Ihre Passwortrichtlinie verlangt vielleicht noch einen Großbuchstaben, ein Sonderzeichen und einen Wechsel alle 90 Tage. Das US-amerikanische National Institute of Standards and Technology (NIST) hat sich von allen dreien verabschiedet. Seine aktuelle Richtlinie, SP 800-63B-4, wurde 2025 fertiggestellt und ersetzt die Ausgabe von SP 800-63B aus dem Jahr 2020.
NIST schreibt diese Richtlinien für Systeme der US-Bundesverwaltung, sie sind aber für jede Organisation eine nützliche Referenz. Hier lesen Sie, was sie besagen und wie Sie sie anwenden.
Die Passwortregeln in SP 800-63B-4
Abschnitt 3.1.1.2 legt die Anforderungen an Systeme fest, die Passwörter prüfen. NIST verwendet SHALL für Anforderungen (im Folgenden „muss“) und SHOULD für Empfehlungen („sollte“).
| Thema | Was NIST sagt |
|---|---|
| Mindestlänge, nur Passwort | Muss mindestens 15 Zeichen betragen |
| Mindestlänge, Passwort als Teil von MFA | Muss mindestens 8 Zeichen betragen |
| Maximallänge | Sollte mindestens 64 Zeichen zulassen |
| Zeichen | Sollte alle druckbaren ASCII-Zeichen, Leerzeichen und Unicode akzeptieren |
| Kompositionsregeln | Dürfen nicht vorgeschrieben werden, etwa „ein Großbuchstabe, eine Ziffer, ein Sonderzeichen“ |
| Regelmäßiger Wechsel | Darf nicht verlangt werden |
| Bekannte Kompromittierung | Muss einen Wechsel erzwingen, wenn es Hinweise gibt, dass das Passwort kompromittiert ist |
| Sperrliste | Muss neue Passwörter mit bekannten häufigen, naheliegenden oder kompromittierten Werten abgleichen |
| Hinweise und Sicherheitsfragen | Darf keine Passworthinweise speichern und keine wissensbasierten Fragen stellen |
| Passwort-Manager | Muss sie und das automatische Ausfüllen zulassen; sollte Einfügen zulassen |
| Fehlgeschlagene Versuche | Muss sie begrenzen (Rate Limiting) |
| Kürzung | Muss das gesamte eingegebene Passwort prüfen |
Warum die alten Regeln abgeschafft wurden
Kompositionsregeln und erzwungene Wechsel wirken streng, treiben Menschen aber zu vorhersehbaren Mustern. Wer Autumn2026! ändern muss, wählt gut möglich Winter2026! – und ein Angreifer, der das alte Passwort kennt, kann das neue erraten.
NIST setzt stattdessen auf Länge und eine Sperrliste. Eine lange Passphrase ist leichter zu merken als eine kurze Zufallszeichenfolge. Ein Wechsel hilft erst, wenn ein Passwort geleakt wurde; deshalb knüpft NIST Wechsel an Hinweise auf eine Kompromittierung statt an den Kalender.
Die Sperrliste ersetzt die Kompositionsregeln als eigentlichen Filter. Sie weist die Passwörter zurück, die Angreifer zuerst ausprobieren: häufige Passwörter, Begriffe mit Bezug zu Ihrer Organisation und Passwörter, die bereits in Datenlecks aufgetaucht sind.
Abgleich mit geleakten Passwörtern
Mit dem Dienst „Pwned Passwords“ von Have I Been Pwned können Sie ein Passwort mit Daten aus Datenlecks abgleichen, ohne das Passwort zu senden. Ihr System hasht das Passwort mit SHA-1 und sendet nur die ersten fünf Zeichen des Hashwerts. Der Dienst liefert jedes Hash-Ende, das mit diesen fünf Zeichen beginnt, zusammen mit einer Häufigkeit zurück, und Sie vergleichen lokal.
# SHA-1 of "password" is 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8
curl -s -H "Add-Padding: true" https://api.pwnedpasswords.com/range/5BAA6Dieses Verfahren heißt k-Anonymität: Der Dienst erfährt nie, welches Passwort Sie geprüft haben. Eine typische Antwort enthält mehrere Hundert Hash-Enden, und der Header Add-Padding verbirgt die tatsächliche Größe der Antwort vor jedem, der den Datenverkehr beobachtet. Für die Bereichsabfrage von Passwörtern ist kein API-Schlüssel nötig.
Bauen Sie diese Prüfung in die Masken zum Festlegen und Ändern von Passwörtern ein. In Active-Directory-Umgebungen gibt es Tools, die eine Liste geleakter Passwörter auf Passwortänderungen in der Domäne anwenden.
Lassen Sie Passwort-Manager zu
NIST verlangt, dass prüfende Systeme Passwort-Manager und automatisches Ausfüllen zulassen. Das ist sinnvoll: Ein Manager macht lange, eindeutige Passwörter praktikabel und füllt sie nur auf der Domain aus, für die sie gespeichert wurden. Wer das Einfügen in Anmeldeformularen blockiert, arbeitet dagegen.
