Wann wird er endlich überflüssig – der World Password Day?

An diesem Donnerstag, dem 7. Mai, ist es wieder so weit: Mit dem alljährlichen World Password Day wird auf die Notwendigkeit sicherer Passwörter aufmerksam gemacht. Sind jedoch die wiederkehrenden Rufe nach starken Kennwörtern überhaupt noch zeitgemäß?

Stefan Rabben, Managing Director, Area Sales Director DACH and Eastern Europe der WALLIX Group hat sich dazu einige Gedanken gemacht.

Dieses Jahr gibt es ihn zum achten Mal, den weltweiten World Password Day am ersten Donnerstag im Mai. Ziel des 2013 eingeführten Tages ist, die IT-Nutzer weltweit dafür zu sensibilisieren, dass Kennwörter wie 1234 oder Passwort beziehungsweise Password sicherlich keine gute Absicherung gegen unberechtigten Zugriff auf PCs, Cloud Services oder mobile Geräte darstellen. Und natürlich ist den meisten Anwendern auch klar, dass ein sicheres Passwort mit Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen mit einer Länge von acht oder mehr Zeichen, die Sicherheit gegenüber den angeführten Beispielen deutlich verbessert.

Zudem haben viele Unternehmen Sicherheitsrichtlinien implementiert, die das regelmäßige Ändern von Passwörtern vorschreiben, um die Sicherheit weiter zu verbessern. Ob dies jedoch wirklich sinnvoll ist, ist unter Experten umstritten. Entsprechend hat auch das BSI (Bundesamt für Sicherheit in der Informationstechnik) eine bis Februar diesen Jahres bestehende Empfehlung aus dem Handbuch zum IT-Grundschutz gestrichen.

Ebenfalls nicht sonderlich neu ist der Rat, man möge doch für jeden Service jeweils ein eigenes Passwort verwenden und nicht stets das gleiche. Sofern dies nicht geschieht, stehen Cyberkriminellen Tür und Tor offen. Mit einmal erbeuteten Zugangsdaten könnte sich ein Angreifer andernfalls gleich an allen Diensten und Geräten eines Anwenders anmelden, mit möglicherweise verheerenden Folgen.

An dieser Stelle wird meist auf den berühmten Passwort-Tresor (Passwortmanager) verwiesen, in dem all die Passwörter für die vielen Dienste, die heutzutage genutzt werden, sicher hinterlegt sind. Ein Umstand bleibt dennoch unangetastet: Man braucht immer noch ein Passwort!

Wäre es nicht deutlich sinnvoller, Passwörter einfach überflüssig zu machen? Die Smartphone-Hersteller zeigen uns, wie es gehen kann – beispielsweise Gesichtserkennung bei iPhone oder Android-Smartphones sowie der Fingerabdruck als Entsperrmethode. Natürlich gibt es auch hier Bedenken und Möglichkeiten der Manipulation. Man sollte also bei Alternativen nicht so naiv sein und glauben, dass dann gleich alles komplett sicher sei. Aber der Aufwand für einen erfolgreichen Angriff wird größer.

Moderne Sicherheitssysteme im Hintergrund können hier, gerade wenn es um den Zugang zur Unternehmens-IT geht, sich diese Alternativen zunutze machen und dafür sorgen, dass zum Beispiel für externe Partner, die nur für einen begrenzten Zeitraum Zugang zu einem bestimmten Bereich der IT benötigen, gar kein Passwort mehr erforderlich ist. Neue Authentifizierungsmöglichkeiten lassen sich mit leistungsfähigen Access-Management-Systemen zu Passwort-freien IT-Landschaften gestalten, die weder Administratoren mit aufwendigen Passwort-Vorgaben und Prozessen noch andere Anwender mit der Herausforderung des vergessenen Passworts oder einem gelben Post-it am Monitor belästigen.