Passwort Manager

Moin,

wir nutzen selbst den Keepass. Als Alternative kann ich dir den Remotedesktopmanager (https://remotedesktopmanager.com/de) empfehlen. In der Pro-Version ist es durchaus möglich, dass du die Kennwörter eingibst und pflegst (Adminstatus), während du Benutzern nur die Verbindung mit dem hinterlegten Account freigibst. Das funktioniert super. Wir haben es damals im Systemhaus genutzt um RDP-Verbindungen, Teamviewerverbindungen, Website-Logins, VPN-Verbindungen, Sophos-Logins zu verwalten. Die Techniker hatten nur die freigegebenen Verbindungen und kannten die Kennwörter nicht. Dadurch musste beim Ausscheiden eines Mitarbeiters nicht alles geändert werden. Kostet aber auch ein bisschen Geld.

Wenn du nur ab und zu Hilfe brauchst, dann sind vielleicht Konten mit zeitlichem Zugriff eine Option? Wir haben unsere Firewall zum Beispiel so konfiguriert, dass Teamviewer nur nach Bestätigung für 1 Stunde möglich ist (bestehende Verbindungen werden erst um 20 Uhr getrennt) und ein AD-Account welches täglich um 21:00 Uhr per Skript wieder deaktiviert wird. Selbst wenn der DL die Daten weitergibt, kommt er durch den gesperrten Account nicht mehr rein. Ist aber nicht für alles (Login auf Websiten zum Beispiel) möglich.

Gruß
Doskias

Moin.

Dann ist keepass das falsche Produkt.
Password Safe kann granular Userberechtigungen setzen.
Das geht sogar soweit runter, das der User das Passwort nicht sehen kann, sondern nur per Tastenkombi
automatisch eingetragen wird,

Wenn ich mich recht entsinne, kann man sogar verhindern, das es in ein TXT File kopiert wird.
Ist allerdings nicht ganz günstig.

Gruß
Jasper

schau Dir mal Teampass an.
Wir protokolliert was er anschaut.
Kannst auch recht auf jedes Passwort setzen

Wir nutzen Passwort Depot von Acebit (deutscher Hersteller) OnPrem in der Enterprise Version
.
Web, App und nativer Client ist verfügbar.

Berechtigungen auf Ordner und AD Anbindung sind kein Problem

Schau dir mal Bitwarden an: https://bitwarden.com/products/
Ist quelloffen, transparent und kann on prem oder in der Cloud betrieben werden.
Nutze habe ich privat auf meinem Homeserver mit Docker zum testen damals deployt und ist mittlerweile auch im Unternehmen installiert. Funktioniert auf allen gängigen Plattformen, sowohl Desktop als auch mobil.

Ist nicht oldschool sondern vernünftig. Sensible Daten in eine public Cloud und damit auf fremde Rechner im Interntet zu packen bedeutet immer ein höheres Risiko. Es gibt Szenarien in denen Clouds sinnvoll sein können, zumal Cloud auch nicht gleich Cloud ist vom Sicherheits- und Datenschutzniveau. Aber nur weil es gerade hipp ist, sollte man nicht alles was bei 3 nicht auf dem Baum ist irgendwo ins Internet packen.

Am sichersten ist
- Server in Deutschland (Hetzner, Strato, ...)
- Absichern nach gängigen best practices (SSH Keys mit PW Schutz, SSL Zertifikat mit aktuellen Algorithmen etc)
- Möglichst nur das drauf was benötigt wird (kein GUI System für einen Webserver oder so was)
- Das ganze pflegen ~> Veraltete Software bedeutet immer ein höheres Angriffsrisiko

Naja das Problem kannst du mit keinem PW Manager lösen. Mit Bitwarden könntest du ihm zwar den Zugriff entziehen. Aber das schützt nicht dagegen, dass er dieses PW danach noch benutzt. Es weiß ja keiner, was er bis dahin damit gemacht hat: Er könnte es z.B. rauskopiert, im Browser gespeichert oder schlichtweg auswendig gelernt haben. Diese Möglichkeit kannst du ihm auch nicht verwehren, wenn er sich irgendwo einloggt muss er die PWs kennen.

Das einzige was du vorsorglich machen kannst ist
- PWs möglichst nicht gleich geben sondern erst wenn man sich besser kennt und Vertrauen da ist
- Wie du schon sagtest nicht gleich alle PWs, sondern nur die wo benötigt werden ~> Im Problemfall musst du weniger prüfen/ändern
- Wenn möglich nicht überall einen (Super-)Admin User ihm geben sondern einen eigenen Account der nur so viele Rechte wie nötig hat

Wenn ihr z.B. mal getrennte Wege geht, ist die einzig sichere Lösung sämtliche PW auf die er Zugriff hat zu ändern und auch zu kontrollieren, ob er evt. vorsorglich Backdoor-Accounts (zweiter A-User, Admin Token oder so was) eingebaut hat. Daran führt kein Weg vorbei - oder du lebst eben mit dem Restrisiko, dass er vielleicht die Zugänge irgendwo gesichert hat und damit Unsinn treibt.

Kann man so machen. Was ich noch empfehlen würde ist 2FA: https://bitwarden.com/help/article/setup-two-step-login/
Vor allem wenn kein VPN davor ist macht das sicherheitstechnisch sinn. Mit offenen Lösungen wie z.B. FreeOTP lässt sich das auch transparent umsetzen, ohne sich Datenkranken ins Haus zu holen.

Wenn du unbedingt ein Abomodell willst....klar....warum nicht ;)

Damit unterstützt man die Entwicklung eines transparenten PW Managers, das halte ich für keinen Fehler. Viele Alternativen (zumindest die teamfähigen) haben bereits auf Abos umgestellt. Und da hast du dann eine komplett proprietäre Blackbox, teilweise gibts die auch noch nur in der Cloud, sodass man voll von denen abhängig ist.

Wenn der Preis ein Problem ist, wäre ggf. Family eine Alternative. Kostet nur 40$ pro Jahr und beinhaltet bis zu 6 Konten. Habe ich privat auch, da ist die On-Prem Lizenz mit drin. Family ist eine etwas abgespeckte Enterprise-Variante, z.B. fehlen Gruppen oder SSO. Allerdings bin ich mir nicht sicher, ob sich Family wie es der Name sagt nur an privatpersonen richtet, oder ob du das kommerziell auch buchen darfst, wenn dir die Funktionen reichen.

Ich würde mal Vergleichen ob Enterprise Funktionen dabei sind die du brauchst:
https://bitwarden.com/pricing/business/
https://bitwarden.com/pricing/

Falls Family von den Funktionen her in Frage kommt, würde ich beim Support kurz nachfragen.

Ich unterstützte auch die Entwickler, wenn ich eine Lizenz kaufe mit Maintenance ohne grundsätzlichen Abozwang und dann für mich selbst entscheide, ob ich das Update benötige und bei Bedarf verlängere.

Aber ich kaufe lieber die Lizenz einmal und habe eine Lifetime Lizenz inkl. OnPrem Server.