Was ist eine schwache Passwortrichtlinie? Risiken und wie man sie behebt

Was ist eine schwache Passwortrichtlinie?

Eine schwache Passwortrichtlinie ist eine Authentifizierungskonfiguration, die keine angemessene Stärke von Anmeldedaten durchsetzt und Systeme dadurch anfällig für Brute-Force-, Credential-Stuffing- und Password-Spraying-Angriffe macht. Formal von MITRE als CWE-521 klassifiziert, besteht diese Schwachstelle, wenn eine Anwendung oder ein System Passwörter zulässt, die ein Angreifer realistischerweise erraten, knacken oder in großem Maßstab testen kann.

Eine schwache Passwortrichtlinie erfordert keine einzige Zeile bösartigen Codes. Der Angreifer benötigt lediglich gültige Anmeldedaten. Sobald diese erlangt wurden, agiert er als legitimer Benutzer, für signaturbasierte Sicherheitstools unsichtbar und oft monatelang unbemerkt. Verizon’s 2025 Data Breach Investigations Report (DBIR) stellte fest, dass der Missbrauch von Anmeldedaten der häufigste initiale Angriffsvektor ist. IBM's 2025 Cost of a Data Breach Bericht ergab, dass die Identifizierung von auf Anmeldedaten basierenden Sicherheitsverletzungen bis zu 186 Tage dauert, eine der längsten Identifizierungszeiträume über Angriffskategorien hinweg. Das ist ein halbes Jahr, in dem sich ein Angreifer als jemand anmeldet, dem Sie vertrauen.

Der Schaden geht über einzelne Konten hinaus. Schwache Passwortrichtlinien ermöglichen laterale Bewegung, Privilegieneskalation und dauerhaften Zugriff über gesamte Umgebungen hinweg. Jedes einzelne dieser Ergebnisse lässt sich auf eine Richtlinienentscheidung zurückführen, die jemand ändern kann.

Wie funktioniert eine schwache Passwortrichtlinie?

Eine schwache Passwortrichtlinie schafft auf mehreren Ebenen des Authentifizierungsprozesses ausnutzbare Bedingungen. Die Schwachstelle ist kein einzelnes Versagen, sondern eine Kette unzureichender Kontrollen, die Angreifer der Reihe nach bewerten und ausnutzen.

Der Entscheidungsbaum des Angreifers

Bevor Angreifer einen Angriff auf Anmeldedaten starten, führen sie eine Aufklärung der Richtlinie durch. MITRE dokumentiert dies als Richtlinienaufklärung, bei der Angreifer Sperrschwellen, Mindestlängenanforderungen und Komplexitätsregeln erfassen, um die optimale Angriffstechnik auszuwählen und dabei eine Identifizierung zu vermeiden.

Die Ausnutzungskette entfaltet sich typischerweise auf diese Weise:

1. Aufklärung. Der Angreifer identifiziert extern exponierte Authentifizierungsendpunkte, remote desktop protocol (RDP), virtual private network (VPN), Outlook Web Access (OWA) und Single-Sign-On-(SSO)-Portale und sondiert Richtlinienmerkmale.
2. Technikauswahl. Basierend auf beobachteten Richtlinienschwächen wählt der Angreifer den Angriff mit der höchsten Effizienz aus und stimmt die Technik auf die jeweils entdeckte Lücke ab.
3. Beschaffung von Anmeldedaten. Der Angreifer erlangt über die gewählte Technik eine gültige Kombination aus Benutzername und Passwort.
4. Missbrauch nach der Kompromittierung. MITRE klassifiziert diese Phase unter gültige Konten, wobei der Angreifer als legitimer Benutzer über initialen Zugriff, Persistenz und Privilegieneskalation hinweg agiert.

Selbst konservative Sperrrichtlinien sind für sich allein unzureichend. MITRE hebt die Quad7 campaign hervor, bei der Angreifer password spraying mit einem einzigen Versuch pro Konto innerhalb eines 24-Stunden-Zeitraums über kompromittierte small office/home office (SOHO)-Router durchführten. Eine Ratenbegrenzung nur pro Konto kann einen Angriff nicht stoppen, der so gestaltet ist, dass er darunter bleibt.

Sicherheitsframeworks klassifizieren diese Fehlerkette auf drei verschiedene Arten, und diejenige, die Sie anführen, bestimmt, wie die Behebung priorisiert wird.

OWASP- und MITRE-Klassifizierung

Schwache Passwortrichtlinien liegen an der Schnittstelle von drei wichtigen Sicherheitsframeworks, die die Schwäche jeweils aus einem anderen Blickwinkel klassifizieren. Das Verständnis dieser Zuordnung hilft Sicherheitsteams, Richtlinienprüfungen mit Workflows für Schwachstellenmanagement und Threat Intelligence zu verknüpfen.

Die CWE-Klassifizierung erfasst die Grundursache, Open Worldwide Application Security Project (OWASP) gruppiert sie mit verwandten Authentifizierungsfehlern, und MITRE ATT&CK ordnet das darauf folgende Angreiferverhalten zu. Diese mehrschichtige Sicht zeigt auch, dass CWE-521 selten die einzige vorhandene Schwachstelle ist.

