Passwortmanager für mehrere Benutzer

[Hugo Stiglitz]

Kennt jemand einen Passwortmanager, wo man pro Kunde pro Anwendung/Dienst passwörter abspeichern kann?
Am besten für osx....

Danke im Voraus.

 

[taeddyyy]

Keepass

 

[Domi83]

Öhm... KeePass wäre jetzt eine Variante, die mir spontan einfällt.

 

[Autokiller677]

Was meinst du mit mehrere Benutzer?
Sollen mehrere Leute den Nutzen? Ohne die Passwörter der anderen sehen zu können, möglicherweise mit Passwort-Sharing wenn gewünscht?

Dann ist Keepass raus. Ansonsten ist Keepass für Nutzung nur durch einen Nutzer und nur auf einem Gerät gut.

 

[Hugo Stiglitz]

Nein nein.
Okay, vielleicht muss ich das Vorhaben dahinter genauer zum Ausdruck bringen.

Ich betreue einige ältere Kunden. Nun haben mich in den letzten Jahren immer wieder Kunden gefragt, wie deren Passwörter lauten usw. deshalb haben wir eine gesetzeskonforme Mappe usw. geschaffen, wo pro Kunde alle Passwörter und damit verbundene Dienste aufgeschrieben sind.

Nun suche ich nach einer digitalen Lösung, wo ich die Kunden kurz anlegen kann, und dann Dienste und Login Daten pro Kunde hinzufügen kann. Um das ganze auch wirklich DSGVO und Bombensicher zu machen, wird das künftig auf einen offline Rechner gespeichert.

 

[Madman1209]

Hi,

dann ist KeePass einwandfrei

VG,
Mad

 

[taeddyyy]

Keepass läst sich wunderbar von mehreren Leuten gleichzeitig nutzen. Einfach auf dem Netzlaufwerk ablegen. Durch die Sync funktion können mehrere Änderungen verschiedener Benutzer zusammengeführt werden. Läuft einwandfrei. Das einzige was Keepass nicht kann ist, abgetrennte Bereiche für verschiedene Nutzer innerhalb einer Datenbank bereitstellen. Dafür macht man sich dann halt verschiedene Datenbanken. Per Cloud kann die Datenbank auch auf mobile Geräte gebracht werden. Sehr angenehm.

Edit: DSGVO-konform musst nicht heißen, dass du das ganze auf einem Offline Rechner machst. Es reicht, wenn deine TOMs ausreichend sind, die Datenbank auf einem Rechner liegt die nur dir bzw. den zuständigen Personen im Zugriff ist und falls ein Cloudsync genutzt wird nimmt man einen deutschen Anbieter oder hosted einfach selbst, bspw. eine Nextcloud mit aktivierter 2FA.

 

[Domi83]

Jop, wie schon weiter oben erwähnt... schau dir mal KeePass an... da kannst du eine Datenbank Datei anlegen und mit Kennwort und / oder Key File sichern. Dann kannst du in dieser Datenbank die "Ordner" "Peter Müller" und "Giesela Blau" anlegen und darin dann deren Kennwörter ablegen und archivieren

Als Online-Lösung wäre mir genau zu solch einem Szenario auch aktuell nichts bekannt. LastPass mit "Folder" vielleicht, aber wie erwähnt. Für deinen Fall ist KeePass die Idee / Lösung...

 

[blackbirdone]

Ja dann Keepass ist ein file was du egal wohin ablegen kannst.

 

[Hugo Stiglitz]

Nur um klarzustellen:
Das Programm muss wird am offline Rechner betrieben.
Ich schaus mir mal an - falls wem noch was einfällt bitte melden :-)

 

[Masamune2]

Leg einfach pro Kunde eine Keepass Datenbank an dann sollte das kein Problem sein.

 

[Madman1209]

Hi,

muss er das denn? Er kann doch einfach alles in eine KeePass Datenbank legen? Ich sehe nirgendwo die Forderung einer Cliententrennung - oder überlese ich etwas?

VG,
Mad

 

[Domi83]

Ich wollte damit ausdrücken, dass mir spontan auch nichts einfallen würde das im "Online" Modus arbeitet und dieses könnte. Dazu kommt aber auch (falls es von Interesse ist), die DSGVO schreibt nicht vor, dass so etwas offline sein muss. Ich kenne Mitarbeiter von IT Firmen die so etwas über Bitwarden lösen. Und da die (aufgrund ihrer speziellen Position) auf Datenschutz sehr genau achten müssen, vertraue ich mal darauf dass das passt

Aber wie schon ein paar mal erwähnt... KeePass ist gut und sollte das tun was du brauchst. Ob du dieses nun über mehrere Datenbank Dateien oder Ordnern in der Datenbank erledigst, sollte egal sein. Dazu kommt noch, bei KeePass kann man auch Anhänge packen, falls man vom Kunde Müller mal die T-Online Daten gescannt hat

 

[Autokiller677]

Nun suche ich nach einer digitalen Lösung, wo ich die Kunden kurz anlegen kann, und dann Dienste und Login Daten pro Kunde hinzufügen kann. Um das ganze auch wirklich DSGVO und Bombensicher zu machen, wird das künftig auf einen offline Rechner gespeichert.

Edit: DSGVO-konform musst nicht heißen, dass du das ganze auf einem Offline Rechner machst. Es reicht, wenn deine TOMs ausreichend sind, die Datenbank auf einem Rechner liegt die nur dir bzw. den zuständigen Personen im Zugriff ist und falls ein Cloudsync genutzt wird nimmt man einen deutschen Anbieter oder hosted einfach selbst, bspw. eine Nextcloud mit aktivierter 2FA.

