News Universeller Passwortmanager: KeePass 2.57 bietet Verbesserungen der UI

[canada]

Dafür kann ich bei XC weiterhin keine Generatorregeln speichern. Daher nutze ich XC nur auf MacOS und nur zum "Lesen".

Bist du dir da sicher? Oder was genau meinst du? Im Generator kann man doch Dinge festlegen und die Merkt der sich auch.

Ich nutze XC + KeePassDX (mobil)

 

[ComputerJunge]

Bist du dir da sicher?

Ich kann eine Regel mit Namen zum späteren Wiedergebrauch speichern?
Das wäre gut, vor ca. drei Monaten ging das noch nicht. Schaue ich mir morgen an.

 

[Euphoria]

@Haldi
Naja alleine schon fehlender Support von KeepassXC ist für mich ein Grund bei Keepass zu bleiben.
Da ich mich hauptsächlich in der Windows Welt bewege reicht es bestens aus.
Beim Android nutze ich Keepass2Android.

 

[HansDetflefAndi]

Schnell Bitwarden ausprobiert.. so auf den ersten Blick sehe ich keine großen Unterschiede im LookAndFeel zu Keepass. Das eine ist ein lokales Programm, das andere eine Site.
In der Handhabung gibt es Unterschiede
Keepass ist ein eigenständiges Programm, wird mit Windows automatisch gestartet & Hintergrund entsperrt. Jeweilige PW Felder im Firfox werden sofort erkannt und ausgefüllt (via Kee).
Bitwarden ist ein PlugIn im Firefox. Nach jedem Start wird das MasterPW manuell eingetragen. PW Felder werden nicht manuell ausgefüllt (erst nach einem weiteren Click)

Long Story short
Keepass arbeitet vollständig im Hintergrund
Bitwarden erfordert manuell Eingabe des MasterPW und Bestätigung für jede einzelne Site.

 

[Crystal3684]

Long Story short
Keepass arbeitet vollständig im Hintergrund
Bitwarden erfordert manuell Eingabe des MasterPW und Bestätigung für jede einzelne Site.

1. Die Auto-Ausfüllen Funktion hat Bitwarden auch aber ist standardmäßig deaktiviert.
2. Bitwarden gibts auch als Client.
3. Kann man selber einstellen wann der Tresor gesperrt wird.

 

[HansDetflefAndi]

Das viel größere Problem ist für mich die obligatorische Eingabe seines MasterPW nach jedem Browserstart.
Keylogger reicht hier aus um Bitwarden komplett leerzuräumen.

 

[Schokolade]

Das kann man aber deaktivieren, wie @Crystal3684 bereits schrieb. Nur muss dann eben der Master-Key lokal abgespeichert sein. Ist also ebenso ein Risiko. Mir ist da die einmalige Eingabe des Passworts dann doch lieber.

 

[Euphoria]

Für mich kommt keine Lösung in Frage wo etwas in der Cloud gespeichert wird.
LastPass Leak sollte Warnung an alle sein.

Nennt mich paranoid, aber meine PW Datenbank wird automatisch nach 10 Minuten gesperrt, wenn ich sie brauche entsperre ich sie. Hintergrund, sobald sie entsperrt ist, kann sie vom Angreifer aus dem RAM vollständig ausgelesen werden. Da verzichte ich lieber auf etwas Komfort auf Kosten der Sicherheit.

 

[canada]

Ich kann eine Regel mit Namen zum späteren Wiedergebrauch speichern?

Okay, das meinst du, nein das geht glaube ich nicht.

 

[Domi83]

Wir sind grade in der Evaluierungsphase zu Bitwarden.

Wurde bei uns genau so realisiert. Ich kam neu in das Unternehmen, viele Kennwörter in unterschiedlichen KeePass Datenbanken für die unterschiedlichen Teams oder Abteilungen. Kollege und ich haben Bitwarden in die Runde geworfen (Self hosted) und da sind wir nun seit fast zwei Jahren.

Ich selbst (privat) fahren noch zweigleisig... habe alles im KeePass drin und übernehme nur das in mein Bitwarden was ich regelmäßig brauche.

Im KeePass habe ich noch das Plugin KeeOtp2, so habe ich neben den Kennwörtern auch TOTP, auch wenn es fatal ist, so etwas an ein und der selben Stelle abzulegen (ja ja, ich weiß!). Aber es tut was es tun soll, ich habe für jede Seite ein anderes Kennwort und auch einen TOTP an der Seite.

