Viele Unternehmen verlangen noch, dass Mitarbeitende ihr Passwort alle 90 Tage ändern. Die Regel klingt nach Kontrolle, hat aber Nebenwirkungen. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) und das US-Standardisierungsinstitut NIST raten heute davon ab, Passwörter rein nach Zeitplan zu wechseln. Wichtiger sind lange, einzigartige Passwörter, eine Sperrliste gegen bekannte Passwörter und ein zweiter Anmeldefaktor.
Eine Passwort-Richtlinie ist die verbindliche Vorgabe, wie Passwörter aussehen, wie sie verwaltet und wann sie geändert werden. Dieser Beitrag zeigt, was sie in kleinen und mittleren Unternehmen regeln sollte und wie Sie sie in Active Directory und Microsoft 365 umsetzen.
Warum der Wechsel alle 90 Tage ausgedient hat
Wer ohne Anlass ein neues Passwort wählen muss, ist versucht, nur wenig am alten zu ändern. Ein typisches Muster: Aus „Sommer2026!“ wird „Herbst2026!“. Solche Varianten sind naheliegend und damit leichter zu erraten.
Die Richtlinie NIST SP 800-63B zu digitalen Identitäten, aktuelle Fassung vom Juli 2025, legt fest, dass Systeme keinen regelmäßigen Passwortwechsel verlangen dürfen. Einen Wechsel verlangt sie, wenn es Hinweise gibt, dass ein Passwort kompromittiert ist, also in fremde Hände gelangt sein könnte.
Das BSI beschreibt die Anforderungen für Unternehmen und Behörden im IT-Grundschutz-Kompendium, Baustein ORP.4 „Identitäts- und Berechtigungsmanagement“. Danach sollen IT-Systeme nur mit einem triftigen Grund zum Passwortwechsel auffordern, rein zeitgesteuerte Wechsel sollen vermieden werden. Ein Passwort muss gewechselt werden, wenn Unbefugte es kennen oder der Verdacht dazu besteht. Zugleich verlangt der Baustein Maßnahmen, um kompromittierte Passwörter zu erkennen. Ist das nicht möglich, soll geprüft werden, ob Passwörter doch in gewissen Abständen gewechselt werden. Konkrete Hinweise zu Länge und Aufbau gibt das BSI auf seiner Seite Sichere Passwörter erstellen.
Was eine Passwort-Richtlinie heute regeln sollte
Eine gute Richtlinie kommt mit wenigen, verständlichen Regeln aus. Zu viele Sonderfälle laden zum Umgehen ein. Regeln Sie normale Benutzerkonten, Administratorkonten und das Zurücksetzen vergessener Passwörter getrennt.
Länge geht vor Komplexität
Das BSI nennt zwei Wege zu einem sicheren Passwort. Entweder ein kurzes, komplexes Passwort mit mindestens acht Zeichen aus vier Zeichenarten: Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen. Oder ein langes, weniger komplexes Passwort mit mindestens 25 Zeichen.
NIST verlangt mindestens 15 Zeichen, wenn das Passwort der einzige Anmeldefaktor ist. Wird es nur zusammen mit einem zweiten Faktor genutzt, sind kürzere Passwörter erlaubt, aber mindestens 8 Zeichen. Systeme sollen Passwörter mit mindestens 64 Zeichen zulassen. Feste Vorgaben zur Zusammensetzung, etwa „mindestens ein Sonderzeichen“, dürfen sie nicht machen.
Für den Alltag empfehlen wir lange Passphrasen. Das sind mehrere zufällig gewählte Wörter, die sich leichter merken und eintippen lassen als eine kurze Zeichenfolge. Ungeeignet sind Firmennamen, Namen von Personen und Bezüge zum aktuellen Jahr.
Bekannte Passwörter sperren
NIST verlangt, neue Passwörter mit einer Liste häufig genutzter, naheliegender oder bereits kompromittierter Passwörter abzugleichen. Steht ein Passwort auf der Liste, wird es abgelehnt. Ergänzen Sie die Liste um Begriffe aus Ihrem Unternehmen, etwa den Firmennamen, Produktnamen oder den Ort.
