Wirkungsvoller Schutz vor kompromittierten Active Directory Benutzerpasswörtern

Unternehmen sind ständig passwortbasierten Angriffen wie Brute Force, Password Spraying und Credential Stuffing ausgesetzt. Wie kommen aber die Angreifer an diese Zugangsdaten und wie können sich Unternehmen wirkungsvoll vor solchen Angriffen schützen?

 Laut einer Studie von Verizon erfolgen 86 % der Erstzugriffe von Angreifern über gestohlene Anmeldedaten (Verizon, 2023). Cyberkriminelle nutzen oft Passwort-Leaks aus anderen Plattformen oder im Darknet erhältliche Credentials, um sich dann mithilfe von Password Spraying Zugriff zu Unternehmensnetzwerken zu verschaffen.

Die Wiederverwendung von Passwörtern über verschiedene Plattformen hinweg macht es da Angreifern besonders leicht, in Unternehmensnetzwerke einzudringen. Laut Bitkom nutzen 35% der Internetnutzer dasselbe Passwort für verschiedene Dienste, laut Google sogar mehr als 65%.

Besorgniserregender ist das Ergebnis einer Analyse von LastPass aus 2022 die ergab, dass mehr als 60 % der Angestellten das gleiche Passwort oder eine Variation davon wiederverwenden. (LastPass, 2022)

Third Party Passwort Filter und Scans auf kompromittierte Kennwörter

Im Durchschnitt hat ein Unternehmen mit 250 Mitarbeitern über 47.000 Passwörter – die Wahrscheinlichkeit, dass kompromittierte Passwörter in Unternehmen verwendet werden, ist also entsprechend hoch. Passwortfilter und Scans auf kompromittierte Kennwörter versprechen hier Abhilfe. Viele Anbieter prüfen jedoch nur bei der Passwortvergabe, Password-Reset oder Passwortänderung, ob das Passwort kompromittiert ist.

Längere oder gar keine Ablaufdaten für Passwörter (wie von Microsoft empfohlen) machen solche Ansätze noch unregelmäßiger und damit weniger effektiv.

Regelmäßige und automatische Scans der Active Directory-Benutzerpasswörter

Laut Microsoft fanden im Jahr 2022 jede Sekunde 1.287 passwortbasierte Cyberangriffe stattfinden. Normale Scans bei Passwort-Änderungen oder Resets sind also nicht mehr ausreichend. Nur durch regelmäßige automatische Scans der Active Directory-Benutzerpasswörter kann die Gefahr durch die Wiederverwendung von Passwörtern nachhaltig minimiert werden. Breached Password Protection von Specops Password Policy bietet tägliche Scans Ihrer Active Directory Benutzerkennwörter gegen eine Datenbank aus über 4 Milliarden einzigartigen Kennwörtern die ständig durch ein eigenes Honeypot-System sowie neuen Leaks erweitert wird. Wichtig: Keine Kennwörter verlassen Ihr System – der Abgleich gegen die Datenbank läuft im Domaincontroller ab!

Fazit

Vollständiger Schutz vor Cyberangriffen ist nicht möglich, aber effektive Maßnahmen wie moderne Passwortrichtlinien und regelmäßige Scans können das Risiko erheblich minimieren.