Seminar Passwortmanagement – Passwort-Policy, Standards und Compliance

Viele Passwortrichtlinien stammen aus einer Zeit, in der Passwortmanager, kompromittierte-Passwort-Blocklisten und phishing-resistente Authentikatoren kaum verbreitet waren. Erzwungene Sonderzeichenmuster und regelmäßige Wechsel erzeugen heute häufig vorhersehbare Varianten statt zusätzlicher Sicherheit.

Das Seminar entwickelt eine kurze, verständliche und technisch überprüfbare Policy. Menschliche, administrative und maschinelle Zugangsdaten werden getrennt behandelt; jede Anforderung erhält Zweck, Geltungsbereich, technische Kontrolle und Ausnahmeverfahren.

Einordnung und Nutzen

Ein Tag ist angemessen, weil kein Produktbetrieb aufgebaut wird. Die Zeit reicht für Ist-Analyse, aktuellen Richtlinienentwurf, technische Kontrollmatrix und Umsetzungsfahrplan. Eine Vertiefung in Passkeys, Passwortspeicherung oder PAM erfolgt in den jeweiligen Fachseminaren.

Zielgruppe

• Informationssicherheitsbeauftragte und ISMS-Teams
• IAM-, Verzeichnisdienst- und Anwendungsadministratoren
• Revision, Datenschutz und Compliance
• Architekten und technische Richtlinienverantwortliche

Voraussetzungen

• Grundverständnis von Authentisierung und Benutzerverwaltung
• Kenntnis bestehender Passwortregeln und wichtiger Zielsysteme
• Keine produktspezifischen Vorkenntnisse erforderlich

Lernziele

• Veraltete und kontraproduktive Passwortregeln erkennen
• Moderne Anforderungen nach Authentisierungskontext formulieren
• Passwortmanager, MFA, Passkeys und Recovery sinnvoll verbinden
• Technische Durchsetzung und Ausnahmen nachvollziehbar regeln
• Kennzahlen und Auditnachweise ohne Klartextgeheimnisse definieren

Seminarinhalte

Zeitgemäße Passwortanforderungen

• Mindestens 15 Zeichen bei alleiniger Passwortnutzung und mindestens 8 Zeichen im Mehrfaktorkontext einordnen
• Lange Werte bis mindestens 64 Zeichen sowie Leerzeichen und gebräuchliche Zeichen zulassen
• Starre Zeichenklassen, Hinweise, Sicherheitsfragen und regelmäßige Wechsel vermeiden

Technische Kontrollen

• Blocklisten für häufige, erwartbare und kompromittierte Kennwörter
• Rate Limiting, Sperrlogik, sichere Übertragung und vollständige Prüfung
• Passwortmanager, Autofill und Einfügen ausdrücklich unterstützen

MFA, Passkeys und Recovery

• Phishing-resistente Verfahren nach Schutzbedarf priorisieren
• Zwei unabhängige Authentisierungswege und sichere Neubindung planen
• Rücksetzung, Helpdesk und Ausnahmen gegen Social Engineering absichern

Governance und Nachweis

• Menschen, Administratoren, Service Accounts und lokale Geräte-PINs unterscheiden
• Übergangsfristen, Altanwendungen und befristete Ausnahmen regeln
• Durchsetzung, Abweichungen, Vorfälle und Verbesserungen messbar dokumentieren

Praktische Übungen

• Bewertung einer veralteten Beispielrichtlinie
• Entwurf einer kompakten Ziel-Policy
• Zuordnung technischer Kontrollen zu Richtlinienanforderungen
• Behandlung von drei Altanwendungs- und Ausnahmefällen
• Erstellung eines Einführungs- und Kommunikationsplans

Methodik

Die Gruppe arbeitet an einer prüfbaren Musterpolicy. Sicherheitsanforderungen werden in klare Muss-, Soll- und Ausnahmebestimmungen übersetzt und mit einer technischen Kontrollmatrix verbunden.