belmont
Goto Top

Passwortmanager Vorschläge

Servus,

Ich bin aktuell auf der Suche nach einem cloudbasiertem Passwortmanager mit bestimmten Features:

1. LDAP-Anbindung bzw. Azure AD Synchronisationsmöglichkeit
2. Hyperlinks die nicht terminiert sind - wäre ziemlich nützlich, diese Hyperlinks "HYPOTHETISCH" von Kundenverzeichnissen im PWM in ein Ticketsystem zu hinterlegen für den spezifischen Kunden.

Habt ihr da Erfahrungen gemacht? Habe soweit das meiste durch...(Passwork, LastPass, 1Password, Roboform etc...)

Content-Key: 605737

Url: https://administrator.de/contentid/605737

Ausgedruckt am: 19.03.2024 um 04:03 Uhr

Mitglied: Vision2015
Vision2015 18.09.2020 um 16:49:41 Uhr
Goto Top
moin...
Zitat von @Belmont:

Servus,

Ich bin aktuell auf der Suche nach einem cloudbasiertem Passwortmanager mit bestimmten Features:
Passwortmanager in der Cloud.... das meinst du doch nicht etwa ernst... oder etw doch?

1. LDAP-Anbindung bzw. Azure AD Synchronisationsmöglichkeit
2. Hyperlinks die nicht terminiert sind - wäre ziemlich nützlich, diese Hyperlinks von Kundenverzeichnissen im PWM in ein Ticketsystem zu hinterlegen für den spezifischen Kunden.
sind deine Kunden da einverstanden, ich würde sofort bei dir Kündigen!

Habt ihr da Erfahrungen gemacht? Habe soweit das meiste durch...(Passwork, LastPass, 1Password, Roboform etc...)

Frank
Mitglied: Belmont
Belmont 18.09.2020 um 16:55:31 Uhr
Goto Top
Ich verstehe dein Problem nicht. Entweder Du antwortest Fachbezogen oder gar nicht.
Mitglied: BirdyB
BirdyB 18.09.2020 um 16:58:37 Uhr
Goto Top
Moin,
hast du dir mal Bitwarden angesehen?
VG
Mitglied: Belmont
Belmont 18.09.2020 um 17:06:29 Uhr
Goto Top
Hallo,

vielen Dank für deine Antwort. Tatsächlich, ja.
Allerdings war weder in der Featureübersicht noch in der Demo ein Hinweis auf eine LDAP-Anbindung.
Mitglied: Lochkartenstanzer
Lochkartenstanzer 18.09.2020 um 17:16:09 Uhr
Goto Top
Zitat von @Belmont:

Ich verstehe dein Problem nicht. Entweder Du antwortest Fachbezogen oder gar nicht.

Es war fachbezogen. Coudbasierter Paßwortmanager ist auch imho ein Unding. das ist so, als ob man den Alle Haustürschlüssel der Kunden, nach deren Häuser man guckt in eime öffentlich zugänglichen Gebäude depoiert.

Deswegen: Du solltest Deinen Kunde sagen, was Du treibst und vor allem vorher deren Schriftliches Einverständnis einholen. Ansonsten könnten da durchaus rechtliche Konsequenzen drohen, wenn das einer spitzbekommt.

lks
Mitglied: Belmont
Belmont 18.09.2020 um 18:55:56 Uhr
Goto Top
Nach deiner Logik wäre sämtlicher nicht on-premises gehostete Passwortmanager fürn Arsch, da dass ja ein ,,öffentlich zugängliches Gebäude" ist.
Und worauf stützt Du dich da?
Mitglied: Vision2015
Vision2015 18.09.2020 um 18:56:47 Uhr
Goto Top
moin...

