Eine Passwort Policy ist die Sammlung der Regeln eines Systems für Aufbau, Länge und Wechsel von Passwörtern. Was lange als gute Regel galt, gilt inzwischen als schädlich.
- Passwort Policy
Die Regeln eines Systems für Aufbau, Länge und Wechsel von Passwörtern.
Beispiel: „Die Passwort Policy verlangt fünfzehn Zeichen und keinen regelmäßigen Wechsel mehr.“Auch: Passwortrichtlinie, Password Policy.
Abgrenzung zur Sicherheitsrichtlinie: Die regelt den Umgang mit allem, die Passwort Policy nur diesen einen Punkt.
Was in eine Passwort Policy heute hineingehört
Die US-Normungsbehörde NIST hat ihre Empfehlungen in der vierten Fassung von SP 800-63B deutlich geändert. Vier Punkte daraus sind für jede Passwort Policy maßgeblich.
Was NIST verlangt | Wortlaut | Was daraus folgt |
|---|---|---|
Mindestlänge | „a minimum of 15 characters“ | Acht Zeichen reichen nur zusammen mit einem zweiten Faktor |
Höchstlänge | „at least 64 characters“ | Lange Passphrasen dürfen nicht abgeschnitten werden |
Zeichenregeln | „SHALL NOT impose other composition rules“ | Keine Pflicht zu Sonderzeichen, Ziffern und Großbuchstaben |
Wechselzwang | „SHALL NOT require subscribers to change passwords periodically“ | Gewechselt wird, wenn es einen Anlass gibt |
Daraus folgt eine Policy, die kürzer ist als die alte: Länge verlangen, gegen Listen bekannter Passwörter prüfen, lange Eingaben zulassen und den Rest sein lassen.
Warum der erzwungene Wechsel schadet
Weil er zu vorhersehbaren Passwörtern führt. Wer alle neunzig Tage ein neues Kennwort braucht, hängt eine Zahl an und zählt hoch; das Ergebnis ist schwächer als das Original und für einen Angreifer leichter zu raten. Dazu kommt, dass der Wechsel nichts nützt, wenn das alte Kennwort längst abgeflossen ist: Bis zum Stichtag hat der Angreifer Wochen Zeit.
Was an die Stelle der alten Regeln tritt
Drei Dinge. Ein Abgleich gegen Listen bekannter Passwörter beim Anlegen fängt genau die ab, die bei Credential Stuffing zuerst probiert werden. Eine Begrenzung der Versuche nimmt dem Brute-Force-Angriff die Grundlage. Und ein zweiter Faktor wirkt gegen alles, wogegen Länge und Aufbau nichts ausrichten.