Die bekannteste Passwortregel ist in vielen Unternehmen zugleich die schlechteste: Alle 90 Tage muss ein neues Passwort her. Diese Vorgabe klingt nach Kontrolle, führt im Büroalltag aber häufig zu vorhersehbaren Varianten, Wiederverwendung und Notizzetteln unter der Tastatur. Für moderne Passwort Richtlinien in KMU ist deshalb nicht entscheidend, wie oft Mitarbeitende ein Passwort ändern, sondern ob Zugangsdaten lang, einzigartig, gesperrt gegen bekannte Leaks und durch MFA abgesichert sind.
Das BSI empfiehlt seit Anfang 2025 ausdrücklich, keine regelmäßigen, anlasslosen Passwortwechsel mehr zu erzwingen. Geändert werden soll bei einem konkreten Anlass, etwa bei einem Verdacht auf Kompromittierung. Gleichzeitig nennt das BSI klare Mindestwerte für sichere Passwörter, darunter mindestens 8 Zeichen und 4 Zeichenarten bei kurzen komplexen Passwörtern, mindestens 25 Zeichen bei langen Passwörtern und mindestens 20 Zeichen für WLAN-Schlüssel. (BSI-Empfehlungen zu sicheren Passwörtern)
Inhaltsverzeichnis
- Warum alte Passwortregeln heute nicht mehr tragen
- Was eine sichere Passwortrichtlinie 2026 wirklich verlangt
- Die drei Stellhebel für Akzeptanz im Arbeitsalltag
- Passwortrichtlinie in Active Directory und GPO umsetzen
- Passwort-Manager im KMU ausrollen ohne Chaos
- MFA als zweite Schicht sinnvoll kombinieren
- Passwortrichtlinie in 90 Tagen einführen
Warum alte Passwortregeln heute nicht mehr tragen
Ein Passwort, das alle 90 Tage geändert werden muss, wird nicht automatisch sicherer. In vielen KMU läuft der Wechsel nach einem bekannten Muster: Aus „Sommer2026!“ wird eine leicht veränderte Variante, später folgt der nächste saisonale Begriff. Die Regel erfüllt dann zwar formal die Vorgabe, schützt aber nicht zuverlässig gegen Wörterbuchangriffe oder erratbare Muster.
Der Grund liegt nicht in mangelnder Disziplin einzelner Mitarbeitender. Menschen brauchen Zugang zu E-Mail, Microsoft 365, ERP, VPN und Fachanwendungen. Wenn jedes System andere Wechselintervalle und Komplexitätsregeln verlangt, entsteht Reibung. Ohne Passwort-Manager landen Zugangsdaten dann in Excel-Listen, privaten Notizen oder wiederholten Varianten desselben Grundpassworts.
Praktische Regel: Ein stabiles, langes und einzigartiges Passwort ist meist sinnvoller als ein kurzes Passwort, das nur wegen eines Kalenders regelmäßig minimal verändert wird.
Reine Komplexitätsregeln lösen das Problem ebenfalls nicht. Ein achtstelliges Passwort mit Großbuchstaben, Zahl und Sonderzeichen kann trotzdem auf einem bekannten Wort, einem Firmennamen oder einem Jahresbezug beruhen. Angreifer testen solche Kombinationen automatisiert. Sonderzeichen sind kein Ersatz für Länge, Einzigartigkeit und zusätzliche Authentifizierungsfaktoren.
Die deutsche Nutzungslage zeigt, dass das Problem organisatorisch bleibt: Laut einer im BSI-Kontext zitierten Auswertung nutzen nur 44 % der Verbraucher starke Passwörter, während 56 % schwache oder wiederverwendete Passwörter verwenden. 2023 lag der Anteil starker Passwörter noch bei 53 %, also 9 Prozentpunkte höher. (Auswertung zur Passwortsicherheit in Deutschland)
Der BSI-Umstieg ist deshalb mehr als eine kleine Anpassung. Unternehmen sollten ihre Passwortrichtlinie von einem starren Wechselkalender auf ein risikobasiertes Modell umstellen. Bei kompromittierten Konten, verdächtigen Anmeldungen oder einem verlorenen Gerät wird sofort gehandelt. Ohne konkreten Anlass bleibt ein gutes Passwort bestehen.
