Anwendungsfall · Compliance

Die Passwort-Richtlinie, die der Auditor nicht zerlegt.

ISMS-Verantwortliche, Informations-Sicherheits-Beauftragte und Auditor:innen lesen die aktuellen Fassungen der Regelwerke — und finden bei jedem zweiten Mittelständler eine Policy aus 2014, die sich auf den Stand von damals beruft. Dieser Deep-Dive liefert die Audit-Landkarte: was BSI ORP.4, NIST SP 800-63B Rev. 3, ISO 27002:2022 und TISAX v6 aktuell fordern, mit Paragraphen und Quellen.

Wo es sich lohnt

Fünf Audit-Schreibtische, an denen die Richtlinie gerade aktualisiert wird.

In einer ISMS-Einführung bei einem mittelständischen Zulieferer

Ein 180-Mann-Betrieb in der Metallverarbeitung führt erstmals ein ISMS ein, der externe ISB kommt halbtags ins Haus. Die Passwort-Richtlinie soll als Teil des A.8.5-Kontrollbereichs von ISO 27002:2022 dokumentiert werden. Die Frage ist nicht, was gut klingt — die Frage ist, was im Audit bestehen muss. Die Richtlinie braucht Quellenverweis, Umsetzungsnachweis und eine Wiedervorlage, die mit der nächsten Regelwerks-Aktualisierung mitläuft.

Bei einer TISAX-Assessment-Vorbereitung eines Automotive-Zulieferers

AL-3-Einstufung, ein externer Assessor in drei Monaten im Haus, der Fragenkatalog 2.1.3 prüft die Authentifizierungs-Richtlinie. Die interne IT hat die Policy zuletzt 2017 aktualisiert, der Assessor wird nach dem Stand der eingesetzten Verfahren fragen — nicht nach dem Datum der Richtlinie. Die Vorbereitung besteht darin, die Policy gegen den aktuellen TISAX-v6-Informationssicherheits-Katalog zu spiegeln und die Abweichungen dokumentiert zu schließen.

In der Compliance-Abteilung einer Sparkasse vor der Interner-Revision-Prüfung

BaFin-Aufsicht, MaRisk-AT-Anforderungen, eine hausinterne Revision, die alle zwei Jahre die IT-Sicherheitsrichtlinien prüft. Die aktuelle Passwort-Policy folgt BSI-Grundschutz, aber auf dem Stand des Kompendiums 2019. Der ISB bereitet die Aktualisierung vor: der aktuelle Text des Bausteins ORP.4 hat die Rotations-Anforderung abgeschwächt, aber die MFA-Anforderung verschärft. Die Aktualisierung muss beide Bewegungen im Dokument spiegeln — sonst entsteht im Audit ein Widerspruch zwischen Richtlinie und gelebter Praxis.

Bei einem IT-Sicherheits-Beauftragten eines KRITIS-Betreibers

Ein Wasserversorger mit 140 Beschäftigten und KRITIS-Status. Die IT-SiG-Anforderungen und die ergänzenden branchenspezifischen Sicherheitsstandards (B3S Wasser) verweisen auf BSI-Grundschutz als Grundlage. Die Passwort-Richtlinie ist seit Jahren nicht aktualisiert. Der ISB fragt: Welche der alten Regelungen widersprechen dem aktuellen ORP.4-Text, welche gehen weiter als gefordert, welche fehlen nach dem heutigen Stand? Das ist eine Mapping-Arbeit, keine Neuverfassung.

Beim externen Auditor während einer ISO-27001-Rezertifizierung

Der Auditor prüft nicht nur das Vorhandensein der Richtlinie — er prüft die Begründungstiefe. Eine Policy mit „90 Tage Rotation, weil branchenüblich“ besteht das Audit nicht. Eine Policy mit „keine Rotation, außer bei Verdacht, weil NIST SP 800-63B Rev. 3 Abschnitt 5.1.1.2 und ORP.4 in der aktuellen Fassung dies so vorsehen, Mindestlänge zwölf Zeichen, MFA für privilegierte Konten, HIBP-Abgleich bei Vergabe“ besteht es — vorausgesetzt, die drei Gegenmaßnahmen sind tatsächlich umgesetzt.

Warum überhaupt

Was die Regelwerke aktuell wirklich fordern.

NIST SP 800-63B Rev. 3, Abschnitt 5.1.1.2 „Memorized Secret Verifiers“: Mindestlänge acht Zeichen, empfohlen länger; keine erzwungene periodische Änderung ohne Anlass; keine willkürlichen Komplexitäts-Anforderungen; Abgleich gegen Listen kompromittierter Passwörter bei der Vergabe. Appendix A begründet den Verzicht auf Komplexität mit der empirischen Beobachtung, dass erzwungene Regeln zu vorhersagbaren Mustern führen. Diese Veröffentlichung ist die Referenz, auf die sich die meisten modernen Passwort-Richtlinien berufen — sie ist frei verfügbar unter pages.nist.gov/800-63-3/sp800-63b.html und wurde zuletzt substanziell 2017 aktualisiert, mit laufenden Errata.