Zitat von @Belmont:

Ich verstehe dein Problem nicht.
ich habe kein Problem, meine Kunden auch nicht, weil ich keinen meiner kunden sowas antun würde, und mir selbst erst recht nicht!
Entweder Du antwortest Fachbezogen oder gar nicht.
gut das wir in einer demokratie leben, mit freier meinungsäußerung!

dir sollte doch eigentlich selber klar sein, das dein vorhaben nicht tragbar ist!

Frank
Mitglied: Vision2015
Vision2015 18.09.2020 um 18:58:07 Uhr
Goto Top
Moin...
Zitat von @Belmont:

Nach deiner Logik wäre sämtlicher nicht on-premises gehostete Passwortmanager fürn Arsch, da dass ja ein ,,öffentlich zugängliches Gebäude" ist.
ja... genauso ist es!
Und worauf stützt Du dich da?
Erfahrung....

Frank
Mitglied: Belmont
Belmont 18.09.2020 um 19:06:31 Uhr
Goto Top
"ich habe kein Problem, meine Kunden auch nicht, weil ich keinen meiner kunden sowas antun würde, und mir selbst erst recht nicht!"

"gut das wir in einer demokratie leben, mit freier meinungsäußerung!"

Und worauf stützt Du dich da?
Erfahrung....

Frank



Das Problem ist, dass Du emotional und nicht rational nachvollziehbar argumentierst. Die Passwortmanager sind mindestens via AES, andere mit Curve25519 und Salsa20 verschlüsselt. Wenn Du auch nur etwas begründen könntest, wäre ich der letzte der das nicht aufnimmt. Ich ändere auch gerne meine Meinung. Aber so haben deine Aussagen keinen Wert.
Mitglied: maretz
maretz 18.09.2020 um 20:20:44 Uhr
Goto Top
Ich finde es schon lustig wenn man sich über einen PW-Manager in der Cloud aufregt.. Das zeigt das einige irgendwie ein eher „seltsames“ Verständnis haben. Denn: WO ist da das Problem? Die Daten liegen dort auch (hoffentlich) verschlüsselt - und wenn der PW-Manager da nen Universalkey eingebaut hat dann wäre auch ne standalone version besser weil die natürlich auch einfach beim nächsten Update die Daten eben an den Hersteller schicken kann ohne das es auffällt...

Damit bleibt also entweder auf PW-Manager insgesamt zu verzichten da die lokale Version nicht vertrauenswürdiger als die Cloud-Version ist. ODER man nimmt nur „Open Source“ und prüft wirklich den kompletten Quellcode. Oder man programmiert sich eine komplett eigene Version...

Im übrigen würde dann auch dasselbe für alle möglichen Services gelten - sei es TeamViewer oder selbst das VPN wenns nich über ne open source aufgebaut wird (auch da weiss man nie ob ne Backdoor drin ist). Somit wäre die einzige wirklich seriöse Version das man ganz auf sowas verzichtet und nur beim Kunden vor Ort arbeitet, die Passwörter dabei im Notizbuch (also dem guten alten, mit Papier usw.) mit sich trägt... Dann ist man Datenschutzmässig sicher weit vorne, aber ob der Kunde dann auch die Kosten trägt wenn man für ne einfache Treiber-Installation 2h Anfahrt berechnet is ne andere Frage...
Mitglied: Belmont
Belmont 18.09.2020 um 23:02:28 Uhr
Goto Top
Zitat von @maretz:

Ich finde es schon lustig wenn man sich über einen PW-Manager in der Cloud aufregt.. Das zeigt das einige irgendwie ein eher „seltsames“ Verständnis haben. Denn: WO ist da das Problem? Die Daten liegen dort auch (hoffentlich) verschlüsselt - und wenn der PW-Manager da nen Universalkey eingebaut hat dann wäre auch ne standalone version besser weil die natürlich auch einfach beim nächsten Update die Daten eben an den Hersteller schicken kann ohne das es auffällt...

