Durchsetzen einer guten Kennworthygiene

Lernziele

Nachdem Sie diese Lektion abgeschlossen haben, sind Sie in der Lage, die folgenden Aufgaben auszuführen:

• Definieren einer guten Kennworthygiene
• Erklären, wie Kennwort-Manager Kennwörter schützen

So wichtig ist eine gute Kennworthygiene

Die Kennworthygiene oder Kennwortpflege ist bei Ihren internen Organisationssystemen ebenso wichtig wie bei den Anmeldedaten, die Sie für den Zugriff auf Ihre E-Mail, Ihren Kalender und andere arbeitsbezogene Anwendungen verwenden. Egal wie gut sich ein Unternehmen gegen externe Gefahren schützt, Kennwörter stellen immer noch ein Sicherheitsrisiko dar. Aus diesem Grund sollten Sie festlegen, dass Ihre Benutzer für alle Datenbanken und Systeme, auf die sie zugreifen, eindeutige Anmeldedaten haben müssen. 

Zu Risiken durch Kennwörter gehören die Verwendung schwacher Kennwörter, die Wiederverwendung von Kennwörtern und der unsachgemäße Umgang mit Anmeldedaten durch eine falsche Speicherung oder Verschlüsselung (Verwendung eines Algorithmus zum Verschlüsseln, Kodieren und Schützen). Eine Methode zur Implementierung sicherer Kennwörter ist die Verwendung eines Kennwort-Management-Tools. 

Eine gute Kennworthygiene umfasst zwei Komponenten: Sie müssen für jeden Service, auf den Sie zugreifen, eindeutige und starke Kennwörter verwenden und diese Kennwörter sicher speichern. Sehen wir uns einige bewährte Verfahren für den Schutz Ihrer Kennwörter an.

Verwendung eindeutiger, starker Kennwörter

Verwenden Sie für jeden Service, auf den Sie zugreifen, starke Kennwörter. Dabei ist es besonders wichtig, Kennwörter nicht mehrmals zu verwenden. Es ist verlockend, Kennwörter wiederzuverwenden oder immer nur geringfügig veränderte Varianten davon zu verwenden, da die Nutzung langer und komplexer Kennwörter für mehrere Accounts mühsam sein kann. Die Wiederverwendung von Kennwörtern macht Ihr Unternehmen jedoch anfällig für Sicherheitsverletzungen.

Wenn Sie dasselbe Kennwort verwenden oder es nur geringfügig abändern, können sich Hacker, die an das Kennwort für einen Ihrer Benutzeraccounts gelangen, auch Zugang zu Ihren anderen Accounts verschaffen. So entstanden schon eine ganze Reihe größerer Sicherheitsverletzungen bei Unternehmen aus verschiedenen Branchen, die zu Verletzungen von Social Media-Accounts von Mitarbeitern, Bankkonten von Kunden und sogar von nationalen Sicherheitssystemen führten. Ein Kennwort-Manager ist eine hervorragende Möglichkeit, dieses Risiko zu minimieren. 

Verwenden eines Kennwort-Managers

Die Festlegung sicherer Kennwörter ist enorm wichtig. Ebenso wichtig ist es jedoch, dafür zu sorgen, dass diese Kennwörter geheim bleiben. Da man sich starke, eindeutige Kennwörter nur schwer merken kann, ist es unter Umständen verlockend, sich die Kennwörter irgendwo aufzuschreiben. Dies kann allerdings zu ernsthaften Sicherheitsproblemen führen, da Aufschriebe gefunden werden können, vor allem in Großraumbüros. Wenn Sie das nächste Mal versucht sind, Ihr Kennwort auf eine Haftnotiz oder in ein Notizbuch zu schreiben, dann sollten Sie sich das besser noch einmal überlegen.   

Vielleicht ist Ihnen schon der Begriff "Kennworthygiene" oder "Kennwortpflege" begegnet. Dabei geht es um die folgenden bewährten Vorgehensweisen im Zusammenhang mit Kennwörtern. Eine gute Kennworthygiene trägt dazu bei, Ihre Systeme vor dem Eindringen von Angreifern zu schützen. Der einfachste Weg, um sicherzustellen, dass Sie starke Kennwörter für Ihre Accounts festlegen und sie nicht wiederverwenden, ist die Verwendung eines Kennwort-Managers. Die meisten Kennwort-Manager verfügen über integrierte Generatoren zum Erstellen zufälliger Kennwörter und erfassen Benutzernamen und Kennwörter in Echtzeit. Sie speichern diese Benutzernamen und Kennwörter in einer sicheren Datenbank, sodass Sie sich nicht für jede Website ein anderes, starkes und eindeutiges Kennwort merken müssen.