Der BSI-Grundschutz-Baustein ORP.4 „Identitäts- und Berechtigungsmanagement“ ist nachgezogen. Im Kompendium Edition 2023 regelt Anforderung ORP.4.A23, dass IT-Systeme nur mit einem validen Grund zum Passwortwechsel auffordern sollen — reine zeitgesteuerte Wechsel sollen vermieden werden. ORP.4.A8 und ORP.4.A22 rahmen die flankierenden Regelungen zu Passwortgebrauch und Passwortqualität. Verschärft wurde dagegen die Anforderung an Multi-Faktor-Authentifizierung für privilegierte Konten und Remote-Zugänge. Wer eine ORP.4-konforme Policy schreibt, gewichtet heute anders als 2017.

ISO 27002:2022 hat in Abschnitt 8.5 „Secure authentication“ eine bewusst technologie-neutrale Formulierung gewählt. Die Passwort-Richtlinie muss dokumentiert, kommuniziert und umgesetzt sein — konkrete Zahlen (Länge, Rotationsfrequenz) legt der Standard nicht fest. Das macht die Zuordnung zur technischen Maßnahme einfacher und die Prüfungstiefe für den Auditor höher: er fragt nach der Begründung der gewählten Werte, nicht nach der Einhaltung einer fixen Zahl. TISAX v6 verweist im Information-Security-Assessment-Katalog unter „Zugangsschutz“ auf die gleiche Systematik — mit dem Zusatz, dass die Risiko-orientierte Begründung dokumentiert sein muss. DSGVO Art. 32 fordert technische und organisatorische Maßnahmen nach dem „Stand der Technik“ — NIST SP 800-63B und die aktuelle ORP.4-Fassung sind das, was der Stand der Technik 2026 ist.

Ehrlich gesagt

Was die Seite leistet — und wo das Audit weitergeht.

Die Seite liefert die Quellenverweise und die Mapping-Logik. Sie liefert keine Rechtsberatung und keine Audit-Zusage. Ob Ihre spezifische Formulierung im Audit bestehen wird, hängt vom Prüferverband, von der Branchenspezifik, von der Umsetzungstiefe und von der Tagesform ab. Die belastbare Argumentation bereiten Sie vor — die Entscheidung trifft der Auditor.

Das Werkzeug selbst — Stärkeprüfung, Passphrasen-Generator, Rotations-Modellierer — ist eine Argumentations-Grundlage, kein ISMS-Baustein. Es ersetzt keine formale Richtlinien-Dokumentation, keine Kommunikations-Strecke zu den Fachbereichen, keine Schulungsnachweise. Was es liefert: eine nachvollziehbare Rechnung für die Rotations-Kosten, eine belegbare Stärke-Einschätzung für konkrete Passwort-Muster, einen deterministischen Passphrasen-Generator mit EFF-Wortliste. Die Überführung in das Richtlinien-Dokument ist die Arbeit, die danach kommt.

Und ehrlich gesagt: Die meisten Policies, die wir im deutschen Mittelstand sehen, scheitern nicht an der Regelwerks-Treue, sondern an der Umsetzungstreue. Die Richtlinie sagt „zwölf Zeichen Mindestlänge“, das AD prüft auf acht. Die Richtlinie sagt „MFA für Remote-Zugänge“, die VPN-Gateway-Konfiguration hat noch den Zertifikats-Only-Zweig ohne zweiten Faktor. Der Auditor merkt das in fünf Minuten. Die Audit-Landkarte hilft, wenn sie zur Umsetzungs-Prüfung führt — nicht, wenn sie im Richtlinien-Ordner liegen bleibt.

Direkt ausprobieren

Die Modellrechnung, die in die ISMS-Dokumentation darf.

Der Rotations-Modellierer liefert die Kostenzahl mit nachvollziehbarem Rechenweg — 18 Prozent Reset-Rate, 15 Prozent Lockout-Eskalation, konservative Defaults im unteren Bereich der Gartner/Ponemon-Bandbreite. Diese Zahl und dieser Rechenweg sind das, was in eine begründete Policy-Entscheidung einfließt. Nutzen Sie das Werkzeug, um die Tabelle in der Richtlinien-Aktualisierung zu befüllen — die Rohdaten sind nachprüfbar und zitierbar.

Werkzeug öffnen — Rotations-Zyklen

Drei Fragen

Was ISMS-Verantwortliche und ISB am häufigsten fragen.

Wenn aus der Audit-Landkarte ein Projekt wird

Die Richtlinie auf Papier ist das eine. Ihr Nachweis im AD das andere.

Richtlinien-Aktualisierung, Mapping der bestehenden Umsetzung gegen ORP.4 und NIST, Evidence-Pakete für die nächste Rezertifizierung — und die technische Durchsetzung im Active Directory, damit Richtlinie und gelebte Praxis nicht auseinanderlaufen. Modular-Admin bringt die Schicht, in der Policy und Umsetzung zusammenkommen: AD/LDAP-integrierte Password-Policy-Prüfung, HIBP-Abgleich bei der Vergabe, automatische Audit-Evidence-Pakete mit Versionsstand und Quellenverweis. Im kostenfreien Erstgespräch sehen wir uns Ihre aktuelle Richtlinie gegen die aktuelle Regelwerks-Lage an.

Kostenfreies Erstgespräch buchen