Benutzer und komplexe Passwörter

[scirocco790 11]

Folgende Situation. In unserem Netzwerk sind im Moment relativ laxe Passwortrichtlinien implementiert. Es kommt sogar teilweise vor das mehrere Benutzer das gleiche Kennwort haben. Außerdem sind die Kennwörter kurz und keine Komplexität. Dies möchten wir nun ändern.

Die meisten User fühlen sich da eher gepiesackt, und haben kein Verständnis dafür, daß sie den Vornamen des Ehemanns etc. nicht mehr als Passwort verwenden können.

Hinzu kommt noch der Gewohnheitsfaktor...

Wie argumentiert man da am besten, um es einem User klarzumachen, daß komplexere Passwörter notwendig sind?

Danke für eure Tips!

[Daim 12]

Salut,

 

Wie argumentiert man da am besten, um es einem User klarzumachen, daß komplexere Passwörter notwendig sind?

 

ein Schlagwort wäre die "Netzwerksicherheit" bzw. die "Sicherheit" an sich. Den Hausschlüssel lässt auch keiner draußen an der Tür stecken und verlässt das Haus. Man muss die Benutzer sensibilisieren, dass ihr Login ein "sensibler" Vorgang ist. Das fängt z.B. da schon an, dass sich der Admin der neben dem Benutzer steht, bewußt bei der Kennworteingabe des Benutzers sich weg dreht. Der Benutzer soll merken das sein Kennwort nur er selbst kennt und wichtig für seine Arbeit im Netzwerk ist. Er darf diesen weder irgendjemandem verraten, noch darf es diesen auf einen PostIt schreiben und an den Monitor kleben.

[goscho 11]

Hinzu kommt noch der Gewohnheitsfaktor...

Wie argumentiert man da am besten, um es einem User klarzumachen, daß komplexere Passwörter notwendig sind?

Danke für eure Tips!

 

Hier gibt es nur eine sinnvolle Möglichkeit:

 

1. Du musst die verantwortlichen Entscheidungsträger (meist Geschäftsleitung) überzeugen, dass das nötig ist.
    
   
2. Diese geben dies an die Mitarbeiter per Direktive weiter.
    
   
3. Die IT setzt das dann in entsprechende Richtlinien um.
   

 

Wie man Chefs überzeugt, dass man sicherer Kennwörter benötigt, ist von Fall zu Fall verschieden und hängt auch von der Größe des Unternehmens ab.

 

In Kleinbetrieben mit ausschließlich Familienangehörigen an PCs, bekommt man das so gut wie gar nicht hin.;)

 

Je größer die Fluktuation in der Firma, desto leichter sind Gefahren, wie Datendiebstahl oder Datenmissbrauch zu erläutern. :)

[scirocco790 11]

Nun ja, wir sind ein relativ großes Unternehmen. Aber die Mitarbeiterfluptuation ist äußerst gering. Mir ist das nur schon seit längerem ein Dorn im Auge, und ich möchte das jetzt durchziehen, natürlich mit Zustimmung der Geschäftsführung.

Nur würde ich jetzt schon darauf wetten, daß diverse Mitarbeiter ziemlich genervt sind, und das der IT dann auch ohne Umschweife mitteilen.

Für den Fall möchte ich eben vorbereitet sein.

[abra-x-as 10]

Nun ja, wir sind ein relativ großes Unternehmen. Aber die Mitarbeiterfluptuation ist äußerst gering. Mir ist das nur schon seit längerem ein Dorn im Auge, und ich möchte das jetzt durchziehen, natürlich mit Zustimmung der Geschäftsführung.

Nur würde ich jetzt schon darauf wetten, daß diverse Mitarbeiter ziemlich genervt sind, und das der IT dann auch ohne Umschweife mitteilen.

Für den Fall möchte ich eben vorbereitet sein.

 

Naja, wenn du die Zustimmung der Geschäftsleitung hast, kannst du an diese verweisen wenn sich der Anwender am Telefon aufführen will.

 

Idealerweise gibt die Geschäftsführung die Einführung einer solchen Richtlinie direkt bekannt. Dann zuckt sich gar nix mehr.

[goscho 11]

Nun ja, wir sind ein relativ großes Unternehmen.

Dann kann ich einfache Passwörter schon mal gleich gar nicht verstehen.

 

Aber die Mitarbeiterfluptuation ist äußerst gering. Mir ist das nur schon seit längerem ein Dorn im Auge, und ich möchte das jetzt durchziehen, natürlich mit Zustimmung der Geschäftsführung.

Ohne wäre ja auch schwierig. :D:D:D

 

Nur würde ich jetzt schon darauf wetten, daß diverse Mitarbeiter ziemlich genervt sind, und das der IT dann auch ohne Umschweife mitteilen.

Für den Fall möchte ich eben vorbereitet sein.

 

Simuliere doch bei einem 'Meinungsträger' einen Datenmissbrauch duch ein zu einfaches Passwort. Das geht sehr einfach z.b. über OWA (Postfach dieses Users) und eine Joke-Mail an einen Vorgesetzten.

 

Was glaubst du, wie schnell dieser sein PW sicher macht. ;)

 

Off-Topic:

 

Polizisten müssen sich auch immer die nervigen Sprüche von Autofahrern anhöhren, wenn diese nicht angeschnallt erwischt werden. :(

Erlassen wurde die Anschnallpflicht aber nicht von den Polizisten. ;)

[scirocco790 11]

Die einfachen Passwörter stammen noch aus der Zeit bevor ich angefangen habe... Deswegen möchte ich das nun ändern. Vorgefallen ist deswegen noch nichts, aber man muß es ja nicht herausfordern.

