Nutzungsbedingungen Passwort

Zum Schutz der IT-Infrastruktur ist es erforderlich, dass den Nutzer*innen nur jene Services und Daten zur Verfügung stehen, zu deren Nutzung sie auch tatsächlich berechtigt sind (Autorisierung). Entscheidend ist dabei die sichere Verwendung der Zugangsdaten (UserID und Passwort).

Die vorliegenden Nutzungsbedingungen definieren einen Mindeststandard. Darüber hinausgehende Regelungen sind zulässig.

Die vorliegenden Nutzungsbedingungen beziehen sich auf Zugangsdaten, die vom Zentralen Informatikdienst (ZID) der Universität Wien im Rahmen der vom ZID betriebenen IT-Services vergeben oder verwaltet werden (etwa u:account-UserID). Die Passwörter werden im Folgenden als ZID-Passwörter bezeichnet.

Ein ZID-Passwort muss so beschaffen sein, dass es ausreichenden Schutz gegen zu erwartende Angriffe bietet. Ein ZID-Passwort in diesem Sinne

• ist mindestens 12 Zeichen lang, 
• enthält 
  • mindestens 1 Großbuchstaben (A–Z) und
  • mindestens 1 Kleinbuchstaben (a–z) und zusätzlich
  • mindestens 1 Ziffer (0–9) oder 1 Sonderzeichen (!"$&/()=?+*_.,;<>^|[]-).
• ist nicht identisch mit einer UserID, 
• unterscheidet sich signifikant von anderen Passwörtern (etwa für soziale Netzwerke, Onlineshops) sowie dem bisherigen ZID-Passwort, insbesondere kein Hochzählen von Zahlen (etwa 2024, 2025, 2026 …),
• wird nicht mehrfach verwendet,
• ist nicht leicht zu erraten,
• wird nicht in gängigen Passwortlisten geführt und
• orientiert sich an den Best Practices (siehe unten). 

Diese Merkmale sind für alle ZID-Passwörter verpflichtend, werden aber nicht in allen Systemen technisch erzwungen. Weitere Merkmale können bei Bedarf (etwa bei aktuellen Bedrohungsszenarien) vom ZID festgelegt und bekanntgemacht werden.

Ausgenommen von den oben genannten Anforderungen sind die vom ZID verwalteten u:phone-Profile. Für diese sind PINs mit einer Mindestlänge von 6 Zeichen ausreichend. Bestehende vom ZID-System generierte WLAN-Passwörter müssen nicht geändert werden.

Persönliche ZID-Passwörter sind geheim zu halten, auch gegenüber Dienstvorgesetzten, Vertretungen, IT-Dienstleister*innen etc. Sie sind auch nicht zur Verwendung im Notfall für Dritte zu hinterlegen (etwa im Institutstresor).

ZID-Passwörter zu nicht personenbezogenen Accounts dürfen nur an Berechtigte weitergegeben werden.

Die Nutzungsbedingungen definieren die verpflichtenden Mindestanforderungen an ZID-Passwörter, um einen sicheren IT-Betrieb zu ermöglichen.

Sie allein gewährleisten aber nicht automatisch eine hohe Sicherheit eines ZID-Passworts. Beispielsweise entspricht Passwort123! oder UniPassw0rt! den Mindestanforderungen an Länge und Zeichenarten, ist aber trotzdem kein sicheres Passwort (Beispielpasswörter nicht verwenden).

Ein sicheres Passwort sollte möglichst

• keine persönlichen Daten enthalten (etwa Name, Geburtsdatum, Adresse, Namen von Familienmitgliedern oder Haustieren)
• selten sein bzw. eine hohe Zufälligkeit aufweisen 
• keine einfachen Muster enthalten (etwa 123456 oder quertz)
• lang sein (bis zu 127 Zeichen sind möglich).

Beachten Sie dazu die Passwort-Tipps.

Die Verwendung eines Passwort-Managers, um sichere Passwörter zu generieren und zu speichern, wird dringend empfohlen.

