Was ist Self-Service Passwort Reset (SSPR)?

Self-Service Password Reset (SSPR) ist eine Sicherheitsfunktion, die es Benutzern ermöglicht, ihr Passwort sicher zurückzusetzen, ohne den IT-Support kontaktieren zu müssen. Es ist typischerweise Teil einer Identity- und Access-Management- (IAM)-Plattform, die Benutzeridentitätsdaten speichert und verwaltet. SSPR ermöglicht es Benutzern, mithilfe vordefinierter Multi-Faktor-Authentifizierungsmethoden (MFA) wie Authentifizierungs-Apps, Verifizierungscodes oder Biometrie wieder Zugriff auf ihre Konten zu erhalten. Von Sicherheitsfragen wird generell abgeraten, da sie leicht erraten oder herausgefunden werden können.

Indem SSPR es Benutzern ermöglicht, ihre Anmeldedaten selbstständig zurückzusetzen, hilft es Unternehmen dabei, die Anzahl passwortbezogener IT-Support-Tickets zu reduzieren, die Betriebskosten zu senken, die Produktivität zu steigern und das gesamte Benutzererlebnis zu verbessern.

So funktioniert SSPR

SSPR vereinfacht den Passwortwiederherstellungsprozess für Benutzer, die von ihren Konten ausgesperrt wurden oder ihr Passwort vergessen haben. Hier ist eine Übersicht, wie es typischerweise funktioniert:

Eine Anfrage initiieren: Der Benutzer startet den Reset- oder Wiederherstellungsprozess, indem er auf das SSPR-Portal zugreift oder auf dem Anmeldebildschirm auf „Passwort vergessen“ klickt.
Identität überprüfen: Der Benutzer muss seine Identität mit einer oder mehreren vorkonfigurierten Authentifizierungsmethoden bestätigen, z. B. durch Empfang eines SMS-/E-Mail-Codes, durch Beantwortung einer Benachrichtigung einer Authentifizierungs-App, durch Verwendung von Biometrie oder einer anderen sicheren MFA-Methode. Hinweis: Organisationen sollten sich nicht ausschließlich auf SMS- oder E-Mail-Codes verlassen, da diese Methoden anfällig für Phishing- und SIM-Swapping-Angriffe sind.
Passwort zurücksetzen: Nach erfolgreicher Identitätsprüfung wird der Benutzer aufgefordert, ein neues Passwort zu erstellen, das den Sicherheitsrichtlinien der Organisation entspricht. Nach Eingabe des neuen Passworts kann sich der Benutzer wieder anmelden und weiterarbeiten.

Bei korrekter Implementierung ermöglicht dieses Verfahren den Benutzern, den Zugriff schnell wiederherzustellen, ohne die Sicherheit zu beeinträchtigen.

Wichtigste Vorteile von SSPR für Unternehmen

Die Implementierung von SSPR bietet sowohl erhöhte Sicherheit als auch operative Effizienz. Hier sind die wichtigsten Vorteile, die Unternehmen erwarten können.

Gesteigerte Produktivität

Mit SSPR können Benutzer schnell wieder Zugriff auf ihre Konten erhalten und, was noch wichtiger ist, ohne auf den IT-Support warten zu müssen. Dies ist besonders nützlich in zeitkritischen Situationen, wie z. B. beim Einloggen vor Besprechungen oder bei dringenden Abgabeterminen, wo Ausfallzeiten die Leistung erheblich beeinträchtigen können. Es fördert zudem die Selbstständigkeit der Mitarbeiter und minimiert Unterbrechungen des Arbeitsablaufs.

Reduzierte IT-Kosten

Da Probleme im Zusammenhang mit Passwörtern zu den häufigsten Gründen für IT-Tickets zählen, automatisiert SSPR den Passwort-Reset-Prozess und reduziert das Support-Ticket-Volumen erheblich. Dadurch können sich die IT-Teams auf wichtigere Aufgaben konzentrieren, anstatt durch häufige Anfragen zum Zurücksetzen von Passwörtern belastet zu werden.

