Unsichere Passwortverwaltung bei 61 Prozent deutscher Firmen

Gefahr erkannt, aber nicht gebannt: Die Mehrheit deutscher Firmen lässt den Prozess für unsichere Account-Anmeldungen ihrer Mitarbeiter einfach so weiterlaufen. Und das, obwohl 4 von 10 Mitarbeiter auf hoch sensible Daten ihres Unternehmens zugreifen, wie eine Studie von CyberArk ergab. Doch nun rührt sich was.

Enigma, die bekannteste Chiffriermaschine für hochsensible Nachrichten, gibt es seit den 20er Jahren des vergangenen Jahrhunderts. Auch sie wurde entziffert, weshalb sich wohl in den Köpfen digitaler User auch 100 Jahre danach noch Unbekümmertheit bei der Auswahl von Passwörtern hält. Wie hartnäckig dieses Haltung ist, zeigen die regelmäßig veröffentlichten Top-Listen der am häufigsten gewählten Passwörter. "12345" oder schlicht "password" oder voreingestellt "0000" bei vielen IoT-Geräten. Längst gibt es Tools für Sicherheitsrichtlinien, die ein solches Passwort automatisch ablehnen oder Passwort-Manager, die vermeintliche Zugangssicherheit anbieten. Vermeintlich?

2022 wurde der beliebte Passwort-Manager LastPass von Hackern geknackt, die Kennworttresore kopieren und anscheinend die dort hinterlegten Daten herauslesen konnten. Consumer-Tools können durchaus Schutz gewähren, für den professionellen Einsatz sind sie nicht geeignet. Rankings wie "Die sichersten Passwort-Manager" deuten zudem darauf hin, dass es sehr sichere und weniger sichere Tools gibt. Den Kopf in den Sand stecken, darf man trotzdem nicht. Viele tun aber genau das, wie die Umfrageergebnisse aus der Studie "Identity Security Threat Landscape" von CyberArk zeigen.

Tickende Zeitbombe

Demnach verwenden 61 Prozent der deutschen Unternehmen immer noch unsichere Verfahren bei der Verwaltung von Anmeldedaten. Die Sicherheitsverantwortlichen räumten ein, dass die derzeit vorhandenen Prozesse und Technologien ihres Unternehmens die hochsensiblen Zugänge der Mitarbeiter nicht effektiv schützen. Und das, obwohl 43 Prozent der Mitarbeiter Zugang zu vertraulichen Unternehmensdaten haben!

Wie kann das sein? Wüsste man, dass 6 von 10 Flugzeugen wegen mangelhafter Instrumente besonders absturzgefährdet seien, wäre das das Ende der Luftfahrt. Unternehmen mit tickender Zeitbombe - unsichere Passwortverwaltung - operieren einfach so weiter. Obwohl jeder Security-Experte und das BSI darauf hinweisen, dass es nicht die Frage sei ob, sondern wann ein Unternehmen gehackt wird.

Michael Kleist, Area VP DACH bei CyberArk kann sich also den Mund fusselig reden. Vielleicht aber fallen seine Warnungen nun doch auf fruchtbaren Boden. Denn so langsam scheint es IT-Verantwortlichen zu dämmern, dass es ohne Tools für eine effektive Passwortsicherheit nicht mehr geht und sie handeln wollen. "Es ist ermutigend zu sehen, dass 77Prozent der befragten deutschen Unternehmen nach Möglichkeiten suchen, den Passwortschutz im kommenden Jahr zu verbessern", hebt Kleist auf ein weiteres Ergebnis der Studie aus seinem Hause ab.

Er rät zu einer umfassenden, integrierten Identity-, Security- und Zero-Trust-Strategie. "Damit werden Identitäten sicher authentifiziert und mit den richtigen Berechtigungen autorisiert, sodass sie auf strukturierte Weise Zugang zu kritischen Ressourcen erhalten." Auch das Dilemma unsicherer Passwortverfahren lasse sich so beseitigen.

Für Partner von CyberArk - MSSPs, VARs, Distributoren und Marktplatzanbieter wie AWS - ist das eine gute Nachricht, mit ihren Kunden über das so wichtige Thema PAM und Access-Management zu sprechen.