RiLi-Passworte - Versionsgeschichte

Dirk: Änderung 1431 von Dirk (Diskussion) rückgängig gemacht.

2024-10-11T04:05:41Z

Änderung 1431 von Dirk (Diskussion) rückgängig gemacht.

← Nächstältere Version		Version vom 11. Oktober 2024, 06:05 Uhr
Zeile 49:		Zeile 49:
	* Passworte dürfen auf keinem Kommunikationsweg (auch nicht im Intranet) unverschlüsselt übertragen werden.		* Passworte dürfen auf keinem Kommunikationsweg (auch nicht im Intranet) unverschlüsselt übertragen werden.
	* Passworte dürfen bei der Eingabe nicht angezeigt werden.		* Passworte dürfen bei der Eingabe nicht angezeigt werden.
			* Erfolglose Loginversuche müssen protokolliert werden.
	* Erfolgreiche Logins sollten protokolliert werden, auf sensiblem Systemen oder für sensible Accounts (z.B. Admin-Accounts) müssen auch erfolgreiche Logins protokolliert werden.		* Erfolgreiche Logins sollten protokolliert werden, auf sensiblem Systemen oder für sensible Accounts (z.B. Admin-Accounts) müssen auch erfolgreiche Logins protokolliert werden.
	* Bei erfolglosen Anmeldeversuchen sollte das System keinen Hinweis darauf geben, ob Benutzername oder Kennwort falsch waren.		* Bei erfolglosen Anmeldeversuchen sollte das System keinen Hinweis darauf geben, ob Benutzername oder Kennwort falsch waren.

Dirk: Änderung 1432 von Dirk (Diskussion) rückgängig gemacht.

2024-10-11T04:05:16Z

Änderung 1432 von Dirk (Diskussion) rückgängig gemacht.

← Nächstältere Version		Version vom 11. Oktober 2024, 06:05 Uhr
Zeile 49:		Zeile 49:
	* Passworte dürfen auf keinem Kommunikationsweg (auch nicht im Intranet) unverschlüsselt übertragen werden.		* Passworte dürfen auf keinem Kommunikationsweg (auch nicht im Intranet) unverschlüsselt übertragen werden.
	* Passworte dürfen bei der Eingabe nicht angezeigt werden.		* Passworte dürfen bei der Eingabe nicht angezeigt werden.
	* Erfolgreiche Logins ~~müssen~~ protokolliert werden, auf sensiblem Systemen oder für sensible Accounts (z.B. Admin-Accounts) müssen auch erfolgreiche Logins protokolliert werden.		* Erfolgreiche Logins sollten protokolliert werden, auf sensiblem Systemen oder für sensible Accounts (z.B. Admin-Accounts) müssen auch erfolgreiche Logins protokolliert werden.
	* Bei erfolglosen Anmeldeversuchen sollte das System keinen Hinweis darauf geben, ob Benutzername oder Kennwort falsch waren.		* Bei erfolglosen Anmeldeversuchen sollte das System keinen Hinweis darauf geben, ob Benutzername oder Kennwort falsch waren.
	* Passworte dürfen auf keinem System unverschlüsselt gespeichert werden, dies gilt insbesondere auch für Passworte die in der Programmierung, in Programmcode oder in Konfigurationsdateien hinterlegt sind.		* Passworte dürfen auf keinem System unverschlüsselt gespeichert werden, dies gilt insbesondere auch für Passworte die in der Programmierung, in Programmcode oder in Konfigurationsdateien hinterlegt sind.

Dirk: /* Allgemeine Regelungen für Entwicker und IT-Betrieb */

2024-10-11T04:02:55Z

Allgemeine Regelungen für Entwicker und IT-Betrieb

← Nächstältere Version		Version vom 11. Oktober 2024, 06:02 Uhr
Zeile 49:		Zeile 49:
	* Passworte dürfen auf keinem Kommunikationsweg (auch nicht im Intranet) unverschlüsselt übertragen werden.		* Passworte dürfen auf keinem Kommunikationsweg (auch nicht im Intranet) unverschlüsselt übertragen werden.
	* Passworte dürfen bei der Eingabe nicht angezeigt werden.		* Passworte dürfen bei der Eingabe nicht angezeigt werden.
	* Erfolgreiche Logins ~~sollten~~ protokolliert werden, auf sensiblem Systemen oder für sensible Accounts (z.B. Admin-Accounts) müssen auch erfolgreiche Logins protokolliert werden.		* Erfolgreiche Logins müssen protokolliert werden, auf sensiblem Systemen oder für sensible Accounts (z.B. Admin-Accounts) müssen auch erfolgreiche Logins protokolliert werden.
	* Bei erfolglosen Anmeldeversuchen sollte das System keinen Hinweis darauf geben, ob Benutzername oder Kennwort falsch waren.		* Bei erfolglosen Anmeldeversuchen sollte das System keinen Hinweis darauf geben, ob Benutzername oder Kennwort falsch waren.
	* Passworte dürfen auf keinem System unverschlüsselt gespeichert werden, dies gilt insbesondere auch für Passworte die in der Programmierung, in Programmcode oder in Konfigurationsdateien hinterlegt sind.		* Passworte dürfen auf keinem System unverschlüsselt gespeichert werden, dies gilt insbesondere auch für Passworte die in der Programmierung, in Programmcode oder in Konfigurationsdateien hinterlegt sind.

