Egal, ob im Alltag von Selbstständigen, kleinen Unternehmen oder großen Konzernen: Ob eine IT-Umgebung als sicher bezeichnet werden kann, ist unter anderem von der Gestaltung der verwendeten Passwörter abhängig.

Und obwohl es die meisten besser wissen dürften: Kombinationen wie „12345“ gehören mittlerweile immer noch bei vielen zum Standard.

Das Problem: Diese und ähnliche Zahlenfolgen werden von Cyberkriminellen oft als Erstes ausprobiert – teilweise mit fatalen Folgen.

Die folgenden Abschnitte setzen sich noch ein wenig genauer mit diesem Thema auseinander und zeigen einmal mehr, dass es eigentlich nicht schwer ist, sich für einen Mix aus Buchstaben, Zahlen und Sonderzeichen zu entscheiden, der nicht allzu leicht zu knacken ist.

IT Sicherheit: Externe Dienstleister können weiterhelfen

… und das nicht nur, wenn es darum geht, sich für ein möglichst starkes Passwort zu entscheiden. Zahlreiche kleinere Unternehmen betreiben keine eigene IT-Abteilung, möchten aber (verständlicherweise) dennoch auf ein verlässliches Sicherheitskonzept vertrauen können. Und genau an dieser Stelle kommen IT Security Management Angebote ins Spiel.

Die Leistungen der Anbieter sind breitgefächert und umfassen unter anderem:

• eine Analyse der bestehenden Passwort- und Zugriffskonzepte
• Schulungen, in deren Zusammenhang Mitarbeiter in Bezug auf dieses wichtige Thema sensibilisiert werden
• eine laufende Überwachung eventueller Schwachstellen (und deren Behebung)
• Unterstützung im Zusammenhang mit dem Erstellen von Notfallplänen.

Besonders praktisch: Diese und weitere Leistungen lassen sich nutzen, ohne dass hierfür eigene IT-Experten eingestellt werden müssen.

Warum sind schwache Passwörter eigentlich so gefährlich?

Wer sich ein wenig genauer mit dem Thema IT-Sicherheit auseinandersetzt, erkennt schnell, dass „große Angriffe“ nicht zwangsläufig viel Equipment erfordern oder über einen längeren Zeitraum geplant werden müssen. Im Gegenteil! Oft sind es die klassischen Schwachstellen, über die sich Kriminelle Zugang zu verschiedenen Systemen verschaffen.

Das Problem: Hinter Klassikern wie „12345“ verbergen sich oft sensible Kunden- oder Mitarbeiterdaten, die auch von gesetzlicher Seite geschützt werden müssen. Und auch, wenn Ermittlern immer wieder Schläge gegen Cyberkriminelle gelingen: Die Gefahr ist nach wie vor hoch.

Zu den typischen Fehlern, die in so gut wie jedem Unternehmen sicherlich von mindestens einem Mitarbeiter begangen werden, gehören:

• Passwörter, die sich immer wieder wiederholen
• Standards, wie besagte „12345“, aber auch das Geburtsdatum, der Unternehmensname und Ähnliches
• eine fehlende Multi-Faktor-Authentifizierung.

Schon gewusst? Ein einziges, unsicheres Konto kann dazu führen, dass das gesamte Netzwerk gefährdet wird. Zu den potenziellen Folgen gehören unter anderem Datendiebstahl und Betriebsunterbrechungen.

Klar definierte Passwortrichtlinien können helfen

In vielen Unternehmen können sich die Mitarbeiter ihre Passwörter selbst aussuchen. Und genau hierhinter verbirgt sich ein großes Risiko. Umso wichtiger ist es, egal, ob im kleinen oder im großen Betrieb, eine verbindliche Passwortrichtlinie festzulegen. Über sie wird genau definiert, wie Passwörter erstellt und verwaltet werden.

Typische Details, die über besagte Richtlinie festgelegt werden, sind unter anderem:

• die Mindestlänge des Passworts
• die Komplexität
• ein klares Verbot der Mehrfachnutzung
• der Einsatz von Passwortmanagern, die direkt sichere Passwörter vorschlagen
• die verpflichtende Aktivierung der Zwei-Faktor-Autorisierung.

Die Erfahrung zeigt jedoch, dass es nicht ausreicht, eine solche Richtlinie ins Leben zu rufen. Wichtig ist es auch, sie umzusetzen und dafür zu sorgen, dass sich alle (!) Mitarbeiter hieran orientieren.

Das bedeutet: Das Personal muss entsprechend geschult und sensibilisiert werden. Hier geht es nicht darum, Panik zu verbreiten, sondern reale Risiken in den Fokus zu rücken.

Unterschätztes Risiko: Was kann ein schwaches Passwort kosten?

Schwache Passwörter können mitunter hohe Folgekosten nach sich ziehen. Abgesehen davon drohen unter anderem Datenverlust und Produktionsausfall. Auch rechtliche Folgen, Bußgelder und Reputationsschäden sind möglich.

Ein Detail, das hierbei in den letzten Jahren verstärkt in den Fokus gerückt ist, ist die DSGVO.

Und immer wieder zeigt sich: Auch kleinere Vorfälle, wie zum Beispiel ein einziges gehacktes E-Mail-Konto kann viel Aufwand mit sich bringen. Der IT-Support muss helfen, Kontakte müssen informiert werden. Zudem ist es häufig nötig, mit entsprechenden Maßnahmen herauszufinden, wie groß der Schaden an der Sicherheitsinfrastruktur tatsächlich ist, ob Produktdaten, die für den Verkauf relevant sind, gestohlen wurden usw..

Fest steht: Diese und weitere Zwischenfälle lassen sich mit etwas Vorsicht und – je nach Aufstellung des Unternehmens – mit einem externen Dienstleister meist gut vermeiden. Ziel sollte es sein, den eigenen Betrieb nicht zur Zielscheibe von Kriminellen werden zu lassen. Wer genau das im Hinterkopf behält, dürfte wahrscheinlich nicht mehr auch nur im Ansatz darüber nachdenken, sich für ein Passwort zu entscheiden, das er sich „glücklicherweise so leicht merken“ kann.