Stellen Sie Ihren Beschäftigten einen Passwort-Manager des Unternehmens zur Verfügung, statt die Wahl jedem selbst zu überlassen. Schützen Sie den Manager selbst mit einer starken Master-Passphrase und phishing-resistenter MFA.
MFA ist nicht gleich MFA
Mit einem zweiten Faktor reicht ein gestohlenes Passwort allein nicht mehr aus, doch manche Verfahren lassen sich trotzdem phishen. Eine gefälschte Anmeldeseite des Angreifers kann nach einem Code fragen und ihn in Echtzeit weiterreichen. NIST definiert Phishing-Resistenz als die Fähigkeit eines Protokolls, die Preisgabe von Geheimnissen zu verhindern, ohne auf die Wachsamkeit des Benutzers angewiesen zu sein.
| Verfahren | Phishing-resistent? | Hinweise von NIST |
|---|---|---|
| Code per SMS oder Anruf | Nein | Ein „eingeschränkter“ Authenticator; prüfende Systeme müssen Alternativen anbieten und sollten auf SIM-Swapping und Rufnummernportierung achten |
| Code aus einer Authenticator-App (TOTP) | Nein | Codes werden von Hand eingegeben und können daher weitergeleitet werden |
| Push-Bestätigung oder Out-of-Band-App | Nein | Out-of-Band-Verfahren sind nicht phishing-resistent |
| Code oder Link per E-Mail | Für Out-of-Band nicht zulässig | E-Mail darf nicht zur Out-of-Band-Authentifizierung verwendet werden |
| FIDO2-/WebAuthn-Sicherheitsschlüssel oder Passkey | Ja | Die Antwort ist an den geprüften Namen der Website gebunden |
Auf der mittleren Vertrauensstufe von NIST, AAL2, müssen prüfende Systeme mindestens eine phishing-resistente Option anbieten. Auf der höchsten Stufe, AAL3, muss der Authenticator phishing-resistent sein und einen privaten Schlüssel verwenden, der sich nicht exportieren lässt.
Passkeys
Ein Passkey ist ein FIDO-Anmeldeverfahren auf Basis von WebAuthn. Ihr Gerät erzeugt für jede Website ein Schlüsselpaar. Die Website speichert nur den öffentlichen Schlüssel, der private bleibt bei Ihnen. Sie entsperren ihn auf dieselbe Weise wie Ihr Gerät, etwa per Fingerabdruck, Gesichtserkennung oder PIN. Die FIDO Alliance weist darauf hin, dass biometrische Daten auf dem Gerät bleiben und nie an die Website gesendet werden.
Weil jeder Passkey an eine Website gebunden ist, funktioniert er auf einer Doppelgänger-Domain schlicht nicht. Außerdem gibt es auf dem Server kein gemeinsames Geheimnis, das gestohlen werden könnte.
Passkeys gibt es in zwei Formen:
- Synchronisierte Passkeys werden über den Synchronisierungsdienst eines Anbieters auf Ihre Geräte kopiert. NIST nennt sie synchronisierbare Authenticators und lässt sie auf AAL2 zu. Weil der Schlüssel exportiert werden kann, dürfen sie auf AAL3 nicht verwendet werden.
- Gerätegebundene Passkeys bleiben auf einem Gerät, etwa einem Hardware-Sicherheitsschlüssel. Sie eignen sich für Administratoren und andere besonders gefährdete Konten.
Denken Sie auch an die Kontowiederherstellung. Wenn sich ein Passkey-Konto per E-Mail-Link oder Anruf beim Helpdesk zurücksetzen lässt, greifen Angreifer einfach diesen Weg an. Machen Sie die Wiederherstellung mindestens so sicher wie die Anmeldung, die sie ersetzt.
Eine Richtlinie, die Sie übernehmen können
- Mindestens 15 Zeichen, wo ein Passwort der einzige Faktor ist; mindestens 64 Zeichen zulassen.
- Keine Kompositionsregeln und kein planmäßiger Ablauf.
- Jedes neue Passwort mit einer Liste geleakter und häufiger Passwörter abgleichen.
- Einen Wechsel nur bei Hinweisen auf eine Kompromittierung erzwingen.
- Einen Passwort-Manager bereitstellen sowie Einfügen und automatisches Ausfüllen zulassen.
- MFA überall verlangen, wo sie verfügbar ist, und phishing-resistente MFA für Administratoren, E-Mail und Fernzugänge.
- Passkeys einführen, wo Ihre Systeme sie unterstützen, beginnend mit besonders gefährdeten Konten.
- Fehlgeschlagene Anmeldungen begrenzen und die Kontowiederherstellung so sicher machen wie die Anmeldung.
Wo Sie anfangen
Prüfen Sie mit unserem Passwort-Leak-Check, ob ein Passwort bereits in Daten aus Datenlecks vorkommt, und testen Sie mit unserem Passwort-Generator, wie lang eine Passphrase sein muss.
Wenn Sie Ihre Identitätsrichtlinie überarbeiten oder die Einführung von Passkeys planen, unterstützt Sie unser Beratungsteam bei der Planung.
