Zurück zu den Anforderungen

Starke Passwort-Richtlinie

Identitäten & Zugriffe

Stand 20.01.2026erfülltkritisch

Bewertung durch HoliSec (alle Quellen) · Lauf vom 20.01.2026 · Verantwortlich: IT-Leitung (Daniel Steiner)

IST-Zustand

Richtlinie gehärtet (14/Komplexität/Historie 24/Sperrung), FGPP 20 Zeichen für Admins; alle 24 geleakten Zugänge rotiert, Reuse-Cluster bis auf drei lokale Admins aufgelöst (LAPS im Jänner); 14 Dienstkonten ohne Ablauf dokumentiert.

Soll-Zustand

Starke Passwort-Richtlinie

Empfehlung

— (erfüllt)

Aussage aus dem Gespräch

  • nicht vorhanden — Vorgabe im AD: 8 Zeichen; Komplexität nicht erzwungen; keine Sperrung. Viele Passwörter sind seit Jahren gleich, „Passwort läuft nie ab“ ist bei etlichen Konten gesetzt.Vorab: nicht vorhanden

Aussagen belegen den Ist-Zustand; die Bewertung erfolgt aus der Erhebung.

Evidenz

Dokumente

Technische Prüfpunkte

Active-Directory-Hygiene (srv-dc01)AD-HygieneDomänencontroller-Audit
StatusPrüfpunktIst-ZustandSoll
teilweiseKonten mit 'Passwort laeuft nie ab'14 Konten (dokumentierte Dienstkonten)nur begruendete Ausnahmen (Service-Konten mit langem Passwort)
erfülltKeine Konten mit 'Passwort nicht erforderlich'0 Konten0 Konten ohne Passwortpflicht
erfülltMinimale Passwortlaenge1414
erfülltMaximales Passwort-Alter (Tage)0<= 90
erfülltPasswort-KomplexitaetTrueTrue
erfülltPasswort-Wiederverwendung (History)24>= 24
erfülltSperrung nach N Fehlversuchen101-5
erfülltSperrdauer (Minuten)30>= 30
hygiene (Credential-Hygiene)Credential-Hygiene
StatusPrüfpunktIst-ZustandSoll
erfülltPasswörter in bekannten Datenlecks (HIBP)0 von 91 Zugängen in Leaks gefunden (24 rotiert)0 kompromittierte Passwörter
teilweisePasswort-Stärke der Infrastruktur-Zugänge0 schwach / 18 mittel / 73 stark (von 91)keine schwachen Passwörter (>=12 Zeichen, 3+ Klassen)
teilweiseKeine Passwort-Wiederverwendung über verschiedene Systeme/Konten1 Cluster, 3 Konten (lokale Admins srv-pwd01/srv-pwddb01/srv-sync01 — LAPS geplant)jedes eigenständige Konto/System ein eigenes Passwort
FortiGate fw-sued-01Firewall-Audit
StatusPrüfpunktIst-ZustandSoll
nicht erfülltFortiGate Password-Policy aktivdisable/noneenable
srv-bde01Server-Audit
StatusPrüfpunktIst-ZustandSoll
nicht erfülltMinimale Passwortlaenge0>= 14
nicht erfülltPasswort-Komplexitaet01 (aktiv)
nicht erfülltPasswort-Historie0>= 24
nicht erfülltMaximales Passwortalter (Tage)0<= 90 (0=nie)
nicht erfülltSperrschwelle (Fehlversuche)01-10
teilweiseSperrdauer (Minuten)0>= 30
srv-bkp01Server-Audit
StatusPrüfpunktIst-ZustandSoll
nicht erfülltMinimale Passwortlaenge0>= 14
nicht erfülltPasswort-Komplexitaet01 (aktiv)
nicht erfülltPasswort-Historie0>= 24
nicht erfülltMaximales Passwortalter (Tage)0<= 90 (0=nie)
nicht erfülltSperrschwelle (Fehlversuche)01-10
