Lokaler Passwort-Manager: So funktioniert ein verschlüsselter Offline-Tresor

Ein lokaler Passwort-Safe ist eine verschlüsselte Datei, die Sie aufbewahren

Ein lokaler Passwort-Tresor ist eine verschlüsselte Datenbank, die auf Ihrem eigenen Gerät oder Server gespeichert ist, und Ihre Zugangsdaten befinden sich darin, ohne den Master-Schlüssel unlesbar, während nichts in die Cloud eines Anbieters synchronisiert wird, es sei denn, Sie richten dies selbst ein.

Dies wird auch als lokale Passwortspeicherung oder als Offline-Passworttresor bezeichnet, wobei lokal beschreibt, wo die Daten gespeichert sind, und offline bedeutet, dass der Tresor ohne Internetverbindung funktioniert. In beiden Fällen öffnet sich der Tresor auf Ihrem Gerät, mit Ihrem Schlüssel, nach Ihren Regeln.

Warum Menschen ihren Tresor lokal aufbewahren

Eigentum steht an erster Stelle, denn Sie wählen die Maschine, den Server und das Netzwerk, sodass ein Ausfall des Anbieters Sie nicht aussperren kann und eine Sicherheitsverletzung des Anbieters keinen Tresor offenlegt, den der Anbieter nie besaß.

Bequemlichkeit liegt auch bei Ihnen, denn manche Menschen bewahren einen Tresor auf einem Laptop auf und synchronisieren ihn nie, während andere ihn über einen vertrauenswürdigen Kanal zwischen Geräten kopieren. Da die Synchronisierung optional ist, ist jedes Gerät mit einer Kopie eines, das Sie bewusst ausgewählt haben.

Dann gibt es den Hauptschlüssel, und da ein einziges Geheimnis alles darin schützt, verdient er ernsthafte Überlegung. Eine lange Passphrase aus nicht zusammenhängenden Wörtern ist leichter zu merken als eine kurze Zeichenfolge und viel schwerer zu erraten, und Sie sollten sie niemals wiederverwenden.

Backups bleiben ebenfalls in Ihren Händen: Sie legen den Zeitplan fest, wählen den Speicherort und entscheiden, wer die Kopien nutzen darf.

Was Sie aufgeben, wenn Sie lokal bleiben

Lokale Kontrolle kostet etwas, und es ist besser, die Rechnung im Voraus zu kennen.

Vergessen Sie den Hauptschlüssel, kann ihn niemand für Sie zurücksetzen, da die meisten lokalen Tresore keinen Wiederherstellungspfad haben, weil kein Anbieter eine Kopie besitzt. Verliert man das Gerät ohne Backup, sind die Zugangsdaten verloren. Das Verschieben des Tresors auf einen zweiten Laptop erfordert manuelle Arbeit, und das Teilen mit einem Kollegen bedeutet meist, eine Kopie per E-Mail zu senden, wodurch zwei Versionen entstehen, die auseinanderlaufen.

Updates müssen ebenfalls von Ihnen verfolgt werden, da niemand Sicherheitsupdates in einen von Ihnen selbst betriebenen Tresor einspielt, und ein lokaler Tresor schützt ruhende Daten, sodass Malware auf einem bereits entsperrten Gerät dennoch auf den Inhalt zugreifen kann.

Backups für einen Tresor, der niemals die Cloud berührt

Bewahren Sie drei Kopien des vaults auf zwei Arten von Speicher auf, zum Beispiel Ihrem Laptop und einem externen Laufwerk, mit einer Kopie an einem anderen physischen Ort, wie einem verschlossenen Schrank an einem anderen Standort, was Sicherheitsteams die 3-2-1-Regel nennen und die gut funktioniert, wenn keine Cloud beteiligt ist.

Stellen Sie sicher, dass jede Kopie verschlüsselt ist, auch die auf externen Laufwerken, und stellen Sie dann eine auf einem sauberen Gerät wieder her, da ein Backup, das Sie nie wiederhergestellt haben, nicht verifiziert ist.

Open Source oder kommerziell: wie wählen?

Open-Source-Passwortmanager für den lokalen Gebrauch sind verbreitet, und ihr Reiz ist leicht nachvollziehbar, da jeder den Code prüfen kann, keine Lizenzgebühren anfallen und Funktionen oft schnell verfügbar sind, weil eine Community sie vorantreibt.

