sicherer Passwortmanager?

[Networckz]

Hallo Gemeinde!

Bin auf der Suche nach einem sicheren Passwortmanager für ein klein Unternehmen. Zurzeit arbeiten wir mit ner Infobase, wo die Passwörter nur in einem Textfeld aufm Server hinterlegt sind.

Es sollte leicht verständlich sein und auf Windows und Mac funktionieren. Das war das Problem bei KeePass.

Wir haben noch ein paar weitere Anforderungen, allerdings möchte ich offen für alle Antworten bleiben.

Vielleicht habt ihr ja Erfahrung mit solchen Tools

 

[FLiNTx]

Es gibt doch einen KeePass port für MacOS...!?!

KeePass 2.18 for OS X

 

[Networckz]

Gibts auch andere alternativen?

 

[DelSol]

klar. 1password. find ich persönlich am besten.

 

[Networckz]

Ob das für Unternehmen mit XXXX-Login Daten das wahre ist, wag ich zu bezweifeln.

 

[passat3233]

Naja, meine Meinung zum Thema Passwortmanager:
Die machen das nicht sicherer, sondern unsicherer, da man nun nicht mehr verschiedene Passwörter braucht, sondern nur noch genau eines und dann hat man alle anderen Passwörter frei Haus.

 

[teqqy]

Mit einem Passwortmanager werden aber wenigstens verschiedene Passwörter für verschiedene Dienste benutzt. Anderweitig werden einfache PW wie "1234578" oder so verwendet.

Hätte auch KeePass empfohlen. Nutze zwar 1password auf dem Mac, kenne aber die Windows Portierung nicht.

 

[FLiNTx]

Die machen das nicht sicherer, sondern unsicherer, da man nun nicht mehr verschiedene Passwörter braucht, sondern nur noch genau eines und dann hat man alle anderen Passwörter frei Haus.

Mit einem Passwortmanager werden aber wenigstens verschiedene Passwörter für verschiedene Dienste benutzt. Anderweitig werden einfache PW wie "1234578" oder so verwendet.

Ich denke, darüber kann man prima streiten ;-) Aber ich denke mal, dass das Risiko vernachlässigbar ist, wenn man auf seinen KeePass (o.ä.) Container gut aufpasst... Der Sicherheitsgewinn durch die besseren Passwörter bei allem anderen sollte das aufwiegen.
Ausserdem würde ich halt auch einfach nicht bedingungslos alles darin speichern... EC PIN-Nummern, Onlinebanking-Zugangsdaten, root/admin-Passwörter und sowas kennt weiterhin nur mein Kopf...

 

[Networckz]

Wir haben zich verschiedene FTP Daten - Und die müssen gespeichert werden. Also die Frage ob es sicher ist, ein Passwortmanager zu nutzen, steht außer Frage. Es ist zwar unsicher, aber nötig.

Gibt es auch was Webbasierendes? Damit mehreren Leute gleichzeitig drauf zugreifen können?!

 

[FLiNTx]

Sind das eure FTP Server oder was von ausserhalb?
Wenns eigene sind, könnte man das vll. vereinfachen, indem man die FTP-Accounts an einen Directory-Dienst koppelt...?

Ansonsten gibts auch online-Dienste die sowas anbieten...
passwordpal.net oder mypasswordsafe.net hab ich auf die schnelle gefunden - ob ich denen allerdings meine sensiblen Daten anvertrauen würde, steht auf einem ganz andren Blatt...

Alternativ würde mir noch einfallen, einfach eine AES Verschlüsselte Liste (Truecrypt/zip/rar/...) auf einem lokalen Fileserver abzulegen. Ist zwar auch nicht der Weisheit letzter Schluss, aber dafür einfach umzusetzen...

 

[Networckz]

Entschuldige wenn ich mich nicht deutlich ausgedrückt habe:

Wir sind eine kleine Werbeagentur. Dementsprechend hat sich in letzter Zeit ein Haufen von Logindaten für die Server unserer Kunden angesammelt.

Bislang haben wir eine Infobase, in der die Daten unverschlüsselt in einem Textfeld stehen.

Da uns das nun zu unsicher geworden ist, suchen wir eine alternative. Es soll sicher sein, aber auch von jedem Mitarbeiter erreichbar und edditierbar.

 

[DelSol]

Ob das für Unternehmen mit XXXX-Login Daten das wahre ist, wag ich zu bezweifeln.

weil?

 

[teqqy]

Bei 1passwort und Passwordsafe kann man die Datenbank mit mehreren Leuten benutzen. Müsste mit KeePass aber auch gehen. Die Datenbank auf den eignen Server speichern auf den die Mitarbeiter zugriff haben und dann an den einzelnen Klienten einrichten.

 

[fdsonne]

Da uns das nun zu unsicher geworden ist, suchen wir eine alternative. Es soll sicher sein, aber auch von jedem Mitarbeiter erreichbar und edditierbar.

