Der erzwungene Passwortwechsel alle 90 Tage gilt heute als schädlich. Fachstellen raten davon ausdrücklich ab – er erzeugt schwächere Passwörter.
Aufwand:
ca. 30 Min.
Gilt für:
Deutschland (BSI-Empfehlung)
Das Symptom
Alle neunzig Tage dieselbe Aufforderung: Das Passwort ist abgelaufen, bitte ein neues
vergeben. Und alle neunzig Tage dieselbe Reaktion – die Jahreszahl am Ende wird um
eins hochgezählt, oder das Ausrufezeichen wandert von hinten nach vorn.
Die „Layer 8“-Wahrheit
Diese Regel war jahrzehntelang der Inbegriff verantwortungsvoller IT-Sicherheit. Sie
ist heute in Fachkreisen ausdrücklich zurückgezogen – und der Grund dafür ist ein
Musterbeispiel für Layer 8: Die Regel hat nicht mit der Technik gerechnet, sondern
mit Menschen, und Menschen haben sich verhalten wie Menschen.
Wer ein starkes, schwer merkbares Passwort besitzt und gezwungen wird, es viermal im
Jahr zu ersetzen, denkt sich nicht viermal im Jahr ein neues starkes Passwort aus. Er
baut ein System: Sommer2024! wird zu Herbst2024!, Firma1 wird zu Firma2. Genau
dieses Verhalten ist der Punkt. Ein Angreifer, der ein altes Passwort erbeutet hat,
muss das neue nicht knacken – er muss nur zählen können. Die Regel, die Sicherheit
erzwingen sollte, hat sie berechenbar gemacht.
Deshalb hat das BSI den turnusmäßigen Wechsel aus seinen Empfehlungen gestrichen, und
die amerikanische NIST rät ebenfalls davon ab, solange kein konkreter Verdacht
besteht. Was stattdessen wirkt, ist unspektakulär und unbeliebt, weil es keine
Kalendererinnerung ist, sondern Arbeit: für jeden Dienst ein eigenes, langes Passwort,
verwaltet in einem Passwortmanager, abgesichert mit einem zweiten Faktor. Gewechselt
wird dann, wenn es einen Anlass gibt. Nicht, wenn es Dienstag ist.
Die echte, verifizierte Lösung
1000 % faktenbasiert. Jeder Befehl ist real, jeder Pfad existiert. Schritt für Schritt:
1.
Den erzwungenen Wechsel abschaffen
Ein Passwort nur deshalb zu wechseln, weil ein Kalender es verlangt, verbessert nichts. Sowohl das deutsche Bundesamt für Sicherheit in der Informationstechnik als auch die amerikanische Normungsbehörde NIST haben diese Empfehlung zurückgezogen. Gewechselt wird bei Verdacht – nicht nach Plan.
2.
Auf Länge statt auf Sonderzeichen setzen
Ein langes Passwort ist einem kurzen, komplizierten deutlich überlegen. Vier zufällige Wörter sind sicherer und leichter zu merken als ein kurzes Kryptogramm mit Ausrufezeichen am Ende.
3.
Für jeden Dienst ein eigenes Passwort
Der eigentliche Schaden entsteht durch Wiederverwendung. Wird ein Anbieter gehackt, probieren Angreifer dieselbe Kombination automatisiert bei allen anderen Diensten – und genau das funktioniert erschreckend oft.
4.
Einen Passwortmanager benutzen
Niemand kann sich hundert verschiedene starke Passwörter merken. Der Passwortmanager tut genau das, dazu braucht es nur noch ein einziges gutes Hauptpasswort. Das ist keine Bequemlichkeit, sondern die Voraussetzung dafür, dass die anderen Regeln überhaupt einhaltbar sind.
5.
Zwei-Faktor-Authentisierung aktivieren
Der zweite Faktor ist wirksamer als jede Passwortregel. Selbst ein gestohlenes Passwort nützt dann wenig. Wo es angeboten wird, sollte es eingeschaltet sein – besonders bei E-Mail, denn über das Postfach lassen sich alle anderen Konten zurücksetzen.
6.
Bei echtem Verdacht sofort wechseln
Wurde ein Dienst kompromittiert oder besteht Verdacht auf einen Diebstahl, wird das Passwort sofort geändert – nicht beim nächsten turnusmäßigen Termin. Das ist der Anlass, auf den es ankommt.
Häufige Fragen (FAQ)
?Warum ist der regelmäßige Wechsel schädlich?
Weil Menschen darauf vorhersehbar reagieren. Aus Sommer2024! wird Sommer2025!, aus Passwort1 wird Passwort2. Der erzwungene Wechsel erzeugt schwache, systematische Muster – und ein Angreifer, der das alte Passwort kennt, errät das neue mühelos. Der Zwang macht das Passwort also messbar schlechter.
?Gilt das auch für Unternehmen?
Ja. Das BSI nennt einen pauschalen Passwortwechsel ausdrücklich „keine zeitgemäße Schutzmaßnahme mehr“ und begründet das damit, dass wiederkehrende Wechsel die Leute zu schwachen, leicht vorhersehbaren Passwörtern treiben. Geändert wird laut BSI dann, wenn es einen Hinweis darauf gibt, dass das Passwort Unbefugten in die Hände gefallen ist. Wer die 90-Tage-Regel noch erzwingt, folgt einer überholten Vorgabe.
Belege
Diese Seite ist gegen die folgenden Primärquellen geprüft – Hersteller, Standard oder Gesetzestext. Wer es nicht glaubt, muss es nicht: Da steht, wo es nachzulesen ist.