Auch in Zeiten der t?glich zunehmenden und f?r viele selbstverst?ndliche Nutzung der Cloud, wird gelegentlich und zurecht die Frage gestellt, ob eine Applikation selbst gehostet oder in der Cloud als Service betrieben werden sollte. Diese Frage f?llt insbesondere dann ins Gewicht, wenn es sich dabei um geheime oder hoch sensible Daten handelt – beispielsweise bei Passwortmanagern. Selbstverst?ndlich existieren Pro- und Kontra-Argumente f?r und gegen einen Passwortmanager als Cloud-Service. Diese Argumente hat Keeper Security gegen?bergestellt. Eines gleich zu Anfang voraus: Die meisten Argumente sprechen f?r die Cloud.
Fachkenntnis und Aufwand in der Administration
Ein Vorteil einer selbst gehosteten Kennwortverwaltungsplattform k?nnte dann vorstellbar sein, wenn ein Benutzer einen Desktop-Computer in einer vollkommen abgeschirmten Netzwerkumgebung verwendet. Da aber genau diese Rahmenbedingungen trifft auf die gro?e Mehrheit von Privatpersonen oder Unternehmen nicht zu. Ergo ist dieser Vorteil lediglich von theoretischer Relevanz.
Im Gegensatz dazu hat insbesondere die Verwaltung der eigens gehosteten Infrastruktur diverse Nachteile gegen?ber einer Cloud-L?sung. Bei einer gehosteten L?sung ist der Kunde f?r die Bereitstellung des Containers, das Hosting, den Lastausgleich, die SSL-Zertifikate, das Routing und die Firewall verantwortlich. Der Kunde muss sich also neben der Verwaltung der Endanwender zus?tzlich um die Verwaltung der kompletten Softwareplattform k?mmern. Das hat Folgen. Denn wenn irgendwo in der Gesamtstruktur etwas schief geht – und diese Wahrscheinlichkeit ist hoch – tr?gt der Administrator die volle Verantwortung.
Um einen selbst gehosteten Passwortmanager zu betreiben w?rden weitreichende Fachkenntnisse vonn?ten sein, beispielsweise f?r:
– Verwaltung von Docker-Containern
– Docker Swarm f?r eine hohe Verf?gbarkeit
– Datenbankserver-Hosting, Wartung, Upgrades und Backup
– Lastausgleich
– Firewall/Web Application Firewall (WAF)
– Verwaltung von Windows- oder Linux-Diensten
– Patching, Sicherung und Wiederherstellung von Instanzen
– Hardware-Verwaltung – Installation und laufende Wartung von Servern, Netzwerkinfrastruktur (Router, Switches), Firewall-/Sicherheitsanwendungen, Speicher-Arrays und Elektrik
– Geb?udewartung – Notstromversorgung (Generatoren, Batterien), Umweltschutz, physische Sicherheit und Zugangskontrolle.
Im Gegensatz dazu wird ein Passwortmanager wie Keeper, der in einer gro?en Cloud-Infrastruktur in mehreren geografischen Rechenzentren betrieben wird, von einem engagierten Vollzeit-Team von spezialisierten Administratoren und DevOps-Mitarbeitern verwaltet, gesichert und ?berwacht.
Herausforderungen bei benutzerdefinierten Einstellungen
Bei einer selbst gehosteten L?sung muss der bereitgestellte Passwortmanager vom Administrator und jedem Endanwender an benutzerdefinierte URL-End-Point-Einstellungen angepasst werden. Die Nutzer m?ssen daf?r ?ber eine Netzwerkverbindung verf?gen und proaktiv zu den Einstellungen aufgefordert werden. Diese Einstellungen lassen sich zwar auch ?ber Gruppenrichtlinien und Mobile Device Management (MDM) vornehmen, aber das setzt voraus, dass man die volle und vollst?ndige Kontrolle ?ber alle Endger?te hat. Jedes Ger?t, das sich au?erhalb der Kontrolle befindet, muss vom Administrator oder Endanwender manuell konfiguriert werden. Ein Passwortmanager hingegen, der ?ber Cloud-Services bereitgestellt wird, ben?tigt keinerlei gesonderte oder individuelle Konfigurationen an den Endger?ten; er funktioniert Out-of-the-Box.
Kritische Funktionen sind ein Muss
Es gibt diverse Funktionen, die bei einer Vor-Ort-Installation eines Passwortmanagers m?glicherweise nicht verf?gbar sind. Dazu geh?ren zum Beispiel:
– die Echtzeit-Synchronisierung und -Push-Funktionen. Diese erfordern die Anbindung an die Cloud-Infrastruktur. Der Anbieter k?nnte hierf?r zwar ein Cloud-Relay zur Verf?gung stellen, was jedoch den eigentlichen Sinn eines Self-Hosting ad absurdum f?hrt.
– die Integration von Single Sign-On (SSO) inklusive eines on-premise Key Managements.
– die Integration von APIs inklusive eines Netzwerk-Routings von DevOps-/Produktionsservern zum selbst gehosteten Ziel-Endpunkt.
