Passwortrichtlinie nach NIS2 und BSI: 20 Zeichen, kein Zwangswechsel – außer für die 11 Einrichtungsarten der DVO 2024/2690

Kurz gesagt: Eine Passwortrichtlinie nach dem Stand der Technik setzt 2026 auf Länge, Sperrlisten und einen Passwortmanager statt auf Sonderzeichen-Pflicht und Wechsel alle 90 Tage. Das BSI schlägt in seinem neuen Richtlinien-Entwurf mindestens 20 Zeichen vor, mit Multi-Faktor-Authentifizierung mindestens 12. Feste Wechselintervalle lehnt es ab. Diese letzte Regel hat eine Ausnahme, die kaum ein Ratgeber nennt: Für die elf Einrichtungsarten der Durchführungsverordnung (EU) 2024/2690, darunter Cloud-Anbieter und Managed Service Provider, verlangt der Anhang einen Wechsel „in vorab festgelegten Zeitabständen“.

Wir haben die amtlichen Volltexte dafür durchsucht. Im BSI-Gesetz kommt das Wort „Passwort“ kein einziges Mal vor, in der deutschen Fassung der Durchführungsverordnung (DVO) ebenfalls nicht. Die NIS2-Richtlinie nennt es genau einmal, in Erwägungsgrund 49, der nicht verbindlich ist. Eine Passwortrichtlinie brauchen Sie trotzdem. Was hineingehört, entscheidet sich auf drei Ebenen, und diese Ebenen widersprechen sich an einer Stelle.

Welche Passwortregeln gelten für Ihr Unternehmen? Drei Ebenen, zwei Gruppen

Kurz gefasst: Das Gesetz verlangt ein Konzept für die Zugriffskontrolle, nennt aber keine Passwortlänge. Konkrete Pflichten zu Authentifizierungsdaten stehen nur in der DVO, und die bindet nur elf Einrichtungsarten. Alle anderen richten sich nach dem Stand der Technik, den in Deutschland vor allem das BSI beschreibt.

§ 30 Abs. 2 Nr. 9 BSIG verlangt die „Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen“. Nr. 10 nennt „Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung“. Nach Abs. 2 Satz 1 „sollen“ die Maßnahmen den Stand der Technik einhalten. Welcher Stand das ist, hängt davon ab, zu welcher Gruppe Sie gehören:

• Gruppe A, DVO-Einrichtungsarten: DNS-Diensteanbieter, TLD-Namenregister, Cloud-Computing-Dienstleister, Rechenzentrumsdienste, Content Delivery Networks, Managed Service Provider, Managed Security Service Provider, Online-Marktplätze, Online-Suchmaschinen, Plattformen sozialer Netzwerke und Vertrauensdiensteanbieter. Für sie hat die DVO nach § 30 Abs. 3 BSIG „Vorrang“. Anhang Nr. 11.6 gilt also unmittelbar.
• Gruppe B, alle übrigen besonders wichtigen und wichtigen Einrichtungen: Für sie gilt § 30 BSIG ohne DVO-Detailkatalog. Das BSI schreibt im NIS-2-Infopaket zur Multi-Faktor-Authentisierung ausdrücklich, dass die DVO die Anforderungen „nur für einen ausgewählten Teil der NIS-2 verpflichteten Einrichtungen“ festlegt.

Ebene	Fundstelle	Bindet	Aussage zu Passwörtern
Gesetz	§ 30 Abs. 2 Nr. 9 und 10 BSIG	alle NIS2-Einrichtungen	Zugriffskontrolle als Konzept, MFA als Lösung. Keine Länge, kein Intervall
EU-Verordnung	DVO 2024/2690, Anhang Nr. 11.6.2 Buchst. a bis f	nur Gruppe A	Wechsel zu Beginn, in festgelegten Abständen und bei Verdacht; Sperre nach Fehlversuchen; Sitzungsende; eigene Zugangsdaten für Admin-Konten
EU-Richtlinie	Erwägungsgrund 49	niemanden (Auslegungshilfe)	„Passwortänderungen“ als Beispiel für Cyberhygiene
BSI, Kompendium	ORP.4.A8, A22, A23 (Edition 2023)	Stand der Technik	Passwortgebrauch „verbindlich regeln“; zeitgesteuerte Wechsel „SOLLTEN vermieden werden“
BSI, Grundschutz++	BER.6.1 bis BER.6.6	Stand der Technik	Passwortmanager, Sperrlisten, Wechsel „ausschließlich anlassbezogen“, automatisiertes Leak-Monitoring
BSI, Entwurf	Vorlage Passwortrichtlinie v1.0.2 (Juli 2026)	unverbindlich	20 / 12 / 8 Zeichen in drei Stufen, kein fester Wechsel