Was eine sichere Passwortrichtlinie 2026 wirklich verlangt
Eine tragfähige Passwortrichtlinie braucht wenige, verständliche Mindestwerte. Zu viele Sonderregeln führen im Alltag zu Umgehungen. Getrennt geregelt werden sollten Standardkonten, privilegierte Konten und Wiederherstellungsprozesse.
Das BSI nennt für kurze komplexe Passwörter mindestens 8 Zeichen und 4 Zeichenarten. Für lange Passwörter empfiehlt es mindestens 25 Zeichen, für WLAN-Schlüssel mindestens 20 Zeichen. Die konkreten BSI-Mindestwerte sind im Einleitungsteil bereits verlinkt.
Im KMU sollte die lange Passphrase der Normalfall sein. Mehrere zufällige Wörter lassen sich meist leichter eingeben und merken als eine kurze Zeichenfolge mit vorhersehbaren Ersetzungen. Ungeeignet sind Begriffe aus dem Unternehmen, Namen von Personen und aktuelle Kalenderbezüge. Für Anwendungen ohne manuelle Eingabe erzeugt der Passwort-Manager lange, zufällige Zugangsdaten.
Mindestwerte mit klarer Zuständigkeit
| Kriterium | Alltagskonto | Admin-Konto |
|---|---|---|
| Bevorzugte Form | Lange, einzigartige Passphrase | Lange, einzigartige Passphrase |
| Mindestwert nach BSI-Basis | Mindestens 8 Zeichen und 4 Zeichenarten bei kurzer komplexer Variante, besser mindestens 25 Zeichen bei langer Passphrase | Mindestens 25 Zeichen als lange Passphrase |
| Wiederverwendung | Verboten | Striktes Verbot |
| Prüfung gegen bekannte Passwörter | Pflicht | Pflicht |
| Regelmäßiger Wechsel | Nicht anlasslos erzwingen | Nicht anlasslos erzwingen, bei Verdacht sofort ändern |
| Zusätzlicher Schutz | MFA | Phishing-resistentes MFA und kontrollierter Zugriff |
Eine Verbotsliste sollte kompromittierte Passwörter, häufige Begriffe, Unternehmensnamen, Benutzernamen und naheliegende Varianten abweisen. Sicherheitsfragen eignen sich nicht als Reset-Verfahren. Der Helpdesk prüft die Identität über einen festgelegten Prozess, bevor ein neues Geheimnis gesetzt wird.
Für privilegierte Konten gelten strengere Abläufe: Kein Admin-Reset ohne dokumentierte Identitätsprüfung und Vier-Augen-Prinzip. Die Richtlinie benennt außerdem die Meldestelle bei einem Kompromittierungsverdacht, das Beenden betroffener Sitzungen und die Untersuchung der Ursache. Ein Passwortwechsel beendet aktive Sitzungen nicht automatisch. Dafür braucht es einen eigenen Sperr- und Bereinigungsprozess.
Die drei Stellhebel für Akzeptanz im Arbeitsalltag
Schwache Passwörter entstehen selten, weil Beschäftigte Sicherheitsregeln grundsätzlich ablehnen. Meist fehlt eine praktikable Alternative. Wer sich Zugangsdaten für zahlreiche Dienste merken soll, wird irgendwann Abkürzungen wählen. Wer bei einem vergessenen Passwort keinen verlässlichen Notfallprozess kennt, sucht sich einen eigenen Weg.
Der erste Stellhebel ist deshalb ein zentraler Passwort-Manager. Excel-Dateien, private Browser-Notizen und gemeinsam genutzte Dokumente gehören ausdrücklich verboten. Die Richtlinie sollte nicht nur sagen, was untersagt ist, sondern den erlaubten Weg benennen: Zugangsdaten werden im freigegebenen Tresor gespeichert, persönliche Konten bleiben getrennt, und gemeinsame Logins erhalten definierte Besitzer sowie Berechtigungen.
Der zweite Stellhebel betrifft Mehrfachnutzung. Ein identisches Passwort für Microsoft 365, VPN und einen Lieferanten-Login ist ein unnötiges Klumpenrisiko. Der Manager erzeugt für jeden Dienst ein eigenes Passwort, während Mitarbeitende sich nur noch ein Master-Geheimnis und den zweiten Faktor merken müssen.
