PASSWORTSICHERHEIT-SCHULUNG FÜR MITARBEITENDE
Passwortsicherheit und Multi-Faktor-Authentifizierung
Die Passwortsicherheit-Schulung zeigt Mitarbeitenden, wie sichere Passwörter aufgebaut werden, warum jedes Konto ein eigenes Passwort benötigt und wie Multi-Faktor-Authentifizierung (MFA) den Schutz von Konten und Systemen deutlich erweitert.
Der Kurs vermittelt die im Kurs dargestellten Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik, zeigt alltagstaugliche Wege für schwer erratbare Passwörter und erklärt, wie Beschäftigte ihre Zugangsdaten sicher verwenden. Dabei wird ausdrücklich berücksichtigt, dass interne Passwortrichtlinien der eigenen Organisation Vorrang haben.
Warum Passwortsicherheit im Arbeitsalltag wichtig ist
Passwörter schützen den Zugang zu Daten, digitalen Identitäten und oftmals zu ganzen Systemen. Besonders riskant wird es, wenn dasselbe Passwort für mehrere Konten verwendet wird. Gerät ein Zugang in falsche Hände, können dadurch auch weitere Konten betroffen sein.
Wiederverwendete Passwörter
Wird dasselbe Passwort für mehrere Dienste genutzt, kann ein einzelnes Datenleck Auswirkungen auf weitere Konten und Systeme haben.
Passwörter werden erraten
Vorhersehbare Muster, persönliche Informationen und typische Kombinationen erleichtern es Angreifern, Passwörter zu erraten.
Phishing & automatisierte Angriffe
Zugangsdaten können über Phishing abgefragt oder mit automatisierten Verfahren in großer Zahl ausprobiert werden.
Das lernen Mitarbeitende in der Passwortsicherheit-Schulung
Nach Abschluss des Kurses können Beschäftigte besser einschätzen, was ein sicheres Passwort ausmacht und wie zusätzliche Authentifizierungsverfahren den Kontoschutz verbessern.
sichere Passwörter nach den im Kurs dargestellten BSI-Empfehlungen einordnen
lange und schwer vorhersehbare Passwörter sinnvoll gestalten
für jeden Dienst ein eigenes Passwort verwenden
verstehen, wie Multi-Faktor-Authentifizierung Konten zusätzlich schützt
Zugangsdaten im Arbeitsalltag sicher verwenden und weitergeben vermeiden
bei einem möglicherweise kompromittierten Passwort richtig reagieren
Drei Wege, die im Kurs für sichere Passwörter erläutert werden
Die Schulung stellt drei Möglichkeiten gegenüber, mit denen Passwörter im Kurs als sicher eingeordnet werden. Entscheidend ist dabei immer, dass ein Passwort nicht vorhersehbar oder einfach ableitbar aufgebaut ist.
Länge statt hoher Komplexität
20 bis 25 Zeichen mit mindestens zwei unterschiedlichen Zeichenarten. Der Schutz entsteht vor allem durch die Länge und die dadurch stark zunehmende Zahl möglicher Kombinationen.
Kürzer und komplexer
8 bis 12 Zeichen mit vier unterschiedlichen Zeichenarten: Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. Wichtig ist ein nicht vorhersehbarer Aufbau.
Passwort plus MFA
Ab 8 Zeichen kann ein Passwort im Kurs zusätzlich durch Multi-Faktor-Authentifizierung abgesichert werden. Neben dem Passwort wird ein unabhängiger weiterer Nachweis verlangt.
Ein Großbuchstabe am Anfang, eine Zahl am Ende und ein Sonderzeichen machen ein Passwort nicht automatisch sicher. Entscheidend ist, dass die Zeichenfolge nicht logisch vorhersehbar oder leicht ableitbar ist.
Ein zweiter Faktor schützt auch dann, wenn das Passwort bekannt ist
Bei der Multi-Faktor-Authentifizierung reicht das Passwort allein nicht aus. Zusätzlich wird ein zweiter, unabhängiger Nachweis verlangt. Kennt oder stiehlt jemand das Passwort, fehlt für den Zugriff weiterhin der zusätzliche Faktor.
Bestätigung über eine Authenticator-App
zusätzlicher Nachweis über eine PIN
physischer Sicherheitsschlüssel
biometrische Erkennung wie Fingerabdruck oder Gesichtsscan
Der Kurs hebt insbesondere Bestätigungen über eine App oder einen physischen Sicherheitsschlüssel hervor. SMS-Codes bieten zusätzlichen Schutz, können aber unter bestimmten Umständen beispielsweise durch einen SIM-Tausch missbraucht werden.
Interne Vorgaben der Organisation haben Vorrang
Die im Kurs dargestellten Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik dienen als Orientierung. Sie sind keine Gesetze.
Unternehmen und Behörden können eigene Passwortrichtlinien festlegen, die an ihre Systeme, internen Sicherheitsvorgaben oder Zertifizierungen angepasst sind. Weichen diese Vorgaben von allgemeinen Empfehlungen ab, gelten die Regeln der eigenen Organisation.
Sicher und trotzdem merkbar
Sichere Passwörter müssen im Alltag verwendbar bleiben. Der Kurs zeigt deshalb einen Ansatz, bei dem mehrere unabhängige Bestandteile miteinander kombiniert werden. Dadurch kann ein Passwort individuell, ausreichend lang und dennoch merkbar aufgebaut werden.
Unabhängige Bestandteile kombinieren
Beispielsweise können Wörter ohne erkennbaren Zusammenhang mit einer eigenen Ergänzung wie einer Zahl oder einem Sonderzeichen kombiniert werden.
Zufall und eigene Struktur miteinander verbinden.
