TOOLBOX · DOWNLOAD
Passwort-richtlinie alsVorlage.
Viele Passwortrichtlinien verlangen noch Sonderzeichen und einen Wechsel alle 90 Tage. Die aktuelle NIST SP 800-63B-4 vom Juli 2025 untersagt beides für Anmeldesysteme und setzt auf Länge, Sperrlisten und begrenzte Fehlversuche; das BSI rät im IT-Grundschutz von rein zeitgesteuerten Wechseln ab. Diese Vorlage übersetzt die Anforderungen in einen Richtlinientext mit Platzhaltern, stellt alte und neue Regeln mit Fundstelle gegenüber und führt durch die Umsetzung in Microsoft Entra ID.
Kostenloses PDF · Vorlage
Passwortrichtlinie: Vorlage nach NIST und BSI
- Thema
- Security-Grundlagen
- Format
- PDF, A4
- Umfang
- 11 Seiten
- Größe
- 136 KB
- Stand
- 25.10.2026
- Quellen
- 12
FÜR WEN
Für wen
das gedacht ist.
Richtlinientext mit Platzhaltern, alte und neue Regeln mit Fundstelle und Checkliste für Microsoft Entra ID, belegt mit NIST SP 800-63B-4, BSI ORP.4 und Microsoft Learn.
- Geschäftsführung kleiner und mittlerer Unternehmen, die eine verbindliche Passwortrichtlinie erlassen wollen
- IT-Leitung und Informationssicherheitsbeauftragte, die bestehende Regeln auf den Stand von NIST und BSI bringen
- IT-Dienstleister, die Passwortregeln und Microsoft Entra ID für ihre Kunden einrichten
9 ABSCHNITTE
Was drin
steht.
Jede fachliche Aussage im Dokument nennt ihre Quelle. Das Stand-Datum steht auf jeder Seite.
- 01
Was NIST und BSI heute verlangen
Die neuen Grundregeln auf einen Blick und wie verbindlich die Quellen für Unternehmen in Österreich sind.
- 02
Alte Regel, neue Regel
Neun verbreitete Passwortregeln und was nach NIST SP 800-63B-4 und BSI ORP.4 an ihre Stelle tritt.
- 03
Wo Mehr-Faktor-Authentisierung Pflicht ist
NISG 2026 für NIS2-Einrichtungen und Microsoft für Verwaltungszugänge; das BSI empfiehlt sie (SOLLTE) für Administratoren.
- 04
Vorlage: Passwortrichtlinie zum Anpassen
Mustertext mit 15 Klauseln für alle Konten, besondere Konten und IT-Systeme, dazu die Freigabe zum Ausfüllen.
- 05
Umsetzung in Microsoft Entra ID
Was fest vorgegeben ist, was Sie einstellen können und welche Lizenz Sie dafür brauchen.
- 06
Vorgaben für Anmeldesysteme und eigene Anwendungen
Was Systeme prüfen, wie sie Fehlversuche begrenzen und wie sie Passwörter speichern, nach NIST und BSI.
- 07
Häufige Fehler bei der Umstellung
Woran neue Passwortregeln in der Praxis scheitern und wie Sie es vermeiden.
- 08
Ausblick: Passkeys statt Passwörter
Warum Passkeys phishingresistent sind und was Microsoft Entra ID dafür heute schon bietet.
- 09
In vier Schritten zur neuen Richtlinie
Vom Bestand über Freigabe und Technik bis zur Einweisung und jährlichen Prüfung.
