Aufbewahrung Passwort und Benutzerpasswörter

[pablovschby 10]

Tach

 

Darf man in einem AES-256-verschlüsselten Bereich als Word-Dateien Zugangspasswörter für Geräte, Administrationskonten aufbewahren? Zugang und somit das Passwort auf diesen Bereich haben nur der Admin und allenfalls Geschäftsleiter, Stellvertretung Admin. Sehe nicht, warum man das nicht darf. Passwortmanager funktionieren ja ungefähr gleich.

 

Heikle Frage:

Darf man im Einvernehmen mit dem Mitarbeiter (das heisst, der Mitarbeiter verlangt dies explizit) auf eine solche verschlüsselte Liste auch Mitarbeiterpasswörter tun? Es sind keine heikle Geschäftdaten bzw. das betrifft keine Bank oder Anwälte.

bearbeitet 27. Januar 2016 von pablovschby

[Nobbyaushb 1.581]

Spreche das mit eurer Mitarbeitervertretung und dem Haus-Anwalt ab.

 

Rechtliche Beratung kann und wird hier keiner machen.

 

[NilsK 3.046]

Moin,

 

das hängt ausschließlich von euren eigenen Sicherheitsrichtlinien ab. Es gibt keine allgemeinen rechtlichen Vorschriften, die bestimmte Verfahrensweisen vorschreiben oder ausschließen.

 

Gruß, Nils

[Dukel 468]

Unabhängig der Rechtlichen Lage würde ich mir zweimal überlegen das mit Word Dateien zu machen.

[Dr.Melzer 191]

Unabhängig der Rechtlichen Lage würde ich mir zweimal überlegen das mit Word Dateien zu machen.

Dem kann ich nur zustimmen, wenn überhaupt dann ein dafür spezialisiertes Tool wie zum Beispiel KeePass benutzen.

[pablovschby 10]

Unabhängig der Rechtlichen Lage würde ich mir zweimal überlegen das mit Word Dateien zu machen.

Warum nicht?

[blub 115]

jeden Monat werden neue kritische Sicherheitslücken in Office/ Word behoben

[BABA 11]

Warum nutzt Du nicht professionelle Tools wie z.B. PasswortSafe. ( https://www.passwordsafe.de/)

In der Enterprice Version kannst Du das ans AD anbinden und sogar AD Benutzer importieren und ausrollen. Rechte auf Ordner mit Passwörtern setzen usw.

Gleichzeitig habe ich in allen Browsern das Speichern der Kennwörter per GPO verboten, so dass nur die Passwörter genutzt werden die in Passwortsafe stehen.

Schriftliche Benutzerregeln wurden von der GF ausgegeben, das nur noch Passwortsafe genutzt werden darf. 

[blub 115]

wobei passwordsafe auf twofish basiert

 

Man kann darüber streiten, ob dies einen Nachteil darstellt:

 

https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/TechnischeRichtlinien/TR02102/BSI-TR-02102.html

-> Kapitel 2.1 ff

In Version 1.0 dieser Technischen Richtlinie wurden auch die Blockchiren Serpent und Two-
fish empfohlen. Es liegen keine negativen Erkenntnisse zu diesen Blockchiren vor, allerdings
wurde die Sicherheit von Serpent und Two-fish seit dem Ende des AES-Wettbewerbs deutlich
weniger intensiv untersucht als die des AES.

wir haben vor einem guten Jahr daher entschieden auf "Keepass" umzusteigen, das ab der Version 2.x nur noch auf AES setzt.

Von der Bedienbarkeit schenken sich m.E. beide Tools nichts. Die Migration (Export/ Import) von Passwordsafe nach Keepass zickte nur etwas bei Accounts/ Passwörtern mit Sonderzeichen.

 

blub