+49 (0) 8171/405-0 info@proSoft.de

Microsoft: Das regelmäßige Ändern von Passwörtern macht sie nicht sicherer.

14.
Mai
2019
Passwort, Sicherheit

Microsoft übernimmt neue NIST- Empfehlungen zu Passwörtern und verabschiedet sich vom 90-Tage-Änderungsrythmus

Die allermeisten Unternehmen fordern von ihren Mitarbeitern, Passwörter alle 90 oder sogar 60 Tage zu ändern. Dass das den Anwender nervt, ist klar. Jedoch zeigen aktuelle Untersuchungen auch, dass das gewünschte Ziel „mehr Sicherheit“ nicht erreicht, sondern konterkariert wird. Die Anwender erstellen vorhersagbare, somit schlechtere und unsichere Passwörter.

Zu dieser Erkenntnis kommt nun offenbar auch Microsoft und bringt damit auch in Deutschland Bewegung in das Thema.

Microsoft entfernt Kennwortablaufrichtlinien

In einer Mitteilung zu Windows 10 Version 1903 (19H1) und Windows Server 1903 hat Microsoft angekündigt, das die Kennwortablaufrichtlinien („password-expiration policies“) aus der „Security Baseline“ entfernt werden.
Die „Security Baselines“ sind konkrete Sicherheitsempfehlungen von Microsoft, in denen Administratoren der Einsatz von Gruppenrichtlinien erklärt wird, mit denen ein Unternehmensnetzwerk und das Windows-Umfeld sicherer gemacht wird. Nach alter Richtlinie wurden Nutzer aufgefordert nach einem festgesetzten Zeitraum eine Passwort-Änderung vorzunehmen. Dieser Hinweis ist nunmehr entfallen.
 

Neue NIST Empfehlungen für sichere Passwörter

Ursprung der alten Vorgehensweise ist eine Direktive des US-amerikanischen National Institute of Standards and Technology, NIST, fast schon aus der Steinzeit der IT (2003):
  • Passwörter sollen komplex sein (Großschreibung, Kleinschreibung, Zahlen, Sonderzeichen).
  • Passwörter sollen alle 90 Tage gewechselt werden.

Inzwischen ist klar geworden, dass sichere Passwörter so nicht funktionieren – das NIST hat die Vorgaben ersetzt.

Gemäß dem hier verlinkten neuen Regelwerk sollen Passwörter nur noch bei einem konkreten Sicherheitsvorfall geändert werden – die Forderung, Passwörter zwingend im 90 Tagesrhythmus zu ändern, ist beim NIST entfallen und offenbar in der direkten Konsequenz nunmehr auch bei Microsoft.

Ob und wann sich die Erkenntnis auch in deutschen IT-Abteilungen durchsetzt, bleibt abzuwarten.
 

Meine Empfehlung:

  • Dem Fazit von Microsoft und NIST können wir uns nur anschließen.
  • Sollten Sie also in den nächsten Wochen mal wieder eine Aufforderung zur Passwort-Änderung erhalten, dann weisen Sie die IT-Abteilung einfach mal auf die neuen Empfehlungen hin.
  • Wenn Sie als Administrator für die Umsetzung der Sicherheitsrichtlinien zuständig sind, können Sie unter Bezugnahme auf NIST und Microssoft Ihre eigenen Richtlinien, Dienstanweisungen und Betriebsvereinbarungen mit ruhigem Gewissen anpassen. Ihre Nutzer werden es Ihnen danken!

Redakteur und Redaktionsbeauftragter für Inhalt und Konzept
(Alle Beiträge „In My Humble Opinion“)

So lassen sich USB-Laufwerke in industriellen Umgebungen sicher nutzen https://t.co/4QlF26krH0
Tipps zu Sicherheitseinstellungen bei #NetSupport Manager. #netsupportmanager https://t.co/UpBAKtNH8f
@OPSWAT: Defining, dissecting, and securing your data and web applications is central to a zero-trust policy. Download the report to get an overview of the Zero Trust Framework from Forrester: https://t.co/IZywWfLB61 https://t.co/AiHHOtL91x
@heisec: Sicherheitsupdates: Schadcode-Lücken in GPU-Treibern von Nvidia geschlossen https://t.co/8J4aKnLTdf #Nvidia #Sicherheitslücke
Neue Energieformen - neue Verwundbarkeiten #Cyberangriffe über Smart-Grid Technologien auf erneuerbare Energien #Windkraft #Solar https://t.co/fgv6SejGzJ
@heisec: Massive Angriffe auf Lücke in WordPress-Plug-in Tatsu Builder https://t.co/uyUXpXeB6z #WordPressTatsuBuilder #Cyberangriff
Studie zur Kommunikationssicherheit: 5 Tipps für sichere Kommunikation bei Webseiten https://t.co/KHVvzr8p5r #Internet https://t.co/j0g9atuMAm
1526820800300470274
@heisec: Sicherheitslücken in Sonicwall SMA 1000 und SSL-VPN erlauben unbefugten Zugriff https://t.co/5wor8hXQco #Sonicwall #Sicherheitsupdate
@heiseonline: Versicherer Hiscox: Cybercrime für deutsche Unternehmen besonders teuer https://t.co/7Zu8U3WFAe #Hiscox #Cybercrime
@BSI_Bund: 📫✉Jetzt im aktuellen Verbraucherschutz-Newsletter📫✉:

BSI: BKA meldet Rekorde bei Cybercrime-Delikten, Deepfakes werden immer beliebter & IT-Sicherheitskennzeichen jetzt auch für smarte Verbraucherprodukte.

https://t.co/pPloGBk3Vn

#DeutschlandDigitalSicherBSI https://t.co/gr9wvLY9kB
Impressionen von der #AFCEA Messe in Bonn. #ProSoft war dabei https://t.co/y7c7CixNvX
Patchday Microsoft: Windows-Schwachstelle attackiert - Domain-Controller updaten https://t.co/Ncnexm4I1L
@heisec: Jetzt patchen! F5 BIG-IP-Systeme werden aktiv angegriffen https://t.co/3mtqhyxkO6 #BIGIP #Angriffe
Enemybot: Neues #Botnet missbraucht Router und IoT-Geräte für DDoS-Angriffe https://t.co/4zLOaHfIqJ
@heisec: Nach Fehlalarm: Trend Micro gibt Tipps zur Reparatur https://t.co/9bnbsqRMcV #TrendMicroFehlalarm #Reparatur
BKA: Cyberkriminalität legt im Jahresvergleich um zwölf Prozent zu https://t.co/nsGQ6qlXG1 https://t.co/L3AyLAhZRq
Security von Prosoft sorgt für stabile OT-Systeme https://t.co/VQuruKXoPO

Der ProBlog Newsletter

Bleiben Sie auf dem Laufenden mit unseren interessanten News, Updates und Insights
zu modernen IT-Security & IT-Infrastruktur-Lösungen.

Members Only:
Alle Newsletter-Empfänger erhalten jetzt Zugriff auf exklusive Inhalte!

Bitte füllen Sie kurz das Formular aus.
Anschließend erhalten Sie eine E-Mail, mit der Sie Ihre Anmeldung bestätigen können.

 

 
Mit der Anmeldung akzeptiere ich die Datenschutzbestimmungen der ProSoft GmbH.

 

Share This