Passwörter regelmäßig ändern: was das BSI rät und wann es Pflicht ist

Die Antwort des BSI

Nein, ein Passwort muss nicht alle 90 Tage geändert werden. Das BSI schreibt im IT-Grundschutz-Kompendium, Baustein ORP.4, Anforderung A23, dass IT-Systeme nur mit einem validen Grund zum Wechsel auffordern sollten und rein zeitgesteuerte Wechsel vermieden werden sollten. Grundlage ist die Edition 2023, die das BSI am 14.10.2026 als aktuelle Fassung führt. Microsoft sieht es für Microsoft 365 genauso: Dort laufen Kennwörter standardmäßig nie ab, und Microsoft nennt das ausdrücklich die empfohlene Einstellung.

Gewechselt werden muss trotzdem, nur aus einem Anlass statt nach Kalender. Die Anforderung ORP.4.A8 sagt, dass ein Passwort gewechselt werden muss, wenn es unautorisierten Personen bekannt geworden ist oder der Verdacht dazu besteht. Typische Anlässe in einer kleinen Firma: Jemand gibt sein Kennwort auf einer gefälschten Seite ein, ein Lieferant meldet ein Datenleck, eine Mitarbeiterin wechselt zur Konkurrenz und kannte das Kennwort des Lieferantenportals. Die Tabelle weiter unten ordnet jedem Anlass die Passwörter zu, die dann neu müssen.

Feste Fristen schwächen Passwörter

Wer alle drei Monate ein neues Passwort braucht, ändert schnell nur eine Ziffer. Aus „Kanzlei#7“ wird „Kanzlei#8“, aus dem Namen des Hundes mit Jahreszahl derselbe Name mit der nächsten Jahreszahl. Microsoft beschreibt das in seinen Empfehlungen für Kennwortrichtlinien (Stand 08.04.2026): Untersuchungen zeigen laut Microsoft, dass fast jede Regel, die man Benutzern auferlegt, die Qualität der Kennwörter senkt. Vorgaben zu Länge, Sonderzeichen und Wechsel führen zu ähnlichen Mustern, die ein Angreifer leichter errät.

Dazu kommt ein praktischer Nachteil. Sind die Fristen zu kurz, legen Nutzer ihre Kennwörter laut Microsoft an unsicheren Orten ab oder verlieren sie. Schriftlich festgehalten werden darf ein Passwort nach ORP.4.A8 aber nur zur Hinterlegung für einen Notfall.

Die eine Ausnahme im BSI-Text

A23 hat eine Bedingung. Eine Firma muss Maßnahmen ergreifen, um die Kompromittierung von Passwörtern zu erkennen. Geht das nicht, soll sie prüfen, ob sie die Nachteile eines zeitgesteuerten Wechsels in Kauf nimmt. Der Verzicht auf feste Fristen setzt also voraus, dass jemand hinschaut. In einem kleinen Betrieb kann das so aussehen:

• Die Firmenadressen werden in einem öffentlichen Prüfdienst für Datenlecks abgefragt, etwa dem Identity Leak Checker des Hasso-Plattner-Instituts. Der Dienst nennt die betroffenen Datenarten, aber keine Passwörter im Klartext.
• Warnmails der Dienste über neue Anmeldungen landen in einem Postfach, das jemand liest, nicht im Spam-Ordner eines ehemaligen Mitarbeiters.
• Jeder im Team weiß, wem er einen Verdacht meldet, und meldet ihn auch, wenn es ihm peinlich ist.

Was nach einem Treffer im Datenleck-Prüfdienst zu tun ist, beschreibt Firmen-E-Mail in einem Datenleck.

Wann ein Wechsel Pflicht ist, und welche Passwörter

Bei einem Anlass reicht es selten, nur das eine Passwort zu ändern. In kleinen Firmen hängen Zugänge aneinander: Wer ins E-Mail-Postfach kommt, setzt über „Passwort vergessen“ auch die Kennwörter der Portale zurück, die an dieser Adresse hängen.

Für den Weggang eines Mitarbeiters gibt es eine eigene Checkliste: Mitarbeiter verlässt die Firma. Wer gerade eine Phishing-Mail erwischt hat, findet die ersten Schritte unter Passwort auf einer Phishing-Seite eingegeben. Beim Ende eines Dienstleisters gehören auch die Administratorkennwörter der Firmen-PCs auf die Liste. Wie Windows sie automatisch wechselt, steht unter Lokales Administratorkennwort auf Firmen-PCs.

Das neue Passwort ist ein neues, kein altes mit anderer Endung. Laut ORP.4.A23 dürfen alte Passwörter nach einem Wechsel nicht mehr genutzt werden. Lassen Sie es vom Passwortgenerator erzeugen.

Portale mit Zwangswechsel

Manche Portale verlangen weiter einen Wechsel nach einer festen Zahl von Tagen, und die Firma kann das nicht abschalten. Dann gilt: der Aufforderung folgen, das neue Passwort vom Generator erzeugen lassen und den Eintrag im Passwort-Manager sofort aktualisieren. Wer das Passwort nicht im Kopf haben muss, hat mit einem Zwangswechsel keine Mühe und erfindet keine Muster.

Bei geteilten Zugängen braucht es eine Absprache, wer den Wechsel macht. Sonst ändert die Buchhaltung das Kennwort im Portal des Großhändlers, trägt es nicht im Tresor ein, und der Kollege sperrt sich mit dem alten Kennwort nach mehreren Fehlversuchen aus.

