Bedeutet es wirklich eine erhöhte Sicherheit, Benutzer dazu zu zwingen, ihre Passwörter häufiger zu ändern?

Passwörter werden seit langem zum Identitätsnachweis und zur Authentifizierung des Benutzerzugriffs auf Ressourcen verwendet. Um die Sicherheit zu erhöhen, haben wir im Laufe der Zeit die Anforderungen an Passwörter komplexer gemacht und häufig geänderte Passwörter erforderlich gemacht.

Im Streben nach mehr Sicherheit haben wir jedoch genau die Tatsache außer Acht gelassen, die passwortbasierte Sicherheit gegenüber anderen Ansätzen vorzuziehen macht - ihre Einfachheit.

Immer komplexere Passwörter abzufragen und den Benutzer dann häufig zu deren Änderung zu zwingen, untergräbt das Grundprinzip der Passwortsicherheit. Wenn Benutzer dazu gezwungen werden, eine größere Menge an immer komplexeren Passwörtern zu erstellen, bedeutet dies oft, dass sie sich die Passwörter nicht so leicht merken können und viele Benutzer darauf zurückgreifen müssen, sich das Passwort zu notieren, das dann leicht kompromittiert werden kann.

Sollten wir Benutzer also zwingen, Passwörter zu ändern?

Neulich habe ich verschiedene Benutzerforen nach der Antwort durchsucht und bin auf diesen Thread bei Spiceworks gestoßen. IT-Administratoren auf der ganzen Welt scheinen in dieser Frage geteilter Meinung zu sein. Während viele Vorbehalte hinsichtlich der Wirksamkeit äußern, Benutzer zum Ändern von Passwörtern zu zwingen, gibt es andere, die dies befürworten. Hier habe ich die wichtigsten Antworten dieser Admins zusammengestellt, um Ihnen einen Meinungsüberblick zu geben:

• Die Änderung von Passwörtern wird von außen durch Vorschriften wie HIPAA, PCI usw. vorangetrieben und untergräbt die Sicherheit, da Mitarbeiter gezwungen sind, die Sicherheit zu gefährden, indem sie Passwörter aufschreiben, um sie sich zu merken. Ein Wechsel alle 6 Monate bis zu einem Jahr ist ausreichend.
• Wenn man sie dazu zwingt, ihre Passwörter häufig zu ändern, nutzen sie nur Tricks, die sie in die Irre führen können. Daher sollte die Aktualisierung eines Passworts nur dann erfolgen, wenn dies ausdrücklich erforderlich ist. Wenn Sie beispielsweise glauben, dass das Passwort gestohlen wurde, oder wenn Sie vermuten, dass sich jemand in Ihrem Namen angemeldet hat.
• Die Windows-Standardeinstellung von 42 Tagen, bevor eine Kennwortänderung erforderlich ist, ist viel zu kurz und sollte auf 180 Tage geändert werden. Wenn Prüfer sie damit konfrontieren, sollten sie darauf hingewiesen werden, dass häufige Passwortänderungen von den Benutzern nicht ernst genommen werden, da sie es entweder auf ihre eigene Weise vereinfachen (Pass_word!23) oder es irgendwo notieren.
• Im Umgang mit Passwörtern herrschen Doppelmoral. Während mit persönlichen Dingen wie dem Passwort eines Bankkontos äußerst vorsichtig umgegangen wird, geht man mit Passwörtern für Büro-Desktops eher locker um. Beispielsweise rufen die Leute dem IT-Mitarbeiter, der an ihren Schreibtisch kommt, ihr Passwort zu oder lassen es sich auf einen Zettel auf den Bildschirm schreiben. Durch regelmäßiges Ändern wird das Risiko eines unbefugten Zugriffs verringert.
• Sind wir innovativ genug? Warum können wir keine differenzielle Richtlinie haben, bei der jedes Passwort ausgewertet wird und Benutzer je nach Komplexität aufgefordert werden, es mehr oder weniger häufig zu ändern? Wenn Sie beispielsweise eine große, komplexe Paraphrase verwenden, können Sie es sich leisten, diese zweimal im Jahr zu ändern, bei den „Passwort!23“-Typen sollte dies jedoch häufiger erfolgen.

Aus den Antworten von IT-Managern geht hervor, dass es zwar keine Garantie für die Sicherheit darstellt, Benutzer zum Ändern ihrer Passwörter zu zwingen, Administratoren diese Vorgehensweise jedoch weiterhin anwenden, um die Sicherheit des Windows-Netzwerks zu gewährleisten, da ihnen keine andere Wahl bleibt. Biometrische Authentifizierung wie die Anmeldung per Fingerabdruck erfordert möglicherweise zusätzliche Investitionen, ist aber nicht nur sicherer, sondern reduziert auch die Anzahl der Helpdesk-Anrufe und kann sich daher auf lange Sicht als wirtschaftlich erweisen. Bis dahin erscheint es sinnvoll, Benutzer aufzufordern, ihr Passwort in sinnvolleren Abständen zu ändern.