Eine Passwortrichtlinie 2.0 setzt klare, überprüfbare Regeln für Identifikation und Authentifizierung und verbindet technische mit organisatorischen Maßnahmen. Ihr Ziel: unbefugten Zugriff auf personenbezogene Daten und IT-Systeme zuverlässig verhindern – bei hoher Alltagstauglichkeit. In der Praxis bleibt das Passwort trotz biometrischer Verfahren und Smartcards die verbreitetste Anmeldeform. 

Deshalb gehören Zwei-Faktor-Authentifizierung (2FA), sichere Vergabeprozesse, belastbare Sperr- und Protokolliermechanismen sowie eine durchgängige Governance fest zur modernen Umgebung. Der Geltungsbereich umfasst alle Systeme mit personenbezogenen oder geschäftskritischen Informationen, inklusive Cloud-Dienste (z. B. Microsoft, Google, SAP), Administrator- sowie Dienst- und Service-Accounts. 

Verboten sind Sammel- oder Gruppenpasswörter; individuelle Kennungen sind Pflicht. Passwörter werden ausschließlich verschlüsselt (gehashte Werte mit Salt) gespeichert, nie im Klartext angezeigt und bei Verdacht auf Missbrauch sofort gewechselt. Die Richtlinie schafft Verantwortlichkeiten, messbare Ergebnisse und eine belastbare Dokumentationsbasis für Audits.

Warum jetzt: Bedrohungslage und Compliance

Organisationen sind täglich Angriffen ausgesetzt – von Brute-Force und Phishing bis zu Credential-Theft. Schwachstellen entstehen weniger durch fehlende Technik als durch fehlende Verbindlichkeit: uneinheitliche Vergabe, unsichere Erstpasswörter, unzureichende Protokollierung, unklare Zuständigkeiten. 

Eine robuste Passwortrichtlinie bündelt Regeln und Abläufe zu einem Standard und stärkt so die Zugriffskontrolle. Art. 32 DSGVO verlangt „angemessene“ technische und organisatorische Maßnahmen (TOMs), die Vertraulichkeit, Integrität und Verfügbarkeit schützen – dazu zählen starke Passwörter, geregelte Vergabe- und Zurücksetzprozesse, 2FA sowie Schutz gegen automatisierte Angriffe. 

Ohne verbindliche Policy bleiben Lücken bei Dokumentation und Nachweisführung gegenüber Prüfern und Geschäftspartnern. Zugleich schärft NIS2 die Erwartungen an Unternehmen und ihre Lieferketten: Wer mit kritischen oder wichtigen Einrichtungen arbeitet, muss nachvollziehbare Standards vorweisen.

DSGVO Art. 32 und NIS2: Was konkret verlangt wird

Art. 32 DSGVO gibt kein starres Rezept vor, verlangt aber ein risikoadäquates Schutzniveau: starke Passwörter, Geheimhaltung, verschlüsselte Speicherung, Protokollierung von Fehlversuchen, Sperrmechanismen und das rasche Ändern voreingestellter Herstellerpasswörter. 

NIS2 erweitert den Kreis betroffener Sektoren (u. a. Energie, Verkehr, Wasser, Gesundheit, digitale Anbieter, Forschung) und wirkt in die Lieferkette hinein: vertragliche Vorgaben, Audits und Nachweise sorgen für ein durchgängiges Sicherheitsniveau. 

In der Praxis setzen viele Organisationen für privilegierte Konten Mindestlängen von 14 Zeichen durch; für Standardkonten sind 10–12 Zeichen üblich – jeweils ergänzt um 2FA. Entscheidend ist die Kombination aus Länge, Qualitätssicherung (Komplexitäts-/Blacklist-Prüfung), Wiederverwendungs-Sperre, gesicherter Erstverteilung und lückenloser Protokollierung.

Passkeys (FIDO2/WebAuthn): Phishing-resistente Anmeldung sinnvoll integrieren

Passkeys ersetzen Passwörter mit kryptografischen Schlüsselpaaren, die per FIDO2/WebAuthn am Gerät gesichert sind. Vorteile: phishing-resistent, kein Wiederverwendungs- oder Brute-Force-Risiko, nutzerfreundlich (Biometrie/PIN am Gerät). Die Richtlinie 2.0 sollte Passkeys dort bevorzugt vorsehen, wo Plattform- oder Roaming-Security-Keys verfügbar sind (z. B. für Admin-Zugänge, Remote-Zugriffe, Cloud-Accounts). Wichtig:

• Enrollment-Regeln (zwei unabhängige Passkeys/Keys, Wiederherstellungsoptionen, Geräteverlust-Prozess).
  
