Kurzfassung: In diesem Leitfaden erfährst du, wie du in unter 15 Minuten eine sichere, benutzerfreundliche und auditfähige Passwort‑Richtlinie aufsetzt – inklusive Mustertext zum Übernehmen.
1 | Einleitung
- Warum das Thema? Trotz MFA‑Boom sind schwache oder wiederverwendete Passwörter weiterhin das Einfallstor Nr. 1 für Angriffe. Kompromittierte Zugangsdaten gehören in den einschlägigen Branchenreports seit Jahren zu den häufigsten Einstiegswegen.
- Regulatorischer Druck: Richtlinien wie NIS2, ISO 27001:2022, BSI‑Grundschutz oder PCI‑DSS v4 fordern nachweisbare Kontrollen für das Identitäts‑ und Zugriffsmanagement.
- Ziel dieses Artikels: Dir eine praktikable Vorlage liefern, mit der du eine zeitgemäße Passwort‑Policy definierst, die Security‑Audits besteht, ohne den Helpdesk mit Passwort‑Stress lahmzulegen.
2 | Was ist eine Passwort‑Richtlinie?
Eine Passwort‑Richtlinie (engl. Password Policy) legt verbindlich fest, wie Passwörter im Unternehmen aufgebaut, gespeichert und verwaltet werden müssen. Sie grenzt sich von rein technischen Kontrollen (z. B. MFA, PAM, Passwort‑Manager) ab und beantwortet u. a. folgende Fragen:
| Frage | Typische Richtlinien‑Antwort |
|---|---|
| Mindestlänge | 12 Zeichen (16 Zeichen für privilegierte Konten) |
| Komplexität | Keine Pflicht zu Sonderzeichen, aber Verbot triviale Patterns („123456“) |
| Lebensdauer | Kein erzwungener 90‑Tage‑Wechsel; Rotation nur bei Verdacht oder Treffer in einer Leak-Datenbank |
| Speicherung | Hash & Salt gemäß NIST SP 800‑63‑3 / BSI TR‑02102 |
| Self‑Service | Passwort‑Reset nur mit MFA + Identitätsprüfungen |
3 | Grundlagen starker Passwörter
- Länge > Komplexität – Ein 16‑Zeichen‑Pass‑Satz ist robuster und merkbarer als „P@ssw0rd!“.
- Pass‑Sätze & Diceware – Wortlisten oder Songtexte als Merkhilfe einsetzen.
- Verbot kompromittierter Passwörter – Automatisch gegen „Have I Been Pwned“ oder NIST‑Bad‑Password‑List prüfen.
- Kein erzwungener Turnus – Regelmäßiges Ändern ohne Anlass erhöht Frustration und schwächt Passwörter (NIST, BSI).
- MFA nicht vergessen – Passwörter bleiben Angriffsoberfläche; MFA reduziert den Schadenfaktor drastisch.
4 | Schritt‑für‑Schritt‑Leitfaden zur Policy‑Erstellung
- Risikoanalyse durchführen
Erfasse Daten‑Klassen, Vertrauensniveaus und potenzielle Angreifer. - Mindestanforderungen definieren
– Länge, – erlaubte Zeichensätze, – Passwort‑Reuse‑Blockade. - Lebenszyklus festlegen
– Gültigkeitsdauer, – Rotation bei Verdacht, – Offboarding‑Prozess. - Technische Durchsetzung planen
– Active Directory GPOs, – Cloud‑IDP‑Policies, – Linux‑PAM‑Module. - Ausnahmen & Privileged Accounts
Höhere Anforderungen oder Pass‑Satz + Hardware‑Token. - Dokumentieren & freigeben
Rollout‑Plan, Change‑Management, Management‑Sign‑off.
Mustertext: Passwortrichtlinie zum Übernehmen
Platzhalter in eckigen Klammern ersetzen, Nichtzutreffendes streichen, intern freigeben lassen.
Passwortrichtlinie der [Organisation]
1. Zweck und Geltungsbereich
Diese Richtlinie legt fest, wie Passwörter in der [Organisation] gebildet, verwendet und geschützt werden. Sie gilt für alle Beschäftigten und für externe Dienstleister mit Zugang zu Systemen der [Organisation].
2. Anforderungen an Passwörter
Passwörter für persönliche Benutzerkonten haben eine Mindestlänge von [12] Zeichen. Für privilegierte Konten sowie für technische Konten gilt eine Mindestlänge von [16] Zeichen. Eine Pflicht zur Verwendung bestimmter Zeichenarten besteht nicht; empfohlen werden mehrere zufällig kombinierte Wörter. Nicht zulässig sind Passwörter, die aus dem Namen der [Organisation], persönlichen Daten, Tastaturmustern oder einfachen Wortfolgen bestehen.
3. Gültigkeit
Ein turnusmäßiger Passwortwechsel findet nicht statt. Ein Wechsel wird ausschließlich verlangt, wenn ein Passwort kompromittiert wurde oder ein entsprechender Verdacht besteht, wenn es in einer bekannten Leak-Datenbank auftaucht oder wenn es durch Dritte vergeben wurde, etwa bei Erstanmeldung oder nach einem Zurücksetzen.
