Kennwortrichtlinie
Werden in einem IT-System Passwörter zur Authentisierung gebraucht, so ist die Sicherheit der Zugangs- und Zugriffsrechteverwaltung des Systems entscheidend von der Stärke des verwendeten Passworts abhängig. Die hier aufgeführten Regeln sind unbedingt zu beachten.
Informationen zum Ändern oder Zurücksetzen von Passworten finden Sie auf dieser Webseite.
Allgemeine Passwort-Regeln für Benutzerkonten
Folgende Regeln gelten für die zentralen Benutzerkonten (Windows, Linux und Weblogin) bei GSI/FAIR:
- Passwörter müssen mindestens alle 24 Monate geändert werden.
- Passwörter werden bei jeder Änderung mit einer Liste von schwachen Passwörtern verglichen.
- Bereits zuvor verwendete Passwörter dürfen nicht wiederverwendet werden.
- Passwörter dürfen nicht in verschiedenen IT-Systemen wiederverwendet werden.
- Passwörter müssen mindestens 10 Zeichen lang sein.
- Passwörter müssen aus mindestens drei der folgenden vier Zeichenklassen bestehen:
- Kleinbuchstaben
- Großbuchstaben
- Ziffern
- Sonderzeichen
Zusätzliche Regeln für den Windows-Campus-Account
- Das Passwort darf ...
- ... weder mit einer Zahl beginnen, noch mit einer Zahl enden
- ... keines Ihrer vorherigen sechs Kennwörter wiederholen
- ... nicht Ihren Benutzernamen enthalten
- ... keine "Wörterbuch"-Phrasen (z.B. GSI, Passwort, Pass, Wort etc.) beinhalten
- ... keine Namen, Kfz-Kennzeichen enthalten
- ... nicht in der Liste verbotener Kennwörter aufgeführt sein
- ... nicht in der Liste missbrauchter Kennwörter enthalten sein
- ... sich von Ihrem vorherigen Kennwort nicht nur im letzten Zeichen unterscheiden
- Die maximale Passwortlänge liegt bei 127 Zeichen, durch technische Beschränkungen in einzelnen Zielsystemen ist eine Verwendung von Passwörtern mit mehr als 42 Zeichen nicht sinnvoll oder nicht möglich.
- Ein Passwort muss mindestens einen Tag verwendet werden, bevor es wieder geändert werden kann.
- Ein Benutzer hat maximal 50 erfolglose Anmeldeversuche, bevor sein Account gesperrt wird.
- Nach einem Zeitraum von 180 Minuten wird die Sperrung automatisch wieder aufgehoben. Alternativ kann ein Administrator das Kennwort zurücksetzen.
Programm zum Verwalten von Passwörtern
Bei der Vielzahl der zu verwendenden Accounts und Passwörtern ist es ratsam, ein Programm zur Verwaltung der Passwörter zu verwenden. Wir empfehlen KeePass (Windows, Installation aus dem Software Center) bzw. KeePassXC (Linux, ist standardmäßig installiert).
In die Datenbank des Programms speichern Sie alle Accounts mit den jeweiligen Passwörtern. Die Datenbank selbst wird durch einen Hauptschlüssel (Master Key) gesichert. Dieser Hauptschlüssel sollte hinreichend komplex sein und ist das einzige Kennwort, das Sie sich merken müssen.
Bitte beachten Sie:
- Die Datenbank ist nur dann verschlüsselt, wenn das Programm nicht geöffnet (entsperrt) ist.
Weitere wichtige Regeln zum sicheren Passwortgebrauch
Der nachfolgende Text ist in Auszügen einer Information des Bundesamtes für Sicherheit in der Informationstechnik entnommen:
- Keine "Wörterbuch"-Phrasen, Namen, Kfz-Kennzeichen, Geburtsdatum etc.
- Das Passwort muss geheimgehalten werden und darf nur dem Benutzer persönlich bekannt sein.
- Das Passwort sollte nur für die Hinterlegung schriftlich fixiert werden, wobei es dann in einem verschlossenen Umschlag sicher aufbewahrt wird. Wird es darüber hinaus aufgeschrieben, ist das Passwort zumindest so sicher wie eine Scheckkarte oder ein Geldschein aufzubewahren.
- Ein bewährtes Verfahren zur Passworterstellung ist es, die Anfangsbuchstaben eines Satzes zu verwenden: So ergibt etwa "Mähen Äbte Heu? Äbte Mähen nie Heu. Äbte beten." ein Kennwort "MAH?AMnH.Ab".
- Passwörter dürfen nicht auf programmierbaren Funktionstasten gespeichert werden.
- Ein Passwortwechsel ist durchzuführen, wenn das Passwort unautorisierten Personen bekannt geworden ist.
- Die Eingabe des Passwortes sollte unbeobachtet stattfinden.
Weitere Informationen und Videos
Bitte beachten Sie auch die Hinweise und Regeln zu Passwörtern der Stabsstelle IT Sicherheit.
