Geleakte und wiederverwendete Passwörter rotieren
kritischVerantwortlich IT-Leitung (Daniel Steiner)Fällig 15.12.2025Angelegt 20.10.2026
Stand 20.01.2026erledigt
24 geleakte Zugänge sofort ändern, 7 Reuse-Cluster auflösen (jedes System eigenes Passwort), Nachweis per erneuter Credential-Analyse.
Anforderung
Starke Passwort-Richtlinie- IST
- Richtlinie gehärtet (14/Komplexität/Historie 24/Sperrung), FGPP 20 Zeichen für Admins; alle 24 geleakten Zugänge rotiert, Reuse-Cluster bis auf drei lokale Admins aufgelöst (LAPS im Jänner); 14 Dienstkonten ohne Ablauf dokumentiert.
Konkret zu ändern
FortiGate fw-sued-01Firewall-Audit
- FortiGate Password-Policy aktiv– ist: disable/none· soll: enable
Organisation (Gespräch)
- Vorab-Einschätzung– ist: nicht vorhanden — Vorgabe im AD: 8 Zeichen; Komplexität nicht erzwungen; keine Sperrung. Viele Passwörter sind seit Jahren gleich, „Passwort läuft nie ab“ ist bei etlichen Konten gesetzt.
srv-bde01Server-Audit
- Minimale Passwortlaenge– ist: 0· soll: >= 14
- Passwort-Komplexitaet– ist: 0· soll: 1 (aktiv)
- Passwort-Historie– ist: 0· soll: >= 24
- Maximales Passwortalter (Tage)– ist: 0· soll: <= 90 (0=nie)
- Sperrschwelle (Fehlversuche)– ist: 0· soll: 1-10
srv-bkp01Server-Audit
- Minimale Passwortlaenge– ist: 0· soll: >= 14
- Passwort-Komplexitaet– ist: 0· soll: 1 (aktiv)
- Passwort-Historie– ist: 0· soll: >= 24
- Maximales Passwortalter (Tage)– ist: 0· soll: <= 90 (0=nie)
- Sperrschwelle (Fehlversuche)– ist: 0· soll: 1-10
srv-erp01Server-Audit
- Minimale Passwortlaenge– ist: 0· soll: >= 14
- Passwort-Komplexitaet– ist: 0· soll: 1 (aktiv)
- Passwort-Historie– ist: 0· soll: >= 24
- Maximales Passwortalter (Tage)– ist: 0· soll: <= 90 (0=nie)
- Sperrschwelle (Fehlversuche)– ist: 0· soll: 1-10
srv-file01Server-Audit
- Minimale Passwortlaenge– ist: 0· soll: >= 14
- Passwort-Komplexitaet– ist: 0· soll: 1 (aktiv)
- Passwort-Historie– ist: 0· soll: >= 24
Nachweise
Noch kein Nachweis – z. B. Protokoll, Screenshot oder Abnahme der Umsetzung.
Kommentare
- Umgesetzt und im Monats-Check am 16.12.2025 bestätigt.20.10.2026, 07:15
- 24 geleakte Zugänge bis 15.12. rotieren; Reuse-Cluster werden mit der Rotation aufgelöst.20.10.2026, 07:15