- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Regelmäßige Passwort-Änderung mit Augenmaß


Sündenfall Qwertz123: Sechs Best Practices für sichere Passwörter
Die Mehrfachverwendung von Passwörtern zählt zu den größten Risiken in punkto Account-Sicherheit

- Anzeigen -





Von Christoph M. Kumpa, Director DACH & EE bei Digital Guardian

Qwertz123, Passwort, Hallo – Sündenfälle bei der Passwortvergabe halten sich hartnäckig. Vielen Nutzern scheint immer noch nicht bewusst zu sein, dass sich Cyberkriminelle, etwa durch die Verwendung von Passwortlisten gestohlener, gängiger und beliebter Kennwörter, relativ einfach Zugang zu Konten verschaffen können. Um Sicherheitsmaßnahmen wie eine Sperrung wegen mehrfacher Eingabe falscher Zugangsdaten zu umgehen, nutzen Angreifer zum Beispiel zusätzlich Account-Listen und testen pro Konto jeweils nur ein besonders gängiges Passwort. Da in Deutschland die Zahlenfolge 123456 immer noch zu den absoluten Spitzenreitern bei der Passwortvergabe gehört, dürfte für Kriminelle bei derlei Attacken ein Treffer ins Schwarze nicht lange auf sich warten lassen.

Auch für die Unternehmenssicherheit gehört es deshalb zu den wichtigsten Maßnahmen, Mitarbeitern schlechte Passwortangewohnheiten möglichst abzutrainieren. Angestellte sollten regelmäßig darin geschult werden, was ein wirklich gutes Passwort ausmacht und welche Best Practices helfen, ihre Konten geschützt zu halten.

1. Die Basics: Komplexe, lange, schwer zu erratende Passwörter
Um die Sicherheit zu erhöhen, können Security-Teams Richtlinien im Unternehmen für die Passwörtervergabe einführen. Einfache, leicht zu erratende Passwörter wie der Name des Ehepartners, das Geburtsdatum, Hobbys und andere Informationen, die durch Cyberkriminelle in Social Media-Profilen ausgespäht werden können, sollten vermieden werden. Zu den allgemein bekannten Elementen, um Passwörtern Komplexität und damit eine Mindestsicherheit zu verleihen, gehören:

• >> Eine Kombination aus Groß- und Kleinbuchstaben
• >> Nummern
• >> Sonderzeichen oder Symbole
• >> Eine Mindestanzahl von Zeichen

Unter Sicherheitsexperten gibt es unterschiedliche Ansichten, ob Komplexität oder Länge von Passwörtern für die Sicherheit entscheidender ist. Längere Passwörter haben exponentiell mehr mögliche, zufällige Zeichenkombinationen, und Passwort-Cracker benötigen daher länger, um sie zu knacken. Es empfiehlt sich daher, Komplexität und Länge zu kombinieren.

2. Einfache, aber starke Alternative: Passphrasen
Leicht zu merken und trotzdem stark? Hierfür bieten sich zum Beispiel Passphrasen an. Nutzer sollten jedoch einen individuellen und einzigartigen Ansatz verwenden, um ihre Passphrasen zu erstellen, die für sie leicht zu merken, aber für andere besonders schwer zu erraten sind. Im Folgenden ein Beispiel, wie sich aus einem Satz eine Passphrase mit Groß- und Kleinschreibung, Zahlen und Sonderzeichen generieren lässt, indem der jeweilige Anfangsbuchstabe der Wörter verwendet wird:

Heute ist der 1. Januar 2019 und ich erstelle eine Passphrase mit 18 Zeichen
=
Hid1J2019&ieePm18Z

3. Kenn ich eines, kenn ich alle? Keine Mehrfachverwendung von Passwörtern
Die Mehrfachverwendung von Passwörtern zählt zu den größten Risiken in punkto Account-Sicherheit. Nutzer sollten für alle ihre Konten einzigartige Passwörter verwenden, denn hat ein Angreifer das Passwort eines Kontos erst mal geknackt, hat er logischerweise Zugriff auf alle anderen. Wichtig für die Unternehmenssicherheit ist auch, dass Mitarbeiter dazu angehalten werden, für ihre persönlichen und beruflichen Konten völlig unterschiedliche Passwörter zu verwenden.

