Der Gedanke war mal, dass man es nicht mitbekommt wenn das Passwort entwendet wurde. Also soll es regelmäßig gewechselt werden, zum einen um etwaige Schäden einzudämmen, zum anderen um bisherige Versuche das PW zu erraten nutzlos zu machen.
In der Realität sieht es aber anders aus, wie Unmutlaut hier in den Kommentaren bereits erwähnte.
Bedingt. Ist meistens eher eine Schuldverlagerung vom Unternehmen auf den User. Stichwort SMS oder E-Mail als zweiten Faktor/OTP Versand. Auch bringt dir das weniger wenn du den zweiten Faktor auf demselben Gerät hast mit dem du den ersten Faktor verifizierst.
In diesem Falle hat ein Angreifer im Durchschnitt nur 45 Tage Zeit, das Passwort zu nutzen. Ich bin sicher, 45 Tage sind viel zu wenig für einen Angreifer um eine wirkungsvolle Backdoor zu installieren.
Come on. Das Ganze ist nur Sicherheitstheater weil es nix kostet. Wenn ein Passwort vor Diebstahl geschützt werden soll, dann braucht es sowieso One Time Paaswords, da hilft auch der Schmarrn mit den 90 Tagen gar nix.
Es ist ja auch nicht so, dass es keine Lösungen für solche Probleme gäbe, wie div. 2FA Software oder Hardware Devices, 4 Augen Login usw.
Aber die 90 Tage Regelung - da kann man dem Management sagen “Jaja, wir haben was getan”, ohne dass das Management Budget dafür raus rücken muss.
Das sehe ich anders. Wir wissen, dass viele User bei verschiedenen Diensten immer die gleichen Passwörter nutzen. Und daher ist die Wahrscheinlichkeit, dass die User auch das Firmenpasswort dann für GMX oder irgendeinen Trotteldienst, der dann die Passwörter verschlampt, nutzen, recht groß. Das kannst du als IT nicht verhindern. Mit so einer 90 Tage-Regel verbrennst du so die Standard-Passwörter deiner User. Sie setzen ihr Standard-PW und dann müssen sie es ändern. Verkackt Kokstaxi.de das mit der IT-Sicherheit, dann ist halt das CRM-Passwort vom Vertriebsleiter halt nach 90 Tagen nicht das dortige. Das ist nicht perfekt, aber verhindert schon einiges an automatisierten Attacken.
Es bringt etwas, aber ist kein Allheilmittel. Ob es Securitytheater ist kommt auf die Implementierung an. Meistens ist es das, weil es, wie du sagst, eher als Ausrede genutzt wird um nichts zu tun.
Der Gedanke war mal, dass man es nicht mitbekommt wenn das Passwort entwendet wurde. Also soll es regelmäßig gewechselt werden, zum einen um etwaige Schäden einzudämmen, zum anderen um bisherige Versuche das PW zu erraten nutzlos zu machen.
In der Realität sieht es aber anders aus, wie Unmutlaut hier in den Kommentaren bereits erwähnte.
Second-Factor regelt
Bedingt. Ist meistens eher eine Schuldverlagerung vom Unternehmen auf den User. Stichwort SMS oder E-Mail als zweiten Faktor/OTP Versand. Auch bringt dir das weniger wenn du den zweiten Faktor auf demselben Gerät hast mit dem du den ersten Faktor verifizierst.
In diesem Falle hat ein Angreifer im Durchschnitt nur 45 Tage Zeit, das Passwort zu nutzen. Ich bin sicher, 45 Tage sind viel zu wenig für einen Angreifer um eine wirkungsvolle Backdoor zu installieren.
Come on. Das Ganze ist nur Sicherheitstheater weil es nix kostet. Wenn ein Passwort vor Diebstahl geschützt werden soll, dann braucht es sowieso One Time Paaswords, da hilft auch der Schmarrn mit den 90 Tagen gar nix.
Es ist ja auch nicht so, dass es keine Lösungen für solche Probleme gäbe, wie div. 2FA Software oder Hardware Devices, 4 Augen Login usw.
Aber die 90 Tage Regelung - da kann man dem Management sagen “Jaja, wir haben was getan”, ohne dass das Management Budget dafür raus rücken muss.
Es ist einfach Security Theater.
Das sehe ich anders. Wir wissen, dass viele User bei verschiedenen Diensten immer die gleichen Passwörter nutzen. Und daher ist die Wahrscheinlichkeit, dass die User auch das Firmenpasswort dann für GMX oder irgendeinen Trotteldienst, der dann die Passwörter verschlampt, nutzen, recht groß. Das kannst du als IT nicht verhindern. Mit so einer 90 Tage-Regel verbrennst du so die Standard-Passwörter deiner User. Sie setzen ihr Standard-PW und dann müssen sie es ändern. Verkackt Kokstaxi.de das mit der IT-Sicherheit, dann ist halt das CRM-Passwort vom Vertriebsleiter halt nach 90 Tagen nicht das dortige. Das ist nicht perfekt, aber verhindert schon einiges an automatisierten Attacken.
Es bringt etwas, aber ist kein Allheilmittel. Ob es Securitytheater ist kommt auf die Implementierung an. Meistens ist es das, weil es, wie du sagst, eher als Ausrede genutzt wird um nichts zu tun.