Wie sich Best Practices für das Passwort-Management weiterentwickeln

Technologie entwickelt sich schneller als je zuvor. Was einmal Standard war (wie Software auf CDs und MP3-Playern), hat Platz gemacht für eine stärker vernetzte virtuelle Welt mit Dingen wie SaaS (Software as a Service) und Streaming-Plattformen für Musik. Kein Wunder also, dass sich auch Standards für das Passwort-Management weiterentwickelt haben. Lesen Sie weiter, um zu erfahren, wie Sie auf dem Laufenden bleiben und angemessen planen können.

Die Entwicklung von Passwörtern als Sicherheitstool

Passwörter wurden vor Jahrzehnten als einfache Möglichkeit entwickelt, um sensible Daten zu schützen. Doch konnte die Technik mit dem Tempo digitaler Technologie nicht Schritt halten. Heute stellen gefährdete Passworte die schnellste und einfachste Methode für böswillige Akteure dar, um sich unbefugten Zugriff auf Daten und Systeme eines Unternehmens zu verschaffen.

Und Cyberkriminelle müssen nicht lange suchen, um diese sprichwörtlichen Schlüssel zum Königreich zu finden.

Die enorme Menge an gefährdeten Anmeldedaten im Dark-Web wächst immer weiter. So haben Forscher im Dark-Web 2022 mehr als 6,7 Milliarden eindeutige Anmeldedatenpaare – Kombinationen von Benutzernamen und Passwörtern – gefunden. Das war eine Steigerung um 34 % im Vergleich zu 2020.

Studien zeigen, dass Anmeldedaten der Hauptpfad sind, der böswillige Akteure in Ihr Unternehmen führt. Im vergangenen Jahr waren Anmeldedaten an etwa der Hälfte aller Datenschutzverletzungen beteiligt, die nicht das Ergebnis von Fehlern oder Missbrauch waren – weit vor anderen Taktiken wie Phishing oder Ausnutzung von Schwachstellen.

Da die Branche daran arbeitet, das Passwortproblem zu lösen, steht uns eine passwortlose Zukunft bevor. Passwortlose Authentifizierung überprüft die Benutzeridentität, ohne ein Passwort zu erfordern, und verwendet einen Authenticator wie z. B. ein Smartphone.

Diese vielversprechende Entwicklung befindet sich jedoch in einer frühen Phase; eine breite Einführung ist Jahre entfernt. Möglicherweise werden Passwörter auch nie ganz verschwinden. In der Zwischenzeit ist es für alle Unternehmen wichtig, angesichts des digitalen Zeitalters Best Practices für das Passwort-Management zu implementieren. Um den Übergang für Ihr Unternehmen nahtlos zu gestalten, sollte jede neue Authentifizierungslösung, die Sie implementieren, sowohl Passwörter als auch Passkeys (passwortlose Anmeldedaten für die Authentifizierung) unterstützen.

Neue Best Practices für das Passwort-Management

Die Praktiken beim Passwort-Management haben sich über die Jahre ebenfalls weiterentwickelt. Vor nicht langer Zeit wurde empfohlen, Passwörter regelmäßig zu ändern – bis zu einmal im Monat oder Quartal. Sicherheitsexperten haben jedoch herausgefunden, dass eine solche Richtlinie Menschen nur dazu bringt, leicht zu erratende Passwörter zu erstellen und gleiche Passwörter für verschiedene Konten zu verwenden. Böswillige Akteure nutzen beide Verhaltensweisen und setzen unterschiedliche Taktiken ein, um schwache Passwörter zu knacken oder gestohlene Anmeldedaten zu verwenden.

Zu den aktuellen Best Practices gehört es, für jedes Konto ein eigenes starkes Passwort zu nutzen, persönliche Daten und Wörterbucheinträge in Passwörtern zu vermeiden und Passwörter nicht über ungesicherte Methoden wie Collaboration-Apps oder E-Mail zu teilen.

Mitarbeitern vorzuschreiben, die genannten Praktiken einzuhalten, ohne dass es ein geeignetes Tool zur Überwachung gibt, führt jedoch nicht zu Compliance. Unter anderem deswegen empfehlen Sicherheitsexperten die Verwendung eines Passwort-Managers in Ihrem Unternehmen. Passwort-Manager helfen Mitarbeitern dabei, Passwörter sicher und bequem zu erstellen, zu speichern, zu teilen und zu verwalten.

Passwort-Manager als Compliance-Tool

In letzter Zeit haben Regierungs- und Regulierungsbehörden sowie Branchengruppen mehr Aufmerksamkeit auf die Implementierung von Passwortrichtlinien und Praktiken für das Passwort-Management gelenkt. Ein Beispiel dafür ist ein Rundschreiben vom US-amerikanischen Consumer Financial Protection Bureau (CFPB) aus dem August 2022, in dem darauf hingewiesen wurde, dass ungenügender Schutz von sensiblen Verbraucherdaten einen Verstoß gegen das Verbot unlauterer Praktiken darstellen kann.

Die Behörde erklärte, dass Cyberangriffe Verbrauchern erhebliche Schäden zufügen können und dass eine fehlende Implementierung von grundlegenden Sicherheitsmaßnahmen die Wahrscheinlichkeit eines Verstoßes gegen das Verbot unlauterer Praktiken erheblich erhöht. Eine von drei Best Practices, die das CFPB zur Vermeidung von Non-Compliance empfiehlt, ist die Implementierung von Richtlinien und Verfahren für das Passwort-Management.

---

Zwar entwickelt sich Technologie immer weiter, doch gibt es Möglichkeiten zu verhindern, dass Sie zurückfallen. Passende Ressourcen können Ihnen bei Ihrer virtuellen Reise als Partner zur Seite stehen und Ihnen dabei helfen, auf dem aktuellen Stand zu bleiben.

---

Referenzen

1. EY, „Global Information Security Survey“, 2021.
2. Identity Theft Resource Center, „Data Breach Annual Report“, 2021.
3. Proofpoint, „State of the Phish“, 2022.
4. IBM Security, „Cost of a Data Breach Report“, 2022.
5. Verizon, „Data Breach Investigations Report“, 2022