Microsoft 365: „Ihr Kennwort ist abgelaufen“

Ab Werk laufen Kennwörter in Microsoft 365 nie ab. Erscheint die Meldung trotzdem, hat jemand in Ihrem Mandanten einen Ablauf eingestellt, oder die Konten kommen aus einem eigenen Windows-Server, dessen Richtlinie dann gilt (siehe unten). Die Einstellung für reine Cloudkonten findet ein Benutzeradministrator laut der Microsoft-Anleitung zur Kennwortablaufrichtlinie (Stand 13.03.2026) hier:

1. Im Microsoft 365 Admin Center anmelden.
2. „Alle anzeigen“, dann „Einstellungen“ und „Organisationseinstellungen“ wählen.
3. Auf der Registerkarte „Sicherheit und Datenschutz“ die Option „Kennwortablaufrichtlinie“ öffnen.
4. Das Kästchen „Kennwörter nie ablaufen festlegen (empfohlen)“ wieder setzen und speichern. Die Anleitung beschreibt den umgekehrten Weg, das Abwählen dieses Kästchens.

Microsoft verbindet die Empfehlung mit einer Bedingung: Die mehrstufige Anmeldung soll eingeschaltet sein. Wer nur Outlook nutzt, merkt einen Ablauf laut Microsoft erst, wenn das Kennwort im Zwischenspeicher abläuft, das kann Tage später sein. Admin Center und Office-Apps zeigen nach Microsofts Angaben keine Ablaufhinweise mehr an. Kommt eine E-Mail „Ihr Kennwort läuft heute ab“ mit Anmeldelink, klicken Sie deshalb nicht darauf, sondern melden sich direkt über die bekannte Adresse an.

Windows-Server mit Domäne: 42 Tage ab Werk

Betreibt die Firma noch einen eigenen Windows-Server mit Active Directory, steht in der Standard-Domänenrichtlinie ein maximales Kennwortalter von 42 Tagen. Das zeigt die Microsoft-Referenz zur Einstellung „Maximum password age“. Die archivierte Seite nennt als bewährte Praxis noch 30 bis 90 Tage, schreibt aber dazu, dass die von Microsoft empfohlene Sicherheitsbaseline keinen Kennwortablauf mehr enthält. Firmen ohne Entra-Kennwortschutz, ohne mehrstufige Anmeldung oder andere moderne Schutzmaßnahmen gegen das Erraten von Kennwörtern sollen die Frist laut Microsoft aber beibehalten. Streichen Sie die 42 Tage deshalb erst, wenn so ein Schutz eingerichtet ist. Die Einstellung ändert Ihr IT-Dienstleister in der Gruppenrichtlinie.

Wenn Versicherung oder Kunde feste Fristen verlangen

Microsoft weist in der genannten Referenz darauf hin, dass viele Firmen Vorgaben aus Compliance oder Versicherung haben, die kurze Kennwortlaufzeiten verlangen. Steht eine solche Frist im Vertrag Ihrer Cyberversicherung oder in den Sicherheitsanforderungen eines Großkunden, halten Sie sie ein und fragen Sie nach, ob sie bei eingeschalteter Zwei-Faktor-Anmeldung entfallen kann. Welche Fragen Versicherer zu Passwörtern und Zwei-Faktor stellen, behandelt Cyberversicherung: Passwörter und Zwei-Faktor. Dieser Text ist keine Rechtsberatung.

Wer die Wechselregel schriftlich festhalten will, findet einen fertigen Abschnitt im Mustertext der Passwortrichtlinie für kleine Firmen.

Mit dem Tresor sehen, welche Passwörter betroffen sind

Ein Anlass ist schnell erkannt. Schwer wird die Frage, welche geteilten Passwörter die betroffene Person kannte. Liegen die Zugänge in einem gemeinsamen Tresor mit Sammlungen pro Abteilung, sieht der Verantwortliche nach, auf welche Sammlungen ein Konto Zugriff hatte. Ruft er die Passwort-Berichte auf, findet er Kennwörter, die mehrfach vergeben oder zu schwach sind. Mit der Datenleck-Prüfung gleicht er die gespeicherten Passwörter mit bekannten Datenlecks ab.

Ein erfundenes Beispiel: In einer Hausverwaltung mit neun Leuten gibt eine Sachbearbeiterin ihr Microsoft-365-Kennwort auf einer gefälschten Anmeldeseite ein und meldet es zehn Minuten später. Die Inhaberin setzt das Kennwort neu, lässt die offenen Sitzungen beenden und geht im Tresor die Einträge in der Sammlung „Objekte“ durch, die auf die Adresse der Sachbearbeiterin laufen. Diese Kennwörter ändert sie, weil ein Angreifer sie über „Passwort vergessen“ hätte zurücksetzen können. Die übrigen Einträge bleiben, wie sie sind: Das Master-Passwort der Sachbearbeiterin war nicht betroffen. Die weiteren Schritte für das Postfach stehen unter Firmen-E-Mail gehackt. Welche Zugänge eine Hausverwaltung sonst verwaltet, zeigt die Seite für Hausverwaltungen. Wie Passwörter im Team geteilt werden, ohne sie zu verschicken, steht unter Passwörter im Team teilen.