Ob Ihr Unternehmen zu Gruppe A gehört, entscheidet die Art der Dienstleistung, nicht die Branche. Ein IT-Systemhaus, das für Kunden Server betreut, fällt typischerweise als Managed Service Provider darunter. Ein Händler, der nur Hardware verkauft, nicht. Die Abgrenzung erklärt unser Leitfaden zur NIS2-Durchführungsverordnung.

Länge statt Komplexität: Welche Zahl gilt — 8, 12, 14, 15, 20 oder 25 Zeichen?

Kurz gefasst: Die in deutschen Ratgebern verbreitete „Mindestlänge 15 Zeichen“ ist die Zahl der US-Behörde NIST. Das BSI nennt 20 Zeichen für Konten ohne MFA und 12 Zeichen für Konten mit MFA und Sperre. ENISA nennt 14 und 8.

Quelle	Ohne MFA	Mit MFA	Komplexitätsregel	Status
BSI-Entwurf Passwortrichtlinie (2026)	20 Zeichen	12 Zeichen, nur bei Sperre nach max. 10 Fehlversuchen	2 von 4 Zeichensätzen; mit MFA genügen Buchstaben	Entwurf, ausdrücklich nicht rechtsverbindlich
BSI, Verbraucherempfehlung	25 Zeichen (2 Zeichenarten) oder 8 Zeichen (4 Zeichenarten)	8 Zeichen, 3 Zeichenarten	Länge oder Komplexität	Empfehlung
ENISA, Implementierungsleitfaden	14 Zeichen	8 Zeichen	Länge vor Komplexität	nicht bindend
NIST SP 800-63B-4	15 Zeichen	8 Zeichen	Kompositionsregeln verboten	US-Bundesbehörden
BSI ORP.4.A22	keine Zahl: „so komplex, dass es nicht leicht zu erraten ist“, aber „nicht zu kompliziert“		abhängig vom Schutzbedarf	Basis-Anforderung

Die Zahlen stammen aus dem BSI-Entwurf „Vorlage und Empfehlungen für eine Passwortrichtlinie“, den das Referat Stand der Technik in Version 1.0.2 vom Juli 2026 auf GitHub bereitstellt. Dazu kommen die BSI-Seite „Sichere Passwörter erstellen“, der ENISA-Implementierungsleitfaden vom Juni 2025 und NIST SP 800-63B-4. Der Entwurf kennt eine dritte Stufe: Auf verwalteten Mobilgeräten mit Hardware-Sicherheitschip genügt eine PIN mit mindestens 8 Ziffern, wenn das Gerät nach 10 Fehleingaben alle Daten löscht.

Warum Länge gewinnt: Angreifer raten nicht Zeichen für Zeichen. Laut BSI testen ihre Werkzeuge ganze Wörterbücher samt gängiger Kombinationen aus Wörtern und angehängten Zahlen und probieren geleakte Zugangsdaten bei anderen Diensten aus. Komplexitätsregeln fördern in der Praxis genau die Muster, die diese Werkzeuge zuerst prüfen: Großbuchstabe vorn, Ziffer und Ausrufezeichen hinten. Das BSI nennt angehängte Ziffern und Sonderzeichen am Anfang oder Ende ausdrücklich „nicht empfehlenswert“. Bei zufällig erzeugten Passwörtern ist die Rechnung eindeutig: 20 Kleinbuchstaben ergeben rund 2 × 10²⁸ Kombinationen, 8 Zeichen aus allen 94 druckbaren ASCII-Zeichen rund 6 × 10¹⁵. Das ist ein Unterschied von etwa zwölf Zehnerpotenzen.

Was das für Ihre Richtlinie heißt:

• IT-Leitung und ISB: Übernehmen Sie das Drei-Stufen-Modell des BSI-Entwurfs als Ausgangspunkt. Die 12-Zeichen-Stufe ist an zwei Bedingungen geknüpft: MFA und Sperre nach höchstens 10 Fehlversuchen. Ohne beides gilt die 20-Zeichen-Stufe.
• Geschäftsführung im KMU: Die Umstellung kostet kaum Lizenzgeld. Der eigentliche Aufwand sind Altsysteme, die lange Passwörter abschneiden oder das Einfügen aus dem Passwortmanager blockieren. ORP.4.A23 verlangt, dass die Passwortlänge „im vollen Umfang“ geprüft wird. Testen Sie das vor dem Stichtag.

