Sichere Paßwörter - eine Herausforderung für das IT-Sicherheitsmanagement

Der unbefugte Zugriff auf IT-Systeme und Daten erfolgt im Regelfall über bekannte oder erratene Paßwörter berechtigter Benutzer. Das Sicherheitsmanagement muß diese Schwachstelle analysieren, bewerten und nach Möglichkeit beseitigen. Auch aus Datenschutzgesichtspunkten ist insbesondere die sichere Identifizierung der Benutzer unabdingbar. Gerade in der Phase zunehmender Vernetzung bestehender IT-Systeme kommt der Verwendung sicherer Paßwörter zentrale Bedeutung für den ordnungsgemäßen Zugang zu Systemen und Daten zu.

Dabei genügt weder die Sensibilisierung der Nutzer noch eine entsprechende Organisation der IT-Systeme allele den Anforderungen an eine ausreichende Informationssicherheit.

Aus der Praxis heraus wurden die nachfolgenden Grundsätze und Hilfestellungen, die weder den Anspruch auf Originalität noch auf Vollständigkeit besitzen, entwickelt; sie haben sich allerdings im tagtäglichen EDV-Betrieb innerhalb der Justizverwaltung von Rheinland-Pfalz mit vernetzten Strukturen und bei weit über 3000 EDV-Arbeitsplätzen bewährt.

Das erforderliche Sicherheitsmanagement muß System- und Nutzerschwachstellen gleichermaßen erkennen, berücksichtigen und beseitigen.

Ob Mehrplatzsystem - eingebunden in einem WAN - oder isolierter Personalcomputer: in allen Fällen ist der Zugang zu dem IT-System über einen Zugangsschutz (Paßwortabfrage) abzusichern, gleich ob personenbezogene Daten oder sonstige verarbeitet werden.

Die Nutzer des IT-Systems dürfen ihre Paßwörter niemals aufgezeichnet als Klebezettel am Bildschirm, als Notiz auf oder unter der Schreibauflage oder griffbereit im Telefonverzeichnis hinterlegt aufbewahren. Auch dürfen Vertreter - generell oder für den Urlaub - in keinem Falle durch Weitergabe des individuellen Paßwertes "authorisiert" werden; hier muß ein spezielles Vertreterprofil mit einer entsprechenden Kennung und einem weiteren Paßwort geschaffen werden.

Zur Durchsetzung einer effektiven Systemsicherheit, darf die Zugangssicherung mittels sicherer Paßwörter weder individuell dem Benutzer noch dem Systemverantwortlichen alleine überlassen bleiben. Vielmehr muß das IT-System durch entsprechende Einstellungen allgemeine Sicherheitsvorkehrungen treffen (s.u.) und den Benutzer durch Aufklärung und Sensibilisierung für die erforderlichen Sicherheitsvorkehrungen verantwortlich werden lassen.

Die Sicherung der IT-Systeme durch "starke" Paßwörter ist auch keine einmalige Angelegenheit; der Aufbau.die Wahrung und Durchsetzung dieses Sicherheitsmanagements ist vielmehr eine Daueraufgabe für die IT-Verantwortlichen.

2. Sichere Paßwörter bestehen aus:

• mindestens 6 Stellen
• gemischten alphanummerischen Zeichen ( Buchstaben und Ziffern / (Sonder-)zeichen), z.B. RT9Z§UV, Z&56B2

und sollen

• in angemessener Frist ( l - 3 Monate) geändert werden müssen,
• nicht innerhalb eines längeren Zeitraumes weder verwendet werden dürfen.

3. Um sich sichere, "starke" Paßwörter einfach merken zu können, gibt es folgende einfache Möglichkeiten:

Grundsatz: nicht das Paßwort wird gemerkt, sondern die Methode, mit der es gebildet wird!

• Redensarten, Gedicht-, Liedanfänge, Buchtitel usw.: z.B. DKGSLZBBEB - Der Krug geht so lange zum Brunnen bis er bricht; AVSSD97 - Alle Vögel sind schon da 97 usw., usw; diese Buchstabenfolgen können auch an beliebiger Stelle abgebrochen und z.B. an der ersten oder letzten Stelle mit alphanumerischen Zeichen (Ziffern / Sonderzeichen) weiter gesichert werden: DKGSLZB9;
• inhaltlich zusammenhängende Worte, ggfls. mit Einfügung von alphanumerischen Zeichen (Ziffern/Sonderzeichen): Holz%weg, Gute7Nacht, Paߧwort, EDV5Raum;
• noch sicherer ist die Verwendung nur von Teilen dieser Worte: Ho%we, Gut7Nac, aߧort, ED5Ra usw. usw.
• weitere Möglichkeiten: JFMAMJJ - Januar, Februar, März, April ... TLFN97 - Tleefon (jeder 2. Buchstabe) - Jahreszahl MA1AM2RH3 - Mainz am Rhein usw., usw.

4. Sonderfälle:

• das Paßwort des Systemverantwortlichen / Systembedieners darf nur ihm bekannt sein; für den Vertretungsfall muß ein entsprechendes Kennwort gesichert hinterlegt sein;
• für besonders wichtige, sensible Funktionen können zusammengesetzte Paßwörter verwendet werden, deren Paßworthälften jeweils nur einer Person bekannt sind; oder die entsprechende Funktion wird durch mehrere Paßwörter geschützt; weitere Sicherungen (Magnet-, Chipkarte, biometrische Methoden u.a.) können den Schutz noch weiter verstärken.

Selbstverständlich müssen nicht in allen denkbaren Fällen alle aufgeführten Sicherungsmaßnahmen komplett ergriffen werden; auch hier gilt selbstverständlich, daß der Bedrohungsgrad und die Sicherheitsbedürftigkeit des IT-Systems den Umfang der erforderlichen Schutzmaßnahmen bestimmen.

---

* Dr. Peter Itzel ist verantwortlicher EDV-Referent im Justizministerium Rheinland-Pfalz und zugleich Lehrbeauftragter an der Johannes-Gutenberg-Universität Mainz.

[15.10.97]