Klar, kann man das alles optimieren etc., Komfort hört auf wo Sicherheit anfängt etc., aber so habe ich es gelöst und fertig ist

 

[Sylar]

Speicherts ihr die Login Daten auch im Firefox (mit Master Passwort) oder sollte man es lassen? Bequemer ist es auf alle Fälle

bzw. gibts was "bequemes" für Android (Keepass2Android)?

Bitwarden/Vaultwarden hab ich mir mal angeschaut, bin aber irgendwie am Ende gescheitert beim Zertifikat aufm Pi4

 

[DJKno]

Verwaltung? Neue Nutzer anlegen und so?

Nein, mir geht es darum, die Datenbanken an einem Ort zu haben und die Möglichkeit, einzelne Einträge mit Gruppen zu teilen.

Ergänzung (2. Juni 2024)

Das Einzige, was ich bei Bitwarden/Vaultwarden vermisse, ist Auto-Type (nicht zu verwechseln mit Auto-Fill).

Das stimmt, das Feature gibt es bei Bitwarden nur über das Browser Plugin. Die Windows App unterstützt es leider nicht.
Da wir aber sehr viele Browseranwendungen nutzen, passt das bei uns gut.
Wir in der IT werden trotzdem parallel Keepass nutzen.
Der gemeine User ist da aber mit Bitwarden besser bedient. Einem Anwender beizubringen, wie und wo er die Datenbank richtig ablegt, ist einfach immer ein Graus.
Wir betreiben Vaultwarden ebenfalls on Prem.

 

[luckysh0t]

Nennt mich paranoid, aber meine PW Datenbank wird automatisch nach 10 Minuten gesperrt, wenn ich sie brauche entsperre ich sie. Hintergrund, sobald sie entsperrt ist, kann sie vom Angreifer aus dem RAM vollständig ausgelesen werden. Da verzichte ich lieber auf etwas Komfort auf Kosten der Sicherheit.

Das kann er auch in den 10 Minuten, wenn passende Malware auf deinem System ist.


Ich selbst nutze KeePass mit ein paar Plugins, die es mit xy-warden meines Wissens nicht gibt.
SSH Key Bereitstellung an MobaXterm, lokales und "cloud" Backup mittels Plugin bzw. freefilesync Script nach jedem automatischen speichern.

 

[BAR86]

Find die GUI von KeePassXC deutlich moderner.

Mag sein, bei einem Programm das der Sicherheit dient, ist mir die Grafik aber egal, Form follows function und nicht andersrum, aber da beide kompatibel dind soll jeder verwenden was er will. Ich mag lieber das "alte" Design: es ist einfach nur funktional

 

[Euphoria]

@luckysh0t
Schon, nur läuft mein Keepass vielleicht einmal alle paar Tage. Da ist das Risiko dennoch geringer bzw. dass die Malware eventuell entdeckt wird.

 

[Vexz]

Im KeePass habe ich noch das Plugin KeeOtp2, so habe ich neben den Kennwörtern auch TOTP, auch wenn es fatal ist, so etwas an ein und der selben Stelle abzulegen (ja ja, ich weiß!). Aber es tut was es tun soll, ich habe für jede Seite ein anderes Kennwort und auch einen TOTP an der Seite.

Sehe ich tatsächlich gar nicht schlimm. Wie sicher man selbst mit einem Passwortmanager verfahren will, ist jedem selbst überallen. Um an die OTPs dran zu kommen, muss man schließlich auch erst die Datenbank entsperren. Ob ich das nun am Handy machen muss oder am PC, an dem ich sowieso schon grade sitze, macht da auch keinen Unterschied. Außer man verzichtet natürlich auf diese Funktion in Bitwarden/Vaultwarden und nutzt extra eine Authenticator App. Allerdings steht es einem auch frei, nach jedem ausgelesenen Passwort sofort wieder den Tresor zu sperren zu lassen. Was ist also nun sicherer? Es kommt einfach auf die persönliche Präferenz an, wie sicher man den Passwortmanager einstellt. Ob das so gemütlich ist, ständig das Masterpasswort neu einzugeben, sei mal dahin gestellt. Man muss eben selbst abwägen, wie sicher/bequem man es haben möchte.

Ergänzung (2. Juni 2024)

Mag sein, bei einem Programm das der Sicherheit dient, ist mir die Grafik aber egal, [...]

