So eine kleine Kennwortänderung kann zu massiven Reibereien in einem eingefahrenen Unternehmens-Abeitsablauf führen – viele Administratoren kennen die oft recht emotionalen Beschwerden der Benutzer vermutlich. Das Informationssicherheit aber ohne Kennwörter und ohne eine regelmäßige Änderung dieser Zugänge nicht zu gewährleisten ist, sollte ebenfalls klar sein (und ist sogar meistens auch die Benutzer vermittelbar). Praxis-Tipp: VORHER informieren spart hinterher gefühlte 99% der Beschwerden 🙂
Ich persöhnlich bin großer Fan der „Komplexitätsrichtlinie“ in Windows Server 2008 (und R2 natürlich). Diese schriebt vor:
Kennwort muss Komplexitätsvoraussetzungen entsprechen
Wenn diese Richtlinie aktiviert ist, müssen Kennwörter die folgenden Mindestvoraussetzungen erfüllen:
Das Kennwort darf nicht den Kontonamen des Benutzers oder mehr als zwei Zeichen enthalten, die nacheinander im vollständigen Namen des Benutzers vorkommen.
Das Kennwort muss mindestenssechs Zeichen lang sein.
Das Kennwort muss Zeichen aus drei der folgenden Kategorien enthalten:
Großbuchstaben (A bis Z)
Kleinbuchstaben (a bis z)
Zahlen zur Basis 10 (0 bis 9)
Nicht alphabetische Zeichen (zum Beispiel !, $, #, %)
Die Komplexitätsvoraussetzungen werden erzwungen, wenn Kennwörter geändert oder erstellt werden.
Diese Komplexität macht Sinn und ist logisch. Hilfreich ist für Benutzer auch oft der Tipp, das das Wort „Kennwort“ schon eigendlich unangebracht ist. Meiner Meinung nach sollte das durchaus „Kennsatz“ heissen. Einem Computer ist für einen Einbruchsversuch die vermeintliche Komplexität eines D54FG93-Kennwort nämlich völlig egal; für diesen zählt als Sicherheitsfaktor nahezu ausschlesslich die Entropie (sprich: Länge). Kennwörter wie „2Hände2Füße“ oder „8Zeichensinddoof!!“ sind tolle Möglichkeiten lange Kennwörter einfach zu merken und bei der Änderung vielleicht sogar etwas Spass zu haben. Ganz nebenbei tippen sich üblich Sätze „2Kopiedavonbitte…“ wesentlich natürlicher und schneller als „t]_Kwia0$“.
Die „üblichen“ Verdächtigen nach einer Kennwortänderung und folgenden Anmeldefehlern:
- CAPS-Lock: Ihr Kennwort wurde vielleicht Groß/Klein invertiert?
- NUM-Lock: Auf Notebooks ein besonderer Spass. je nachdem wo der Hersteller seinen Pseude-Nummernblock auf die QWERTZ-Tasten (doppelt-) belegt hat, ist die Kennwortsuche ein spannendes vergnügen. Ein guter Indikator für eine solche Konstellation: „Auf meinem PC kann ich mich anmelden, auf den Notebook nicht“. Oder „Auf meinem Notebook klappt alles, aber das Android|iPhone|WinMobile nicht…“.