Passwort-Rotation abschaffen: BSI, NIST und Microsoft sind sich einig — so setzen Sie es in Entra ID um

Inhalt in Kürze

• Das BSI hat die Forderung nach regelmäßigem Passwortwechsel bereits 2020 aus dem IT-Grundschutz-Kompendium gestrichen (Baustein ORP.4.A8).
• NIST SP 800-63B und der Microsoft Security Baseline empfehlen ausdrücklich, Passwort-Rotation abzuschalten — sie senkt die Sicherheit, weil Nutzer Muster wie Sommer2026!1 bilden.
• Die Alternative ist ein Vierklang aus MFA, Passkeys, Smart Lockout und Sign-in-Monitoring. In Entra ID lässt sich das in rund 30 Minuten konfigurieren.
• Wer rotiert, ohne MFA zu haben, fährt sein Risiko nach oben — und produziert Helpdesk-Tickets. Wer rotiert mit MFA, macht sich nur Arbeit ohne Zusatznutzen.

Sie haben den Montagmorgen-Klassiker: Der Vertriebsleiter steht im Büro, sein Passwort ist abgelaufen, er schafft es nicht mehr ins CRM. Das Helpdesk-Ticket trudelt ein — mal wieder. Parallel stellt Ihr IT-Dienstleister fest, dass drei Mitarbeitende ihr neues Passwort mit Klebezettel am Monitor befestigt haben. Klingt bekannt? Dann werfen wir einen nüchternen Blick auf die erzwungene Passwort-Rotation — und warum Sie sie abschalten sollten.

Warum Passwort-Rotation abschaffen? Was BSI, NIST und Microsoft heute sagen

Die 90-Tage-Regel stammt aus einer Zeit, in der niemand Multi-Faktor-Authentifizierung hatte. Heute ist das überholt — und zwar von allen drei relevanten Autoritäten:

• BSI: Der IT-Grundschutz-Baustein ORP.4 „Identitäts- und Berechtigungsmanagement" enthält seit Edition 2020 unter ORP.4.A8 Regelung des Passwortgebrauchs keine Forderung mehr nach regelmäßigem Wechsel. Das BSI schreibt stattdessen, Passwörter sollten nur noch geändert werden, wenn es einen konkreten Anlass gibt — etwa einen Kompromittierungsverdacht. Quelle: BSI IT-Grundschutz-Kompendium, Baustein ORP.4 (Edition 2023).
• NIST SP 800-63B (Digital Identity Guidelines): „Verifiers SHOULD NOT require memorized secrets to be changed arbitrarily (e.g., periodically)." Einen Wechsel gibt es nur bei Kompromittierungsverdacht. Quelle: NIST Special Publication 800-63B.
• Microsoft Security Baseline & Microsoft 365 Admin-Guidance: „Microsoft's latest guidance discourages password expiration policies for cloud-only accounts. The recommended setting is for passwords to never expire." Quelle: Microsoft Learn — Password policy recommendations.

Drei unabhängige Instanzen, gleiche Empfehlung. Trotzdem rotieren nach wie vor viele Unternehmen alle 90 Tage — aus Gewohnheit oder weil ein alter Auditor es so wollte.

Was die erzwungene Rotation wirklich kostet

Drei konkrete Schäden aus unserer Kundenarbeit:

• Helpdesk-Last: Passwort-Resets gehören bei nahezu jedem Mittelständler zu den Top-3-Tickets. Wer die Rotation abschafft, reduziert das Ticket-Volumen um einen zweistelligen Prozentsatz — reale Arbeitszeit, die in Projekten landet.
• Post-it-Problem: Neue Passwörter werden aufgeschrieben. Im Büro klebt das dann am Monitor, im Homeoffice am Küchenkalender. Das ist physische Schwachstelle Nummer eins in jedem Audit.
• Produktivitätsverlust: Jeder Zwangswechsel kostet jeden Mitarbeitenden ca. 5–10 Minuten. Bei 60 Mitarbeitenden und vier Wechseln pro Jahr sind das rund 40 Stunden verlorene Arbeitszeit — pro Jahr, ohne Sicherheitsgewinn.

Alte Welt vs. neue Welt: Die Vergleichstabelle

Lesetipp: Dieses Thema wird in unserem kostenlosen E-Book „CYBER-SICHER — Der IT-Sicherheits-Guide für den deutschen Mittelstand" (47 Seiten, 2026-Edition) ausführlich behandelt. Jetzt herunterladen →

Entra ID: Passwort-Rotation abschaffen in 6 Schritten

Die folgende Anleitung gilt für Cloud-only-Accounts in Microsoft Entra ID (früher Azure AD). Bei Hybrid-AD müssen Sie die Rotationsrichtlinie zusätzlich in der On-Prem-AD deaktivieren, sonst synct sich der Wert zurück.