Verbesserte Sicherheit

SSPR erlaubt das Zurücksetzen von Passwörtern erst, nachdem ein Benutzer sichere Verifizierungsschritte, in der Regel über MFA, erfolgreich abgeschlossen hat. In Kombination mit Phishing-resistenten Methoden reduziert SSPR die Risiken unautorisierter Zugriffe erheblich und fördert eine bessere Cyberhygiene im gesamten Unternehmen.

Unterstützt hybride und dezentrale Arbeitsmodelle

In modernen globalen und hybriden Arbeitsumgebungen arbeiten Mitarbeiter häufig von verschiedenen Standorten und Zeitzonen aus. SSPR macht es überflüssig, dass Benutzer auf IT-Mitarbeiter angewiesen sind, die während der üblichen Geschäftszeiten arbeiten, um wieder Zugriff auf ihr Konto zu erhalten. Dies ist besonders vorteilhaft für Remote-Teams und Organisationen mit verteilten Belegschaften, da so ein Zugriff rund um die Uhr für Passwortzurücksetzungen und -wiederherstellung gewährleistet wird.

So aktivieren Sie SSPR

Verschiedene Plattformen, wie beispielsweise Microsoft Entra ID (ehemals Azure AD), Okta und Google Workspace, haben ihre eigenen, spezifischen Einrichtungsverfahren zur Aktivierung von SSPR. Die meisten Plattformen folgen jedoch einem ähnlichen Prozess. Hier sind die allgemeinen Schritte zur Aktivierung von SSPR:

Greifen Sie auf die Admin-Konsole zu: Melden Sie sich mit einem Konto mit Administratorrechten im Admin-Portal Ihrer Organisation an, um die Sicherheitseinstellungen zu konfigurieren.
Suchen Sie die Einstellungen zum Zurücksetzen oder Wiederherstellen des Passworts: Navigieren Sie zum Einstellungsbereich, in dem die Optionen zum Zurücksetzen und Wiederherstellen des Passworts verwaltet werden. Je nach Plattform kann diese Option beispielsweise als „Passwort zurücksetzen“, „Wiederherstellungseinstellungen“ oder ähnlich bezeichnet sein.
Aktivieren Sie SSPR für die gewünschten Benutzer oder Gruppen: Legen Sie fest, ob SSPR für die gesamte Organisation oder nur für bestimmte Benutzer/Gruppen, wie z. B. Mitarbeiter, Freiberufler oder Auftragnehmer, aktiviert werden soll. Dadurch wird sichergestellt, dass nur die entsprechenden Benutzer Zugriff auf die SSPR-Optionen haben.
Definieren Sie Authentifizierungsmethoden: Entscheiden Sie, welche MFA-Methoden den Benutzern zur Verfügung stehen sollen, um ihre Identität vor dem Zurücksetzen ihrer Passwörter zu bestätigen. Gängige Authentifizierungsoptionen sind SMS- oder E-Mail-Verifizierungscodes, Authentifizierungs-Apps, Biometrie und, falls unterstützt, Hardware-Sicherheitsschlüssel.
Legen Sie Zugriffskontrollen fest: Definieren Sie Sicherheitsrichtlinien, einschließlich der Mindestanzahl erforderlicher Authentifizierungsmethoden, Regeln für die Passwortkomplexität und Ratenbegrenzung, um übermäßige oder verdächtige Zurücksetzungsversuche zu verhindern.
Testen Sie zuerst den SSPR-Prozess: Vor der vollständigen Einführung sollte der Prozess intern getestet werden. Geben Sie sich als Testbenutzer aus und setzen Sie ein Passwort zurück, um sicherzustellen, dass alles wie geplant funktioniert.
Schulen Sie die Benutzer: Schulen Sie die Mitarbeiter im Umgang mit SSPR anhand von Schritt-für-Schritt-Anleitungen oder Schulungsvideos, um sie auf die Einführung vorzubereiten. Dies trägt dazu bei, dass sich die Mitarbeiter im Umgang mit dem System sicherer und wohler fühlen.
Überwachen Sie Aktivitäten nach der Einführung: Nach der Einführung von SSPR sollten Sie Analysen zu Nutzungsraten, erfolgreichen Passwortzurücksetzungen, Reduzierungen von IT-Tickets im Zusammenhang mit Passwörtern und fehlgeschlagenen Zurücksetzungsversuchen verfolgen. Aktivieren Sie die Audit-Protokollierung, um Compliance-Anforderungen (wie ISO 27001 oder SOC 2) zu erfüllen und verdächtige Aktivitäten zu erkennen.