Die Schwachstelle befindet sich auf der Abstraktionsebene "Base" in der CWE-Hierarchie und ist damit die bevorzugte Klassifizierung für die Ursachenanalyse und Offenlegung von Schwachstellen. Ihre übergeordnete Schwachstelle ist CWE-287, wodurch sie in die breitere Familie von Authentifizierungsfehlern eingeordnet wird, die unbefugten Zugriff ermöglichen.

Gemeinsam zugeordnete Schwachstellen unter OWASP A07

CWE-521 erscheint unter OWASP A07 nicht isoliert. Die Kategorie gruppiert sie mit mehreren verwandten Schwachstellen, die in derselben Umgebung häufig gemeinsam auftreten:

• CWE-307: Fehlende Ratenbegrenzung oder Kontosperrung, wodurch uneingeschränkte Brute-Force-Versuche ermöglicht werden
• CWE-640: Schwache Mechanismen zur Kennwortwiederherstellung, die eine ansonsten starke Richtlinie umgehen
• CWE-262/263: Fehlende oder unwirksame Kontrollen zur Kennwortalterung
• CWE-798: Hartcodierte Anmeldedaten, die durch keine Richtlinienänderung behoben werden können

Diese gemeinsame Zuordnung ist wichtig, weil die Behebung von CWE-521 allein, etwa durch die Durchsetzung einer größeren Mindestlänge, die umfassendere A07-Exponierung nicht beseitigt, wenn benachbarte Schwachstellen weiterhin offen bleiben. Eine wirksame Behebung erfordert die Behandlung des gesamten Clusters.

Frameworks benennen die Schwachstelle. Umgebungen erzeugen sie, meist durch acht wiederkehrende Lücken.

Ursachen schwacher Kennwortrichtlinien

Schwache Kennwortrichtlinien gehen selten auf eine einzelne Fehlkonfiguration zurück. Die meisten anfälligen Umgebungen kombinieren mehrere Kontrolllücken, die sich gegenseitig verstärken und aus einer isoliert betrachtet möglicherweise geringfügigen Schwachstelle einen verlässlichen Angriffsweg machen.

1. Keine Durchsetzung einer Mindestlänge

Die Nichtdurchsetzung von NISTs Mindestlängenempfehlung oder CISAs operativem Ziel von 15 Zeichen ermöglicht direkt Brute-Force-Angriffsmuster, die CWE-521 zugeordnet sind. NISTs Konformitätskriterien besagen, dass die Länge eines gemerkten Geheimnisses die verlässlichste Metrik zur Bestimmung der Stärke ist.

2. Zulassen bekanntermaßen schwacher oder gängiger Kennwörter

Anwendungen, die Kennwörter wie "Password1" oder "admin/admin" zulassen, ohne sie mit Listen bekannter schlechter Kennwörter abzugleichen, sind unabhängig von anderen Richtlinienkontrollen anfällig. OWASPs Authentifizierungsrichtlinien empfehlen als minimale Basislinie einen Test gegen die am häufigsten schlechtesten Kennwörter.

3. Keine Ratenbegrenzungs- oder Sperrmechanismen

Ohne Drosselung sind brute force attacks unabhängig von Komplexitätsanforderungen erfolgreich. Ratenbegrenzung und Kennwortstärke sind unabhängige Kontrollen, und ihre Ausfälle verstärken sich gegenseitig.

4. Schwache oder unsichere Kennwortspeicherung

Die Speicherung im Klartext, verschlüsselt (reversibel) oder mit schwachen Hashes (MD5, unsalted SHA-1, NTLM) verwandelt eine ausschließlich online bestehende Angriffsfläche in eine Offline-Angriffsfläche und entfernt jede Authentifizierungsdrosselung aus der Gleichung.

5. Unwirksame Mechanismen zur Wiederherstellung von Anmeldedaten

Wissensbasierte Sicherheitsfragen "cannot be made safe" laut OWASP. CWE-640, Weak Password Recovery Mechanism, bedeutet, dass eine starke Kennwortrichtlinie durch einen schwachen Wiederherstellungsablauf vollständig umgangen werden kann.

6. Fehlende oder unwirksame MFA

OWASPs A07 classification führt fehlende Multi-Faktor-Authentifizierung (MFA) ausdrücklich als direkte Schwachstellenbedingung auf. NIST SP 800-63B legt fest, dass Kennwörter allein nur für Kontexte mit geringer Vertrauenswürdigkeit geeignet sind.

7. Kontraproduktive Komplexitäts- und obligatorische Rotationsregeln

OWASP weist darauf hin, dass obligatorische Rotation und Komplexität bei der Zeichenzusammensetzung Benutzer dazu ermutigen, schwache Kennwörter wiederzuverwenden und vorhersehbare Muster zu erstellen. NIST SP 800-63-3 hat diese Praktiken 2017 formell verworfen.

