Umgang mit Nutzerpasswörtern

[tracer]

Hallo,

folgende Ausgangssituation: Ein Portal mit mehreren hundert Mitgliedern, die Passwörter werden derzeit mit einem Zufallsstring erweitert und dann als String und Hash-Wert gespeichert - technisch gesehen ein relativ sicheres Verfahren, nur die Benutzer kennen ihre Passwörter.

Aus verwaltungstechnischen Gründen soll das Ganze jetzt so umgestellt werden, dass die Passwörter im Klartext gespeichert werden, um den Nutzerverwaltern das Leben einfacher zu machen, so dass Passwörter direkt bekannt gemacht werden können anstatt neue zu vergeben.

Ich halte das aus Sicht des Programmiers aus mehrfacher Sicht für höchst unverantwortlich: 1.) Nutzerpasswörter gehen niemanden außer dem Nutzer selbst etwas an. 2.) Bei komprimitierung der Nutzertabelle ist ein Zugriff auf alle Konten möglich 3.) Die Nutzerverwalter haben ein hohes Potential zum Angriff von anderen Konten des Nutzers 4.)...

Gibt es hier aus rechtlicher sicht (Datenschutz) keine Regelung die ein solches Vorgehen unterbindet?

Danke für eure Tipps,
tracer

[aaky]

Aus rechtlicher Sicht muss nur für die Sicherheit der Daten gesorgt werden. Wenn das irgendwie anders erfolgt, können Daten auch im Klartext gespeichert werden.

An dieser Stelle ist es wie oft im Recht: Solange nichts passiert, solange ist die Wahl der Mittel egal. Wenn etwas passiert, wurde das falsche Mittel gewählt und entsprechende Folgen oder Strafen resultieren aus dem Gesetz.

Eine solche Entscheidung ist also durchaus zulässig, nur sollte man sich der Konsequenzen bewußt sein, wenn es schief geht.