Mein sicheres Passwort

Alle Mitarbeiterinnen und Mitarbeiter der Universität Bielefeld können ein BIS Login erhalten und so das Diensteangebot des BIS nutzen. Der erste Schritt nach der Einrichtung besteht dabei in der Wahl eines sicheren Passwortes. Darum geht es in dieser Seite. Eng verbunden ist dabei das Thema der Zwei-Faktor-Authentifizierung, mit der Sie die Sicherheit Ihres BIS Logins noch weiter steigern können.

Wo kann ich mein BIS Passwort ändern

Auf dieser Seite:

https://ekvv.uni-bielefeld.de/pers_edit/edit/MeinPasswort.jsp

Hier erhalten Sie auch Informationen über die möglichen Passwortlängen und dazu wie alt Ihr Passwort ist. Falls Sie Ihr Passwort vergessen haben wenden Sie sich bitte direkt an uns.

Warum ist ein sicheres Passwort so wichtig

Alle Dienste des BIS sind Webanwendungen, auf die in den meisten Fällen weltweit zugegriffen werden kann. Damit Sie auf das System zugreifen können und damit das System Sie erkennt und Ihnen die notwendigen Zugriffsrechte geben kann müssen Sie sich mit Ihrem Benutzernamen und Ihrem Passwort ausweisen.

Die Benutzernamen sind dabei nicht wirklich geheim und lassen sich meist einfach aus dem Namen erraten. Das einzig wirklich Geheime an Ihrem Zugang ist damit Ihr BIS Passwort.

Kennt jemand Ihr Passwort, so kann er/sie sich in Ihrem Namen an den BIS Diensten anmelden und alles tun, was Sie selbst tun können. Umgekehrt werden Bearbeitungen von wichtigen Daten wie Prüfungsleistungen mit dem jeweiligen Benutzer verknüpft. Für illegitime Arbeiten im System mit einem entwendeten Passwort werden also zunächst die betroffenen Benutzer verantwortlich gemacht.

Denken Sie auch daran, dass Sie ggf. mit Ihrem BIS Passwort für den Schutz sensibler Daten z. B. der Studierenden verantwortlich sind. So könnte ein Angreifer mit Ihrem Zugang als Lehrende/Lehrender die Prüfungsleistungen einsehen, die Sie in Ihren Veranstaltungen dokumentiert haben. Dies darf aus Datenschutzgründen nicht passieren.

Es ist daher sehr wichtig und auch in Ihrem eigenen Interesse, wenn Sie ein BIS Passwort verwenden, das sicher ist und bei dem das Risiko eines Abhandenkommens gering ist. Auch eine Passwortweitergabe unter Kolleginnen und Kollegen darf nie erfolgen. Da jede Mitarbeiterin und jeder Mitarbeiter einen eigenen BIS Zugang mit den benötigten Berechtigungen erhalten kann gibt es dafür auch keine Notwendigkeit. Die Nutzung der Zwei-Faktor-Authentifizierung bietet eine einfache Möglichkeit die Sicherheit des eigenen Zugangs noch einmal deutlich zu verbessern.

Wie sieht ein sicheres Passwort aus

Ein sicheres Passwort kann von einem potentiellen Angreifer nicht einfach erraten werden, selbst wenn er viel über Sie weiß und viel Zeit hat um Hunderte oder Tausende von Passworten auszuprobieren.

Das BSI gibt in seiner Seite zur Passwortsicherheit diese Hinweise zur Zusammensetzung eines sicheren Passworts:

• Es sollte mindestens zwölf Zeichen lang sein.
• Es sollte aus Groß- und Kleinbuchstaben sowie Sonderzeichen und Ziffern (?!%+…) bestehen.
• Tabu sind Namen von Familienmitgliedern, des Haustieres, des besten Freundes, des Lieblingsstars oder deren Geburtsdaten usw.
• Wenn möglich sollte es nicht in Wörterbüchern vorkommen.
• Es soll nicht aus gängigen Varianten und Wiederholungs- oder Tastaturmustern bestehen, also nicht asdfgh oder 1234abcd usw.
• Einfache Ziffern am Ende des Passwortes anzuhängen oder eines der üblichen Sonderzeichen $ ! ? #, am Anfang oder Ende eines ansonsten simplen Passwortes zu ergänzen ist auch nicht empfehlenswert.

Tipps zur Erzeugung von und zur Handhabung von sicheren Passworten

Aus der vorherigen Beschreibung wird klar: Ein sicheres Passwort ist nicht so einfach zu wählen und zu merken. In der BSI Seite findet man Hinweise auf mögliche Eselsbrücken und Werkzeuge wie Passwortmanager, die es einem möglich machen in sicherer Weise viele komplizierte Passworte zu handhaben.

Passwortmanager haben meist auch eine Funktion um zufällige Passworte zu erzeugen, die sehr sicher sind, aber auf der anderen Seite ohne Passwortmanager auch kaum nutzbar.

Eine Technik, um auch ohne Passwortmanager lange und damit sicherere Passworte zu verwenden, kann so aussehen:

1. Man denkt sich zuerst ein 'Kernpasswort' aus. Dies sollte schon eine gewisse Mindestlänge haben, z. B. 8 Zeichen, und die zuvor genannten Kriterien erfüllen.
2. Für jeden Dienst, der ein Passwort erfordert, ergänzt man das Kernpasswort am Anfang und am Ende um einfach zu merkende Bestandteile, die für sich genommen nicht so kompliziert sein müssen.

