Moderne Passwortrichtlinie: Was NIST Unternehmen heute empfiehlt

So sieht eine moderne Passwortrichtlinie aus

Viele Richtlinien in Unternehmen folgen noch Regeln aus den frühen 2000er-Jahren: mindestens acht Zeichen, Groß- und Kleinbuchstaben, eine Ziffer, ein Sonderzeichen und alle 90 Tage ein neues Passwort. Das wirkt streng, führt in der Praxis aber zu vorhersehbaren Passwörtern wie Jahreszeit plus Jahreszahl, zu Zetteln unter der Tastatur und zu genervten Mitarbeitenden.

Das US-amerikanische National Institute of Standards and Technology (NIST) beschreibt seine Empfehlungen in der Richtlinie SP 800-63B, deren aktuelle Revision 2025 erschienen ist. Sie wurde zwar für US-Bundesbehörden geschrieben, dient aber vielen Organisationen weltweit als Referenz. Die Kernaussagen: Länge statt Komplexität, kein Wechsel ohne Anlass, Abgleich mit bekannten Passwörtern, Unterstützung von Passwortmanagern und ein zusätzlicher Faktor für wichtige Zugänge.

Länge schlägt Komplexität

Je länger ein Passwort, desto schwerer ist es zu erraten oder zu knacken. Nach der aktuellen NIST-Revision müssen Passwörter, die als einziger Faktor dienen, mindestens 15 Zeichen lang sein. Werden sie nur zusammen mit einem zweiten Faktor genutzt, sind mindestens 8 Zeichen vorgeschrieben. Systeme sollen mindestens 64 Zeichen akzeptieren und alle druckbaren Zeichen einschließlich Leerzeichen zulassen.

Vorgaben zu Pflicht-Zeichenarten schließt die Richtlinie dagegen ausdrücklich aus. Sie bringen kaum Sicherheit, weil Menschen mit denselben Mustern reagieren: ein Großbuchstabe am Anfang, Ziffer und Sonderzeichen am Ende. Angreifer kennen diese Muster und probieren sie zuerst aus.

Passphrasen: lang und gut zu merken

Eine Passphrase besteht aus mehreren zufälligen Wörtern, etwa vier oder fünf Begriffen, die weder miteinander noch mit der Person zu tun haben. Sie ist lang, leicht zu tippen und besser zu merken als eine kryptische Zeichenfolge. Liedtexte, bekannte Zitate oder der Firmenname sind ungeeignet, weil sie in den Wortlisten von Angreifern stehen. Eine praktische Empfehlung für Unternehmen: ein einheitliches Minimum von 15 Zeichen für alle Konten. Das hält die Regeln einfach und erfüllt die strengere NIST-Vorgabe.

Kein Zwangswechsel ohne Anlass

Regelmäßige Zwangswechsel klingen vernünftig, bewirken aber oft das Gegenteil. Wer alle drei Monate ein neues Passwort erfinden muss, ändert meist nur eine Ziffer am Ende, und wer das alte Passwort kennt, errät das neue. NIST schließt periodische Zwangswechsel deshalb aus und verlangt stattdessen einen Wechsel, sobald es Hinweise auf eine Kompromittierung gibt. Typische Anlässe für einen sofortigen Wechsel sind:

• Das Passwort taucht in einem bekannten Datenleck oder einer Leak-Benachrichtigung auf.
• Jemand hat es auf einer mutmaßlichen Phishing-Seite eingegeben.
• Auf einem Gerät, auf dem es verwendet wurde, wurde Schadsoftware gefunden.
• Ein geteiltes Passwort war einer Person bekannt, die das Unternehmen verlassen hat.

Neue Passwörter gegen Sperrlisten prüfen

Länge allein reicht nicht, wenn das Passwort weit verbreitet ist. Die aktuellen Empfehlungen verlangen daher, neue Passwörter mit einer Liste häufig verwendeter, naheliegender oder kompromittierter Passwörter abzugleichen. Dazu gehören Passwörter aus bekannten Datenlecks, Wörterbuchbegriffe, einfache Folgen wie 123456 und Begriffe aus dem Kontext, etwa der Firmenname, der Name des Dienstes oder der Benutzername.

In Microsoft-Umgebungen übernimmt Microsoft Entra Password Protection einen Teil dieser Aufgabe und kann zusätzlich firmenspezifische Begriffe sperren. Weitere Regeln gehören in die Richtlinie: Fehlgeschlagene Anmeldeversuche werden begrenzt, und es gibt weder Passwort-Hinweise noch Sicherheitsfragen wie den Namen des ersten Haustiers, weil sich die Antworten oft in sozialen Netzwerken finden.

