Passwörter und MFA für sichere Konten

Vertrauen durch belastbaren Kontoschutz

Bei der Abnahme werden MFA-Abdeckung für kritische Rollen, sichere Kontowiederherstellung, Verantwortliche für Ausnahmen, Administratorkontenschutz und Anmeldealarme geprüft. Eine Richtlinie allein belegt nicht, dass die Kontrollen in E-Mail, VPN und Finanzsystemen funktionieren.

Warum bleibt das Passwort kritisch?

Angriffe beginnen häufig mit einem Passwortleck bei einem anderen Dienst, Phishing, dem Ausprobieren verbreiteter Passwörter bei vielen Konten oder einem unzureichend geschützten Reset. Hat das übernommene Konto Zugriff auf E-Mail, Rechnungen, SharePoint oder Administrationsoberflächen, kann sich der Vorfall auf das ganze Unternehmen auswirken.

Zuerst die Antwort: Reicht ein starkes Passwort?

Nein. Ein starkes Passwort hilft, aber Unternehmenszugriffe brauchen zusätzlich MFA, Passwortmanager, sicheren Reset, getrennte Administratorkonten, Monitoring riskanter Anmeldungen und Nachweise regelmäßiger Prüfungen. Ziel ist ein geringeres Risiko von Kontoübernahmen ohne Regeln, die Benutzer umgehen.

Ein starkes Passwort ist die erste Verteidigungslinie

Ein starkes Passwort ist lang, einzigartig, nicht wiederverwendet und vorzugsweise in einem Passwortmanager gespeichert. Für Unternehmen zählt zusätzlich, dass Reset-Prozesse, Ausnahmen, Dienstkonten und Administratorpasswörter geregelt sind.

• Jedes System braucht ein eigenes Passwort, das nicht für private Dienste wiederverwendet wird.
• Administratorkonten, E-Mail, VPN und Finanzsysteme sollten MFA verwenden.
• Ein Passwort-Reset muss die Identität bestätigen und aktive Sitzungen prüfen.
• Bei Phishingverdacht sind Anmeldungen, Postfachregeln und App-Zugriffe zu kontrollieren.

Checkliste für starke Passwörter

Die Checkliste umfasst Mindestlänge, Wiederverwendungsverbot, Passwortmanager, MFA, sichere Wiederherstellung, Schulung, Schutz privilegierter Konten und regelmäßige Kontenprüfung. Jede Regel sollte verständlich und technisch durchsetzbar sein.

• Lange, einzigartige Passwörter oder Passphrasen aus einem kontrollierten Passwortmanager verwenden.
• Firmenname, Jahreszeiten, Daten, Namen, einfache Folgen und privat verwendete Passwörter vermeiden.
• MFA für E-Mail, Microsoft 365, VPN, Administratoren, Finanzen und Systeme mit Kundendaten aktivieren.
• Passwörter in Tabellen, Notizen, Chats und E-Mails technisch und organisatorisch unterbinden.
• Administratorkonten von Alltagskonten trennen und privilegierte Anmeldungen begrenzen.
• Reset-Verfahren mit Identitätsprüfung, Sitzungsabmeldung, MFA-Kontrolle und Logprüfung festlegen.

Länge, Einzigartigkeit und sicherer Passwortwechsel

Neue Passwörter gegen bekannte kompromittierte und häufig verwendete Werte prüfen. Keine routinemäßigen Wechsel ohne Kompromittierungsnachweis oder willkürlichen Zeichenvorgaben verlangen. Passwortmanager unterstützen; bei offengelegten Passwörtern Wechsel und Sitzungsprüfung veranlassen.

• Lange, einzigartige Passwörter verwenden. NIST SP 800-63B-4 verlangt mindestens 15 Zeichen bei Passwörtern als einzigem Faktor; mit MFA sind mindestens 8 zulässig. Unternehmen können auch mit MFA längere Passwörter verlangen.
• Ein Passwort pro System, ohne Wiederholung zwischen E-Mail, SaaS, VPN und privaten Konten.
• Passwortmanager statt Excel-Dateien, Chats, Notizzetteln oder E-Mails.
• Keine geteilten Passwörter ohne Verantwortlichen, Zugriffshistorie und Wechselverfahren beim Austritt.
• MFA und Monitoring für Konten, deren Übernahme einen Geschäftsprozess stoppen kann.

Welche Fehler entstehen in Passwortrichtlinien?

Kurze oder wiederverwendete Passwörter, unkontrollierte Freigaben, schwache Reset-Verfahren und technische Konten ohne Verantwortliche erhöhen das Übernahmerisiko. Kontrollen müssen im tatsächlichen Anmelde- und Wiederherstellungsweg geprüft werden.

Ein Passwort für viele Konten: nutzen oder vermeiden?

Wiederverwendung sollte vermieden werden. Wird ein externes Konto kompromittiert, versuchen Angreifer dieselben Zugangsdaten in E-Mail, VPN, Microsoft 365 oder internen Anwendungen. Ein Passwortmanager erleichtert es, für jedes Konto ein eigenes Passwort zu verwenden.

Wie läuft die Einführung einer Passwort- und MFA-Politik?

Auswirkungen auf Anmeldung und Integrationen mit einer kontrollierten Gruppe testen. Kontowiederherstellung, geschützte Notfallkonten, Ausnahmebehandlung und Monitoring vorbereiten. Einführung anschließend ausweiten und tatsächliche MFA-Abdeckung prüfen.

Was sollte nach dem Projekt bleiben?

Nach dem Projekt sollten Richtlinie, technische Einstellungen, Ausnahmeprozess, Besitzer, Schulungsmaterial, Prüftermin und Nachweise über Aktivierung von MFA oder Passwortmanager vorliegen. Diese Nachweise helfen bei Audits und Kundenfragen.

• Benutzer und Anwendungsidentitäten unterscheiden. Unbeaufsichtigte technische Identitäten führen keine interaktive MFA durch: Sie benötigen Verantwortliche, minimale Rechte, geschützte Zugangsdaten mit geregeltem Lebenszyklus und Monitoring. Normale Benutzerkonten nicht pauschal von MFA ausnehmen.
• Liste der Ausnahmekonten mit Besitzer, Begründung und nächstem Prüftermin.
• Verfahren für Passwort-Reset, Verlust des MFA-Geräts und Verdacht auf Kontoübernahme.
• Benutzeranleitung zu Passwortmanager, Phishing, ungewöhnlichen Anfragen und Schutz von MFA-Codes.
• Nachweispaket mit Einstellungs-Export, Implementierungslogs, Schulungsnachweis und regelmäßigem Auditplan.

Wie stärken starke Passwörter das Kundenvertrauen?

Richtlinien, MFA-Umfang, Wiederherstellungstests und Protokolle belegen einzelne Zugriffskontrollen. Sie unterstützen die Bewertung geltender Anforderungen; allein bestätigen sie keine vollständige Norm- oder Rechtskonformität.

Verwandte Artikel

Passwörter sind Teil eines umfassenden Identitätsschutzes, der Phishing-Abwehr und sicherer Arbeitsweisen.