 "Die Nachmittagsshow mit Volker Janitz")
Die BSI-Experten raten im Kapitel zur Regelung des Passwortgebrauchs nur dazu, das Passwort zu ändern, wenn es in fremde Hände geraten sein könnte. Das steht im aktuellen Grundschutz-Kompendium der Behörde.
Aber nicht nur das: Auch die dort bisher aufgeführte Verpflichtung, feste Regeln für die Länge und die Komplexität von Passwörtern vorzuschreiben, ist verschwunden.
Sicherheitsexperten finden das gut
Bereits seit Jahren sind viele Sicherheitsexperten der Ansicht, dass solche Regeln eher schaden als nützen. „Ein gutes Passwort kann man bedenkenlos über Jahre hinweg nutzen“, schreibt das Magazin Heise Security.
„Das regelmäßige Ändern führt eher dazu, dass man schwache Passwörter benutzt und diese beispielsweise nach einem Schema (geheim1, geheim2, ...) erzeugt.“
USA und Großbritannien raten das schon länger nicht mehr
Sicherheitsexperte Markus Dürmuth, der an der Ruhr-Uni Bochum zu Themen wie Passwort-Sicherheit forscht, begrüßte den Kurswechsel des BSI ebenfalls:
Das ist ein sehr wichtiger Schritt, für den das BSI allerdings sehr lange gebraucht hat.
Und tatsächlich: Vergleichbare Sicherheitsbehörden anderer Länder haben von der Empfehlung, das Passwort regelmäßig zu ändern, schon vor Jahren Abstand genommen – die US-amerikanische Standardisierungsbehörde NIST, die das regelmäßige Passwortwechseln ursprünglich festgeschrieben hatte, bereits 2017, das britische Pendant CESG sogar schon 2016.