Die Frage ist eher, was versprichst du/ihr euch aus dem Nutzen eines derartigen Tools?
Vor allem, wenn so oder so quasi alle Leute des Unternehmens Zugriff haben, ist es in meinen Augen etwas kontraproduktiv. Einfach weil das Problem idR nicht von außen kommt, sondern viel eher im Unternehmen selbst sitzt. Dir nutzt das beste Passworttool nix, wenn die MA ihr Wissen ausplaudern, oder ausnutzen. Denn von extern selbst wird idR niemand in das interne Serversystem kommen. Und wenn doch, wäre es für den Jemanden wohl sogar eine recht leichte Aufgabe, ebenso auf die Systeme einzudringen, welche du mit den Kennwörtern gesichert hast, welche sich in der Passworttool DB befinden

In meinen Augen ist das eine sehr komplexe Materie. Es zählt unterm Strich das schwächste Bindeglied, wo dran angesetzt wird. Auch wenn das PW Tool selbst sicher sein sollte, bleibt der Faktor Mensch sowie der Faktor Sicherheitslücke im System/Programm nach wie vor als größte Schwachstelle. Und diese ist mit ner schnöden Textdatei genau so groß wie mit nem super sicheren PW Tool.


PS: nicht falsch verstehen, ich will so ein Tool keinesfalls ausreden... Mir gehts eher darum, das es allein mit so nem Tool nicht getan ist.
Wenn es etwas mehr sein darf. Wir nutzen zum Beispiel Passwordstate...
Enterprise Password Management with Passwordstate | FREE FOR 5 USERS

Vorteil: es geht neben dem simplen Speichern von Kennwörtern auch eine Rechtevergabe intern. Sprich man restriktiert die Zugriffe auf bestimmte Bereiche im Tool nach Usern/Gruppen usw. und das ganze ist Websitebasiert, läuft unter Windows, und ich meine Wahlweise auch unter Linux (bin ich mir aber nicht 100% sicher)

 

[DelSol]

Er möchte aber ein Tool was unter Windows und Mac läuft. Das schränkt die Auswahl ziemlich ein.

 

[fdsonne]

Mein Vorschlag war Websitebasiert Das dürfte so ziemlich unter jedem OS benutzbar sein, einzig das Serversystem selbst, wo der Dienst läuft, ist halt vorgegeben...

 

[DelSol]

ah sorry. hab ich glatt übersehen

 

[Networckz]

Vielen Dank DelSol für den Tipp und auch für die Niederschreibung deiner Sorgen.

Ich werde alle Aspekte mit der Leitung absprechen, und dann entscheiden ob wir so ein Tool nutzen oder nicht.

Gibt es auch ein deutsches Sprachpaket für Passwordstate?

 

[fdsonne]

Keine Ahnung ob es das gibt. Englisch sollte doch zumindest im Ansatz jeder können... Und das Tool ist eigentlich nahezu selbsterklärend

 

[Networckz]

Das Tool an sich sollte helfen, doch es hat zuviele unnötige Funktionen. So ein Schnick Schnack braucht kein Mensch.

 

[Hamburger Jung]

Teampass!

 

[bluesunset]

Wenn Ihr eine Agentur seit, lässt es sich dann nicht einrichten, dass euch die Kunden die benötigten Daten auf euren FTP-Server legen und Ihr ihnen Zugangsdaten dafür gebt?
Somit könnte jeder Kunde in seinem Verzeichnis seine Daten hoch und wieder herunter laden und eure Mitarbeiter müssten dann nicht auf längere Up/Downloads warten wenn der Server in der Firma steht. Geschweige denn mit einem FTP-Programm und Zugangsdaten umgehen müssen.
Ein Sicherheitsaspekt bei dieser Einrichtung wäre ggf. noch, dass im Upload Verzeichnis eurer Kunden ihr die Daten nicht überschreiben könnt, um einem Virus oder ähnlichem vorzubeugen der die Kundendaten manipuliert. Es ist ungünstig wenn man dem Kunden einmal mitteilen muss, dass er alle Daten wieder hochladen muss.

 

[Networckz]

Wenn Ihr eine Agentur seit, lässt es sich dann nicht einrichten, dass euch die Kunden die benötigten Daten auf euren FTP-Server legen und Ihr ihnen Zugangsdaten dafür gebt?
Somit könnte jeder Kunde in seinem Verzeichnis seine Daten hoch und wieder herunter laden und eure Mitarbeiter müssten dann nicht auf längere Up/Downloads warten wenn der Server in der Firma steht. Geschweige denn mit einem FTP-Programm und Zugangsdaten umgehen müssen.
Ein Sicherheitsaspekt bei dieser Einrichtung wäre ggf. noch, dass im Upload Verzeichnis eurer Kunden ihr die Daten nicht überschreiben könnt, um einem Virus oder ähnlichem vorzubeugen der die Kundendaten manipuliert. Es ist ungünstig wenn man dem Kunden einmal mitteilen muss, dass er alle Daten wieder hochladen muss.

Entschuldige, ich war eine Zeitlang nicht online. Diese Möglichkeit ist ausgeschlossen, da wir den Kunden keine Zugangsdaten für den FTP geben.

Ich habe nun KeePass und Teampass aufgesetzt und getestet. Teampass gefällt mir einen Tick besser.

Gibt es Sicherheitsrelevante Einsprüche die gegen Teampass sprechen?

 

[Networckz]

Wir sind weiterhin auf der Suche nach einem zentralen Passwortmanager, der webbasierend bei uns gehostet wird. Fällt da jemand ein Tool ein?

 

[bluesunset]

LDAP