8. Organisatorische und lebenszyklusbezogene Managementfehler

Mängel bei der Zugangsdatenhygiene, inaktive Konten, gemeinsam genutzte Zugangsdaten und Konten ausgeschiedener Benutzer stellen operative Schwachstellen dar, die durch keine Regel zur Passwortkomplexität adressiert werden. CIS Control 5 führt diese als eigenständige Schwachstellen auf.

Acht Lücken, jede für sich klein. Zusammen erklären sie, warum eine einzelne schwache Anmeldeinformation zu einem Geschäftsrisiko statt zu einem Helpdesk-Ticket wird.

Auswirkungen und Risiken schwacher Passwortrichtlinien

Die Auswirkungen schwacher Passwortrichtlinien reichen von der Kompromittierung einzelner Konten bis hin zu vollständigen Sicherheitsverletzungen in Unternehmen, regulatorischen Strafen und Reputationsschäden.

Finanzielle Auswirkungen

Ein IBM report aus dem Jahr 2024 ergab, dass die durchschnittlichen globalen Kosten einer Sicherheitsverletzung 4,88 Millionen US-Dollar erreichten.

Verzögerungen bei der Identifizierung

Sicherheitsverletzungen auf Basis von Zugangsdaten weisen eine der längsten Zeitspannen bis zur Identifizierung auf: bis zu 186 Tage bis zur Identifizierung, laut den IBM-Daten von 2025. Während dieses Zeitfensters fügen sich Angreifer, die mit gültigen Zugangsdaten operieren, in den legitimen Datenverkehr ein, ein Muster, das SANS als "living off the land" beschreibt. Nichts von dem, was sie tun, sieht wie ein Angriff aus, weil ein signaturbasiertes Tool keine Signatur für eine erfolgreiche Anmeldung hat.

Regulatorische Exponierung

Regulatorische Rahmenwerke behandeln schwache Passwortrichtlinien inzwischen als messbare Compliance-Verstöße. PCI DSS FAQ legte ab  März 2025 eine verpflichtende Mindestpasswortlänge für Zahlungskartenumgebungen fest. Das britische Product Security and Telecommunications Infrastructure Act verbietet Standardpasswörter wie "admin" für IoT-Geräte, mit finanziellen Strafen bei Nichteinhaltung.

Zusätzliches Risiko durch nicht verwaltete Geräte

Die Verizon 2025 DBIR stellte fest, dass sich Unternehmensanmeldedaten in Infostealer-Protokollen befanden, die von Geräten gesammelt wurden, die das Unternehmen nie verwaltet hat. Diese Zugangsdaten werden außerhalb Ihrer Kontrollen gestohlen und innerhalb dieser verwendet, wodurch ein perimeterzentriertes Modell keine Grundlage mehr hat, auf der es arbeiten kann.

Angreifer improvisieren nichts davon. Sie wählen aus einem dokumentierten, vielfach genutzten Satz von Techniken aus.

Wie Angreifer schwache Passwortrichtlinien ausnutzen

Alle Techniken für Zugangsdatenangriffe fallen unter MITRE ATT&CK, wobei die übergeordnete Technik T1110, Brute Force, ist. Jede Untertechnik zielt auf eine andere Richtlinienlücke ab, und Angreifer wählen den Ansatz, der am besten zu den Schwachstellen passt, die sie während der Aufklärung entdecken.

Passwort-Raten (T1110.001)

Angreifer probieren systematisch Passwörter gegen Zielkonten aus und konzentrieren sich dabei auf SSO-, Cloud-Anwendungs- und föderierte Authentifizierungsendpunkte. Der T1110.001 entry von MITRE dokumentiert, dass APT28 über Stunden oder Tage hinweg wiederholte Versuche pro Zielkonto durchführt.

• Ausgenutzte Richtlinienschwäche: Keine Kontosperrungsrichtlinie, kurze Mindestlänge, unveränderte Standardzugangsdaten.

Password Spraying (T1110.003)

Ein Passwort oder eine kleine Liste wird über Tausende von Konten hinweg getestet, wobei die Sperrschwellen pro Konto unterschritten werden. Der T1110.003 entry von MITRE dokumentiert mehrere benannte Gruppen, die diese Technik verwenden, darunter APT28, APT29 und Midnight Blizzard.

• Ausgenutzte Richtlinienschwäche: Vorhersehbare Passwortmuster, Season+Year und CompanyName+Number, keine Identifizierung verteilter Fehlschläge über Konten hinweg, kein MFA auf extern erreichbaren Diensten.

Credential Stuffing (T1110.004)

Zugangsdaten aus Sicherheitsverletzungs-Dumps von Drittanbietern werden gegen Unternehmensdienste getestet, wobei Passwortwiederverwendung ausgenutzt wird. Die credential stuffing overview von OWASP weist darauf hin, dass Angreifer Sicherheitsverletzungsdaten auch verwenden, um Wiederherstellungsmechanismen für Zugangsdaten mithilfe offengelegter Telefonnummern, E-Mail-Adressen und Antworten auf Sicherheitsfragen zu umgehen.

• Ausgenutzte Richtlinienschwäche: Keine Durchsetzung gegen dienstübergreifende Passwortwiederverwendung, keine Prüfung kompromittierter Zugangsdaten bei der Anmeldung, fehlendes MFA.

