Die Sicherheit von Passwort-Reset-Prozessen ist ein häufig unterschätztes Risiko in der IT-Sicherheitsarchitektur. Angreifer haben mehrere bewährte Wege identifiziert, um durch schwache Reset-Verfahren Privilegien zu eskalieren:
Ein klassischer Angriffsvektor beginnt mit einem kompromittierten Standard-Benutzerkonto. Von dort aus erkunden Angreifer die Reset-Optionen für höherwertige Accounts. Besonders gefährlich ist dies in Umgebungen, wo Helpdesk-Tools oder zu großzügig verteilte Admin-Rechte laterale Bewegungen ermöglichen. Ein weiterer Angriffsweg läuft über Social Engineering gegen das Helpdesk: Kriminelle geben sich als Mitarbeiter aus, behaupten, gesperrt zu sein, und erzeugen künstlichen Druck für schnelle Resets. Unter Zeitdruck führen inkonsistente Identitätsüberprüfungen oft dazu, dass Zugriff zu schnell gewährt wird.
Besonders kritisch ist die Interception von Reset-Tokens: Falls E-Mail-Konten bereits kompromittiert sind oder Recovery-Einstellungen fehlkonfiguriert sind, können Angreifer Reset-Links oder Einmal-Codes abfangen – ohne das ursprüngliche Passwort zu kennen. Zudem können über-berechtigte Administratoren absichtlich oder unbewusst Passwörter für Accounts ändern, die außerhalb ihrer Verantwortung liegen.
Zur Abwehr dieser Risiken empfehlen Sicherheitsexperten sieben konkrete Maßnahmen:
Erstens: Multi-Faktor-Authentifizierung (MFA) sollte für Reset-Anfragen verpflichtend sein. Allerdings nicht alle MFA-Methoden sind gleich sicher. Phishing-resistente MFA wie FIDO2 oder Hardware-gestützte Authentifizierung bieten stärkeren Schutz gegen Token-Interception als SMS oder Email-Codes.
Zweitens: Passwort-Resets sollten nur von vertrauenswürdigen, verwalteten Geräten möglich sein. Geräte-Posture-Checks können verdächtige Anfragen blockieren oder zusätzliche Verifizierung erzwingen.
Drittens: Neue Passwörter müssen tatsächlich stark sein. Organisationen sollten Mindestlängen vorgeben, bekannte gehackte Passwörter blockieren und das Recyceln alter Kennwörter verhindern. Passprases sind hier vorteilhaft.
Vier, fünf und sechs: Schulung von Mitarbeitern gegen Phishing-Angriffe auf Reset-Prozesse, konsistente Verfahren beim Helpdesk, sowie umfassendes Logging und regelmäßige Audits von Reset-Berechtigungen.
Siebtens: Das Prinzip der minimalen Berechtigung (Least Privilege) konsequent umsetzen – jeder, auch Administratoren, sollten nur die absolut notwendigen Rechte haben.
Die Sicherung von Passwort-Reset-Prozessen ist kein optional zu betrachtendes Thema, sondern ein kritischer Bestandteil einer umfassenden Identity-Security-Strategie.