Alle 90 Tage ein neues Passwort: Diese Regel steht noch in vielen Unternehmensrichtlinien. Wer heute Passwörter regelmäßig ändern lässt, folgt damit aber einer überholten Empfehlung. Das BSI rät seit Jahren, ein Passwort nur dann zu wechseln, wenn es einen konkreten Anlass gibt. In diesem Beitrag lesen Sie, woher der Sinneswandel kommt, wann ein Wechsel wirklich nötig ist und was Sie stattdessen tun sollten.

Was das BSI heute empfiehlt

Das Bundesamt für Sicherheit in der Informationstechnik hat die Pflicht zum regelmäßigen Passwortwechsel im Jahr 2020 aus dem IT-Grundschutz-Kompendium gestrichen. Seitdem gilt: Ein Passwort muss nur geändert werden, wenn es in falsche Hände geraten sein könnte. Auch das US-Standardisierungsinstitut NIST rät in seiner Richtlinie SP 800-63B ausdrücklich davon ab, Nutzer zu festen Intervallen zum Wechsel zu zwingen.

Beide Stellen setzen stattdessen auf drei Grundsätze:

• Qualität statt Wechsel: Ein langes, zufälliges Passwort bleibt sicher, solange es niemand kennt. Es wird durch Zeitablauf nicht schwächer.
• Ein Passwort pro Zugang: Laut BSI soll jedes Passwort nur für einen einzigen Dienst genutzt werden.
• Zweiter Faktor: Wo möglich, sichert eine Zwei-Faktor-Authentisierung das Konto zusätzlich ab.

Warum der Zwangswechsel mehr schadet als nützt

Die Idee hinter dem regelmäßigen Wechsel klingt logisch: Ein gestohlenes Passwort soll nur begrenzt nutzbar sein. In der Praxis geht diese Rechnung nicht auf.

Menschen weichen auf Muster aus

Wer alle drei Monate ein neues Passwort braucht, wählt fast zwangsläufig einfache Varianten: Aus „Sommer2025!“ wird „Herbst2025!“, aus „Firma01“ wird „Firma02“. Angreifer kennen diese Muster und testen sie gezielt. Das neue Passwort ist dann kaum besser als das alte.

Passwörter landen auf Zetteln

Je häufiger der Wechsel, desto eher notieren Mitarbeitende ihre Zugangsdaten am Monitor, unter der Tastatur oder in einer unverschlüsselten Datei. Damit ist ein Teil des Schutzes verloren.

Der Wechsel kommt meist zu spät

Gestohlene Zugangsdaten werden oft innerhalb kurzer Zeit missbraucht. Ein Wechsel nach 90 Tagen hilft dann nicht mehr. Wichtig ist, sofort zu reagieren, sobald ein Verdacht besteht.

Wann Sie ein Passwort sofort ändern sollten

Die Frage ist also nicht „wie oft“, sondern „wann“. Diese Anlässe rechtfertigen einen sofortigen Wechsel:

• Datenleck bei einem Dienst: Ein Anbieter meldet einen Sicherheitsvorfall, oder Ihre E-Mail-Adresse taucht in einer Leak-Datenbank auf. Prüfen können Sie das zum Beispiel mit dem Identity Leak Checker des Hasso-Plattner-Instituts oder mit „Have I Been Pwned“.
• Phishing-Verdacht: Jemand hat seine Zugangsdaten auf einer verdächtigen Seite eingegeben. Mehr dazu, wie Sie solche Seiten erkennen, lesen Sie in unserem Beitrag über Phishing-E-Mails.
• Schadsoftware auf einem Gerät: Nach einem Virenfund oder einem Verdacht auf einen Keylogger sollten Sie alle Passwörter ändern, die auf diesem Gerät eingegeben wurden – und zwar von einem sauberen Gerät aus.
• Ungewöhnliche Anmeldungen: Der Dienst meldet einen Login aus einem fremden Land oder zu einer ungewöhnlichen Uhrzeit.
• Passwort geteilt oder mitgelesen: Das Passwort wurde weitergegeben, per E-Mail verschickt oder jemand hat bei der Eingabe zugesehen.
• Personalwechsel: Verlässt jemand das Unternehmen, der gemeinsam genutzte Zugänge kannte, müssen diese Passwörter geändert werden.
• Standardpasswörter: Router, Drucker, Kameras oder Telefonanlagen werden oft mit Werkspasswörtern ausgeliefert. Diese ersetzen Sie bei der Inbetriebnahme.

