Anwendungsfall · Rotation abschaffen
Die 90-Tage-Regel, die niemand mehr fordert.
Seit 2017 hat NIST die Pflicht zur periodischen Passwortänderung ausdrücklich zurückgenommen. Das BSI ist nachgezogen. Trotzdem rotiert in den meisten deutschen Mittelständlern der Windows-Login alle neunzig Tage — aus Gewohnheit, aus Audit-Angst, aus einer Richtlinie von 2014, die niemand mehr angefasst hat. Dieser Deep-Dive liefert den Rechenweg, den Sie im Lenkungsausschuss brauchen.
Wo es sich lohnt
Fünf Schreibtische, an denen die Rotations-Frage diese Woche liegt.
- 01
In einer IT-Leitung eines Maschinenbauers aus Ostwestfalen mit 420 Mitarbeitenden
Die Passwort-Policy steht seit 2016 auf 90 Tagen. Der Helpdesk zählt drei Kennwort-Tickets pro Arbeitstag, das Ticketsystem kennt die Ticketart „Kennwort zurücksetzen“ als eigene Kategorie. Vor der ISO-27001-Rezertifizierung soll die IT-Leitung dem Vorstand erklären, warum diese Regel bleibt — oder warum sie fällt. Der Rotations-Modellierer liefert die Zahl, mit der das Gespräch aufhört, über Bauchgefühl zu reden.
- 02
In einer CISO-Position bei einem Energieversorger
KRITIS-Einstufung, 1.200 AD-Konten, eine interne Revision, die jedes zweite Jahr die Passwort-Richtlinie prüft. Die Revision hat 2014 die 90-Tage-Rotation festgeschrieben — die aktuelle ORP.4-Fassung des BSI-Grundschutzes sagt das Gegenteil. Für die Vorstandsvorlage zählt nicht die Meinung des CISO, sondern die Quelle: Abschnitt 5.1.1.2 der NIST SP 800-63B Rev. 3 und der aktuelle ORP.4-Bausteintext, daneben die Jahreskosten der bestehenden Regel.
- 03
In der kaufmännischen Geschäftsführung eines Familienunternehmens in Baden-Württemberg
240 Mitarbeitende, IT-Budget im einstelligen Prozentbereich des Umsatzes, keine eigene IT-Security-Abteilung. Die 90-Tage-Rotation wurde eingeführt, als ein externer Berater sie verlangt hat — der Beratungsvertrag ist 2019 ausgelaufen. Die Frage ist seitdem nicht technisch, sondern betriebswirtschaftlich: Sind das 30.000 Euro pro Jahr an versteckter Helpdesk-Last wert, die keinem Sicherheitsgewinn gegenüberstehen?
- 04
In einer internen Audit-Vorbereitung vor der TISAX-Verlängerung
Ein Automotive-Zulieferer mit TISAX-AL-3-Einstufung prüft vor dem Assessment die eigene Passwort-Richtlinie. Der Fragenkatalog 2.1.3 verlangt eine dokumentierte Authentifizierungs-Richtlinie, nicht eine spezifische Rotationsfrequenz. Die Frage, was der Auditor sehen möchte, lautet: begründete Entscheidung mit Quellenverweis — nicht Kopie der Vorlage aus dem Nachbarunternehmen.
- 05
In einer Beschlussvorlage für den Lenkungsausschuss IT-Sicherheit
Ein Versicherer mit 1.800 Beschäftigten diskutiert, ob die Rotations-Pflicht fallen darf. Die Juristin fragt nach der Rechtslage, die IT nach der Helpdesk-Entlastung, die Revision nach dem Audit-Risiko. Die Vorlage braucht vier Zahlen: Jahreskosten der aktuellen Regel, Jahreskosten ohne Rotation, Differenz, Begründung. Mit Quellenverweis auf NIST und BSI — nachvollziehbar für den nächsten Prüfungsturnus.
Warum überhaupt
Die 90-Tage-Regel schützt nichts. Sie kostet nur.
Die Forschung ist eindeutig, seit Zhang, Monrose und Reiter 2010 die Password-Expiration-Studie an der University of North Carolina durchgeführt haben: Nutzer:innen, die alle neunzig Tage ein neues Passwort erfinden müssen, wählen Muster — Sommer24, Herbst24, Winter24, Frühling25. Genau diese Muster stehen in den Brute-Force-Wörterbüchern der Angreifer. Die Sicherheit sinkt bei Rotationszwang nachweisbar. NIST hat 2017 in der Special Publication 800-63B Rev. 3, Abschnitt 5.1.1.2 die Konsequenz gezogen und die Pflicht zur periodischen Änderung gestrichen. Der Baustein ORP.4 des BSI-Grundschutz-Kompendiums ist in den letzten Aktualisierungen diesem Stand gefolgt — gefordert wird die Möglichkeit zur Änderung bei Verdacht, nicht eine Routinepflicht ohne Anlass.