Das Problem zeigt sich später, denn Support bedeutet Foren und freiwillige Zeit, Sie sind verantwortlich für die Verfolgung von Releases und das Anwenden von Sicherheitsupdates, und die Funktionen, die Teams benötigen, wie rollenbasierter Zugriff, Genehmigungsschritte und Berichte, sind oft knapp oder fehlen.

Kommerzielle Produkte funktionieren anders: Sie zahlen, und ein Anbieter bleibt für Support, Updates und Roadmap verantwortlich. Egal, was Sie wählen, prüfen Sie zuerst drei Dinge: Wer patcht es und wie schnell, was passiert, wenn die Person, die es eingerichtet hat, geht, und ob ein Auditor sehen kann, wer welche Anmeldeinformationen geöffnet hat.

Ein einzelner Entwickler mit guten Gewohnheiten kann im Open Source gut abschneiden, aber ein Team mit Compliance-Aufgaben sollte diese letzte Prüfung sorgfältig abwägen.

Funktionen des lokalen Passwortmanagers, die Sie vor der Entscheidung prüfen sollten

Bewerten Sie jeden lokalen Passwortmanager, kostenlos oder kostenpflichtig, anhand einer Liste, da einige Punkte für alle wichtig sind und andere erst, wenn eine zweite Person auf den Tresor zugreift.

Schutz des Hauptschlüssels und Multi-Faktor-Authentifizierung

Der Hauptschlüssel ist das einzige Schloss am Tresor, prüfen Sie also, wie er gebaut ist, und das Tool sollte eine lange Passphrase ohne Längenbegrenzung akzeptieren, die Menschen zu kurzen Zeichenfolgen drängt. Die Multi-Faktor-Authentifizierung fügt eine zweite Prüfung hinzu, sodass ein erratener oder gestohlener Schlüssel allein den Tresor nicht öffnet.

Verschlüsselung im Ruhezustand

Suchen Sie nach einem Tresor, der auf der Festplatte und in jeder Sicherung verschlüsselt bleibt und einen öffentlich geprüften Standard verwendet. Anbieter, die dokumentieren, wie ihre Verschlüsselung funktioniert, geben Ihnen etwas zur Überprüfung, während Ausdrücke wie „bank-level security“ nichts aussagen.

Passwort- und Passphrasen-Generator

Schwache und wiederverwendete Passwörter sind eine Gewohnheit, die ein vault durchbrechen sollte, und ein guter Generator ermöglicht es, Länge und Zeichentypen festzulegen, während eine Passphrasen-Option lange Wortketten erzeugt, die auf einem Telefon oder in einer Anmeldeaufforderung, in der die automatische Eingabe nicht funktioniert, leichter einzugeben sind.

Browser-Erweiterung

Die automatische Eingabe verhindert, dass Benutzer Passwörter manuell in Formulare einfügen oder im Browser speichern; Sie sollten prüfen, welche Browser die Erweiterung unterstützt und wie sie mit dem Vault kommuniziert.

Organisation für verschiedene Anmeldeinformationen

Server, SaaS-Tools, Kundenkonten und freigegebene Postfächer häufen sich schnell an, und Ordner, Gruppen oder Projektbereiche trennen sie nach Team oder Kunde, sodass jeder seine eigenen Anmeldedaten findet, ohne an den anderen vorbeiscrollen zu müssen.

SSH-Schlüssel und SSH-Verbindungen

Administratoren bewahren SSH-Private Keys oft als lose Dateien auf einem Laptop auf, während ein Tresor, der die Schlüssel und deren Passphrasen speichert, sie hinter dem Master-Key schützt, und einige Tools die Verbindung direkt starten können. Prüfen Sie daher, ob die Schlüssel verschlüsselt gespeichert sind und ob das Tool die von Ihren Servern verwendeten Schlüsseltypen unterstützt.

Verschlüsselte Backups und Wiederherstellung

Achten Sie auf geplante Backups, die verschlüsselt bleiben, sowie auf einen Wiederherstellungsprozess, den Sie auf einem sauberen Rechner testen können, denn Backups, die davon abhängen, dass jemand daran denkt, eine Datei zu kopieren, brechen im ersten geschäftigen Quartal oft ab.