Dirk: /* Allgemeine Regelungen für Entwicker und IT-Betrieb */

2024-10-11T04:00:29Z

Allgemeine Regelungen für Entwicker und IT-Betrieb

← Nächstältere Version		Version vom 11. Oktober 2024, 06:00 Uhr
Zeile 49:		Zeile 49:
	* Passworte dürfen auf keinem Kommunikationsweg (auch nicht im Intranet) unverschlüsselt übertragen werden.		* Passworte dürfen auf keinem Kommunikationsweg (auch nicht im Intranet) unverschlüsselt übertragen werden.
	* Passworte dürfen bei der Eingabe nicht angezeigt werden.		* Passworte dürfen bei der Eingabe nicht angezeigt werden.
	* Erfolglose Loginversuche müssen protokolliert werden.
	* Erfolgreiche Logins sollten protokolliert werden, auf sensiblem Systemen oder für sensible Accounts (z.B. Admin-Accounts) müssen auch erfolgreiche Logins protokolliert werden.		* Erfolgreiche Logins sollten protokolliert werden, auf sensiblem Systemen oder für sensible Accounts (z.B. Admin-Accounts) müssen auch erfolgreiche Logins protokolliert werden.
	* Bei erfolglosen Anmeldeversuchen sollte das System keinen Hinweis darauf geben, ob Benutzername oder Kennwort falsch waren.		* Bei erfolglosen Anmeldeversuchen sollte das System keinen Hinweis darauf geben, ob Benutzername oder Kennwort falsch waren.

Dirk: /* Nummerische Passworte (PIN) */

2024-10-09T15:43:43Z

Nummerische Passworte (PIN)

← Nächstältere Version		Version vom 9. Oktober 2024, 17:43 Uhr
Zeile 129:		Zeile 129:
	* Die PIN sollte mindestens jährlich geändert werden.		* Die PIN sollte mindestens jährlich geändert werden.
	* Bei Missbrauchsverdacht ist die PIN unverzüglich zu ändern oder der Zugang zu sperren.		* Bei Missbrauchsverdacht ist die PIN unverzüglich zu ändern oder der Zugang zu sperren.
	* Spätestens nach fünf Fehlversuchen (bei weniger als 10 Ziffern, spätestens nach drei Fehlversuchen) ist der Zugriff zu sperren.		* Spätestens nach fünf Fehlversuchen (bei weniger als 6 Ziffern, spätestens nach drei Fehlversuchen) ist der Zugriff zu sperren.
	* Admin- oder System-PIN's sind sicher zu hinterlegen.		* Admin- oder System-PIN's sind sicher zu hinterlegen.

Dirk am 2. Oktober 2024 um 18:04 Uhr

2024-10-02T18:04:35Z

Dirk am 3. August 2024 um 07:21 Uhr

2024-08-03T07:21:39Z

← Nächstältere Version		Version vom 3. August 2024, 09:21 Uhr
Zeile 3:		Zeile 3:
	\|keywords= ISMS,Richtlinie,Passworte,Passwortrichtlinie,Muster		\|keywords= ISMS,Richtlinie,Passworte,Passwortrichtlinie,Muster
	\|description=Muster Richtlinie zum Passwort-Management.		\|description=Muster Richtlinie zum Passwort-Management.
	}}		}}{{SHORTDESC:Mustervorlage für eine Passwort Richtlinie.}}
	~~Mustervorlage: '~~''"Passwort Richtlinie"'''		''Die Passwort-Richtlinie beschreibt Sicherheitsanforderungen für die Erstellung, Verwendung und Verwaltung von Passwörtern. Sie umfasst Regeln für Passwortkomplexität, Speicherung, Rücksetzung und spezifische Anforderungen für Benutzer-, Admin- und System-Accounts, um die IT-Sicherheit zu gewährleisten.''

