Passwort Management – Strategien gegen die Angst vor Tools

Im vorigen Post Passwort Management in 5 Minuten wird eine kurze Einführung zum Einsatz von Passwort Management Tools vorgestellt. Dabei wurde aufgezeigt, dass Unternehmen recht einfach ihre Verantwortung in diesem Bereich wahrnehmen können und mit Hilfe von Empfehlungen und Konfigurationstemplates nicht einmal das Rad neu erfinden müssen.

Dennoch wird das Management von Passwörtern über Tools oftmals sehr kontrovers und selten objektiv diskutiert. Neben direkten Anforderungen an Funktionalität und Sicherheit spielen dabei oftmals auch persönliche Gefühle und Ängste eine wesentliche Rolle.

In erster Linie sehe ich daher die Herausforderungen, den Unternehmen konkrete Lösungen und den Anwendern das Gefühl von Sicherheit zu vermitteln. Diese Herausforderungen lassen sich überraschend einfach meistern, mit dem Einsatz eines Passwort Managers und definierten Backup-, Update- und Fallback-Strategien.

Um es kurz zu halten konzentriere ich mich nachfolgend auf Strategien, mit denen ich mich immer wieder konfrontiert sehe, die mir meine Ängste im Umgang mit KeePass nehmen und zudem auch auf unternehmensspezifischen Lösungen aufbauen.

Backup-Strategie – Verlustangst

Verlustangst erzeugt meiner Meinung nach die Killer-Diskussion für viele Passwort Manager. Meist spielen hierbei sehr individuelle Anforderungen eine Rolle und die Tools werden oft nicht allen Anforderungen gerecht. Im Kern vieler Diskussionen bleibt bei den Benutzern aber immer die Angst „gespeicherte Passwörter zu verlieren“ und in Unternehmen die Sorge um Insellösungen zur Erhaltung dieser Daten.

Meine favorisierte Lösung: Portable KeePass inkl. Datenbank in einem lokalen Ordner und Backup auf dem firmeninternen Netzlaufwerk.

Dank der portablen Version kann einfach der ganze Ordner inkl. Datenbank auf ein anderes Medium kopiert werden. Backup erledigt. Wenn mein System tatsächlich mal unbenutzbar wird, kann von dort aus KeePass einfach wieder hergestellt werden.

Ein manuelles Backup auf dem firmeninternen Netzlaufwerk? Klar, weil es einfach ist! Hand aufs Herz: Wie oft ändern wir unsere Passwörter? Wie oft arbeiten wir nicht mit unserer Hardware?

Auch bei kleinen und mittelständischen Unternehmen ist es gute Praxis, dass Mitarbeiter ihre Benutzer-Daten auf einem sogenannten „Home“-Laufwerk ablegen dürfen und auch sollen. Dabei handelt es sich meist um ein Netzlaufwerk, welches in die Backup-Strategie des Unternehmens eingebunden ist.

Für den Anwender bedeutet dies zwar keine Privat-Kennwörter in der Datenbank, für ein Unternehmen hat dies aber auch weitere Vorteile: Der PostIt-Verbrauch wird langfristig reduziert und die Passwörter auf dem Netzlaufwerk bleiben beim Verlassen des Büros nicht versehentlich am Ärmel kleben ;-).

Jedes Update kommt mit dem Risiko, dass etwas schiefgeht. Also am besten nichts verändern? Beim längeren Nachdenken fallen mir dazu zwei konkretere Sorgen ein:

1. Ich vergesse ein neu vergebenes Passwort.
2. Das Update der Anwendung geht schief.

Diese Sorgen wiederum lassen sich auch auf die zuvor bereits behandelte Verlustangst zurückführen und sind eigentlich bereits unbegründet, Backupstrategie sei Dank. Update Strategien reduzieren jedoch weiter die Ängste der Anwender und erhöhen die Sicherheit im Unternehmen.

