PasswortsicherheitDie richtige Strategie

[08.04.2019] Deutsche Behörden erreichen laut einer Umfrage im Umgang mit Passwörtern gute Noten. Ein Passwort-Manager kann ihnen dabei helfen, beispielsweise schwache und mehrfach verwendete Passwörter oder niedrige Sicherheits- und Passwortqualitätswerte aufzudecken.
Deutsche Behörden erreichten in einem Passwort-Sicherheits-Report mit Abstand den höchsten Sicherheitswert.

Deutsche Behörden erreichten in einem Passwort-Sicherheits-Report mit Abstand den höchsten Sicherheitswert.

(Bildquelle: PR Image Factory / Fotolia.com)

Immer häufiger werden Behörden und Unternehmen Opfer von immer komplexer werdenden Cyber-Angriffen. Dabei fällt es den Organisationen schwer, effektive Sicherheitsrichtlinien umzusetzen. Schwache, mehrfach verwendete Passwörter stellen eine der häufigsten Sicherheitsbedrohungen dar und der laxe Umgang damit ist eine weit verbreitete schlechte Angewohnheit. Doch selbst wenn sie Passwort-Manager verwenden, haben Organisationen Schwierigkeiten oft zu quantifizieren, wie hoch ihr Risiko durch schlechte Passwortsicherheit ist. Ihnen fehlt der Einblick in das Verhalten ihrer Mitarbeiter. Und sie können nicht überprüfen, wo sie im Vergleich zu anderen Behörden oder vergleichbaren Organisationen stehen.
Einen fundierten Einblick gibt der aktuelle Globale Passwort-Sicherheits-Report des Unternehmens LogMeIn. Darin wurden die Passwortgewohnheiten der Mitarbeiter von 43.000 Unternehmen und Organisationen aller Größen und Sektoren analysiert, die den Passwort-Manager LastPass verwenden. Der Bericht zeigt nicht nur den Umgang mit Passwörtern auf, sondern bietet IT-Experten auch einen fundierten Vergleich, wie eine Organisation im Vergleich zu ähnlichen abschneidet und wie sich ihre Passwortsicherheit verbessern ließe. Der LastPass-Sicherheitswert ist ein Benchmark-Wert zwischen 0 und 100. Ermittelt wird er durch die Anzahl der mehrfach verwendeten Passwörter, die Anzahl der als nicht sicher eingestuften Seiten aufgrund von öffentlich bekanntgewordenen Datenschutzverletzungen, die Anzahl der schwachen Passwörter, die durchschnittliche Qualität jedes Passworts, die Qualität der freigegebenen Passwörter sowie den Multifaktor-Authentifizierungswert.

Sicherheitsstandards einhalten

Die Auswertung der LastPass-Daten belegt, dass die meisten Organisationen Passwortsicherheit mittelmäßig konsequent betreiben und das Passwortrisiko unabhängig von Größe, Branche und Standort ist. Je größer eine Organisation ist, desto niedriger ist aber ihr Sicherheitswert im Durchschnitt. Mehr Beschäftigte bedeuten mehr Passwörter und nicht genehmigte Apps und somit zusätzliche Gelegenheiten für Mitarbeiter, ein riskantes und gefährliches Passwortverhalten an den Tag zu legen. In größeren Unternehmen gestaltet es sich für die IT deshalb viel schwieriger, alle Beschäftigten dazu zu bringen, die Passwortsicherheitsstandards einzuhalten. In Organisationen mit kleinerem Mitarbeiterstamm ist es einfacher, sichere Passwörter und eine mehrstufige Authentifizierung für alle Mitarbeiter zu gewährleisten.
Ein gutes Beispiel für die Herausforderungen, die mit der Organisationsgröße wachsen, ist die gemeinsame Nutzung von Zugangsdaten. Im Durchschnitt teilt ein bestimmter Mitarbeiter etwa sechs Passwörter mit seinen Kollegen. Bereits in einem Unternehmen mit 100 Mitarbeitern sind die Auswirkungen dessen enorm. Die gemeinsame Nutzung von Passwörtern ist sowohl für Mitarbeiter als auch für IT-Administratoren frustrierend, da die Benutzer auf die Verwendung von schwachen, aber leicht einzuprägenden Passwörtern zurückgreifen, die potenzielle Einfallstore für Cyber-Angriffe darstellen. Da Teams immer verteilter und technologieabhängiger agieren, wird es für Unternehmen immer komplizierter, aber auch unerlässlich, gemeinsame Passwörter zu schützen, zu verfolgen und zu auditieren.


