Ein vollständiger Leitfaden zu den neuen NIST-Passwortrichtlinien 2025

Das neueste Update der NIST-Passwortempfehlungen(neues Fenster) ist da, und sie ändern, wie wir an Passwörter herangehen, wobei Benutzerfreundlichkeit Vorrang vor Komplexität hat.

Sollte dich das interessieren? Ja. Die NIST-Richtlinien spiegeln nicht nur die Best Practices wider, an die sich jeder halten sollte, sondern sie beeinflussen auch die Sicherheits-Compliance. Hinter diesen Richtlinien zurückzubleiben könnte bedeuten, regulatorische Rahmenbedingungen wie HIPAA, DSGVO und GLBA nicht einzuhalten – und damit gescheiterte Audits und kostspielige Strafen zu riskieren. Dieser Leitfaden hilft dir, die wichtigsten Änderungen zu verstehen und sie am besten in deinem Unternehmen umzusetzen.

Was sind NIST-Passwortrichtlinien?

Die NIST-Passwortrichtlinien sind Sicherheitsstandards, die vom National Institute of Standards and Technology(neues Fenster), einer US-Bundesbehörde, veröffentlicht werden. Diese Richtlinien bilden die Grundlage für Passwortrichtlinien in verschiedenen Branchen, und in einigen Sektoren, wie der Regierung, sind sie verpflichtend.

Die Richtlinien basieren auf praxisnaher Forschung und sind nicht bloß Annahmen über Passwortsicherheit. Deshalb werden wichtige Compliance-Frameworks oft von NIST-Passwortempfehlungen geprägt, und deshalb stärkt ihre Umsetzung deine Sicherheitslage und regulatorische Compliance.

NIST-Passwortanforderungen 2025

Hier ist ein kurzer Überblick über die aktualisierten NIST-Passwortanforderungen:

1. Verwende längere Passwörter

Das NIST empfiehlt eine Mindestpasswortlänge von 8 Zeichen und ein Maximum von 64 Zeichen. Längere Passwörter sind schwerer zu hacken, da sie tendenziell einzigartiger sind als kurze, aber komplexe Passwörter, die oft einem vorhersehbaren Muster folgen.

2. Lass Komplexitätsanforderungen fallen

Aufbauend auf der obigen Richtlinie führen Sonderzeichenanforderungen zu komplexen Passwörtern, die leider zu vorhersehbaren Mustern führen, die Hacker leicht erraten können. Akzeptiere stattdessen alle Arten von Zeichen, einschließlich Leerzeichen, und ermutige Mitarbeiter, sich einzigartige und einprägsame Phrasen, auch bekannt als Passphrasen, für ihre Passwörter auszudenken.

3. Keine erzwungenen Passwortzurücksetzungen mehr

Der einzige Zeitpunkt, zu dem eine Passwortzurücksetzung erzwungen werden sollte, ist, wenn es Beweise für eine Kompromittierung gibt. Ansonsten gilt es als schlechte Praxis, Mitarbeiter zu zwingen, ihre Passwörter alle paar Monate zurückzusetzen, da das NIST festgestellt hat, dass dies die Passwortsicherheit tatsächlich schwächt.

4. Führe eine Passwort-Blocklist

Das NIST empfiehlt, dass Unternehmen eine Passwort-Blocklist führen, um die Verwendung leicht ausnutzbarer Passwörter wie „1234“ oder Passwörter zu verhindern, die Variationen des Namens des Mitarbeiters oder des Unternehmens enthalten. Außerdem empfiehlt es die Verwendung von Passwort-Überprüfungsdiensten, um sicherzustellen, dass Mitarbeiter keine kompromittierten Passwörter verwenden, die in Datenlecks offengelegt wurden.

5. Eliminiere Sicherheitsfragen und Hinweise

Wissensbasierte Wiederherstellungshinweise und -fragen, wie „Wie hieß dein erstes Haustier?“, sind eine veraltete Praxis. Diese Antworten sind über soziale Medien leicht zu beschaffen. Verlasse dich stattdessen auf sichere Wiederherstellungsmethoden wie Wiederherstellungslinks und Bestätigungscodes während Zurücksetzungen.

6. Verwende moderne Sicherheitstools

Die Begrenzung der Anzahl fehlgeschlagener Anmeldeversuche, die Anforderung der Verwendung von Multi-Faktor-Authentifizierung (MFA) und die Nutzung von Tools wie einem Enterprise-Passwort-Manager bieten entscheidenden Schutz vor modernen Cyberbedrohungen und helfen, Kompromittierungen zu erkennen.

Wie haben sich die NIST-Passwortanforderungen geändert?

Wie man die NIST-Passwortempfehlungen umsetzt

Die Umsetzung der aktualisierten NIST-Passwortempfehlungen ist entscheidend für die Einhaltung regulatorischer Rahmenbedingungen. Selbst wenn du nicht an diese Rahmenbedingungen gebunden bist, verbessern diese Richtlinien deine Sicherheitslage und schützen dein Unternehmen. Hier ist, wie du sie umsetzt.

