Passwortrichtlinie

Die Passwortrichtlinie ist eine mitgeltende Regelung des Informationssicherheitsmanagements und konkretisiert die übergeordnete Sicherheitsrichtlinie für den Umgang mit Authentisierungsmitteln. Sie legt fest, welche Mindestlänge und Komplexität Passwörter haben müssen, für welche Systeme zusätzlich eine Multi-Faktor-Authentifizierung verpflichtend ist, wie Initial- und Notfallpasswörter vergeben werden, wie Passwörter gespeichert und übertragen werden dürfen und was bei einem Verdacht auf Kompromittierung zu tun ist. Adressiert werden damit Beschäftigte, Administratorinnen und Administratoren sowie – über Konfigurationsvorgaben – die IT-Systeme selbst, denn eine Richtlinie, die technisch nicht erzwungen wird, bleibt in der Praxis wirkungslos.

Inhaltlich hat sich der Stand der Technik deutlich verschoben. Das BSI hat die frühere Empfehlung eines regelmäßigen, anlasslosen Passwortwechsels aus dem IT-Grundschutz-Kompendium gestrichen: Erzwungene Wechselintervalle führen erfahrungsgemäß zu vorhersehbaren Ableitungen wie "Sommer2026!" und senken damit die Sicherheit. Gewechselt wird heute anlassbezogen – bei Verdacht auf Kompromittierung, nach einem Sicherheitsvorfall, bei Weitergabe oder beim Ausscheiden von Berechtigten. An die Stelle des Wechselzwangs treten Länge und Einzigartigkeit: Das BSI koppelt die Passwortgüte an das Zusammenspiel von Länge und genutztem Zeichenraum, sodass kurze Passwörter viele Zeichenklassen benötigen, während lange Passphrasen mit wenigen Zeichenarten auskommen. Jedes Konto erhält ein eigenes Passwort, die Wiederverwendung über Dienste hinweg ist zu untersagen, und ein Abgleich gegen Listen bekannter geleakter Passwörter sollte die Neuvergabe absichern.

Rechtlich und normativ ist die Passwortrichtlinie kein Selbstzweck. Art. 21 Abs. 2 der NIS2-Richtlinie – in Deutschland über das NIS2-Umsetzungsgesetz in das BSIG überführt – verlangt Konzepte für die Zugriffskontrolle sowie den Einsatz von Multi-Faktor-Authentifizierung. ISO/IEC 27001:2022 fordert in Anhang A 5.17 die geregelte Vergabe und Handhabung von Authentisierungsinformationen, und der IT-Grundschutz-Baustein ORP.4 "Identitäts- und Berechtigungsmanagement" enthält die zugehörigen Anforderungen zu Passwortnutzung und Passwortgüte. Werden über die betroffenen Konten personenbezogene Daten verarbeitet, ist die Richtlinie zugleich eine technisch-organisatorische Maßnahme im Sinne von Art. 32 DSGVO. Zur Umsetzbarkeit gehören flankierende Maßnahmen: freigegebene Passwortmanager, Sperr- oder Verzögerungsmechanismen nach Fehlversuchen, ein gesondert geregelter Umgang mit privilegierten Konten sowie Awareness-Maßnahmen, die erklären, warum die Regeln so aussehen, wie sie aussehen.