Passwort-Cracking (T1110.002)

Dies ist ein Angriff in zwei Phasen. Zuerst extrahieren Angreifer Passwort-Hashes aus Credential Stores, NTDS.dit und /etc/shadow. Zweitens knacken sie die Hashes offline auf GPU-beschleunigter Infrastruktur mit Tools wie Hashcat und John the Ripper, vollständig außerhalb der Reichweite des Opfers. MITREs T1110.002-Eintrag dokumentiert, dass FIN6 Passwort-Hashes aus ntds.dit zum Offline-Knacken extrahiert und Salt Typhoon Passwörter mit schwacher Verschlüsselung aus Konfigurationsdateien von Netzwerkgeräten knackt.

• Ausgenutzte Richtlinienschwäche: Kurze Passwörter verkürzen die Knackzeit. Veraltete Hashing-Algorithmen, MD5, NTLM und ungesalzenes SHA-1 ermöglichen vorberechnete Angriffe.

Kerberoasting (T1558.003)

Jeder authentifizierte Domain-Benutzer kann Kerberos-Service-Tickets für Konten mit Service Principal Names anfordern. Diese Tickets sind mit dem Passwort-Hash des Dienstkontos verschlüsselt. Angreifer exportieren die Tickets und knacken sie offline. Es sind keine erhöhten Berechtigungen erforderlich, und nach der Ticket-Erfassung ist keine zusätzliche Netzwerkinteraktion nötig.

• Ausgenutzte Richtlinienschwäche: Dienstkonten mit schwachen Passwörtern, fehlende Überwachung von Massenabfragen nach SPN und Dienstkonten, die von Komplexitätsanforderungen auf Benutzerebene ausgenommen sind.

Fünf Techniken, eine Voraussetzung: Jede einzelne benötigt ein Passwort, das eine stärkere Richtlinie abgelehnt hätte. Das ist der Hebelpunkt. Wo er angewendet wird, hängt davon ab, welche Systeme exponiert sind.

Wer ist von schwachen Passwortrichtlinien betroffen?

Schwache Passwortrichtlinien betreffen jede Organisation und jedes System, das passwortbasierte Authentifizierung verwendet. Die Exponierung variiert jedoch je nach Branche, Systemtyp und Bereitstellungsmodell.

Am stärksten gefährdete Anwendungstypen

Die MITRE ATT&CK-Dokumentation identifiziert bestimmte Dienste und Protokolle, auf die Angreifer routinemäßig abzielen:

Branchen mit dem höchsten Risiko

Der gemeinsame Nenner der oben genannten Dienste ist, dass sie Authentifizierung direkt Netzwerken aussetzen, über die Angreifer sie erreichen können. Das Risiko konzentriert sich in bestimmten Branchen noch stärker.

• Betreiber kritischer Infrastrukturen sind regulatorischen Risiken sowohl durch CISA’s Cybersecurity Performance Goals (CPG) 2.0 als auch durch operative Threat-Intelligence-Hinweise ausgesetzt. 
• Gesundheitswesen und Finanzdienstleistungen kombinieren hochwertige Daten mit komplexen Legacy-Umgebungen. 
• Regierungsbehörden unterliegen den Anforderungen an Federal Information Security Modernization Act (FISMA) zur kontinuierlichen Überwachung und der NIST SP 800-63B-4-Compliance.
• IoT- und Operational-Technology-(OT)-Umgebungen stehen vor einem strukturellen Problem: Geräte werden häufig mit fest codierten oder Standard-Anmeldedaten ausgeliefert, die Administratoren nicht ändern können. CISA veröffentlichte eine ICS advisory für ein SinoTrack-GPS-Gerät, dessen Standardpasswort öffentlich bekannt war, ohne einen Mechanismus, der eine Änderung erzwingt.
• Kleine und mittlere Unternehmen verfügen in der Regel nicht über dedizierte Sicherheitsteams, um Passwortrichtlinien zu prüfen, MFA durchzusetzen oder Credential-Angriffe zu überwachen, wodurch sie trotz ihrer kleineren Angriffsflächen unverhältnismäßig verwundbar sind.

Praxisbeispiele für die Ausnutzung schwacher Passwortrichtlinien

Nichts davon ist theoretisch. Jeder der folgenden Vorfälle begann mit einer einzigen Anmeldeinformation und zeigt, wie sich schwache Passwortrichtlinien in operative und finanzielle Schäden in verschiedenen Branchen und Systemtypen übersetzen.

SolarWinds-Lieferkettenangriff (2020)

Ein schwaches Passwort auf dem SolarWinds-Update-Server, das von Juni 2018 bis November 2019 offengelegt war, gewährte Zugriff, der eine Kompromittierung der Lieferkette ermöglichte, die US-Bundesministerien und -behörden betraf.

Colonial-Pipeline-Ransomware-Angriff (2021)

Die größte Pipeline für raffinierte Ölprodukte in den USA wurde abgeschaltet, nachdem Angreifer eine einzelne Anmeldeinformation für ein Legacy-VPN-Konto kompromittiert hatten ohne MFA. Das Unternehmen zahlte 4,4 Millionen US-Dollar Lösegeld in Bitcoin.