Ein Passwort-Manager darf verwendet werden, wenn er  

• auf dem aktuellen Stand der Technik und
• kryptografisch sicher
• Passwörter vor Dritten, einschließlich der*dem Betreiber*in, schützt. 

Passphrasen werden unterstützt, müssen aber aus (mindestens 4) zufällig gewählten längeren Wörtern bestehen. Sie dürfen keine bekannten Zitate, Redewendungen, Sprichwörter, Titel oder leicht erratbaren Wortkombinationen enthalten.

Beispiel:

• Starke Passphrase: Holunder_Relief_Ruckartig_Gehminuten_Codewort
• Schwache Passphrase: Sonne.Mond.und.Sterne

(Beispielpassphrasen nicht verwenden).

Nutzen Sie einen Passwort-Manager, um eine sichere Passphrase zu erzeugen.

Wenn Grund zur Annahme besteht, dass ein ZID-Passwort Dritten bekanntgeworden sein könnte, ist unverzüglich ein neues Passwort zu wählen. 

Der*Die Inhaber*in hat jedenfalls unverzüglich ein neues, nicht zuvor benutztes ZID-Passwort zu wählen bei:

• Verlust eines Gerätes, auf dem ein ZID-Passwort eingegeben wurde,
• Kompromittierung eines solchen Geräts (etwa durch Malware),
• (Verdacht auf) Weitergabe des ZID-Passworts (etwa Antwort auf Phishing-Angriff) oder
• Aufforderung durch die IT Security.

Für einen nicht personenbezogenen Account ist zudem immer ein neues ZID-Passwort zu wählen, wenn eine*r der Berechtigten die Berechtigung verliert.

Der ZID fragt Nutzer*innen niemals nach ihrem Passwort. 

Nutzer*innen sollen dem ZID niemals das ZID-Passwort mitteilen. 

Im Anlassfall ist der ZID berechtigt, UserIDs, Passwörter, IP-Adressen etc. temporär oder dauerhaft zu sperren. Um diese Sperren wieder aufzuheben, ist der ZID-Helpdesk zu kontaktieren.

Nutzer*innen sind aufgefordert, den ZID zu unterstützen, indem sie bei Bedarf an der Aufklärung allfälliger Security-Zwischenfälle mitwirken.

Wenn für ein Service Multi-Faktor-Authentifizierung zur Verfügung steht, empfiehlt der ZID, diese zu verwenden. Bei einigen IT-Services ist es erforderlich, die Multi-Faktor-Authentifizierung zu aktivieren, um sie nutzen zu können.

ZID-Passwörter sind nur in Anmeldeformularen von Systemen einzugeben, die vom ZID betrieben werden (etwa webbasierte Services wie u:space, Webmail) oder dem lokalen Zugang dienen (etwa Anmeldung am Arbeitsplatz-PC).

Services, die von anderen Organisationseinheiten der Universität Wien oder von externen Dienstleistern betrieben werden, dürfen keine ZID-Passwörter abfragen oder verarbeiten. Stattdessen ist das Web Single Sign-on des ZID zu verwenden. Die genauen Bedingungen dafür sind am ZID zu erfragen. Alternativ ist eine separate Accountverwaltung einzurichten, die deutlich als solche erkennbar sein muss.

Die Nutzungsbedingungen treten mit 01.09.2026 in Kraft.

Für bestehende Passwörter gilt:

• Wurde das Passwort vor dem 01.09.2026 gesetzt, wird der*die Inhaber*in des Accounts aufgefordert, das Passwort entsprechend der neuen Nutzungsbedingungen zu ändern.
• Die Aufforderungen werden gestaffelt verschickt.
• Ab Erhalt der Aufforderung haben Account-Inhaber*innen 8 Wochen Zeit, um das Passwort zu ändern.
• Nach Ablauf der 8 Wochen wird der Account gesperrt und kann selbstständig über die Passwortänderungsmaske entsperrt werden. Alternativ kann der ZID-Helpdesk den Account entsperren.

Bei Zweifels- oder Auslegungsfällen präzisiert die IT Security in erster, der CIO in zweiter und letzter Instanz die gegenwärtige Richtlinie. Änderungen und Präzisierungen bedürfen der Schriftform.