Eine Passwort-Richtlinie (englisch Password Policy) ist ein verbindlicher Regelsatz, der festlegt, wie Passwörter in einem Unternehmen oder einer Organisation erstellt, verwendet und geschützt werden müssen. Sie ist Teil der IT-Sicherheitspolitik und gilt für Mitarbeiter, Systeme und Dienste gleichermaßen.
Moderne Empfehlungen (NIST SP 800-63B)
Die Richtlinie des National Institute of Standards and Technology (NIST SP 800-63B) hat die Praxis vieler Unternehmen verändert: Statt kurzer, komplexer Passwörter mit erzwungenem Sonderzeichenwechsel empfiehlt sie lange Passwörter beziehungsweise Passphrasen (mindestens 8, empfohlen 15+ Zeichen) und die Prüfung gegen Listen bekannter schwacher Passwörter. Erzwungene regelmäßige Abläufe (etwa alle 90 Tage) gelten als kontraproduktiv — sie verleiten zu kleinen, vorhersagbaren Änderungen wie „Passwort2024" auf „Passwort2025".
Typische Bestandteile
- Mindestlänge und Passphrasen: Länge vor Komplexität; Systeme sollen lange Passwörter bis 64 Zeichen akzeptieren.
- Blacklist schwacher Passwörter: Häufige Muster wie „123456", „Passwort" oder geknackte Passwörter aus Datenlecks werden sofort abgelehnt.
- Keine Passwort-Wiederverwendung: Gleiche Passwörter für berufliche und private Dienste sind verboten.
- Regelung für Admin- und Dienstkonten: Längere Passwörter, getrennte Konten, zusätzliche Absicherung.
- Umgang mit Vorfällen: Bei Verdacht auf Kompromittierung sofortiger Wechsel, Notfallprozess.
Passwort-Manager in der Richtlinie
Moderne Richtlinien empfehlen den Einsatz eines Passwort-Managers, weil Menschen sich nur wenige starke Geheimnisse merken können. Die Vorgaben zur Speicherung auf Servern (niemals Klartext, sondern Passwort-Hashing mit Salt) sind ebenfalls Teil der Richtlinie. Ergänzend schützt Zwei-Faktor-Authentifizierung selbst dann, wenn ein Passwort doch einmal erraten oder gestohlen wird.
Verwandte Grundlagen: Wörterbuchangriff, Salt, Passkeys, Datenschutz, Authentifizierung.