Passwörter & Zugangszertifikate (z.B. SSH Keys) – sie dienen als zentraler Schutzmechanismus, wenn es um die Zugangskontrolle zu IT-Systemen, Netzwerken oder PCs geht und schützen kritische Unternehmensressourcen vor unbefugtem Zugriff. Diese hochsensiblen Daten gilt es besonders vor Cyberangriffen zu schützen. Dennoch werden diese in der Praxis oft von Beschäftigten ohne unzureichenden Schutz in unverschlüsselten Excellisten auf dem Desktop, in Browser Extensions von Public Cloud Anbietern oder kostenlosen Softwaretools abgelegt, ohne sich genau darüber im Klaren zu sein, wo die Zugangsdaten gespeichert werden, welche technischen Schutzmaßnahmen hierfür getroffen werden oder von wem diese eingesehen werden können.
Für manche mag es praktikabel sein und auch sicher erscheinen, Passwörter in verschlüsselten Excellisten zu speichern, zumal hier in neueren Version durchaus die Möglichkeit besteht, die Dateien mit einer AES 256 Verschlüsselung zu versehen, jedoch liegt hier das Problem, dass verwendete Verschlüsselungskennwörter nicht die notwendige Komplexität haben, und somit die Verschlüsselung so gut wie unwirksam machen. Zudem fehlt die Möglichkeit eine zusätzliche Sicherheitsebene mittels Zweifaktorauthentifizierung zu implementieren.
Das BSI (Bundesamt für Sicherheit in der Informationstechnik) empfiehlt dabei, dass Passwörter mindestens 12 Zeichen lang sowie aus einer Mischung aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichnen bestehen soll.
Einfache Muster oder Informationen, die im Zusammenhang mit einer Person stehen, wie Geburtstagsdaten oder Wörter, wie sie im Duden stehen, sollten vermieden werden. Die Kombination aus den genannten Zeichen sollte zufällig sein und keine Zahlenfolgen wie beispielsweise 1234admin enthalten. Insbesondere bei kritischen Systemen sollte komplett auf Passphrasen verzichtet werden; hier bietet eine zufällige Kombination maximalen Schutz.
Im Zuge der technologischen Entwicklung ist KI heute dazu fähig, unsichere Passwörter sehr schnell zu erraten. Mittels Machine Learning und erheblicher Rechenleistung können KI gestützte Tools Muster in schwachen Passwortkombinationen erkennen oder auf Datenbanken mit häufig verwendeten Kennwörtern zugreifen. Mittelmäßig komplexe Passwörter mit 8 Zeichen und einer Kombination aus Groß- und Kleinschreibung können innerhalb weniger Minuten geknackt werden. Komplexe Passwörter mit 10 Zeichnen und einer Kombination aus Groß- und Kleinbuchstaben sowie Symbolen und Zahlen können innerhalb von Stunden offengelegt werden. Erst ab 12 Zeichen und einer zufälligen Mischung aus Zeichenarten dauert die Entschlüsselung Monate. 16 und mehr Zeichen gepaart mit einer zufälligen Mischung aus Buchstaben, Zeichen und Zahlen gelten aktuell als maximal sicher und sollten für kritische Anwendungen, wie zur Absicherung des Unternehmensnetzwerks und privilegierte Konten (Admin Zugänge) verwendet werden.
Public Cloud Anbieter, die eine Passwortspeicherung im Browser ermöglichen, bieten oft die Möglichkeit, eine 2-Faktorauthentifizierung mittels Authentifizierungs App oder Hardwarestick zu implementieren und die Passwörter verschlüsselt abzulegen, was die ganze Sache natürlich weitaus sicherer gestaltet als eine auf dem Desktop abgespeicherte Excelliste. Jedoch ist bei der Speicherung im Browser zu beachten, dass Hacker hier Schwachstellen und Sicherheitslücken, beispielsweise in ungepatchten Versionen, ausnutzten könnten oder kompromittierte Benutzerkonten missbrauchen, so Zugriff auf alle Passwörter und somit Zugriffe auf hochsensible Daten erlangen könnten.
Passwortmanagement Tools, die als Software-as-a Service auf einer Private-Cloud-Infrastructure gehostet werden, sind ideale Anwendungen, um Passwörter sicher zu verwalten. Ein solcher Passworttresor speichert Passwörter verschlüsselt, sodass diese auch im Fall eines Sicherheitsverletzung geschützt sind.
Um sicher zu stellen, dass nur autorisierte Benutzter auf die Passwörter zugreifen können, kann die Anwendung mittels 2-Faktor Authentifizierung zusätzlich abgesichert werden, sodass auch im Falle eines Phishing Angriffs, bei dem Kennwort und Benutzername in die Hände von Kriminellen gelangt ist, die Passwörter beschützt sind. Zugriffe sollten außerdem nur über VPN oder eine alternative verschlüsselte Verbindung erfolgen.
Durch umfassende Protokollierung aller Aktivitäten, vom Passwortzugriff über die Änderung dieser können Unternehmen jederzeit die Nachvollziehbarkeit gewährleisten und so die Compliance nachweisen.
Zusätzlich können je nach Risikobewertung für unterschiedliche Benutzerkonten die Komplexität bestimmt und Passwortrichtlinien gemäß dieser umgesetzt werden. Passwörter können dabei durch einen automatischen Generator generiert und in vorgegeben Zeitabständen geändert werden, um die Sicherheit zu erhöhen.
