Platz 3: «Passwort alle X Monate ändern»

Weil man nicht immer wissen kann, ob ein Passwort gehackt oder beim User abgephisht wurde, wollen manche Netzwerk-Admins ihre User dazu verpflichten, in regelmässigen Abständen ihre Passwörter zu ändern.

Aber diese Unsitte stammt aus der grauen Vorzeit des Computerzeitalters. Aus einer Zeit, in der es noch keine Zwei-Faktor-Authentisierung gab. Die regelmässig erzwungene Passwortänderung nervt die User nämlich so sehr, dass sie beginnen, ihre Passwörter einfach durchzunummerieren.

Aus Schnurrli01 wird Schnurrli02, dann Schnurrli03 und so weiter. Das kann der Sicherheit nicht dienlich sein.