Was statt des Zwangswechsels hilft

Wer auf den regelmäßigen Wechsel verzichtet, muss an anderer Stelle nachlegen. Die Lücke schließen diese Maßnahmen:

1. Starke, einzigartige Passwörter: Das BSI nennt zwei Wege: mindestens acht Zeichen mit vier Zeichenarten oder ein langes Passwort mit mindestens 25 Zeichen und weniger Zeichenarten. Wie Sie solche Passwörter praktisch bilden, zeigt unser Beitrag Dos und Don’ts bei Passwörtern.
2. Passwort-Manager: Er erzeugt zufällige Passwörter und warnt bei vielen Produkten, wenn gespeicherte Zugangsdaten in einem Leak auftauchen.
3. Mehr-Faktor-Authentisierung: Ein gestohlenes Passwort allein reicht dann nicht mehr für den Zugriff.
4. Abgleich mit bekannten Leaks: Moderne Verzeichnisdienste und Cloud-Plattformen können Passwörter ablehnen, die in bekannten Leak-Listen stehen. Das ist wirksamer als jede Ablauffrist.
5. Überwachung von Anmeldungen: Warnungen bei verdächtigen Logins zeigen Ihnen, wann wirklich Handlungsbedarf besteht.

Was das für Ihr Unternehmen bedeutet

Viele Firmen haben noch eine Kennwortrichtlinie im Active Directory oder in Microsoft 365, die Passwörter nach 60 oder 90 Tagen ablaufen lässt. Diese Einstellung können Sie in der Regel abschalten – aber nur, wenn die Alternativen stehen. Prüfen Sie diese Punkte:

• Ist die Ablauffrist für Benutzerkennwörter noch aktiv? Wenn ja: erst die folgenden Punkte umsetzen, dann die Frist entfernen.
• Gilt eine Mindestlänge, die zur BSI-Empfehlung passt?
• Ist Mehr-Faktor-Authentisierung für E-Mail, VPN und Fernzugriffe Pflicht?
• Gibt es einen Passwort-Manager für alle Mitarbeitenden und für gemeinsam genutzte Zugänge?
• Ist festgelegt, wer bei einem Leak oder Phishing-Verdacht welche Passwörter zurücksetzt?
• Werden gemeinsam genutzte Zugänge beim Austritt einer Person geändert?
• Sind Werkspasswörter auf allen Netzwerkgeräten ersetzt?

Wenn Ihre Arbeitsplätze und Ihr Microsoft-365-Tenant zentral verwaltet werden, etwa über Managed Workplace und Managed Microsoft 365, lassen sich diese Vorgaben einheitlich umsetzen und kontrollieren. Für die Überarbeitung Ihrer Richtlinien hilft eine Beratung zur IT-Sicherheit.

Häufige Fragen

Muss ich meine Passwörter gar nicht mehr ändern?

Doch, aber nur bei einem konkreten Anlass, zum Beispiel nach einem Datenleck, einem Phishing-Vorfall oder einem Schadsoftware-Fund. Ohne solchen Anlass bleibt ein starkes, einzigartiges Passwort sicher.

Dürfen wir die Ablauffrist im Active Directory einfach abschalten?

Technisch ja. Sinnvoll ist das aber erst, wenn Mindestlänge, Mehr-Faktor-Authentisierung und ein klarer Ablauf für Verdachtsfälle geregelt sind. Halten Sie die Entscheidung in Ihrer Sicherheitsrichtlinie fest.

Gilt das auch für Admin-Konten?

Der Grundsatz gilt auch hier. Admin-Konten brauchen aber besonders lange Passwörter, immer einen zweiten Faktor und sollten nur für Verwaltungsaufgaben genutzt werden, nicht für E-Mail oder Surfen.

Sie möchten Ihre Kennwortrichtlinie auf den aktuellen Stand bringen? Interate-IT aus Gensingen unterstützt Unternehmen in Rheinhessen und an der Nahe dabei, Passwortregeln, Mehr-Faktor-Authentisierung und Passwort-Manager sinnvoll einzuführen. Sprechen Sie uns an.