Der dritte Hebel ist ein klarer Notfallprozess. Ein Helpdesk braucht eine feste Identitätsprüfung, einen dokumentierten Reset und eine Regel für verlorene Geräte oder kompromittierte Konten. Sicherheitsfragen mit öffentlich auffindbaren Antworten sind dafür ungeeignet. Besser sind verifizierte Rückkanäle, Wiederherstellungscodes und ein zweiter autorisierter Ansprechpartner.
Was nicht funktioniert: Ein Verbot von Passwort-Wiederverwendung ohne Manager, Schulung und Reset-Workflow verlagert das Problem nur. Mitarbeitende umgehen die Regel dann, statt sie sicher umzusetzen.
Technik und Verhalten müssen zusammenpassen. Eine Phishing-Simulation für Mitarbeitende kann dabei helfen, den Zusammenhang zwischen gestohlenen Zugangsdaten, MFA und dem eigenen Arbeitsalltag verständlich zu machen.
Ein Passwort-Manager ersetzt die Sensibilisierung nicht. Er nimmt aber den häufigsten Grund für riskante Abkürzungen aus dem Prozess, nämlich die Notwendigkeit, viele unterschiedliche Zugangsdaten auswendig zu lernen.
Passwortrichtlinie in Active Directory und GPO umsetzen
In einer Active-Directory-Umgebung reicht es nicht, einen Absatz im Sicherheitskonzept zu formulieren. Die Werte müssen an der richtigen Stelle technisch erzwungen, privilegierte Konten separat behandelt und das Ergebnis regelmäßig geprüft werden. Für unterschiedliche Kontengruppen eignen sich Fine-Grained Password Policies, kurz FGPP oder PSO.
Die Grundstruktur kann aus zwei getrennten Richtlinien bestehen. Standardkonten erhalten eine alltagstaugliche Policy mit mindestens 12 Zeichen, 3 Komplexitätsklassen und einer Kontosperrung nach 10 Fehlversuchen. Domain-Admins erhalten eine strengere Policy mit mindestens 16 Zeichen, 4 Zeichenklassen und einer Sperrung nach 5 Fehlversuchen. Diese konkreten Umsetzungswerte stammen aus der vorgesehenen technischen Zielkonfiguration, während die BSI-Mindestwerte als Baseline dienen.
Zwei PSO-Objekte statt einer pauschalen Regel
Legen Sie die Richtlinien nicht einzeln an jedem Benutzerkonto an. Erstellen Sie zwei PSO-Objekte und weisen Sie diese an Sicherheitsgruppen zu. Damit bleibt nachvollziehbar, wer welche Regel erhält, und neue Konten erben die passende Konfiguration automatisch.
Die Umsetzung erfolgt über die Active-Directory-Verwaltung, ADSI-Edit oder PowerShell mit New-ADFineGrainedPasswordPolicy. Entscheidend sind dabei:
- Standard-User: Mindestlänge 12, 3 Komplexitätsklassen, Sperrschwelle nach 10 Fehlversuchen.
- Domain-Admins: Mindestlänge 16, 4 Komplexitätsklassen, Sperrschwelle nach 5 Fehlversuchen.
- Gruppenzuweisung: PSO an Sicherheitsgruppen binden, nicht an einzelne Konten.
- Passwortwechsel: Keine anlasslose Rotation erzwingen, Kompromittierung und Notfallprozesse separat behandeln.
Die Default Domain Policy bleibt relevant für die allgemeine Domänenkonfiguration. Eine FGPP gilt gezielter für bestimmte Benutzer oder Gruppen und muss in der resultierenden Richtlinie korrekt aufgelöst werden. Prüfen Sie deshalb nicht nur die Einstellungen im Gruppenrichtlinien-Editor, sondern das Ergebnis am Konto.
