Ratgeber

Passwortrichtlinie im Unternehmen: Was empfiehlt das BSI?

Kurzantwort

Das BSI empfiehlt lange oder komplexe, für jeden Zugang ein eigenes Passwort. Ändern sollten Sie ein Passwort, wenn es einen Hinweis gibt, dass Unbefugte es kennen; rein zeitgesteuerte Wechsel sollen laut IT-Grundschutz vermieden werden. Eine Passwortrichtlinie legt das im Unternehmen verbindlich fest und ergänzt es um Multi-Faktor-Authentifizierung und einen Passwortmanager.

Autor: Jan Bindig
Veröffentlicht: 11.09.2026
Überarbeitet: 08.10.2026
Lesedauer: 4 Min.

Passwortrichtlinie nach BSI-Empfehlung: Richtliniendokument, langes Passwort mit Lineal und Vorhängeschloss

4 Minuten Lesezeit

Inhalt

Was empfiehlt das BSI für sichere Passwörter?
Müssen Passwörter regelmäßig geändert werden?
Was gehört in eine Passwortrichtlinie?
Wie werden Passwörter geknackt?
Was verlangen DSGVO und ISO 27001?
Weiterlesen

Was empfiehlt das BSI für sichere Passwörter?

Grundsätzlich gilt beim BSI: je länger, desto besser. Als Orientierung nennt es drei Varianten für ein sicheres Passwort:

Variante	Länge	Zeichenarten
lang und weniger komplex, zum Beispiel eine Folge von Wörtern	20 bis 25 Zeichen	zwei
kürzer und komplex	8 bis 12 Zeichen	vier
kurz mit zweitem Faktor	8 Zeichen	drei, zusätzlich Mehr-Faktor-Authentisierung

Dazu kommen einfache Regeln: keine Namen oder Geburtsdaten, keine Tastaturmuster, keine Ziffer oder ein Sonderzeichen als bloßen Anhang, und jedes Passwort nur für einen Zugang. An anderer Stelle derselben Seite nennt das BSI für lange, weniger komplexe Passwörter mindestens 25 Zeichen.

Für Unternehmen und Behörden regelt das IT-Grundschutz-Kompendium (Edition 2023, Baustein ORP.4 Identitäts- und Berechtigungsmanagement) den Umgang mit Passwörtern. Die Basis-Anforderung ORP.4.A8 verlangt, den Passwortgebrauch verbindlich zu regeln: kein Passwort mehrfach verwenden, keine leicht zu erratenden Passwörter, und die Nutzung eines Passwortmanagers soll geprüft werden. Dieselbe Anforderung schreibt vor, bei Passwortmanagern Funktionen und Plug-ins abzuschalten, die Passwörter über Onlinedienste Dritter synchronisieren oder an Dritte übertragen. Wer nach IT-Grundschutz arbeitet, sollte deshalb vor der Auswahl klären, wie eine Cloud-Lösung in die eigene Umsetzung passt, oder eine Lösung im eigenen Betrieb wählen. ORP.4.A22 fordert Passwörter, die schwer zu erraten und trotzdem mit vertretbarem Aufwand nutzbar sind.

Müssen Passwörter regelmäßig geändert werden?

Nicht nach festem Rhythmus. Das BSI empfiehlt, ein Passwort zu ändern, wenn es einen Hinweis gibt, dass es Unbefugten bekannt geworden sein könnte: etwa nach einem Datenleck, einer Aufforderung des Anbieters oder einer Infektion des Geräts. Im IT-Grundschutz-Kompendium sah ORP.4.A8 bis zur Edition 2019 vor, Passwörter in angemessenen Zeitabständen zu ändern. Seit der Edition 2020 heißt es in ORP.4.A23, rein zeitgesteuerte Wechsel sollen vermieden werden; stattdessen müssen Maßnahmen ergriffen werden, um kompromittierte Passwörter zu erkennen. Die aktuelle Edition 2023 enthält dieselbe Vorgabe.

Was gehört in eine Passwortrichtlinie?

Diese Gliederung können Sie als Vorlage für Ihre eigene Richtlinie nutzen.

Geltungsbereich und Verantwortliche Für wen und welche Systeme die Richtlinie gilt, wer sie pflegt und wer Ausnahmen genehmigt.
Mindestanforderungen an Passwörter Länge und Zeichenarten nach BSI-Orientierung, keine Wiederverwendung.
Passwortmanager als Pflicht Welches Werkzeug, für welche Zugänge, und dass Passwörter nicht in Listen, Browsern oder auf Zetteln liegen.
Multi-Faktor-Authentifizierung Wo sie Pflicht ist, mindestens für E-Mail, Fernzugänge, Administratoren und den Passwortmanager.
Wechsel bei Anlass Wann ein Passwort geändert werden muss und wie Verdachtsfälle gemeldet werden.
Voreingestellte Passwörter Werkseinstellungen bei Geräten und Software vor dem Einsatz ändern, wie es ORP.4.A9 und ORP.4.A23 verlangen.
Teilen von Zugängen Nur über den Passwortmanager, niemals per E-Mail oder Chat.
Ein- und Austritt Wer Zugänge vergibt, wer sie entzieht und welche geteilten Passwörter beim Austritt geändert werden.
Bildschirmsperre Automatische Sperre nach kurzer Inaktivität, das BSI empfiehlt fünf Minuten nach der letzten Eingabe.

Wie werden Passwörter geknackt?

Angreifer probieren automatisiert alle Zeichenkombinationen aus, gehen Wörterbücher samt gängiger Varianten durch oder nutzen einmal veröffentlichte Zugangsdaten bei anderen Diensten, das sogenannte Credential Stuffing. Gegen das Durchprobieren hilft Länge, gegen die Wiederverwendung hilft ein eigenes Passwort je Zugang, und gegen gestohlene Passwörter hilft der zweite Faktor.

Was verlangen DSGVO und ISO 27001?

Die DSGVO schreibt keine Passwortregeln vor, verlangt aber in Artikel 32 geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Eine dokumentierte Passwortrichtlinie gehört dazu. ISO/IEC 27001 enthält im Anhang A Maßnahmen zur Zugangssteuerung, zu der auch der Umgang mit Passwörtern gehört; das BSI verweist im Baustein ORP.4 auf diesen Teil der Norm. Wer zertifiziert ist oder es werden will, braucht die Regeln ohnehin schriftlich.

Weiterlesen

Beitrag teilen

Link kopiert

Über den Autor

Jan Bindig

Geschäftsführer, Bindig Media GmbH

Jan Bindig hat die Bindig Media GmbH 2004 gegründet und führt sie seitdem.

Zum Profil LinkedIn (öffnet in neuem Tab)