	== Einleitung ==		== Einleitung ==

Dirk: /* Nummerische Passworte (PIN) */

2024-05-09T09:18:03Z

Nummerische Passworte (PIN)

← Nächstältere Version		Version vom 9. Mai 2024, 11:18 Uhr
Zeile 122:		Zeile 122:
	* Mindestlänge der PIN beträgt 12 Ziffern oder falls technisch weniger möglich sind, soviele wie möglich.		* Mindestlänge der PIN beträgt 12 Ziffern oder falls technisch weniger möglich sind, soviele wie möglich.
	* PIN's mit weniger als 4 Ziffern sind grundsätzlich nicht erlaubt.		* PIN's mit weniger als 4 Ziffern sind grundsätzlich nicht erlaubt.
	* Keine Ziffernwiederholung von mehr als zwei! (z.B. ~~111234~~, ~~0007~~, ~~110011~~).		* Keine Ziffernwiederholung von mehr als zwei (z.B. '''111'''234, '''000'''7, '''11'''00'''11''').
			* Keine Wiederholung von Zifferngruppen (z.B. 0101, 343434, 5757).
	* Keine Ziffernfolgen von mehr als drei Ziffern (z.B. 1234, 098765).		* Keine Ziffernfolgen von mehr als drei Ziffern (z.B. 1234, 098765).
	* Keine Datumsdaten oder Jahrenszahlen wie Geurtsdatum, Hochzeitstag o.ä.		* Keine Datumsdaten oder Jahrenszahlen wie Geurtsdatum, Hochzeitstag o.ä.

Dirk: /* Allgemeine Nutzerregeln */

2023-12-11T08:29:44Z

Allgemeine Nutzerregeln

Dirk: /* Schlussbemerkung */

2023-10-02T19:07:35Z

Schlussbemerkung

← Nächstältere Version		Version vom 2. Oktober 2023, 21:07 Uhr
Zeile 148:		Zeile 148:

	== Schlussbemerkung ==		== Schlussbemerkung ==
			===Behandlung von Ausnahmen===
			Ausnahmen von den Regelungen dieser Richtlinie sind nur mit einem begründeten Ausnahmeantrag im Rahmen des [[RiLi-Ausnahmemanagement\|Ausnahmemanagements]] möglich.
			===Revision===
			Diese Richtlinie wird regelmäßig, jedoch mindestens einmal pro Jahr, durch den Regelungsverantwortlichen auf Aktualität und Konformität geprüft und bei Bedarf angepasst.
	== Inkrafttreten ==		== Inkrafttreten ==

← Nächstältere Version		Version vom 2. Oktober 2024, 20:04 Uhr
Zeile 59:		Zeile 59:

	Für normale Benutzeraccounts ohne administrative Berechtigungen gelten zusätzlich folgende Regeln:		Für normale Benutzeraccounts ohne administrative Berechtigungen gelten zusätzlich folgende Regeln:
	* Die Mindestlänge des Passworts beträgt 8 Zeichen		* Die Mindestlänge des Passworts beträgt 12 Zeichen
	* Das Passwort muss aus mindestens drei der folgenden Zeichengruppen bestehen:		* Das Passwort muss aus mindestens drei der folgenden Zeichengruppen bestehen:
	** Großbuchstaben (ABCDEFG...)		** Großbuchstaben (ABCDEFG...)
Zeile 78:		Zeile 78:
	Für Admin Accounts und Anwendungen mit sehr hohem Schutzbedarf gelten folgende Regelungen:		Für Admin Accounts und Anwendungen mit sehr hohem Schutzbedarf gelten folgende Regelungen:

	* Authentisierung durch einen zweiten Faktor in Verbindung mit den folgenden Regeln:		* Authentisierung durch einen [[2FA best practice\|zweiten Faktor]] in Verbindung mit den folgenden Regeln:
	* Die Mindestlänge des Passworts beträgt 8 Zeichen.		* Die Mindestlänge des Passworts beträgt 10 Zeichen.
	* Das Passwort muss aus mindestens drei der folgenden Zeichengruppen bestehen:		* Das Passwort muss aus mindestens drei der folgenden Zeichengruppen bestehen:
	** Großbuchstaben (ABCDEFG...)		** Großbuchstaben (ABCDEFG...)
Zeile 93:		Zeile 93:
	* Die Passworte von administrativen Accounts sind sicher zu hinterlegen.		* Die Passworte von administrativen Accounts sind sicher zu hinterlegen.

	Wenn ein zweiter Faktor nicht möglich ist, gelten abweichend folgende Regelungen:		Wenn ein zweiter Faktor '''nicht''' möglich ist, gelten abweichend folgende Regelungen:

	* Die Mindestlänge des Passworts beträgt 16 Zeichen.		* Die Mindestlänge des Passworts beträgt 20 Zeichen.
	* Das Passwort muss mindestens alle drei Monate geändert werden.		* Das Passwort muss mindestens alle drei Monate geändert werden.

