Microsoft stellt die traditionellen Kennwortempfehlungen mit einer wichtigen neuen Anleitung auf den Kopf

Auf der Grundlage von Erkenntnissen aus buchstäblich Milliarden von Anmeldeversuchen bei seinem Azure-Clouddienst aktualisiert Microsoft seine Empfehlungen für Passwörter – und verwirft dabei mehrere seit langem etablierte Best Practices der Branche.

Microsoft hat kürzlich ein Whitepaper mit dem Titel „Microsoft-Leitfaden zu Passwörtern“, in dem die neuen Richtlinien zum Thema Passwörter erläutert werden, die auf den umfangreichen Daten basieren, die das Unternehmen bei der Anmeldung bei Azure AD erfasst. ( Täglich werden dort mehr als 10 Millionen Angriffe auf Benutzernamen und Passwörter verzeichnet .) Einiges davon entspricht vielleicht Ihren Erwartungen … anderes widerspricht jedoch den gängigen Vorstellungen zum Thema Passwörter.

Die Autorin (Robyn Hicock vom Microsoft Identity Protection Team mit einer langen Liste von Beiträgen ihrer Teamkollegen, von Microsoft Research und der Microsoft IT-Abteilung) stellt fest, dass altbewährte Kennwortpraktiken angesichts moderner, auf Anmeldeinformationen ausgerichteter Angriffe nicht mehr greifen. Darüber hinaus erhöhen einige dieser Richtlinien sogar die Leichtigkeit, mit der Passwörter kompromittiert werden können, und sollten daher geändert oder ganz aufgegeben werden.

Microsoft empfiehlt sieben Maßnahmen, um einen maximalen kennwortbasierten Identitätsschutz zu gewährleisten:

• Halten Sie eine Mindestlänge von 8 Zeichen ein (länger ist nicht unbedingt besser).
• Beseitigen Sie die Anforderungen an die Zeichenkomposition.
• Eliminieren Sie die obligatorische regelmäßige Zurücksetzung von Passwörtern für Benutzerkonten.
• Verbieten Sie gängige Passwörter, um die anfälligsten Passwörter von Ihrem System fernzuhalten.
• Weisen Sie Ihre Benutzer darauf hin, ihr Passwort nicht für andere Zwecke als die Arbeit zu verwenden.
• Erzwingen Sie die Registrierung für die Multi-Faktor-Authentifizierung.
• Aktivieren Sie risikobasierte Multi-Faktor-Authentifizierungsherausforderungen.

Werfen wir einen Blick auf die eher ungewöhnlichen Empfehlungen, die sich unmittelbar darauf auswirken, wie eine Organisation ihre Domänenpasswörter festlegt: policy.

Anti-Patterns beseitigen

Halten Sie die Mindestlänge von 8 Zeichen ein. Microsoft Research hat festgestellt, , dass lange, komplexe Web-Passwörter für Benutzer eine Belastung darstellen (was keine Überraschung ist), aus mehreren Gründen jedoch tatsächlich nur begrenzt wirksam sind. Die Stärke des Passworts ist irrelevant, wenn der Benutzer Opfer eines Phishing-Angriffs wird und es preisgibt oder wenn sich Keylogger-Malware auf seinem System befindet. Dies sind laut den Autoren die häufigsten Angriffe. Das Passwort muss lediglich stark genug sein, um einer Sperrregel vom Typ „Drei-Fehler-Regel“ standzuhalten. Beachten Sie, dass sich diese Studie zwar auf Web-Passwörter bezieht, es jedoch keinen Grund gibt, warum sie nicht auch für Active-Directory-Passwörter (und Ihre eigene Sperr policy) gelten sollte.

Die Vorgaben zur Zeichenzusammensetzung abschaffen. Das ist abstrakt betrachtet eine gute Idee, doch Microsoft und andere (Bruce Schneierzum Beispiel) festgestellt, dass Menschen angesichts von Anforderungen an die Passwortkomplexität in einige wenige erkennbare Muster verfallen, die von Programmen zum Knacken von Passwörtern ausgenutzt werden. So hat sich beispielsweise herausgestellt, dass ein typisches Passwort aus einem Stamm besteht – meist etwas Aussprechbares – sowie einem Suffix wie beispielsweise einer Zahl. Und ja, sie wissen, dass Sie „$“ für „s“, „!“ für „i“ usw. verwenden!

Schaffen Sie die obligatorische regelmäßige Passwortänderung für Benutzerkonten ab. Regelmäßige Passwortänderungen – im Prinzip ebenfalls eine gute Idee – scheitern jedoch, wenn sie vom menschlichen Gehirn umgesetzt werden. Warum? Weil Menschen dazu neigen, ihr neues Passwort auf sehr vorhersehbare Weise auf der Grundlage ihres alten Passworts zu erstellen. Da Kriminelle Passwörter zudem sofort nutzen, sobald sie diese kompromittiert haben, bringt eine Eindämmung keinerlei Nutzen (d. h. Warnungen wie „Wir wurden kompromittiert; bitte ändern Sie Ihr Passwort, um zu verhindern, dass Ihr Konto gehackt wird“ kommen viel zu spät).