4. Zwei- oder Multifaktor-Authentifizierung
Wo möglich, empfiehlt sich die Verwendung von Zwei- oder Multi-Faktor-Authentifizierung, da sie eine zusätzliche, starke Sicherheitsebene gegen potenzielle Angreifer bietet. Diese Best Practice ist heute den meisten Nutzern bekannt, wird allerdings nicht immer ohne weiteres positiv angenommen, da sie teilweise als zeitaufwendig und frustrierend wahrgenommen wird.

5. Regelmäßige Passwort-Änderung mit Augenmaß
Über die empfohlene Häufigkeit von Passwortänderungen gibt es einige Debatten unter Sicherheitsexperten, wie oft zu oft ist. Zu häufige obligatorische Passwortänderungen können auch negative Auswirkungen auf die Sicherheit haben, da dies die Wahrscheinlichkeit erhöht, dass bestimmte Nutzer sich für weniger sichere Passwörter entscheiden. Zudem neigen Nutzer auch dazu, nur subtile Änderungen vorzunehmen, anstatt völlig neue und starke Kennwörter zu erstellen. Bei der Festlegung der Richtlinien innerhalb eines Unternehmens sollte deshalb Wert auf Regelmäßigkeit, jedoch mit Augenmaß, gelegt werden.

6. Passwörter niemals im Plain-Text speichern
Passwörter sollten niemals im Plain-Text gespeichert werden. Als Alternative bietet sich ein Passwort-Manager an. Diese Tools helfen zudem bei der Erstellung äußerst komplexer Kennwörter, ohne dass sich der Nutzer jedes einzelne merken muss.

Schutz selbst im Fall eines Sicherheitsverstoßes
>> Bei allen Sicherheitsvorkehrungen können jedoch auch starke Passwörter niemals einen 100-prozentigen Schutz gewährleisten. Ein mehrschichtiger Sicherheitsansatz aus Mitarbeiterschulungen und Technologien ist deshalb unabdingbar.
>> Für die Unternehmenssicherheit ist es wichtig, dass selbst im Falle eines Sicherheitsverstoßes wertvolle und sensible Informationen wie Kunden- oder Bankdaten, Geschäftsgeheimnisse und geistiges Eigentum geschützt bleiben. Datenzentrierte Sicherheitstechnologien wie Data Loss Prevention-Tools können hier Sicherheitsrisiken minimieren, indem sie verhindern, dass sensible Daten unerlaubt kopiert, verschoben oder gelöscht werden. Zudem können diese Technologien beispielsweise mithilfe von User Behavior and Entity Analysis (UEBA) ungewöhnliche Nutzeraktivitäten erkennen und schlagen Alarm, wenn ein kompromittierter Account von Cyberkriminellen dazu missbraucht wird, Datendiebstahl zu begehen.
(Digital Guardian: ra)

eingetragen: 08.01.19
Newsletterlauf: 19.02.19

Digital Guardian: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Meldungen: Tipps & Hinweise

  • Kontrolle durch Data Loss Prevention

    Für viele Mitarbeiter ist das Arbeiten von unterwegs oder aus dem Home-Office zur Selbstverständlichkeit geworden. Die Sicherheitsrisiken werden dabei jedoch oft übersehen: Auf Laptops, Mobiltelefonen und Tablets befinden sich häufig sensible Unternehmensdaten wie vertrauliche E-Mails und Dokumente, personenbezogene Daten oder Finanzinformationen. Durch ein gestohlenes oder verlorenes Gerät steigt das Risiko eines Datenlecks. Nach der DSGVO stellt der Verlust eines mobilen Firmengeräts mit personenbezogenen Daten eine Datenschutzverletzung dar, die mit Bußgeldern von bis zu 20 Millionen Euro oder vier Prozent des weltweiten Gesamtjahresumsatzes geahndet werden kann.

