1 Einleitung

Die Verwaltung von Passwörtern ist ein etablierter Teilbereich der IT. Heute besteht jedoch eine Diskrepanz zwischen der öffentlichen Wahrnehmung einer abnehmenden Bedeutung von Passwörtern und der tatsächlichen Notwendigkeit solcher Lösungen in einer Welt, in der Passwörter weiterhin weit verbreitet sind. Die Wahrnehmung, dass Passwörter keine große Bedeutung mehr haben, entspricht nur bedingt der Realität. Es gibt zwar ein deutliches Wachstum bei Lösungen für die passwortlose Authentifizierung und eine immer breitere Nutzung von Identity Federation als Mechanismus für Single Sign-On. Passwörter sind aber immer noch weit verbreitet.

Das beginnt mit Passwörtern als Notfalllösung für viele der (nicht so wirklich) passwortlosen Authentifizierungsansätze, wenn beispielsweise die biometrische Authentifizierung nicht funktioniert. Bei Legacy-Anwendungen, aber auch für Netzwerkgeräte und andere Systeme, ist die Nutzung von Passwörtern für den Zugriff nach wie vor üblich. Passwörter müssen oft auch beim Zugriff auf Anwendungen von Geschäftspartnern genutzt werden, ganz zu schweigen von Websites im Onlinehandel oder anderen viel genutzten Websites wie beispielsweise News-Seiten oder Wissensdatenbanken.

Da Passwörter zu Recht als ein großes Sicherheitsrisiko angesehen werden, besteht also ein Bedarf an Schutz und Verwaltung von Passwörtern und an zusätzlicher Sicherheit für alle die Anwendungsfälle, in denen Passwörter nicht einfach ersetzt werden können und in absehbarer Zeit nicht verschwinden werden.

An dieser Stelle kommen Passwort-Manager und, eng damit verbunden, Enterprise Single Sign-On-Lösungen (E-SSO) ins Spiel. Sie helfen Unternehmen bei der Verwaltung und dem Schutz von Passwörtern. Passwort-Manager-Lösungen sind sowohl als Einzelbenutzer-Editionen erhältlich, die sich an Privatanwender und Einzelbenutzer richten, als auch als Unternehmenslösungen, die eine zentralisierte Verwaltung für alle Benutzer und andere Funktionen auf Unternehmensebene bieten. Die Grenze zwischen unternehmenstauglichen Passwort-Managern und E-SSO ist fließend, da sich diese Lösungen oft ergänzen. Der Hauptunterschied liegt in der Unterstützung von E-SSO für die passwortbasierte Anmeldung bei älteren, nicht webbasierten Anwendungen über eine auf dem lokalen System installierte Anwendung, die Passwortaufforderungen erkennt und die Passwörter im Hintergrund übergibt, was bei Passwortmanagern nicht üblich ist. Letztere konzentrieren sich in der Regel auf die Eingabe von Benutzernamen und Passwörtern in Webanwendungen und bieten zum Teil auch Unterstützung für Federation-Protokolle wie OAuth, aber selten für die Authentifizierung an Legacy-Anwendungen.

Die Hauptanforderung an jede Password Manager-Lösung ist Sicherheit. Die zentrale Speicherung von Passwörtern ist ein potentielles Sicherheitsrisiko. Dabei gibt es mehrere potenzielle Angriffspunkte:

• Der Passwortspeicher, allgemein als "Vault" bezeichnet, in dem Passwörter und andere Secrets zentral aufbewahrt und verwaltet werden, muss gut geschützt sein. Dafür ist die Unterstützung von HSM (Hardware Security Module) eine wichtige Voraussetzung. Einige Lösungen verzichten auch auf einen zentralen Vault und legen die Informationen nur lokal auf den Clients ab, wodurch die Angriffsfläche verteilt und verkleinert wird.
• Die Verwaltungskonsole, über die die Konfiguration zu Gunsten von Angreifern geändert werden kann, muss gut geschützt sein.
• Die Übertragung von Secrets an die Endpunkte stellt ebenfalls eine Angriffsfläche dar und erfordert einen starken Schutz.
• Schließlich sind auch die Client-Komponenten selbst angreifbar.

Obwohl die heutigen Passwort-Manager-Lösungen für Unternehmen in der Regel eine Reihe starker Sicherheitsfunktionen bieten, sind diese Funktionen neben der Benutzerfreundlichkeit und der Integration ein wichtiges Unterscheidungsmerkmal zwischen den verschiedenen Angeboten auf dem Markt. Richtig implementiert, gewährleisten diese Lösungen ein deutlich höheres Sicherheitsniveau als die unkontrollierte, dezentrale Verwendung von Passwörtern.

Keeper Enterprise ist ein Passwort-Manager für Unternehmen mit einem gut durchdachten Sicherheitsmodell, das als "Null Vertrauen/Null Wissen" (Zero Trust/Zero Knowledge) bezeichnet wird. Das Produkt stellt eine einer breiten Palette an Schnittstellen zu IdPs, Anwendungen und anderen Sicherheitskomponenten wie HSMs bereit.