Verstehe ich zwar, aber warum nicht das Plus an Eye Candy mitnehmen, wenn die Sicherheit nicht darunter leidet? Ob du jetzt KeePass oder KeePassXC nutzt, macht in diesem Sinne am Ende nämlich keinen Unterschied.

Ergänzung (2. Juni 2024)

Das stimmt, das Feature gibt es bei Bitwarden nur über das Browser Plugin.

Nein, das gibt es auch nicht über das Browser Plugin. Das gibt es gar nicht. Deswegen sagte ich extra in Klammern, dass man Auto-Type nicht mit Auto-Fill verwechseln soll. Das sind zwei verschiedene Funktionen.

Ergänzung (2. Juni 2024)

Schnell Bitwarden ausprobiert.. so auf den ersten Blick sehe ich keine großen Unterschiede im LookAndFeel zu Keepass. Das eine ist ein lokales Programm, das andere eine Site.
In der Handhabung gibt es Unterschiede
Keepass ist ein eigenständiges Programm, wird mit Windows automatisch gestartet & Hintergrund entsperrt. Jeweilige PW Felder im Firfox werden sofort erkannt und ausgefüllt (via Kee).
Bitwarden ist ein PlugIn im Firefox. Nach jedem Start wird das MasterPW manuell eingetragen. PW Felder werden nicht manuell ausgefüllt (erst nach einem weiteren Click)

Long Story short
Keepass arbeitet vollständig im Hintergrund
Bitwarden erfordert manuell Eingabe des MasterPW und Bestätigung für jede einzelne Site.

Das Prinzip bei Bitwarden ist ganz anders. Du hast einen Server, der immer den aktuellen Stand deiner Einträge in einer verschlüsselten Datenbank festhält. Auf den Server im Browser geht man aber normalerweise eigentlich nie, sondern man installiert sich nur noch den Client (Browser, App für das Betriebssystem, Mobile App) und verbindet diesen mit dem Server, so dass die beiden sich stets bei jeder Änderung synchronisieren.
Man muss nicht für jede einzelne Seite das Masterpasswort neu eingeben, man KANN es aber auch so einstellen, wenn man möchte. Ich persönlich stelle es aber so ein, dass die Datenbank erst beim Beenden des Browsers gesperrt wird.

Ergänzung (2. Juni 2024)

Das viel größere Problem ist für mich die obligatorische Eingabe seines MasterPW nach jedem Browserstart.
Keylogger reicht hier aus um Bitwarden komplett leerzuräumen.

Naja, bei jedem Passwortmanager musst du irgendwann mal das Masterpasswort eingeben, um die Datenbank zu entsperren. Somit hast du im Grunde immer das Problem, dass ein Keylogger das einfangen könnte - egal welchen Passwortmanager du nutzt. Es sei denn man setzt auf andere Methoden, wie z. B. Biometrie. Diese Option bietet z. B. Bitwarden auch an.

 

[DeltaPee]

Leider fehlt mir eine zentrale Verwaltung der Datenbanken. Daher stellen wir demnächst auf Bitwarden/Vaultwarden um.

Wir nutzen es auch in der Firma, ein Umstieg auf Bitwarden oder ähnliches werden wir nicht machen, da es halt wieder so ist, dass die zugangsdaten auch in der Cloud liegen und das in den USA...

 

[Der-Orden-Xar]

Nutzt nicht jeder der Ansprüche an die GUI hat sowieso KeepassXC?

Nö, da Funktionalität > Aussehen.
Es gibt nun mal Dinge, die Keepass kann, die KeepassXC nicht kann, siehe die Sache mit dem Passwortmanager oben - umgekehrt gilt das allerdings auch.

 

[ComputerJunge]

Hintergrund, sobald sie entsperrt ist, kann sie vom Angreifer aus dem RAM vollständig ausgelesen werden. Da verzichte ich lieber auf etwas Komfort auf Kosten der Sicherheit.

https://keepass.info/help/base/security.html#secmemprot
https://keepass.info/help/base/security.html#secdesktop

Immerhin. Mir genügt es. Gesperrt wird bei mir durch Log-Off, also nach dem Starten aus dem Ruhezustand muss ich das MasterPW wieder eingeben.

 

[HansDetflefAndi]

PW das letzte mal beim Setup eingetippt. Vor ca. 3 Jahren.
Entsperrt wird ja via Windows PIN

Muss gleich mal nachlesen welches ahahaha