GPO-Werte für Standard- und Admin-Konten
| Einstellung | Standard-User | Domain-Admins |
|---|---|---|
| Mindestlänge | 12 Zeichen | 16 Zeichen |
| Komplexitätsklassen | 3 | 4 |
| Sperrschwelle | 10 Fehlversuche | 5 Fehlversuche |
| Anlassloser Wechsel | Deaktiviert | Deaktiviert |
| MFA | Verbindlich für zentrale Zugänge | Phishing-resistent und verbindlich |
| Zuweisung | Sicherheitsgruppe | Sicherheitsgruppe |
Für die ergänzende GPO finden Sie die Kontorichtlinien unter Computer Configuration, Windows Settings, Security Settings, Account Policies. Weitere Härtungen, etwa für NTLM-Schwellen und Kerberos mit AES-only, gehören in die übergreifende Authentifizierungsstrategie. Sie sollten nicht blind produktiv geschaltet werden, weil ältere Anwendungen und Geräte dadurch ausfallen können. Testen Sie zuerst mit einer Pilotgruppe und dokumentieren Sie Ausnahmen mit einem Ablaufdatum.
Die Prüfung erfolgt beispielsweise mit Get-ADUserResultantPasswordPolicy. Zusätzlich gehören fehlgeschlagene Anmeldungen, privilegierte Gruppenmitgliedschaften und Ausnahmen in die regelmäßige Audit-Auswertung. Microsoft-365- und Cloud-Geräte lassen sich nicht vollständig über klassische Domänen-GPOs steuern. Für diese Endpunkte braucht es ergänzende Gerätekonfigurationen, etwa über Microsoft Intune.
Passwort-Manager im KMU ausrollen ohne Chaos
Ein Passwort-Manager scheitert selten an der Verschlüsselung. Er scheitert an fehlenden Zuständigkeiten, falsch geplanten Ordnern und einem Rollout, der den Mitarbeitenden nur einen Link und eine Pflichtmail hinterlässt. Die Einführung sollte deshalb als kontrolliertes IT-Projekt behandelt werden.
Phase eins mit sauberer Auswahl
Vergleichen Sie zunächst Bitwarden Teams, 1Password Business und eine lokal oder selbstverwaltet betriebene Lösung wie KeePass XC Enterprise. Prüfen Sie dabei nicht nur die Oberfläche, sondern Datenstandort, Hosting-Modell, SSO-Anbindung, Wiederherstellung, Rollenmodell, Audit-Funktionen und Lizenzstruktur.
Eine Cloud-Lösung erleichtert Synchronisation und zentrale Verwaltung. Eine lokale Lösung kann den Kontrollbedarf erhöhen, verlangt aber ein belastbares Backup- und Berechtigungskonzept. Die richtige Wahl hängt davon ab, welche Anwendungen geschützt werden, ob zentrale Identitäten bereits vorhanden sind und wer den Tresor im Notfall betreibt.
Pilotieren, migrieren, verteilen
Starten Sie mit einer kleinen Gruppe aus IT und Vertrieb. Dort treffen technische Sonderfälle, viele Webdienste und unterschiedliche Arbeitsweisen aufeinander. Testen Sie Browser-Erweiterungen, mobile Nutzung, Importregeln, gemeinsame Logins und die Wiederherstellung eines gesperrten Kontos, bevor die gesamte Belegschaft folgt.
Danach werden bestehende Zugangsdaten kontrolliert per CSV importiert, bereinigt und in eine verständliche Ordnerstruktur überführt. Für die automatische Benutzerbereitstellung kommen je nach Produkt Active-Directory-Synchronisation oder SCIM infrage. Abteilungsordner brauchen klare Besitzer, Leserechte und Änderungsrechte. Ein gemeinsamer Login darf nicht zum anonymen Dauerzugang werden.
Notfall und Offboarding von Anfang an
Der Notfallzugriff gehört ins Handbuch, nicht in den Kopf einer einzelnen Person. Legen Sie die Zuständigkeit bei zwei getrennten Rollen, beispielsweise Geschäftsführung und IT-Leitung, und schützen Sie den Zugriff mit eigenen Freigaben. Master-Passwörter dürfen nicht gemeinsam in einer unverschlüsselten Datei liegen.
Planen Sie außerdem den Offboarding-Prozess: Zugriff entziehen, persönliche Tresore sperren, gemeinsam genutzte Zugangsdaten prüfen und Besitzer von Abteilungsordnern nachbesetzen. Browser-Erweiterungen können sich nach Updates deaktivieren. Deshalb muss der Support wissen, wie die Erweiterung verteilt, geprüft und bei Bedarf erneut aktiviert wird.
