Kunde fragt nach unserem Passwortrichtlinie, was muss da drin stehen

Passwortrichtlinie fällt unter Zugriffskontrolle, nicht Kryptografie

Eine Passwortrichtlinie beschreibt, wie Passwörter erstellt, verwaltet und ersetzt werden: Mindestlänge und Komplexität, obligatorische Änderung bei Verdacht auf Missbrauch, Verbot der Wiederverwendung alter Passwörter und die Art und Weise, wie Passwörter gespeichert werden (gehasht, nicht im Klartext). Kunden fragen dies normalerweise als Teil von der Zugriffskontrollrichtlinie, einschließlich Verwaltung von Betriebsmitteln, nicht als separates Kryptografie-Problem. Dieser Unterschied ist relevant für die Wahl der richtigen Antwort: Datenverschlüsselung behandelt etwas anderes als die Art und Weise, wie sich ein Benutzer anmeldet.

Was häufig fehlt, ist nicht die Richtlinie selbst, sondern der Nachweis, dass sie durchgesetzt wird: eine technische Einstellung im Identitätssystem (Azure AD, Okta oder ähnlich), die Mindestanforderungen erzwingt, anstelle eines Dokuments, das Mitarbeiter lesen sollen. Wenn Sie diesen Nachweis nicht haben, tragen Sie kein "Ja" bei der Frage ein, ob die Richtlinie durchgesetzt wird — sondern nur bei der Frage, ob es eine Richtlinie gibt, falls dieses Dokument tatsächlich vorhanden ist. Zunehmend wird eine eigenständige Passwortrichtlinie als weniger relevant erachtet als die Frage, ob Mehrstufenauthentifizierung erforderlich ist: Ein starkes Passwort mit MFA wiegt in der Praxis schwerer als ein langes Passwort ohne MFA.

Wo das in der Norm und der Richtlinie steht

ISO/IEC 27001 behandelt Passwortmanagement unter den Sicherheitsmaßnahmen für Zugriffskontrolle in Annex A (Authentifizierungsinformationen sind dort eine separate Kontrolle); Richtlinie (EU) 2022/2555 nennt Zugriffskontrolle und Authentifizierung als eine der zehn Maßnahmen von Artikel 21 Absatz 2, ohne dabei spezifische Passwortregeln vorzuschreiben — die Richtlinie überlässt die technische Umsetzung der Organisation. Eine Frageliste, die nach "Passwortrichtlinie" fragt, übersetzt daher normalerweise eine dieser beiden Quellen in eine konkrete, überprüfbare Frage.