Höchste Werte für deutsche Behörden

Die gute Nachricht für deutsche Behörden: Sie erreichten im Passwort-Sicherheits-Report mit Abstand den höchsten Sicherheitswert 86. Auch für Europa ist der Sicherheitswert der deutschen Behörden ein Ausrufezeichen, liegt doch der Durchschnittswert bei europäischen Behörden bei 43. Zum Vergleich: Weit abgeschlagen ist in Deutschland die Banken- und Finanzbranche mit 38 Zählern. Grundsätzlich liegen die Sicherheitswerte aller befragten deutschen Organisationen über dem weltweiten Durchschnitt. Defizite zeigen sich nur in der Multifaktor-Authentifizierung: Gerade einmal drei Prozent nutzen diese Möglichkeit, Konten zu sichern. Dabei ist und bleibt diese die optimale Vorgehensweise gegen Kontozugriffe von außen. Hierbei sind die USA Vorreiter: 65 Prozent aller Unternehmen, die mit Multifaktor-Authentifizierung arbeiten, sind dort ansässig.
IT-Sicherheit zu verbessern, ist eine kontinuierliche Aufgabe – effizienteres Passwort-Management dagegen lässt sich unabhängig von Größe, Branche und Standort vergleichsweise einfach umsetzen. Bereits ein Jahr nach der Implementierung eines Passwort-Managers, so die Analyse, können die meisten Organisationen ihren Sicherheitswert um durchschnittlich fast 15 Punkte verbessern. Außerdem werden die Produktivität, die Markenwahrnehmung und die Mitarbeiterzufriedenheit erhöht. Da immer mehr Unternehmen und auch Behörden BYOD-Richtlinien (Bring Your Own Device) umsetzen und Netzwerke für zuvor nicht genehmigte Geräte und Anwendungen öffnen, müssen IT-Führungskräfte ihre Einstellung zur Passwortsicherheit ändern. Transparenz ist der Schlüssel: Man kann Sicherheit nicht messen, wenn man kein System hat, das Einblicke in potenzielle Risikobereiche gewährt.

Leistungen des Passwort-Managers

Mit dem Log-in eines jeden Mitarbeiters bröckelt die Datensicherheit. Ein Passwort-Manager ist hierbei nicht nur ein sicheres Tor, das Hacker-Angriffe abhält, er hilft Behörden auch, die Wirksamkeit mittel- und langfristig zu beurteilen und zu kontrollieren. Ein Passwort-Manager sollte zufällige Passwörter generieren, rollenbasierte Berechtigungen auf Passwörter anwenden und Kontrolle über gemeinsam genutzte Zugangsdaten bieten. Zusätzliche Sicherheit erwirkt er durch die Multifaktor-Authentifizierung oder das Außerkraftsetzen von Zugangsdaten, wenn Mitarbeiter beispielsweise die Behörde verlassen.
Passwort-Management bedeutet Change Management. Um sie mit ins Boot zu holen, sollten Organisationen alle Mitarbeiter über Richtlinien und Best Practices informieren, den Passwort-Manager in das Sicherheitsschulungsprogramm integrieren und sicherstellen, dass alle neuen Mitarbeiter entsprechend geschult werden. Ferner sollte das Tool nebst Erläuterungen zu dessen Verwendung bereitgestellt und ein Kontakt genannt werden, an den sich die Nutzer bei Fragen wenden können. Der Fortschritt lässt sich mithilfe von Reporting-Tools überwachen. Diese decken potenzielle Sicherheitslücken wie schwache und mehrfach verwendete Passwörter, niedrige Sicherheits- und Passwortqualitätswerte oder inaktive Konten auf.

