Richtlinie für Passwörter

Einleitung

Das Gauß-IT-Zentrum als Zentrale Einrichtung der Technischen Universität Braunschweig stellt eine Vielzahl von IT-Dienstleistungen für die nutzungsberechtigten Mitglieder und Angehörigen der Hochschule zur Verfügung.

Zur Gewährleistung der Authentisierung, Authentifizierung, Berechtigung und Sicherheit ist in der Regel eine Anmeldung an den Systemen mit einer Kombination aus zentraler Benutzerkennung und Passwort nötig.

 

Sicherheit

Mit der zentralen Benutzerkennung sind umfangreiche Berechtigungen verknüpft. Zur Aufrechterhaltung der Sicherheit in den IT-Systemen der TU Braunschweig ist es daher unerlässlich, dass auch entsprechend sichere Passwörter durch die Nutzer verwendet und diese auch geheim gehalten werden. Zur Sicherstellung eines entsprechenden Sicherheitsniveaus wurde daher die vorliegende Passwort-Richtlinie erstellt. Diese ist von den Nutzern der zentralen Benutzerkennung einzuhalten.

Für die dezentral verwalteten Systeme wird eine entsprechende Handhabung empfohlen.

 

Passwortregeln

Passwörter müssen eine gewisse Komplexität aufweisen, um nicht schnell ermittelt werden zu können.

Die Passwörter der zentralen Benutzerkennung müssen daher wie folgt zusammengesetzt sein:

Das Passwort muss Zeichen aus mindestens 3 der folgenden 4 Gruppen enthalten:

Großbuchstaben Kleinbuchstaben Ziffern Sonderzeichen, nur folgende:  _ + - , . :

Des Weiteren gilt für das Passwort:

Es darf nicht den letzten 10 Passwörtern entsprechen
Es darf nicht Teile des Namens oder der Benutzerkennung enthalten, die länger als 2 Zeichen sind Es muss 12 bis 30 Zeichen lang sein Es darf nicht mit Minuszeichen (-) anfangen

Diese Parameter werden soweit möglich bei der Passwortänderung über die Webseite technisch überprüft. Dies gilt auch analog für die Änderung des Passwortes in der Verwaltungsdomäne für die Benutzerkonten der Verwaltungsdomäne. Eine Zusammenfassung des oben genannten findet sich auch online auf der Passwort-Ändern-Seite.

Als weitere Ergänzung zur Gewährleistung der erforderlichen Sicherheit muss das Passwort regelmäßig geändert werden.

 

Sicherer Umgang

Folgende Regeln müssen im Umgang mit Benutzerkennungen und Passwörtern grundsätzlich beachtet
werden:

Die persönliche Benutzerkennung darf nicht mit anderen geteilt werden Das gleiche Passwort sollte nie bei mehreren Benutzerkennungen verwendet werden Das Passwort darf Dritten nicht mitgeteilt werden (auch nicht Service-Mitarbeitern und Administratoren des Gauß-IT-Zentrums) Die Benutzerkennung mit dem Passwort dürfen nicht auf externen Systemen hinterlegt werden Ein Passwort darf nie offen kommuniziert werden (Telefon, E-Mail etc.) Ein Arbeitsplatzrechner muss beim Verlassen mit Passwort gesperrt werden

Verhalten bei Angriffsverdacht

Sollte der Verdacht bestehen, dass das Passwort kompromittiert, also in irgendeiner Form angegriffen wurde, so ist das Passwort umgehend über die geläufigen Wege zu ändern. Darüber hinaus ist umgehend der IT-Service-Desk zu kontaktieren.