Wo MFA nicht möglich ist, sind benutzerfreundliche Richtlinien für solide Passwörter durchzusetzen. Unternehmen sollten die von Nutzern gewählten Passwörter regelmäßig anhand eines Wörterbuchs sowie mit standardmäßigen, gestohlenen und bekannten Passwörtern überprüfen. Es sind lange Passwörter mit Sonderzeichen vorzuschreiben. Bei falschen Eingaben sollten keine Hinweise auf das Zurücksetzen von Passwörtern gegeben werden, die Cyberkriminelle auf die richtige Spur bringen könnten. Zudem sind abgelaufene oder ungültige Anmeldedaten sofort zu sperren.