Optionale Synchronisierung

Die Synchronisierung sollte ausgeschaltet bleiben, bis Sie sie einschalten, und Sie sollten den Kanal auswählen: eine Dateifreigabe, einen von Ihnen betriebenen Server oder gar nichts.

Überwachung von Datenverletzungen

Einige Tools vergleichen gespeicherte Logins mit Listen geleakter Zugangsdaten und warnen bei Übereinstimmung, wobei die meisten eine Internetabfrage benötigen. Ein komplett offline arbeitendes Tool kann diese Funktion absichtlich weglassen, sodass Sie entscheiden müssen, was für Ihre Einrichtung wichtiger ist.

Berichte und Ereignisprotokolle

Berichte und Ereignisprotokolle zeichnen auf, wer welche Anmeldeinformationen geöffnet hat und was sich geändert hat, und ein Prüfer wird genau das verlangen. Ein Einzelanwender kann darauf verzichten; ein Team nicht.

Audit-Bereitschaft: die Frage, die eine lokale Datei nicht beantworten kann

Früher oder später fragt ein Auditor, wer wann auf was zugegriffen hat, und Frameworks wie ISO 27001 und SOC 2 erwarten Zugangskontrollen und dazugehörige Aufzeichnungen.

Nehmen Sie einen Auftragnehmer, der drei Monate lang eine Kopie des vault hatte, und wenn der Vertrag endet, müssen Sie wissen, welche Anmeldedaten er geöffnet hat. Eine lokale Datei kann Ihnen das nicht sagen, da sie die Geheimnisse enthält und keine Aufzeichnung darüber führt, wer sie berührt hat.

Ereignisprotokolle und Berichte erfüllen diese Rolle, denn mit ihnen antworten Sie anhand bereits vorhandener Aufzeichnungen, während Sie ohne sie jede Anmeldeinformation rotieren, die der contractor möglicherweise gesehen hat, und hoffen, dass die Liste vollständig ist.

Wo ein lokales Vault für ein Team nicht mehr funktioniert

Eine Person mit einem Tresor funktioniert gut. Fügen Sie vier weitere Personen hinzu und die Probleme beginnen.

Jeder benötigt unterschiedliche Zugangsdaten, da der Finanzleiter nicht die Firewall-Anmeldung sehen sollte und der Helpdesk nicht die Gehaltsabrechnung. Eine einzige gemeinsame Datei gibt allen alles oder niemandem etwas. Sensible Konten, die ein Domain ändern oder Kundendaten berühren können, haben keinen Genehmigungsschritt davor, und wenn jemand geht, kann man nicht sehen, was er vor dem Weggang geöffnet hat.

Lokale Kontrolle mit Zugriff auf Team-Ebene: Netwrix Password Secure

Teams, die über einen einzelnen Vault hinauswachsen, möchten in der Regel weiterhin mitbestimmen, wo Anmeldeinformationen gespeichert werden. Netwrix Password Secure behält diese Kontrolle und ergänzt die Zugriffsregeln, die eine gemeinsame Umgebung benötigt. Sie können es on-premises, in der Cloud oder in einer hybriden Umgebung betreiben, sodass die Bereitstellung zu Ihrer Infrastruktur und den Compliance-Anforderungen passt.

• Anmeldedaten werden in einem verschlüsselten Tresor mit einer Ende-zu-Ende-Verschlüsselungsarchitektur gespeichert, außerhalb von Tabellenkalkulationen, Browsern und Haftnotizen.
• Der rollenbasierte Zugriff beschränkt jeden Benutzer auf die für seine Arbeit erforderlichen Anmeldeinformationen.
• Sensible Konten durchlaufen genehmigungsbasierte Workflows, bevor jemand Zugriff erhält.
• Jeder Zugriff und jede Aktion wird protokolliert, und Berichte zeigen, wer wann auf was zugegriffen hat.
• Ihr Team kann über eine Windows-App, das Web, eine Browsererweiterung oder mobil mit MFA-Unterstützung arbeiten.
• Die Integration von Active Directory und Entra ID sorgt dafür, dass der Zugriff mit den Identitäten, die Sie bereits verwalten, übereinstimmt.
• Eine skalierbare Client-Server-Architektur mit Redundanz, Lastverteilung und Hochverfügbarkeitsoptionen wächst mit dem Team.