Kennwortrichtlinie

Benutzernamen und Passwörter werden in Externis verwendet, um den Zugriff auf die IT-Ressourcen von Externis zu erleichtern. Sie schützen Externis-Daten außerdem vor dem Zugriff durch unbefugte Personen – sowohl intern als auch extern.

Diese Richtlinie gilt für alle Mitarbeiter von Externis oder Drittparteien, die Benutzernamen und Passwörter für ein IT-System oder Gerät von Externis erhalten.

Diese Richtlinie gilt für alle Benutzernamen- und Kennwortpaare auf allen Geräten, Systemen und Anwendungen, die Teil des Externis-Netzwerks sind und Zugriff auf Informationen im Besitz von Externis bieten.

Ausgabe von Accounts und Passwörtern

Alle System- und Anwendungskonten sowie Passwörter müssen von der IT-Abteilung vergeben werden. Sobald ein Passwort vergeben ist, liegt die volle Verantwortung für das Konto und das zugehörige Passwort beim Benutzer.

Verbot der Passwortweitergabe

Passwörter dürfen nicht aufgeschrieben und an einem Ort aufbewahrt werden, wo Unbefugte davon Kenntnis erlangen könnten.

Passwortänderungen

Passwortänderungen dürfen nur auf persönliche Anfrage der zuständigen Person oder einer von der IT-Abteilung benannten vertrauenswürdigen Person vorgenommen werden. Ausnahmen von dieser Richtlinie sind nicht zulässig.

Minimale Kennwortlänge

Die Länge von Passwörtern muss bei der Erstellung oder Auswahl durch den Benutzer stets automatisch überprüft werden. Alle IT-Systeme müssen Passwörter mit mindestens acht (8) Zeichen erfordern.

Komplexe Passwörter erforderlich

Alle Computerbenutzer müssen Passwörter wählen, die nicht leicht zu erraten sind. Das bedeutet auch, dass Passwörter keine Wörter aus dem Wörterbuch oder anderen Wortarten sein dürfen. Eigennamen, Ortsnamen usw. dürfen beispielsweise nicht verwendet werden.

Zyklische Passwörter verboten

Benutzer dürfen keine Passwörter aus einer einfachen Zeichenfolge erstellen, die dann je nach Datum oder einem anderen vorhersehbaren Faktor teilweise geändert wird. Beispielsweise dürfen Benutzer keine Passwörter wie „JANUAR“ im Januar, „FEBRUAR“ im Februar usw. verwenden.

Vom Benutzer gewählte Passwörter dürfen nicht wiederverwendet werden

Benutzer dürfen keine Passwörter erstellen, die mit den Passwörtern identisch oder diesen im Wesentlichen ähnlich sind, die sie zuvor verwendet haben.

Passwortalterung

Passwörter sollten regelmäßig geändert werden. Netzwerkmanager, Systemadministratoren oder Anwendungsadministratoren sollten einen angemessenen Zeitraum für die Passwortänderung wählen.

Systemkompromittierung

Sobald ein Unbefugter Zugriff auf ein System erlangt hat, muss die IT-Abteilung umgehend alle Passwörter auf dem betroffenen System ändern. Auch der Verdacht auf eine Kompromittierung erfordert die sofortige Änderung aller Passwörter. In jedem Fall muss eine vertrauenswürdige Version des Betriebssystems und aller sicherheitsrelevanten Software neu geladen werden. Ebenso müssen alle kürzlich vorgenommenen Änderungen der Benutzer- und Systemberechtigungen auf unbefugte Änderungen überprüft werden.

Speicherung von Passwörtern in lesbarer Form

Passwörter dürfen nicht in lesbarer Form in Batchdateien, automatischen Anmeldeskripten, Softwaremakros, Terminalfunktionstasten, auf Computern ohne Zugriffskontrolle oder an anderen Orten gespeichert werden, an denen Unbefugte sie entdecken könnten.

Ändern der Standardkennwörter des Anbieters

Alle vom Anbieter bereitgestellten Standardkennwörter (Standardkennwörter, die mit Routern, Switches oder Software wie Betriebssystemen und Datenbanken geliefert werden) müssen geändert werden, bevor ein Computer oder Kommunikationssystem verwendet wird.

Verschlüsselung

Passwörter müssen immer verschlüsselt werden, wenn sie über einen längeren Zeitraum gespeichert oder über ein Kommunikationssystem übertragen werden.

Missbrauch von Passwörtern

Jeder Missbrauch von Passwörtern muss dem IT-Service gemeldet werden. Dieser berät über die weiteren Maßnahmen. Passwörter müssen immer geändert werden, wenn bekannt ist oder der Verdacht besteht, dass eine andere Person Kenntnis davon erlangt hat. Wird ein Dritter im Besitz des Passworts eines Nutzers gefunden, wird dessen Konto gesperrt. In diesem Fall sollte der berechtigte Nutzer den IT-Service melden.