Ein gleichzeitiges DOI OIG audit ergab, dass das US-Innenministerium MFA für Assets nicht implementiert hatte, die Wiederverwendung von Passwörtern über mehrere Konten hinweg zuließ und inaktive Konten nicht rechtzeitig deaktivierte, was bestätigte, dass das bei Colonial Pipeline beobachtete Fehlermuster systemisch in Bundesorganisationen verbreitet war.

Target Corporation (2013)

Bei dieser Datenschutzverletzung wurden Daten von Zahlungskarten in zweistelliger Millionenhöhe offengelegt. Eine Sicherheitsbewertung nach der Datenschutzverletzung reported by KrebsOnSecurity ergab, dass Targets Passwortrichtlinie nicht durchgesetzt wurde, Dateien mit gültigen Netzwerk-Anmeldedaten auf mehreren Servern gespeichert waren und Systeme durchgängig schwache oder Standardpasswörter verwendeten. Prüfer erhielten mit diesen schwachen Passwörtern sofortigen Zugriff als Systemadministrator.

RockYou-Datenpanne (2009)

Eine SQL injection -Schwachstelle legte Passwörter im Klartext offen, mehr als drei Jahrzehnte nach der Erfindung des Passwort-Hashings. Die Datenschutzverletzung brachte die Wortliste "rockyou.txt" hervor, die bei Penetrationstests und realen Angriffen weiterhin ein Standardwörterbuch zum Knacken ist.

Zeitleiste und Geschichte von Schwachstellen in Passwortrichtlinien

Schwächen in Passwortrichtlinien werden seit den frühesten Tagen der Computertechnik ausgenutzt. Die folgende Zeitleiste zeichnet die wichtigsten Meilensteine von der Erfindung der passwortbasierten Authentifizierung bis zu den jüngsten regulatorischen Änderungen und Änderungen bei Standards nach.

Die Standards sind seit Jahren richtig. Die Lücke liegt in der Bereitstellung. Sie zu schließen beginnt damit, zu wissen, wo die schwachen Richtlinien tatsächlich in Ihrer Umgebung vorhanden sind.

So erkennen Sie schwache Passwortrichtlinien

Das Auffinden schwacher Passwörter erfordert sowohl proaktive Audits bestehender Anmeldedaten als auch Echtzeitüberwachung der Authentifizierungsaktivität. Keine einzelne Methode ist ausreichend.

Proaktives Audit von Passwort-Hashes

Extrahieren Sie Passwort-Hashes aus NTDS.dit oder /etc/shadow und prüfen Sie sie mit Cracking-Tools, um knackbare Passwörter zu finden, bevor Angreifer dies tun. Dies ist eine Purple-Team-Technik, bei der dieselben Tools, die Angreifer verwenden, planmäßig gegen Ihre eigenen Credential Stores eingesetzt werden. Dies ist besonders kritisch für Dienstkonten mit SPNs, die Ziele für Kerberoasting sind. 

Überwachen Sie die Nutzung von RC4-Verschlüsselung in Kerberos ticket Anfragen und auditieren Sie Massenabfragen von SPNs, beides Indikatoren für aktive Kerberoasting-Aufklärung. Ein CISA advisory bestätigte dieses Risiko: Das Team knackte das schwache Passwort eines privilegierten Dienstkontos mithilfe einer gängigen Wortliste, nachdem es ein lesbares /etc/shadow in einem global zugänglichen Backup gefunden hatte.

SIEM-basierte Korrelation von Authentifizierungsanomalien

Zu den wichtigsten Signaturen, die in einer SIEM-Plattform korreliert werden sollten, gehören:

• Credential stuffing: Mehrere fehlgeschlagene Authentifizierungen mit unterschiedlichen Benutzernamen-/Passwort-Paaren von einer einzelnen IP-Adresse.
• Spraying: Serien fehlgeschlagener Authentifizierungen mit rotierenden Benutzernamen.
• Insider threat: Ausführung von Passwort-Auditing-Tools innerhalb der Umgebung.

Die Korrelation dieser Signale erfordert eine zentrale Log-Erfassung und ausreichend Aufbewahrung, um langsam ablaufende Kampagnen sichtbar zu machen. Wenn Schwellenwerte pro Konto verteilte Angriffe nicht erfassen, schließen verhaltensbasierte Ansätze diese Lücke.

Verhaltensanalyse von Credential-Angriffen

Auf Sperrung basierende Kontrollen können verteiltes Spraying, einen einzelnen Versuch pro Konto und Tag oder groß angelegtes Stuffing nicht adressieren. Verhaltensanalyse arbeitet auf dem Muster statt auf dem Schwellenwert. 

Sie kennzeichnet anomale Geräteeigenschaften, nicht-menschliche Interaktionsabläufe, ungewöhnliche Zugriffsorte und gleichzeitige Anmeldungen von einem einzelnen Konto.

