In fast jedem Betrieb, den wir übernehmen, gibt es ihn: den Zettel. Manchmal
unter der Tastatur, manchmal als Datei namens Passwörter.xlsx auf dem
Server, manchmal im Kopf einer einzigen Person, die dann in Urlaub fährt.
Das ist keine Nachlässigkeit. Das ist die logische Folge von Regeln, die Menschen überfordern.
Die alten Regeln waren falsch
Mindestens acht Zeichen, ein Großbuchstabe, eine Zahl, ein Sonderzeichen,
alle 90 Tage wechseln. Diese Regeln haben eine Generation von Passwörtern
hervorgebracht, die alle gleich aussehen: Sommer2024!, drei Monate später
Herbst2024!.
Das BSI hat den regelmäßigen Wechselzwang inzwischen ausdrücklich zurückgenommen. Ein Passwort soll gewechselt werden, wenn es kompromittiert sein könnte, nicht weil der Kalender es sagt. Erzwungener Wechsel führt zu Mustern, und Muster sind ratbar.
Was heute gilt
Jedes Konto ein eigenes Passwort. Das ist der Punkt, an dem es ohne Werkzeug nicht mehr geht — niemand merkt sich vierzig verschiedene.
Zwei Faktoren, wo es sie gibt. Ein gestohlenes Passwort allein nützt dem Angreifer dann nichts. Dazu gibt es einen eigenen Beitrag.
Ein Passwortmanager, den auch alle benutzen
Der beste Manager ist der, den das Team nicht umgeht. Drei Dinge entscheiden darüber:
- Er muss im Browser funktionieren. Wer kopieren und einfügen muss, hört nach einer Woche auf.
- Es braucht geteilte Ordner. Zugänge, die mehrere brauchen, gehören in einen gemeinsamen Bereich — nicht in eine Rundmail.
- Jemand muss ihn einrichten. Ein Werkzeug, das jeder selbst befüllen soll, bleibt leer.
Wir richten das ein, tragen die bestehenden Zugänge ein und zeigen es einmal allen. Danach ist die Frage „Wie war noch mal das Passwort für …" erledigt.
Der Nebeneffekt, der oft wichtiger ist
Ein gepflegter Passwortmanager beantwortet auch die Frage, die niemand gern stellt: Was passiert, wenn die Person, die alles weiß, morgen ausfällt?
Zugänge, die dokumentiert sind, gehören dem Betrieb. Zugänge im Kopf gehören einer Person.