M 2.22 Hinterlegen des Passwortes

Verantwortlich für Initiierung: Leiter IT

Verantwortlich für Umsetzung: IT-Benutzer

Ist der Zugriff auf ein IT-System durch ein Passwort geschützt, so müssen Vorkehrungen getroffen werden, die bei Abwesenheit eines Mitarbeiters, z. B. im Urlaubs- oder Krankheitsfall, seinem Vertreter den Zugriff auf das IT-System ermöglichen.

Hierfür gibt es verschiedene Möglichkeiten, die von den benutzten IT-Systemen bzw. IT-Anwendungen und von den IT-Sicherheitsrichtlinien der jeweiligen Organisation abhängen. So kann z. B. das Passwort an einer geeigneten Stelle hinterlegt werden. Bei typischen Mehrbenutzersystemen kann auch der Administrator die benötigten Benutzerrechte freigeben oder das Passwort auf einen neuen Wert setzen. Bei vielen IT-Systemen bzw. IT-Anwendungen können aber Gruppen eingerichtet werden, so dass die eingetragenen Vertreter im Abwesenheitsfall Zugriff auf das System haben.

Alle genannten Lösungen haben verschiedene Vor-, aber auch Nachteile, so dass genau abgewogen werden muss, welche Lösung die in der jeweiligen Situation geeigneteste ist.

Die folgenden Beispiele sollen dies aufzeigen:

Die Buchhalterin Frau Müller arbeitet an einem Windows-PC, der als Client in einem LAN angeschlossen ist. Um für den Vertretungsfall alle potentiellen Problembereiche abzudecken, wurden ihre Tätigkeitsbereiche mit ihr durchgegangen und Lösungen entwickelt.

• Sie ist für die Bearbeitung aller Vorgänge mit den Partnerfirmen A-K zuständig. Die zu bearbeitenden Daten befinden sich in einer Datenbank auf dem Server PF1. Im Vertretungsfall können ihre Kollegen Schmidt und Eifrig unter ihren eigenen Benutzer-Kennungen diese Daten bearbeiten, da sie die entsprechenden Berechtigungen in der Datenbank haben.

• Einige von ihr erstellte Dokumente befinden sich auf ihrem PC. Es wurde eine Vereinbarung getroffen, dass sie alle für den Betrieb wichtigen Dateien in Projektverzeichnisse auf den Server einstellt. Falls im Vertretungsfall ein Zugriff notwendig wird, kann der Administrator diesen ermöglichen. Dies muss schriftlich dokumentiert werden. Frau Müller erhält darüber anschließend eine E-Mail.

• Viele von Frau Müller betreute Firmen schicken Informationen per E-Mail. Da das genutzte E-Mail-System es technisch nicht zulässt, dass Vertretungsregelungen auf dem Weg von Zugriffsberechtigungen eingeführt werden, erhält der Vertreter Herr Schmidt das Passwort für ihren E-Mail-Zugang. Dadurch kann er bei ihrer Abwesenheit eingehende E-Mails zügig beantworten.

• Einige finanzrelevante Vorgänge müssen mit einer digitalen Signatur autorisiert werden. Allen Mitarbeitern sind dafür persönliche kryptographische Schlüssel auf Chipkarten ausgehändigt worden, die nicht weitergegeben werden dürfen. Im Vertretungsfall unterzeichnet ihr Vertreter mit seiner digitalen Signatur.

Eine Hinterlegung von Passwörtern ist immer mit einem großem organisatorischen Aufwand verbunden: Bei der Passwort-Hinterlegung sind die benötigten aktuellen Passwörter durch jeden Mitarbeiter an einer geeigneten Stelle (z. B. im Sekretariat in einem Safe in einem geschlossenen Umschlag) zu hinterlegen. Bei jeder Änderung eines der Passwörter ist dieses zu aktualisieren. Es darf kein Passwort dabei vergessen werden. (Manchmal werden für den Zugriff auf eine Anwendung auf einem Rechner bis zu fünf verschiedene Passwörter benötigt.) Es darf nicht möglich sein, dass Unbefugte auf die hinterlegten Passwörter Zugriff nehmen. Wird es notwendig, eines der hinterlegten Passwörter zu nutzen, so sollte dies nach dem Vier-Augen-Prinzip, d. h. von zwei Personen gleichzeitig, geschehen. Jeder Zugriff darauf muss dokumentiert werden.

Passwörter sollten möglichst nur dann hinterlegt werden, wenn es keine andere (technische) Lösung gibt. Dabei ist immer zu beachten, dass die Hinterlegung von Passwörtern einen falschen Signalcharakter für den sicheren Umgang mit Passwörtern vermittelt. Passwörter dürfen nicht unter Tastaturen oder ähnlichen Orten "hinterlegt" und auch nicht unter Kollegen weitergegeben werden, nur weil es einfacher ist, als den Administrator um die Vergabe einer notwendigen Zugriffsberechtigung zu bitten.

Passwörter sollten aber immer dann sicher hinterlegt werden, wenn diese die einzige Möglichkeit sind, auf das IT-System oder die IT-Anwendung Zugriff zu nehmen. Dies ist z. B. meistens bei Administrator-Zugängen oder Einzelplatz-Systemen der Fall.

Es sollte daher eine Regelung geben, in der beschrieben ist, welche Art von Passwörtern hinterlegt werden sollten und welche Rahmenbedingungen dafür geschaffen werden müssen.

Bei einem Telearbeiter ist sicherzustellen, dass dessen Passwörter für die IT-Systeme am häuslichen Arbeitsplatz auch in der Institution hinterlegt werden, damit im Notfall sein Vertreter auf die im Telearbeitsrechner gespeicherten Daten zugreifen kann.

Bei allen von Administratoren betreuten Systemen, insbesondere bei vernetzten Systemen, ist durch regelmäßige Überprüfung sicherzustellen, dass das aktuelle Systemadministrator-Passwort hinterlegt ist.

Ergänzende Kontrollfragen:

• Existiert eine Regelung zur Hinterlegung von Passwörtern?

• Sind die hinterlegten Passwörter vollständig und aktuell?

• Ist die ordnungsgemäße Verwendung eines hinterlegten Passwortes geregelt?

• Wird anhand der Aktualisierungen der hinterlegten Passwörter die Wechselsystematik kontrolliert?

• Wurde überprüft, ob es Alternativen zur Passwort-Hinterlegung gibt?