Regelmäßige Passwortänderung:

Vergessen kann ich mein Passwort nicht mehr, nun erinnert sich der Passwort Manager für mich.
Per Konfiguration lasse ich meine Passwörter nach einem Jahr ablaufen (die Zeitspanne kann bei Bedarf auch je Eintrag individuell eingestellt werden). Abgelaufene Einträge streicht KeePass für mich durch und somit erhalte ich eine visuelle Information, wenn mein Passwort aktualisiert werden müsste.

Mit dieser Funktion kann ich auch einen Backup-Erinnerungs-Eintrag anlegen. Dieser läuft alle 30 Tage ab und erinnert mich daran, ein Backup auf dem Netzwerk abzulegen.

Durch diese Regelmäßigkeit reduziert sich langfristig meine Angst davor und das Vertrauen in die Anwendung und die Strategien wächst. Ein positiver Nebeneffekt dieser Regel: Spätestens in einem Jahr werde daran erinnert, mein Passwort mal wieder zu ändern.

Programmupdates:

Beim Start der Anwendung erfolgt automatisch die Prüfung auf Programmupdates. Im Vergleich zur Einrichtung kann ein Programmupdate noch schneller durchgeführt werden:

• Komplett-Backup anlegen (siehe oben).
• Neue Portable KeePass Version laden. Beim Laden kurz die Release Notes überfliegen und prüfen, ob relevante Informationen enthalten sind.
• Zip Datei direkt in meinen KeePass Ordner entpacken.
• KeePass starten, fertig.

Gesteuerte Programmupdates:

Die automatische Prüfung auf Programmupdates kann auch deaktiviert werden, und neue KeePass Version über den dedizierten IT-Prozess für Softwareupdates im Unternehmen freigegeben werden. Abgesehen von der Quelle des Pakets kann dabei dasselbe Vorgehen wie bei Programmupdates angewandt werden.

Die Update Strategie ist somit kaum komplizierter als die vorgestellte Backup-Strategie.

Fallback-Strategie – Angst vor Fehlern

Trotz aller unbegründeter Ängste bleibt subjektiv beim Benutzer immer noch ein Rest an Sorge und auch das Unternehmen muss sich für den Ernstfall rüsten: Wenn die Systeme ausfallen. Wenn Sicherheitsnetze oder die Strategien versagen. Was dann?

• Fallback 1 – Update geht schief, Programm oder Passwort-Datenbank korrupt, etc. → Einfach den lokalen Ordner durch das Backup ersetzen. Bei Bedarf auch weitere Fallback-Szenarien durchführen.
• Fallback 2: Neues System, anderes System, etc. → Online-Zugriff auf das Backup einrichten und Backup laden.
• Fallback 3: Wenn wirklich mal alles schiefgeht. → In der Regel gibt es in jeder Anwendung immer noch den „Passwort vergessen?“ Knopf. Da mir das schon lange nicht mehr passiert ist, weiß ich aber nicht, ob es diesen Button wirklich noch überall wirklich funktioniert. :)

Fazit:

Unternehmen können ihre Verantwortung im Umgang mit Kennwörtern trotz technischer und sozialer Herausforderungen auch ohne konkrete Richtlinien oder ISO-Standards wahrnehmen:

Klare Empfehlungen, ergänzt durch die Bereitstellung von Anwendungen mit Default-Setups und Backup-, Update- und Fallback-Strategien erhöhen die praktische Sicherheit und reduzieren die Ängste der Anwender beim Einsatz von Passwort Managern in Unternehmen.

Dabei muss eine Unternehmensempfehlung auch nicht aufwändig oder kompliziert sein. Gerade ein Passwort Manager wie KeePass bringt von Haus aus nützliche Funktionen mit, die Unternehmen mit wenig Aufwand in ihre bestehenden Prozesse integrieren können.

Im nächsten Beitrag wird gezeigt, wie man mit KeePass in fünf Minuten ein Backup automatisiert.

Disclaimer

Dieser Beitrag zeigt einfache Lösungswege am Beispiel von KeePass auf, mit denen Unternehmen den verantwortungsvollen Umgang mit Kennwörtern ihrer Anwender unterstützen können.

Mehr Informationen zu Secure Password Share