← Nächstältere Version		Version vom 11. Dezember 2023, 10:29 Uhr
Zeile 31:		Zeile 31:
	** Passworte dürfen nicht per Telefon mitgeteilt werden,		** Passworte dürfen nicht per Telefon mitgeteilt werden,
	** Die Passworteingabe muss geheim (unbeobachtet) erfolgen,		** Die Passworteingabe muss geheim (unbeobachtet) erfolgen,
	* Das Speichern von ~~Passworte~~ ist nur in dem dafür vorgesehen und freigegebenen Passwortsafe erlaubt. Insbesondere eine Speicherung auf Funktionstasten oder ähnlich automatisierte Eingabefunktionen ist nicht erlaubt.		* Das Speichern von Passworten ist nur in dem dafür vorgesehen und freigegebenen Passwortsafe erlaubt. Insbesondere eine Speicherung auf Funktionstasten oder ähnlich automatisierte Eingabefunktionen ist nicht erlaubt.
	* Passworte die leicht zu erraten sind, sind nicht erlaubt. Zu vermeiden sind insbesondere:		* Passworte die leicht zu erraten sind, sind nicht erlaubt. Zu vermeiden sind insbesondere:
	** Zeichenwiederholungen,		** Zeichenwiederholungen (mehr als zwei aufeinander folgende gleiche Zeichen),
	** Zahlen und Daten aus dem Lebensbereich des Benutzers (z.B. Geburtsdatum),		** Zahlen und Daten aus dem Lebensbereich des Benutzers (z.B. Geburtsdatum, Namen von Angehörigen),
	** Trivialpassworte wie Namen, Begriffe des Berufs oder Alltags,		** Trivialpassworte wie Namen, Begriffe des Berufs oder Alltags,
	** Zeichenfolgen, die durch nebeneinander liegende Tasten eingegeben werden (qwertz).		** Zeichenfolgen, die durch nebeneinander liegende Tasten eingegeben werden (123456, qwertz).
	* Es dürfen keine Passworte verwendet werden, die auch im privaten Umfeld (z.B. in Shopping-Portalen oder Social Media Accounts) genutzt werden.		* Es dürfen keine Passworte verwendet werden, die auch im privaten Umfeld (z.B. in Shopping-Portalen oder Social Media Accounts) genutzt werden.
	* Jedes Passwort sollte nur einmal verwendet werden. Für jedes System sollte ein eigenes Passwort verwendet werden, für sensible System mit hohem Schutzbedarf muss ein individuelles Passwort verwendet werden.		* Jedes Passwort sollte nur einmal verwendet werden. Für jedes System sollte ein eigenes Passwort verwendet werden, für sensible System mit hohem Schutzbedarf '''muss''' ein individuelles Passwort verwendet werden.

	Für kurzzeitig genutzte Initial- und Einmalpassworte wie sie z.B. zur Passwort Zurücksetzung verwendet werden, kann von den Regelungen abgewichen werden.		Für kurzzeitig genutzte Initial- und Einmalpassworte wie sie z.B. zur Passwort Zurücksetzung verwendet werden, kann von den Regelungen abgewichen werden.
Zeile 46:		Zeile 46:
	Neben den Benutzern haben auch Entwickler und Betrieb eine maßgebliche Verantwortung für den sicheren Umgang mit Passworten. Folgende Regelungen gelten für Entwicklung und Betrieb von Systemen und Anwendungen:		Neben den Benutzern haben auch Entwickler und Betrieb eine maßgebliche Verantwortung für den sicheren Umgang mit Passworten. Folgende Regelungen gelten für Entwicklung und Betrieb von Systemen und Anwendungen:

	* So weit wie technisch möglich sind die Passwortregeln automatisiert umzusetzen und zu ~~kontrollieren~~.		* So weit wie technisch möglich sind die Passwortregeln automatisiert umzusetzen und zu überwachen.
	* Passworte dürfen auf keinem Kommunikationsweg (auch nicht im Intranet) unverschlüsselt übertragen werden.		* Passworte dürfen auf keinem Kommunikationsweg (auch nicht im Intranet) unverschlüsselt übertragen werden.
	* Passworte dürfen bei der Eingabe nicht angezeigt werden.		* Passworte dürfen bei der Eingabe nicht angezeigt werden.
Zeile 141:		Zeile 141:
	== Hinterlegung von Passworten ==		== Hinterlegung von Passworten ==

	''Regelung der Organisation für die Hinterlegung von administrativen Passworten.''		''Regelung der Organisation für die Hinterlegung von system und administrativen Passworten.''

	''Einfache Variante: versiegelter Umschlag in verschlossenem Behälter (verschlossener Schrank oder Safe)''		''Einfache Variante: versiegelter Umschlag in verschlossenem Behälter (verschlossener Schrank oder Safe)''