätsverwaltung ist ein entscheidender Schritt. Sollten Ihre Endgeräte jedoch kompromittiert worden sein, könnte dies Angreifern dennoch ermöglichen, die Sicherheitsmaßnahmen Ihres Unternehmens zu umgehen.
Um mehr über „ “ und die Implementierung von Passwortsicherheit in Ihrem Unternehmen zu erfahren, besuchen Sie unsere Website oder oder kontaktieren Sie uns für eine Demo unter.
