Was sind Best Practices für die Kennwortsicherheit?

Anfang 2024 bestätigte Ticketmaster, dass Hacker Daten von über 560 Millionen Konten gestohlen hatten – Namen, E-Mail-Adressen und Passwörter gehörten zu den am häufigsten gestohlenen Daten. ^[1] Vorfälle wie dieser verdeutlichen, dass ein einziges schwaches Passwort massive Datenlecks und Reputationsschäden nach sich ziehen kann.

Überlegen Sie einmal: Wie oft haben Sie dasselbe Passwort für geschäftliche Konten, soziale Medien und vielleicht sogar Ihre Banking-App verwendet? Im Moment erscheint es praktisch, aber genau darauf setzen Angreifer. Sobald ein System gehackt ist, werden diese Anmeldeinformationen oft verkauft und auf Dutzenden anderer Systeme getestet.

Deshalb sind bewährte Methoden zur Passwortsicherheit mehr als nur IT-Hygiene; sie sind eine grundlegende Verteidigungslinie für Privatpersonen und Unternehmen. Von der Erstellung sicherer Passwörter über die Vermeidung häufiger Fehler und die Einführung von MFA bis hin zur Vorbereitung auf eine passwortlose Zukunft: Hier erfahren Sie alles, was Sie für Ihre Sicherheit wissen und vorbereiten müssen.

Warum ist Passwortsicherheit heute am wichtigsten?

Passwörter sind noch lange nicht veraltet. Auch wenn Biometrie, MFA und Passkeys immer beliebter werden, bleiben Passwörter für die meisten Konten die erste Verteidigungslinie. Hier erfahren Sie, warum sie immer noch wichtig sind:

1. Sicherheitsverletzungen basieren weiterhin auf Passwörtern
   • Die meisten Sicherheitsverletzungen im Jahr 2024 sind auf gestohlene Passwörter und menschliches Versagen zurückzuführen.^[2].
   • Angreifer haben es gezielt auf Passwörter abgesehen, da diese oft den einfachsten Weg in Systeme darstellen.
2. Unternehmen sind auf sie angewiesen
   • Unternehmen sind für den Zugriff auf Cloud-Apps, Tools zur Zusammenarbeit und Finanzsysteme auf Passwörter angewiesen.
   • Ein schwaches Passwort kann einen Kontomissbrauch ermöglichen, lange bevor andere Sicherheitsebenen (wie MFA) den Angriff stoppen. Kürzlich ermöglichte ein schwaches Passwort Hackern die Zerstörung eines 158 Jahre alten Unternehmens.^[3].
3. Auch Einzelpersonen sind gefährdet
   • Ein einziges durchgesickertes Passwort einer Shopping-Site kann wiederverwendet werden, um in E-Mail-, Social-Media- oder sogar Banking-Apps einzudringen.
   • Durch die Wiederverwendung von Passwörtern wird der Schaden über mehrere Konten hinweg vervielfacht.

Fazit: Passwörter mögen altmodisch erscheinen, aber im Jahr 2025 sind sie immer noch einer der am häufigsten angegriffenen Punkte und ihre Sicherung ist nach wie vor unerlässlich.

Wie erstelle ich sichere Passwörter?

Die Grundlage für sichere Passwörter ist das Wissen, wie man ein sicheres Passwort erstellt. Kurze, einfache oder vorhersehbare Passwörter sind für Angreifer mit Brute-Force-Angriffen oder Credential Stuffing leicht zu knacken. Ein sicheres Passwort reduziert dieses Risiko erheblich.

1. Konzentrieren Sie sich auf die Länge statt auf die Komplexität
   • Streben Sie mindestens 12–16 Zeichen an.
   • Längere Passwörter sind exponentiell schwieriger zu knacken.
2. Verwenden Sie Passphrasen anstelle einzelner Wörter
   • Beispiel: Kaffee!Zug!Fenster!Regen
   • Leichter zu merken als P@55w0rD!, aber viel sicherer.
3. Mischen Sie Charaktertypen mit Bedacht
   • Kombinieren Sie Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen.
   • Vermeiden Sie vorhersehbare Muster wie „Password123!“.
4. Vermeiden Sie persönliche Angaben
   • Verwenden Sie keine Geburtstage, Namen, Kosenamen oder Telefonnummern.
   • Angreifer schürfen diese Daten häufig aus sozialen Medien.
5. Halten Sie es pro Konto eindeutig
   • Jedes Konto sollte über ein eigenes Passwort verfügen.
   • Die Wiederverwendung eines Passworts auf mehreren Websites führt bei einem Verstoß zu einem Dominoeffekt.

Profi-Tipp für IT-Teams:
Das Erstellen sicherer Passwörter ist nur der erste Schritt. Die eigentliche Herausforderung besteht darin, diese im gesamten Unternehmen durchzusetzen. Mit der Funktion „Passwortrichtlinien erstellen und verwalten“ von miniOrange können Administratoren:

• Definieren Sie Mindestlänge, Komplexität und Verlaufsregeln.
• Setzen Sie für alle Active Directory-Benutzer eindeutige Kennwortstandards durch.
• Vermeiden Sie häufige schwache Muster und Wörterbuchwörter.
• Automatisieren Sie die Einhaltung der HIPAA-, PCI- und DSGVO-Anforderungen. So stellen Sie sicher, dass jeder Benutzer dieselben sicheren Passwortregeln befolgt – ohne dass es auf Vermutungen ankommt.