Prüfung gegen Breach-Korpora

CISA's FY2025 FISMA metrics verlangen von Behörden, kontinuierlich zu überprüfen, ob Konten mit Anmeldedaten aus früheren Sicherheitsverletzungen und bekannten schwachen Passwörtern kompromittiert werden können, einschließlich Wörterbuchwörtern und dem eigenen Benutzernamen des Nutzers. Dies ordnet die Prüfung gegen Breach-Korpora als verpflichtende, fortlaufende Kontrolle ein, nicht als punktuelle Überprüfung.

Identity Threat Response

Die SANS Analyse von Identitätsangriffen definiert Identity Threat Detection and Response (ITDR) als eine Sammlung von Tools und Best Practices zur Verteidigung von Identitätssystemen, zur Erkennung von Kompromittierungen und zur Ermöglichung einer effizienten Behebung. Die zentrale Herausforderung besteht darin, dass Angreifer, die gültige Anmeldedaten verwenden, mit legitimen Aktivitäten verschmelzen. ITDR erfordert Identitätstransparenz über Cloud-, On-Premises- und Hybrid-Umgebungen hinweg, die alle Benutzer, alle Konten, menschliche und Dienstkonten, alle Zugriffsrechte und alle Konfigurationen abdeckt.

Sobald Sie wissen, wie Sie die Schwachstelle finden, besteht der nächste Schritt darin, präventive Kontrollen zu implementieren.

So verhindern Sie schwache Passwortrichtlinien

Prävention erfordert die Abstimmung Ihrer Passwortrichtlinie auf aktuelle regulatorische Standards bei gleichzeitiger Berücksichtigung jeder der acht Grundursachen.

Eine Mindestpasswortlänge von 15 Zeichen durchsetzen

CISA-Hinweis von 2025 ordnet Richtlinien mit weniger als 15 Zeichen explizit der Ermöglichung von Angriffen nach T1110.001, .002, .003 und .004 zu. Dies ist der operativ am besten fundierte Schwellenwert aus einer maßgeblichen Quelle. PCI DSS FAQ schreibt eine Mindestpasswortlänge für Zahlungskartenumgebungen vor.

Phishing-resistente MFA für alle Zugriffspunkte bereitstellen

Die Leitlinien von CISA für 2025 spezifizieren phishing-resistente MFA, nicht nur irgendeine MFA-Implementierung. PCI DSS v4.0.1 verlangt MFA für jeden Zugriff auf Karteninhaberdatenumgebungen und akzeptiert gemäß FAQ 1595 FIDO2-Passkeys. NIST SP 800-63B-4 verlangt MFA auf Authenticator Assurance Level 2 (AAL2) und AAL3, wobei AAL3 zusätzlich Resistenz gegen Verifier-Impersonation und Verifier-Kompromittierung erfordert.

Passwörter gegen Sammlungen kompromittierter Daten prüfen

Prüfen Sie alle neuen und geänderten Passwörter gegen bekannte kompromittierte Werte, Wörterbuchwörter und den eigenen Benutzernamen des Benutzers. OWASP empfiehlt mindestens einen Test gegen die am häufigsten schlechtesten Passwörter. CISA-FISMA-Metriken verlangen kontinuierliche Überwachung, keine punktuellen Prüfungen. Ersetzen Sie verpflichtende Rotationsvorgaben durch diesen kontinuierlichen Prüfansatz.

Unsichere Speicherung beseitigen und Rotation von Anmeldedaten etablieren

Verbieten Sie die Speicherung von Passwörtern im Klartext und prüfen Sie regelmäßig darauf. Verwenden Sie starke, gesalzene Hashing-Algorithmen: bcrypt, scrypt und Argon2. Eine SANS Analyse zur Rotation von Anmeldedaten stellt fest, dass Organisationen in der Lage sein müssen, Anmeldedaten in einem wöchentlichen Rhythmus zu rotieren. Die Unfähigkeit dazu weist auf unzureichende operative Hygiene bei Anmeldedaten hin. Diese Fähigkeit erfordert eine dedizierte Infrastruktur für das Secrets Management.

Inaktive Konten innerhalb von 45 Tagen deaktivieren

CIS Controls verlangen die Löschung oder Deaktivierung inaktiver Konten nach 45 Tagen Inaktivität. SANS identifiziert die sofortige Deaktivierung inaktiver Konten als zentrale Hygiene im Identity and Access Management (IAM).

Least Privilege mit dedizierten Administratorkonten umsetzen

Beschränken Sie Administratorrechte auf dedizierte Admin-Konten. Führen Sie allgemeine Computeraktivitäten, Browsing, E-Mail und Produktivitätsaufgaben von nicht privilegierten Konten aus. CISA CPG verweist auf NIST SP 800-53 Rev 5 AC-5, Separation of Duties, und AC-6, Least Privilege, als maßgebliche Kontrollen.

Unternehmensweite Passwort-Manager bereitstellen

Die Passwortleitlinien von CISA empfehlen die Bereitstellung eines unternehmensweiten Passwort-Managers, um eindeutige Anmeldedaten pro Asset durchzusetzen.

Das ist die Richtlinie. Tooling sorgt dafür, dass sie über zehntausend Konten hinweg Bestand hat.

