Viele Menschen nutzen den Jahreswechsel, um neuen Vorsätzen nachzugehen. Unabhängig von persönlichen Zielen, sollte man als Internetnutzer darüber nachdenken, wie es um die eigene Sicherheit im Web steht. Viele User nutzen einfache Passwörter, die leicht geknackt werden können. Laut einer repräsentativen Umfrage des Digitalverbandes Bitkom Research, nutzen 32 Prozent der 1.017 Probanden für unterschiedliche Online-Dienste das gleiche Passwort. Cyberkriminelle haben somit leichtes Spiel.
Mit unserem ISiCO-Leitfaden zeigen wir, wie Sie sich im Jahr 2018 korrekt im Netz verhalten und auf diese Weise Cyberattacken vorbeugen.
Auf der organisatorischen Seite ist den Mitarbeitern zunächst die notwendige Sensibilität für das Thema „Sichere Passwörter“ zu vermitteln und woran sich ein sicheres Passwort ausmacht:
- Mindestlänge von Passwörtern (z.B. 10 Zeichen)
- Komplexitätsanforderungen (z.B. Groß-/Kleinbuchstaben, Sonderzeichen und Zahlen)
- Regelmäßige Änderung von Passwörtern (z.B. alle 90 Tage)
- Geheimhaltung von Passwörtern
Bitkom empfiehlt zusätzlich die Nutzung von Passwortmanagern. Mit diesen können alle Passwörter in einer verschlüsselten Datei gespeichert werden, welche mit einem extra Passwort geschützt sind. Der große Vorteil: Man muss sich nur noch ein Passwort merken anstelle von vielen verschiedenen. Außerdem sollten regelmäßige Updates berücksichtigt werden. So zum Beispiel empfiehlt es sich auf dem Computer befindliche Programme und Softwares (Virenscanner oder Betriebssysteme) immer aktuell zu halten.
Für Unternehmer und Führungskräfte stellen sich allerdings spezifischere Anforderungen an die Passwortsicherheit. Das Management sollte zunächst mit gutem Vorbild vorangehen und die Wichtigkeit der Informationssicherheit im Unternehmen hervorheben. Ausgangspunkte können sein:
- Informationssicherheits-Management-Systeme nach ISO/IEC 27001
- Passwort-Management gemäß ISO/IEC 27002 bzw. IT-Grundschutz
- Passwort- oder Kryptographie Richtlinien
- Schulungen und Workshops zum sicheren Umgang mit Passwörtern
Den IT-Verantwortlichen kommt die Aufgabe der Implementierung sicherer, vorkonfigurierter IT-Prozesse und Anwendungen zu. Grundlegende Anforderungen lauten:
- Passwörter dürfen niemals im Klartext abgespeichert werden
- Passwörter sind mit anerkannten Verfahren zu hashen (z.B. SHA-256)
- Passwörter sind vor dem hashen mit einer zufälligen Zeichenfolge zu versehen, dem Salt, um die systematische Rückführung von Hashes zu erschweren
- Passwörter sollten von einer Mehr-Faktor-Authentifizierung begleitet werden
Das Fazit dürfte im Rahmen steigender Cyberangriffe stets ähnlich ausfallen: Statt in Aktionismus zu verfallen, sollten längerfristige Sicherheitsprozesse implementiert werden, die das Management selbst anstößt (z.B. ein ISMS nach ISO/IEC 27001). Risikobasierte Ansätze sind hierbei Pflicht, um sich gerade nicht vom vorgenannten Aktionismus treiben zu lassen („Schlagzeile: 100 Millionen gestohlene Passwörter bei Firma XYZ“), sondern von konkreten Risiken und Bedürfnissen der eigenen Organisation.