Damit bleibt also entweder auf PW-Manager insgesamt zu verzichten da die lokale Version nicht vertrauenswürdiger als die Cloud-Version ist. ODER man nimmt nur „Open Source“ und prüft wirklich den kompletten Quellcode. Oder man programmiert sich eine komplett eigene Version...

Im übrigen würde dann auch dasselbe für alle möglichen Services gelten - sei es TeamViewer oder selbst das VPN wenns nich über ne open source aufgebaut wird (auch da weiss man nie ob ne Backdoor drin ist). Somit wäre die einzige wirklich seriöse Version das man ganz auf sowas verzichtet und nur beim Kunden vor Ort arbeitet, die Passwörter dabei im Notizbuch (also dem guten alten, mit Papier usw.) mit sich trägt... Dann ist man Datenschutzmässig sicher weit vorne, aber ob der Kunde dann auch die Kosten trägt wenn man für ne einfache Treiber-Installation 2h Anfahrt berechnet is ne andere Frage...



Du hast es auf den Punkt gebracht, exakt!
Mitglied: Vision2015
Vision2015 19.09.2020 um 06:32:08 Uhr
Goto Top
moin...
Zitat von @maretz:

Ich finde es schon lustig wenn man sich über einen PW-Manager in der Cloud aufregt.. Das zeigt das einige irgendwie ein eher „seltsames“ Verständnis haben. Denn: WO ist da das Problem? Die Daten liegen dort auch (hoffentlich) verschlüsselt - und wenn der PW-Manager da nen Universalkey eingebaut hat dann wäre auch ne standalone version besser weil die natürlich auch einfach beim nächsten Update die Daten eben an den Hersteller schicken kann ohne das es auffällt...
also auf "(hoffentlich) verschlüsselt", werde ich mich sicher nicht verlassen, das ist blauäug!
mit etwas glück bekommt ihr ja bei google oder amazon einen solchen dienst kostenlos face-smile

Damit bleibt also entweder auf PW-Manager insgesamt zu verzichten da die lokale Version nicht vertrauenswürdiger als die Cloud-Version ist. ODER man nimmt nur „Open Source“ und prüft wirklich den kompletten Quellcode. Oder man programmiert sich eine komplett eigene Version...
eben selber machen...

Im übrigen würde dann auch dasselbe für alle möglichen Services gelten - sei es TeamViewer oder selbst das VPN wenns nich über ne open source aufgebaut wird (auch da weiss man nie ob ne Backdoor drin ist). Somit wäre die einzige wirklich seriöse Version das man ganz auf sowas verzichtet und nur beim Kunden vor Ort arbeitet, die Passwörter dabei im Notizbuch (also dem guten alten, mit Papier usw.) mit sich trägt... Dann ist man Datenschutzmässig sicher weit vorne, aber ob der Kunde dann auch die Kosten trägt wenn man für ne einfache Treiber-Installation 2h Anfahrt berechnet is ne andere Frage...

gut, also teamviewer nutzen wir jedenfalls nicht, allerdings ein VPN als genauso unsicher darzustellen, als ein cloud anbieter ist schon putzig....

Frank
Mitglied: maretz
maretz 19.09.2020 um 07:01:28 Uhr
Goto Top
Nun - selber machen erfordert eben auch einiges an Kenntnissen und vor allem Zeit. Denn wenn du den eben nich nur für dich selbst sondern für nen Team oder im zweifelsfall für nen ganzen Konzern bauen willst musst du ja noch einige Dinge beachten UND jemand muss für diese Zeit auch bezahlen (weil du ja Gehalt bekommst). Dazu kommt dann die Pflege,... - also würdest du es in den meisten Betrieben „outsourcen“. Was dann wieder nix anderes ist wie das fertig kaufen - du musst ja schließlich HOFFEN das der es richtig implementiert.

