So sorgen Sie für sichere IT-Passwörter Ihrer Beschäftigten

Der Welt-Passwort-Tag geht ursprünglich auf die Initiative eines Herstellers von PC-Komponenten zurück. Mittlerweile soll dieser Aktionstag daran erinnern, wie wichtig gute Passwörter sind, um sicher im Netz unterwegs zu sein. Dass diese Aufklärungsarbeit noch zeitgemäß ist, zeigen unter anderem die jährlichen Studien des Hasso-Plattner-Instituts (HPI).

Das HPI veröffentlicht jedes Jahr eine eigene Liste. Wir nennen Ihnen nachfolgend die Top Ten der beliebtesten Passwörter der Deutschen aus dem Jahr 2023. Sollten Sie auch zu denjenigen gehören, die eines dieser Passwörter aktuell einsetzen, sollten Sie es jetzt gleich ändern. Denn es dauert nur weniger als eine Sekunde, um es zu knacken. Schauen Sie auch gern unter iww.de/10907 nach, ob sich unter den dort 200 veröffentlichten beliebten Passwörtern auch Ihres befindet.

Das Bundesamt für Sicherheit der Informationstechnik (BSI) empfiehlt in „Sichere Passwörter erstellen“ (online unter iww.de/s10827) für Verbraucher: Neben der Komplexität eines Passworts wird auch die Passwortlänge als ein entscheidendes Merkmal für die Passwortqualität genannt. Das BSI spricht sich hierbei für zwei mögliche Methoden aus: Entweder lange und weniger komplexe oder aber kurze, komplexere Passwörter zu wählen, wenn möglich ergänzt durch einen hardwaregestützten zweiten Faktor. Das HPI empfiehlt lange Passwörter mit mehr als 15 Zeichen. Mehrere Experten empfehlen, ein Passwort zu wählen, das aus mindestens 12 Zeichen besteht. Es gibt wohl auch Versicherungen, die in ihren Cyberversicherungs-Richtlinien mindestens 16 Zeichen verlangen.

Nein! Das BSI hat sich von der alten Empfehlung verabschiedet, Passwörter regelmäßig zu ändern. Sicherheitsexperten sind der Meinung, dass ein starkes Passwort jahrelang genutzt werden kann, solange es bestimmte Kriterien erfüllt.

Hacker verfügen über viele Mittel, um an Passwörter heranzukommen. Doch was tun, wenn man unsicher ist, ob persönliche Zugangsdaten bereits von Cyber-Kriminellen genutzt werden? Im Internet gibt es unterschiedliche Portale, mit denen man das checken kann. Das BSI nennt hier das deutschsprachige Angebot der HPI Identity Leak Checker https://sec.hpi.de/ilc/ und den internationalen Anbieter haveibeenpwned.com (https://haveibeenpwned.com/).

Wichtig | PP trifft keine Aussage zu der Qualität und Aktualität der dort hinterlegten Daten. Das BSI weist dabei zudem auf Folgendes hin: Für Zugangsdaten wird häufig die Kombination aus E-Mail-Adresse und Passwort verwendet. In den genannten Datenbanken wird meist nur die E-Mail-Adresse mit dem Datenbestand abgeglichen. Erhält man dann die Meldung, dass die E-Mail-Adresse im Datenbestand ist, kann sich das auf jeden Account beziehen, bei dem diese E-Mail-Adresse zum Zugang genutzt wird. Eine direkte Zuordnung ist nicht möglich.

Was sollte der Beschäftigte tun, wenn er zahlreiche Passwörter hat? Und Sorge hat, den Überblick über diese zu verlieren? Alle Passwörter auf einen Zettel schreiben und ständig mit sich herumzutragen, ist keine Lösung. Hier könnte ein Passwort-Manager helfen. Das sind Programme, die Passwörter und Benutzernamen mittels Verschlüsselung und eines komplexen Masterpassworts verwahren. Doch auch hier gibt es Nachteile: Vergisst der Mitarbeiter sein „Masterpasswort“, sind im schlechtesten Fall die Daten verloren. Werden alle Passwörter auf einmal gestohlen, könnte ein Cyber-Angriff auf einen Passwort-Manager erfolgreich sein. Dennoch: Die Vorteile überwiegen, wenn der Mitarbeiter viele Passwörter verwaltet und voraussichtlich noch mehr hinzukommen werden.

Sichere Passwörter sind gar nicht so schwer zu finden. Hier drei Tipps:

Wie sieht ein sicheres Passwort aus? Dazu gibt die Landesbeauftragte für Datenschutz und Informationsfreiheit (LDI) NRW auf ihrer Website unter iww.de/s10909 einige Empfehlungen:

Als ergänzende Schutzmaßnahme sollte – sofern verfügbar – eine Zwei-Faktor-Authentifizierung genutzt werden. Dabei wird neben dem Passwort ein weiteres unabhängiges Medium als zusätzlicher Authentifizierungsschritt verwendet.

Die IWW-Redaktion von DiB Daten im Betrieb hat eine Passwörter-Präsentation in PowerPoint vorbereitet. Damit können Sie unkompliziert eine 30- bis 45-minütige Schulung in Ihrem Unternehmen durchführen. Die Präsentations-Vorlage können Sie auf der Website von DiB unter iww.de/dib abrufen. Geben Sie dafür einfach oben in den Suchschlitz die Abruf-Nr. 241221 ein.