🏠[[Startseite ISMS]]  
📘 Kapitel:[[01. Kontext und Führung]]

🔄 **Zuletzt geändert am:** `= dateformat(this.file.mtime, "dd.MM.yyyy HH:mm:ss")`

**Version:** 1.1  
**Datum:** [Aktuelles Datum]  
**Dokumenteverantwortung:** [[IT-Verantwortliche(r)]]

---

#### 1. Zweck der Richtlinie
Diese Richtlinie stellt sicher, dass alle Mitarbeitenden, externen Dienstleister und Partner sichere und eindeutige Passwörter verwenden. Ziel ist es, unbefugten Zugriff auf Unternehmenssysteme und Daten zu verhindern und die Anforderungen an Informationssicherheit gemäß ISO 27001, DSG und DSGVO zu erfüllen.

#### 2. Geltungsbereich
Die Richtlinie gilt für:
- Alle Mitarbeitenden, externen Dienstleister und Partner, die Zugriff auf IT-Systeme, Anwendungen oder Daten der Beispiel-Unternehmen GmbH haben.
- Alle IT-Systeme, Anwendungen und Dienste, unabhängig davon, ob sie vor Ort oder in der Cloud betrieben werden.

---

## 3. Richtlinienanforderungen

### **3.1 Passwort-Komplexität und Länge**
- Passwörter müssen:
  - Mindestens **12 Zeichen** lang sein.
  - Eine Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen enthalten.
  - Keine leicht erratbaren Informationen wie Namen, Geburtstage oder einfache Muster (z. B. „1234“, „Passwort!“) enthalten.
- **Verbot von Wiederverwendung**: Ein neues Passwort darf nicht identisch mit einem der letzten 5 verwendeten Passwörter sein.

### **3.2 Passwort-Manager**
- Mitarbeitende sind verpflichtet, einen sicheren **Passwort-Manager** zu nutzen, der vom Unternehmen bereitgestellt wird. Dieser ermöglicht die automatische Erstellung und Verwaltung von Passwörtern.
- Für lokale Nutzung wird "https://keepass.info" empfohlen, wobei Mitarbeitende selbst für die Synchronisation der Passwort-Datenbanken verantwortlich sind.
- IT-Support bietet Schulungen und Hilfestellung zur sicheren Einrichtung und Nutzung des Passwort-Managers.

### **3.3 Multi-Faktor-Authentifizierung (MFA)**
- **Pflicht für MFA**:
  - MFA ist für alle Systeme und Anwendungen, die sensible Informationen verarbeiten, verpflichtend.
  - Authentifizierungs-Apps (z. B. Google Authenticator, Microsoft Authenticator) sind bevorzugt; SMS-Codes werden nur als sekundäre Option genutzt.

### **3.4 Passwort-Wechsel**
- Passwörter müssen geändert werden, wenn:
  - Ein Verdacht auf Kompromittierung besteht.
  - Ein Sicherheitsvorfall dies erforderlich macht.
- Ein regelmäßiger, erzwungener Wechsel ohne Sicherheitsvorfall entfällt, um Nutzerfreundlichkeit und Sicherheit zu verbessern.

### **3.5 Sperrmechanismen**
- **Kontosperrung bei Fehlversuchen**:
  - Nach **5 fehlgeschlagenen Anmeldeversuchen** wird das Konto für mindestens eine Stunde gesperrt.
  - Automatische Benachrichtigungen über wiederholte Fehlversuche werden an den [[IT-Verantwortliche(r)]] zur Überprüfung weitergeleitet.
- **Passwort-Rücksetzung**:
  - Passwort-Rücksetzungen erfolgen nur nach einer Identitätsprüfung über die IT-Abteilung.

### **3.6 Schulung und Sensibilisierung**
- **Jährliche Schulung**:
  - Alle Mitarbeitenden erhalten eine jährliche Schulung zur sicheren Passwortnutzung und zur Erkennung von Phishing-Angriffen.
- **Onboarding**:
  - Neue Mitarbeitende werden während des Onboardings geschult, insbesondere zur Nutzung des Passwort-Managers und MFA.

### **3.7 Richtlinienüberprüfung**
- Die Passwort-Richtlinie wird jährlich durch den/die [[IT-Verantwortliche(r)]] überprüft und bei Bedarf an neue Sicherheitsanforderungen oder technologische Entwicklungen angepasst.

---

🏷️ **Tags:**  
- #Passwortsicherheit #Zugriffsrichtlinien #ISMS_Policy_01.51 #ISO_Kontrolle_5_15
