Sicheres Kennwort

1. Allgemeine Informationen zum sicheren Benutzerkennwort

Passwörter und Benutzerkonten werden als grundlegender Authentifizierungsmechanismus in IT-Systemen eingesetzt und bieten den Basisschutz für die Vertraulichkeit, Integrität und Verfügbarkeit der Informationen auf den Systemen und in den Anwendungen. Damit Sie bei der Vielzahl von Anwendungen den Überblick über Ihre Passwörter behalten und alle relevanten Sicherheitskriterien erfüllt sind, gilt es folgende Qualitätsanforderungen bei der Auswahl des Passworts zu beachten:

An erster Stelle steht die Einzigartigkeit des Passworts pro Anwendung. Dies bedeutet, dass für jede Anwendung ein separates Passwort zu verwenden ist. Nachgelagert steht die Komplexität des Passwortes. Grundsätzlich sollten Passwörter aus den folgenden vier Zeichenarten generiert werden:

• Großbuchstaben

• Kleinbuchstaben

• Sonderzeichen

• Ziffern

Grundsätzlich sollte jeder Benutzer sein eigenes Passwort erhalten und keine Gruppenpasswörter eingesetzt werden. Jeder Benutzer kann bei seiner ersten Anmeldung sein Passwort ändern. Regelmäßige Passwortänderungen sind nicht notwendig. Vielmehr genügt es, das Passwort zu erneuern, wenn dieses unsicher ist, oder der Verdacht besteht, dass es kompromittiert wurde.

Mit der CGM TURBOMED-Version 23.1.1 passen wir die Vorgaben an die Richtlinien des BSI (Bundesamt für Sicherheit in der Informationstechnik) an.

• Die Funktionalität, ein nach aktuellen Standards sicheres Benutzerkennwort zu vergeben

• Eine neue Sicherheitseinstellung zur Überprüfung der Anforderung eines sicheren Kennworts

Um Sie bei der Vergabe eines solchen Kennworts zu unterstützen, wird bei der Erfassung des Kennworts auf die Vorgaben geprüft. Weiterhin erscheint eine Anzeige zur Passwortstärke.

Sie werden nach dem Einspielen des Updates 23.1.1 über die neuen Richtlinien informiert und müssen diese mit [OK] bestätigen. Danach können Sie sich weiterhin mit Ihrem bekannten Kennwort in CGM TURBOMED anmelden.

Handelt es sich an dieser Stelle um ein unsicheres Kennwort, werden Sie einmalig darauf hingewiesen, Ihr Passwort jetzt oder zu einem späteren Zeitpunkt zu ändern.

Haben Sie bereits ein sicheres Kennwort, erscheint keine Hinweismeldung.

Nachfolgend wird der neue Punkt zum sicheren Kennwort in der Benutzerverwaltung erklärt.

2. Sicherheitseinstellung für ein sicheres Kennwort Q1/2023

Wünschen Sie für den angemeldeten Benutzer ein sicheres Benutzerkennwort, so muss dies pro Benutzer in der Benutzerverwaltung aktiviert werden.

3. Für jeden Benutzer einen eigenen Account

In der Benutzerverwaltung haben Sie die Möglichkeit für jeden Mitarbeiter einen eigenen Benutzer anzulegen, was normalerweise bei Ihrer Ersteinrichtung von CGM TURBOMED über Ihren Administrator (Vertriebspartner, Techniker oder Chef) schon geschehen ist.

Jeder Mitarbeiter sollte unbedingt seinen eigenen Benutzernamen und sein eigenes Passwort zur Rechte-/ und Rollenverwaltung besitzen um sich in CGM TURBOMED anzumelden.

Jeder Mitarbeiter erkennt nach einem erfolgreichen Login mit seinem Kennwort in CGM TURBOMED nun über eine Hinweismeldung sofort, ob es seit seinem letzten erfolgreichen Login, fehlgeschlagene Login-Versuche gab und wenn ja von welchem Rechner diese ausgingen. Somit können unerwünschte Login Versuche z.B. durch unbefugte Dritte, schnell erkannt werden.

Die Anlage der Benutzer erfolgt über die Benutzerverwaltung [F12/ Sonstiges/ Benutzerverwaltung/ Benutzer.

Lesen Sie hierzu das Kapitel Benutzerverwaltung.

4. Weitere administrative Einstellungen für den Administrator

Der Administrator (jeder CGM TURBOMED Benutzer, der das Benutzerrecht [Benutzerverwaltung] besitz hat in der Benutzerverwaltung die Möglichkeit weitere administrative Einstellungen für sich selbst und die anderen CGM TURBOMED Benutzer vorzunehmen.