  • Tipps zur Reduzierung der Insider-Bedrohung

    Nicht nur Cyber-Attacken, sondern auch Insider-Angriffe stellen für Unternehmen nach wie vor eine erhebliche Sicherheitsgefahr dar. CyberArk gibt fünf Empfehlungen, wie ein Unternehmen Insider-Angriffe erkennen und die kostspieligen Folgen verhindern kann. Viele Unternehmen haben die "Bedrohung von innen" mittlerweile erkannt und ihre Schutzmaßnahmen entsprechend verstärkt. Dabei konzentrieren sie sich in erster Linie auf böswillige Insider, die allerdings nicht ausschließlich für Sicherheitsvorfälle verantwortlich sind, auch Unachtsamkeiten der Mitarbeiter müssen ins Kalkül gezogen werden.

  • "Unbekannte Quellen" als Dauerübel

    Apple will ihre Entwickler dazu verpflichten, eine Zwei-Faktor-Authentisierung (2FA) zu verwenden, um dem Handel mit Entwicklerzertifikaten und damit einem Einfallstor für schadhafte Apps entgegenzuwirken. Michael Veit, Security Evangelist bei Sophos, mit einem Kommentar zu dieser Vorgehensweise. Es ist noch nicht lang her, dass sich die beiden Giganten Apple und Facebook über eine App Namens "Facebook Research" in den Haaren lagen. Diese Applikation war nicht für den generellen Gebrauch entwickelt worden - in der Tat war es sogar so, dass Facebook die App gar nicht Jedermann zugänglich machen konnte: im App Store war sie nämlich gar nicht zugelassen, zu viel Schnüffelpotenzial. Unter anderem spähte sie in den Traffic einiger (oder aller) Netzwerke von anderen Apps - Ziel: Facebook verbessern durch tiefere Einblicke in das Onlineverhalten der Nutzer.

  • Schutzniveau stärker als die Bedrohungslage

    Internetnutzer sind sich der Gefahren im Internet mehr oder minder bewusst. Das geht aus dem aktuellen Sicherheitsindex 2018 von Deutschland sicher im Netz e. V. hervor. Die Studie zeigt dabei: Obwohl sich die Anzahl erlebter Cyber-Kriminalitätsfälle wie Phishing, Cyber-Mobbing, Online Shop-Betrug oder Erpressung kaum verändert hat, steigt die Verunsicherung der Verbraucher im Internet. Darauf machen die IT-Sicherheitsexperten der PSW eindringlich aufmerksam und betonen, dass insbesondere das Öffnen von E-Mail-Anhängen, der Austausch vertraulicher Inhalte, Bankgeschäfte im Internet, das Herunterladen von Software sowie Dating-Anwendungen große Sorgen und Verunsicherung bereiten. Für die Studie wurde die digitale Sicherheitslage deutscher Internetuser untersucht. Der durch einen Vergleich von Bedrohungslage und Schutzniveau ermittelte DsiN-Sicherheitsindex liegt dabei bei 60,9 Punkten.

  • Sicherheitslücke in 5G ausnutzen

    Kaum laufen die ersten Tests der neuen 5G-Netzwerke, schon melden sich erste Stimmen, die gewisse Sicherheitslücken beanstanden. Die Security in 5G, genannt 5G AKA (Authentication and Key Agreement) baut auf den AKA-Protokollen der 3G- und 4G-Technologie auf. Eines der Probleme der älteren Protokolle ist, dass 3G- und 4G-Geräte leicht mit Fake-Basisstationen überwacht werden können, sogenannten IMSI Catcher (International Mobile Subscriber Identity Catcher), auch StingRays genannt. Dabei verbindet sich das Mobilgerät automatisch mit den betrügerischen Basisstationen, da die GSM-Technologie immer das naheste und stärkste Netz priorisiert. Ist ein solches in der Umgebung, bemerkt es der Anwender vermutlich nicht, wenn sich das Mobilgerät mit der Fake-Basisstation verbindet.