Passwortrichtlinie: Eine Passwortrichtlinie legt verbindliche Mindestanforderungen an Passwörter fest, etwa Mindestlänge, erlaubte Zeichen und Wechselintervalle, und regelt als Teil der Zugriffskontrolle den Umgang mit Authentifizierungsinformationen nach ISO 27001:2022 Anhang A, Control 5.17.
Die klassische Vorgabe aus Komplexitätsregeln (Groß-/Kleinbuchstaben, Ziffern, Sonderzeichen) kombiniert mit erzwungenem Wechsel alle 90 Tage gilt inzwischen als überholt. Sowohl das BSI als auch der US-Standard NIST SP 800-63B empfehlen seit einigen Jahren einen anderen Ansatz:
| Alte Praxis | Aktuelle Empfehlung |
|---|---|
| Komplexität vor Länge | Länge vor Komplexität (mind. 8, besser 12+ Zeichen) |
| Zwangswechsel alle 90 Tage | Wechsel nur bei konkretem Verdacht auf Kompromittierung |
| Passwort allein als Schutz | Passwort plus Zwei-Faktor-Authentifizierung für kritische Zugänge |
Grund für den Kurswechsel: Erzwungener, häufiger Wechsel führt in der Praxis meist zu vorhersehbaren Mustern (etwa ein hochgezähltes Suffix), nicht zu tatsächlich sichereren Passwörtern. Stattdessen empfehlen aktuelle Richtlinien, neue Passwörter automatisiert gegen Listen bereits geleakter Zugangsdaten zu prüfen und die Nutzung eines Passwort-Managers verbindlich vorzugeben oder zumindest zu ermöglichen.
Eine Passwortrichtlinie sollte konkrete, technisch durchsetzbare Vorgaben enthalten statt allgemeiner Appelle: Mindestlänge, verbotene Trivialpasswörter, Sperrung nach mehreren Fehlversuchen sowie die verpflichtende Kombination mit Zwei-Faktor-Authentifizierung für administrative Zugänge und Fernzugriffe. Rein appellative Regelungen ohne technische Durchsetzung, etwa per Active-Directory-Richtlinie oder Identity-Provider, werden im Alltag erfahrungsgemäß häufig unterlaufen.
Für gemeinsam genutzte Zugänge, etwa Servicekonten oder geteilte Administrationszugänge, sollte die Richtlinie zusätzlich regeln, dass jede Person nach Möglichkeit einen eigenen, personalisierten Zugang erhält, statt sich ein Passwort mit anderen zu teilen. Geteilte Zugänge erschweren im Ernstfall die Nachvollziehbarkeit, wer eine bestimmte Aktion tatsächlich ausgeführt hat.
Relevanz für die Zertifizierung
Im ISO-27001-Audit prüft der Auditor, ob eine dokumentierte Passwortrichtlinie existiert und ob ihre Vorgaben technisch durchgesetzt werden, etwa durch Systemeinstellungen statt nur durch eine Anweisung im Intranet. Eine Richtlinie, die noch starre 90-Tage-Wechsel ohne Anlass vorschreibt, wird von erfahrenen Auditoren zunehmend kritisch hinterfragt, da sie dem aktuellen Stand der Technik nicht mehr entspricht. Entscheidend ist zudem, ob für privilegierte und Fernzugänge zusätzlich eine Zwei-Faktor-Authentifizierung vorgesehen ist, da ein Passwort allein hierfür regelmäßig als unzureichend gilt.
Häufige Fragen zu Passwortrichtlinie
Aktuelle BSI- und NIST-Empfehlungen nennen mindestens 8, besser 12 Zeichen oder mehr, statt sich primär auf Komplexitätsregeln mit Sonderzeichen zu stützen. Entscheidend für die Sicherheit ist vor allem die Länge in Kombination mit einer Prüfung gegen bekannte Leak-Listen, nicht eine möglichst komplizierte Zeichenkombination.
Nach aktuellem Stand nicht mehr pauschal. BSI und NIST empfehlen einen Wechsel nur bei konkretem Verdacht auf Kompromittierung, da erzwungene, anlasslose Wechselintervalle in der Praxis meist zu vorhersehbaren, schwächeren Passwörtern führen. ISO 27001 selbst schreibt kein festes Wechselintervall vor.
Für einfache Nutzerkonten mit geringem Schutzbedarf grundsätzlich ja, abhängig von der Risikobewertung. Für administrative Zugänge, Fernzugriffe und Cloud-Administrationskonten erwarten Auditoren nach Anhang A, Control 8.5, zusätzlich eine Zwei-Faktor-Authentifizierung, da ein Passwort allein hierfür als unzureichender Schutz gilt.