Warum behaupte ich das ein VPN genauso zu sehen ist? Ganz einfach: Weil du weder von TeamViewer (vermutlich) den Sourcecode kennst NOCH von deinem Router. Hier muss man ggf. unterscheiden - das VPN-Protokoll (z.B. Ipsec) ist offen, da kann man annehmen das es sicher ist und wenn der Routerhersteller sich nich dran hält dann würde das VPN nicht funktionieren. ABER: Du weisst eben nich ob dein Router nich doch irgendwie von aussen erreichbar ist da du die Firmware nicht kennst - ggf. Gibts da doch mal wieder ne Lücke drin die dann nen SSH-Login doch erlaubt oder sogar beabsichtigte Backdoors für Geheimdienste oder Wartungszwecke. Wenn aber dein ROUTER (der das VPN aufbaut) nich sicher ist - dann kann das VPN ja nicht mehr sicher sein, oder? Auch da verlässt du dich also darauf das eben keine Lücken da sind bzw. Die gefixt werden -> genauso wie ich es z.B. Bei 1Password tun würde...
Mitglied: BirdyB
BirdyB 19.09.2020 um 07:20:53 Uhr
Goto Top
Zitat von @Belmont:

Hallo,

vielen Dank für deine Antwort. Tatsächlich, ja.
Allerdings war weder in der Featureübersicht noch in der Demo ein Hinweis auf eine LDAP-Anbindung.
Das steht hier beschrieben: https://bitwarden.com/help/article/ldap-directory/
Mitglied: Vision2015
Vision2015 19.09.2020 um 08:51:33 Uhr
Goto Top
moin...
(weil du ja Gehalt bekommst)
werde ich bei der nächsten gesellschafterversammlung dringend ansprechen müssen... face-smile

zum „outsourcen"
der erste mitarbeiter, der mit dem wort "arbeit outsourcen" kommt, wird auf der stelle gefeuert!
natürlich kostet die erstellung und pflege von Tools geld, aber wir brauchen das nun einmal so... und wir Bezahlen ja auch für die Arbeit, genau wie die Kunden uns Bezahlen... also was soll´s....

jo, vom TeamViewer kenne ich den Sourcecode nicht. aber von meinem Router!
es ist eher warscheinlich, das ein Cloud Dienst Leak wird, als unser VPN, bzw, das unserer Kunden!

Frank
Mitglied: maretz
maretz 19.09.2020 um 09:29:39 Uhr
Goto Top
Von deinem Router kennst du die komplette Firmware? Dann wirst du zugeben müssen - DAS ist eher die Ausnahme das sich jemand das wirklich angesehen hat... Denn ich meine hier ja nicht die Einstellungen auf dem (Web-)Frontend sondern wirklich den Sourcecode...

Dann kommt dazu das du natürlich dann auch deinen Mitarbeitern vertrauen musst das DIE das hinbekommen. Auch deine Mitarbeiter werden aber nicht fehlerfrei programmieren (-> es gibt kein fehlerfreies nicht-triviales Programm). Der einzige Vorteil den du dir damit erkaufst ist das „standard-leaks“ nicht funktionieren. Was passiert aber wenn einer deiner Mitarbeiter nen Leak kennt, im Streit geht? Dann hast du auch dieselben Probleme. Und selbst wenn nicht - dann ist auch das eine Ausnahme - die realität sieht da ja eher so aus das die Firmen irgendwelche „Doku-Wikis“ haben und da die Passwörter reinsemmeln -> nicht unbedingt besser...

Und am Ende: DU vertraust deinen Mitarbeitern das die eben keinen Müll programmieren - also hast du deine Arbeit auch „ausgelagert“ (nur eben firmen-intern von dir auf die Mitarbeiter). Damit habt ihr also ein Tool welches NUR ihr Pflegt, bei dem nur wenige Leute von euch das testen können (die Entwickler können per definition nicht ihre eigene Software testen - grundlagen des Software-Testens). Nimmst du jetzt also ein Standard-Tool dann ist die Anzahl der „Tester“ umso höher (natürlich auch die Anzahl der Personen die es knacken wollen...).

