BSI-Empfehlung: Darum sind regelmäßige Passwort-Wechsel nutzlos

Am 1. Februar 2020 war der voraussichtlich letzte „Ändere-dein-Passwort-Tag“. Schon lange warnen Sicherheitsexperten davor, Passwörter häufig zu ändern. Auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat die Empfehlung inzwischen gestrichen. Der Konsens: Regelmäßig Kennwörter zu ändern, ist weitgehend nutzlos und kann sogar gefährlich sein.

Ein sicheres Passwort kann im digitalen Zeitalter so wichtig sein wie eine verschlossene Haustür. Auch deshalb rufen noch viele Unternehmen ihre Mitarbeiter dazu auf, ihre Kennwörter an festgelegten Zeitpunkten zu ändern. Dass es jedoch ein äußerst riskanter Ratschlag ist, Passwörter regelmäßig und damit „präventiv“ zu ändern, ist längst bekannt.

Passwort-Wechsel nur bei Passwort-Diebstahl

Auch das Bundesamt für Sicherheit in der Informationstechnik hat diese Empfehlung nun endlich geändert. Die neue Ausgabe des sogenannten „BSI-Grundschutz-Kompendiums“ enthält nun keinen entsprechenden Passus mehr. Die Notwendigkeit zur Passwortänderung ist noch gegeben, wenn das Kennwort in fremde Hände gerät. Der 1. Februar war damit der letzte „Ändere-dein-Passwort-Tag“.

EXTRA: Cyber-Security & Datenschutz: Jeder 5. Arbeitnehmer hat Angst vor Fehlern

Schwache Passwörter vorprogrammiert

Seit einigen Jahren hat sich unter IT-Sicherheitsexperten ein Konsens entwickelt, wonach das regelmäßige Ändern von Passwörtern potenziell mehr Schaden anrichtet als nützt. Vornehmlich ersetzen Nutzer das alte eben nicht mit einem neuen, sicheren Passwort. Vielmehr wird das alte leicht abgeändert oder der Einfachheit halber ein unsicheres gewählt, das leicht zu merken ist. Eine Sudie des Potsdamer „Hasso-Plattner-Institut“ (HPI) belegt das und zeigt, dass die Deutschen bei der Auswahl ihrer Passwörter auch im Jahr 2019 äußerst riskant vorgegangen sind. Das Fachportal Heise Security schreibt etwa:

„Ein gutes Passwort kann man bedenkenlos über Jahre hinweg nutzen.“

Zwar hat das Bundesamt inzwischen auch die Verpflichtungen gestrichen, die feste Regeln für Länge und Komplexität vorschreiben, doch die altbekannte Regel gilt nach wie vor: Je länger das Passwort, desto besser. User sollten auf keinen Fall bei mehreren Diensten das gleiche Kennwort verwenden. Wer sich damit schwer tut, sich komplizierte Passwörter zu merken, sollte einen Passwortmanager nutzen.

Quelle: Teleschau

Lust auf noch mehr Artikel?