Die wichtigsten Punkte
- Planen Sie die Richtlinie zur schrittweisen Passphrasen-Migration vor dem Rollout: Legen Sie Geltungsbereich, Mindestlänge und Durchsetzungsdetails fest, um Störungen zu vermeiden und die Compliance zu wahren.
- Testen Sie die Einführung von Passphrasen mit ausgewählten Benutzergruppen: Prüfen Sie Arbeitsabläufe, Muster beim Zurücksetzen und die Kommunikation, um Anmeldeprobleme und Kompatibilitätslücken aufzudecken.
- Setzen Sie auf die Prüfung verbotener Passwörter und eigene Wörterbücher: Blockieren Sie geleakte Passwörter, Jahreszeit-Jahr-Muster und unternehmensspezifische Begriffe.
- Auditieren Sie Legacy-Systeme und Drittanbieter-Apps auf Kompatibilität: Erfassen Sie Einschränkungen, planen Sie Gegenmaßnahmen oder ersetzen Sie Systeme, damit die Richtlinie konsistent durchgesetzt wird.
- Kombinieren Sie Passphrasen bei privilegiertem Zugriff und Fernzugriff mit MFA: Verlangen Sie MFA für Administrator:innen, Personen mit Fernzugriff und Dienstkonten; nutzen Sie, wo möglich, Vault-verwaltete Identitäten.
- Kommunizieren und messen Sie den Erfolg des Passphrasen-Rollouts: Schulen Sie Benutzer:innen zu einprägsamen Passphrasen, führen Sie schrittweise ein und verfolgen Sie Akzeptanz, fehlgeschlagene Anmeldungen und Helpdesk-Aufkommen.
Passphrasen setzen auf Länge statt auf Komplexität. Dadurch lassen sie sich leichter merken und sind widerstandsfähiger gegen gängige Angriffe. Viele Anbieter und Sicherheitsorganisationen empfehlen deshalb Modelle, bei denen die Länge im Vordergrund steht. Die Einführung einer solchen Richtlinie kann jedoch scheitern, wenn sie nicht sauber geplant und umgesetzt wird. Umso wichtiger ist es, dass alle Benutzer:innen den Unterschied zwischen Passwort und Passphrase kennen und verstehen, warum Passphrasen Sicherheitsrisiken besser abdecken.
So erstellen Sie eine sinnvolle und praxistaugliche Passphrasen-Richtlinie
📌 Voraussetzungen:
- Sie benötigen eine Bestandsaufnahme aller Identitätssysteme, Authentifizierungspfade und Anwendungen, die eigene Anmeldeinformationen erzwingen.
- Sie benötigen Zugriff und die Berechtigung, Domänenrichtlinien oder fein abgestufte Richtlinien für Länge, Verlauf und Kontosperrung festzulegen.
- Sie müssen eine Prüfung auf verbotene Passwörter mit eigenen Wörterbüchern für Ihre Marken- und Branchenbegriffe durchführen.
- MFA muss für privilegierten Zugriff und Fernzugriff verfügbar sein.
- Sie benötigen bereits einen Ablageort für Nachweise zu Richtlinienänderungen, KPIs und Ausnahmeregistern.
Schritt 1: Zielrichtlinie und Geltungsbereich festlegen
Zunächst sollten Sie sich nicht zu viel auf einmal vornehmen und keine unrealistischen Erwartungen wecken. Erstellen Sie für die Passphrasen-Migration Ihres Unternehmens eine Richtlinie mit einem realistischen und umsetzbaren Geltungsbereich.
Diese Punkte sollten Sie dabei berücksichtigen:
- Legen Sie eine Mindestlänge fest, die Passphrasen unterstützt
- Behalten Sie den Verlauf bei, um ein schnelles Durchwechseln zu verhindern
- Passen Sie die Schwellenwerte für Kontosperrungen so an, dass das Brute-Force-Risiko sinkt, ohne die Bedienbarkeit zu beeinträchtigen.
Sobald die Details stehen, dokumentieren Sie die Richtlinie, für wen sie gilt und ab wann sie in Kraft tritt. Machen Sie diese Informationen allen relevanten Stakeholdern und Beschäftigten zugänglich, damit alle wissen, was von ihnen erwartet wird.
