Best Practices für eine starke Sicherheit in AD durch Richtlinien für Passwörter

Eine starke Passwortrichtlinie ist die erste Verteidigungslinie jeder Organisation, um wichtige Daten und Systeme gegen Eindringlinge zu sichern. Dieses Dokument enthält bewährte Verfahren und weitere Empfehlungen für eine starke Passwortsicherheit.

Festlegen von Passwortrichtlinien in einer Active Directory-Umgebung

In einer Microsoft Active Directory-Umgebung können Sie Gruppenrichtlinien verwenden, um Passwortanforderungen wie Komplexität, Länge und Lebensdauer durchzusetzen und zu steuern. Die standardmäßige Domänenkennwortrichtlinie befindet sich im folgenden Gruppenrichtlinienobjekt (GPO):

Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Kontorichtlinien → Kennwortrichtlinie

Ab der Domänenfunktionsebene von Windows Server 2008 können Sie mit dem Active Directory Administrative Center (DSAC) oder PowerShell fein abgestimmte Richtlinien für verschiedene Organisationseinheiten definieren.

NIST-Passwortrichtlinien

Das National Institute of Standards and Technology (NIST) bietet Digital Identity Guidelines für eine solide Passwortrichtlinie, einschließlich der folgenden Punkte:

Best Practices für Passwortkomplexität

Viele Organisationen verlangen, dass Passwörter eine Vielzahl von Symbolen enthalten, wie mindestens eine Zahl, Groß- und Kleinbuchstaben sowie ein oder mehrere Sonderzeichen. Solche Regeln machen es jedoch für Benutzer viel schwieriger, sich Passwörter zu merken und einzutippen, was zu schlechten Sicherheitspraktiken wie dem Aufschreiben von Passwörtern und zu einer erhöhten Anzahl von Hilfeanrufen bei Passwortrücksetzungen führen kann.

Dementsprechend empfiehlt das NIST nicht mehr strenge Passwortkomplexität, sondern konzentriert sich auf die Passwortlänge. Etwas, das man jedoch im Hinterkopf behalten sollte, ist, dass die Bereitstellung eines password manager es einem Unternehmen ermöglicht, seine Komplexitätsanforderungen beizubehalten, ohne die Sicherheit oder Produktivität zu beeinträchtigen.

Best Practices für die Passwortlänge

Die Länge des Passworts ist einer der wichtigsten Faktoren für die Passwortstärke. Tatsächlich ist ein langer, zusammenhängender Satz besser als ein kurzes Passwort, das viele Arten von Zeichen verwendet, da kurze Passwörter viel schneller erraten oder geknackt werden können. Außerdem sind lange Passphrasen leichter zu merken als kurze Reihen von Unsinn, was das Risiko verringert, dass Benutzer sie aufschreiben oder Kontosperrungen erleiden.

Entsprechend besagen die NIST-Empfehlungen zur Passwortlänge, dass Passwörter mindestens 64 Zeichen lang sein sollten.

Best Practices für das Ablaufen von Passwörtern

Frühere Best Practices für die Passwortänderungsrichtlinie des NIST empfahlen, Benutzer dazu zu zwingen, ihre Passwörter alle 90 Tage (180 Tage für Passphrasen) zu ändern. Allerdings empfiehlt das NIST diese Richtlinie nicht mehr, da die ständige Aufforderung an Benutzer, ihre Passwörter zu ändern, dazu führen kann, dass sie schwache Passwörter wählen oder ihre Passwörter aufschreiben, was die Sicherheitslage Ihrer Informationen beeinträchtigt.

Stattdessen empfiehlt das NIST, dass Benutzer nur in Fällen des Verdachts auf unbefugten Zugriff oder bei Sicherheitsverletzungen, die dazu führen, dass persönliche Anmeldeinformationen im Dark Web veröffentlicht werden, wo sie für zukünftige Cyberangriffe verwendet werden können, neue Passwörter erstellen sollen.

Passwortmanager

NIST empfiehlt nicht ausdrücklich die Verwendung von Passwort-Managern, erkennt jedoch deren Vorteile an. Die Verwendung eines Passwort-Managers zum Erstellen, Speichern und Eingeben von Anmeldeinformationen erleichtert die Durchsetzung starker Passwort-Management-Richtlinien, da Personen ihre Passwörter nicht einmal kennen müssen.