Gerald Beuchelt ist Chief Information Security Officer (CISO) beim Unternehmen LogMeIn.




Anzeige

Weitere Meldungen und Beiträge aus dem Bereich: IT-Sicherheit
An einem großen Konferenztisch sitzen 26 europäische Cyber-Sicherheitsdirektoren beim Cyber Security Directors‘ Meeting.

Cyber-Sicherheit: EU-Experten diskutieren Herausforderungen

[23.02.2024] Beim vierten Cyber Security Directors‘ Meeting des Bundesamtes für Sicherheit in der Informationstechnik (BSI) diskutierten 26 europäische Cyber-Sicherheitsdirektoren über die Umsetzung neuer EU-Rechtsakte und gemeinsame Strategien gegen IT-Sicherheitsvorfälle. mehr...

Hände halten ein Mobiltelefon mit der AusweisApp und einen Personalausweis.

BSI: Mögliche Schwachstelle im eID-System?

[20.02.2024] Beim Bundesamt für Sicherheit in der Informationstechnik (BSI) ist ein Hinweis auf eine mögliche Schwachstelle im eID-System eingegangen, dem nun nachgegangen wurde. Dabei kam das BSI zu dem Ergebnis, dass die Online-Ausweisfunktion weiterhin eine der sichersten Möglichkeiten des digitalen Identitätsnachweises ist. mehr...

Auf dem Bildschirm eines stilisiert dargestellten hellblauen Laptops wird ein ebenfalls stilisiert dargestelltes E-Learning-Video abgespielt, in dem eine Person etwas erklärt. Hellblau hinterlegte Sprechblasen zeigen ein Vorhängeschloss und einen Schlüssel.

Baden-Württemberg: Lernplattform für Cyber-Sicherheit

[15.02.2024] Mit einer neuen Lernplattform wendet sich die Cyber-Sicherheitsagentur Baden-Württemberg (CSBW) an die Mitarbeiterinnen und Mitarbeiter der Landes- und Kommunalverwaltungen. Sie finden hier kostenlose, vielfältig aufbereitete E-Learning-Angebote rund um das Thema Cyber-Sicherheit. mehr...

Das Bild zeigt NRW-Innenminister Herbert Reul und BSI-Präsidentin Claudia Plattner bei ihrem ersten persönlichen Treffen.

Cyber-Sicherheit: Kräfte bündeln

[09.02.2024] Bei einem Treffen zwischen NRW-Innenminister Herbert Reul und BSI-Präsidentin Claudia Plattner wurde die Bedeutung einer engen Zusammenarbeit für die nationale Cyber-Sicherheit betont. mehr...

Das Bild zeigt das Innere des IT-Lagezentrums mit Personen an Bildschirmen und großen Monitoren an den Wänden.

BSI: Nationales IT-Lagezentrum eingeweiht

[06.02.2024] Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat ein hochmodernes Nationales IT-Lagezentrum in Betrieb genommen und die Initiative „Cybernation Deutschland“ gestartet. Ziel ist es, die Cyber-Sicherheit des Landes zu stärken und Deutschland zum Vorreiter für eine sichere Digitalisierung zu machen. mehr...

Zwei Frauen unterschreiben Verträge.

Schleswig-Holstein: Kooperieren für mehr Cyber-Sicherheit

[02.02.2024] Schleswig-Holsteins Polizei und die Uni Lübeck gehen künftig gemeinsam neue Wege, um Verbrechen im digitalen Raum besser zu erkennen und zu verhindern. Universität und Polizei wollen dabei vor allem voneinander lernen. mehr...

