Passwort-Manager

Ohne technische Hilfe ist es kaum möglich, für jeden Dienst ein eigenes, langes und zufälliges Passwort zu verwenden. In der Praxis führt das zu wiederverwendeten Passwörtern, Notizzetteln oder Tabellen mit Zugangsdaten. Ein Passwort-Manager löst dieses Problem: Mitarbeitende müssen sich nur noch ein starkes Hauptpasswort merken oder melden sich per Passkey beziehungsweise Biometrie an.

Wie funktioniert ein Passwort-Manager?

Der Passwort-Manager legt Zugangsdaten in einem verschlüsselten Tresor ab. Bei vielen Lösungen erfolgt die Verschlüsselung bereits auf dem Endgerät, sodass der Anbieter die Inhalte nicht lesen kann. Dieses Prinzip wird oft als Zero-Knowledge-Architektur bezeichnet. Browser-Erweiterungen und Apps erkennen Anmeldeseiten und füllen die passenden Daten aus. Weil der Abgleich über die Adresse der Website erfolgt, schützt das automatische Ausfüllen nebenbei vor manchen Phishing-Seiten: Auf einer gefälschten Domain bietet der Manager keine Zugangsdaten an.

Unternehmenslösungen ergänzen das um zentrale Funktionen:

• gemeinsame Tresore für Teams, etwa für Zugänge zu Lieferantenportalen,
• Rollen und Berechtigungen, wer welche Einträge sehen oder ändern darf,
• Protokollierung von Zugriffen und Änderungen,
• Anbindung an das zentrale Identitätsmanagement und Entzug von Zugriffen beim Austritt.

Typische Beispiele

• Das Marketing-Team teilt die Zugänge zu Social-Media-Konten, ohne Passwörter per E-Mail zu verschicken.
• Die IT-Abteilung verwaltet Zugangsdaten zu Netzwerkgeräten und Verwaltungsoberflächen in einem eigenen, eingeschränkten Tresor.
• Beim Austritt einer Person werden ihre Freigaben zentral entzogen und die betroffenen gemeinsamen Passwörter geändert.

Worauf Unternehmen achten sollten

• Eine Unternehmenslösung mit zentraler Verwaltung wählen statt privater Einzellösungen.
• Den Zugang zum Passwort-Manager selbst mit Multi-Faktor-Authentifizierung schützen.
• Notfallzugang und Wiederherstellung regeln, damit kritische Zugänge nicht an einer einzelnen Person hängen.
• Speicherort, Verschlüsselungsverfahren und Datenschutz des Anbieters prüfen.
• Für hochprivilegierte Zugänge zusätzlich Privileged Access Management in Betracht ziehen.

Abgrenzung

Im Browser integrierte Passwortspeicher bieten ähnliche Grundfunktionen für Einzelpersonen. Für den Unternehmenseinsatz fehlen dort aber häufig wichtige Funktionen, etwa gemeinsame Tresore mit Rollen, zentrale Verwaltung und Protokollierung.

Bezug zu TOMORIS

Für die Passwortverwaltung im Unternehmen gibt es bei TOMORIS den GRID-Baustein GRID.pass. Einzelne Zugangsdaten lassen sich mit GRID.WHISPER über begrenzte, im Browser verschlüsselte Links weitergeben.