{"id":4521,"date":"2023-07-17T08:00:00","date_gmt":"2023-07-17T08:00:00","guid":{"rendered":"https:\/\/cybercompare.com\/?p=4521"},"modified":"2023-09-13T08:48:21","modified_gmt":"2023-09-13T08:48:21","slug":"password-manager-haben-doch-eh-alle-massive-schwachstellen-kann-man-die-ueberhaupt-im-unternehmenskontext-nutzen-worauf-sollte-der-cio-achten","status":"publish","type":"post","link":"https:\/\/cybercompare.com\/de\/password-manager-haben-doch-eh-alle-massive-schwachstellen-kann-man-die-ueberhaupt-im-unternehmenskontext-nutzen-worauf-sollte-der-cio-achten\/","title":{"rendered":"Password Manager? Haben doch eh alle massive Schwachstellen. Kann man die \u00fcberhaupt im Unternehmenskontext nutzen? Worauf sollte der CIO achten?"},"content":{"rendered":"\n

Vorweg: wir halten Password Manager f\u00fcr ein unverzichtbares Instrument f\u00fcr Unternehmen, um die Sicherheit und Verwaltung von Passw\u00f6rtern effektiv zu gew\u00e4hrleisten. Das sieht \u00fcbrigens auch das BSI <\/a> so und hat wie so oft hervorragende Informationen zum Thema zusammengestellt. Als CIO stehen Sie also vor der Herausforderung, den richtigen Password Manager f\u00fcr Ihr Unternehmen auszuw\u00e4hlen, denn die Herstellenden-Vielfalt ist enorm: von Open Source L\u00f6sungen, bis zu hochintegrierten Systemen, die auch erweiterte Funktionen wie z.B. Privileged Access bieten. In diesem Artikel werden wir auf die inhaltlichen Punkte eingehen, auf die Sie bei der Auswahl eines Password Managers achten sollten, sowie wichtige Anforderungen und technische Differenzierungsmerkmale. Zudem schauen wir auf die Seite der Herstellenden.<\/p>\n\n\n\n

Sicherheit<\/h2>\n\n\n\n

Die Sicherheit steht wenig \u00fcberraschend an erster Stelle bei der Auswahl eines Password Managers. Beachten Sie folgende Punkte:<\/p>\n\n\n\n

a) Verschl\u00fcsselung: Der Password Manager sollte eine starke Verschl\u00fcsselung verwenden, um die Passw\u00f6rter sicher zu speichern und zu \u00fcbertragen. Eine bew\u00e4hrte Methode ist die End-to-End-Verschl\u00fcsselung, bei der die Daten bereits auf dem Ger\u00e4t des Benutzenden verschl\u00fcsselt werden und nur von diesem entschl\u00fcsselt werden k\u00f6nnen. Relevante Verschl\u00fcsselungsalgorithmen sind z.B. Advanced Encryption Standard (AES) mit unterschiedlichen Schl\u00fcssell\u00e4ngen (AES-128, AES-192 und AES-256), Blowfish (symmetrischer Blockverschl\u00fcsselungsalgorithmus), TwoFish als Nachfolgel\u00f6sung von Blowfish und RSA (asymmetrischer Verschl\u00fcsselungsalgorithmus). Dar\u00fcber hinaus geht es aber nicht nur um die technische Verschl\u00fcsselung:  sicherheitsrelevante Praktiken wie Salting, Hashing und Key-Derivation-Funktionen sollten ebenfalls im Produktkatalog des Herstellers erscheinen.<\/p>\n\n\n\n

b) Mehrfaktor-Authentifizierung: Ein guter Password Manager sollte die M\u00f6glichkeit bieten, die Konten zus\u00e4tzlich durch die Verwendung von Mehrfaktor-Authentifizierung zu sch\u00fctzen. Dadurch wird ein zus\u00e4tzliches Sicherheitsniveau erreicht.<\/p>\n\n\n\n

c) Umgang mit einem Masterpasswort: Es gibt L\u00f6sungen, die kommen komplett ohne Masterpasswort aus, in dem Sie z.B. auf die Built-in Security eines Smartphones setzen (inkl. Face-ID) oder alternativ YubiKey<\/p>\n\n\n\n

d) Audit- und \u00dcberwachungsfunktionen: Um die Sicherheit zu gew\u00e4hrleisten, sollte der Password Manager Audit- und \u00dcberwachungsfunktionen bereitstellen. Dadurch k\u00f6nnen verd\u00e4chtige Aktivit\u00e4ten erkannt und m\u00f6gliche Sicherheitsl\u00fccken identifiziert werden. Eine typische Funktion f\u00fcr die Enterprise-Anwendung, da im Regelfall im Privatbereich kein SOC den sicheren Betrieb \u00fcberwacht.<\/p>\n\n\n\n