teilweiseSperrdauer (Minuten)0>= 30
srv-erp01Server-Audit
StatusPrüfpunktIst-ZustandSoll
nicht erfülltMinimale Passwortlaenge0>= 14
nicht erfülltPasswort-Komplexitaet01 (aktiv)
nicht erfülltPasswort-Historie0>= 24
nicht erfülltMaximales Passwortalter (Tage)0<= 90 (0=nie)
nicht erfülltSperrschwelle (Fehlversuche)01-10
teilweiseSperrdauer (Minuten)0>= 30
srv-file01Server-Audit
StatusPrüfpunktIst-ZustandSoll
nicht erfülltMinimale Passwortlaenge0>= 14
nicht erfülltPasswort-Komplexitaet01 (aktiv)
nicht erfülltPasswort-Historie0>= 24
nicht erfülltMaximales Passwortalter (Tage)0<= 90 (0=nie)
nicht erfülltSperrschwelle (Fehlversuche)01-10
teilweiseSperrdauer (Minuten)0>= 30
srv-pwd01Server-Audit
StatusPrüfpunktIst-ZustandSoll
nicht erfülltMinimale Passwortlaenge0>= 14
nicht erfülltPasswort-Komplexitaet01 (aktiv)
nicht erfülltPasswort-Historie0>= 24
nicht erfülltMaximales Passwortalter (Tage)0<= 90 (0=nie)
nicht erfülltSperrschwelle (Fehlversuche)01-10
teilweiseSperrdauer (Minuten)0>= 30
srv-pwddb01Server-Audit
StatusPrüfpunktIst-ZustandSoll
nicht erfülltMinimale Passwortlaenge0>= 14
nicht erfülltPasswort-Komplexitaet01 (aktiv)
nicht erfülltPasswort-Historie0>= 24
nicht erfülltMaximales Passwortalter (Tage)0<= 90 (0=nie)
nicht erfülltSperrschwelle (Fehlversuche)01-10
teilweiseSperrdauer (Minuten)0>= 30
srv-sync01Server-Audit
StatusPrüfpunktIst-ZustandSoll
nicht erfülltMinimale Passwortlaenge0>= 14
nicht erfülltPasswort-Komplexitaet01 (aktiv)
nicht erfülltPasswort-Historie0>= 24
nicht erfülltMaximales Passwortalter (Tage)0<= 90 (0=nie)
nicht erfülltSperrschwelle (Fehlversuche)01-10
teilweiseSperrdauer (Minuten)0>= 30
srv-ts01Server-Audit
StatusPrüfpunktIst-ZustandSoll
nicht erfülltMinimale Passwortlaenge0>= 14
nicht erfülltPasswort-Komplexitaet01 (aktiv)
nicht erfülltPasswort-Historie0>= 24
nicht erfülltMaximales Passwortalter (Tage)0<= 90 (0=nie)
nicht erfülltSperrschwelle (Fehlversuche)01-10
teilweiseSperrdauer (Minuten)0>= 30

Maßnahmen

Verlauf

  1. Lauf vom 20.1.2026: erfüllt
    20.10.2026, 07:15
  2. Lauf vom 16.12.2025: erfüllt
    20.10.2026, 07:15
  3. Richtlinie steht, FGPP für Admins aktiv. Die Rotation der 24 geleakten Zugänge läuft bis Mitte Dezember — danach erneute
    20.10.2026, 07:15
  4. Lauf vom 18.11.2025: teilweise
    20.10.2026, 07:15
  5. Lauf vom 14.10.2025: nicht erfüllt
    20.10.2026, 07:15
  6. Maßnahme angelegt: Domänen-Passwortrichtlinie härten
    20.10.2026, 07:15
  7. Maßnahme angelegt: Strengere Richtlinie für Admin-Konten
    20.10.2026, 07:15
  8. Maßnahme angelegt: Geleakte und wiederverwendete Passwörter rotieren
    20.10.2026, 07:15

Kommentare

  • Richtlinie steht, FGPP für Admins aktiv. Die Rotation der 24 geleakten Zugänge läuft bis Mitte Dezember — danach erneute Credential-Analyse.
    20.10.2026, 07:15