Der eigentliche Business Case
Was eine Passwort-Rotations-Policy wirklich kostet
Eingaben links, Jahreskosten rechts, drei Policies im 3-Jahres-Vergleich darunter. Das Ergebnis ist ein Rechenweg, nicht ein Dogma.
Eingaben
Ihre Umgebung
Rotationsintervall
Produktivitätsausfall pro Lockout — konservative Untergrenze.
Annahmen im Modell: 18 % der Nutzer benötigen pro Rotationszyklus Helpdesk-Hilfe; 15 % davon eskalieren zu einem Lockout-Vorfall. Beide Werte sind konservative Untergrenzen — Gartner und Ponemon nennen je nach Studie 20–35 %.
Ergebnis
Pro Jahr
- Reset-Tickets / Jahr
- 182
- Lockout-Vorfälle / Jahr
- 27
- Helpdesk-Kosten / Jahr
- 2.372 €
- Lockout-Kosten / Jahr
- 1.232 €
- Gesamt-TCO der Policy / Jahr
- 3.604 €
- Einsparpotenzial bei Verzicht auf Rotation
- 2.715 € / Jahr
3-Jahres-TCO im Vergleich
Drei Policies, drei Größenordnungen
Aktuell
Alle 90 Tage
10.813 €
365 Tage
Jährlich
2.666 €
Keine Rotation
NIST-aktueller Stand
2.666 €
Direkter Aufwand für Helpdesk-Resets und Lockout-Produktivitätsausfälle. Lernkurven, Frustration und schwächere Passwörter durch Rotationszwang sind nicht eingerechnet — die ausgegebene Zahl ist die Untergrenze, nicht die Mitte.
NIST SP 800-63B § 5.1.1.2
NIST SP 800-63B Rev. 3 (2017) und die Aktualisierungen 2024 raten von erzwungener periodischer Rotation explizit ab — außer bei Verdacht auf Kompromittierung. Stattdessen empfohlen: Mindestlänge ≥ 12 Zeichen (für Passphrasen entsprechend mehr), Abgleich gegen bekannte Breach-Datenbanken (z. B. HIBP), MFA für privilegierte Konten. BSI-Grundschutz hat die Verpflichtung zur regelmäßigen Rotation in den letzten Bausteinaktualisierungen ebenfalls relativiert (Baustein ORP.4).
Sechs Vertiefungen
Konkrete Entscheidungen, konkrete Rechenwege.
Sechs Entscheidungen, die in Policy-Runden diese Woche auf dem Tisch liegen — jede mit eigenem Rechenweg, eigenen Quellen und einer Verlinkung in das passende Werkzeug. Für CISO, ISMS, IT-Admin und die KMU-Geschäftsführung ohne eigene IT-Security.
Größenordnung · Erstgespräch
Was Reibung in Ihrer IT pro Jahr wirklich kostet.
Bevor wir über Passwort-Policy reden — die meisten Unternehmen verlieren mehr Zeit an manuelle Routine-Arbeit als an Sicherheitsfragen. Ein grober Überschlag, ohne Anmeldung.
Geschätztes Einsparpotenzial pro Jahr
78.000 €
Basierend auf 60 % Automatisierungsquote × 52 Wochen
Forschung · Hintergrund
Warum NIST 2017 die Wende gemacht hat — und warum es trotzdem noch überall rotiert wird.
Bis 2016 stand in jedem zweiten IT-Sicherheits-Lehrbuch: Passwörter alle 90 Tage erneuern. 2017 hat das National Institute of Standards and Technology in der Special Publication 800-63B Rev. 3 die Empfehlung explizit zurückgenommen. Der Grund war nicht Bequemlichkeit, sondern Empirie: Rotationszwang führt nachweisbar zu schwächeren Passwörtern. Nutzer:innen, die alle drei Monate ein neues Passwort erfinden müssen, wählen Muster — Sommer24!, Herbst24!, Winter24! — und genau diese Muster sind in Brute-Force-Wörterbüchern längst enthalten. Die Sicherheit sinkt, die Helpdesk-Kosten steigen, und das Reset-Aufkommen bleibt das einzige verlässliche Ergebnis der Policy.