Einen Passwortmanager im Unternehmen einführen

Lange, einzigartige Passwörter für Dutzende Dienste sind nur mit einem Passwortmanager realistisch. Deshalb verlangt NIST, dass Systeme Passwortmanager und automatisches Ausfüllen zulassen, und empfiehlt, auch das Einfügen ins Passwortfeld zu erlauben. Unternehmen sollten eine Business-Lösung mit zentraler Verwaltung einsetzen, statt jede Person mit einem privaten Tool oder dem Browser allein zu lassen. Achten Sie auf diese Funktionen:

• Zentrale Verwaltung von Benutzern und Gruppen, idealerweise verbunden mit dem Firmenverzeichnis
• Geteilte Tresore für Teams mit klar definierten Berechtigungen
• MFA für den Zugang zum Passwortmanager selbst
• Ein Wiederherstellungsprozess für vergessene Master-Passwörter und für ausscheidende Mitarbeitende
• Klare Angaben zu Datenstandort, Verschlüsselung und DSGVO

Für die Einführung selbst empfehlen wir diese Reihenfolge:

1. Tool auswählen und festlegen, was wo gespeichert wird.
2. Verwaltung, Wiederherstellung und geteilte Tresore einrichten.
3. Eine Pilotphase mit der IT und einer Abteilung durchführen.
4. Mitarbeitende zu Master-Passphrase, Passwortgenerator und automatischem Ausfüllen schulen.
5. Passwörter aus Browsern, Tabellen und Notizen übernehmen und die alten Kopien löschen.
6. Das Offboarding einbinden: Zugänge entfernen und geteilte Passwörter ändern, die die Person kannte.

Administrator- und Dienstkonten

Für Administratorkonten gelten strengere Regeln, weil eine einzige Übernahme das ganze Unternehmen betrifft. Administratoren nutzen ein eigenes Konto für Verwaltungsaufgaben und ein normales Konto für E-Mail und Surfen, beide mit MFA, das Admin-Konto möglichst mit phishing-resistenten Methoden. Lokale Administratorpasswörter auf Windows-Rechnern sollten auf jedem Gerät verschieden sein. Windows LAPS erzeugt und wechselt sie automatisch. Das widerspricht der Regel gegen Zwangswechsel nicht, denn diese Passwörter muss sich niemand merken.

Dienstkonten, mit denen Anwendungen, Backups oder Scanner arbeiten, werden oft vergessen und haben häufig weitreichende Rechte. Für sie gilt:

• Lange, zufällig erzeugte Passwörter, abgelegt im Passwortmanager und nie im Klartext in Skripten
• Nur die Rechte, die der Dienst wirklich braucht, und keine interaktive Anmeldung
• Eine benannte verantwortliche Person und eine Dokumentation, wo das Konto verwendet wird
• Ein Wechsel, wenn jemand ausscheidet, der das Passwort kannte, oder bei jedem Verdacht
• Wo möglich verwaltete Dienstkonten, die ihr Passwort automatisch wechseln, etwa gMSA im Active Directory

MFA: die zweite Verteidigungslinie

Auch ein langes, einzigartiges Passwort kann über eine überzeugende Phishing-Seite oder Schadsoftware gestohlen werden. Eine moderne Richtlinie verlässt sich deshalb nicht auf Passwörter allein. Für E-Mail, Fernzugriff, Cloud-Dienste und alle Administratorkonten sollte MFA Pflicht sein. Welche Methoden zu welchen Rollen passen und wie Sie die Einführung planen, lesen Sie in unserem Leitfaden zur Einführung von Multi-Faktor-Authentifizierung.

Fazit: eine moderne Passwortrichtlinie auf einer Seite

• Mindestens 15 Zeichen, Passphrasen ausdrücklich erwünscht
• Keine Pflicht-Zeichenarten und kein fixes Wechselintervall
• Sofortiger Wechsel bei jedem Hinweis auf Kompromittierung
• Abgleich mit häufigen, geleakten und firmenspezifischen Passwörtern
• Ein Firmen-Passwortmanager für alle, geschützt mit MFA
• Getrennte Admin-Konten und dokumentierte Dienstkonten

Eine solche Richtlinie ist für Mitarbeitende leichter einzuhalten und zugleich sicherer als die alten Regeln. Am besten wirkt sie, wenn Technik und Schulung zusammenspielen, etwa durch regelmäßige Security-Awareness-Schulungen. Wenn Sie Ihre Richtlinie aktualisieren und die technischen Einstellungen umsetzen möchten, unterstützt Sie Q-entra im Rahmen von Cyber Security.