Schulung ist kein Zusatztermin. Mitarbeitende müssen den Unterschied zwischen persönlichem Tresor, Teamordner und geteiltem Login verstehen. Erst wenn der Manager schneller und einfacher ist als die bisherige Improvisation, wird er im Alltag dauerhaft genutzt.
MFA als zweite Schicht sinnvoll kombinieren
MFA sollte nicht nach dem Gießkannenprinzip eingeführt werden. Standardanwendungen brauchen einen akzeptierten Schutz, Cloud-Administratoren einen stärkeren Faktor und Tier-0-Konten einen phishing-resistenten Zugriff mit möglichst kurzer Berechtigungsdauer.
Für E-Mail, CRM und Wiki eignet sich TOTP über eine Authenticator-App oder ein Hardware-Token. Für Microsoft-365-, Azure- oder andere Cloud-Administrationskonsolen sind FIDO2-Sicherheitsschlüssel eine bessere Wahl. Privilegierte Konten sollten zusätzlich nur bei Bedarf erhöhte Rechte erhalten, statt dauerhaft mit maximalen Berechtigungen zu arbeiten.
Verfahren nach Risiko bewerten
| Verfahren | Sicherheitsniveau | Akzeptanz | Kosten pro User/Jahr |
|---|---|---|---|
| SMS | Niedrig, anfällig für SIM-Swapping | Hoch, weil vertraut | Abhängig vom Anbieter |
| Push-App | Mittel, bei Number-Matching besser | Hoch | Abhängig von der Plattform |
| TOTP-App | Solide, abhängig vom Schutz des Geräts | Mittel | Meist in Plattform oder Lizenz enthalten |
| FIDO2-Schlüssel | Hoch und phishing-resistent | Mittel nach kurzer Eingewöhnung | Geräte- und Lizenzkosten |
SMS sollte für geschäftskritische Zugänge ausgeschlossen werden. Das Verfahren ist durch SIM-Swapping und Risiken in der Signalisierung angreifbarer. Push-Anfragen dürfen nicht einfach mit einem Tippen bestätigt werden. Aktivieren Sie Number-Matching und kombinieren Sie das mit Risikoerkennung, damit eine ungewöhnliche Anmeldung zusätzliche Prüfung verlangt.
Eine sinnvolle Stufenlogik sieht so aus:
- Stufe 1: TOTP oder Hardware-Token für Standardanwendungen.
- Stufe 2: FIDO2 für Cloud-Administratoren und Remote-Zugänge.
- Stufe 3: Phishing-resistenter Faktor, getrennte Admin-Identität und zeitlich begrenzte Rechte für besonders privilegierte Konten.
MFA macht ein Passwort nicht unwichtig. Es reduziert aber den Schaden, wenn Zugangsdaten durch Phishing oder einen Drittanbieter-Vorfall bekannt werden. Die Kombination aus langen, einzigartigen Passwörtern, Passwort-Manager und MFA trägt deutlich besser als ein isolierter Passwortwechsel.
Die Entwicklung von klassischen Passwörtern hin zu Passkeys verändert diese Architektur weiter. Eine verständliche Einordnung liefert der Beitrag zur Evolution der Authentifizierung von Passwörtern zu Passkeys.
Passwortrichtlinie in 90 Tagen einführen
Ein KMU braucht keinen monatelangen Grundsatzprozess, um die größten Schwachstellen zu beseitigen. Es braucht einen klaren Auftrag, eine verantwortliche Person und eine Reihenfolge, die den Betrieb nicht unnötig gefährdet. Die IT-Leitung führt die Umsetzung, die Geschäftsführung ist Policy-Eigner und entscheidet über akzeptierte Risiken sowie Ausnahmen.
Tage 1 bis 30 mit Inventur und Definition
Beginnen Sie mit einer vollständigen Kontenübersicht. Erfasst werden normale Benutzer, Admin-Konten, Dienstkonten, VPN-Zugänge, Microsoft 365, externe Portale und gemeinsam genutzte Logins. Nicht mehr benötigte Konten werden deaktiviert, privilegierte Konten erhalten eigene Verantwortliche.
