Passwortsicherheit und Multi-Faktor-Authentifizierung sind zwei wichtige Aspekte um sich gegen Cyberangriffe zu schütze, da sie sich gegenseitig ergänzen und verstärken. Sie sollen verhindern, dass unbefugte Personen Zugriff auf die sensiblen Daten und Ressourcen eines Unternehmens erhalten.

Passwortsicherheit ist die Kunst, starke und sichere Passwörter zu erstellen, zu verwalten und zu verwenden. Ein Passwort ist ein geheimer Code, den ein Benutzer eingibt, um seine Identität zu bestätigen und Zugang zu einem Online-Konto, einer Datenbank oder einem Dienst zu erhalten. Ein gutes Passwort sollte folgende Qualitätsanforderungen erfüllen:

• Länge und Komplexität: Ein Passwort sollte mindestens acht Zeichen lang sein und eine Kombination aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen enthalten. Je länger und komplexer das Passwort ist, desto schwerer ist es für Hacker zu knacken.
• Einzigartigkeit: Ein Passwort sollte immer nur für einen Zugang genutzt werden und nicht für mehrere Programme, Dienste oder Accounts verwendet werden. Wenn ein Passwort bei einem Anbieter oder Dienst kompromittiert wird, können die Angreifer es auch bei anderen Anbietern oder Diensten ausprobieren und so weitere Schäden anrichten.
• Änderbarkeit: Ein Passwort sollte regelmäßig geändert werden, vor allem wenn es Hinweise auf einen möglichen Missbrauch gibt. Das BSI empfiehlt, ein Passwort mindestens alle 90 Tage zu ändern. Außerdem sollte der Benutzer sein Passwort sofort ändern, wenn er vermutet, dass es jemand anderem bekannt geworden ist oder wenn er eine Warnung von einem Online-Dienst erhält.
• Merkbarkeit: Ein Passwort sollte so gewählt werden, dass der Benutzer es sich gut merken kann, ohne es aufzuschreiben oder zu speichern. Es gibt verschiedene Hilfsstrategien, um sich ein Passwort zu merken, wie zum Beispiel einen Satz zu bilden und von jedem Wort nur den ersten Buchstaben zu verwenden

Passwörter sind jedoch nicht unfehlbar. Hacker können Passwörter durch verschiedene Methoden knacken, stehlen oder erraten, wie zum Beispiel durch Brute-Force-Angriffe, Phishing, Keylogging oder Social Engineering. Daher ist es ratsam, die Passwort-Authentifizierung mit einem oder mehreren zusätzlichen Faktoren zu ergänzen. Dies wird als Multi-Faktor-Authentifizierung (MFA) bezeichnet.

Die Multi-Faktor-Authentifizierung ist eine Verallgemeinerung der Zwei-Faktor-Authentifizierung (2FA), bei der die Zugangsberechtigung durch mehrere unabhängige Merkmale (Faktoren) überprüft wird. Die Faktoren können in drei Kategorien eingeteilt werden:

• Wissen: Etwas, das der Benutzer weiß, wie zum Beispiel ein Passwort, eine PIN oder eine Sicherheitsfrage.
• Besitz: Etwas, das der Benutzer besitzt, wie zum Beispiel eine Smartcard, ein Mobiltelefon oder ein hardware-gestützter TAN-Generator.
• Inhärenz: Etwas, das der Benutzer ist, wie zum Beispiel ein Fingerabdruck, eine Gesichtserkennung oder eine Iris-Erkennung.

Die Multi-Faktor-Authentifizierung erhöht die Sicherheit des Log-ins, da ein Angreifer nicht nur das Passwort kennen muss, sondern auch Zugriff auf den zweiten oder dritten Faktor haben muss. Dies macht es deutlich schwieriger, die Identität des Benutzers zu fälschen oder zu übernehmen. Die Multi-Faktor-Authentifizierung kann auch das Vertrauen der Benutzer in die Online-Dienste stärken und die Haftung der Anbieter reduzieren.

Die Multi-Faktor-Authentifizierung wird immer häufiger von verschiedenen Online-Diensten angeboten oder sogar vorgeschrieben. Zum Beispiel sind europäische Kreditinstitute seit dem 1. Januar 2021 durch die Zahlungsdiensterichtlinie PSD2 dazu verpflichtet, dem Kunden eine Starke Kundenauthentisierung (SKA) anzubieten. Die bedeutet, dass Transaktionen durch zwei unabhängige Merkmale aus den Kategorien Wissen, Besitz und Inhärenz bestätigt werden müssen. Auch viele andere Online-Dienste wie E-Mail-Anbieter, Cloud-Dienste oder soziale Netzwerke bieten die Möglichkeit an, sich zusätzlich zur Passworteingabe mit einem zweiten Faktor zu identifizieren.

Die Kombination von Passwortsicherheit und Multi-Faktor-Authentifizierung bietet also einen hohen Schutz für die Online-Sicherheit und den Datenschutz eines Unternehmens.

Um eine effektive Umsetzung von Passwortsicherheit und Multi-Faktor-Authentifizierung zu gewährleisten, sollten Unternehmen folgende Empfehlungen befolgen:

• Passwort-Policy: Unternehmen sollten eine Passwort-Policy definieren und kommunizieren, die die Qualitätsanforderungen für Passwörter festlegt und die Mitarbeiter zur Einhaltung verpflichtet. Die Passwort-Policy sollte auch regelmäßig aktualisiert und überprüft werden.
• Passwort-Manager: Unternehmen sollten ihren Mitarbeitern einen vertrauenswürdigen und sicheren Passwort-Manager zur Verfügung stellen, der die Passwörter verschlüsselt speichert und automatisch generiert und einfügt. So können die Mitarbeiter starke und eindeutige Passwörter verwenden, ohne sie sich merken oder aufschreiben zu müssen.
• Multi-Faktor-Optionen: Unternehmen sollten ihren Mitarbeitern verschiedene Optionen für die Multi-Faktor-Authentifizierung anbieten, die sowohl sicher als auch benutzerfreundlich sind. Zum Beispiel können Unternehmen ihren Mitarbeitern erlauben, zwischen SMS-Codes, E-Mail-Bestätigungen oder hardware-gestützten TAN-Generatoren zu wählen.
• Multi-Faktor-Policy: Unternehmen sollten eine Multi-Faktor-Policy definieren und kommunizieren, die festlegt, wann und wie die Multi-Faktor-Authentifizierung angewendet wird. Zum Beispiel können Unternehmen die Multi-Faktor-Authentifizierung für alle Zugänge vorschreiben oder nur für bestimmte Zugänge oder Transaktionen erfordern.
• Schulung und Sensibilisierung: Unternehmen sollten ihre Mitarbeiter regelmäßig über die Bedeutung von Passwortsicherheit und Multi-Faktor-Authentifizierung informieren und schulen. Außerdem sollten sie die Mitarbeiter für die Gefahren und Konsequenzen eines unsicheren oder kompromittierten Zugangs sensibilisieren und ihnen Tipps und Tricks für eine bessere Online-Sicherheit geben.

Passwortsicherheit und Multi-Faktor-Authentifizierung sind also zwei starke Verbündete um sich gegen Cyberangriffe zu schützen. Indem ein Unternehmen diese beiden Methoden kombiniert und effektiv umsetzt, kann es das Risiko eines unbefugten Zugriffs auf seine Daten und Ressourcen deutlich reduzieren.