AUSZUG
Alte Regel, neue Regel
| Bisher üblich | Neu | Fundstelle |
|---|---|---|
| Mindestens 8 Zeichen mit Groß- und Kleinbuchstaben, Ziffer und Sonderzeichen | Länge statt Zeichenarten: mindestens 15 Zeichen, mindestens 8 nur zusammen mit MFA; keine weiteren Zusammensetzungsregeln | NIST 3.1.1.2; Microsoft empfiehlt für Microsoft 365 mindestens 14 Zeichen |
| Wechsel alle 30, 60 oder 90 Tage | Kein Wechsel nach Frist; Pflichtwechsel bei Verdacht oder Hinweis auf Kompromittierung | NIST 3.1.1.2; ORP.4.A8, ORP.4.A23 |
| Höchstlänge 12 oder 16 Zeichen, Leerzeichen verboten | Mindestens 64 Zeichen zulassen, alle druckbaren Zeichen und Leerzeichen; die volle Länge prüfen | NIST 3.1.1.2; ORP.4.A23 |
| Keine Prüfung gegen bekannte Passwörter | Sperrliste häufiger, erwartbarer und kompromittierter Passwörter; Ablehnung mit Begründung | NIST 3.1.1.2; ORP.4.A8 |
| Einfügen gesperrt, Passwortmanager unerwünscht | Passwortmanager und automatisches Ausfüllen zulassen, Einfügen erlauben | NIST 3.1.1.2; ORP.4.A8 (Nutzung prüfen) |
| Sicherheitsfrage und Merkhilfe für das Zurücksetzen | Keine Sicherheitsfragen, keine ohne Anmeldung sichtbaren Merkhilfen; sicheres Rücksetzverfahren | NIST 3.1.1.2; ORP.4.A11 |
| Beliebig viele Anmeldeversuche | Fehlversuche begrenzen: steigende Verzögerung und Sperre ab festgelegter Zahl, höchstens 100 | NIST 3.2.2; ORP.4.A13 |
| Passwort als einziger Schutz, auch für Administratoren | MFA, mindestens für Administratoren; ein phishingresistentes Verfahren anbieten | ORP.4.A10, ORP.4.A21; NIST 2.2.2; § 32 Abs. 4 lit. j NISG 2026 |
| Passwörter im Klartext oder umkehrbar verschlüsselt gespeichert | Gesalzen und mit einem Passwort-Hashverfahren gespeichert | NIST 3.1.1.2; ORP.4.A12, ORP.4.A23 |
NIS2-Einrichtungen: Nach Anhang Nr. 11.6.2 der Durchführungsverordnung (EU) 2024/2690, den § 2 NISV 2026 für anwendbar erklärt, sind Authentifizierungsdaten zu Beginn, in vorab festgelegten Zeitabständen und bei Verdacht zu ändern (lit. c), nach einer festgelegten Zahl erfolgloser Anmeldeversuche das Zurücksetzen der Authentifizierungsdaten und die Sperrung zu verlangen (lit. d), inaktive Sitzungen zu beenden (lit. e) und für privilegierte Konten gesonderte Zugangsdaten zu nutzen (lit. f). Den Zeitabstand legen Sie selbst fest und begründen ihn mit der Risikoanalyse; einen Mindestwert nennt der Anhang nicht.
QUELLEN
Belegt,
nicht behauptet.
- NIST SP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management (endgültige Fassung, Juli 2025) (öffnet in neuem Tab)Abstract, Notations, Abschnitte 2.2.2, 2.3.2, 3.1.1, 3.1.1.2, 3.2.2, 3.2.5, Anhang B; gelesen am 25.10.2026
- BSI IT-Grundschutz-Kompendium, Edition 2023: Baustein ORP.4 Identitäts- und Berechtigungsmanagement (öffnet in neuem Tab)Kapitel 3 mit ORP.4.A1, A8 bis A14, A19, A21, A23 und A24; gelesen am 25.10.2026
- BSI: Sichere Passwörter erstellen (öffnet in neuem Tab)Passwort-Check, Länge und Komplexität, Passwortmanager; gelesen am 25.10.2026
- NISG 2026, § 32 Risikomanagementmaßnahmen im Bereich der Cybersicherheit, tagesaktuelle Fassung im RIS (öffnet in neuem Tab)§ 32 Abs. 1, 3, 4 lit. j und Abs. 5, gültig ab 1.10.2026; gelesen am 25.10.2026