Jedes Passwort nur einmal
Wer dasselbe Passwort für Microsoft 365, den VPN-Zugang (verschlüsselter Fernzugang ins Firmennetz) und ein Lieferantenportal nutzt, macht ein Datenleck bei einem Dienst zum Problem für alle. Die Richtlinie sollte die Wiederverwendung untersagen und zugleich den erlaubten Weg nennen: einen freigegebenen Passwort-Manager.
Wechsel nur bei Anlass, dann aber sofort
Legen Sie fest, wann ein Passwort geändert werden muss. Typische Anlässe sind:
- der Verdacht, dass Zugangsdaten auf einer gefälschten Anmeldeseite eingegeben wurden,
- ein Hinweis, dass ein Dienst Zugangsdaten verloren hat,
- auffällige Anmeldungen, etwa aus ungewohnten Ländern,
- ein verlorenes oder gestohlenes Gerät,
- das Ausscheiden einer Person, die ein gemeinsam genutztes Konto kannte.
Ein neues Passwort allein reicht dabei nicht immer. Prüfen Sie, ob angemeldete Sitzungen beendet, Geräte abgemeldet und Weiterleitungsregeln im Postfach kontrolliert werden müssen.
Sicher zurücksetzen
Sicherheitsfragen wie „Name des ersten Haustiers“ eignen sich nicht zur Wiederherstellung, weil sich die Antworten oft herausfinden lassen. NIST schließt solche wissensbasierten Fragen aus. Legen Sie stattdessen fest, wie der Helpdesk die Identität prüft, bevor er ein Passwort zurücksetzt, zum Beispiel per Rückruf an eine hinterlegte Nummer. Für Administratorkonten empfehlen wir zusätzlich das Vier-Augen-Prinzip.
Unsere Empfehlung: Ausgangswerte für Ihre Richtlinie
Die Tabelle fasst unsere Empfehlung zusammen. Die Werte sind keine Vorgabe von BSI oder NIST. Passen Sie sie an Ihre Systeme und Ihre Risikobewertung an.
| Regel | Benutzerkonto | Administratorkonto |
|---|---|---|
| Mindestlänge | 15 Zeichen, besser eine Passphrase | 25 Zeichen, erzeugt im Passwort-Manager |
| Sperrliste | ja | ja |
| Wiederverwendung | untersagt | untersagt, eigenes Konto getrennt vom Alltagskonto |
| Wechsel | nur bei Anlass | nur bei Anlass, bei Verdacht sofort |
| Zweiter Faktor | für Microsoft 365 und alle Zugänge von außen | phishing-resistent, etwa FIDO2-Sicherheitsschlüssel |
| Zurücksetzen | Identitätsprüfung durch den Helpdesk | Identitätsprüfung und Vier-Augen-Prinzip |
Umsetzung in Active Directory
Active Directory ist der Verzeichnisdienst von Microsoft, in dem viele Unternehmen Benutzerkonten und Rechte im eigenen Netz verwalten. Die Passwortregeln für die gesamte Domäne legen Sie über eine Gruppenrichtlinie (GPO) fest, in der Regel die „Default Domain Policy“. Sie finden sie unter Computerkonfiguration, Windows-Einstellungen, Sicherheitseinstellungen, Kontorichtlinien. Eine Gruppenrichtlinie ist ein Satz zentral verwalteter Einstellungen.
Für abweichende Regeln einzelner Gruppen gibt es differenzierte Kennwortrichtlinien (Fine-Grained Password Policies). Sie werden als Kennworteinstellungsobjekt (PSO) angelegt und gelten nur für Benutzer und globale Sicherheitsgruppen, nicht für Organisationseinheiten. Ist einem Benutzer direkt ein PSO zugewiesen, gilt dieses. Sonst gilt unter den PSOs seiner Gruppen das mit dem niedrigsten Wert im Feld „Rangfolge“. So erhalten zum Beispiel Administratorkonten strengere Regeln als normale Benutzerkonten.
PSOs legen Sie im Active-Directory-Verwaltungscenter oder per PowerShell mit dem Befehl New-ADFineGrainedPasswordPolicy an. Welche Regel für ein Konto tatsächlich gilt, zeigt Get-ADUserResultantPasswordPolicy. Prüfen Sie das Ergebnis am konkreten Konto, nicht nur in der Konfiguration.
