Passwortmanager für mehrere Benutzer

[taeddyyy]

Andererseits ist zu beachten, dass Offline nicht gleich DSGVO-Konform ist! Auch mit Offline-Daten und Papierakten kann man gegen die DSGVO verstoßen.

Das war genau das, was ich gemeint habe.

Nunja, wunderbar ist halt so eine Sache. Rein konzeptionell gibt es sowohl für Multi-User als auch Multi-Geräte Nutzung deutlich bessere Modelle mit mehr Features. Es mag sein, dass einem das ausreicht was Keepass bietet, aber der Weisheit letzter Schluss ist es schon lange nicht mehr.

Es mag deutlich bessere/umfangreichere Lösungen geben, aber sowohl für den hier genannten Fall als auch unser Team hat sich KeePass als ideale Lösung herausgestellt. Warum einen größeren Funktionsumfang empfehlen, der nicht gebraucht wird, dadür aber potenziell unssicherer unterwegs sein:
https://www.kuketz-blog.de/bitwarden-schwaechen-bei-sicherheit-und-datenschutz/

 

[Domi83]

Da du Bitwarden schon erwähnst - Bitwarden kennt Ordner, da könnte man einfach für jeden Kunden einen erstellen.

Ah... Alles klar... so genau hab ich mich damit noch nicht befasst. Hatte es mir als Alternative zu LastPass mal genauer angeschaut, aber im Browser Addon (für Chrome etc.) gefiel mir die "Feld-Erkennung" nicht so wie bei LastPass, daher bin ich dabei geblieben

genau darum ging es mir

Das war der Grund wieso ich in Post 13 an Bitwarden gedacht hatte... Denn irgendwann sagte mir ein Datenschutzbeauftragter, dass es eine "Kontrolle" über die Zugriffe der Kennwörter etc. geben muss. Also DSGVO Konform etc.

Aber gut, ich bin selbst immer kein Freund von viel "bla bla", wie gesagt... der TE soll sich mal KeePass anschauen, dieses kann er dann offline auf einem PC in der Besenkammer (oder wo auch immer) betreiben und wäre vom Internet unabhängig. Wie das mit der Zugriffskontrolle zu den Kennwörtern in der Datenbank aussieht, muss man dann weiter "visionieren"

 

[Autokiller677]

Es mag deutlich bessere/umfangreichere Lösungen geben, aber sowohl für den hier genannten Fall als auch unser Team hat sich KeePass als ideale Lösung herausgestellt. Warum einen größeren Funktionsumfang empfehlen, der nicht gebraucht wird, dadür aber potenziell unssicherer unterwegs sein:
https://www.kuketz-blog.de/bitwarden-schwaechen-bei-sicherheit-und-datenschutz/

Wie gesagt, solange Keepass reicht, ist es ja gut.
Was den Blogeintrag angeht: da würde ich nicht viel drauf geben.
Wurde auch auf Reddit länger diskutiert: https://www.reddit.com/r/Bitwarden/comments/e8rilq/bitwarden_weaknesses_in_security_and_privacy/
Erstmal eine Korrektur zum Artikel: Google Analytics wird nicht (mehr?) benutzt - kann ja jeder selber nachprüfen: https://vault.bitwarden.com/#/
Ansonsten ist meine Meinung zum Artikel, dass er zwar lustig Sachen aufzeigt, aber wenig begründet.

Er bemängelt, das JavaScript genutzt wird und begründet das mit einem halbgaren

JavaScript und Sicherheit sind zwei Größen, die sich gegenseitig eigentlich ausschließen.

- ohne Quellen oder technische Gründe. Die Entschlüsselung erfolgt lokal auf dem Gerät, man hat volle E2E.

Die CSP, die das Nachladen von JavaScript aus Dritt-Quellen erlaubt stimmt nicht für Self-hosted (gerade nochmal bei meiner eigenen Instanz geprüft), da wird nichts nachgeladen.

Dann beschwert er sich, dass sein Master-Passwort übertragen wird

Weiterhin war ich etwas verwundert, dass mein Master-Passwort offensichtlich über die Leitung geht – wenn auch in einem irgendwie gehashten Format [POST Request]:

, gibt aber paar Zeilen weiter zu, dass er es eigentlich gar nicht weiß und auch zu faul war, es rauszufinden:

Eventuell wird aber auch ein Master-Schlüssel oder ähnliches vom Master-Passwort abgeleitet. Dazu müsste man sich den Quelltext mal genauer anschauen.

Sicher sollte man nicht blauäugig sein, und eine Online-Anbindung ist natürlich immer eine mögliche Sicherheitslücke. Aber die Kritik aus dem Artikel ist nicht wirklich fundiert.

Wer eine bessere Analyse von Bitwarden sehen will, sollte sich den Audit / Pentest anschauen, den es gab (ist schließlich OpenSource): https://cure53.de/pentest-report_bitwarden.pdf

 

[taeddyyy]

Ohne Bitwarden jetzt groß zu kennen, es scheint ja eine weit umfangreichere Lösung zu sein als Keepass, auch von der Installation her. Keepass ist ein Programm, eine Datenbank.
Bitwarden nutzt da ja deutlich mehr Komponenten, wodurch natürlich auch eine größere Vielfalt an möglichen Angriffsflächen geboten wird. Java? HTML? Online verfügbar. Ich möchte bitwarden nicht schlecht reden, es scheint ja beliebt und auch gut gemacht zu sein. Nur hier ist es mMn. mit Kanonen auf Spatzen, wenn Keepass all das bietet, was benötigt wird. Werde es mir bei Gelegenheit auch mal anschauen und mir einen persönlichen Eindruck zu verschaffen.
Nur wenn jemand alleinstehendes ein Auto zum wöchentlichen Einkauf sucht empfehle ich keinen 7,5 Tonner, da reicht auch ein Kombi.