• Führe ein Audit durch: Überprüfe bestehende Richtlinien anhand der neuen NIST-Leitlinien, um veraltete Anforderungen zu identifizieren, die aktualisiert werden müssen.
• Aktualisiere deine Systeme: Konfiguriere Authentifizierungssysteme gemäß den neuen Richtlinien neu, z. B. indem du längere Passwörter und keine Ablauffristen zulässt.
• Erstelle deine Blocklist: Implementiere ein Screening gegen Datenbanken mit Datenlecks, um deine Blocklist aufzubauen. Nimm außerdem mitarbeiter- oder unternehmensspezifische Begriffe und Variationen sowie gängige Muster in deine Blocklist auf.
• Stärke Sicherheitsebenen: Implementiere Maßnahmen wie die Begrenzung von Anmeldeversuchen und die Verzögerung von erneuten Versuchen, und verwende MFA, um zusätzlichen Schutz zu bieten.
• Nutze Passwort-Management-Tools: Statte Mitarbeiter mit Tools wie einem Passwort-Manager aus, um die Passworterstellung und -speicherung zu automatisieren. Diese Tools eliminieren die Wiederverwendung von Passwörtern und stellen gute Passwortpraktiken sicher.
• Kommuniziere Änderungen: Erkläre deinen Mitarbeitern die Änderungen und führe, wo nötig, Schulungen zur Nutzung von Passwort-Management-Tools durch.

Nutze Proton Pass, um konform mit den NIST-Passwortrichtlinien zu bleiben

Proton Pass ist ein Business-Passwort-Manager, der die Einhaltung der NIST-Passwortrichtlinien vereinfacht. Entwickelt mit Blick auf Privatsphäre und vollständig geschützt durch Ende-zu-Ende-Verschlüsselung, kannst du alle deine Passwortbedürfnisse mit größerer Sorgenfreiheit verwalten.

Viele Funktionen von Proton Pass erfüllen die NIST-Passwortempfehlungen – du kannst lange und einzigartige Passwörter generieren, Anmeldungen automatisieren und Sicherheitsrichtlinien wie 2FA durchsetzen. Proton Pass stärkt deine Teams zudem mit einem Tool, das die Einhaltung dieser Richtlinien zum Weg des geringsten Widerstands macht. Es ist außerdem vollständig konform mit DSGVO, HIPAA und anderen Datenschutzstandards, was deinen Compliance-Prozess vereinfacht.

Häufig gestellte Fragen

Wo kann ich die vollständigen NIST-Passwortrichtlinien lesen?

Du findest die vollständigen NIST-Passwortrichtlinien(neues Fenster) auf der NIST-Website.

Sind die NIST-Passwortanforderungen für alle Unternehmen verpflichtend?

Die NIST-Passwortanforderungen sind für Bundesbehörden verpflichtend. Für andere Unternehmen sind die Richtlinien nicht verpflichtend, können aber durch Compliance-Frameworks wie HIPAA und andere notwendig werden. Prüfer und Auftragnehmer können ebenfalls NIST-Konformität verlangen.

Wie lang sollte ein Passwort laut den NIST-Passwortempfehlungen sein?

Das NIST empfiehlt, dass Passwörter mindestens acht Zeichen lang sein sollten, mit einem Maximum von 64 Zeichen. Es fördert Passwörter oder Passphrasen von größerer Länge gegenüber Komplexität, da diese tendenziell einzigartiger und schwerer zu hacken sind.

Wie erstelle ich ein starkes Passwort?

Der Schlüssel zur Erstellung eines starken Passworts ist es, vorhersehbare Muster, identifizierbare Informationen und wiederverwendete Passwörter zu vermeiden. Verwende lange und einzigartige Passwörter, die zufällige Wörter zu langen Phrasen kombinieren, wie „Lava-Milch-Nase-Lärm“, oder Phrasen und Sätze, die für dich bedeutungsvoll sind. Ein Passwort-Manager kann auch automatisch ein starkes Passwort für dich generieren.

Bist du immer noch unsicher, wie man am besten ein langes, starkes Passwort erstellt, und willst dich nicht für einen Passwort-Manager registrieren? Nutze stattdessen unser Passwort-Generator-Tool.

Wie passen Passwort-Manager in die NIST-Passwortrichtlinien?

Ein Passwort-Manager wie Proton Pass hilft Unternehmen, die NIST-Passwortrichtlinien einzuhalten, indem er lange, einzigartige Passwörter generiert und wiederverwendete Passwörter eliminiert. Tatsächlich nennen die NIST-Richtlinien Passwort-Manager als effektives Werkzeug zur Erstellung starker Passwörter und empfehlen deren Verwendung.

Proton Pass geht bei dieser Compliance noch weiter. Neben der Generierung langer, einzigartiger Passwörter für deine Mitarbeiter automatisiert es auch Anmeldungen und setzt Sicherheitsrichtlinien wie 2FA durch und ist Ende-zu-Ende-verschlüsselt, was bedeutet, dass niemand unbefugten Zugriff auf deine Passwörter erhalten kann.