Möglicherweise stellt Ihnen Ihr Unternehmen einen Kennwort-Manager zur Verfügung. Sollte dies nicht der Fall sein, können Sie auch selbst einen aussuchen. Mit Kennwort-Managern können Sie Ihre Websites sicher speichern, Ihre Anmeldeinformationen verwalten, mit dem Zufallsgenerator Kennwörter erstellen und sie in einer sicheren Datenbank ablegen, ohne dass Sie sich komplexe, sichere Kennwörter für jeden von Ihnen genutzten Service merken müssen. 

Was in einem Kennwort-Manager gespeichert werden darf

Kennwort-Manager sind zwar eine hervorragende Möglichkeit, starke Kennwörter zu nutzen, Sie sollten sie aber auf keinen Fall für Systemadministrator- oder privilegierte Accounts verwenden. Verwenden Sie für privilegierte Accounts einen Tresor oder ein Managementsystem für privilegierte Schlüssel, das Ihre Geheimnisse verschlüsselt.   

Beachten Sie die folgenden bewährten Vorgehensweisen für die Verwendung eines Kennwort-Managers. 

• Ihr Master-Kennwort sollte mindestens so komplex wie das komplexeste, im Kennwort-Manager gespeicherte Kennwort sein.
• Wählen Sie ein Master-Kennwort für Ihren Kennwort-Manager, das aus mindestens 16 Zeichen besteht und folgende Kategorien abdeckt: Großbuchstaben, Kleinbuchstaben, Zahlen und Symbole.
• Verwenden Sie eine Passphrase. Eine Passphrase ist eine satzähnliche Abfolge von Wörtern zur Authentifizierung, die länger als ein herkömmliches Kennwort, leicht zu merken und schwer zu knacken ist. Sie können Leerzeichen hinzufügen und Buchstaben durch Sonderzeichen oder Zahlen ersetzen, um die Sicherheit noch weiter zu erhöhen.
• Legen Sie fest, dass Ihr Kennwort-Manager die Multi-Faktor-Authentifizierung (MFA) für die Anmeldung verwendet.

Mehr Schutz durch Multi-Faktor-Authentifizierung

Viele Unternehmen sind dazu übergegangen, die Identität von Benutzern mit der MFA zu überprüfen, bevor sie ihnen den Zugriff auf Systeme erlauben. Zur Authentifizierung können drei Arten von Faktoren verwendet werden: 1) etwas, das Sie haben, 2) etwas, das Sie wissen, und 3) etwas, das Sie sind. Bei der MFA müssen Sie sich mit mindestens zwei dieser drei Faktoren authentifizieren. 

Beim Anmelden können Sie beispielsweise die MFA verwenden, um Ihre Identität mit etwas, das Sie kennen (z. B. Ihr Kennwort) und etwas, das Sie haben (z. B. eine Anwendung auf Ihrem Handy oder ein Hardware-Token), nachzuweisen. Die Implementierung der MFA kann vor Kennwortangriffen wie Phishing-Angriffen schützen, die das Ziel haben, Anmeldedaten zu sammeln, um unbefugten Zugriff auf den Computer des Opfers zu erhalten. Bei der Verwendung der MFA benötigt ein Angreifer, selbst wenn er in den Besitz Ihres Kennworts gelangt, immer noch Zugang zum zweiten Faktor, wie z. B. Ihrem Telefon oder Ihrem Hardware-Token, um Ihr Account kompromittieren zu können.

Verwenden Sie unbedingt immer die MFA für den Zugriff auf Ihren Kennwort-Manager, der den größten Schutz für alle dort gespeicherten Geheimnisse bietet. Verschiedene Kennwort-Manager-Systeme erfordern unterschiedliche Authentifizierungsmethoden. Zu den Methoden zählen beispielsweise softwarebasierte Authentifizierungsanwendungen wie Google Authenticator, hardwarebasierte Authentifizierungssysteme wie YubiKey oder andere Methoden wie biometrische Verfahren. 

Nachdem Sie nun wissen, wie Sie Ihre persönlichen Kennwörter schützen können, wenden wir uns jetzt dem Schutz Ihrer Administrator-Anmeldedaten zu. 

Ressourcen

• Externe Website: Weltwirtschaftsforum ((WEF): Warum COVID-19 ein Argument für die Abschaffung von Kennwörtern ist (auf Englisch)
• Externe Website: Global Cyber Alliance: Phishing: Eine weltweite Pandemie (auf Englisch)
• Externe Website: National Institute of Standards and Technology (NIST): Special Publication (SP) 800-63: Revision 3: Leitlinien zur digitalen Identität (auf Englisch)