Häufige Passwortfehler, die Sie vermeiden sollten

Selbst die besten Sicherheitsrichtlinien können versagen, wenn Benutzer falsche Passwortgewohnheiten entwickeln. Angreifer nutzen diese Fehler oft aus, da sie vorhersehbar und leicht auszunutzen sind.

1. Wiederverwendung von Passwörtern für mehrere Konten
   • Wenn eine Site gehackt wird, testen die Angreifer dasselbe Passwort für alle Bank-, E-Mail- und Arbeitskonten.
   • So kann sich aus einem kleinen Leck ein großer Schaden anhäufen.
2. Auswahl schwacher oder gängiger Passwörter
   • Varianten wie Password123 oder Qwerty! gehören noch immer zu den weltweit am häufigsten verwendeten.
   • Diese können mit automatisierten Tools in Sekundenschnelle geknackt werden.
3. Speichern von Passwörtern an unsicheren Orten
   • Wenn Sie sie auf Haftnotizen schreiben oder in der Browser-Autovervollständigung speichern, sind sie für jeden mit lokalem Zugriff sichtbar.
   • Malware und Phishing-Kits sind darauf ausgelegt, diese schnell zu erfassen.
4. Überspringen von Kennwortaktualisierungen nach einem Verstoß
   • Wenn Ihre Anmeldeinformationen in einem Datenleck auftauchen und Sie sie weiterhin verwenden, können Angreifer irgendwann darauf zugreifen.

Profi-Tipp für Administratoren:
Solche Fehler sind oft menschlich und nicht absichtlich. Mit den Funktionen „Passwort-Ablaufbenachrichtigung“ und „Passwort-Warnung“ von miniOrange können IT-Teams:

• Erinnern Sie Benutzer, bevor Passwörter ablaufen.
• Benachrichtigen Sie sie, wenn sie schwache oder kompromittierte Anmeldeinformationen verwenden.
• Reduzieren Sie den IT-Aufwand durch ständiges Zurücksetzen von Passwörtern. Indem Sie schwache oder mehrfach verwendete Passwörter frühzeitig erkennen, verringern Sie das Risiko eines Datenmissbrauchs durch einfache Fehler.

Best Practices für die Verwaltung von Passwörtern

Sichere Passwörter zu erstellen ist eine Sache. Sie für Dutzende von Konten zu verwalten, eine andere. Die meisten Sicherheitsverletzungen passieren nicht, weil die Leute die Regeln nicht kennen, sondern weil die Verwaltung mehrerer eindeutiger Passwörter zu viel wird.

1. Verwenden Sie einen sicheren Passwort-Manager
   • Passwortmanager generieren und speichern starke, einzigartige Passwörter.
   • Dadurch entfällt die Notwendigkeit, sie auswendig zu lernen oder aufzuschreiben.
2. Speichern Sie Anmeldeinformationen in einem verschlüsselten Tresor
   • Im Gegensatz zur automatischen Vervollständigung im Browser verschlüsseln dedizierte Passwort-Tresore die Daten und schützen sie mit einem Hauptschlüssel.
3. Vermeiden Sie die Weitergabe von Anmeldeinformationen
   • Senden Sie niemals Passwörter per E-Mail, Chat oder freigegebenen Dokumenten.
   • Gemeinsam genutzte Konten ohne Rechenschaftspflicht sind ein großer blinder Fleck in der Sicherheit.
4. Rotieren Sie bei Bedarf Passwörter mit hohem Risiko
   • Wechseln Sie bei privilegierten Konten oder Systemen, die vertrauliche Daten verarbeiten, die Passwörter, wenn der Verdacht auf eine Kompromittierung besteht.

Profi-Tipp für IT-Teams:
Die Verwaltung der Passworthygiene im großen Maßstab ist ohne Automatisierung schwierig. Mit dem miniOrange AD Self-Service-Portal können Sie:

• Ermöglichen Sie Benutzern das sichere Zurücksetzen oder Aktualisieren ihrer Passwörter ohne IT-Hilfe.
• Setzen Sie für alle Konten strenge Kennwortrichtlinien durch.
• Synchronisieren Sie Anmeldeinformationen zwischen Active Directory und verbundenen Anwendungen. So behalten Benutzer die Kontrolle über ihre Anmeldeinformationen und reduzieren gleichzeitig den IT-Aufwand – ein Gewinn für beide Seiten.

MFA und Passwortsicherheit

Selbst das sicherste Passwort kann durch Phishing, Keylogger oder Datenbankverletzungen gestohlen werden. Deshalb ist es riskant, sich ausschließlich auf Passwörter zu verlassen. Die Multi-Faktor-Authentifizierung (MFA) bietet einen zusätzlichen Schritt, der es Angreifern deutlich erschwert, sich Zugang zu verschaffen.