Schritt 2: Pilotphase mit einer freiwilligen Gruppe
Bevor Sie vollständig von Passwörtern auf Passphrasen umstellen, sollten Sie zunächst einen Pilotversuch durchführen. So stellen Sie sicher, dass alle wissen, was zu tun ist, die Abläufe klar definiert sind und Sie für den Fall der Fälle die nötigen Notfallpläne parat haben.
Wählen Sie eine kleine Gruppe aus IT, Finanzwesen und operativen Rollen aus und lassen Sie sie die neue Richtlinie anwenden. Geben Sie ihnen Beispiele für starke Passphrasen und sammeln Sie Rückmeldungen zur Anmeldehäufigkeit, zu Auslösern für Zurücksetzungen und zu unterbrochenen Arbeitsabläufen. Überarbeiten Sie Ihre Richtlinie anhand dieses Feedbacks.
Schritt 3: Prüfung auf verbotene Passwörter aktivieren
Während Sie Ihre Richtlinie für die Passphrasen-Migration aufbauen, können Sie auch den Umgang mit Passwörtern Schritt für Schritt verbessern. Ein praktischer Einstieg ist, schwache oder häufig kompromittierte Muster zu blockieren, zum Beispiel:
- Bekannte Begriffe aus Datenlecks
- Kombinationen aus Jahreszeit und Jahr (zum Beispiel Sommer2024)
- Unternehmensspezifische Begriffe, Marken oder Namen
Pflegen Sie ein eigenes Wörterbuch für Ihr Unternehmen. Beobachten Sie blockierte Versuche, um Kommunikation und Schulungen anzupassen. Wurden bei einer Person mehrere Passwörter blockiert, ist möglicherweise eine zusätzliche Schulung zur Passwortsicherheit sinnvoll.
Schritt 4: Legacy- und Drittanbietersysteme prüfen
Ein Faktor, der die Stärkung Ihrer Passphrasen-Sicherheitsrichtlinie erschweren kann, sind Legacy-Anwendungen. Sie unterstützen die gewünschten neuen Sicherheitsmaßnahmen möglicherweise nicht.
Identifizieren Sie Anwendungen, die Domänenrichtlinien ignorieren oder die Länge begrenzen, denn daraus kann eine Sicherheitsverletzung entstehen. Notieren Sie für jede Anwendung die maximal unterstützte Länge und die Zeichenbeschränkungen. Erarbeiten Sie Übergangslösungen oder Abhilfepläne, bevor Sie breit ausrollen. Das kann bedeuten, den Anbieter direkt zu kontaktieren oder die Anwendung durch eine Lösung mit besseren Sicherheitsfunktionen zu ersetzen.
Schritt 5: Passphrasen bei risikoreichem Zugriff mit MFA kombinieren
Auch wenn Passphrasen generell sicherer sind als Passwörter, gibt es weitere Maßnahmen, mit denen Sie Ihre Sicherheitsvorkehrungen stärken können. So können Sie beispielsweise MFA für Administrator:innen, Werkzeuge zur Fernverwaltung und externe Zugriffe verpflichtend machen. Für Dienstkonten sind verwaltete Identitäten oder in einen Vault integrierte Secrets mit Rotation die bessere Wahl.
Gibt es Ausnahmen, sollten Sie deren Zugriff auf das Nötigste begrenzen und ihn nach Abschluss der Arbeiten oder nach einem festgelegten Zeitraum automatisiert entziehen. So bleiben Ihre Daten geschützt, und nur autorisierte Personen können die Daten Ihres Unternehmens einsehen.
Schritt 6: Mit Beispielen und klaren Leitplanken kommunizieren
Sobald Ihre Passphrasen-Richtlinie steht, setzen Sie sie um, indem Sie die Änderung an alle betroffenen Beschäftigten kommunizieren. Stellen Sie eine kurze Anleitung bereit, die zeigt, wie gute Passphrasen aussehen, wie sich einprägsame Passphrasen bilden lassen und was blockiert wird.
So wissen alle, was von ihnen erwartet wird. Falls einzelne Personen Schwierigkeiten haben, können Sie vor der vollständigen Einführung zusätzliche Schulungen anbieten.
Schritt 7: In Wellen ausrollen und Telemetrie nutzen
Führen Sie die neue Passphrasen-Richtlinie schrittweise ein. So erkennen Sie kleinere Probleme, bevor sie größer werden. Sobald Sie sich der Wirksamkeit der Richtlinie sicherer sind, können Sie wöchentlich auf größere Gruppen ausweiten.
