Security & Compliance

Passwort-Richtlinie

Overview

Eine Passwort-Richtlinie beschreibt, wie Passwörter gewählt, geprüft, gespeichert und gewechselt werden. Frühere Regeln mit Komplexitätszwang und Wechsel alle 60 oder 90 Tage gelten als überholt, weil sie vorhersagbare Muster wie Sommer2026! erzeugen und Notizzettel fördern.

Aktuelle Empfehlungen, etwa NIST SP 800-63B und das BSI IT-Grundschutz-Kompendium, setzen auf Länge, Prüfung gegen Listen kompromittierter und schwacher Passwörter, Wechsel nur bei Verdacht auf Kompromittierung und einen zweiten Faktor. NIS2 nennt Multi-Faktor-Authentifizierung ausdrücklich als Risikomanagementmaßnahme.

Der Trend geht zu passwortlosen und phishingresistenten Verfahren wie Passkeys (FIDO2) und Windows Hello for Business. Bis dahin bleibt die Passwort-Richtlinie für Konten, Dienstkonten und Altsysteme wichtig.

How it works

Technisch wird die Richtlinie an mehreren Stellen umgesetzt:

  1. Active Directory: Die Default Domain Policy legt Mindestlänge, Verlauf und Kontosperrung fest, fein abgestufte Kennwortrichtlinien (Password Settings Objects) erlauben strengere Regeln für Admins und Dienstkonten.
  2. Microsoft Entra ID: Password Protection blockiert schwache Passwörter über eine globale Sperrliste von Microsoft, eine benutzerdefinierte Sperrliste ergänzt Firmen-, Produkt- und Ortsnamen.
  3. Hybrid: Ein Proxy und ein DC-Agent dehnen Entra Password Protection auf lokale Domänencontroller aus, sodass Passwortänderungen im AD dieselben Sperrlisten durchlaufen.
  4. Smart Lockout in Entra ID sperrt Angreifer nach Fehlversuchen aus, ohne den legitimen Benutzer dauerhaft zu blockieren.
  5. MFA und Conditional Access ergänzen das Passwort, Passwortmanager erleichtern lange, eindeutige Passwörter.

Benefits

  • Weniger schwache und wiederverwendete Passwörter in der Umgebung
  • Weniger Helpdesk-Anfragen, weil Zwangswechsel und Komplexitätsrätsel entfallen
  • Schutz vor Password Spraying durch Sperrlisten und Smart Lockout
  • Klare, begründbare Regeln für Audits nach ISO 27001 und NIS2

Practical example

Ein Planungsbüro mit 45 Mitarbeitenden verlangt bisher Komplexität und Wechsel alle 60 Tage, die Folge sind Passwörter mit Jahreszahl und Ausrufezeichen. Die IT stellt auf mindestens 14 Zeichen ohne Zwangswechsel um, aktiviert die benutzerdefinierte Sperrliste mit Firmen- und Ortsnamen und installiert den DC-Agenten für das lokale AD. Gleichzeitig wird MFA für alle Konten Pflicht. Die Rücksetzungen am Helpdesk gehen spürbar zurück.

Things to keep in mind

  • Lange Passphrasen statt kurzer, komplizierter Passwörter empfehlen und erklären
  • Einen Passwortmanager bereitstellen und die Nutzung aktiv unterstützen
  • Passwörter nach bestätigter Kompromittierung ändern lassen, nicht nach Kalender
  • Altsysteme und Dienstkonten mit begrenzter Passwortlänge gesondert erfassen
  • Passwortregeln ersetzen keine MFA, phishingresistente Verfahren wie Passkeys mittelfristig einplanen

Licensing & availability

Die globale Sperrliste von Microsoft Entra Password Protection steht reinen Cloud-Benutzern mit Microsoft Entra ID Free zur Verfügung. Die benutzerdefinierte Sperrliste erfordert Entra ID P1 oder P2. Für aus dem lokalen AD synchronisierte Benutzer sind für beide Listen P1 oder P2 nötig. P1 ist unter anderem in Microsoft 365 Business Premium, E3 und E5 enthalten. Die AD-Kennwortrichtlinien selbst sind Bestandteil von Windows Server. Stand: Oktober 2026.

Conclusion

Setze auf lange Passwörter, Sperrlisten und MFA und verabschiede Dich vom Zwangswechsel. Mittelfristig lohnt der Weg zu passwortlosen Verfahren.

Further reading

Related articles