4. Umgang mit Passwörtern
Passwörter sind persönlich und dürfen nicht weitergegeben werden – auch nicht an Vorgesetzte oder an die IT. Kein Beschäftigter der [Organisation] wird per E-Mail oder Telefon nach einem Passwort fragen. Jedes Passwort wird nur für ein einziges Konto verwendet; die Wiederverwendung dienstlicher Passwörter im privaten Umfeld ist unzulässig. Zur Verwaltung ist [der von der Organisation bereitgestellte Passwortmanager] zu verwenden; das Speichern in Dateien, Browsern ohne Absicherung oder auf Papier am Arbeitsplatz ist nicht zulässig.
5. Mehr-Faktor-Authentifizierung
Für [Zugriffe aus dem Internet, privilegierte Konten und alle Cloud-Dienste] ist eine Mehr-Faktor-Authentifizierung verpflichtend. Wo verfügbar, sind phishing-resistente Verfahren zu bevorzugen.
6. Technische und Administrationskonten
Technische Konten erhalten ein zufällig erzeugtes Passwort von mindestens [24] Zeichen, das in [einem Secrets-Management] hinterlegt wird. Administrative Tätigkeiten erfolgen ausschließlich über gesonderte Konten, nicht über das Konto für die tägliche Arbeit.
7. Zurücksetzen
Das Zurücksetzen erfolgt über [den Self-Service] und erfordert eine Verifikation über einen zweiten Faktor. Bei einem Zurücksetzen durch den Support wird die Identität der anfragenden Person über [ein festgelegtes Verfahren] geprüft; die Auskunft erfolgt nie über den Kanal, über den die Anfrage kam.
8. Meldepflicht
Der Verdacht, dass ein Passwort Dritten bekannt geworden ist, wird unverzüglich nach dem [Meldeprozess für Sicherheitsvorfälle] gemeldet. Eine Meldung bleibt für die meldende Person folgenlos, auch wenn sie auf eigenes Fehlverhalten zurückgeht.
Freigegeben durch: [Name, Funktion] · Gültig ab: [Datum] · Nächste Überprüfung: [Datum]
5 | Technische Umsetzung (How‑To)
5.1 Windows / Active Directory
Mindestlänge und Komplexität sind in Active Directory keine Benutzereigenschaften, sondern Richtlinieneinstellungen. Für abweichende Vorgaben je Gruppe nutzt du Fine-Grained Password Policies:
New-ADFineGrainedPasswordPolicy -Name "PSO-Admins" `
-Precedence 10 `
-MinPasswordLength 16 `
-ComplexityEnabled $false `
-MaxPasswordAge "00:00:00" `
-LockoutThreshold 10 `
-LockoutDuration "00:15:00" `
-LockoutObservationWindow "00:15:00"
Add-ADFineGrainedPasswordPolicySubject -Identity "PSO-Admins" `
-Subjects "Domain Admins"-MaxPasswordAge "00:00:00" deaktiviert den erzwungenen Ablauf. Die Einstellungen der Default Domain Policy gelten weiterhin für alle Konten ohne zugewiesenes PSO.
- Fine‑Grained Password Policies für Sondergruppen.
- Integration externer Prüfdienste via Azure AD Password Protection.
5.2 Azure AD / Entra ID
- Custom Password Protection Regex.
- Conditional Access Policy für MFA‑Zwang bei Reset.
5.3 Linux & macOS
# Linux‑PAM Beispiel
password requisite pam_passwdqc.so min=disabled,disabled,16,12,8
- pam‑pwquality → Dynamische Stärkeprüfung.
- libpam‑hibp → Checks gegen kompromittierte Hashes.
5.4 SaaS‑Dienste (z. B. Google Workspace, Okta)
- API‑Integration für „Have I Been Pwned“‑Checks.
- Passkeys als Option für passwortlosen Login einführen.
6 | Benutzerfreundlichkeit sicherstellen
| Maßnahme | Effekt |
|---|---|
| Self‑Service‑Reset + MFA | Entlastet Helpdesk, reduziert Phishing‑Risiko |
| Kein Pflichtwechsel alle 90 Tage | Höhere Merkbarkeit, weniger Post‑its |
| Klare Kommunikation | Kürzere Onboarding‑Zeit, höhere Compliance |
Pro-Tipp: Kurze Erklärvideos zum Thema „Passsatz statt Passwort“ senken die Zahl der Rückfragen im Helpdesk spürbar – weil das Problem meist Verständnis ist, nicht Technik.
7 | Häufige Fragen (FAQ)
Müssen wir Sonderzeichen erzwingen?
Nein. Die Forschung zeigt, dass Länge wichtiger ist als Komplexität. Lieber 16‑Zeichen‑Pass‑Sätze.
Wie gehe ich mit Dienst‑Konten / Admin-Konten um?
- Längere Pass‑Sätze (24+),
- Automatisierte Rotation via Secrets‑Manager,
- Wo möglich: OAuth 2.0 / Zertifikats‑Auth.
Sind Passwort‑Manager Pflicht?
Empfohlen, aber keine harte Pflicht. Wer keine zentral gemanagte Lösung nutzen kann, sollte min. einen FIDO2‑Token für privilegierte Zugriffe einsetzen.
8 | Fazit & nächste Schritte
- Quick Wins: Länge ≥ 12, kompromittierte Passwörter sperren, MFA für Reset.
- MFA-Rollout ohne Nutzer-Chaos
Passende Richtlinien
- Berechtigungskonzept – regelt, wer die Zugänge überhaupt bekommt
- Sicherheitsvorfall melden – der Weg, wenn ein Passwort kompromittiert wurde
- IT-Richtlinie – der übergeordnete Rahmen