NIST 800-63B-Passwortregeln: Moderne Passwortrichtlinien

Die Norm NIST 800-63B stellt einen Paradigmenwechsel in der Passwortsicherheit dar. Viele herkömmliche Anforderungen, wie die verpflichtende regelmäßige Änderung von Passwörtern oder komplexe Zeichenregeln, wurden als ineffektiv erkannt. Solche Praktiken führten häufig dazu, dass Nutzer unsichere, leicht merkbare oder wiederverwendete Passwörter wählten. Die neue Richtlinie setzt stattdessen auf Benutzerfreundlichkeit und echte Sicherheit, gemessen an der Entropie, und nicht an willkürlichen Komplexitätsregeln.

Ein zentraler Punkt der Empfehlungen ist die Nutzung von Passphrasen. Anstatt kurze, komplizierte Passwörter zu erzwingen, empfiehlt NIST 800-63B längere und gut merkbare Phrasen. Eine Passphrase wie „BlauerSternGrüneWiese2026“ ist sowohl lang als auch schwer vorherzusagen, wodurch Angriffe per Brute Force oder Wörterbuch stark erschwert werden. Diese Vorgehensweise erhöht die Entropie signifikant und bleibt gleichzeitig nutzerfreundlich.

Die Richtlinie fördert außerdem benutzerzentrierte Sicherheitsmaßnahmen. Nutzer sollen Passwörter wählen können, die sie sich merken können, ohne die Sicherheit zu gefährden. Dies reduziert Risiken wie systematische Passwort-Wiederverwendung oder das Notieren von Passwörtern auf unsicheren Medien. Ein ausgewogenes Maß an Freiheit innerhalb klarer Empfehlungen verbessert die langfristige Sicherheit.

Ein weiterer wichtiger Aspekt ist die Multi-Faktor-Authentifizierung (MFA) für Systeme mit hohem Risiko. Durch die Kombination verschiedener Faktoren – "etwas, das der Nutzer weiß", "etwas, das der Nutzer besitzt" oder "etwas, das der Nutzer ist" – wird die alleinige Abhängigkeit von Passwörtern vermieden, was die Systemsicherheit deutlich erhöht.

Darüber hinaus empfiehlt NIST 800-63B die Entfernung veralteter Komplexitätsanforderungen, das Abschaffen von erzwungenen Passwortänderungen sowie die Überprüfung gegen Listen häufig genutzter oder kompromittierter Passwörter. Diese Maßnahmen verbessern die Sicherheit, ohne die Benutzerfreundlichkeit zu beeinträchtigen.

Zusammenfassend modernisiert NIST 800-63B die Passwortpolitik, indem Passphrasen, Entropie und MFA betont werden, anstatt auf starre Komplexitätsregeln zu setzen. Organisationen, die diese Empfehlungen umsetzen, profitieren von einem optimalen Gleichgewicht zwischen hoher Sicherheit und Benutzerfreundlichkeit, während das Risiko von Datenkompromittierungen minimiert wird.