• Fallback-Pfad (Passwort + 2FA) nur, wenn Passkeys temporär nicht nutzbar sind; strengere Step-Up-Anforderungen für sensible Aktionen.
  
• Richtlinienklarheit: Wo passwortlos, wo „password-plus-2FA“, wo „Passkey-only“.
  So bleibt die Policy zukunftsfähig und reduziert Passwortangriffsflächen messbar.
  

Umsetzung mit NIST CSF 2.0: Rollen, Prozesse, Kontrollen

Das NIST Cybersecurity Framework (CSF) 2.0 verankert die Richtlinie im Sicherheitsprogramm:

• Govern: Verantwortlichkeiten, Budgets, Ziele, Kennzahlen; Ausnahme- und Freigabeprozesse (inkl. Passkey-Einführung).
  
• Identify: Transparenz über Konten, Systeme, Schatten-IT und veraltete Plattformen; Sicht auf Admin- und Service-Accounts.
  
• Protect: Mindestlängen (z. B. 14 Zeichen für privilegierte Konten), 2FA/MFA, Passkeys bevorzugen, sichere Speicherverfahren (Argon2id/bcrypt mit Salt), Verbot von Standardpasswörtern, Passwort-Manager für lange zufällige Kennwörter, Least-Privilege.
  
• Detect: Protokollierung und Alarme (Fehlversuche, unmögliche Reisen, Massen-Resets, gescheiterte 2FA/Passkey-Challenges) im SIEM korrelieren.
  
• Respond: Abläufe bei kompromittierten Zugängen – Sofort-Reset/Sperre, Forensik, Benachrichtigung.
  
• Recover: getestete Backups, Rollback-Verfahren, Lessons Learned.
  

Praxisleitfaden: Von der Bestandsaufnahme bis zum Audit

1. Reifegrad erfassen: Welche Systeme/Konten existieren? Wo gelten welche Mindestlängen? Wo ist 2FA aktiv? Welche Default-Passwörter existieren noch? Wie werden Passwörter gespeichert/protokolliert? Wo sind Passkeys bereits möglich?
   
2. Zielbild definieren: 14 Zeichen für privilegierte & kritische Konten; 2FA/MFA unternehmensweit (mindestens für Admins, Remote, Cloud); Verbot von Wiederverwendung (z. B. letzte fünf Generationen); risikobasierte Rotation; Passkeys als Standard für hochkritische Zugriffe.
   
3. Technisch umsetzen (IAM): Qualitätsschecks gegen bekannte Leaks, gesperrte Wörterlisten, progressive Lockouts & IP-Throttling, sichere Erstpasswortvergabe über getrennte Kanäle mit erzwungener Änderung; WebAuthn/Passkey-Support aktivieren (Policy, Enrollment, Recovery); Service-Secrets in einen Tresor (z. B. Vault/Key Vault); Admin-Zugriffe mit MFA/Passkeys, Just-in-Time-Freigaben, Session-Logging.
   
4. Organisatorisch verankern: Schulungen (Phishing, Merksatz-Methode, Manager-Nutzung, Passkey-Handling), klare Rollen (Helpdesk-Recovery, Second-Factor-Ausgabe), Kommunikationsplan.
   
5. Audit & Verbesserung: Regelmäßige Prüfungen von Längen, Lockouts, Protokollierung, Entfernung von Hersteller-Defaults; Abweichungen mit Maßnahmenplan; Ausnahmen befristet und risikobegründet; vierteljährliche Reviews und Vorfallübungen.
   

Fazit

Die Passwortrichtlinie 2.0 verbindet starke Passwörter dort, wo nötig, mit Passkeys dort, wo möglich – ergänzt um 2FA, sichere Prozesse und klare Governance. So entstehen nachweisbar wirksame Kontrollen, die DSGVO/NIS2-Anforderungen erfüllen, Angriffsflächen reduzieren und den Alltag vereinfachen.