Tools für Erkennung und Prävention

Die Behandlung schwacher Passwortrichtlinien im großen Maßstab erfordert eine Kombination aus proaktiven Audit-Tools, Überwachung der Authentifizierung und Infrastruktur zur Richtliniendurchsetzung. Die folgenden Kategorien decken die primäre Tool-Landschaft ab.

Tools für Passwort-Audits und -Cracking (proaktiv)

• Hashcat: GPU-beschleunigtes Passwort-Auditing und das primäre Tool für proaktives Hash-Cracking.
• John the Ripper: Kostenloses Open-Source-Tool für Passwort-Audits mit Unterstützung für mehrere Anmeldedatenformate.

Diese Tools zeigen auf, welche Anmeldedaten in Ihrer Umgebung denselben Techniken zum Opfer fallen würden, die Angreifer verwenden. Sobald Sie wissen, was geknackt werden kann, benötigen Sie Transparenz über aktive Ausnutzungsversuche.

Netzwerk- und Authentifizierungsüberwachung

• SIEM-Plattformen: Korrelieren Authentifizierungsereignisse über Endpunkte, Identitätsspeicher und Cloud-Dienste hinweg, um Spraying-, Stuffing- und Brute-Force-Muster zu erkennen.
• ITDR-Lösungen: Speziell entwickelte Identitätsschutzlösungen für den Fall, dass der Angreifer bereits über gültige Anmeldedaten verfügt und in normalen Aktivitäten untergeht.

Überwachung macht laufende Angriffe sichtbar, verhindert sie jedoch nicht. Durchsetzungstools schließen die Richtlinienlücken, die durch Überwachung aufgedeckt werden.

Richtliniendurchsetzung

• Active Directory-Gruppenrichtlinie: Erzwingen Sie Mindestlänge, Komplexität und Verlaufskontrollen für Passwörter in Windows-Umgebungen.
• Privileged Access Management (PAM): Speichern Sie privilegierte Anmeldedaten in einem Vault und rotieren Sie sie automatisch, um die Passwortsicherheit von Dienstkonten und Administratorkonten zu verbessern.

Diese Kategorien behandeln Auditing, Überwachung und Durchsetzung unabhängig voneinander. SentinelOne vereinheitlicht diese Funktionen in einer einzigen Plattform.

Wie SentinelOne helfen kann

SentinelOne's Singularity™ Platform deckt die Angriffskette für Anmeldedaten im Identitätsspeicher, auf dem Endpoint und bei der Reaktion ab.

• Identitätsschutz. Singularity Identity erkennt den Missbrauch von Anmeldedaten und anomale Authentifizierungsaktivitäten in Active Directory und Cloud-Identitätsspeichern. Wenn Angreifer gültige Anmeldedaten verwenden, die durch Brute Force oder Credential Stuffing erlangt wurden, macht verhaltensbasierte KI die Anomalie sichtbar, ohne dass eine bekannte Signatur erforderlich ist.
• Verhaltensbasierte KI auf dem Endpoint. SentinelOne's agentenbasierte verhaltensbasierte KI analysiert das Prozessverhalten auf Geräteebene. Sie erkennt die laterale Bewegung und Privilegieneskalation, die auf einen erfolgreichen Angriff auf Anmeldedaten folgen.
• Storyline Technologie. Storyline Active Response (STAR)™ rekonstruiert die vollständige Angriffskette vom anfänglichen Missbrauch von Anmeldedaten über laterale Bewegung bis hin zu Datenzugriff und gibt Analysten den vollständigen forensischen Kontext. Wenn ein Angreifer wochenlang mit gültigen Anmeldedaten operiert, verbindet Storyline die Aktivität zu einer einheitlichen Darstellung, anstatt Analysten Ereignisse manuell über nicht verbundene Tools hinweg korrelieren zu lassen.
• Purple AI™ für Untersuchungen. Purple AI™ beschleunigt die Untersuchung von vorfallbezogenen Angriffen auf Anmeldedaten, indem Abfragen in natürlicher Sprache über Singularity Data Lake ermöglicht werden. Untersuchungen von IDC found ergaben, dass Purple AI-Kunden Bedrohungen 63 % schneller identifizieren und die mittlere Reaktionszeit (MTTR) um 55 % reduzieren. Analysten können nach Authentifizierungsanomalien fragen, die mit Dienstkonten verknüpft sind, und erhalten in Sekunden korrelierte Ergebnisse, anstatt Stunden mit Abfragen über mehrere Plattformen zu verbringen.
• AI SIEM und Data Lake. SentinelOne's Data Lake und AI SIEM bieten Echtzeitaufnahme aus jeder Quelle mit Open Cybersecurity Schema Framework (OCSF)-Normalisierung. AI SIEM arbeitet 100-mal schneller als ältere SIEM-Lösungen, sodass Sie Brute-Force-, Spraying- und Credential-Stuffing-Signale über Identitäts-, Endpoint- und Cloud-Telemetrie korrelieren können, während der Angriff noch läuft.
• Autonome Reaktion. Wenn Angriffe auf Anmeldedaten bestätigt werden, isoliert SentinelOne's autonome Reaktions-Engine kompromittierte Endpoints und stoppt laterale Bewegungen, ohne auf menschliches Eingreifen zu warten. In den 2024 MITRE ATT&CK Evaluations erzeugte SentinelOne 88 % weniger Warnmeldungen als konkurrierende Lösungen. Das bedeutet deutlich weniger Rauschen, das untersucht werden muss, während sich ein Vorfall mit Anmeldedaten entwickelt.