Aktuelle Empfehlungen sowohl von Schneier als auch von Microsoft lauten: Sofern Sie nicht glauben, dass Ihr Passwort kompromittiert sein könnte, sollten Sie es nicht ändern. Ich würde diese Empfehlung dahingehend ergänzen, dass Sie Ihre Passwörter im Laufe der Zeit stärken sollten , aber nicht versuchen, den Überblick selbst zu behalten: Beugen Sie sich unseren robotischen Meistern und nutzen Sie ein Dienstprogramm wie LastPass, um lange, komplexe, schwer zu merkende Passwörter zu generieren und diese in dessen verschlüsseltem Tresor zu speichern. Dann müssen Sie sich nur noch ein einziges komplexes Passwort merken – das Master-Passwort für Ihren Tresor. Sobald Sie die Verwaltung einem solchen Dienst überlassen haben, ist das wirklich sehr befreiend; Sie können sofort ein kompliziertes 18-Zeichen-Passwort wie „wO2AECJ^OZhbXwY#0Y“ für eine Website erstellen und sich darauf verlassen, dass es praktisch unknackbar ist.

Erfolgsmuster durchsetzen

Verbieten Sie gängige Kennwörter. Microsoft ist der Meinung, dass der wichtigste Schritt, den Sie für die Sicherheit unternehmen können, darin besteht, eine Liste bekannter schwacher Passwörter (z.B. abcdefg, passw0rd, usw.) aus Ihrem System zu verbannen, um es gegen Brute-Force-Angriffe zu stärken. Microsoft hat festgestellt, dass das Verbot dieser Passwörter (das sie für Azure AD durchführen) sehr effektiv ist, um schwache Passwörter aus dem System zu entfernen.

Wenn Sie dies in einem traditionellen Unternehmen lesen, denken Sie wahrscheinlich: „Das ist ja alles schön und gut, aber wie setze ich eine solche Funktion „ policy “ für meine lokale Active Directory-Umgebung um?“ Wenn Sie wie ich ein AD-Experte sind, wissen Sie, dass hierfür ein benutzerdefinierter Passwortfilter erforderlich ist, der auf allen AD-Domänencontrollern installiert werden muss, und dass Microsoft standardmäßig keine Funktionen zum Sperren von Passwörtern bereitstellt.

Es gibt Produkte von Drittanbietern wie beispielsweise Anixis Password Policy Enforcer oder nFront Password Filter , die diese Funktion bieten. Microsoft arbeitet Berichten zufolge an einer eigenen Unterstützung für diese Funktion; in ihrem Twitter-Feed schreibt die Autorin: „Wir arbeiten daran. Bleiben Sie dran“, doch natürlich lässt sich noch nicht abschätzen, wann diese Funktion verfügbar sein wird. Da diese Funktion in Windows Server Active Directory integriert werden müsste, hängt die Dauer davon ab, wie die Funktion umgesetzt wird. Sollte sie Teil von Active Directory sein, ist die Zeit für eine tiefgreifende Integration in Windows Server 2016 bereits verstrichen – was eine Wartezeit von zwei Jahren bis zur Veröffentlichung der nächsten Version von Windows Server bedeutet. Ein aktualisierter Passwortfilter (passfilt.dll) kann hingegen jederzeit als Download bereitgestellt werden.

Weisen Sie Ihre Benutzer darauf hin, ihr Passwort nicht für nicht arbeitsbezogene Zwecke wiederzuverwenden. Es ist nicht schwer zu erahnen, dass ein Benutzer, sobald er sich für ein Passwort entschieden hat, das er für die Arbeit als sicher erachtet, dieses auch für andere Websites wiederverwenden wird. Leider ist dies eine so weit verbreitete Praxis, dass Kriminelle gestohlene Zugangsdaten stets auf zahlreichen Websites ausprobieren; Microsoft verzeichnet täglich 12 Millionen durchgesickerte Zugangsdaten (Microsoft führt eine umfangreiche Liste gestohlener Zugangsdaten), die auf seine Systeme angewendet werden.

Es ist wirklich schwierig, dieses Verhaltensmuster durchzusetzen, da dies nur durch die Aufklärung der Nutzer erreicht werden kann. Und es ist ein mühsamer Kampf, da es den Nutzern die Arbeit erschwert.

Setzen Sie die Registrierung für die Multi-Faktor-Authentifizierung durch. Die Multi-Faktor-Authentifizierung (MFA) wird von Unternehmen und größeren SaaS-Anbietern zunehmend eingeführt. Die Verwendung eines zweiten Satzes von Sicherheitsdaten (wie einer alternativen E-Mail-Adresse oder einer Mobiltelefonnummer), die außerhalb des normalen Kommunikationskanals überprüft werden können, führt zu einer erheblichen Verbesserung der Sicherheit. Aktivieren Sie die MFA, wo immer dies möglich ist! Ja, es kann ein wenig lästig sein – aber es ist bei weitem weniger lästig als ein kompromittiertes Konto.

Aktivieren Sie risikobasierte Multi-Faktor-Authentifizierungsherausforderungen. Dieses Muster hebt MFA auf die nächste Stufe, indem es eine MFA-Aufforderung auslöst, wenn verdächtige Aktivitäten (wie eine geografisch andere IP-Adresse als die, mit der sich der Benutzer zuvor angemeldet hat) erkannt werden. Dies setzt natürlich voraus, dass diese Funktion in Ihrem Anmeldesicherheitssystem verfügbar ist.

Bitte beachten Sie, dass Sie einige oder alle dieser Vorschläge möglicherweise nicht umsetzen können, falls in Ihrem Unternehmen bestimmte Compliance-Anforderungen gelten. Dennoch ist es stets sinnvoll, sich darüber im Klaren zu sein, was in der Praxis geschieht. Und es gibt kaum etwas Realistischeres als Daten von einem Ort, an dem täglich 10 Millionen Angriffe verzeichnet werden.