Bundespasswortherausgabestelle: Nie mehr neue Passworte

Die Herausgabe von sicheren Passworten an die Bevölkerung hatte die eigens dafür gegründete Bundespasswortvergabestelle (BPVS) bereits im vergangenen Jahr übernommen. Jetzt wird die Bundespasswortsicherheit weiter erhöht: Eine neue Bundespasswortherausgabestelle (BPHS) fungiert künftig als Treuhänder zwischen Klarnameninhabern und Fahndungsbehörden.

Jahrelang hatte die staatliche Passwortbehörde BSI gefordert, Internetnutzer sollten ihre Passworte „regelmäßig ändern". Das sei zwar mühsam, aber sicherer, weil es wirksam verhindere, dass Hacker und russische Trolls sich in deutsche Accounts einschleichen und Waren bestellen oder Schicksalswahlen manipulieren können. Jetzt aber steuert das Bundessicherheitsamt um: Eine regelmäßige Änderung von Passworten sei kein sinnvoller Ratschlag, sondern vielmehr gefährlich, heißt es in der 2020er-Ausgabe des BSI-Grundschutz-Kompendiums im Kapitel zur Regelung des Passwortgebrauchs (ORP.4.A8).

Neues Passwortherausgabegesetz

Hintergrund des Richtungswechsels dürfte das neue Passwortherausgabegesetz sein, das Bundesjustizministerin Christine Lambrecht plant. Das regelt künftig abschließend, welche Zu – und Durchgriffsrechte deutschen Sicherheitsbehörden vom MAD über den Verfassungsschutz bis zu den kommunalen Ordnungsämtern auf Postfächer und Netzwerkaccounts gewährt werden muss. Die Bundespasswortherausgabestelle (BPHS) wird danach als zwischengeschaltete Mittelinstanz darüber wachen, dass als sogenannte Hashs gespeicherte Passworte in den Bundespasswortdatenbanken im Klartext hinterlegt werden. Eine Empfehlung, Passworte regelmäßig zu ändern, so heißt es im politischen Berlin, mache damit keinen Sinn mehr.


Lediglich für den Fall, dass ein Passwort in fremde Hände geraten sein könnte, muss man sein Passwort gemäß BSI-Richtlinien noch ändern. Auch die dort bisher aufgeführte Verpflichtung, feste Regeln für Länge und Komplexität vorzuschreiben, ist verschwunden. Damit soll der Aufwand für die BPHS minimiert werden, die so eingelagerten und gespeicherten Passworte nicht fortlaufend aktualisieren muss, wenn Bürgerinnen und Bürger (im Gesetz "Klarnameninhaber" oder KNI) beschließen, ihre Passworte aus falschverstandenen Sicherheitserwägungen zu erneuern.

 Nur berechtigte Behörden haben Zugriff

Bereits seit Jahren kristallisiert sich in Sicherheitskreisen der Geheimdienste ein Konsens heraus, dass solche Regeln eher schaden als nützen, weil ein gutes Passwort, ist es erst einmal sicher und nur für berechtigte Behörden einsehbar bei der Bundespasswortherausgabestelle hinterlegt, bedenkenlos über Jahre und Jahrzehnte hinweg genutzt werden kann.

Das regelmäßige Ändern führt aller Erfahrung nach eher dazu, dass im Falle einer Herausgabeforderung  berechtigter Behörden falsche Passwörter geliefert und Ermittlungen behindert werden. Deshalb soll die bisher propagierte Verpflichtung zum regelmäßigen Passwortwechsel ersetzt werden durch ein Bundespasswortwechselverbot (BPWV). Auch der "Ändere dein Passwort"-Tag der Bundeszentrale für Passwortsicherheit fällt damit weg.

Die US-amerikanische Standardisierungsbehörde NIST, die das regelmäßige Passwortwechseln ursprünglich festgeschrieben hatte, nahm bereits 2017 von derartigen Regeln Abstand, das britische Pendant CESG sogar schon 2016.Deutschland zieht hier nun nach - im Dienst der Sicherheit aller.