Seminar John the Ripper Enterprise Passwortaudit und Governance

Inhaltsübersicht

• Beschreibung und Einordnung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte als Schrittfolge
• Praxisübungen
• Dokumentation und sichere Nutzung

Beschreibung und Einordnung

Dieses Seminar setzt John the Ripper in einen organisatorischen Unternehmensrahmen. Behandelt werden nicht nur technische Prüfabläufe, sondern auch Governance, Rollen, Freigaben, Datenschutz, Risikoakzeptanz, Berichtswege und Wiederholungsprüfungen. Damit eignet sich das Seminar für Organisationen, die Passwortaudits nicht als Einzelaktion, sondern als geregelten Kontrollprozess etablieren wollen. Gute Technik ohne Verfahren bleibt Flickwerk; gute Verfahren ohne Technik bleiben Papier.

Alle Übungen sind auf freigegebene Laborbeispiele beschränkt. Produktive Systeme, fremde Datenbestände und nicht genehmigte Prüfungen sind kein Bestandteil des Seminars.

Zielgruppe

IT-Leitung, Security-Architekten, IAM-Verantwortliche, interne Revision, Datenschutzkoordination und leitende Administratoren.

Voraussetzungen

Erfahrung in IT-Betrieb, IAM, Security Management oder interner Revision; technische Grundkenntnisse zu Passwort-Hashes sind hilfreich.

Seminarinhalte als Schrittfolge

Schritt 1: Auditprogramm definieren

Ziele, Geltungsbereich, Frequenz, Verantwortlichkeiten und Grenzen des Passwortaudit-Programms werden formuliert.

Schritt 2: Rollen- und Freigabemodell festlegen

Betrieb, Security, Datenschutz, Personalvertretung, Revision und Management werden mit klaren Aufgaben und Informationsrechten berücksichtigt.

Schritt 3: Datenflüsse und Schutzbedarf analysieren

Es wird beschrieben, welche Daten in welcher Phase entstehen, wie sie geschützt werden und wann sie wieder zu löschen sind.

Schritt 4: Technische Prüfarchitektur planen

Laborumgebung, Ressourcen, Datentrennung, Session-Management und Protokollierung werden auf Unternehmensgröße ausgelegt.

Schritt 5: Risikomessung standardisieren

Kennzahlen wie Trefferquote, Musterklassen, kritische Gruppen und Wiederholungsverstöße werden als Steuerungsgrößen definiert.

Schritt 6: Kommunikationsmodell aufbauen

Technische Befunde werden für unterschiedliche Zielgruppen übersetzt, ohne den Inhalt zu verfälschen oder unnötig sensible Details zu verbreiten.

Schritt 7: Maßnahmen und Kontrollen verankern

Passwortrichtlinien, Schulung, technische Sperren, Monitoring und Wiederholungsprüfungen werden zu einem dauerhaften Kontrollkreislauf verbunden.

Praxisübungen

• Entwurf einer Governance-Matrix für Passwortaudits
• Definition von Auditkennzahlen und Berichtsempfängern
• Planung eines geschützten Datenflusses
• Ausarbeitung eines wiederholbaren Kontrollprozesses

Dokumentation und sichere Nutzung

Die erarbeiteten Abläufe werden so dokumentiert, dass spätere Prüfungen wiederholbar, nachvollziehbar und auf den freigegebenen Zweck begrenzt bleiben. Sensible Treffer werden minimiert dargestellt und nicht unnötig verteilt.