Die Rolle von Passwörtern bei Cyberangriffen

Erfolgreiche Angriffe und Datenlecks erhalten zunehmend Aufmerksamkeit in der Öffentlichkeit und führen zu Image- und Vertrauensverlusten bei Kunden und Partnern. Gleichzeitig sorgen diese für einen immer größeren wirtschaftlichen und finanziellen Schaden. Begünstigt werden die Angriffe durch die digitale Transformation in Unternehmen, die immer wieder Angriffsstellen bietet. Tagtäglich sehen sich diese daher mit hunderten bis tausenden Angriffen über Brute Force, Password Spraying oder Password Dictionary Attacks konfrontiert. Dabei kann ein kompromittiertes Kennwort im Active Directory Tür und Tor zu den Unternehmensdaten öffnen!
Sind die Angriffe erfolgreich, können die Folgen vielfältig und schwerwiegend sein: Vom Abfluss personenbezogener Daten, die jedes Unternehmen erhebt und deren Schutz gesetzlich geregelt ist, über den Diebstahl interner Daten beispielsweise aus der Forschungs- und Entwicklungsabteilung, bis hin zum Totalausfall der Produktion oder dem Entzug von Kapital durch CEO Fraud. Auch in der Schweiz sind Cyberangriffe zu einer ernsthaften Bedrohung der Sicherheit und Wirtschaft geworden. Das Schweizer Nationale Zentrum für Cybersicherheit (NCSC) erhält im Durchschnitt wöchentlich über 300 freiwillige Meldungen zu erfolgreichen oder versuchten Cyberattacken.
Doch wie erlangen Cyberkriminelle Zugang und wie können sich Unternehmen dagegen schützen? Die schlechte Nachricht: es gibt keinen 100% Schutz vor solchen Angriffen. Aber eines ist sicher: Die Out-of-the-Box Einstellungen sind schon lange nicht mehr ausreichend, um aktuelle Empfehlungen von Behörden zum Thema Passwortrichtlinien umzusetzen. 

Dreh- und Angelpunkt ist ein starkes Passwort
Angriffspunkt Nummer eins sind nach wie vor die Mitarbeiter bzw. die von ihnen verwendeten schwachen Passwörter. Was also dagegen tun? Die Nutzung von Passwörtern, auch wenn sie lange totgesagt, ist immer noch die häufigste Methode, um sich im Netzwerk zu authentifizieren. Sofern ausreichend starke Passwörter verwendet werden, ist diese Methode Stand heute immer noch effektiv und sicher. Durch den Faktor Mensch kann dies zugleich aber auch zu einer Schwachstelle innerhalb der IT- Sicherheitskette werden, wenn schwache oder kompromittierte Passwörter zum Einsatz kommen. Vor diesem Hintergrund gilt es im ersten Schritt für den IT-Sicherheitsbeauftragten zu überprüfen, ob die dokumentierten Anforderungen an Passwortsicherheit als Bestandteil des eingesetzten ISMS (Information Security Management System), den aktualisierten Empfehlungen des NCSCs bzw. des Informationssicherheitsgesetz (ISG), das auf international anerkannten Standards, insbesondere ISO 27001 und NIST: National Institute of Standards and Technology, basiert, Rechnung tragen. 

Mit Specops Software zu mehr Passwortsicherheit
Zunächst ist es maßgebend eine Bestandsaufnahme, der im Unternehmen verwendeten Passwörter aufzustellen. Für dieses Passwort-Sicherheits-Assessment hilft der Specops Password Auditor. Die Software analysiert die Benutzerkonten im Active Directory auf Schwachstellen im Zusammenhang mit Passwörtern, indem sie die Hash-Werte von Kennwörtern der Benutzerkonten scannt und gegen eine Datenbank, eine sogenannte Blacklist, mit kompromittierten Passwörtern abgleicht. Die Offline-Datenbank umfasst mehr als 1 Milliarde Passwörter, die in der Vergangenheit bereits durch Datendiebstahl bekannt geworden sind. Die gesammelten Informationen und weitere passwortrelevante Schwachstellen werden anschließend in einem Audit-Bericht ausgegeben und ermöglichen es Unternehmen, die Sicherheitsrisiken, die sich aus der Verwendung der eingesetzten Passwortrichtlinien ergeben, zu bewerten. 
Im Anschluss geht es darum technische und organisatorische Maßnahmen zu implementieren, die den Einsatz starker Passwörter im Idealfall unternehmensweit garantieren. Um die Stärke dieser zu gewährleisten ist es wichtig, möglichst lange Passwörter zu nutzen. Denn wo in den vergangenen Jahren beispielsweise eine Kennwortlänge mit mindestens acht Zeichen und hoher Komplexität empfohlen wurde, ist heute klar, dass man damit keine starken Passwörter mehr bilden kann. Im Gegenteil: starke Passwörter müssen heutzutage in erster Linie lang sein, dafür aber nicht mehr zwingend komplex. Eine einfache und effektive Methode ist es, Passphrasen zur Generierung starker Kennwörter zu verwenden. 
Die Durchsetzung dieser Richtlinie kann durch den Einsatz von Specops Password Policy für das Active Directory sichergestellt werden. Specops Password Policy unterstützt Nutzer dabei Passphrasen, d. h. Kennwörter, die lang, aber dafür weniger komplex sind, zu erstellen, an die sich Nutzer dann auch leicht erinnern können. Darüber hinaus ermöglicht Ihnen das Tool weitere moderne Passwortrichtlinien, die zur Verbesserung der Passwortsicherheit beitragen, auf Gruppenebene umzusetzen. 

Häufige Passwortwechsel =/= Sicher
Doch wie oft sollten Mitarbeiter aufgefordert werden ihr Passwort zu ändern? Manche Behörden sind der Ansicht, dass die Notwendigkeit die Passwörter regelmäßig zu ändern wegfällt, wenn starke Passwörter verwendet werden, es sei denn diese sind kompromittiert. Denn zu häufige Passwortwechsel verleiten Benutzer dazu, in Muster bei der Passwortvergabe zu verfallen, die leicht erraten werden können. Die Empfehlung von Specops Software ist es daher, die Passwörter einmal pro Jahr zu ändern. 

Zusammenfassung
Die Durchsetzung von starken Passwörtern ist in einer sich zunehmend dezentral organisierten Unternehmenswelt, in der sich IT und OT mehr und mehr vernetzen, unerlässlich geworden. Der Einsatz von Specops Password Policy hilft Organisationen dabei, regulatorische Anforderungen gemäß dem ISG zu erfüllen und die Schutzziele Vertraulichkeit, Verfügbarkeit, Integrität besser zu erreichen. Benutzern wird es zudem ermöglicht mit Hilfe von dynamischen Feedback bei der Kennworterstellung, starke Passwörter zu erstellen, die in Echtzeit auf Kompromittierung durch das Tool überprüft werden.

Weitere Informationen: www.specopssoft.com