Entwurf der Passwort-Richtlinie

Ihre Organisation hat komplexe Passwortanforderungen, und Benutzer finden trotzdem einen Weg, sie zu umgehen. Es wird ein Großbuchstabe, eine Zahl und ein Sonderzeichen benötigt, also ändern Sie

Jaroslaw102026!

zu

Jaroslaw112026!

Ja, Jaroslaw ist mein Name, falls du es noch nicht erraten hast.

Wer auch immer die Passwortregeln geschrieben hat, tat dies vor langer Zeit und hat sie nie gegen durchgesickerte Passwortdatenbanken oder heutige Muster überprüft.

Komplexitätsregeln

Viele Organisationen bauten ihre Richtlinie auf älteren NIST-Empfehlungen auf. Diese wurden für föderale Authentifizierungssysteme geschrieben, aber private Organisationen konnten sie freiwillig übernehmen, und viele taten dies. Die Menschen fanden dann den einfachsten Weg, jede Anforderung zu erfüllen. Wenn Passwörter zu komplex zum Merken wurden, schrieben sie diese auf einen Zettel. Das Austauschen von Zeichen in etwas Merkbarem wurde zur neuen Normalität.

Angreifer wissen das und bauen ihre Werkzeuge darauf auf. Die aktuellen NIST-Richtlinien (SP 800-63B) haben sich von Kompositionsregeln entfernt und konzentrieren sich darauf, Passwörter gegen gängige und kompromittierte Listen zu prüfen.

Angriffe, die eine Passwort-Richtlinie verhindern kann

Eine Richtlinie stoppt nicht jeden Angriff, aber sie nimmt die einfachen Erfolge weg. Das sind die, die sie direkt betrifft.

Wörterbuchangriffe. Angreifer testen große Listen mit häufigen Wörtern und bekannten Passwörtern gegen ein Konto. Eine Richtlinie, die Wörterbuchwörter blockiert, sorgt dafür, dass diese Versuche schon vor Beginn scheitern.

Regelbasierte und Mutationsangriffe. Cracking-Tools versuchen nicht nur "password." Sie probieren auch Password1!, P@ssw0rd, und jede übliche Ersetzung eines Buchstabens durch eine Zahl oder ein Symbol. Wenn Ihre Richtlinie nur prüft, ob ein Sonderzeichen vorhanden ist, bestehen diese Passwörter. Eine Richtlinie, die Zeichenaustausch erkennt, lehnt sie ab.

Password Spraying. Statt ein einzelnes Konto anzugreifen, versuchen Angreifer einige häufige Passwörter bei Tausenden von Konten, um unter den Sperrschwellen zu bleiben. Muster wie Winter2026! oder Company123! sind die üblichen Ziele. Das Blockieren vorhersehbarer Muster entfernt die Passwörter, auf die Password Spraying angewiesen ist.

Credential stuffing. Angreifer nehmen Benutzernamen und Passwörter aus früheren Datenlecks und probieren sie in Ihren Systemen aus, in der Hoffnung, dass sie wiederverwendet werden. Neue Passwörter gegen Daten von Lecks zu prüfen, blockiert bereits kursierende.

Gezieltes Raten. Wenn Ihr Name Jaroslaw ist, wird ein Angreifer, der das auf LinkedIn findet, Jaroslaw plus ein Jahr versuchen. Das Sperren von persönlichen Namen und Benutzernamen nimmt die offensichtlichsten Vermutungen vom Tisch.

Offline-Cracking. Wenn Angreifer Passwort-Hashes stehlen, fallen schwache Passwörter zuerst. Eine Richtlinie kann den Diebstahl nicht verhindern, aber das Ablehnen vorhersehbarer Passwörter verlängert das Cracking erheblich.

Was Ihre Passwort-Richtlinie ablehnen sollte

Wenn Sie Ihre Richtlinie neu gestalten, entscheiden Sie, wo Sie zu jedem dieser Punkte stehen:

• Personennamen und Benutzernamen: blockieren Sie sie.
• Wiederkehrende Muster: ablehnen Jarojaro und Jaaaaaro.
• Tastaturmuster: ablehnen ASDFG und ähnliche Reihenfolgen.
• Zeichenaustausch: sie erkennen, damit ein Muster wie abcd nicht in etwas umgewandelt werden kann, das akzeptiert wird.
• Kompromittierte Passwörter: Überprüfung anhand bekannter Datenlecks bei Erstellung und regelmäßig.

Groß-, Kleinbuchstaben, Zahlen und Sonderzeichen sind weiterhin wichtig. Erstellen Sie die Musterregeln darauf aufbauend.

Wie Netwrix Password Policy Enforcer hilft

Native Active Directory-Passwortrichtlinien können das meiste von oben nicht leisten. Netwrix Password Policy Enforcer ergänzt:

• Mehrere Passwort-Richtlinien für Benutzer, Gruppen und OUs
• Benutzerdefinierte Komplexitätskontrollen für Länge, Zeichensätze und Passphrasen
• Wörterbuch- und Musterschutz, der gängige Wörter, Ersetzungen und vorhersehbare Muster blockiert
• Benutzernamen-Blockierung, damit niemand ein Passwort aus seinem eigenen Kontonamen erstellen kann
• Blockierung von Tastaturmustern wie ASDFG
• Überprüfungen kompromittierter Passwörter anhand von Datenlecks, wie z. B. Have I Been Pwned, während der Passworterstellung oder geplanter Scans
• Echtzeit-Feedback, damit Benutzer wissen, ob das neue Passwort, das sie eingeben, die von der Richtlinie festgelegten Anforderungen erfüllt
• Richtlinienprüfung vor der Bereitstellung, damit Sie die Auswirkungen vor den Benutzern sehen
• Integrierte Compliance-Vorlagen für CIS, HIPAA, NERC CIP, NIST, PCI DSS und CJIS

Noch zwei Dinge zu erledigen

Aktiviere MFA. KI-Tools können ein 15-stelliges Passwort erraten, wenn es vorhersehbar ist. MFA schützt das Konto, wenn das Passwort trotzdem kompromittiert wird.

Speichern Sie Passwörter in einem Tresor. Ein Tresor bietet Menschen einen sicheren Ort für Zugangsdaten statt Papier oder Tabellenkalkulation. Netwrix Password Secure übernimmt das.