Regel 40: Passwörter

Zielgruppe: Alle IT-Nutzer

Verbindliche Anforderungen

1. Ein persönliches Passwort muß geheimgehalten werden; es darf nur dem Benutzer bekannt sein.

2. Ein Passwort, das für Systeme mit Patientendaten verwendet wird, darf nicht für Systeme außerhalb des Klinikums, externe Kommunikation oder nicht-patientenbezogene Informationssysteme verwendet werden.

3. Das Passwort darf in der Umgebung des Arbeitsplatzes nicht schriftlich festgehalten werden.

4. Das Passwort darf nicht leicht zu erraten bzw. durch ein Knackprogramm zu ermitteln sein. Einfache Buchstabenfolgen, Namen, Kennzeichen, Geburtsdatum und sämtliche Begriffe, die in einem normalen Rechtschreib-Lexikon gängiger Sprachen stehen, sind als Passwort ungeeignet. Innerhalb des Passworts ist mindestens ein Sonderzeichen, wie z.B. $, %, <, sowie Groß- / Kleinschreibung zu verwenden. Daneben ist der Einsatz von Zahlen zu empfehlen.

5. Mindestlängen für Passwörter: 6 Stellen für normales Nutzer-Passwort; 8 Stellen für Administrator und Super-User-Passwörter; 4 Stellen für Bildschirmschoner-Passwort (da nur Kurzzeitschutz), wenn separat einstellbar.

6. Das Passwort muss spätestens nach 180 Tagen gewechselt werden. Dabei dürfen bereits einmal verwendete Passwörter nicht nochmals eingesetzt werden.

7. Die Eingabe eines Passwortes muss möglichst unbeobachtet erfolgen.

8. Ist das Passwort anderen Personen bekannt geworden, ist es umgehend zu ändern.

9. Voreingestellte Passwörter (von EDV-Systemen bzw. von Administratoren vergebene Startpasswörter) sind umgehend durch individuelle Passwörter zu ersetzen.

10. Passwörter dürfen grundsätzlich nicht zur automatisierten Anwendung gespeichert werden.

Empfehlungen zur Umsetzung

1. Passwörter müssen schwierig sein, um sicher zu sein; sie müssen andererseits im Gedächtnis haften, um die Arbeit zu ermöglichen. Jeder EDV-Nutzer muss sich eine eigene Eselsbrücke für seine Passwörter bauen.

2. Gruppenpasswörter können wegen eingeschränkter Sicherheit und eingeschränktem rechtlichen Nachweis nur in absolut erforderlichen Ausnahmefällen mit zusätzlichen Absicherungen verwendet werden.

Letzte Änderung: 13. Maerz 2012, Historie