Am 1. Februar eines Jahres wird traditionell der „Ändere-dein-Passwort“-Tag ausgerufen. Immerhin galt es lange als guter Rat, Nutzern den präventiven Wechsel ihrer Passwörter zu empfehlen. In Unternehmensnetzwerken sind Nutzer zumeist auch heute noch angehalten, ihre Passwörter spätestens alle 90 Tage zwangszuändern.

Die Erkenntnis, dass diese Vorgehensweise die Sicherheit eher schwächt als erhöht, hat sich in den letzten Jahren mehr und mehr durchgesetzt. Immerhin werden Passwörter nicht durch häufiges Ändern sicherer. Entscheidend ist die Qualität des Kennworts an sich.

So verzichtete die US-amerikanische Standardisierungs- und Technologiebehörde NIST, die das präventive Passwortwechseln quasi erfunden hatte, bereits 2017 auf diese Empfehlung. Schon ein Jahr früher hatte die britische IT-Sicherheitsbehörde CESG den regelmäßigen Passworttausch aus ihren Empfehlungen genommen.

Vier Jahre nach der CESG folgt nun die deutsche Sicherheitsbehörde BSI und streicht die Empfehlung aus ihrem Grundschutz-Kompendium. Mit dieser offiziellen Freigabe dürften sich die Sicherheitsstrategien deutscher Unternehmen mittelfristig ändern.

Weiterhin empfiehlt die deutsche IT-Sicherheitsinstanz den präventiven Passwort-Wechsel nur dann, wenn es Anzeichen dafür gibt, das Passwort könnte kompromittiert worden sein.

Problematisch erscheint indes, dass das BSI auch die bisherige Empfehlung, feste Regeln für Länge und Komplexität eines Passworts, aus dem Kompendium gestrichen hat. Dabei ist gerade die Qualität eines Passworts der entscheidende Sicherheitsfaktor. Immerhin formuliert das BSI: „Passwörter, die leicht zu erraten sind oder in gängigen Passwortlisten geführt werden, DÜRFEN NICHT verwendet werden.“

Passend dazu: Passwörter ändern aus Prinzip ist eine Sicherheits-Sackgasse