Demo anfordern um zu sehen, wie die Singularity Platform Angriffe auf Anmeldedaten in Ihrer gesamten Umgebung erkennt und stoppt.

Verringern Sie das Identitätsrisiko in Ihrer gesamten Organisation

Erkennen und reagieren Sie auf Angriffe in Echtzeit mit ganzheitlichen Lösungen für Active Directory und Entra ID.

Demo anfordern

Verwandte Schwachstellen

Schwache Passwortrichtlinien gehören zu einer breiteren Familie von Schwächen bei Authentifizierung und Verwaltung von Anmeldedaten. Das Verständnis verwandter Schwachstellenklassen weist Sie auf benachbarte Gefährdungen in Ihrer eigenen Umgebung hin.

• CWE-798: Verwendung hartcodierter Anmeldedaten. Software enthält Anmeldedaten, die in den Quellcode einkompiliert und von Administratoren nicht änderbar sind. Keine operative Passwortrichtlinie kann Anmeldedaten beheben, die in eine Binärdatei eingebettet sind. CWE-798 muss auf Ebene des Softwareentwicklungslebenszyklus adressiert werden. Die CWE-259 page bezieht sich speziell auf hartcodierte Passwörter, bei denen kompilierte Java-Klassen dekompiliert werden können, um Zeichenfolgen für Anmeldedaten offenzulegen.
• CWE-287: Unsachgemäße Authentifizierung. Behandelt Fälle, in denen der Authentifizierungsmechanismus selbst umgangen werden kann. Die CWE-287 page dokumentiert CVE-2017-14623, bei dem ein LDAP-Paket die Umgehung der Authentifizierung mit einem leeren Passwort ermöglicht. Selbst eine maximal starke Passwortrichtlinie bietet keinerlei Schutz, wenn der Mechanismus vollständig umgangen wird.
• CWE-262: Keine Verwendung von Passwortalterung. Beschreibt das Versäumnis, den Passwortablauf durchzusetzen. Bemerkenswerterweise nimmt diese CWE eine ungewöhnliche Position ein: Ihre Abhilfemaßnahme, die verpflichtende Alterung, wird selbst inzwischen als Best Practice gemäß NIST SP 800-63-4 infrage gestellt. Die CWE-262-Seite verweist auf eine Community-Diskussion aus dem Jahr 2021 mit dem Titel "Time to retire CWE-262 and CWE-263."
• CWE-263: Passwortalterung mit langem Ablaufintervall. Das gegenteilige Versäumnis zu CWE-262: Eine Richtlinie ist vorhanden, aber so locker konfiguriert, dass sie keine sinnvolle Einschränkung der Lebensdauer von Anmeldedaten bietet.
• CWE-307: Unzureichende Beschränkung übermäßiger Authentifizierungsversuche. Gemeinsam mit CWE-521 unter OWASP A07 zugeordnet und deckt das Fehlen von Rate-Limiting- oder Sperrmechanismen ab.
• CWE-640: Schwacher Mechanismus zur Passwortwiederherstellung. Eine starke Passwortrichtlinie wird vollständig durch einen schwachen Wiederherstellungsablauf umgangen, der wissensbasierte Sicherheitsfragen verwendet.

Wenn Sie reale Offenlegungen von Schwachstellen verfolgen, können Sie auch sehen, wie häufig diese Schwäche in Produkt-CVEs auftritt.

Zugehörige CVEs

Die folgende Tabelle dokumentiert CVEs, die mit schwachen Passwortrichtlinien, Standardanmeldedaten und fest codierten Anmeldedaten-Schwachstellen verbunden sind. 

Alle Einträge verlinken auf verifizierte Seiten in der SentinelOne-Schwachstellendatenbank und sind von neu nach alt geordnet. CISA Known Exploited Vulnerabilities sind gegebenenfalls vermerkt.

Die wichtigsten Erkenntnisse

Schwache Passwortrichtlinien bleiben eine der am konsequentesten ausgenutzten Authentifizierungsschwächen, weil sie Angreifern legitimen Zugriff verschaffen. Die Kontrollen, die sie schließen, sind bereits dokumentiert und bereits verfügbar: längere Mindestlängen, phishing-resistente MFA, Abgleich mit Datenbeständen kompromittierter Zugangsdaten, Salted Hashing und verhaltensbasierte Analyse. 

Jeder Punkt auf dieser Liste ist eine Entscheidung, die jemand in Ihrer Organisation noch in diesem Quartal treffen kann. Treffen Sie sie, und eine gültige Anmeldeinformation ist kein Weg mehr in die gesamte Umgebung.