Drei Grenzen sollten Sie kennen. Erstens lässt die klassische Kontorichtlinie standardmäßig höchstens 14 Zeichen als Mindestlänge zu, ein PSO erlaubt längere Werte. Zweitens lässt sich die Komplexitätsregel nur ein- oder ausschalten. Ist sie aktiv, verlangt sie Zeichen aus drei von fünf Kategorien. Außerdem darf das Passwort weder den Kontonamen noch Teile des vollständigen Namens enthalten. Eine Vorgabe wie „vier Zeichenarten“ ist mit den mitgelieferten Regeln nicht einstellbar. Drittens gleichen die mitgelieferten Regeln neue Passwörter nicht mit einer Liste bekannter Passwörter ab. Dafür gibt es Zusatzlösungen wie Microsoft Entra Password Protection. Es prüft Passwortänderungen auf den Domänencontrollern gegen die Sperrlisten aus Microsoft Entra ID. Dazu muss ein Agent auf allen Domänencontrollern installiert sein, und für lokale Konten ist eine Lizenz für Microsoft Entra ID P1 oder P2 nötig.
Als Ausgangspunkt empfehlen wir zwei PSOs, deren Werte Sie an Ihre Umgebung anpassen: Benutzerkonten mit mindestens 15 Zeichen und Kontosperrung nach 10 Fehlversuchen, Administratorkonten mit mindestens 25 Zeichen und Sperrung nach 5 Fehlversuchen. Eine Kontosperrung bremst automatisierte Rateversuche. Ist die Schwelle zu niedrig, sperren sich Mitarbeitende durch Tippfehler selbst aus. Ändern Sie Werte zuerst für eine Pilotgruppe, denn ältere Anwendungen und Dienstkonten vertragen nicht jede Vorgabe.
Microsoft 365 und Cloud-Konten
Konten in Microsoft 365 werden in Microsoft Entra ID verwaltet, dem Cloud-Verzeichnisdienst von Microsoft. Für reine Cloud-Konten legen Administratoren im Microsoft 365 Admin Center fest, ob Passwörter ablaufen. Standardmäßig laufen sie nicht ab, und Microsoft kennzeichnet diese Einstellung als empfohlen. Für Konten, die aus dem lokalen Active Directory synchronisiert werden, gilt diese Einstellung nicht. Wenn Benutzer ihr Passwort über Microsoft Entra ID ändern oder zurücksetzen, prüft Microsoft Entra Password Protection das neue Passwort automatisch gegen eine globale Liste gesperrter Passwörter. Eigene Begriffe wie Firmen-, Produkt- oder Ortsnamen ergänzen Sie über eine benutzerdefinierte Sperrliste. Sie setzt Microsoft Entra ID P1 oder P2 voraus.
Unsere Leistungen rund um Microsoft 365 und Azure finden Sie auf der Seite Cloud-Lösungen.
Passwort-Manager einführen
Ein Passwort-Manager ist ein verschlüsselter Speicher für Zugangsdaten. Er erzeugt für jeden Dienst ein eigenes, langes Passwort. Mitarbeitende merken sich nur noch das Hauptpasswort und nutzen einen zweiten Faktor. Damit entfällt ein wesentlicher Grund für Wiederverwendung und Notizzettel.
Achten Sie bei der Auswahl auf diese Punkte:
- Betrieb als Cloud-Dienst oder auf eigenen Servern und Speicherort der Daten,
- Anbindung an die zentrale Anmeldung, etwa Microsoft Entra ID,
- Rollen und Rechte für gemeinsame Ordner,
- Protokollierung von Zugriffen,
- Wiederherstellung bei vergessenem Hauptpasswort und Notfallzugriff,
- Lizenzmodell und Kosten je Benutzer.
Wer sich am IT-Grundschutz orientiert, beachtet eine Vorgabe aus Baustein ORP.4: Funktionen und Erweiterungen, die Passwörter über Onlinedienste Dritter synchronisieren oder an Dritte übertragen, müssen deaktiviert werden. Prüfen Sie Cloud-Angebote deshalb besonders sorgfältig.
Starten Sie mit einer kleinen Pilotgruppe. Testen Sie Browser-Erweiterungen, die Nutzung auf dem Smartphone, den Import vorhandener Zugangsdaten und gemeinsam genutzte Konten. Jedes gemeinsame Konto braucht eine verantwortliche Person und klare Rechte. Importierte Listen löschen Sie nach der Übernahme.