Ein professioneller cloud-basierter Passwortmanager wie der von Keeper hingegen bietet Echtzeit-Synchronisierung und ben?tigt f?r den Betrieb oder die Integration mit SSO keine On-Premise-Dienste. Alle APIs kommunizieren direkt mit der Keeper-Cloud, und verwenden zudem eine Zero-Knowledge-Verschl?sselung.
Keine Sicherheit ohne Schwachstellenmanagement
Damit Endanwender auf ihren Remote-Systemen oder mobilen Ger?ten auf den Passwortmanager zugreifen k?nnen, muss die gehostete Anwendung den eingehenden Netzwerkzugriff auf das Ziel freigeben. Das bedeutet, dass der Service ?ffentlich zug?nglich ist, so dass Bots und Cyberkriminelle ihn attackieren k?nnen. Infolgedessen sind Unternehmen gezwungen, eine Front-End-WAF-L?sung eines Drittanbieters zu erwerben und einzusetzen, was zus?tzlichen Aufwand f?r die Administration und zus?tzliche Kosten bedeutet.
Professionelle Passwortmanager-L?sungen hingegen bieten eine vollst?ndig verwaltete Zero Knowledge L?sung, die beispielsweise in Amazon Web Services gehostet wird. Dabei wird Amazon Shield/WAF zur Kontrolle von Distributed Denial of Service (DDoS) und anderen Bot-Angriffen eingesetzt.
Aufwand bei Software-Updates
Bei einer selbst gehosteten L?sung muss die vor Ort installierte Software f?r Updates vollst?ndig gesichert, gepatcht und gegebenenfalls neu gestartet werden. Das bedeutet Administrationsaufwand und potenziell auch ein Zeitfenster, in dem der Passwortmanager nicht verf?gbar ist – eine Situation, die kaum ein Unternehmen akzeptieren kann. Eine Passwort-Management-L?sung, die sich schnell ver?ndert, erfordert viele bewegliche Komponenten und st?ndige Produkt-Updates f?r die verschiedenen Plattformen – Web, Desktop, Mobile oder Browsererweiterungen. Das hohe Tempo der Updates erfordert h?ufige Software-Patches f?r jedes On-Premise-Produkt. Dabei besteht auch das Risiko, dass ein fehlerhafter Patch oder ein verpasster Patch ein ernsthaftes Problem verursacht.
Cloud-basierte Passwortmanager hingegen kennen diese Probleme nicht. Die Software ist auf allen Plattformen immer auf dem neuesten Stand und wird mit den neuesten Sicherheitsupdates gepatcht. Ein Eingreifen seitens des Nutzers oder kundenseitigen Administrators ist nicht erforderlich.
Potenzielle Gefahr von Innen
Bei einer selbst gehosteten L?sung hat der Administrator – und das k?nnen viele Mitarbeiter sein – die volle Kontrolle ?ber die Software sowie den Speicher. Dies gibt dem Administrator die M?glichkeit, die Kontrolle ?ber den Tresor eines Benutzers zu ?bernehmen. Noch einen Schritt weitergedacht: W?rde ein Administrator einen Service aus dem Quellcode erstellen, k?nnte er auch Bugs, Schwachstellen und die Ausweitung von Berechtigungen einf?hren beziehungsweise nutzen. In den meisten Umgebungen d?rfen Management-Teams und F?hrungskr?fte nicht zulassen, dass ein Administrator seine Rechte erweitert und auf den Inhalt von Benutzertresoren zugreift.
Keeper beispielsweise basiert auf einer Zero-Knowledge- und Zero-Trust-Sicherheitsarchitektur. Die Passwortl?sung kann so konfiguriert werden, dass delegierte Administratorrollen nur eingeschr?nkte Berechtigungen haben. Zudem haben Keeper-Administratoren niemals die M?glichkeit, die Tresore von Nutzern zu entschl?sseln.
L?cken durch Mitarbeiterwechsel
Es ist nicht zu vermeiden, dass beispielsweise ein Administrator, der f?r Sicherheit und Kontrolle der Unternehmensumgebung und damit auch f?r einen selbst gehosteten Passwortmanager verantwortlich ist, das Unternehmen verl?sst. Dies kann dazu f?hren, dass ein nicht verwaltetes, nicht gewartetes oder unsicheres System zur?ckbleibt, bis ein neuer Administrator diese Aufgaben ?bernimmt. Im schlechtesten Fall, wenn ein Administrator das Unternehmen unter ung?nstigen Bedingungen verl?sst, k?nnte sogar die T?r f?r b?swilliges Verhalten ge?ffnet sein, etwa f?r das Kopien von Benutzertresoren, das Einschleusen von Sicherheitsl?cken oder die Zerst?rung der Tresore.
Fazit
Eine gehostete Passwortmanagerl?sung macht f?r die wenigsten Unternehmen Sinn. Der Aufwand an Administrator-Ressourcen und Budgets ist viel zu hoch. Aber auch in Bezug auf die Sicherheit ist der gehostete Passwortmanager im Vergleich zur Cloud-L?sung meist die schlechtere Alternative. Eine Zero-Trust und eine Zero-Knowledge-Architektur kann mit einem cloudbasierten Modell zuverl?ssig und mit ausgewiesenen Experten sichergestellt werden.
Keywords:Keeper, Passwortmanager, Passwortsicherheit, Cyberattacken, on premise, Cloudl?sung, Sicherheit, Security,