Am Ende bleibt also: Beides hat durchaus seine Berechtigungen... Ich programmiere mir auch meine Tools teils selbst weil es für meine Umgebung eben nicht immer passt - gleichzeitig nutze ich aber eben auch fertige Tools wenns Sinn macht. Ich würde ja auch nicht auf die Idee kommen mir nen „Office“-Programm nachzubauen - auch da vertraue ich auf MS & Co das die eben nich beim nächsten Update sämtliche Files zu deren Servern hochladen.. Und das auch diese Programme schon mehrfach „Fehler“ hatten hat MS selbst ja bewiesen... Und das ganz ohne Cloud... (—> siehe z.B. den Fehler bei denen beim Quicksave gelöschte Passagen wiederhergestellt werden konnten, siehe Fehler bei denen „versehentlich“ IDs bei MS gespeichert wurden,...). Wenn man das umgehen will muss man eben entweder nur noch Rechner „offline“ nutzen wenn man damit arbeitet (z.B. in der Firma 2 Rechner: Einen Online für alles was Web-Basiert ist, einen für die Firmen-Daten mit nem Netz was kein Internet hat) ODER wirklich alles selbst programmieren, beim OS angefangen...
Mitglied: Vision2015
Vision2015 19.09.2020 um 10:21:41 Uhr
Goto Top
moin...
Zitat von @maretz:

Von deinem Router kennst du die komplette Firmware? Dann wirst du zugeben müssen - DAS ist eher die Ausnahme das sich jemand das wirklich angesehen hat... Denn ich meine hier ja nicht die Einstellungen auf dem (Web-)Frontend sondern wirklich den Sourcecode...
natürlich ist das die Ausnahme... leider... und ja, ich rede von dem Sourcecode!
vor meinem rupturierten Aneurysma, (in jungen Jahren face-smile) habe ich selber ein Linux BS geschrieben, mit medizinischer fachanbindung....
war echt der hit, und ging wech wie geschnitten brot, und ich war lange in der linux kernel community aktiv... also sourcecode lesen, und auch auswerten kann ich schon.... aber sicher nicht mehr so flott wie früher face-smile

Dann kommt dazu das du natürlich dann auch deinen Mitarbeitern vertrauen musst das DIE das hinbekommen. Auch deine Mitarbeiter werden aber nicht fehlerfrei programmieren (-> es gibt kein fehlerfreies nicht-triviales Programm). Der einzige Vorteil den du dir damit erkaufst ist das „standard-leaks“ nicht funktionieren. Was passiert aber wenn einer deiner Mitarbeiter nen Leak kennt, im Streit geht? Dann hast du auch dieselben Probleme. Und selbst wenn nicht - dann ist auch das eine Ausnahme - die realität sieht da ja eher so aus das die Firmen irgendwelche „Doku-Wikis“ haben und da die Passwörter reinsemmeln -> nicht unbedingt besser...
na von Firmen "Doku-Wikis“ halte ich auch nix, dann besser in einen Ordner, und in den Tresor- so wie in der guten alten zeit face-smile
Natürlich hast du recht, das ich den Mitarbeiter vertrauen muss, aber da ist das vertrauen großer als in cloud anbieter...
und software Fehler sind nix neues für mich, auch nicht die, die wir selber gebaut haben face-smile


Und am Ende: DU vertraust deinen Mitarbeitern das die eben keinen Müll programmieren - also hast du deine Arbeit auch „ausgelagert“ (nur eben firmen-intern von dir auf die Mitarbeiter). Damit habt ihr also ein Tool welches NUR ihr Pflegt, bei dem nur wenige Leute von euch das testen können (die Entwickler können per definition nicht ihre eigene Software testen - grundlagen des Software-Testens). Nimmst du jetzt also ein Standard-Tool dann ist die Anzahl der „Tester“ umso höher (natürlich auch die Anzahl der Personen die es knacken wollen...).
tja... ohne Mitarbeiter geht heute eben nix mehr, ich würde am liebsten alles selber machen, was aber heutezutage nicht mehr möglich ist...

