Wie gehen kleine Betriebe sicher mit Passwörtern um?

Wie sieht ein sicheres Passwort aus?

Das BSI nennt zwei Wege. Ein kurzes Passwort hat 8 bis 12 Zeichen und nutzt alle vier Zeichenarten: Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen. Ein langes Passwort hat 20 bis 25 Zeichen aus zwei Zeichenarten, zum Beispiel eine Folge von Wörtern. Dabei gilt: Je länger, desto besser.

Namen, Geburtsdaten, gängige Wörter und Tastaturmuster wie „qwertz“ gehören nicht in ein Passwort. Für das WLAN empfiehlt das BSI mindestens 20 Zeichen, weil sich dieses Passwort ohne Verbindung zum Netz durchprobieren lässt.

Warum braucht jedes Konto ein eigenes Passwort?

Wird ein Dienst gehackt, probieren Täter die erbeuteten Zugangsdaten auch bei anderen Diensten aus. Ein Passwort, das für mehrere Konten gilt, öffnet dann alle davon. Das BSI nennt die mehrfache Verwendung ein verbreitetes Sicherheitsproblem.

Am wichtigsten ist das Passwort des E-Mail-Kontos. Über die E-Mail-Adresse lassen sich die Passwörter vieler anderer Konten zurücksetzen.

Was leistet ein Passwort-Manager?

Ein Passwort-Manager speichert Benutzernamen und Passwörter verschlüsselt. Sie merken sich nur noch das Masterpasswort. Der Manager erzeugt starke Passwörter, warnt vor schwachen oder mehrfach genutzten und erkennt manche gefälschte Seite an der abweichenden Adresse.

Das BSI hält einen Passwort-Manager in der Regel für lohnend, weil er besser ist als wiederverwendete Passwörter. Zwei Risiken nennt es dazu: Wer das Masterpasswort vergisst, verliert im schlimmsten Fall alle Daten. Ein erfolgreicher Angriff auf den Anbieter kann alle Passwörter auf einmal offenlegen. Für wichtige Konten wie E-Mail empfiehlt das BSI deshalb zusätzlich einen zweiten Faktor.

Worauf achten Sie bei der Auswahl?

Diese Fragen stellt das BSI vor der Auswahl eines Passwort-Managers.

• Klären Sie, für welche Konten der Manager gedacht ist und wer im Betrieb ihn nutzt.
• Entscheiden Sie, ob die Passwörter nur auf dem Gerät liegen oder beim Anbieter, damit sie auf mehreren Geräten bereitstehen.
• Liegen die Passwörter beim Anbieter, lesen Sie seine Datenschutzerklärung und prüfen Sie den Serverstandort.
• Der Passwortspeicher im Browser ist bequem. Das BSI weist aber darauf hin, dass Schadsoftware dort leichter an Zugangsdaten kommt als bei einem eigenständigen Programm.
• Wählen Sie ein Masterpasswort, das lang genug ist. Prüfen Sie, ob sich der Manager zusätzlich mit einem zweiten Faktor schützen lässt.

Wann muss ein Passwort gewechselt werden?

Den regelmäßigen Wechsel nach Kalender hält das BSI für überholt. Er führt erfahrungsgemäß zu schwächeren Passwörtern. Auch ein Arbeitgeber sollte ihn nicht erzwingen. Gewechselt wird in diesen Fällen.

• Ein Dienst meldet ein Datenleck, oder Sie vermuten, dass Ihr Passwort darin enthalten war.
• Es gibt Anzeichen für fremden Zugriff, etwa geänderte Einstellungen oder Mails, die Sie nicht verschickt haben.
• Jemand kennt das Passwort, der es nicht mehr kennen darf. Das betrifft zum Beispiel gemeinsam genutzte Konten, wenn ein Mitarbeiter den Betrieb verlässt.
• Ein Router, Drucker oder anderes Gerät läuft noch mit dem Passwort ab Werk. Dieses Passwort ersetzen Sie sofort durch ein eigenes.

Wobei hilft ServerCrowd?

Wir richten die Passwortverwaltung und die Benutzerverwaltung in Ihrem Betrieb ein. Abgerechnet wird nach Aufwand, auf Wunsch über einen Servicevertrag mit festem Monatspreis je Gerät.

IT-Service ansehen