Der Konflikt beim Passwortwechsel: Das BSI rät ab, die DVO verlangt ihn

Kurz gefasst: Für Gruppe B ist der feste Wechsel überholt. Für Gruppe A schreibt Anhang Nr. 11.6.2 Buchst. c ihn vor, und zwar ohne Einschränkung. Wer beiden gerecht werden will, legt ein langes Intervall fest und stützt den Schutz auf anlassbezogene Wechsel.

Das BSI ist in diesem Punkt eindeutig. Im Anwenderkatalog Grundschutz++ heißt die Anforderung BER.6.5: Ein Passwortwechsel „SOLLTE ausschließlich anlassbezogen“ erfolgen. In seiner Pressemitteilung vom 31. Januar 2025 geht das Amt noch weiter: Regelmäßige, anlassunabhängige Wechsel führten „erfahrungsgemäß dazu, dass zunehmend schwächere Passwörter genutzt werden“. Sie sollten „auch durch Dritte, etwa durch Arbeitgeberinnen und Arbeitgeber, nicht gefordert oder technisch erzwungen werden“.

Die deutsche Amtsblattfassung der DVO 2024/2690 sagt in Anhang Nr. 11.6.2 Buchst. c das Gegenteil. Die Einrichtungen müssen „die Änderung von Authentifizierungsdaten zu Beginn, sodann in vorab festgelegten Zeitabständen und immer dann verlangen, wenn der Verdacht besteht, dass die Authentifizierungsdaten beeinträchtigt wurden“.

Warum Sie das nicht wegdokumentieren können: Art. 2 Abs. 2 DVO erlaubt, eine Anforderung begründet nicht anzuwenden. Das gilt aber nur, wo der Anhang selbst sagt, sie sei anzuwenden, „soweit dies angemessen, anwendbar oder durchführbar ist“. Bei der MFA in Nr. 11.7.1 steht dieser Vorbehalt („soweit angemessen“), bei modernsten Authentifizierungsmethoden in Nr. 11.6.3 ebenfalls („soweit durchführbar“). In Nr. 11.6.2 fehlt er. Ein Cloud-Anbieter kann also nicht schreiben: „Wir folgen dem BSI und wechseln nie.“

Eine vertretbare Lösung für Gruppe A: Die DVO legt nicht fest, wie lang das Intervall sein muss. Sie verlangt nur, dass es vorab festgelegt ist. Naheliegend ist ein langes Intervall, etwa zwölf Monate, gekoppelt an die Überprüfung der Authentifizierungsverfahren „in geplanten Zeitabständen“ nach Nr. 11.6.4. Den eigentlichen Schutz liefern weiterhin die anlassbezogenen Wechsel. Eine behördliche Festlegung zur zulässigen Höchstdauer ist uns nicht bekannt. Diese Lesart ist eine Auslegung, keine bestätigte Aufsichtspraxis. Auch ENISA formuliert ihre eigenen Hinweise zu Nr. 11.6.2 rein anlassbezogen, etwa nach einem Sicherheitsvorfall oder einem Rollenwechsel. Zwei Details übersehen DVO-Einrichtungen leicht. Erstens gehört der Wechsel „zu Beginn“ in die Richtlinie, also beim ersten Login. Zweitens genügt für den Pflichtwechsel bereits ein „Verdacht“. NIST verlangt dafür „evidence“, also einen Beleg.

Die Bedingung für Gruppe B: Ohne feste Intervalle zu arbeiten setzt voraus, dass Sie Kompromittierungen tatsächlich erkennen. ORP.4.A23 macht das zur MUSS-Anforderung, Grundschutz++ BER.6.6 verlangt ein automatisiertes Monitoring der Zugangsdaten. Ist das nicht möglich, sollen Sie nach A23 prüfen, ob die Nachteile zeitgesteuerter Wechsel in Kauf genommen werden können.

Transparenzhinweis: Auch unsere eigene Vorlage Dok. 30 sieht in der aktuellen Fassung für Standardkonten keinen festen Wechsel vor. Einrichtungen der Gruppe A müssen dort ein Intervall nach Nr. 11.6.2 Buchst. c ergänzen.