Ergänzung von Passwörtern durch MFA

Die Implementierung der Multifaktor-Authentifizierung (MFA) verbessert die Sicherheit, indem gestohlene oder geknackte Passwörter für Angreifer weit weniger nützlich gemacht werden. Beachten Sie jedoch, dass NIST die Implementierung von MFA nur dann empfiehlt, wenn das Unternehmen Google Authenticator oder einen anderen Authentifizierungsprozess verwenden kann, der keine SMS beinhaltet. 

Passwörter sind besonders anfällig für Brute-Force-Angriffe

Es ist ratsam, die Verwendung folgender Passwörter zu unterbinden oder zu verbieten:

• Leicht zu erratende Passwörter, insbesondere die Zeichenfolge "password"
• Eine Reihe von Zahlen oder Buchstaben in einer bestimmten Reihenfolge, wie „1234“ oder „abcd“
• Eine Zeichenfolge in der Reihenfolge, wie sie auf der Tastatur erscheinen, wie „@#$%^&“
• Der gleiche Buchstabe mehrmals hintereinander getippt, wie „zzzzzz“
• Der Vorname eines Benutzers, der Name eines Partners oder Kindes oder andere Namen
• Weitere leicht erhältliche Informationen über einen Benutzer, wie zum Beispiel Adresse, Telefonnummer, Kfz-Kennzeichen, Alma Mater oder Geburtsdatum eines Familienmitglieds
• Wörter, die in einem Wörterbuch gefunden werden können
• Standard- oder vorgeschlagene Passwörter, auch wenn sie stark erscheinen
• Benutzernamen oder Hostnamen
• Jedes der oben genannten, gefolgt oder vorangestellt von einer einzelnen Ziffer
• Ein neues Passwort, das lediglich eine Zahl oder ein Zeichen am Anfang oder Ende des vorherigen Passworts erhöht

Best Practices für Passwortanforderungen

Administratoren sollten sicherstellen, dass sie:

• Legen Sie eine Mindestlänge für das Passwort fest.
• Setzen Sie eine Passworthistorienrichtlinie durch, bei der mindestens 10 vorherige Passwörter gespeichert werden.
• Legen Sie ein Mindestpasswortalter von 3 Tagen fest.
• Passwörter müssen Komplexitätsanforderungen erfüllen. Diese Einstellung kann für Passphrasen deaktiviert werden, jedoch wird dies nicht empfohlen.
• Setzen Sie lokale Admin-Passwörter alle 180 Tage zurück. Dies kann mit dem kostenlosen Netwrix Bulk Password Reset Tool durchgeführt werden.
• Setzen Sie die Passwörter von Dienstkonten einmal im Jahr während der Wartung zurück.
• Für Domain-Admin-Konten verwenden Sie starke Passphrasen mit mindestens 15 Zeichen.
• Verfolgen Sie alle Passwortänderungen mit einer Lösung wie Netwrix Auditor for Active Directory.
• Erstellen Sie E-Mail-Benachrichtigungen für Passwortablauf. Dies kann mit dem kostenlosen Netwrix Password Expiration Notifier-Tool durchgeführt werden.
• Anstatt die Standardeinstellungen in der Domänenrichtlinie zu bearbeiten, erstellen Sie granulare Passwortrichtlinien und verknüpfen Sie sie mit spezifischen Organisationseinheiten.

Zusätzliche Passwort- und Authentifizierungsbestpraktiken

• Unternehmensanwendungen müssen die Authentifizierung von individuellen Benutzerkonten unterstützen, nicht von Gruppen.
• Unternehmensanwendungen müssen gespeicherte und übertragene Passwörter mit Verschlüsselung schützen, um zu verhindern, dass Hacker sie knacken.
• Benutzer (und Anwendungen) dürfen Passwörter weder im Klartext noch in einer leicht umkehrbaren Form speichern und dürfen Passwörter nicht im Klartext über das Netzwerk übertragen.
• Verwenden Sie MFA umsichtig, um die Sicherheitsrisiken gestohlener und unsachgemäß gehandhabter Passwörter zu mindern.
• Wenn Mitarbeiter das Unternehmen verlassen, ändern Sie die Passwörter für deren Konten, auch wenn Sie die Konten deaktivieren.
• Verringern Sie Benutzerfrustration und Helpdesk-Arbeitsaufwand, indem Sie Benutzern helfen, neue Passwörter auszuwählen, die den Anforderungen entsprechen, sie proaktiv an bevorstehende Passwortabläufe erinnern und ihnen ermöglichen, ihr Passwort in einem Webbrowser zu ändern.