 

Fazit für mich: OK der GF (sowieso), evtl. kleines Demo für die Uneinsichtigen, was man alles anstellen kann, und dann sollte das schon zu vermitteln sein.

[blub 115]

Hi,

 

Evtl. eine Alternative:

Ich evaluiere momentan eine Fingerprint-Lösung zur Authentifizierung. Das ist sehr bequem für den Anwender.

Je nach Konfiguration und Sicherheitsanspruch kann man den Fingerprint mit einem (komplexen) Windowspasswort kombinieren. Durch geschicktes Caching des Windowspasswortes braucht ein User dieses komplexe Passwort nicht allzuoft einzugeben und kann alles durch kurzes Auflegen eines Fingers auf den FP-Reader erreichen (z.b. Sperren und Entsperren seines Rechners)

Fingerprint ist im Vergleich zur Sicherheit und Flexibilität von Smartcards mit Zertifikaten sicher nicht das nonplusultra, deutlich sicherer/komfortabler als Windowspasswörter allein ist es allemal.

Rechne für gute Hardware (FP-Scanner) + Software mit ca. 150€ Listenpreis

 

Wenn dein chef etwas Geld übrig hat, die Sicherheit ohne allzuhohen Aufwand erhöhen will und den Usern was gutes tun will, überlegts euch mal :)

 

cu

blub

[goscho 11]

Hi,

 

Evtl. eine Alternative:

Ich evaluiere momentan eine Fingerprint-Lösung zur Authentifizierung. Das ist sehr bequem für den Anwender.

Je nach Konfiguration und Sicherheitsanspruch kann man den Fingerprint mit einem (komplexen) Windowspasswort kombinieren. Durch geschicktes Caching des Windowspasswortes braucht ein User dieses komplexe Passwort nicht allzuoft einzugeben und kann alles durch kurzes Auflegen eines Fingers auf den FP-Reader erreichen (z.b. Sperren und Entsperren seines Rechners)

Ich habe das auch so eingeführt (jedenfalls für mich :D:D:D).

 

Ein Lesegerät am PC, eines am Notebook (integriert).

 

Echt praktisch, aber manchmal muss man den Finger 3-5 x über den Leser ziehen, bis das Bild akzeptiert wurde.

Da gebe ich oft nach dem 3. Fehlversuch auf und tippe das komplexe Passwort. :mad:

 

Zusätzlich ist der Fingerprintsensor beim Notebook HP8510P rechts außen im Bereich der Handballenauflage angebracht und beim Tippen kommt man dann schnell mal darüber und ärgert sich über die Fehlermeldung auf dem Desktop.

Wenn dein chef etwas Geld übrig hat, die Sicherheit ohne allzuhohen Aufwand erhöhen will und den Usern was gutes tun will, überlegts euch mal :)

 

cu

blub

 

Kann ich bestätigen. :)

 

Wenn man HP-Business-PCs hat, wirds so teuer nicht. Hier benötigt man den Fingeprintsensor. Die Software ist bei HP schon dabei (Credential Manager).

Ob die jedoch so gut in größeren Firmen ist, kann ich nicht einschätzen.

[blub 115]

ein guter Leser kostet etwa 70€. Diese lesen dann die sog. Minutien durch Auflegen des Fingers ein, im Gegensatz zu den DrüberziehLesern, die das durch Ziehen erzeugte Linienmuster eines Fingers analysieren. Das sind die Geräte, die gelegentlcih im TV gezeigt werden und mit Leimabdrücken etc. relativ leicht überlistet werden können.

12 Minutien reichen vor Gericht aus, um jemanden anhand eines Fingerabdrucks lebenslänglich zu verurteilen. Die Scanner, die ich kenne, liegen zwischen 20 und 40 Minutien, die gelesen werden.

 

Aber ich geb jetzt Ruhe, es soll kein thread um Thema Fingerprint werden.

[Windowsbetatest 10]

Hallo,

 

ein Argument gegen einfache Kennwörter ist immer der Missbrauch.

 

"Stellen sie sich vor ich melde mich mit ihrem (einfachem) Passwort an und sehe mir irgendwelche Porn** an".

 

Die IT Abteilung Protokolliert diesen Zugriff (natürlich entsprechende der Datenschutzrichtlinie der Firma und mit Zustimmung des Datenschutzbeauftragtem). Die Folge ist, ihre fristlose Entlassung. So kann man Leute sehr schnell von besseren Kennwörtern überzeugen, da die meisten den einen oder anderen "missgünstigen" Kollegen kennen.

 

Noch ein Hinweis, die "normalen" komplexen Kennwörter von Windows sind IMHO wertlos, ich kenne mehrere "Büros", wo die Mitarbeiter ein Standardpasswort haben und eine Zahl (z.B. den Monat) anhängen z.B. "Dieter01", "Dieter02". Somit umgehen sie die Komplexitäts- und Historienanforderungen.

 

Daher ist eine Auth. mittels Smartcard oder Fingerabdruck vorzuziehen.

 

Viel Glück beim durchsetzen, erfahrungsgemäß wirst du es brauchen.

 

mfg