Microsoft streicht die Verfallsdaten für Passwörter in Windows 10 und Windows Server

Microsoft hat die Sicherheitsrichtlinien für Windows 10 und Windows Server aktualisiert. Neben kleineren Anpassungen, welche unter anderem Spracheingaben betreffen, ist vor allem eine Veränderung zu nennen: So streicht das Unternehmen aus Redmond die Verfallsdaten für Passwörter.

Wer Interesse hat, kann die gesamten Änderungen mit allen Einzelheiten auch hier bei Microsoft in englischer Sprache nachlesen. Kern der aktualisierten Richtlinien ist z. B., dass sich nun in den Einstellungen für Apps regeln lässt, dass Anwender etwa nicht per Spracheingaben mit Programmen interagieren können, wenn das System gesperrt ist. Auch andere, kleinere Sicherheitsanpassungen hat Microsoft vorgenommen. Beispielsweise bastelte man an den BitLocker-Verschlüsselungseinstellungen.

Die größte Veränderung ist aber eben besagtes Streichen der Passwort-Verfallsdaten. Dabei räumt Microsoft ein, dass Passwörter generell ein problematisches Thema seien, wenn es um Sicherheit gehe. Zu oft wählten Nutzer leicht erkennbare Passwörter aus, die sich leicht knacken ließen. Sollen Anwender sichere Passwörter generieren, schreiben sie sich oft auf, weil sie jene sonst vergessen. Das ist dann ein neues Sicherheitsrisiko. Da kennt wohl jeder das Klischee: „Mitarbeiter erstellt sich ein sicheres Passwort. Dann klebt er einen Zettel, auf dem er es notiert hat, an den Monitor.“

Laut Microsoft bringe es aus ähnlichen Gründen keinen Gewinn an Sicherheit, wenn man die Anwender zwinge ihr Passwort regelmäßig zu ändern. Letzen Endes würden sie meistens nur das bestehende Passwort leicht anpassen. Übertrieben gesagt: Aus „12345“ wird dann eben „23456“. Auch erhöhe sich bei regelmäßigen Passwortänderungen die Wahrscheinlichkeit, dass die Nutzer das Passwort vergessen, was Mehrarbeit für die IT-Abteilungen bedeute und die Sicherheit auch nicht verbessere.

Am Ende kommt Microsoft zu dem Ergebnis, dass es bessere Wege gebe die Sicherheit zu erhöhen, als regelmäßige Passwortänderungen vorzugeben. Zwei-Faktor-Authentifizierung oder eine Sperrliste mit einfach zu knackenden Passwörtern seien etwa deutlich effizientere Maßnahmen. Während Microsoft nun die Verfallsdaten als Basis-Richtlinie entfernt, belässt man es aber bei der Voraussetzung von bestimmten Minimallängen und einer gewissen Komplexität.

Werde aber ein Passwort gestohlen, bringe es laut Microsoft auch wieder nichts, wenn besagtes Passwort in regelmäßigen Abständen geändert werde – dann sollte man lieber sofort reagieren. Werde das Passwort aber nicht entwendet, seien Änderungen per se erst einmal unnötig. Dabei ist zu bedenken, dass sich all diese Aussagen natürlich auf Organisationen und Microsofts Vorschläge für Sicherheit beziehen. Unternehmen können derlei Vorgaben natürlich dennoch weiter anwenden, wenn sie es trotzdem für sinnvoll erachten.

Mal abgesehen davon, dass sich Microsofts Vorschläge an Firmen richten: Wie handhabt ihr das denn mit Passwörtern? Nutzt ihr dafür Manager wie 1Password? Ändert ihr eure Passwörter regelmäßig?