Diese kann er über [F12/ Sonstige/ Benutzerverwaltung/ Benutzer] im entsprechenden Benutzer im Reiter [Allgemein/ weitere Administrative Einstellungen] über die Schaltfläche [Einstellungen] oder über das Tastenkürzel [Alt+E] vornehmen:

Im folgenden Fenster hat er nun im oberen Teil des Fensters die Möglichkeit über den Button [Benutzer sperren] bzw. [Benutzer entsperren] entsprechende Accounts, die er zuvor links markiert hat zu sperren oder auch wieder zu entsperren.

• 1= Der Status zeigt an, ob der Benutzer gesperrt oder aktiv ist, rot= gesperrt, grün= aktiv.

• 2= Der Grund für die Sperrung ist optional und keine Pflichtangabe, der Account kann auch ohne Begründung gesperrt werden.

• 3= Wird die Checkbox "anderer Grund" ausgewählt, hat der Administrator die Möglichkeit in dieses Feld händisch eine beliebige Begründung einzutragen und diesen über den Button [Speichern/Schließen] oder [Shift+S] abzuspeichern.

Im unteren Teil hat er die Möglichkeit die Anforderungen für eine Kennwortänderung der einzelnen Benutzer zu verwalten.

• 4 = Wird der Punkt [alte Passwörter bei Passwortänderung nicht zulassen] angehakt, kann der entsprechende Benutzer die letzten 10 vergebenen Passwörter nicht erneut benutzen. Diese Änderung muss über den Button [Speichern/Schließen] oder über die Tastenkombination [Shift+S] abgespeichert werden.

• 5 = In einem [Log] ist ersichtlich, wer sein Passwort, wann geändert hat, wessen Account nicht erfolgreich eingeloggt wurde und wer einen Account gesperrt bzw. entsperrt hat.

 

5. Falsche Anmeldeparameter

Die Fehlermeldung bei Eingabe eines falschen Anmeldeparameters wurde nach Vorgabe des BSI (Bundesamt für Sicherheit in der Informationstechnik) angepasst. Alle Meldungen bezüglich fehlgeschlagener Anmeldeversuche wurden nun vereinheitlicht, um die Sicherheit von CGM TURBOMED zu erhöhen. Diese sieht nun grundsätzlich wie folgt aus:

Hintergrund dieser Maßnahme ist, dass ein möglicher „Angreifer“ (eine unbefugte dritte Person) durch eine gezielte Fehlermeldung (z.B. falsches Kennwort) Rückschlüsse ziehen kann, die ihm den unbefugten Zugriff vereinfachen (sogenanntes "Hacking").

 

6. Qualitätsanforderungen für die Erstellung sicherer Passwörter

Passwörter und Benutzerkonten werden als grundlegender Authentifizierungsmechanismus in IT-Systemen eingesetzt und bieten den Basisschutz für die Vertraulichkeit, Integrität und Verfügbarkeit der Informationen auf den Systemen und in den Anwendungen. Damit Sie bei der Vielzahl von Anwendungen den Überblick über Ihre Passwörter behalten und alle relevanten Sicherheitskriterien erfüllt sind, gilt es folgende Qualitätsanforderungen bei der Auswahl des Passworts zu beachten:

An erster Stelle steht die Einzigartigkeit des Passworts pro Anwendung. Dies bedeutet, dass für jede Anwendung ein separates Passwort zu verwenden ist. Nachgelagert steht die Komplexität des Passwortes. Grundsätzlich sollten Passwörter aus den folgenden vier Zeichenarten generiert werden:

• Großbuchstaben

• Kleinbuchstaben

• Sonderzeichen

• Ziffern

Längere und weniger komplexe Passwörter bieten den Vorteil der besseren Merkbarkeit. Diese sogenannten „Passphrasen“ sollten dabei aus mindestens 25 Zeichen und mehreren aneinandergehangenen Worten ohne Zusammenhang bestehen. In diesem Fall genügt es, wenn das Passwort zwei der genannten vier Kriterien erfüllt.

 

Umsetzungsbeispiel:

erdmann_haus_melonen_meer

4uto3l3f4ntb4umst4mmw4ss3r

 

Bei kürzeren Passwörtern mit mindestens 10 Zeichen ist die Komplexität zu erhöhen. Hier ist das Passwort so zu wählen, dass es alle vier genannten Zeichenarten enthält.

Grundsätzlich sollte jeder Benutzer sein eigenes Passwort erhalten und keine Gruppenpasswörter eingesetzt werden. Die gewählten Passwörter dürfen nicht in Wörterbüchern vorkommen oder aus Tastaturmustern wie "asdfgh" oder "1234abcd" bestehen. Wurde das Passwort durch jemand Drittes erzeugt, so muss der Benutzer das Start-Passwort bei seiner ersten Anmeldung ändern. Regelmäßige Passwortänderungen sind nicht notwendig. Vielmehr genügt es das Passwort zu erneuern, wenn dieses unsicher ist, oder der Verdacht besteht, dass es kompromittiert wurde.