Nach einem Sicherheitsvorfall beim Anmeldeanbieter: gezielte Zurücksetzungen, Wiederherstellung sicherer Sitzungen und Prüfung auf kompromittierte Passwörter

Ziel

Stand: 25. Oktober 2026. Nach einem Sicherheitsvorfall beim Anmeldeanbieter die Kontrolle betroffener Nutzer über ihre Konten wiederherstellen und das Risiko durch wiederverwendete Passwörter verringern. Den Umfang der Offenlegung beim Anbieter, die Dokumentation zur Wiederherstellung und die Schnittstellenvereinbarung der Pwned Passwords API erneut prüfen. Als Referenzgrundlage dient NIST SP 800-63B-4, dessen endgültige Fassung am 31. Juli 2025 veröffentlicht wurde; dies ist kein Verfahren zum Einspielen von Software-Patches. Publikationsnachweis.

Voraussetzungen

Klären, ob der Vorfall den eingesetzten Authentifizierungsanbieter, den eigenen Passwortspeicher oder Zugangsdaten bei einem anderen Dienst betraf. Neue Passwörter nur über Systeme verarbeiten, deren Vertrauenswürdigkeit wiederhergestellt ist. Autorisierten Zugriff auf Authentifizierungsprotokolle, Sitzungsverwaltung und Wiederherstellungseinstellungen sicherstellen. Feststellen, wer Zugangsdaten beim Anbieter zurücksetzen und wer Anwendungssitzungen ungültig machen kann; beides als getrennte Aufgaben erfassen.

Schritte

1. Verpflichtende Zurücksetzungen anhand von Nachweisen eingrenzen. NIST verlangt eine Passwortänderung, wenn es Hinweise darauf gibt, dass das zugehörige Authentisierungsmittel kompromittiert wurde, und lehnt routinemässige periodische Änderungen ab. Die betroffene Nutzergruppe anhand der verifizierten Meldung und der Untersuchung bestimmen. Ein Sicherheitsvorfall bei einem unbeteiligten Dienst allein belegt nicht, dass jedes lokale Passwort kompromittiert wurde; den Grund für eine Ausweitung der Zurücksetzungen auf weitere Nutzer dokumentieren. Anforderungen an die Passwortverifizierung.

2. Das Konto wiederherstellen, nicht nur sein Passwort. Kompromittierte Sitzungen umgehend ungültig machen. Wiederherstellungsadressen und Mehrfaktorverfahren gemeinsam mit dem verifizierten Kontoinhaber prüfen und unberechtigte Änderungen entfernen. Kürzlich geänderten Wiederherstellungsdaten allein nicht vertrauen. Wiederherstellungs-Tokens mit Ablaufzeit verwenden, die nur einmal nutzbar sind. Nach erfolgreicher Wiederherstellung alle bestehenden Sitzungen und noch offenen Wiederherstellungslinks ungültig machen und eine reguläre Anmeldung verlangen. Zugängliche Unterstützung für Nutzer erhalten, die ihr Konto nicht automatisch wiederherstellen können. Hinweise zur Wiederherstellung.

3. Auf Credential Stuffing achten. OWASP definiert dies als Wiederverwendung von Kombinationen aus Nutzernamen und Passwörtern, die an anderer Stelle gestohlen wurden. Authentifizierungsergebnisse über Konten und Herkunftsquellen hinweg prüfen, einschliesslich erfolgreicher Passwortprüfungen mit anschliessend gescheiterter Mehrfaktor-Authentifizierung. Den von jeder Schutzmassnahme erkannten und blockierten Datenverkehr überwachen und verdächtige erfolgreiche Anmeldungen untersuchen. Mehrfaktor-Authentifizierung und mehrschichtige Kontrollen einsetzen; IP-Sperren allein reichen nicht aus. Schutz vor Credential Stuffing.

4. Neu gewählte Passwörter datenschutzschonend prüfen. NIST verlangt, vorgeschlagene Passwörter auf häufig verwendete, erwartbare oder kompromittierte Werte zu prüfen. Für die Abfrage bei Pwned Passwords lokal den SHA-1-Hash der UTF-8-Bytes des eingegebenen Passworts berechnen und dabei dieselbe Normalisierung wie bei der eigenen Passwortverifizierung anwenden. Nur die ersten fünf Hexadezimalzeichen übermitteln: GET https://api.pwnedpasswords.com/range/{prefix}. Add-Padding: true mitsenden; die zurückgegebenen Suffixe lokal mit dem restlichen Hash vergleichen. Ein passendes Suffix mit positiver Trefferzahl ist ein Treffer im Datenbestand; Padding-Einträge mit der Trefferzahl null verwerfen. Ein gefundenes Passwort ablehnen, den Grund erklären und eine andere Wahl verlangen. Ein API-Schlüssel ist nicht erforderlich. Niemals das vollständige Passwort, den vollständigen Hash oder die Kontokennung übertragen. Erst nach vollständiger Eingabe abfragen, nicht nach jedem Tastendruck. Range API, NIST-Anforderungen an die Passwortprüfung.

5. Prüfung und Speicherung trennen. SHA-1 ist die Darstellung für die Abfrage, nicht das Verfahren zur Passwortspeicherung. Passwort-Hashing mit Salt und Kostenfaktor beibehalten, wie von NIST vorgegeben. Die Prüfung durchführen, solange ein neues Passwort im regulären geschützten Änderungsablauf verfügbar ist; keine bestehenden Passwörter für eine Sammelprüfung erheben. Der Datenbestand aus Sicherheitsvorfällen ergänzt die Prüfung auf häufig verwendete und kontextspezifische Passwörter. NIST-Anforderungen.

6. Vor dem Abschluss der Vorfallbearbeitung testen. Mit autorisierten Testkonten prüfen, dass alte Sitzungen und bereits verwendete Wiederherstellungs-Tokens zurückgewiesen werden, die berechtigte Wiederherstellung funktioniert und die Passwortprüfung mit einem Treffer, keinem Treffer, Padding mit Trefferzahl null und einem nicht verfügbaren Dienst umgehen kann. Eine fehlgeschlagene Abfrage als unbekanntes Ergebnis behandeln, nicht als unauffälligen Befund. Eine ausdrückliche Ausweichregel festlegen, etwa eine gepflegte lokale Sperrliste, und die Nutzbarkeit für berechtigte Nutzer erhalten. Dies ist eine vorgeschlagene Abnahmecheckliste.

Erwartetes Ergebnis

Betroffene Nutzer erlangen durch eine verifizierte Wiederherstellung die Kontrolle zurück, offengelegte Sitzungen erlauben keinen Zugriff mehr, und neu gewählte Passwörter werden geprüft, ohne vollständige Geheimnisse an den Abfragedienst zu senden.

Grenzen und Prüfbasis

Für diesen Artikel wurden keine Anwendungstests durchgeführt. Ein Treffer im Datenbestand identifiziert einen Passwortwert, nicht den Nutzer oder den Vorfall, durch den er offengelegt wurde; das Fehlen im Datenbestand belegt keine Sicherheit. Bereichsabfragen verringern die Offenlegung, schliessen aber die Offenlegung von Metadaten nicht vollständig aus. Die Passwortprüfung kann weder einen kompromittierten Identitätsanbieter reparieren noch die Wiederherstellung sicherer Sitzungen ersetzen. Geltungsbereich der API, Umfang der Wiederherstellung.