Planen Sie Notfall und Austritt von Anfang an. Der Notfallzugriff liegt bei zwei getrennten Rollen, etwa Geschäftsführung und IT-Leitung, und ist dokumentiert. Verlässt jemand das Unternehmen, sperren Sie den Zugang, ändern die Passwörter gemeinsam genutzter Konten und übertragen Ordner an neue Verantwortliche.
Mehrfaktor-Authentifizierung als zweite Schutzschicht
Bei der Mehrfaktor-Authentifizierung (MFA) braucht die Anmeldung neben dem Passwort einen zweiten Nachweis, etwa einen Code aus einer App oder einen Sicherheitsschlüssel. Ein gestohlenes Passwort reicht dann allein nicht mehr für die Anmeldung. MFA senkt das Risiko einer Kontoübernahme, ersetzt aber keine guten Passwörter.
Nicht jedes Verfahren schützt gleich gut. Codes per SMS lassen sich abfangen, zum Beispiel wenn Angreifer die Telefonnummer auf eine eigene SIM-Karte umleiten. NIST führt die Übermittlung über das Telefonnetz, etwa per SMS, nur als eingeschränkt zulässiges Verfahren. Auch Codes aus einer App und Bestätigungen auf einem zweiten Gerät gelten nach NIST nicht als phishing-resistent, weil Angreifer sie über gefälschte Anmeldeseiten weiterleiten können. Phishing-resistent sind kryptografische Verfahren, bei denen die Anmeldung an die echte Adresse des Dienstes gebunden ist. NIST nennt als Beispiel den Standard WebAuthn, auf dem FIDO2-Sicherheitsschlüssel und Passkeys beruhen.
Wir empfehlen eine Abstufung nach Risiko:
- Alle Konten: MFA per App, bei Push-Bestätigungen mit Zahlenabgleich, damit niemand eine fremde Anfrage versehentlich bestätigt.
- Zugänge von außen und Cloud-Verwaltung: FIDO2-Sicherheitsschlüssel oder Passkeys.
- Administratorkonten: eigenes Konto getrennt vom Alltagskonto, phishing-resistenter Faktor und erhöhte Rechte nur bei Bedarf.
Mehr zu den Verfahren lesen Sie in unseren Beiträgen zur Multi-Faktor-Authentifizierung und zum Weg von Passwörtern zu Passkeys.
Schritt für Schritt zur neuen Richtlinie
- Bestandsaufnahme: Erfassen Sie Benutzer-, Administrator- und Dienstkonten, VPN-Zugänge, Microsoft-365-Konten, externe Portale und gemeinsam genutzte Zugänge. Deaktivieren Sie Konten, die niemand mehr braucht.
- Richtlinie festlegen: Mindestlängen, Sperrliste, Anlässe für einen Wechsel, MFA-Stufen, Zurücksetzen und Notfallzugriff. Die Geschäftsführung gibt die Richtlinie frei und entscheidet über Ausnahmen.
- Technik einrichten: PSOs, Sperrliste und MFA zuerst für eine Pilotgruppe. Prüfen Sie, ob Dienstkonten und ältere Anwendungen die neuen Werte vertragen.
- Ausrollen und schulen: Passwort-Manager und MFA für alle. Erklären Sie dabei, wie Mitarbeitende verdächtige Anmeldungen, verlorene Geräte und Phishing-Versuche melden.
- Regelmäßig prüfen: Kontrollieren Sie Ausnahmen, Administratorgruppen, fehlgeschlagene Anmeldungen und den Notfallzugriff in festen Abständen.
Jede Ausnahme braucht eine verantwortliche Person, eine Begründung und einen Termin, an dem sie erneut bewertet wird.
Unterstützung bei Ihrer Passwort-Richtlinie
Die GSL Groß GmbH betreut Unternehmen in Rheinland-Pfalz und Hessen von Idar-Oberstein aus; im Raum Darmstadt arbeitet sie dafür mit einem Partnersystemhaus zusammen. Wenn Sie Fragen zur Absicherung von Anmeldungen in Ihrem Unternehmen haben, sprechen wir gern mit Ihnen. Einen Überblick über unsere Leistungen geben die Seiten zur IT-Sicherheit und zu Managed Services. Nehmen Sie Kontakt mit uns auf.