Unternehmens-Passwortrichtlinien: ISO 27001- und NIST-Konformität im Jahr 2026
Umfassender Leitfaden zur Erstellung und Implementierung von Passwortrichtlinien, die ISO 27001 und NIST für KMU in Deutschland entsprechen.
Redakteur Technologie und Cybersicherheit
📋 Inhaltsverzeichnis
NIST 800-63B: Die neuen Richtlinien für Passwörter
Das NIST hat mit seinen 800-63B-Richtlinien die Passwortrichtlinien revolutioniert: Ein erzwungener regelmäßiger Passwortwechsel wird NICHT mehr empfohlen (da dies dazu führte, dass Benutzer schwächere Passwörter verwendeten), die Länge wird über die Komplexität priorisiert (16+ Zeichen) und es wird eine Überprüfung anhand von Listen kompromittierter Passwörter gefordert.
Die neuen Richtlinien empfehlen: obligatorische MFA (Multi-Faktor-Authentifizierung), Passwörter mit 16+ Zeichen ohne künstliche Komplexitätsanforderungen, Kontosperrung nach fehlgeschlagenen Anmeldeversuchen und die Nutzung von Passwort-Managern für Unternehmen in der gesamten Organisation.
ISO 27001 und Passwortrichtlinien
ISO 27001 verlangt, dass Organisationen dokumentierte Zugriffs- und Passwortrichtlinien definieren und durchsetzen. Ein Passwort-Manager für Unternehmen wie NordPass Business erleichtert die Einhaltung: Er erzwingt automatisch Komplexitätsrichtlinien, erstellt Audit-Berichte, erkennt kompromittierte Passwörter und führt ein Zugriffsprotokoll.
Für deutsche KMU, die eine ISO 27001-Zertifizierung anstreben oder ihre DSGVO-Konformität nachweisen müssen, ist ein Passwort-Manager für Unternehmen kein Luxus, sondern eine praktische Notwendigkeit. Der BfDI kann bei einer Prüfung Nachweise über die technischen Schutzmaßnahmen verlangen.
Häufig gestellte Fragen (FAQ)
Müssen Passwörter regelmäßig ablaufen?
Das NIST empfiehlt keine erzwungenen regelmäßigen Änderungen mehr. Stattdessen werden lange Passwörter (16+ Zeichen), MFA und die Überwachung von Datenlecks empfohlen.