Benutzerschulung

Zusätzlich sollten Sie Ihre Benutzer über Folgendes aufklären:

• Es ist entscheidend, sich Ihr Passwort zu merken, ohne es irgendwo aufzuschreiben. Wählen Sie daher ein starkes Passwort oder eine Passphrase, an die Sie sich leicht erinnern können. Wenn Sie ein Passwortverwaltungstool verwenden, wählen Sie einen starken Master-Schlüssel und merken Sie sich diesen.
• Seien Sie sich bewusst, wie Passwörter über das Internet gesendet werden. URLs (Webadressen), die mit „https://“ anstatt „http://“ beginnen, sind für die Verwendung Ihres Passworts wahrscheinlich sicherer.
• Wenn Sie vermuten, dass jemand anderes Ihr aktuelles Passwort kennen könnte, ändern Sie es sofort.
• Geben Sie Ihr Passwort nicht ein, während jemand zuschaut.
• Verwenden Sie nicht dasselbe Passwort für mehrere Websites mit sensiblen Informationen.

Wie Netwrix helfen kann

Durchsetzung starker Passwortrichtlinien

Die Gewährleistung, dass Benutzeranmeldeinformationen hohen Standards entsprechen und sicher verwaltet werden, ist grundlegend für die Unternehmenssicherheit und daher eine Kernanforderung vieler Compliance-Vorschriften. Netwrix Password Secure ermöglicht es Ihnen, Passwörter sicher zu verwalten, schwache durch starke Alternativen zu ersetzen, angemessene Passwortrichtlinien für verschiedene Teams durchzusetzen, privilegierten Zugriff zu verwalten und die Passwortnutzung zu überwachen. Darüber hinaus synchronisiert es Passwörter über Plattformen und Geräte hinweg, sodass Benutzer von überall aus, sogar offline, sicher darauf zugreifen und sich einfach durch Klicken auf die Browsererweiterung anmelden können, was es ihnen ermöglicht, leicht mit starken Passwortrichtlinien zu konform gehen, anstatt nach Umgehungen zu suchen. Als Ergebnis können Sie die Sicherheit und Compliance stärken, während Sie die Produktivität erhöhen.

In komplexen Umgebungen wird empfohlen, granulare Passwortrichtlinien sowohl für reguläre als auch für privilegierte Benutzer durchzusetzen, damit IT-Administratoren schnell auf neue Anforderungen reagieren und das Risiko von Kompromissen aufgrund schwacher oder gestohlener Passwörter minimieren können. Netwrix Password Policy Enforcer ermöglicht es Administratoren, mühelos starke Passwortrichtlinien durchzusetzen und reduziert deutlich den Arbeitsaufwand des technischen Personals bei der Richtlinienverwaltung. 

Audit-Aktivitäten im Zusammenhang mit der Passwortrichtlinie

Regelmäßige Überprüfung von Ereignissen kann Ihnen helfen sicherzustellen, dass Ihre Passwortrichtlinien Ihre Systeme gegen Angriffe schützen. Ereignisse, die mit der Windows Server Passwortrichtlinie zusammenhängen, werden im Sicherheitsereignisprotokoll auf dem Standard-Domänencontroller aufgezeichnet. Durch die Überprüfung dieser Protokolle können Systemadministratoren feststellen, wer Änderungen an den Passwortrichtlinieneinstellungen vorgenommen hat, sowie wann und wo (auf welchem Domänencontroller) jede Änderung stattgefunden hat. Für zusätzliche wichtige Tipps zur Überprüfung von Passwortrichtlinien-GPOs, siehe das Active Directory Group Policy Auditing Quick Reference Guide.

Allerdings werden Ihnen native Auditing-Tools nicht die kritischsten Details anzeigen, wie zum Beispiel den Namen des Gruppenrichtlinienobjekts, in dem die Passwortrichtlinie geändert wurde, und die Art der durchgeführten Aktion. Darüber hinaus ist es nahezu unmöglich zu verstehen, welche Richtlinien auf welche Gruppen anwendbar sind und Unstimmigkeiten zu identifizieren. Für ein effektives Passwortrichtlinienmanagement benötigen Sie Software, die mehr Einblick in Passwortrichtlinienänderungen bietet, wie zum Beispiel Netwrix Auditor for Active Directory.