1. Warum ist MFA wichtig?
   • Wenn ein Passwort kompromittiert wird, fungiert MFA als zweites Schloss an der Tür.
   • Methoden wie OTPs, Authentifizierungs-Apps, Push-Benachrichtigungen oder biometrische Daten stoppen Angreifer, selbst wenn sie das Passwort kennen.
2. Gängige MFA-Optionen
   • SMS-basierte OTPs (besser als nichts, aber anfällig für SIM-Swaps).
   • Authentifizierungs-Apps wie Google Authenticator oder Authy.
   • Hardwareschlüssel (YubiKey, FIDO2-Geräte).
   • Biometrische Verifizierung, beispielsweise durch Fingerabdrücke oder Gesichtsscans.
3. MFA mit starken Passwörtern kombinieren
   • MFA ersetzt keine sicheren Passwörter, sondern ergänzt sie.
   • Zusammen verringern sie das Risiko von auf Anmeldeinformationen basierenden Angriffen wie Phishing oder Credential Stuffing.

Fazit

Passwörter gehören nach wie vor zu den häufigsten Angriffspunkten für Angreifer, müssen aber nicht Ihr schwächstes Glied sein. Gute Passwort-Erstellung, bessere Verwaltung, MFA und moderne Verfahren wie Passkeys tragen dazu bei, das Risiko von Anmeldedatendiebstahl zu verringern. Die eigentliche Herausforderung besteht darin, diese Best Practices benutzer- und systemübergreifend einheitlich anzuwenden.

Hier machen die richtigen Werkzeuge den Unterschied. Mit miniOrange AD Tools können Sie:

• Erstellen und erzwingen Sie Kennwortrichtlinien im gesamten Active Directory.
• Erinnern Sie Benutzer mit Benachrichtigungen zum Ablauf des Passworts und blockieren Sie schwache oder wiederverwendete Anmeldeinformationen.
• Aktivieren Sie Self-Service-Kennwortzurücksetzungen, um die Anzahl der IT-Tickets zu reduzieren.
• Fügen Sie kritischen Apps MFA oder passwortlose Authentifizierung hinzu, um eine zusätzliche Sicherheitsebene zu schaffen.

Durch die Kombination intelligenter Benutzerpraktiken mit automatisierter Durchsetzung schließen Sie die Lücken, die Angreifer ausnutzen, und erleichtern gleichzeitig den Login für Mitarbeiter. Passwörter mögen sich weiterentwickeln, aber mit dem richtigen Ansatz können sie auch 2025 noch ein sicherer und zuverlässiger Bestandteil Ihrer Verteidigung sein.

Häufig gestellte Fragen

1. Wie erzwinge ich sichere Kennwortrichtlinien im gesamten Active Directory?

Sie können Gruppenrichtlinienobjekte (GPOs) in Active Directory konfigurieren, um Mindestlänge, Komplexität und Verlaufsregeln festzulegen. Für eine detailliertere Kontrolle können Sie mit Tools wie miniOrange Password Policy Enforcement Wörterbuchwörter blockieren, die Wiederverwendung von Passwörtern verhindern und Richtlinien an Compliance-Standards anpassen.

2. Welche Compliance-Anforderungen gelten für die Passwortsicherheit (HIPAA, PCI-DSS, DSGVO)?

• HIPAA erfordert sichere Authentifizierungsmechanismen zum Schutz von ePHI, die häufig starke Passwörter und MFA beinhalten.
• PCI-DSS schreibt eine Mindestlänge und -komplexität von Passwörtern sowie regelmäßige Zurücksetzungen für Konten vor, die Zahlungsdaten verarbeiten.
• Die DSGVO erwartet von Unternehmen, dass sie „angemessene Sicherheitsmaßnahmen“ ergreifen, wozu auch ein Passwortschutz gehört, der den Best Practices der Branche entspricht.

3. Wie können Unternehmen die Zahl passwortbezogener Helpdesk-Tickets reduzieren?

Die meisten IT-Teams verbringen einen großen Teil ihrer Zeit mit dem Zurücksetzen und Sperren von Passwörtern. Mit einer Self-Service Password Reset (SSPR)-Lösung können Benutzer Konten sicher zurücksetzen oder entsperren, was den IT-Aufwand und die Ausfallzeiten reduziert.

4. Sollten Unternehmen weiterhin Richtlinien zur Kennwortrotation durchsetzen?

Moderne Richtlinien (wie NIST) empfehlen, erzwungene häufige Änderungen zu vermeiden, es sei denn, es gibt Hinweise auf eine Kompromittierung. Stattdessen sollten Unternehmen die Erstellung sicherer Passwörter, die Überwachung von Sicherheitsverletzungen und MFA kombinieren, um Konten zu sichern, ohne die Benutzer zu frustrieren.

Quellen

1. https://www.bbc.com/news/articles/cw99ql0239wo
2. https://blog.1password.com/verizon-data-breach-report-2024-analysis
3. https://thehackernews.com/2025/09/how-one-bad-password-ended-158-year-old.html