Die Bausteine einer prüffesten Passwortrichtlinie

Kurz gefasst: Der BSI-Entwurf gliedert die Richtlinie in sieben Abschnitte. Zusammen mit den DVO-Pflichten ergeben sich acht Bausteine. Drei davon kosten echten Aufwand: Passwortmanager, Leak-Monitoring und Altsysteme.

Baustein	Was hineingehört	Fundstelle	Aufwand
1. Geltungsbereich	Personenkonten, PINs, Passwortmanager, Ersatz- und Wiederherstellungswege; technische Konten gesondert regeln	BSI-Entwurf Abschn. 1; ORP.4.A8	Niedrig
2. Qualitätsstufen	20 / 12 / 8 Zeichen samt Bedingungen; Sperrliste für triviale und geleakte Passwörter	BER.6.3, BER.6.4; ORP.4.A22	Mittel
3. Passwortmanager	einziger zulässiger Speicherort; keine Browser-Passwortspeicher; Synchronisationsweg festlegen	BER.6.1; ORP.4.A8	Mittel bis hoch
4. Wechsel und Leak-Monitoring	Auslöser (Verdacht, Leak-Treffer, Phishing, Weitergabe); Gruppe A zusätzlich Intervall und Erstwechsel	BER.6.5, BER.6.6; DVO 11.6.2 c; ORP.4.A23	Mittel
5. Sperre, Zurücksetzen, Sitzungen	Sperrschwelle, Zurücksetzen nach Sperre, Sitzungs-Timeout, sicheres Helpdesk-Verfahren	DVO 11.6.2 d, e; ORP.4.A11	Niedrig
6. Privilegierte und technische Konten	eigene Zugangsdaten für Admin-Konten, MFA, geplanter Wechsel bei Dienstkonten	DVO 11.6.2 f; BER.5.9; ORP.4.A23	Mittel
7. Gruppenkonten und Weitergabe	Verbot oder dokumentierte Ausnahme mit Genehmigung	BSI-Entwurf Abschn. 6; DVO 11.5.3	Mittel
8. Standardpasswörter	herstellerseitige Zugangsdaten vor dem Produktivbetrieb ersetzen oder deaktivieren	ORP.4.A9; BER.5.6	Niedrig

Falle 1, Cloud-Synchronisation im Passwortmanager: Der Baustein ORP.4 des IT-Grundschutz-Kompendiums ist hier streng. Funktionen, mit denen Passwörter „über Onlinedienste Dritter synchronisiert“ werden, „MÜSSEN“ deaktiviert werden. Der BSI-Entwurf beschreibt folgerichtig einen offline nutzbaren, dateibasierten Passwortmanager, dessen verschlüsselte Datenbank über die eigene Dateiplattform synchronisiert wird. Setzen Sie einen Cloud-Passwortmanager ein, gehört diese Abweichung mit Begründung in die Risikoanalyse.

Falle 2, Gruppenkonten: Der BSI-Entwurf sagt knapp: „Gruppenkonten sind untersagt.“ Die DVO erlaubt in Nr. 11.5.3 gemeinsame Kennungen, wenn sie geschäftlich oder operativ erforderlich sind, ausdrücklich genehmigt und dokumentiert werden. Für die Richtlinie heißt das: grundsätzlich verbieten und ein Ausnahmeregister mit Genehmiger führen. So erfüllen Sie beide Vorgaben.

Wie die Passwortrichtlinie in das übergeordnete Rechtekonzept eingebettet wird, zeigt unsere Berechtigungskonzept-Vorlage. Kapitel 7 dort verweist auf genau dieses Dokument.

Was Prüfer sehen wollen: Nachweise, Zuständigkeiten, Bußgeldrahmen

Kurz gefasst: Eine Richtlinie allein beweist nichts. In der Praxis gleichen Prüfer ab, ob die Konfiguration der Systeme dem Papier entspricht. Wann geprüft wird, hängt von Ihrer Einstufung ab. Fehlende Dokumentation ist ein eigener Bußgeldtatbestand.