Das BSI hat in den letzten Aktualisierungen des Grundschutz-Kompendiums (Baustein ORP.4 — Identitäts- und Berechtigungsmanagement) die Pflicht zur regelmäßigen Passwortänderung deutlich abgeschwächt. Die Anforderung lautet nicht mehr „muss regelmäßig geändert werden“, sondern „bei Verdacht auf Kompromittierung muss geändert werden können“. Das ist ein wichtiger Unterschied — und ein Grund, vorhandene Policies aus 2014 nicht ungeprüft als „BSI-konform“ weiterzuführen.
Die heute verteidigbare Policy hat drei Komponenten: erstens Mindestlänge (≥ 12 Zeichen für Passwörter, ≥ 4–6 Wörter für Passphrasen), zweitens ein Abgleich gegen bekannte Breach-Datenbanken bei der Vergabe (Have I Been Pwned API oder eine On-Premise-Spiegelung der Datensätze), drittens Multi-Faktor-Authentifizierung für alle privilegierten Konten und Remote-Zugänge. Erzwungene periodische Rotation ist in dieser Liste bewusst nicht enthalten. Wenn Ihre aktuelle Policy noch auf 90 Tagen steht — der Rotations-Modellierer oben sagt Ihnen, was Sie das pro Jahr kostet.
Quellen: NIST SP 800-63B Rev. 3 (2017), Abschnitt 5.1.1.2 „Memorized Secret Verifiers“. · BSI IT-Grundschutz-Kompendium, Baustein ORP.4. · Zhang, Monrose, Reiter: „The Security of Modern Password Expiration: An Algorithmic Framework and Empirical Analysis“, CCS 2010. · EFF Diceware Wordlists (Reinhold / EFF, 2016).
Privatsphäre · Architektur
Was passiert mit dem Passwort, das Sie hier eintippen?
Nichts verlässt Ihren Browser. Die Stärke-Prüfung läuft in JavaScript auf Ihrem Gerät — zxcvbn-ts ist eine Bibliothek, die der Browser einmal lädt, danach passiert die Bewertung lokal. Der Passphrasen-Generator nutztcrypto.getRandomValues, die Web-Crypto-API des Browsers; der Seed ist auch für uns nicht zugreifbar. Der Rotations-Modellierer rechnet mit Ihren Eingaben im Browser — die Werte werden nicht an einen Server gesendet, nicht protokolliert, nicht analysiert.
Was wir nicht versprechen können: dass Sie nicht versehentlich ein Passwort in unser /kontakt-Formular eingeben. Tun Sie das nicht. Wir brauchen es nicht und wollen es nicht — und wenn es einmal in einem Mailpostfach gelandet ist, ist es Ihrem Mail-Provider, nicht uns. Das Werkzeug ist sicher gegen Datenabfluss bei der Verwendung. Es ist nicht sicher gegen Bedienfehler.
Wofür ein Passwort-Rechner · Aus der IT-Praxis
Sechs Situationen, in denen das Werkzeug auf den Schreibtisch gehört.
Wir hören die Fragen täglich von IT-Leitungen und MSPs — meist kurz vor einem Audit, einer Policy-Revision oder einer Mandanten-Übernahme. Sechs typische Anlässe.
- 01
Jährliche Policy-Revision
Vor der Vorlage im Lenkungsausschuss prüfen, was die aktuelle Rotations-Vorgabe pro Jahr kostet — und ob sie sich noch mit NIST und BSI decken lässt. Der Modellierer liefert die Zahl, die Beschluss-Vorlagen lesbar macht.
- 02
Onboarding eines neuen MSP-Mandanten
Beim Übergang einer Kunden-IT in den eigenen Service den Bestand schwacher Konten erkennen, bevor man die Verantwortung übernimmt — der zxcvbn-Score auf einem repräsentativen Sample ist eine erste Standortbestimmung.
- 03
Vorbereitung auf TISAX, ISO 27001, BSI-Grundschutz
Im Audit-Gespräch konkret benennen können, mit welchem Werkzeug die Stärkeprüfung erfolgt, welche Wortlisten die Passphrasen-Generierung verwendet und auf welcher Forschungslage die Rotations-Policy steht. Belegbare Quellen schlagen Bauchgefühl.
- 04
Awareness-Schulung für Fachbereiche
Live im Schulungsraum zeigen, dass `Firmenname2024!` in Sekunden knackbar ist und eine sechs-Wort-Passphrase nicht — überzeugt Geschäftsführungen, die in der Theorie unbeeindruckt bleiben.
