Passwort-Richtlinie: eine Vorlage, die Leute auch befolgen

Beides ist überholt. Das BSI rät spätestens seit der Edition 2020 des IT-Grundschutzes von zeitgesteuerten Wechseln ab. Die amerikanische Normenbehörde NIST verbietet sie in ihrer Fassung vom Juli 2025 ausdrücklich, und Zwangsregeln für Zeichenarten gleich mit.

Das BSI begründet das so: Wer regelmäßig wechseln muss, wählt schwächere und vorhersehbarere Passwörter. Der alte Zwangswechsel kostet also Zeit und senkt dabei die Sicherheit.

Weiter unten steht eine Richtlinie, die Sie übernehmen und anpassen können. Jede Regel trägt ihre Quelle. Vorher zwei Dinge, die Sie wissen sollten, bevor Sie sie in Kraft setzen.

Das BSI schreibt in der Anforderung ORP.4.A23: „Reine zeitgesteuerte Wechsel SOLLTEN vermieden werden.“

Direkt dahinter steht die Bedingung: „Es MÜSSEN Maßnahmen ergriffen werden, um die Kompromittierung von Passwörtern zu erkennen.“

Wer den Wechsel streicht, muss also merken können, wenn ein Passwort abgeflossen ist. Zum Beispiel über einen Abgleich mit bekannten Datenlecks oder über Warnungen bei auffälligen Anmeldungen.

Und wenn das nicht geht? Dann, so das BSI weiter, soll geprüft werden, ob die Nachteile des regelmäßigen Wechsels doch in Kauf genommen werden. Eine Richtlinie ohne Erkennung ist nach dem Grundschutz nur halb umgesetzt.

In der Richtung stimmen beide überein. Im Detail nicht, und eine Vorlage muss sich an zwei Stellen entscheiden.

Wichtig für jeden, der eine Vorlage aus dem Netz liest: Der IT-Grundschutz nennt keine Mindestzeichenzahl. Wer schreibt „das BSI verlangt 12 Zeichen“, zitiert etwas, das im Baustein nicht steht.

Die Zahlen des BSI stehen auf seiner Verbraucherseite. Dort stehen drei Wege: 20 bis 25 Zeichen mit zwei Zeichenarten, 8 bis 12 Zeichen mit vier Zeichenarten oder 8 Zeichen mit drei Zeichenarten und einem zweiten Faktor.

Die Vorlage nimmt 15 Zeichen. Das ist die Zahl von NIST, belegt und überprüfbar. Kommt ein zweiter Faktor dazu, reichen nach NIST 8 Zeichen, deshalb steht diese Zahl gleich in Regel 1.

Zeichenarten verlangt die Vorlage nicht, sie erlaubt sie nur. Damit folgt sie NIST. Mit den Wegen des BSI deckt sie sich nicht ganz: 15 Kleinbuchstaben erfüllen die Vorlage, aber keinen der drei Wege.

Die eckigen Klammern sind keine Formsache. Regel 21 und Regel 26 sind die zwei, an denen sich zeigt, ob die Richtlinie gelebt wird. Wenn Sie dort nichts eintragen können, fehlt Ihnen ein Ablauf, nicht ein Satz.

Regel 26 ist die heikelste. Wenn jemand anruft und sagt „ich komme nicht mehr rein“, muss klar sein, wie der Anrufer beweist, dass er es wirklich ist. Das BSI verlangt ein „angemessenes sicheres Verfahren“ und die Schulung derer, die zurücksetzen. Den Rückruf haben wir nur als Vorschlag eingetragen.

Die Zahl in Regel 22 legt das BSI nicht fest. Tragen Sie ein, was Ihre Systeme können.

Regel 15 und 16 stammen von Microsoft. Die Microsoft-365-Business-Dokumentation nennt für Notfallkonten 16 Zeichen, der Cloud Security Benchmark 32. Die Vorlage nimmt die höhere Zahl.

Regel 6 hat einen Haken, den Sie kennen sollten. Das BSI verlangt, dass Passwortmanager keine Passwörter über Onlinedienste Dritter synchronisieren. Das beißt sich mit den meisten Team-Tresoren. Was daraus folgt, steht in Passwortmanager im Team: was vorher geklärt sein muss.

Sie ersetzt keine Technik. Die Regeln im Abschnitt D muss jemand in Ihren Systemen einstellen.

Und sie sagt nichts darüber, was Ihre Cyberversicherung verlangt. Die Musterbedingungen des Versicherungsverbands GDV verlangen ausdrücklich, Mindestanforderungen an Passwörter „technisch sicherzustellen“. Eine Richtlinie, die nur auf dem Papier steht, erfüllt das nicht.

Wenn Sie die Regeln in Microsoft 365 umgesetzt haben wollen, gehört das bei uns zur IT-Sicherheit. Was Ihre Branchensoftware davon kann, klären wir als Bindeglied mit Ihrem Softwarehaus. Und die technischen und organisatorischen Maßnahmen, in die diese Richtlinie als ein Baustein gehört, stehen in unserem TOM-Katalog.