§ 30 Abs. 1 Satz 3 BSIG verpflichtet Sie, die Einhaltung der Maßnahmen zu dokumentieren. Das BSI zählt im Infopaket Risikomanagementmaßnahmen auf, was dazu zählen kann: interne Richtlinien, Handlungsanweisungen, Checklisten, Schulungen, Auditberichte. Abgefragt wird das je nach Einstufung unterschiedlich. Betreiber kritischer Anlagen weisen die Umsetzung nach § 39 BSIG alle drei Jahre nach. Bei besonders wichtigen Einrichtungen kann das BSI nach § 61 BSIG Audits durch unabhängige Stellen anordnen. Nachweise von allen übrigen besonders wichtigen Einrichtungen kann es nach Abs. 3 frühestens drei Jahre nach Inkrafttreten verlangen, also ab Dezember 2028. Bei wichtigen Einrichtungen prüft es nach § 62 BSIG, wenn Tatsachen auf eine mangelhafte Umsetzung hindeuten.

Nachweis-Checkliste für die Passwortrichtlinie:

• freigegebene, versionierte Richtlinie mit Nachweis der Bekanntgabe an alle Beschäftigten
• Export der tatsächlichen Konfiguration (Verzeichnisdienst bzw. Identity Provider: Mindestlänge, Sperrschwelle, Passworthistorie)
• Beleg, dass die Sperrlistenprüfung aktiv ist, etwa ein dokumentierter Testversuch mit einem gesperrten Passwort
• Leak-Monitoring: Treffer-Tickets und die daraufhin erzwungenen Wechsel
• Ausnahmeregister für Altsysteme ohne lange Passwörter oder ohne MFA, mit Begründung und Ablösetermin
• Schulungsnachweis zum Umgang mit Authentisierungsmitteln (siehe unseren Leitfaden zum Erkennen von Phishing-Mails)
• Gruppe A zusätzlich: festgelegtes Wechselintervall, Erstwechsel-Konfiguration, Protokoll der Überprüfung nach Nr. 11.6.4 und Begründungen nach Art. 2 Abs. 2 DVO für eingeschränkte Punkte wie MFA-Ausnahmen

Rolle	Verantwortung für die Passwortrichtlinie
Geschäftsleitung	muss die Maßnahmen nach § 38 Abs. 1 BSIG umsetzen und ihre Umsetzung überwachen; entscheidet über Budget für Passwortmanager und Monitoring
ISB	verantwortet Richtlinie, Stufenmodell, Ausnahmeregister und jährliche Überprüfung
IT-Betrieb	setzt Konfiguration, Sperrlisten und Monitoring technisch durch und liefert die Konfigurationsexporte
Personal	stellt Bekanntgabe, Schulung und Kontenentzug beim Austritt sicher
Beschäftigte	nutzen den Passwortmanager, geben nichts weiter und melden Verdachtsfälle

Die Bußgelder stehen in § 65 BSIG. Der Rahmen gilt für fehlende Maßnahmen und für fehlende Dokumentation gleichermaßen:

Verstoß	Besonders wichtige Einrichtung	Wichtige Einrichtung
Maßnahme nicht oder nicht richtig ergriffen (§ 65 Abs. 2 Nr. 2)	bis 10 Mio. €	bis 7 Mio. €
Einhaltung nicht oder nicht vollständig dokumentiert (§ 65 Abs. 2 Nr. 3)	bis 10 Mio. €	bis 7 Mio. €
Umsatzbezogene Obergrenze (Abs. 6 und 7)	bis 2 % des weltweiten Umsatzes, nur bei mehr als 500 Mio. € Umsatz	bis 1,4 %, nur bei mehr als 500 Mio. € Umsatz

Wie sich diese Rahmen nach Einrichtungsgröße staffeln, zeigt die NIS2-Bußgeldstaffel. Die Passwortrichtlinie ist ein Teil des Zugriffskonzepts, die übrigen Teile behandelt unser Leitfaden zu Zugangssteuerung und Personalsicherheit nach NIS2.

Häufig gestellte Fragen

Muss ich Passwörter nach NIS2 alle 90 Tage ändern?
Nein. Weder das BSIG noch die DVO nennen 90 Tage. Gruppe B sollte nach BSI-Empfehlung nur anlassbezogen wechseln. Gruppe A muss ein vorab festgelegtes Intervall bestimmen, dessen Länge die DVO offenlässt.

Sind 15 Zeichen Pflicht?
Nicht in Deutschland. 15 Zeichen schreibt NIST für US-Bundesbehörden vor. Das BSI schlägt im Entwurf 20 Zeichen ohne MFA und 12 mit MFA vor. Verbindlich ist keine dieser Zahlen. Weichen Sie ab, sollte Ihre Risikoanalyse begründen, warum.