Parallel verabschieden Sie die neue Richtlinie. Sie enthält Mindestlängen, Verbotslisten, MFA-Stufen, Reset-Prozess, Notfallzugriff und Regeln für Ausnahmen. In dieser Phase fällt auch die Entscheidung für den Passwort-Manager. Für die Projektplanung kann ein strukturierter Leitfaden zum Schritt-für-Schritt Rollout planen helfen, Zuständigkeiten und Kommunikationspunkte sauber zu ordnen.
Quick Wins ab dem ersten Tag:
- 90-Tage-Zwang beenden: Für Standardkonten den anlasslosen Wechsel deaktivieren, sofern die technische Umgebung und die Risikobewertung das zulassen.
- Schwache Passwörter blockieren: Die vorhandene Verbotsliste im Active Directory gegen häufige und kompromittierte Begriffe ausbauen.
- MFA priorisieren: Microsoft 365 und VPN zuerst absichern, bevor weniger kritische Anwendungen folgen.
Tage 31 bis 60 mit technischer Umsetzung
Jetzt werden FGPP und GPO eingerichtet, Admin-Konten gehärtet und die MFA-Stufen technisch ausgerollt. Die Pilotgruppe erhält den Passwort-Manager, importiert Zugangsdaten und meldet Probleme zurück. Testen Sie dabei auch den Helpdesk-Prozess, denn ein sauberer Login ist nur die halbe Strecke. Entscheidend ist, ob ein gesperrtes Konto sicher und zügig wiederhergestellt werden kann.
Der Notfallzugriff wird dokumentiert und praktisch geprüft. Prüfen Sie außerdem, ob Dienstkonten, alte Anwendungen oder Netzwerkgeräte die neuen Anforderungen vertragen. Jede Ausnahme braucht einen Besitzer, eine Begründung und einen Termin zur erneuten Bewertung.
Tage 61 bis 90 mit Launch und Nachsteuerung
Nach dem Pilotbetrieb folgt die Ausweitung auf alle Mitarbeitenden. Key-User übernehmen die erste Unterstützung in den Abteilungen, während der IT-Service wiederkehrende Fragen sammelt und die Anleitung nachschärft. Schulen Sie nicht nur die Bedienung des Managers, sondern auch das Melden verdächtiger Anmeldungen, verlorener Geräte und Phishing-Versuche.
Die Akzeptanz lässt sich über Login-Fehlerraten, Helpdesk-Anfragen und die Zahl der erfolgreich eingerichteten MFA-Konten beobachten. Diese Werte sind keine vollständige Sicherheitsmessung, zeigen aber, wo der Prozess noch hakt. Nach dem Launch werden Richtlinie, Ausnahmen, Kontenbestand und Notfallzugriff in einem festen Prüfzyklus kontrolliert.
Checkliste für Verantwortliche
- Geschäftsführung: Policy-Eigner benannt und Risikogrenzen freigegeben.
- IT-Leitung: Konten, Dienstkonten und privilegierte Gruppen inventarisiert.
- Active-Directory-Administration: FGPP und GPO getestet sowie dokumentiert.
- Security-Verantwortliche: MFA-Stufen, Verbotslisten und Incident-Pfad festgelegt.
- Projektleitung: Passwort-Manager ausgewählt, Pilot durchgeführt und Migration geplant.
- Helpdesk: Identitätsprüfung, Reset und Offboarding als Arbeitsanweisung hinterlegt.
- Key-User: Schulung absolviert und Rückmeldungen aus den Abteilungen gesammelt.
- Geschäftsführung und IT-Leitung: Notfallzugriff gemeinsam geprüft und regelmäßig kontrolliert.
GSL Groß GmbH unterstützt KMU bei der Überarbeitung ihrer Passwortrichtlinien, der Umsetzung in Active Directory und Microsoft 365 sowie beim Passwort-Manager- und MFA-Rollout. Wenn Sie die veraltete 90-Tage-Regel ablösen und eine praktikable Sicherheitsarchitektur aufbauen möchten, besuchen Sie GSL Groß GmbH und vereinbaren Sie eine konkrete Bestandsaufnahme.