Microsoft: Das regelmäßige Ändern von Passwörtern macht sie nicht sicherer.

14.
Mai
2019
Passwort, Sicherheit

Microsoft übernimmt neue NIST- Empfehlungen zu Passwörtern und verabschiedet sich vom 90-Tage-Änderungsrythmus

Die allermeisten Unternehmen fordern von ihren Mitarbeitern, Passwörter alle 90 oder sogar 60 Tage zu ändern. Dass das den Anwender nervt, ist klar. Jedoch zeigen aktuelle Untersuchungen auch, dass das gewünschte Ziel „mehr Sicherheit“ nicht erreicht, sondern konterkariert wird. Die Anwender erstellen vorhersagbare, somit schlechtere und unsichere Passwörter.

Zu dieser Erkenntnis kommt nun offenbar auch Microsoft und bringt damit auch in Deutschland Bewegung in das Thema.

Microsoft entfernt Kennwortablaufrichtlinien

In einer Mitteilung zu Windows 10 Version 1903 (19H1) und Windows Server 1903 hat Microsoft angekündigt, das die Kennwortablaufrichtlinien (“password-expiration policies”) aus der “Security Baseline” entfernt werden.
Die “Security Baselines” sind konkrete Sicherheitsempfehlungen von Microsoft, in denen Administratoren der Einsatz von Gruppenrichtlinien erklärt wird, mit denen ein Unternehmensnetzwerk und das Windows-Umfeld sicherer gemacht wird. Nach alter Richtlinie wurden Nutzer aufgefordert nach einem festgesetzten Zeitraum eine Passwort-Änderung vorzunehmen. Dieser Hinweis ist nunmehr entfallen.
 

Neue NIST Empfehlungen für sichere Passwörter

Ursprung der alten Vorgehensweise ist eine Direktive des US-amerikanischen National Institute of Standards and Technology, NIST, fast schon aus der Steinzeit der IT (2003):
  • Passwörter sollen komplex sein (Großschreibung, Kleinschreibung, Zahlen, Sonderzeichen).
  • Passwörter sollen alle 90 Tage gewechselt werden.

Inzwischen ist klar geworden, dass sichere Passwörter so nicht funktionieren – das NIST hat die Vorgaben ersetzt.

Gemäß dem hier verlinkten neuen Regelwerk sollen Passwörter nur noch bei einem konkreten Sicherheitsvorfall geändert werden – die Forderung, Passwörter zwingend im 90 Tagesrhythmus zu ändern, ist beim NIST entfallen und offenbar in der direkten Konsequenz nunmehr auch bei Microsoft.

Ob und wann sich die Erkenntnis auch in deutschen IT-Abteilungen durchsetzt, bleibt abzuwarten.
 

Meine Empfehlung:

  • Dem Fazit von Microsoft und NIST können wir uns nur anschließen.
  • Sollten Sie also in den nächsten Wochen mal wieder eine Aufforderung zur Passwort-Änderung erhalten, dann weisen Sie die IT-Abteilung einfach mal auf die neuen Empfehlungen hin.
  • Wenn Sie als Administrator für die Umsetzung der Sicherheitsrichtlinien zuständig sind, können Sie unter Bezugnahme auf NIST und Microssoft Ihre eigenen Richtlinien, Dienstanweisungen und Betriebsvereinbarungen mit ruhigem Gewissen anpassen. Ihre Nutzer werden es Ihnen danken!

Redakteur und Redaktionsbeauftragter für Inhalt und Konzept
(Alle Beiträge „In My Humple Opinion“)

Der ProBlog Newsletter

Bleiben Sie auf dem Laufenden mit unseren interessanten News, Updates und Insights
zu modernen IT-Security & IT-Infrastruktur-Lösungen.

Members Only:
Alle Newsletter-Empfänger erhalten jetzt Zugriff auf exklusive Inhalte!

Bitte füllen Sie kurz das Formular aus.
Anschließend erhalten Sie eine E-Mail, mit der Sie Ihre Anmeldung bestätigen können.

 

 

Der ProBlog

ist ein Angebot der

ProSoft GmbH
Bürgermeister-Graf-Ring 10
82538 Geretsried

 

Kontakt und Support

Telefon +49 (0) 8171/405-0
Fax  + 49 (0) 8171/405-400
info@prosoft.de

Share This