Das Bild zeigt symbolisch eine Karte von Deutschland über die ein Sicherheitsnetz gespannt ist.

Bundeswehr: Sicher in das Quantenzeitalter

[02.02.2024] Die BWI hat das Glasfasernetz der Bundeswehr grundlegend modernisiert. Das 13.000 Kilometer lange Netz ist nun nicht nur leistungsfähiger, sondern auch gegen künftige Quantencomputer gewappnet. mehr...

Schleswig-Holstein: Höchste Priorität für Cyber-Sicherheit

[30.01.2024] Die Landesregierung Schleswig-Holstein hat einen Bericht zur Cyber-Sicherheit vorgelegt. Bei dessen Vorstellung nannte Digitalisierungsminister Dirk Schrödter konkrete Maßnahmen, um die Cyber-Sicherheit im Land zu stärken. Neben der Schaffung entsprechender Strukturen ist auch ein Austausch über Landes- und Staatsgrenzen geplant. mehr...

Nordrhein-Westfalen: Landesmittel für den Cyber Campus

[26.01.2024] Der Cyber Campus NRW, ein Gemeinschaftsprojekt der Hochschulen Niederrhein und Bonn-Rhein-Sieg, wird nach einer erfolgreichen Pilotphase fortgesetzt. Die zukunftsweisende Ausbildung von IT-Fachleuten wird vom Land mit 5,5 Millionen Euro bezuschusst. mehr...

Das Bild illustriert die sichere Datenübertragung, Es zeigt ein Schloss und einen symbolisierten Datenfluss.

BSI: TR für Registermodernisierung

[24.01.2024] Eine neue Technische Richtlinie soll die sichere Datenübertragung im Rahmen der Registermodernisierung ermöglichen. Kommentare und Anmerkungen dazu können ab sofort beim BSI eingereicht werden. mehr...

Das Bild zeigt Smartphones der Galaxy Serie von Samsung.
bericht

Secusmart: Sicherheit für Samsung-Geräte

[24.01.2024] Die SecuSUITE for Samsung Knox ermöglicht Behörden sicheres mobiles Kommunizieren und Arbeiten mit Samsung-Geräten der Galaxy-Serie. Die Lösung ist vom BSI für die Geheimhaltungsstufe „Verschlusssache – Nur für den Dienstgebrauch“ zugelassen. mehr...

Secusmart: Sicheres Arbeiten mit Apple-Geräten

[23.01.2024] Die Lösung SecuSUITE for iOS wurde vom Bundesamt für Sicherheit in der Informationstechnik zertifiziert. Apple-Geräte können nun von Behörden bis zum Geheimhaltungsgrad „Verschlusssache – Nur für den Dienstgebrauch (VS-NfD)“ eingesetzt werden. mehr...

Net at Work: BSI-Zertifikat für NoSpamProxy

[13.12.2023] Malware-E-Mails gelten als einer der häufigsten Einfallstore für Cyber-Angriffe – ein wirksamer Schutz der E-Mail-Kommunikation in Organisationen ist deshalb unverzichtbar. In einem Pilotprojekt wurde die Software NoSpamProxy als erstes Mail-Security-Produkt weltweit vom BSI zertifiziert. mehr...

Leitfaden: Sichere KI-Systeme entwickeln

[06.12.2023] Gemeinsam mit den Cyber-Sicherheitsbehörden aus dem Vereinigten Königreich (UK) und den USA hat das BSI einen Leitfaden zur Entwicklung sicherer KI-Systeme erarbeitet. mehr...

Sachsen/BSI: Kooperation für mehr Cyber-Sicherheit

[23.11.2023] Eine engere Zusammenarbeit in acht Handlungsfeldern im Bereich der Cyber-Sicherheit haben Sachsen und das Bundesamt für Sicherheit in der Informationstechnik (BSI) vereinbart. Der Freistaat kooperiert bereits seit 2018 mit der Behörde. mehr...