Verfolgen Sie Akzeptanz, Anzahl der Zurücksetzungen und fehlgeschlagene Anmeldungen. Treten bei der Umsetzung größere Probleme auf, pausieren Sie den Rollout. Ermitteln Sie die Ursache, beheben Sie sie und fahren Sie erst danach fort.
Schritt 8: Ein Ausnahmeregister führen
Zu jeder Richtlinie gibt es Ausnahmen. Wenn eine Person oder ein System die Passphrasen-Anforderungen nicht erfüllen kann, dokumentieren Sie unbedingt:
- Für wen oder was die Ausnahme gilt
- Warum die Passphrasen-Anforderungen nicht erfüllt werden können
- Welche kompensierenden Kontrollen den Zugriff einschränken
- Wann die Ausnahme ausläuft (Enddatum des Zugriffs)
Prüfen Sie dieses Protokoll wöchentlich. Ziel sollte sein, diese Ausnahmen aufzulösen, indem Sie einen Weg zur Einhaltung der aktuellen Richtlinie finden oder den Zugriff innerhalb von 30 bis 60 Tagen entziehen, um größere Sicherheitsprobleme zu vermeiden.
Schritt 9: Privilegierte Zugriffe und Fernzugriffspfade überprüfen
Nach der Einführung müssen Sie sicherstellen, dass Ihre Passphrasen-Richtlinie tatsächlich eingehalten wird. Auditieren Sie Administrator:innen und Personen mit Fernzugriff und stellen Sie sicher, dass sie richtlinienkonforme Passphrasen verwenden, MFA erzwungen wird und veraltete lokale Passwörter entfernt sind. Halten Sie Ihre Ergebnisse fest und stellen Sie die Daten allen relevanten Stakeholdern zur Verfügung.
Schritt 10: Monatliches Nachweispaket veröffentlichen
Zeigen Sie Ihren Kund:innen und allen relevanten Stakeholdern, dass Ihre Passphrasen-Richtlinie wirkt. Nehmen Sie Daten pro Mandant auf und vergessen Sie dabei nicht Richtlinienunterschiede, Akzeptanz-KPIs, blockierte Passwortversuche, die Laufzeit von Ausnahmen und Veränderungen im Helpdesk-Aufkommen. Sie können zusätzlich eine einseitige Zusammenfassung erstellen, die Führungskräfte schnell überfliegen können.
Übersicht der Best Practices für eine starke Passphrasen-Richtlinie
| Praxis | Zweck | Nutzen |
| Pilotphase, dann Rollout in Wellen | Reduziert Störungen. | Weniger Kontosperrungen und eine sauberere Einführung. |
| Prüfung auf verbotene Passwörter | Verhindert die Verwendung schwacher Passwörter. | Höhere effektive Entropie. |
| MFA für risikoreiche Zugriffe | Kontoübernahmen lassen sich leichter eindämmen. | Geringere Wahrscheinlichkeit von Sicherheitsvorfällen. |
| Lebenszyklus von Ausnahmen | Hält Sicherheitslücken temporär. | Mehr Verbindlichkeit und ein klarer Abschluss. |
| Monatliche Nachweise | Belegt die Ergebnisse Ihrer Richtlinien. | Stärkt das Vertrauen der Führungsebene und fördert Vertragsverlängerungen. |
Ideen zur NinjaOne-Integration für die Umstellung Ihres Unternehmens auf Passphrasen
Mit NinjaOne-Werkzeugen können Sie die Passphrasen-Migration optimieren:
- Nutzen Sie geplante Aufgaben, um Audit-Ergebnisse zu erfassen,
- Kennzeichnen Sie privilegierte Endpunkte für Richtlinienprüfungen
- Legen Sie das monatliche Nachweispaket im Dokumentationswerkzeug von NinjaOne ab, damit Account Manager:innen die Ergebnisse in QBRs präsentieren können.
Mehr Sicherheit im Unternehmen durch die Umstellung von Passwörtern auf Passphrasen
Passphrasen verbessern Sicherheit und Bedienbarkeit, besonders wenn Sie sie unternehmensweit als Richtlinie für alle Benutzer:innen einführen. Mit einer Pilotphase, der Prüfung gewählter Passwörter, dem Schutz privilegierter Zugriffe per MFA und einer nachweisbasierten Berichterstattung zur Akzeptanz stärken Sie die Sicherheit von Anmeldeinformationen, ohne den Arbeitsalltag zu stören.
Verwandte Themen:
