Phase 2: Struktur und Rollen
Geschätzte Dauer: ~2 Stunden
Verantwortlich: Projektleiter, Passwork-Administrator
Ergebnis: Die Tresor- und Ordnerstruktur bildet die Teamstruktur der Organisation ab; Rollen definieren, was jeder Benutzertyp tun darf.
2.1 Organisatorische Tresor-Struktur planen
Ordnen Sie die Organisationsstruktur einer Tresor-Hierarchie zu, bevor Sie Tresore in Passwork erstellen. Eine gut durchdachte Struktur reduziert den Aufwand für die Zugriffsverwaltung über den gesamten Lebenszyklus der Bereitstellung hinweg.
Empfohlenes Vorgehen:
- Ein Tresor pro Abteilung oder Geschäftsbereich
- Unterordner für Projekte, Umgebungen oder Dienstkategorien
- Separate Tresore für gemeinsam genutzte Infrastruktur-Anmeldedaten (z. B.
IT Infrastructure) und Anmeldedaten der Geschäftsleitung oder des Vorstands - Ein dedizierter Tresor für externe Auftragnehmer mit zeitlich begrenztem Zugang
Übersicht des Zugriffsmodells:
Organization
├── IT Infrastructure (vault) ← IT Admin team
│ ├── Production Servers
│ ├── Cloud Services
│ └── Network Devices
├── Marketing (vault) ← Marketing team
│ ├── Social Media
│ └── Analytics Tools
├── Finance (vault) ← Finance team
├── HR Systems (vault) ← HR team
└── External Contractors (vault) ← Project Lead + managers
Diese Struktur lässt sich sauber auf LDAP-Gruppen abbilden: Jede Active-Directory-Sicherheitsgruppe entspricht einer Passwork-Gruppe, der Zugriff auf den entsprechenden Tresor gewährt wird.
2.2 Tresor-Typen erstellen
Passwork unterstützt mehrere Tresor-Typen, die Standardverhalten und Sichtbarkeitsregeln steuern. Tresor-Typen werden vom Systemadministrator konfiguriert.
Navigieren Sie zu Einstellungen und Benutzer → Tresor-Verwaltung, um die verfügbaren Tresor-Typen zu konfigurieren.
Häufig zu konfigurierende Tresor-Typen:
| Typ | Anwendungsfall |
|---|---|
| Privat | Persönlicher Tresor – nur für den besitzenden Benutzer sichtbar |
| Unternehmen | Abteilungs- oder Team-Tresor – Zugriff wird vom Tresor-Besitzer/-Administrator verwaltet |
| Geteilt | Tresor mit breitem Zugang für organisationsweite Anmeldedaten |
Weisen Sie jedem Unternehmens-Tresor einen Unternehmensadministrator zu. Der Unternehmensadministrator hat vollständigen administrativen Zugriff auf den Tresor und kann anderen Administratoren Notfallzugriff gewähren.
2.3 Benutzerdefinierte Rollen konfigurieren
Rollen legen fest, welche Aktionen ein Benutzer in Passwork auf Systemebene ausführen kann (Tresore erstellen, Benutzer einladen, auf Einstellungen zugreifen). Die Standardrollen sind Besitzer, Admin und Benutzer.
Erstellen Sie benutzerdefinierte Rollen, wenn Ihre Organisation feiner abgestufte Rechte benötigt – zum Beispiel eine Rolle Help Desk, die Benutzer verwalten, aber keine Systemeinstellungen ändern kann, oder eine Rolle Auditor mit reinem Lesezugriff auf das Aktivitätsprotokoll.
Eine benutzerdefinierte Rolle erstellen
- Gehen Sie zu Einstellungen und Benutzer → Rollen.
- Klicken Sie auf Rolle erstellen.
- Geben Sie einen Namen für die neue Rolle ein.
- Klicken Sie auf Speichern.
- Öffnen Sie die erstellte Rolle und konfigurieren Sie die erforderlichen Rechte.
Die vollständige Dokumentation zur Rollenkonfiguration finden Sie unter Rolle erstellen.
2.4 RBAC-Struktur definieren
Die rollenbasierte Zugriffskontrolle (RBAC) in Passwork kombiniert Rollen auf Systemebene mit Zugangslevels auf Tresor-/Ordner-Ebene. Das resultierende Berechtigungsmodell funktioniert wie folgt:
User
└── assigned System Role (what they can do in Settings)
└── member of Group(s) (which vaults/folders they can see)
└── Group → Vault access (Read Only / Read and Edit / Full Access / Admin)
└── Folder overrides (more restrictive or more permissive per folder)
- Gewähren Sie Zugang primär über Gruppen, nicht über einzelne Benutzer. Das beschleunigt Onboarding und Offboarding.
- Wenden Sie das Prinzip der geringsten Rechte an: Beginnen Sie mit Nur Lesen und erweitern Sie die Rechte nur bei Bedarf.
- Verwenden Sie den Zugang Verboten für sensible Unterordner, um Benutzer explizit auszuschließen, die einen breiteren Gruppenzugang erben.
- Weisen Sie das Zugangslevel Administrator nur dem Tresor-Besitzer und einem Ersatzadministrator zu.
2.5 Notfallzugriff konfigurieren
Der Notfallzugriff ermöglicht einem dafür bestimmten Passwork-Administrator, im Notfall auf jeden Unternehmens-Tresor zuzugreifen (z. B. wenn ein Tresor-Besitzer nicht verfügbar ist). Konfigurieren Sie dies, bevor Benutzer beginnen, Anmeldedaten zu speichern.
Navigieren Sie zur Seite der Tresor-Verwaltung und weisen Sie einen Administrator für den Notfallzugriff zu.
Notfallzugriff sollte nicht mehr als einem oder zwei dafür bestimmten Administratoren gewährt werden. Dokumentieren Sie, wer über Notfallzugriff verfügt, und überprüfen Sie die Liste regelmäßig.
2.6 Einen Notfall-Service-Account erstellen
Erstellen Sie für Situationen, in denen der Account des Hauptbesitzers nicht zugänglich ist (verlorene Anmeldedaten, Ausscheiden, Handlungsunfähigkeit), einen dedizierten Service-Account, der als Unternehmensadministrator für alle Tresor-Typen fungiert.
Einrichtungsverfahren:
- Erstellen Sie einen neuen Passwork-Benutzer mit dem Namen
Service accountoder einem ähnlichen Namen, der ihn eindeutig als Systemaccount kennzeichnet. - Weisen Sie ihm die Rolle auf Administratorebene zu.
- Fügen Sie den Service-Account als Unternehmensadministrator zu allen kritischen Tresor-Typen hinzu (Einstellungen → Tresor-Einstellungen → jeder Tresor-Typ → Administratoren).
- Blockieren Sie die Authentifizierung für den Account: Deaktivieren Sie in den Benutzereinstellungen alle Anmeldemethoden bis auf eine (z. B. lokales Passwort).
- Legen Sie ein langes, zufällig generiertes Passwort für den Service-Account fest.
- Notieren Sie das Passwort des Service-Accounts und das Masterpasswort (falls die clientseitige Verschlüsselung aktiviert ist) und bewahren Sie sie auf einem physischen Medium auf – zum Beispiel in einem versiegelten Umschlag im Bürosafe des IT-Leiters oder in einem feuerfesten Dokumententresor.
- Sperren Sie den Benutzeraccount in Passwork (Einstellungen → Benutzer → Service-Account → Sperren), damit er nicht für die tägliche Anmeldung verwendet werden kann.
Wenn Notfallzugriff benötigt wird:
- Holen Sie die physischen Anmeldedaten.
- Entsperren Sie den Service-Account.
- Melden Sie sich an, greifen Sie auf den benötigten Tresor zu und führen Sie die erforderlichen Aktionen aus.
- Generieren Sie ein neues Passwort für den Service-Account.
- Sperren Sie den Account erneut und aktualisieren Sie die hinterlegten Anmeldedaten.