Benutzerfreundlichkeit<\/h2>\n\n\n\n

Die Benutzerfreundlichkeit spielt eine entscheidende Rolle, da sie die Akzeptanz und den effizienten Einsatz des Password Managers beeinflusst. Achten Sie auf folgende Aspekte und nutzen Sie Demos oder PoC\u2019s, um sich nicht nur auf Folien zu verlassen:<\/p>\n\n\n\n

a) Einfache Integration: Der Password Manager sollte nahtlos in die bestehende IT-Infrastruktur integrierbar sein. Er sollte mit den g\u00e4ngigen Betriebssystemen, Browsern und Anwendungen kompatibel sein.<\/p>\n\n\n\n

b) Intuitive Benutzeroberfl\u00e4che: Eine benutzerfreundliche Oberfl\u00e4che erm\u00f6glicht den einfachen Zugriff auf gespeicherte Passw\u00f6rter, das Hinzuf\u00fcgen neuer Konten und das Teilen von Passw\u00f6rtern mit anderen autorisierten Benutzern. Auch eine umfangreiche Such-Funktion erleichtert die Bedienung.<\/p>\n\n\n\n

c) Automatisches Ausf\u00fcllen von Anmeldeinformationen: Der Password Manager sollte die Funktion bieten, Anmeldeinformationen automatisch in Webformulare einzuf\u00fcgen, um den Benutzenden Zeit und Aufwand zu sparen. Am besten per Drag&Drop, Copy2Clipboard und Auto-Type.<\/p>\n\n\n\n

Skalierbarkeit<\/h2>\n\n\n\n

Bei der Auswahl eines Password Managers ist die Skalierbarkeit von entscheidender Bedeutung. Stellen Sie sicher, dass der Password Manager in der Lage ist, mit dem Wachstum des Unternehmens und der steigenden Anzahl von Benutzenden und Konten umzugehen. Er sollte flexibel sein und eine einfache Verwaltung von Benutzerkonten erm\u00f6glichen. Skalierbarkeit ist selbstverst\u00e4ndlich dann auch beim Preis ein relevantes Thema\u2026<\/p>\n\n\n\n

Support und Wartung<\/h2>\n\n\n\n

Ein zuverl\u00e4ssiger Support und regelm\u00e4\u00dfige Wartungsma\u00dfnahmen sind wichtig, um eventuelle Probleme schnell zu beheben und die Software auf dem neuesten Stand zu halten. Achten Sie darauf, dass der Password Manager regelm\u00e4\u00dfige Updates und Patches erh\u00e4lt und dass ein guter Support zur Verf\u00fcgung steht.<\/p>\n\n\n\n

Umgang mit Schwachstellen (CVE)<\/h2>\n\n\n\n

Sie kennen den Satz, dass es keine fehlerfreie Software gibt und sehen am Update-Zyklus Ihres Smartphones den Beweis. Das gilt nun leider auch f\u00fcr die sicherheitskritischen Password Manager. Hier hat es in den letzten Jahren \u201eber\u00fchmte\u201c Vorf\u00e4lle gegeben. Aktuell (im Sommer 2023) warnt das BSI vor Schwachstellen im Produkt KeePassXC. Ende 2022 kam es zu einem vielbeachteten Vorfall beim beliebten Produkt LastPass.<\/p>\n\n\n\n

Sie k\u00f6nnen viel Zeit in die Auswahl investieren \u2013 es wird Sie nicht absolut davor sch\u00fctzen, dass auch Ihr Produkt demn\u00e4chst eine relevante L\u00fccke aufweist. Wir halten aber f\u00fcr wichtig, wie die Herstellenden mit den Schwachstellen umgehen und nat\u00fcrlich auch, wie viele Schwachstellen es in Summe gibt. Auf Webseiten wie der National Vulnerability Datebase (von NIST) https:\/\/nvd.nist.gov\/ <\/a> oder https:\/\/www.cvedetails.com\/ <\/a> k\u00f6nnen Sie sich aktuelle und vergangene Sicherheitsl\u00fccken zu den Produkten auflisten lassen.<\/p>\n\n\n\n

Weitere technische Differenzierungsmerkmale<\/h2>\n\n\n\n

a) Cloud-basierte L\u00f6sungen: Einige Password Manager bieten cloudbasierte L\u00f6sungen an, bei denen die Passw\u00f6rter sicher in der Cloud gespeichert werden. Dies erm\u00f6glicht den einfachen Zugriff von verschiedenen Ger\u00e4ten aus und bietet eine zus\u00e4tzliche Sicherungsfunktion.<\/p>\n\n\n\n

b) Integration mit Single Sign-On (SSO): Password Manager, die eine nahtlose Integration mit Single Sign-On (SSO) erm\u00f6glichen, bieten den Benutzenden ein einfacheres und sichereres Anmeldeverfahren f\u00fcr verschiedene Anwendungen und Dienste.<\/p>\n\n\n\n

c) Passwortst\u00e4rkeanalyse: Einige Password Manager bieten die Funktion der Passwortst\u00e4rkeanalyse. Dadurch erhalten die Benutzende eine Einsch\u00e4tzung dar\u00fcber, wie sicher ihre Passw\u00f6rter sind, und k\u00f6nnen entsprechende Ma\u00dfnahmen ergreifen.<\/p>\n\n\n\n

d) Unterst\u00fctzte Betriebssysteme: Windows ist meist der Standard, aber wie sieht es bei \u201eNischen\u201c-OS aus, die f\u00fcr Sie relevant sind?<\/p>\n\n\n\n

