SP 800-63B-4 unterscheidet zwischen einem allein verwendeten Passwort und einem Passwort innerhalb einer Mehrfaktor-Anmeldung. Für den ersten Fall müssen mindestens 15 Zeichen verlangt werden; im zweiten sind mindestens acht zulässig. Das ist keine Empfehlung, bestehende Passwörter zu verkürzen.
Das Dokument lehnt starre Zeichentyp-Vorgaben und routinemäßige Passwortwechsel ab. Gibt es Hinweise auf eine Kompromittierung, muss ein Wechsel dennoch erzwungen werden. Administratoren sollten deshalb kalenderbasierte Ablaufregeln und die Reaktion auf Sicherheitsvorfälle getrennt behandeln.
Zur Länge kommen weitere Kontrollen: neue Passwörter gegen verbreitete oder kompromittierte Werte prüfen und fehlgeschlagene Anmeldeversuche begrenzen. Ein ausreichend langes Passwort kann weiterhin vorhersehbar oder bereits bekannt sein.
Anwendungen auf Vertrauensniveau AAL2 müssen eine phishingresistente Anmeldemöglichkeit anbieten. Nicht jeder zweite Faktor erfüllt das: Ein auf einer gefälschten Website eingegebener Code kann weitergeleitet werden. Entscheidend sind die konkrete Methode und die Kontowiederherstellung.
Für die Beschaffung zählen somit Länge je Anmeldesituation, Prüfung kompromittierter Passwörter, Wiederherstellung und phishingresistente Optionen. NIST hat einen definierten Geltungsbereich; die Vorgaben sind nicht automatisch eine gesetzliche Pflicht für jede private Website in jedem Land.
Redaktioneller Hinweis: Herstellerspezifikationen sind keine unabhängigen Testergebnisse. Quellenlinks sind Referenzen, keine Kaufempfehlungen.