Passphrasen statt Kennwörter: Mehr Sicherheit und bessere User-Akzeptanz
Auch wenn Microsoft regelmäßig das Ende der Passwörter ausruft, so bleiben diese trotz ihrer Schwächen das populärste Verfahren zur Authentifizierung. Unternehmen sollten daher nur starke Kennwörter zulassen. Passphrasen bilden einen guten Kompromiss zwischen Sicherheit und Benutzerfreundlichkeit.*
In vielen Organisationen auf der ganzen Welt ist Active Directory das Rückgrat für die Verwaltung von Identitäten und Anmeldeinformationen. Umso verwunderlicher, dass gerade dort der Schutz durch starke Passwörter sehr oft vernachlässigt wird.
So stellt Specops Software fest, dass im Schnitt 30 Prozent aller Passwörter in Organisationen kompromittiert sind. Sie tauchen also in Listen mit gehackten Konten auf und kursieren im Internet. Einer unserer Produktspezialisten berichtete, dass sogar ein Anteil von 60 Prozent an solchen Passwörtern durchaus keine Einzelfälle sind.
Solarwinds erlebte erst kürzlich einen IT-Super-GAU, der durch schwache Passwörter verursacht wurde. Angreifern gelang es, den Quellcode von Produkten dieses Herstellers zu manipulieren, wodurch zahlreiche seiner Kunden in Mitleidenschaft gezogen wurden.
Sicherheit versus Benutzerfreundlichkeit
Natürlich wissen Systemadministratoren um die Bedeutung starker Passwörter. Häufig wenden sie aber ein, dass komplexe und lange Kennwörter nicht benutzerfreundlich seien. Die meisten Anwender würden, wenn sie dazu gezwungen werden, bestimmten Mustern folgen, die leicht vorhersagbar oder einfach zu erraten sind.
Das ist sicher richtig. Specops Software empfiehlt daher den Einsatz von Passphrasen, die aus mindestens drei willkürlich gewählten Wörtern und zumindest 20 Zeichen bestehen. Der wesentliche Vorteil von Passphrasen besteht darin, dass Benutzer sich diese leichter merken können, obwohl sie länger und damit sicherer sind als die meisten Passwörter.
Auch wenn man durch Passphrasen eine höhere Akzeptanz für starke Kennwörter erreichen kann, sollten Schulungen und Trainings die User zusätzlich für dieses Thema sensibilisieren. Dabei können sich Unternehmen auf Empfehlungen internationaler Sicherheitsbehörden wie dem NIST, SANS, NCSC oder BSI berufen.
Passwort-Schwachstellen erkennen
Starten sollten Sie mit einem eingehenden Audit Ihres AD auf passwortbezogene Schwachstellen. Mit der Corona-Pandemie und dem aufkommenden "Work from Home" (#WFH) hat sich Specops Software entschlossen, seine für diesen Zweck entwickelte Lösung Specops Password Auditor kostenfrei zur Verfügung zu stellen.
Mit Specops Password Auditor können Sie:
- Konten mit kompromittierten Passwörtern identifizieren.
- Benutzerkonten ohne Anforderung an ein Passwort finden.
- Ruhende Benutzerkonten ermitteln.
- In Kürze ablaufende Passwörter erkennen, Ihre Nutzer hierüber informieren und so Ihren Helpdesk entlasten.
- Alle ermittelten passwortrelevanten Schwachstellen übersichtlich in einem Dashboard darstellen.
- Berichtsdaten zur weiteren Verarbeitung in CSV-Dateien exportieren
- PDF-Berichte inklusive einer Management Summary erstellen, um Entscheidungsträger davon zu überzeugen technische und organisatorische Maßnahmen anzustoßen.
Mit den Daten aus dem Audit sehen Sie auf einen Blick, wo Defizite bestehen und wie sich diese durch Einsatz von geeignete Maßnahmen beseitigen lassen. Diese könnten etwa Passwortrichtlinien umfassen, die über die Default Policy hinausgehen.
Starke Passwörter in der Praxis durchsetzen
Bei der Durchsetzung starker Kennwörter unterstützt Sie Specops Password Policy, mit dessen Hilfe Sie die aktuellen Empfehlungen von Sicherheitsbehörden wie BSI oder NIST einfach und schnell realisieren können.
Es erweitert die Funktionalität der Gruppenrichtlinie und kann die Verwendung von Passphrasen erzwingen. Passwörter werden bei der Erstellung durch den User mit der Breached Password Protection List verglichen und blockiert, falls sie kompromittiert sind.
Fazit
Durch die Blockierung von kompromittierten Kennwörtern und die Einführung von Passphrasen erhöhen Sie signifikant die Passwortsicherheit in Ihrer Organisation.
Weiterführende Links
Specops Password Auditor als kostenlose Vollversion herunterladen
Trial-Download von Specops Password Policy
Aufzeichnung des Webinars: Passwortsicherheit in Unternehmen erhöhen
Kontakt:
Marcus Neuhardt
Marketing Manager DACH
marcus.neuhardt(at)specopssoft.com
Oleg Huber
Sales Manager DACH
oleg.huber(at)specopssoft.com
*Dies ist ein bezahlter Beitrag von SpecOps Software