- NISV 2026, BGBl. II Nr. 290/2026, authentische Kundmachung im RIS (öffnet in neuem Tab)§§ 2, 4 bis 7 und 9, kundgemacht am 1.10.2026, gelesen am 25.10.2026
- Durchführungsverordnung (EU) 2024/2690, Anhang Nr. 11.6 und 11.7 (Authentifizierung) (öffnet in neuem Tab)für alle wesentlichen und wichtigen Einrichtungen anwendbar nach § 2 NISV 2026
- Microsoft Learn: Empfehlungen zu Kennwortrichtlinien für Microsoft 365 (öffnet in neuem Tab)Einleitung, Kennwortrichtlinien für Administratoren und Benutzer; gelesen am 25.10.2026
- Microsoft Learn: Beseitigen schwacher Kennwörter mit Microsoft Entra Kennwortschutz (öffnet in neuem Tab)Globale und benutzerdefinierte Sperrliste, Bewertung, Hybridszenarien, Lizenzen; gelesen am 25.10.2026
- Microsoft Learn: Kennwortrichtlinien und Kontoeinschränkungen in Microsoft Entra ID (öffnet in neuem Tab)Kennwortrichtlinien von Microsoft Entra, Ablaufrichtlinien; gelesen am 25.10.2026
- Microsoft Learn: Schützen von Benutzerkonten mit Smart Lockout von Microsoft Entra (öffnet in neuem Tab)Funktionsweise, Pass-Through-Authentifizierung, Verwalten der Sperrwerte; gelesen am 25.10.2026
- Microsoft Learn: Verpflichtende Multi-Faktor-Authentifizierung für Azure und Admin-Portale (öffnet in neuem Tab)Durchsetzungsphasen 1 und 2, Konten, Vorbereitung, häufige Fragen; gelesen am 25.10.2026
- Microsoft Learn: Passkeys (FIDO2) in Microsoft Entra ID aktivieren (öffnet in neuem Tab)Passkey-Profile, synchronisierte Passkeys, Authentifizierungsstärke, bekannte Probleme; gelesen am 25.10.2026
Diese Vorlage ist an Ihr Unternehmen, Ihre Systeme und Ihren Schutzbedarf anzupassen und ersetzt keine Rechtsberatung. Maßgeblich sind die genannten Standards und Herstellerangaben in der jeweils aktuellen Fassung, für Einrichtungen unter dem NISG 2026 der Gesetzestext in der geltenden Fassung. Funktionen, Bezeichnungen und Lizenzen von Microsoft können sich ändern.
TOOLBOX
Passend
dazu.
- Kostenlos
NIS2-Betroffenheitscheck
Wesentliche oder wichtige Einrichtung? Der Check prüft Ihre Angaben gegen das freigegebene Regelwerk zum NISG 2026 und nennt zu jeder Aussage den Paragrafen.
Jetzt prüfen Passwort-Manager
Wie Passwort-Manager Zugangsdaten verschlüsselt speichern, starke Passwörter erzeugen und das Teilen von Zugängen im Unternehmen ermöglichen.
Mehr erfahrenMulti-Faktor-Authentifizierung
Wie MFA eine Anmeldung mit mindestens zwei unabhängigen Faktoren bestätigt und welche Faktoren es gibt.
Mehr erfahrenPasskey
Anmelden ohne Passwort mit Schlüsselpaaren nach FIDO2 und WebAuthn, freigegeben per Fingerabdruck, Gesicht oder PIN.
Mehr erfahren
SECURITY-GRUNDLAGEN
Mehr zum
Thema.
Weitere kostenlose PDFs aus dem Bereich Security-Grundlagen.
- PDF
IT-Sicherheitsrichtlinie
Mustertext mit Platzhaltern für die Leitlinie zur Informationssicherheit und acht Grundregeln für alle Mitarbeitenden, abgeglichen mit BSI IT-Grundschutz, NISG 2026 und NISV 2026.
Ansehen - PDF
Phishing-Spickzettel
Warnzeichen mit Prüfweg, CEO-Betrug, QR-Codes, Anrufe und MFA-Anfragen, Sofortmaßnahmen nach einem Klick und die Meldewege in Österreich: kompakt zum Weitergeben und Aushängen.
Ansehen
IHR NÄCHSTER SCHRITT
Vom Papier
in die Praxis.
Wir prüfen mit Ihnen, was davon in Ihrer Umgebung schon umgesetzt ist, und setzen den Rest um: einmalig mit EXPERTS oder laufend im Betrieb mit GRID.