Bei dieser Technik muss man sich nur das Kernpasswort merken und pro Dienst die Zeichen, die man ergänzt hat.

Eine andere Lösung kann es sein sich mindestens vier 'normale' Worte auszusuchen, die man dann zu einem sehr langen Passwort (mehr als 20 Zeichen) zusammenfügt und durch flexible Groß- und Kleinschreibung komplexer macht. Diese Technik wird in diesen beiden (englischen) Quellen beschrieben: XKCD Comic 'Password Strength' und Passwort Regeln der Standford University

Wie schütze ich mein BIS Passwort

Leider kann auch das beste Passwort abhanden kommen bzw. missbraucht werden, wenn der Umgang mit dem Passwort nicht sorgfältig ist. Auch hier gibt es einige Tipps des BSI:

• Passwörter regelmäßig ändern: Je länger ein Passwort verwendet wird, desto größer wird das Risiko, dass es abhanden kommt. Durch die regelmäßige Änderung - z. B. jedes halbe Jahr - wird auch der Schaden begrenzt, den ein Angreifer mit einem einmal gestohlenen Passwort anrichten kann.

• Passwörter nicht mehrfach verwenden: Leider kommt es heute fast jede Woche vor, dass irgendein Internetdienst eingestehen muss, dass Angreifer die Daten seiner Benutzer gestohlen haben. Oft werden dabei auch gleich die Passwörter mit entwendet. Wenn man nun in allen genutzten Diensten das gleiche Passwort verwendet, dann haben die Angreifer gleich auch auf alle anderen Dienste Zugriff. Das BIS Passwort sollte daher in keinem Fall bei Diensten außerhalb der Hochschule genutzt werden, im besten Fall einzigartig sein.

• Voreingestellte Passwörter ändern: Wenn Ihr BIS Account angelegt wird oder falls Sie Ihr Passwort vergessen haben und wir es zurücksetzen ist Ihr Zugang zunächst mit einem Startpasswort geschützt, welches Ihnen zur Verfügung gestellt wird. Dieses Passwort sollten Sie sofort in ein individuelles Passwort ändern. Die Seite zur Passwortänderung zeigt Ihnen in diesem Fall auch einen entsprechenden Warnhinweis an, der nach der Änderung des Passworts verschwindet.

• Bildschirmschoner mit Kennwort sichern: Viele Webbrowser können heute Passworte speichern und so den Zugriff auf verschiedene Dienste bequemer und die Verwendung komplizierter, sicherer Passwörter einfacher machen. Der Nachteil dieser Funktionen ist es, dass jede Person mit Zugang zu Ihrem Rechner - sei es in der Universität oder auch Privat - dann ohne Ihr Passwort zu kennen auf die entsprechenden Dienste zugreifen kann. Ist Ihr Rechner hingegen mit einem sich automatisch einschaltenden Bildschirmschoner geschützt, der zur Freigabe des Rechners ein Passwort abfragt, ist dieser Weg für einen Angreifer versperrt.

Wenn Sie zusätzlich die Zwei-Faktor-Authentifizierung nutzen ist der Diebstahl Ihres Passworts für einen Angreifer nicht genug um Ihr Konto zu übernehmen. Hier gewinnen Sie erheblich an Sicherheit.

Wie kann ich erkennen, ob mein Passwort gestohlen wurde oder ob jemand versucht es zu stehlen?

Mit der Umstellung der BIS Anmeldung Ende Juli 2014 wurde eine neue Seite verfügbar gemacht, die unter dem Namen 'Mein Account' im Personen- und Einrichtungsverzeichnis aufgerufen werden kann:

https://ekvv.uni-bielefeld.de/pers_edit/edit/MeinAccount.jsp

In dieser Seite werden die letzten sieben Tage angezeigt, an denen Logins oder Loginversuche über die neue Anmeldeseite mit Ihrem BIS Zugang vorgekommen sind. Entsprechende Seiten findet man heute in vielen großen Onlinediensten, ihr Zweck ist es, Sie selbst in die Lage zu versetzen, eventuelle Passwortdiebstähle oder Versuche Ihr Passwort zu stehlen erkennen zu können. Wie funktioniert das?

Falls jemand versucht Ihr Passwort zu stehlen und dazu viele Passworte durchprobiert, so würden Sie in dieser Seite eine große Zahl von fehlerhaften Loginversuchen sehen.

Wenn ein Passwortdiebstahl bereits erfolgt ist und Ihr BIS Zugang missbräuchlich verwendet wird würden Sie in der Seite Logins zu Zeitpunkten sehen, die Sie sich nicht durch Ihre eigenen Arbeiten in den BIS Anwendungen erklären können.

In beiden Fällen ist es ratsam sofort ein anderes Passwort zu verwenden, welches noch sicherer / länger ist als das vorherige, und sich danach direkt an uns zu wenden.

Nutzung der Zwei-Faktor-Authentifizierung

Ein wirksames Mittel um die Sicherheit des eigenen BIS Zugangs zu erhöhen ist die Nutzung der Zwei-Faktor-Authentifizierung.