News

BSI rät jetzt von regelmäßigem Passwort-Wechsel ab

(Foto: Shutterstock)

In der neuesten Ausgabe des Grundschutz-Kompendiums des Bundesamts für Sicherheit in der Informationstechnik (BSI) ist die langjährige Empfehlung, Passwörter in regelmäßigen Abständen zu ändern, gestrichen worden.

Am 1. Februar eines Jahres wird traditionell der „Ändere-dein-Passwort“-Tag ausgerufen. Immerhin galt es lange als guter Rat, Nutzern den präventiven Wechsel ihrer Passwörter zu empfehlen. In Unternehmensnetzwerken sind Nutzer zumeist auch heute noch angehalten, ihre Passwörter spätestens alle 90 Tage zwangszuändern.

USA und Großbritannien kassierten Empfehlung schon vor Jahren ein

Die Erkenntnis, dass diese Vorgehensweise die Sicherheit eher schwächt als erhöht, hat sich in den letzten Jahren mehr und mehr durchgesetzt. Immerhin werden Passwörter nicht durch häufiges Ändern sicherer. Entscheidend ist die Qualität des Kennworts an sich.

So verzichtete die US-amerikanische Standardisierungs- und Technologiebehörde NIST, die das präventive Passwortwechseln quasi erfunden hatte, bereits 2017 auf diese Empfehlung. Schon ein Jahr früher hatte die britische IT-Sicherheitsbehörde CESG den regelmäßigen Passworttausch aus ihren Empfehlungen genommen.

BSI streicht Zwangsänderungen und genaue Regeln zum Aufbau

Vier Jahre nach der CESG folgt nun die deutsche Sicherheitsbehörde BSI und streicht die Empfehlung aus ihrem Grundschutz-Kompendium. Mit dieser offiziellen Freigabe dürften sich die Sicherheitsstrategien deutscher Unternehmen mittelfristig ändern.

Weiterhin empfiehlt die deutsche IT-Sicherheitsinstanz den präventiven Passwort-Wechsel nur dann, wenn es Anzeichen dafür gibt, das Passwort könnte kompromittiert worden sein.

Problematisch erscheint indes, dass das BSI auch die bisherige Empfehlung, feste Regeln für Länge und Komplexität eines Passworts, aus dem Kompendium gestrichen hat. Dabei ist gerade die Qualität eines Passworts der entscheidende Sicherheitsfaktor. Immerhin formuliert das BSI: „Passwörter, die leicht zu erraten sind oder in gängigen Passwortlisten geführt werden, DÜRFEN NICHT verwendet werden.“

Passend dazu: Passwörter ändern aus Prinzip ist eine Sicherheits-Sackgasse

Bitte beachte unsere Community-Richtlinien

Wir freuen uns über kontroverse Diskussionen, die gerne auch mal hitzig geführt werden dürfen. Beleidigende, grob anstößige, rassistische und strafrechtlich relevante Äußerungen und Beiträge tolerieren wir nicht. Bitte achte darauf, dass du keine Texte veröffentlichst, für die du keine ausdrückliche Erlaubnis des Urhebers hast. Ebenfalls nicht erlaubt ist der Missbrauch der Webangebote unter t3n.de als Werbeplattform. Die Nennung von Produktnamen, Herstellern, Dienstleistern und Websites ist nur dann zulässig, wenn damit nicht vorrangig der Zweck der Werbung verfolgt wird. Wir behalten uns vor, Beiträge, die diese Regeln verletzen, zu löschen und Accounts zeitweilig oder auf Dauer zu sperren.

Trotz all dieser notwendigen Regeln: Diskutiere kontrovers, sage anderen deine Meinung, trage mit weiterführenden Informationen zum Wissensaustausch bei, aber bleibe dabei fair und respektiere die Meinung anderer. Wir wünschen Dir viel Spaß mit den Webangeboten von t3n und freuen uns auf spannende Beiträge.

Dein t3n-Team

3 Kommentare
Mitch

Sehr gut, das ist doch zumindest mal sinnvoll. Dieses regelmässige Ändern sorgt doch typischerweise dann auch nur zu GeheimesPasswort1, GeheimesPasswort2… -Serien :-) Muss sich nun nur noch in Unternehmen durchsetzen.

Schade hingegen, dass keine konkreten Vorgaben mehr vorhanden sind. Ich würde mich allerdings so weit aus dem Fenster legen, wenn sich ein Unternehmen an dem Grundschutz-Kompendium orientiert, findet man dort auch eine Regelung. Insofern sind konkrete Vorgaben eher was für den Bereich der kleinen Unternehmen oder Privatleute.

Ich empfehle ja immer(https://www.datenwache.de/sichere-passwoerter/)

– Nie ein Passwort doppelt verwenden
– Zufällige Passwörter, keine Systeme
– Passwörter müssen lang sein. Mindestens 24 Zeichen.

Wohlwissend, dass „zufällig“ viel bedeuten kann, daher eher eine höhere Anzahl von Zeichen.

Wie haltet Ihr Eure Empfehlungen?

Mitch

Antworten
dennis
dennis

Die Passwörter nicht zu ändern ist doch völliger Blödsinn. Wenn man ein qualitativ gute Passwort gegen ein qualitativ gleiches Passwort ändert, macht das Sinn. Wer die Passwörter nicht ändert, findet sich dann in irgengeinem Datensatz wieder, der zwar wie immer behauptet wird, als ist, aber wenn man seine Passwörter nicht ändert, man eben an seine Daten kommt. Völlig bescheuerter Tipp. Besser wäre es gewesen Tipps zu geben, dass man auf die Qualität achten sollte, statt das Ändern der Passwörter zu streichen. Nur weil die User zu dumm sind, muss man einen guten Tipp deswegen nicht streichen.

Antworten
Dieter Petereit

Sie haben übrigens den Tipp gegeben, dass „man auf die Qualität achten“ sollte. Steht im Beitrag.

Antworten

Melde dich mit deinem t3n Account an oder fülle die unteren Felder aus.

Bitte schalte deinen Adblocker für t3n.de aus!

Hey du! Schön, dass du hier bist. 😊

Bitte schalte deinen Adblocker für t3n.de aus, um diesen Artikel zu lesen.

Wir sind ein unabhängiger Publisher mit einem Team bestehend aus 65 fantastischen Menschen, aber ohne riesigen Konzern im Rücken. Banner und ähnliche Werbemittel sind für unsere Finanzierung sehr wichtig.

Danke für deine Unterstützung.

Digitales High Five,
Stephan Dörner (Chefredakteur t3n.de) & das gesamte t3n-Team

Anleitung zur Deaktivierung