Die Kosten der bestehenden Regel sind messbar. Der Rotations-Modellierer oben auf dieser Seite rechnet mit konservativen Defaults: 18 Prozent der Nutzer:innen benötigen pro Rotationszyklus Unterstützung, 15 Prozent dieser Resets eskalieren zu einem Lockout. Gartner und Ponemon nennen in vergleichbaren Erhebungen eine Bandbreite zwischen zwanzig und fünfunddreißig Prozent — die 18 Prozent sind der untere Rand. Bei 250 Nutzer:innen und 90-Tage-Rotation liegt der rechnerische Jahresaufwand im mittleren fünfstelligen Bereich. In einem Unternehmen mit 1.200 Konten steht die sechsstellige Zahl im Raum — jedes Jahr, ohne Sicherheitsgewinn.
Die verteidigbare Policy hat drei Bestandteile: Mindestlänge von zwölf Zeichen für Passwörter beziehungsweise vier bis sechs Wörter für Passphrasen, Abgleich gegen bekannte Breach-Datenbanken bei der Vergabe, Multi-Faktor-Authentifizierung für privilegierte Konten und Remote-Zugänge. Erzwungene periodische Rotation ist in dieser Liste ausdrücklich nicht enthalten. Rotation bleibt als Reaktion auf konkreten Kompromittierungs-Verdacht — als Routine ist sie kontraproduktiv.
Ehrlich gesagt
Was das Modell rechnet — und was es nicht rechnet.
Der Rotations-Modellierer misst die sichtbaren Kosten: Helpdesk-Aufwand pro Reset-Ticket, Arbeitsausfall bei Lockouts, aggregiert über die Nutzerzahl. Er misst nicht, was vermiedene Passwort-Reuse in Lateral-Movement-Szenarien einspart, was ein umgestellter Fachbereich an Akzeptanz für Passphrasen gewinnt, was die Revision an Prüfungsbreite zurückbekommt. Die ausgegebene Zahl ist die Untergrenze, nicht die Mitte — und sie ist der Rechenweg für die Beschluss-Vorlage, nicht das Ergebnis einer Risikoanalyse.
Das Werkzeug ersetzt keinen HIBP-Abgleich der tatsächlich in Ihrem AD vergebenen Passwörter. Wer wissen möchte, ob in der eigenen Domäne Passwörter kursieren, die in den bekannten Breach-Korpora stehen, braucht einen On-Premise-Abgleich über die k-Anonymitäts-API oder eine gespiegelte Offline-Datenbank — das ist eine andere Operation, ein anderes Werkzeug, ein anderer Compliance-Pfad.
Und ehrlich gesagt: Die 90-Tage-Regel abzuschaffen löst kein Sicherheitsproblem. Sie löst ein Kostenproblem, das als Sicherheitsmaßnahme getarnt war. Die Sicherheitsarbeit beginnt mit Mindestlänge, Breach-Abgleich und MFA — die drei Bausteine, die Rotation ersetzen. Wer die Rotation fallen lässt, ohne diese drei zu haben, hat weder Sicherheit noch Sparpotential.
Direkt ausprobieren
Die Zahl, die die Beschluss-Vorlage lesbar macht.
Der Rotations-Modellierer öffnet sich direkt. Nutzerzahl, aktueller Rotations-Zyklus, Helpdesk-Minuten pro Reset — die Jahreskosten erscheinen rechts, der Dreijahres-Vergleich von drei Policies darunter. Lokal im Browser, ohne Konto, keine Eingabe wird an einen Server übertragen. Die Ausgabe ist ein Rechenweg mit Quellenverweis — kein Dogma.
Werkzeug öffnen — Rotations-ZyklenDrei Fragen
Was in Rotations-Diskussionen regelmäßig kommt.
Wenn die Policy-Revision nur der Anfang ist
Rotation abschaffen ist Papier. Umsetzung im AD ist Arbeit.
Die Beschluss-Vorlage ist das Einfache. Danach kommen die Domänen-Gruppenrichtlinien, die Abstimmung mit dem Helpdesk, der Rollout an die Fachbereiche, die Dokumentation für den nächsten Audit — und die Frage, wie der HIBP-Abgleich in Ihrem AD verankert wird. Modular-Admin bringt diese Schicht mit: AD/LDAP-Passwortrichtlinien im Rollout, automatische Evidence-Pakete für die Revision, Integration in Onboarding- und Offboarding-Prozesse. Im kostenfreien Erstgespräch sehen wir uns an, wo der Policy-Wechsel bei Ihnen in der Umsetzung hängen würde.
Kostenfreies Erstgespräch buchen