Keine persönlichen Informationen verwenden
Namen, Geburtsdaten, Orte oder Hobbys sollten nicht als Grundlage für das Passwort dienen, weil sie bei gezielten Angriffen möglicherweise bekannt oder ableitbar sind.
Je weniger vorhersehbar, desto besser.
Jeder Dienst bekommt sein eigenes Passwort.
Wird ein Anbieter kompromittiert, bleiben andere Konten dadurch besser voneinander getrennt.Sicherer Umgang mit Passwörtern im Arbeitsalltag
Ein starkes Passwort allein reicht nicht aus. Entscheidend ist auch, wie Beschäftigte ihre Zugangsdaten speichern, eingeben, weitergeben und im täglichen Arbeitsablauf schützen.
Nicht grundlos wechseln
Passwörter nicht regelmäßig ohne Anlass ändern. Ein Wechsel ist sinnvoll, wenn es einen konkreten Grund gibt oder die Organisation ihn verlangt.
Nicht ungeschützt speichern
Passwörter nicht unverschlüsselt auf Zetteln oder in E-Mails speichern.
Nicht weitergeben
Passwörter niemals über Chat oder Telefon an andere Personen weitergeben.
Login-Seiten prüfen
Zugangsdaten nur auf offiziellen Login-Seiten eingeben und nicht über Links in verdächtigen Nachrichten.
Geräte sperren
Geräte sperren, wenn der Arbeitsplatz verlassen wird.
Systeme aktuell halten
Browser und verwendete Systeme auf einem aktuellen Stand halten.
Verdacht auf ein kompromittiertes Passwort
Ein Passwort sollte insbesondere geändert werden, wenn der Verdacht besteht, dass ein Konto kompromittiert wurde oder das Passwort versehentlich weitergegeben wurde.
Auch eine ausdrückliche Vorgabe der eigenen Organisation kann einen Passwortwechsel erforderlich machen.
- Passwort umgehend ändern
- IT oder zuständige Stelle für IT-Sicherheit informieren
- prüfen, ob dasselbe oder ein ähnliches Passwort anderswo verwendet wird
- betroffene Passwörter bei weiteren Diensten ebenfalls ändern
Die wichtigsten Regeln der Passwortsicherheit-Schulung
-
1
Starke Passwörter verwenden
Lang, komplex oder zusätzlich durch MFA geschützt.
-
2
Passwörter nicht wiederverwenden
Für jeden Dienst ein eigenes Passwort einsetzen.
-
3
Zugangsdaten bewusst schützen
Nicht weitergeben und nicht ungesichert speichern.
-
4
MFA aktivieren
Einen zusätzlichen Faktor nutzen, wenn dieser angeboten wird.
Wissen im Abschlusstest überprüfen
Nach den Lerninhalten folgt ein kurzer Abschlusstest. Damit können Teilnehmende die wichtigsten Punkte zu Passwortsicherheit und Multi-Faktor-Authentifizierung noch einmal überprüfen und festigen.
Der Kurs orientiert sich an Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik. Für aktuelle allgemeine Hinweise zur IT-Sicherheit finden Sie weiterführende Informationen direkt beim BSI.
IT-Sicherheitsempfehlungen des BSI ansehen →Fragen zur Passwortsicherheit-Schulung und MFA
Die wichtigsten Inhalte des Kurses kurz zusammengefasst.
Was lernen Mitarbeitende in der Passwortsicherheit-Schulung?
Mitarbeitende lernen, wie sichere Passwörter aufgebaut werden können, warum Passwörter für verschiedene Dienste nicht wiederverwendet werden sollten, wie MFA zusätzlichen Schutz bietet und wie Zugangsdaten im Arbeitsalltag sicher behandelt werden.
Warum sollte für jeden Dienst ein eigenes Passwort verwendet werden?
Wird dasselbe Passwort für mehrere Dienste genutzt, kann ein kompromittiertes Konto auch weitere Zugänge gefährden. Unterschiedliche Passwörter begrenzen die Auswirkungen eines einzelnen Vorfalls.
Warum schützt Multi-Faktor-Authentifizierung zusätzlich?
Bei MFA wird neben dem Passwort ein weiterer unabhängiger Nachweis verlangt. Selbst wenn das Passwort bekannt oder gestohlen wurde, fehlt einem Angreifer dadurch weiterhin der zweite Faktor für den Zugriff.
Haben BSI-Empfehlungen Vorrang vor internen Passwortrichtlinien?
Nein. Die im Kurs dargestellten BSI-Empfehlungen dienen als Orientierung. Hat eine Organisation eigene Vorgaben, gelten die internen Passwortrichtlinien.
Müssen Passwörter regelmäßig geändert werden?
Im Kurs wird vermittelt, Passwörter nicht regelmäßig ohne konkreten Anlass zu ändern. Ein Wechsel ist sinnvoll, wenn ein Passwort möglicherweise kompromittiert oder versehentlich weitergegeben wurde oder wenn die eigene Organisation einen Wechsel verlangt.
Was ist bei einem möglicherweise kompromittierten Passwort zu tun?
Das Passwort sollte umgehend geändert und die IT-Abteilung oder die zuständige Stelle für IT-Sicherheit informiert werden. Außerdem sollte geprüft werden, ob dasselbe oder ein ähnliches Passwort auch bei anderen Diensten genutzt wurde.
Passwortsicherheit verständlich und praxisnah vermitteln
Der Kurs „Passwortsicherheit und Multi-Faktor-Authentifizierung“ ist Bestandteil der hookfree Academy. Lernen Sie die Academy kennen oder informieren Sie sich über die verfügbaren Preismodelle.