Cyber Essentials Passwortrichtlinie: UK-Anforderungen & bewährte Praktiken (2026)
17. August 2026
Erfahren Sie die genauen Passwortanforderungen für die Cyber-Essentials-Zertifizierung im Vereinigten Königreich. Erhalten Sie praktische Tipps zu MFA, Passwortmanagern und Policy-Vorlagen.
Was ist die Cyber Essentials Passwortrichtlinie?
Cyber Essentials ist ein von der britischen Regierung unterstütztes Programm, das grundlegende Sicherheitskontrollen festlegt, um Organisationen vor häufigen Cyber-Bedrohungen zu schützen. Der Teil des Rahmenwerks, der sich mit Passwortrichtlinien befasst, konzentriert sich darauf, wie Sie Benutzer authentifizieren und Anmeldedaten verwalten. Die offiziellen Richtlinien verlangen die Verwendung sicherer Passwörter, PINs oder Passphrasen für alle Konten sowie die Durchsetzung von Kontosperrungen oder Ratenbegrenzung, um Brute-Force-Angriffe zu verhindern. Darüber hinaus wird die Verwendung der Multi-Faktor-Authentifizierung (MFA) für Cloud-Dienste und Benutzerkonten mit Administratorrechten vorgeschrieben. Im Gegensatz zu einigen Standards besteht Cyber Essentials nicht auf einem regelmäßigen Passwortwechsel, erwartet jedoch, dass Sie eine klare schriftliche Richtlinie haben und Ihre Mitarbeiter in Bezug auf gute Passwortpraktiken schulen.
Wichtige Anforderungen an Passwörter und MFA
Für die Cyber-Essentials-Zertifizierung müssen Sie technische Kontrollen implementieren, die unbefugten Zugriff verhindern. Das bedeutet, dass Sie eine Mindestlänge für Passwörter von mindestens 8 Zeichen festlegen müssen. Das National Cyber Security Centre (NCSC) in Großbritannien empfiehlt jedoch die Verwendung längerer Passphrasen, wie zum Beispiel drei zufälliger Wörter, die leichter zu merken und schwerer zu knacken sind. Darüber hinaus müssen Sie die Multi-Faktor-Authentifizierung (MFA) für alle cloudbasierten Konten sowie für alle administrativen oder privilegierten Benutzerkonten aktivieren. Sie müssen außerdem eine Kontosperrung nach fünf fehlgeschlagenen Versuchen konfigurieren oder einen gleichwertigen Anti-Brute-Force-Mechanismus, wie z. B. Ratenbegrenzung oder Passwort-Drosselung. Diese Anforderungen gelten für alle Mitarbeiter, Auftragnehmer und Drittnutzer mit Zugriff auf Ihre Systeme.
So implementieren Sie eine Passwortrichtlinie mit einem Passwort-Manager
Der effektivste Weg, die Anforderungen von Cyber Essentials zu erfüllen, ist die Einführung eines Passwort-Managers. Ein Passwort-Manager generiert für jedes Konto starke, zufällige Passwörter und speichert diese sicher, sodass Mitarbeiter sich nur noch ein einziges Master-Passwort merken müssen. Bei der Einführung eines Passwort-Managers sollte ein Produkt gewählt werden, das MFA für das Master-Konto unterstützt und eine zentrale Verwaltung ermöglicht. Zudem sollte eine Unternehmensrichtlinie erstellt werden, die die Nutzung des Passwort-Managers für alle geschäftlichen Konten verbindlich vorschreibt. Schulen Sie Ihre Mitarbeiter, damit sie verstehen, wie der Passwort-Manager funktioniert und warum die Wiederverwendung von Passwörtern ein Risiko darstellt. Stellen Sie außerdem sicher, dass alle Altsysteme und lokalen Administrator-Passwörter aktualisiert und im Passwort-Manager hinterlegt werden. Dieser Ansatz erfüllt die Anforderung von Cyber Essentials an sichere Passwörter und reduziert das Risiko von Passwortdiebstahl.
Häufige Fehler, die Sie in Ihrer Passwortrichtlinie vermeiden sollten
Viele britische Unternehmen scheitern an Cyber Essentials aufgrund einfacher Fehler. Ein häufiges Problem ist die Festlegung eines Passwortablaufs alle 30–90 Tage. Die NCSC-Leitlinien und Cyber Essentials verlangen keine erzwungene Rotation, und häufige Änderungen führen oft zu schwächeren Passwörtern oder Notizzetteln am Monitor. Ein weiterer Fehler ist die fehlende Durchsetzung von MFA für alle Benutzer, nicht nur für Administratoren. Viele Organisationen verwenden außerdem Blacklists mit häufigen Passwörtern, aber Cyber Essentials erwartet mehr – Sie sollten verhindern, dass Benutzer Passwörter wählen, die in bekannten Datenleak-Listen vorkommen. Darüber hinaus erlauben einige Richtlinien die gemeinsame Nutzung von Passwörtern für freigegebene Postfächer oder Dienstkonten; stattdessen sollten Sie individuelle Konten verwenden und Zugriffsrechte delegieren. Schließlich ist die fehlende schriftliche Dokumentation Ihrer Passwortrichtlinie ein häufiger Audit-Fehler.
Nächste Schritte: Erstellen Sie Ihre Richtlinie und lassen Sie sich zertifizieren
Um die Cyber-Essentials-Zertifizierung zu erhalten, müssen Sie diese Anforderungen in eine formelle Richtlinie umwandeln und deren Umsetzung nachweisen. Laden Sie zunächst das offizielle Cyber-Essentials-Readiness-Toolkit vom NCSC oder einer akkreditierten Zertifizierungsstelle herunter. Erstellen Sie eine einfache Passwortrichtlinie, die Passwortlänge, Komplexität, MFA, Kontosperrung und die Verwendung von Passwort-Managern abdeckt. Prüfen Sie anschließend Ihre aktuellen Systeme, um sicherzustellen, dass alle Konten – insbesondere Administratorkonten – die Kriterien erfüllen. Beheben Sie etwaige Lücken vor Ihrer Prüfung und schulen Sie Ihre Mitarbeiter in der neuen Richtlinie. Vereinbaren Sie schließlich Ihre Prüfung mit einem akkreditierten Anbieter. Nach der Zertifizierung können Sie das Abzeichen anzeigen, Regierungsaufträge gewinnen und Ihr Cybersicherheitsrisiko erheblich senken. Denken Sie daran, Ihre Richtlinie jährlich und nach größeren IT-Änderungen zu überprüfen.
FAQ
Es gibt keine feste Anzahl, die vom Programm vorgegeben wird, aber die offiziellen Leitlinien besagen, dass Sie eine Kennwortrichtlinie implementieren müssen, die mindestens 8 Zeichen vorschreibt. Das britische NCSC empfiehlt die Verwendung längerer Passphrasen, beispielsweise drei zufälliger Wörter, die stärker und benutzerfreundlicher sind. Ihre Richtlinie sollte dokumentiert und technisch durchgesetzt werden.