Herstellende und Preise<\/h2>\n\n\n\n

Wie so oft und gerade im Kontext mit CyberCompare die Frage nach dem besten Hersteller. Pauschal sehen wir keine klare Nr. 1. Es gibt besonders gro\u00dfe und bekannte Anbietende wie 1Passwort, KeePass, LastPass oder Bitwarden, welche dementsprechend immer umfangreiche Features anbieten und \u00fcber eine hohe Integrationsf\u00e4higkeit verf\u00fcgen.<\/p>\n\n\n\n

Allerdings tut sich viel auf dem Anbietendenmarkt, junge \u00fcberzeugende Startups kommen hinzu und schneiden im 1:1 Direktvergleich wichtiger Kriterien nicht schlechter ab.<\/p>\n\n\n\n

Im Folgenden eine \u00dcbersicht wichtiger Herstellender mit ebenfalls relevanten Bewertungen auf den einschl\u00e4gigen und gesch\u00e4tzten Portalen der Kollegschaft von Gartner, G2 und Capterra. Teilweise gibt es hier \u00dcberschneidungen mit sogenannten PAM Tools (Privileged Access Management):<\/p>\n\n\n\n

\"\"<\/figure>\n\n\n\n

Bevor wir zum Fazit kommen, noch 2 S\u00e4tze zum kommerziellen Rahmen: wenn Sie den Einsatz zun\u00e4chst nur f\u00fcr wenige User, z.B. Admins planen, k\u00f6nnen Sie in der Regel unkompliziert die Listenpreise auf den Webseiten des Herstellernden ablesen. Und ob Sie dann f\u00fcr 30 Admins 1.000, 2.500 oder 3.000 EUR p.a. zahlen ist sicherlich nicht umfangreiche Verhandlungen wert \u2013 da sollten Sie alleine auf Security, Usability und 2-3 Differenzierungsmerkmale schauen.<\/p>\n\n\n\n

Ab 100 potenziellen Usern lohnen sich dann aber individuelle Anfragen bei Herstellenden oder Mitwirkenden und Sie erhalten Projektpreise, die sie dann (je h\u00f6her der Preis) auch mit Marktbegleitenden vergleichen sollten.<\/p>\n\n\n\n

Fazit<\/h2>\n\n\n\n

Zusammenfassend l\u00e4sst sich sagen, dass die Auswahl eines Password Managers eine sorgf\u00e4ltige Pr\u00fcfung verschiedener inhaltlicher Punkte erfordert. Die Sicherheit, Benutzerfreundlichkeit, Skalierbarkeit sowie technische Differenzierungsmerkmale sind entscheidende Kriterien bei der Auswahl. Ein gr\u00fcndlicher Vergleich verschiedener Anbietenden und die Ber\u00fccksichtigung der individuellen Anforderungen Ihres Unternehmens helfen Ihnen dabei, den richtigen Password Manager zu finden, der Ihren Bed\u00fcrfnissen gerecht wird und gleichzeitig die Sicherheit Ihrer Passw\u00f6rter gew\u00e4hrleistet.<\/p>\n\n\n\n

Da kommt CyberCompare ins Spiel, denn genau das ist unser Tagesgesch\u00e4ft. Wir machen das nicht zum ersten Mal und k\u00f6nnen Sie individuell beraten und sicherstellen, dass Sie eine gute L\u00f6sung zu einem guten Preis einkaufen. Kontaktieren Sie uns einfach unter cybercompare@de.bosch.com<\/a><\/p>\n\n\n\n

\u00dcbrigens: Der Artikel spiegelt unseren aktuellen Wissensstand wider \u2013 aber auch wir lernen jeden Tag dazu. Fehlen aus Ihrer Sicht wesentliche Aspekte, oder haben Sie eine andere Perspektive auf das Thema? Gerne diskutieren wir mit Ihnen und weiteren Experten in Ihrem Hause die gegenw\u00e4rtigen Entwicklungen vertiefend und freuen uns \u00fcber Ihr Feedback sowie Anfragen zu einem Austausch.

Und zuletzt noch: Nennungen (oder die fehlende Nennung) von Anbietern stellt keine Empfehlung seitens CyberCompare dar. Empfehlungen sind immer abh\u00e4ngig von der kundenindividuellen Situation.<\/p>\n","protected":false},"excerpt":{"rendered":"

Vorweg: wir halten Password Manager f\u00fcr ein unverzichtbares Instrument f\u00fcr Unternehmen, um die Sicherheit und […]<\/p>\n","protected":false},"author":24,"featured_media":4522,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[18],"tags":[],"class_list":["post-4521","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-article-de"],"_links":{"self":[{"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/posts\/4521","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/users\/24"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/comments?post=4521"}],"version-history":[{"count":1,"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/posts\/4521\/revisions"}],"predecessor-version":[{"id":4524,"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/posts\/4521\/revisions\/4524"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/media\/4522"}],"wp:attachment":[{"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/media?parent=4521"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/categories?post=4521"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercompare.com\/de\/wp-json\/wp\/v2\/tags?post=4521"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}