Ersetzen Passkeys die Passwortrichtlinie?
Für die Konten, die Sie umstellen, weitgehend. Das BSI bezeichnet Passkeys als „sehr sichere Lösung“. Der BSI-Entwurf macht FIDO2 oder Passkeys für externe Zugänge und Konten mit weitreichenden Berechtigungen zur Zielvorgabe. Für Gerätezugänge, PINs und Wiederherstellungswege braucht es die Richtlinie weiterhin. Wann ein Passkey als zweiter Faktor zählt, klärt unser Beitrag zu Passkeys und MFA nach NIS2; die MFA-Pflicht insgesamt behandelt unser Leitfaden zu den MFA-Anforderungen nach NIS2.

Gilt ORP.4 noch, wenn das BSI auf Grundschutz++ umstellt?
ORP.4 stammt aus der Edition 2023 des IT-Grundschutz-Kompendiums. Die BSI-Infopakete zu NIS-2 verweisen inzwischen auf die Grundschutz++-Praktiken. Inhaltlich ziehen beide in dieselbe Richtung, mit einer Ausnahme: Grundschutz++ BER.6.5 formuliert den anlassbezogenen Wechsel strikter als ORP.4.A23.

Reicht eine Passwortrichtlinie als Nachweis gegenüber dem BSI?
Nein. Sie belegt die Regel, nicht ihre Umsetzung. In der Praxis erwarten Prüfer den Abgleich mit der tatsächlichen Systemkonfiguration (siehe Nachweis-Checkliste oben).

Dieser Beitrag enthält allgemeine Informationen und stellt keine Rechts- oder Regulierungsberatung dar. Anforderungen können je nach Einrichtungsart, Sektor und Einzelfall abweichen. Für eine auf Ihre Situation zugeschnittene Bewertung wenden Sie sich an eine qualifizierte Rechtsanwältin, einen qualifizierten Rechtsanwalt oder eine Compliance-Fachkraft. Stand der Rechtslage: 4. Oktober 2026.

Quellen

1. § 30 BSIG — Risikomanagementmaßnahmen, Fassung ab 06.12.2025 (inkl. § 38 Abs. 1, § 39, § 62 im Volltext geprüft), Gesetze im Internet (im Text verlinkt)
2. § 61 BSIG — Aufsichts- und Durchsetzungsmaßnahmen für besonders wichtige Einrichtungen, Gesetze im Internet (im Text verlinkt)
3. § 65 BSIG — Bußgeldvorschriften, Gesetze im Internet (im Text verlinkt)
4. Durchführungsverordnung (EU) 2024/2690, deutsche Amtsblattfassung, Art. 2 und Anhang Nr. 11.5 bis 11.7, EUR-Lex (im Text verlinkt)
5. Richtlinie (EU) 2022/2555, Erwägungsgrund 49, deutsche Amtsblattfassung, EUR-Lex: eur-lex.europa.eu/eli/dir/2022/2555/oj/deu
6. BSI: IT-Grundschutz-Kompendium, Baustein ORP.4 Identitäts- und Berechtigungsmanagement, Edition 2023 (im Text verlinkt)
7. BSI, Referat Stand der Technik: Entwurf „Vorlage und Empfehlungen für eine Passwortrichtlinie“, Version 1.0.2, Stand 27.07.2026, Stand-der-Technik-Bibliothek (im Text verlinkt)
8. BSI: Stand-der-Technik-Bibliothek, Anwenderkatalog Grundschutz++, Praktik Berechtigung, BER.5 und BER.6 (im Text verlinkt)
9. BSI: Sichere Passwörter erstellen (im Text verlinkt)
10. BSI: Pressemitteilung „Passwortwechseln war gestern“, 31.01.2025 (im Text verlinkt)
11. BSI: NIS-2-Infopaket Multi-Faktor-Authentisierung, kontinuierliche Authentifizierung und gesicherte Kommunikation (im Text verlinkt)
12. BSI: NIS-2-Infopaket Risikomanagementmaßnahmen (im Text verlinkt)
13. ENISA: Technical Implementation Guidance on cybersecurity risk-management measures, Version 1.0, Juni 2025, Abschnitt 11.6 (im Text verlinkt)
14. NIST: Special Publication 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management, Juli 2025 (im Text verlinkt)