Nicht-ablaufende Kennwörter bei Office 365

Bei der Vorgabe, Passwörter regelmäßig zu wechseln, scheiden sich die Geister. Während die „normalen“ Benutzer, beispielsweise die Mitarbeiter in den Fachabteilungen, dies als Ärgernis sehen, schwören die IT-Verantwortlichen auf das Mehr an Sicherheit. Schließlich könnten Dritte unbemerkt an Kennwörter gelangen (etwa durch Social Engineering, Phishing-Mails oder durch Schadsoftware), und hätten fortan unbegrenzten Zugriff auf die Systeme, Anwendungen oder Cloud-Dienste. Werden die Kennwörter dagegen zyklisch geändert, würde der Angreifer nach einer gewissen Zeit wieder „ausgesperrt“, und müsste sich das Passwort wieder neu „organisieren“.

Setzten die IT-Betreuer nun eine entsprechende Kennwortrichtlinie ein, um sicherzustellen, dass bestimmte Kennwörter alle zwei bis vier Wochen geändert werden müssen, kommt es sehr häufig zu Problemen mit vergessenen Kennwörtern bei den Benutzern. Das erzeugt Frust und erhöhte Administrator-Arbeitszeiten, etwa wenn täglich diverse Kennwörter zurückgesetzt werden müssen.

Hier könnte man argumentieren, dass Dritte, die sich bereits Zugang zu den Passwörtern erschleichen konnten, dies auch bei einem Kennwortwechsel „leicht“ wiederholen können. Somit würde durch einen regelmäßigen Passwortwechsel kaum eine erhöhte Sicherheit entstehen. Das trifft beispielsweise bei auf den Systemen versteckten Schad-Software-Komponenten zu (etwa Keylogger). Falls diese unentdeckt weiter im System schlummern, und die eingegebenen Kennwörter protokollieren und diese einen speziellen Server außerhalb des Unternehmens  weiterleiten, trifft diese Annahme (meist) zu.

Bei Cloud-Diensten wie etwa Office 365 wird die Kennwortrichtlinie oftmals nach den gleichen Prinzipien gehandhabt, wie auch mit den Diensten und Ressourcen innerhalb des Unternehmens. Möchten die Systembetreuer an dieser Stelle Passwörter definieren, die kein Ablaufdatum besitzen? Dies mit folgenden Schritten realisiert werden:

• Zunächst öffnen die Systembetreuer das Office-Portal (https://portal.office.com),
• melden sich mit den globalen Administrator-Account ein,
• navigieren zum „Admin Center“,
• wählen den Menüpunkt „Einstellungen“,
• klicken hier auf den Reiter „Sicherheit und Datenschutz",
• im Unterpunkt „Kennwortrichtlinie bearbeiten“ lässt sich der Menüpunkt „Festlegen, dass Benutzerkennwörter nie ablaufen“ aktivieren und
• danach ist es noch nötig, den Vorgang mit einem Klick auf „Speichern“ zu bestätigen.

Florian Huttenloher