Am Ende bleibt also: Beides hat durchaus seine Berechtigungen... Ich programmiere mir auch meine Tools teils selbst weil es für meine Umgebung eben nicht immer passt - gleichzeitig nutze ich aber eben auch fertige Tools wenns Sinn macht. Ich würde ja auch nicht auf die Idee kommen mir nen „Office“-Programm nachzubauen - auch da vertraue ich auf MS & Co das die eben nich beim nächsten Update sämtliche Files zu deren Servern hochladen.. Und das auch diese Programme schon mehrfach „Fehler“ hatten hat MS selbst ja bewiesen... Und das ganz ohne Cloud... (—> siehe z.B. den Fehler bei denen beim Quicksave gelöschte Passagen wiederhergestellt werden konnten, siehe Fehler bei denen „versehentlich“ IDs bei MS gespeichert wurden,...). Wenn man das umgehen will muss man eben entweder nur noch Rechner „offline“ nutzen wenn man damit arbeitet (z.B. in der Firma 2 Rechner: Einen Online für alles was Web-Basiert ist, einen für die Firmen-Daten mit nem Netz was kein Internet hat) ODER wirklich alles selbst programmieren, beim OS angefangen...
na ja, ein Office würde ich auch nicht nachbauen- aber wir vermeiden es Cloud Dienste zu nutzen... ich persönlich habe auf meinem eierphone 11 pro nicht mal whatsapp, nutze nur die telefonie und ab und an mal nen photo... was soll ich sagen, ich kenne keinen in meinem bekanntenkreis, der auch mal 2 tage kein ladegerät braucht face-smile
wie auch immer... du magst mit deiner ansicht recht haben, für uns ist das nix, wie gehen konservative wege....

Frank
Mitglied: BirdyB
BirdyB 19.09.2020 um 17:53:11 Uhr
Goto Top
Zitat von @Vision2015:
tja... ohne Mitarbeiter geht heute eben nix mehr, ich würde am liebsten alles selber machen, was aber heutezutage nicht mehr möglich ist...
Klingt jetzt ehrlichgesagt nicht nach einer offenen, teamorientierten Firmenkultur... Aber vielleicht interpretiere ich da jetzt auch zu viel hinein.
Mitglied: Vision2015
Vision2015 19.09.2020 um 17:54:44 Uhr
Goto Top
moin..
Zitat von @BirdyB:

Zitat von @Vision2015:
tja... ohne Mitarbeiter geht heute eben nix mehr, ich würde am liebsten alles selber machen, was aber heutezutage nicht mehr möglich ist...
Klingt jetzt ehrlichgesagt nicht nach einer offenen, teamorientierten Firmenkultur... Aber vielleicht interpretiere ich da jetzt auch zu viel hinein.
ja, tust du...

Frank
Mitglied: BirdyB
BirdyB 19.09.2020 um 17:58:07 Uhr
Goto Top
Moin,
Zitat von @Vision2015:

moin..
Zitat von @BirdyB:

Zitat von @Vision2015:
tja... ohne Mitarbeiter geht heute eben nix mehr, ich würde am liebsten alles selber machen, was aber heutezutage nicht mehr möglich ist...
Klingt jetzt ehrlichgesagt nicht nach einer offenen, teamorientierten Firmenkultur... Aber vielleicht interpretiere ich da jetzt auch zu viel hinein.
ja, tust du...

Frank
Dann will ich nix gesagt haben... Ich hab da nur schon ein paar schlechte Erfahrungen mit Chefs machen dürfen, die am liebsten alles selber machen wollten, etc. Aber das habe ich zum Glück hinter mir gelassen face-smile
Nix für ungut und sorry, da waren ein paar Triggerpunkte für mich dabei...

VG