1. Schritt 1: Password Expiration im Tenant deaktivieren. Microsoft 365 Admin-Center → Einstellungen → Org-Einstellungen → Sicherheit und Datenschutz → Kennwortablaufrichtlinie. Haken bei „Kennwörter laufen nie ab (empfohlen)" setzen. Damit übernehmen Sie die offizielle Microsoft-Empfehlung.
2. Schritt 2: MFA für alle erzwingen. Entra Admin-Center → Schutz → Bedingter Zugriff → neue Richtlinie. Assignments: „Alle Benutzer" (mit Break-Glass-Ausnahme). Grant Controls: „Multi-Faktor-Authentifizierung erforderlich". **Ohne MFA keine Rotation-Abschaffung** — das ist die Grundvoraussetzung.
3. Schritt 3: Passkeys als Authentifizierungsmethode freischalten. Entra Admin-Center → Schutz → Authentifizierungsmethoden → Richtlinien → FIDO2-Sicherheitsschlüssel / Passkey (Preview) auf „Aktiviert" stellen. Das gibt Ihren Mitarbeitenden die Option, statt Passwort einen phishing-resistenten Schlüssel zu nutzen.
4. Schritt 4: Smart Lockout konfigurieren. Entra Admin-Center → Schutz → Authentifizierungsmethoden → Password Protection. Lockout threshold: 10, Lockout duration: 60 Sekunden. Das ist die offizielle Microsoft-Empfehlung: Nach 10 Fehlversuchen wird der Account für eine Minute gesperrt — Brute-Force und Password-Spray laufen damit ins Leere, ohne Ihre Nutzer zu frustrieren.
5. Schritt 5: Identity Protection aktivieren. Entra Admin-Center → Schutz → Identity Protection. User-Risk-Policy auf „Medium and above → Passwortänderung erforderlich". Sign-in-Risk-Policy auf „High → MFA erforderlich". Damit rotiert Entra ID Passwörter automatisch — aber nur dann, wenn ein Kompromittierungsverdacht besteht (genau so, wie BSI und NIST es fordern).
6. Schritt 6: Sign-in-Logs prüfen und monatlich reviewen. Entra Admin-Center → Überwachung → Anmeldungen. Einmal im Monat durchgehen: ungewöhnliche Länder, fehlgeschlagene MFA-Challenges, Legacy-Auth-Versuche. In SIEM oder Microsoft Sentinel exportieren, falls Sie eines einsetzen.

Aus der Praxis: Warum wir bei unseren Mandanten rigoros umstellen

Wir sehen in Audits immer wieder den gleichen Muster-Fail: Unternehmen rotieren ihre Passwörter alle 90 Tage, aber die Hälfte der Konten hat keine MFA. Das ist Sicherheits-Theater. Sinnvoll wird es erst, wenn Sie die Rotation abschaffen, MFA scharf schalten und Sign-in-Monitoring etablieren. Und das ist in Entra ID ein halber Tag Arbeit — keine Investition, die wehtut.

Jens HagelMitgründer frag.hugo, seit 21 Jahren IT-Unternehmer

Fazit: Ihr nächster Schritt

Für Unternehmen, die zusätzlich Lieferketten-Compliance nach NIS2 steuern müssen, ist Hugo Shield der passende Einstieg. Mehr zu Jens' Hintergrund finden Sie auf seiner Autoren-Seite. Verwandte Artikel: Multi-Faktor-Authentifizierung im Unternehmen und Microsoft 365 gehackt — was tun bei einer Datenpanne trotz MFA?.

Häufige Fragen (FAQ)

Warum sagt mein Auditor noch, 90 Tage Rotation sei Pflicht?

Weil viele ISO-27001- und TISAX-Prüfer noch mit dem alten Mindset arbeiten. Fachlich ist die Lage klar: Weder ISO 27001:2022 noch das aktuelle BSI-IT-Grundschutz-Kompendium schreiben eine feste Rotationsfrist vor. Dokumentieren Sie Ihre risikobasierte Entscheidung mit Verweis auf ORP.4.A8 und NIST SP 800-63B — damit ist der Auditor befriedet.

Gilt die Empfehlung auch für Admin-Accounts?

Ja — wenn diese zusätzlich mit MFA, Privileged Identity Management und Device-Compliance abgesichert sind. Admin-Accounts brauchen keine Zwangsrotation, aber sie brauchen deutlich mehr Schutzschichten als normale User-Accounts. Ohne diese Zusatzschichten bleibt die Rotation eine (schlechte) Krücke.

Was ist Smart Lockout?

Smart Lockout ist ein Entra-ID-Mechanismus, der falsche Login-Versuche von bekannten und unbekannten Quellen unterschiedlich behandelt. Nach einer konfigurierbaren Anzahl Fehlversuche (Default: 10) wird der Account kurz gesperrt (Default: 60 Sekunden). Die Sperre wird bei IP-Reputation-Signalen verlängert. Brute-Force und Password-Spray laufen damit ins Leere.

Was sind Passkeys?

Passkeys sind kryptografische Schlüsselpaare, die lokal auf Ihrem Gerät (Handy, Laptop, Hardware-Key) gespeichert sind. Der Dienst bekommt nie ein Passwort zu sehen — nur eine signierte Challenge. Dadurch sind Passkeys phishing-resistent: Selbst wenn ein Angreifer eine gefälschte Login-Seite baut, kann er die Credentials nicht abgreifen. Entra ID unterstützt Passkeys seit 2024 offiziell.

Was passiert bei einer Kompromittierung, wenn ich keine Rotation habe?

Genau das, was bei jeder Kompromittierung passieren sollte: Sie rotieren das betroffene Passwort sofort, revoken die Sessions und prüfen die Audit-Logs. Entra Identity Protection macht das weitgehend automatisch — User-Risk-Policy auf „Passwortänderung erforderlich" zwingt den Nutzer beim nächsten Login zum Wechsel. Anlass-basierte Rotation schlägt Kalender-basierte Rotation in jeder Hinsicht.

Wie überzeuge ich unseren CISO oder IT-Leiter?

Mit drei Dokumenten: BSI IT-Grundschutz-Kompendium (ORP.4), NIST SP 800-63B Rev. 4 und die Microsoft-Learn-Seite zur Kennwortablauf-Richtlinie. Drucken Sie die relevanten Absätze aus und gehen Sie damit ins Meeting. Wer die alte 90-Tage-Regel verteidigen will, muss sich gegen drei unabhängige Autoritäten positionieren — das gelingt ohne belastbare Gegenargumente nicht.