Erstes gesetzliches Verbot von Standard-Passwörtern ist da

Immer wieder führen nicht etwa überragende Hacking-Fähigkeiten die Kriminellen in den Datennetzen zum Erfolg, sondern die eklatanten Sicherheitsmängel. Hier kommt nun aber vonseiten der Gesetzgebung Bewegung in die Sache.

Unter Strafandrohung

In Großbritannien ist jetzt die erste Regelung verabschiedet worden, die Hersteller vernetzter Geräte verpflichtet, bereits bei der Auslieferung halbwegs sichere Passwörter zu vergeben. Im Rahmen des Product Security and Telecommunications Infrastructure Act (PTSI) sind schwache oder leicht zu erratende Standardpasswörter wie "admin" oder "12345" zukünftig ausdrücklich verboten.

Produkte, die gegen die Vorschriften verstoßen, könnten von Amts wegen zurückgerufen werden. Den verantwortlichen Unternehmen droht dann eine Geldstrafe von bis zu 10 Millionen Pfund (11,7 Millionen Euro) oder 4 Prozent ihres weltweiten Umsatzes - je nachdem, welcher Betrag höher ist.


Hintergrund dessen ist die Tatsache, dass die zahlreichen vernetzten Geräte, die inzwischen in Haushalten installiert werden, oft kein vernünftiges Passwort vom Anwender bekommen. Nach dem Kauf geht es darum, diese schnellstmöglich und ohne großen Aufwand in Betrieb zu nehmen und solange die Geräte dann funktionieren, werden sie nicht mehr angefasst.

Beispiel Mirai

Das führte in der Vergangenheit bereits zu gravierenden Problemen. Eines der bekanntesten Beispiele ist dabei das Botnetz Mirai, dessen Betrieb-Malware sich mithilfe von Listen mit Standard-Passwörtern Zugang zu verschiedenen Systemen verschaffte und diese unter ihre Kontrolle brachte. Die Infrastruktur sorgte dann bei DDoS-Angriffen für eine beachtliche Schlagkraft.

Ähnliche Gesetze werden auch andernorts vorangetrieben, wo sie aber bisher nicht in Kraft getreten sind. Der Cyber Resilience Act der Europäischen Union muss beispielsweise noch endgültig verabschiedet werden. Seine Bestimmungen, die dem PTSI ähneln, werden voraussichtlich erst ab 2027 innerhalb der EU gelten.


Siehe auch: