Passwortverwaltung

Was diese Kategorie abdeckt

Zugangsdaten so speichern, dass Menschen aufhören, sie in einer Tabelle zu führen: persönliche Tresore, gemeinsame Team-Tresore, Geheimnisse für Anwendungen und die Wiederherstellungsregelungen um all das.

Zwei Zielgruppen kaufen in diesem Regal. Einzelpersonen wollen Komfort und Sicherheit. Organisationen wollen Freigabe, Provisionierung, Entzug und Nachweise, was ein anderes Produkt mit demselben Kern ist.

Umfassendere Zugriffskontrolle und Überwachung liegen in der Sicherheit. Compliance-Nachweise gehören in Compliance und GRC.

Warum die Tabelle weg muss

Gemeinsame Zugangsdaten in einem Dokument haben vier Probleme, die keine Sorgfalt beseitigt.

Jeder, der je Zugriff hatte, hat ihn noch, auch Leute, die gegangen sind. Niemand weiß, welche Passwörter anderswo wiederverwendet werden. Eines zu ändern heißt, es allen mitzuteilen. Und es gibt keinen Nachweis, wer was geöffnet hat, was die erste Frage nach einem Vorfall ist.

Ein Passwortmanager behebt alle vier, indem er das Teilen zu einer kontrollierten Handlung statt zu einer Kopie macht. Das ist der eigentliche Kauf, nicht der Komfort des automatischen Ausfüllens.

Wie die Verschlüsselung funktionieren soll

Die Behauptung, die man prüfen sollte, ist, dass der Anbieter Ihren Tresor nicht lesen kann.

In einem gut entworfenen Produkt finden Ver- und Entschlüsselung auf Ihrem Gerät statt, und der Anbieter speichert Material, das er nicht öffnen kann. Das hat eine Folge, die man spät entdeckt: Der Verlust des Master-Zugangs kann den dauerhaften Verlust des Tresors bedeuten, weshalb das Wiederherstellungsdesign so viel zählt wie die Verschlüsselung.

Schauen Sie, welche Wiederherstellung es gibt. Geschäftstarife bieten meist eine von Administratoren unterstützte Wiederherstellung oder einen Notfallkontakt. Fragen Sie, wie das funktioniert, denn ein Wiederherstellungsweg, der einem Administrator erlaubt, jeden Tresor zu lesen, ist ein anderes Sicherheitsmodell als einer, der das nicht tut.

Unabhängige Audits und veröffentlichte Architektur sind mehr wert als eine Seite beruhigender Adjektive. Fragen Sie, wann das letzte war und ob der Bericht lesbar ist.

Was ein Team wirklich braucht

• Gemeinsame Tresore nach Team oder Projekt, mit Zugriff pro Gruppe.
• Provisionierung, damit Eintritt und Austritt automatisch ablaufen statt aus dem Gedächtnis.
• Entzug, der den Zugriff sofort entfernt, nicht erst beim nächsten Login.
• Audit-Logs, die zeigen, wer wann auf welchen Eintrag zugegriffen hat.
• Geheimnisse für Anwendungen, aus dem Code herausgehalten und ohne Ausfallzeit rotiert.

Offboarding ist die am häufigsten unterschätzte Anforderung. Nach dem Weggang einer Person zurückgebliebener Zugriff ist der Standardbefund bei einem ersten Sicherheitsreview, und genau das soll diese Kategorie verhindern.

Die Akzeptanz ist der schwere Teil

Ein Tresor, den niemand nutzt, ist eine Tabelle mit Zusatzschritten.

Die entscheidenden Faktoren sind gewöhnlich: ob das automatische Ausfüllen auf den Seiten und in den Anwendungen Ihres Personals zuverlässig funktioniert, ob das Erlebnis auf dem Handy erträglich ist und ob das Speichern neuer Zugangsdaten eine einzige Handlung ist. Scheitert eines davon, greifen die Leute wieder auf ein Passwort zurück, das sie sich merken können.

Browser-Erweiterungen sind der wichtigste Berührungspunkt und von unterschiedlicher Qualität. Testen Sie Ihre an den schwierigen Fällen: einer Anwendung mit ungewöhnlichem Login-Formular, einer Seite, die einen ständig abmeldet, und einem gemeinsamen Konto, das vier Personen gleichzeitig nutzen.

Jenseits von Passwörtern

Zwei Entwicklungen verändern, wofür diese Software da ist.

Passkeys schaffen das Passwort bei Diensten ab, die sie unterstützen, und die besseren Manager speichern und synchronisieren sie inzwischen über Geräte hinweg. Diese Liste wächst, und die Unterstützung sollte man prüfen, statt sie anzunehmen.

Anwendungsgeheimnisse sind die andere Richtung. Schlüssel, Tokens und Zertifikate, die Systeme statt Menschen nutzen, brauchen Rotation, begrenzten Zugriff und einen Prüfpfad, und mehrere Produkte dieser Kategorie decken inzwischen beide Welten ab. Die Preise gelten pro Nutzer und Monat, wobei Geschäftsfunktionen die Stufe bestimmen, neben den üblichen Gewohnheiten, die was Preisseiten verschweigen beschreibt.

Einen Tresor im Team einführen

Die Migration ist unkompliziert, die Gewohnheitsänderung nicht, planen Sie also für Letztere.

Beginnen Sie mit den gemeinsamen Zugangsdaten, die Ihnen schon Sorgen machen: Administrationskonten, Lieferantenportale, alles, was derzeit in einem Dokument steht. Diese zuerst zu verschieben bringt sichtbaren Nutzen und beseitigt die schlimmste Gefährdung.

Holen Sie dann die Leute einzeln ab, mit einer kurzen Einweisung statt einer E-Mail. Der meiste Widerstand kommt daher, dass sich das automatische Ausfüllen anders verhält, nicht aus einem grundsätzlichen Einwand.

Geben Sie dem Personal einen kostenlosen Familien- oder Privattarif, wo der Anbieter einen hat. Die Wiederverwendung von Zugangsdaten zwischen Beruf und Zuhause ist ein echtes Risiko, und der günstigste Weg, es zu senken, ist, die sichere Option überall verfügbar zu machen.

Schließen Sie ab, indem Sie die alten Wege abschalten. Ein gemeinsames Dokument, das man stehen lässt, wird sechs Monate später noch von jemandem benutzt.