Protokollieren Sie jede Nutzung des Notfallzugriffs im IT-Vorfallprotokoll Ihrer Organisation. Der Notfallzugriff umgeht das normale Modell der Tresor-Eigentümerschaft und muss auditiert werden.
2.7 Clientseitige Verschlüsselung (CSE) – Entscheidungshilfe
Clientseitige Verschlüsselung bedeutet, dass Passwörter auf dem Gerät des Benutzers verschlüsselt werden, bevor sie an den Server gesendet werden. Der Passwork-Server hält niemals unverschlüsselte Anmeldedaten vor. Die Aktivierung von CSE erhöht das Sicherheitsniveau erheblich, hat jedoch betriebliche Auswirkungen.
| Faktor | CSE aktiviert | CSE deaktiviert |
|---|---|---|
| Ruhende Daten auf dem Server | Immer verschlüsselt | Nur auf Datenbankebene verschlüsselt |
| Admin kann Passwörter sehen | Nein | Ja (mit Datenbankzugriff) |
| Benutzer benötigt Masterpasswort | Ja – bei jeder Anmeldung | Nein |
| Masterpasswort vergessen | Alle privaten Daten gehen verloren | Nicht zutreffend |
| Tresor-Freigabe | Erfordert kryptografischen Schlüsselaustausch (Anfrage-/Genehmigungs-Ablauf) | Sofort |
| Automatische Zuweisung bei LDAP-Synchronisierung | Erfordert Genehmigung der Zugriffsanfrage | Vollständig automatisch |
| Leistung | Etwas höhere clientseitige CPU-Last bei großen Tresoren | Standard |
| Compliance | Erforderlich für Zero-Knowledge-Bereitstellungen | Standard-Enterprise |
Aktivieren Sie CSE, wenn:
- Ihre Organisation regulierte Daten (medizinisch, finanziell, rechtlich) verarbeitet, bei denen Zero-Knowledge eine Compliance-Anforderung ist
- Ihr Bedrohungsmodell Insider-Bedrohungen durch Systemadministratoren mit Datenbankzugriff umfasst
- Die Sicherheitsrichtlinie Ihrer Organisation eine Ende-zu-Ende-Verschlüsselung von Anmeldedaten vorschreibt
Aktivieren Sie CSE nicht (oder stellen Sie es zurück), wenn:
- Sie eine große Anzahl gemeinsam genutzter Tresore mit häufigen Änderungen der Mitgliedschaft haben – der Anfrage-/Genehmigungs-Ablauf verursacht zusätzlichen betrieblichen Aufwand
- Ihr Help-Desk-Team nicht darauf vorbereitet ist, Anfragen zum Zurücksetzen des Masterpassworts zu bearbeiten (die zu dauerhaftem Datenverlust für den betroffenen Benutzer führen)
- Sie einen Proof-of-Concept durchführen und das Produkt ohne die betriebliche Komplexität von CSE evaluieren möchten
CSE kann nach der ersten Bereitstellung aktiviert werden, erfordert jedoch einen Datenmigrationsschritt, der alle vorhandenen Tresore in das verschlüsselte Format überführt. Planen Sie entsprechend – aktivieren Sie CSE entweder von Anfang an oder nach einem definierten Zeitraum mit einem geplanten Migrationsfenster.
Den vollständigen Konfigurationsleitfaden finden Sie unter Clientseitige Verschlüsselung.
Abschlusskriterien für Phase 2
- Tresor-Struktur definiert und mit den Abteilungsleitern abgestimmt
- Unternehmens-Tresore mit passenden Namen und Typen erstellt
- Benutzerdefinierte Rollen für alle nicht standardmäßigen Rechteanforderungen erstellt
- Administratoren für den Notfallzugriff allen Unternehmens-Tresoren zugewiesen
- RBAC-Struktur dokumentiert: welche LDAP-Gruppe welchem Tresor und Zugangslevel zugeordnet ist
Fahren Sie fort mit Phase 3: Benutzer-Rollout.