Passwörter im Fadenkreuz

Ein weiteres Element der neuen Strategie: Passwörter sollen nach Möglichkeit nicht mehr eingesetzt werden. Wenn sie benötigt werden, soll auf Regeln zur Komplexität eines Passworts, wie die verpflichtende Verwendung von Klein- und Großbuchstaben, Sonderzeichen und Ziffern, verzichtet werden.

Viele Passwortregeln, die verhindern sollen, dass Nutzer besonders einfache Passwörter verwenden, sind inzwischen so komplex, dass sie eher den gegenteiligen Effekt haben. Sie schränken die Zahl der theoretisch möglichen Passwörter zu stark ein und führen außerdem dazu, dass Menschen eher einfache Passwörter verwenden - schließlich muss man sie sich ja auch merken können.

In dem Papier wird nicht auf Passwort-Manager (Test) eingegangen. Es gehört aber inzwischen zum Allgemeinwissen, dass auch das komplexeste darin gespeicherte Passwort für einen Dienst nichts wert ist, wenn das Passwort für den Manager selbst "geheim" lautet.

Der Vorteil von Passwort-Managern ist, dass man nicht überall das gleiche Passwort hat und sie eine Verschlüsselung der darin abgelegten Geheimnisse bieten. Aber wie stark dieses Passwort ist und wie sicher die Datei abgelegt ist, bleibt den Nutzern überlassen.

Es soll auch darauf verzichtet werden, in regelmäßigen Abständen Passwortänderungen einzufordern. Das führt nämlich meist nur zu einer Durchnummerierung eines Grundpassworts, wie ebenfalls schon länger bekannt sein dürfte.

In Sachen Identitätsmanagement müssen Behörden künftig ein zentralisiertes System für die gesamte Behörde nutzen, das "phishing-resistente" MFA auf Application-Ebene bereitstellt, und zwar sowohl für angestellte und vertragsgebundene Auftragnehmer als auch für sonstige Partner. Ganz wichtig: Mindestens ein Autorisierungsfaktor muss auf dem Level der Geräte-Ebene neben der Identität des Nutzers erfolgen.

MFA mit PIV, Webauthn und Fido

Als phishing-resistente MFA-Faktoren nennt das Papier die Personal Identity Verification (PIV) und den Web-Authentication-Standard mit Webauthn und Fido2 des W3C. Systeme, die nicht phishing-resistent sind, werden genannt und verboten: "Behördensysteme müssen die Unterstützung für Authentifizierungsmethoden einstellen, die Phishing nicht widerstehen, einschließlich Protokolle, die Telefonnummern für SMS oder Sprachanrufe registrieren, um Einmalcodes oder Push-Benachrichtigungen zu erhalten."

Statt klonbarer SIM-Karten sollen richtige Security-Tokens oder -Karten zum Einsatz kommen. Das ist einfacher, als viele denken. Inzwischen dürften sich zum Beispiel hierzulande in den Kartenfächern mindestens drei solcher Karten mit Crypto-Funktionen finden. Personalausweis, Gesundheitskarte und Bankkarte sind allesamt mit diesen Funktionen ausgestattet, um Fälschungen zu erschweren oder unmöglich zu machen. Das zeigt, dass eine Ausgabe im großen Stil durchaus machbar ist. Ein Fido-Stick als Zubehör zum Arbeits-Notebook fällt finanziell kaum ins Gewicht.

Wenn Applikationen untereinander kommunizieren, heißt es in dem Security-Programm der US-Regierung ebenfalls "Ja zum Verschlüsseln", auch innerhalb des internen Netzes und auch für DNS-Anfragen. Die Zahl der Kritiker von Secure-DNS dürfte also weiter abnehmen.

Wem das alles so gar nicht gefällt

Schlecht ist die neue Strategie bei der US-Regierung insbesondere für Anbieter von Security as a Service (SaaS). Bei den meisten SaaS-Angeboten geht es vorrangig um die Perimeterverteidigung von Netzwerken. Einzelne Applikationen abzusichern, ist vielleicht noch bei Standard-Software mit großem Verbreitungsgrad im Programm; bei Individualsoftware, mit der die Dienstleister ansonsten nichts zu tun haben, würde sich das auch schwierig gestalten.

Selbst wenn diese Dienstleister sich zumindest in den meisten Fällen nicht trauen, die Maßnahmen als falschen Weg darzustellen, lassen sie ihre Kritik in ihren Bewertungen durchscheinen. "Dies kann wahrscheinlich im Kontext der Regierung funktionieren, aber ich bin skeptisch, ob es darüber hinaus viel bewirken wird", schrieb etwa Sharon Goldberg, CEO von Bastionzero.

Interessant wird auch sein, wie das in Deutschland zuständige Bundesamt für Sicherheit in der Informationstechnik (BSI) auf diese Richtlinie reagiert. Und natürlich, wie lange es bis zu einer solchen Reaktion dauert.