Häufige SSPR-Fehler, die es zu vermeiden gilt

Obwohl SSPR für Unternehmen ein großer Vorteil sein kann, kann eine mangelhafte Implementierung zu Sicherheitslücken, Frustration bei den Nutzern und anhaltender Belastung der IT-Abteilung führen. Hier sind die häufigsten Fehler, die Sie bei der Implementierung von SSPR vermeiden sollten.

Mehrere Authentifizierungsmethoden werden nicht aktiviert

Sich nur auf eine einzige Authentifizierungsmethode zu verlassen, erhöht die Sicherheitsrisiken, denn wenn diese Methode kompromittiert wird, können Benutzer von ihren Konten ausgesperrt werden oder Unbefugte können Zugriff erlangen. Es empfiehlt sich, mindestens zwei sichere Authentifizierungsmethoden zu aktivieren, beispielsweise eine Authentifizierungs-App und Biometrie.

Mangelnde Bereitstellung angemessener Schulungen

Benutzer, die nicht verstehen, wie SSPR funktioniert, werden wahrscheinlich weiterhin IT-Support-Tickets einreichen, wenn sie Hilfe benötigen. Ohne klare Schulungen in Form von detaillierten Leitfäden oder Lehrvideos werden viele Mitarbeiter SSPR möglicherweise nicht anwenden, wodurch dessen Zweck völlig verfehlt wird.

Keine Tests vor der Einführung

Wird die Testphase von SSPR übersprungen, kann dies zu Fehlkonfigurationen führen, wie beispielsweise fehlenden Verifizierungsschritten, die Benutzer daran hindern, ihre Passwörter zurückzusetzen. Es ist unerlässlich, den SSPR-Workflow vor der vollständigen Einführung im gesamten Unternehmen zu testen, um technische Fehler oder Usability-Probleme aufzudecken.

Übermäßige Abhängigkeit von unsicheren Wiederherstellungsoptionen

Einige Wiederherstellungsoptionen, wie beispielsweise per SMS oder E-Mail versendete Bestätigungscodes, sind anfälliger für Phishing-Angriffe, SIM-Swapping oder Abfangen dieser Daten. Obwohl diese MFA-Optionen praktisch sein können, ist es ratsam, stärkeren Verifizierungsmethoden wie Authentifizierungs-Apps oder Biometrie Vorrang einzuräumen, insbesondere für privilegierte Konten.

Keine Überwachung oder Audit-Protokollierung

Ohne die Überwachung der SSPR-Aktivitäten können Organisationen wertvolle Informationen darüber verpassen, wie diese genutzt werden. Aktivieren Sie die Protokollierung, um die Häufigkeit von Passwortzurücksetzungen, Fehlerraten und verdächtigen Aktivitäten zu überwachen, die auf ein größeres Sicherheitsrisiko hinweisen könnten. Überprüfen Sie diese Protokolle regelmäßig und integrieren Sie sie in Ihr SIEM-System (Security Information and Event Management), um eine bessere Transparenz und Compliance zu gewährleisten.