Andererseits ist zu beachten, dass Offline nicht gleich DSGVO-Konform ist! Auch mit Offline-Daten und Papierakten kann man gegen die DSGVO verstoßen. Auch hier müssen Zugriffsrechte gemanaged werden, so dass nicht jeder die Daten einsehen kann, wenn er dazu nicht befugt ist (Putzfrau, Kollegen die mit der Kundenbetreuung nichts zu tun haben etc.). Und auch hier müssen Löschfristen etc. eingehalten werden, z.B. wenn ein Kunde den Vertrag kündigt o.ä. Ansonsten kann es bei einer Prüfung auch mit offline-PC Probleme gehen.

Keepass läst sich wunderbar von mehreren Leuten gleichzeitig nutzen. Einfach auf dem Netzlaufwerk ablegen. Durch die Sync funktion können mehrere Änderungen verschiedener Benutzer zusammengeführt werden. Läuft einwandfrei. Das einzige was Keepass nicht kann ist, abgetrennte Bereiche für verschiedene Nutzer innerhalb einer Datenbank bereitstellen. Dafür macht man sich dann halt verschiedene Datenbanken. Per Cloud kann die Datenbank auch auf mobile Geräte gebracht werden. Sehr angenehm.

Nunja, wunderbar ist halt so eine Sache. Rein konzeptionell gibt es sowohl für Multi-User als auch Multi-Geräte Nutzung deutlich bessere Modelle mit mehr Features. Es mag sein, dass einem das ausreicht was Keepass bietet, aber der Weisheit letzter Schluss ist es schon lange nicht mehr.
Zudem muss man für Multi-User bei Keepass auf jedenfall das Passwort zum Safe mit allen Leuten teilen - das war vor 20 Jahren vielleicht noch normal, aber heute sagt jede Security-Richtlinie ganz klar, dass Passwort-Teilen eigentlich ein No-Go ist und jeder User einen eigenen Account haben sollte, auch wenn am Ende auf ähnliche / gleiche Daten zugegriffen wird.

Hi,

muss er das denn? Er kann doch einfach alles in eine KeePass Datenbank legen? Ich sehe nirgendwo die Forderung einer Cliententrennung - oder überlese ich etwas?

VG,
Mad

Nun, eine Forderung danach hat der TE nicht explizit aufgeschrieben, aber es kann sinnvoll sein, damit jeder Kundenbetreuer auch nur Zugriff auf seine Kunden hat - falls die Kunden fest zugeordnet sind. Dann hat Betreuer A nichts bei den Kunden von Betreuer B zu suchen und es sollte nach dem Datensparsamkeitsgrundsatz auch eine entsprechende technische Schutzmaßnahme existieren.
Aber wenn das der Fall ist, ist Keepass langsam das falsche Tool. Dann ist es sinnvoller, einen Passwortmanager wie Bitwarden mit echter Multi-User Fähigkeit einzusetzen, wo jeder Betreuer seinen eigenen Account bekommt, dort seine Kunden pfelgt und falls nötig(!) per "Teilen" Funktion anderen Betreuern Zugriff auf die Zugangsdaten bestimmter Kunden gewähren kann.

@Domi: Da du Bitwarden schon erwähnst - Bitwarden kennt Ordner, da könnte man einfach für jeden Kunden einen erstellen.

 

[sikarr]

Das Programm muss wird am offline Rechner betrieben.

Dann sorg aber auch für ein regelmäßges Backup (ausserhalb deines Arbeitsraumes), Online wäre ein Cloudsync zusätzlich möglich bei Änderungen.

 

[Madman1209]

Hi,

Aber wenn das der Fall ist, ist Keepass langsam das falsche Tool. Dann ist es sinnvoller, einen Passwortmanager wie Bitwarden mit echter Multi-User Fähigkeit einzusetzen, wo jeder Betreuer seinen eigenen Account bekommt, dort seine Kunden pfelgt und falls nötig(!) per "Teilen" Funktion anderen Betreuern Zugriff auf die Zugangsdaten bestimmter Kunden gewähren kann.

genau darum ging es mir. Ich sehe die Anforderung nirgends. Wenn also mit KeePass gearbeitet werden soll dann doch einfach in einer Instanz. Sonst gewinnt man relativ wenig, da man wieder für jeden Kunden das Master-Passwort irgendwo ablegen müsste.

Wenn das gefordert ist: Bitwarden. Dann aber eben vermutlich nicht offline.

VG,
Mad

 

[wirelessy]

Thycotic Secret Server als online Multi-User KeePass.
Bitwarden geht auch.

 

[Hugo Stiglitz]

Vielen Dank für die Rückmeldungen.

Wenn ich sage DSGVO konform, dann meine ich das auch so.
Das Vorhaben ist aufgrund von Verträgen mit den Kunden und ständiger Aktualisierung dieser völlig in Ordnung und wurde auch rechtlich geprüft. Es geht nurmehr um die Umsetzung.

Ich habe "offline" eigentlich nur erwähnt, um sämtliche Netzwerk- oder gar Onlinelösungen im vorhinein auszuschließen.

 

[Autokiller677]

Wenn das gefordert ist: Bitwarden. Dann aber eben vermutlich nicht offline.

Wäre selbst gehostet wahrscheinlich noch möglich, aber aufwändig (SSL-Certs, Updates usw.)...

 

[Madman1209]

Hi,

ist nicht wirklich aufwändig, nein. Solange es nur im lokalen Netz läuft und keinen Online Kontakt hat sind auch Zertifikate und Updates erstmal überflüssig.

Aber KeePass dürfte schon ideal sein für den TE.

VG,
Mad