- 05
Mandanten- und Service-Account-Provisionierung
Pro Mandant oder pro System ein dauerhaftes, vorlesbares Passwort, das auch dann funktioniert, wenn das Passwort-Manager-Tool gerade nicht erreichbar ist. Der Generator liefert sie deterministisch in der gewünschten Länge.
- 06
Notfall-Accounts dokumentieren
Break-Glass-Konten für den Domain-Notfall müssen langlebige, hochentropische Passwörter haben, die im Tresor liegen. 8-Wort-Passphrasen sind hier die Variante, die auch nach drei Jahren noch korrekt vom Papier abgetippt wird.
Wenn Passwörter nur ein Symptom sind
Passwort-Hygiene ist Kleinkram. Identitäts-Workflows sind es nicht.
Die Passwort-Frage ist meist die Eintrittstür zu einem größeren Problem: AD-Strukturen, die in fünfzehn Jahren organisch gewachsen sind, Berechtigungs-Sümpfe, die niemand mehr überblickt, Onboarding- und Offboarding-Strecken, die per Mail und Excel laufen. Mit Modular-Admin bauen wir die Schicht darüber: Self-Service für Routine-Anfragen, ein zentraler Session-Broker für RDS-Umgebungen, eine Workflow-Engine, die Berechtigungs-Anträge nachvollziehbar macht.
Im kostenfreien Erstgespräch sehen wir uns an, wo in Ihrer IT die Reibung wirklich sitzt — und welche Strecke sich zuerst lohnt.
Lizenz · Für Unternehmen
Für die Admin-Konsole kostenlos. Für AD, Audit und Mandanten-Skalierung — sprechen wir.
Wenn Sie als Admin oder IT-Leitung gelegentlich eine Passphrase generieren, die Stärke eines Service-Account-Passworts nachprüfen oder vor der Policy-Revision die Rotationskosten überschlagen wollen — nehmen Sie das Werkzeug. Ohne Konto, ohne Limit, ohne Kleingedrucktes.
Sobald die gleichen Operationen aber Teil eines wiederkehrenden Workflows werden — Active-Directory-Anbindung, Policy-Enforcement, regelmäßige Audit-Berichte, mandantenübergreifende Provisionierung — ist ein Browser-Werkzeug nicht mehr das richtige Verfahren. Dafür haben wir andere Mittel.
- 01
Modular-Admin-Integration
Passphrasen-Generierung und Stärke-Prüfung direkt im AD/LDAP-Workflow: Bei Neuanlage eines Kontos schlägt das System eine Passphrase vor, prüft sie gegen HIBP und vergibt sie nach Bestätigung. Das ersetzt die Excel-Liste in der IT-Schublade — und passt zu rotationsfreien, längen-basierten Policies, statt sie zu unterlaufen.
- 02
Unternehmensweite Wortlisten-Anpassung
Eigene, branchen-spezifische Wortlisten — Firmenjargon kann optional eingeschlossen werden (für höhere Akzeptanz), branchenfremde oder problematische Begriffe gezielt ausgeschlossen. Für Bankhäuser, Kanzleien, öffentliche Auftraggeber, die eine kuratierte Liste in deutscher Sprache wollen, statt der englischsprachigen EFF-Vorgabe.
- 03
Audit-fähige Compliance-Berichte
Aus dem Rotations-Modellierer und den Stärke-Prüfungen automatisch generierte Evidence-Pakete für TISAX-, ISO-27001- und BSI-Grundschutz-Audits. Mit Versionsstand der eingesetzten Bibliotheken, Quellverweisen und einem nachvollziehbaren Berechnungspfad — das, was Auditor:innen sehen wollen, statt einer PowerPoint mit „wir haben starke Passwörter".
- 04
MSP-Mandanten-Management
Passphrasen-Provisionierung über Mandanten-Grenzen hinweg, mit klar getrennten Schlüsselräumen, Übergabe-Workflows beim Mandantenwechsel und einem Protokoll, das auch bei Auseinandersetzungen Bestand hat. Für MSPs, die fünf bis fünfzig Kunden-ADs gleichzeitig betreuen und keinen einzelnen Konsolen-Bruch sehen wollen.
Wenn eins davon nach Ihrem Projekt klingt: kurz beschreiben, wir melden uns mit einer ehrlichen Einschätzung — ob wir der richtige Partner sind, was es technisch heißt und wo die Größenordnung liegt.
Andere Werkzeuge ansehen
Sieben Fragen