Authentifizierungs-Audit
Die Authentifizierung ist der primäre Perimeter der Passwork-Sicherheit. Dieser Abschnitt überprüft, ob alle Authentifizierungskontrollen so konfiguriert sind, dass sie anmeldedatenbasierten Angriffen widerstehen und die Organisationsrichtlinie durchsetzen.
Navigieren Sie zu Einstellungen → Systemeinstellungen für die meisten Kontrollen in diesem Abschnitt.
1. Richtlinie für Zwei-Faktor-Authentifizierung
Was zu überprüfen ist
1.1 Erzwingung von 2FA nach Rolle
In Passwork wird die Erzwingung von 2FA pro Rolle konfiguriert. Navigieren Sie zu Einstellungen → Rollen und öffnen Sie jede Rolle (Besitzer, Admin und alle benutzerdefinierten Rollen mit erhöhten Rechten).
Überprüfen Sie, dass Verpflichtende Zwei-Faktor-Authentifizierung aktiviert ist für:
- Die Rolle Besitzer
- Alle Rollen auf Administrator-Ebene
- Alle benutzerdefinierten Rollen mit Zugriff auf Benutzerverwaltung, Systemeinstellungen oder Tresorverwaltung
1.2 Akzeptierte 2FA-Methoden
Überprüfen Sie, welche 2FA-Methoden für jede Rolle zulässig sind:
- TOTP (Passwork-2FA-App, Google Authenticator, Microsoft Authenticator) — akzeptabel
- Physische Sicherheitsschlüssel / WebAuthn-Passkeys — akzeptabel und für Admin-Konten bevorzugt
- Biometrie — akzeptabel
Verlangen Sie für administrative Konten physische FIDO2-/WebAuthn-Sicherheitsschlüssel anstelle von TOTP. Hardware-Schlüssel sind phishing-resistent; TOTP-Codes können von Echtzeit-Phishing-Proxys abgefangen werden.
2. Kontosperrungsrichtlinie
Eine fehlende oder zu großzügige Sperrungsrichtlinie ermöglicht unbegrenzte Brute-Force-Versuche.
Navigieren Sie zu Einstellungen → Systemeinstellungen → Sperrungsrichtlinien für die lokale Authentifizierung.
Was zu überprüfen ist
| Parameter | Empfohlener Wert | Feststellung bei Nichterfüllung |
|---|---|---|
| Maximale fehlgeschlagene Versuche | ≤ 5 | Hoch — ermöglicht Credential Stuffing |
| Zeitfenster zur Versuchsverfolgung | 5–15 Minuten | Mittel — zu kurz ermöglicht schnelles Durchprobieren |
| Sperrdauer | ≥ 15 Minuten oder unbegrenzt bis zur Freigabe durch den Admin | Hoch — kurze Sperren ermöglichen fortgesetzte Brute-Force-Angriffe |
NIST empfiehlt, fehlgeschlagene Authentifizierungsversuche auf höchstens 100 innerhalb von 30 Tagen zu begrenzen, mit effektiver Drosselung nach den ersten wenigen fehlgeschlagenen Versuchen. Eine Sperrung nach 5 Versuchen mit einer Abkühlphase von 15 Minuten ist eine sinnvolle und allgemein akzeptierte Umsetzung.
3. Sitzungsverwaltung
Was zu überprüfen ist
Navigieren Sie zu Einstellungen → Systemeinstellungen → Sitzungen.
3.1 Timeout bei Sitzungsinaktivität
Überprüfen Sie, dass ein Sitzungs-Timeout konfiguriert ist. Benutzer, die ihren Arbeitsplatz verlassen, ohne sich abzumelden, sollten nach einer Inaktivitätsphase automatisch abgemeldet werden.
| Umgebung | Empfohlenes Timeout |
|---|---|
| Allgemeine Büronutzung | 30–60 Minuten |
| Privilegierte Admin-Konten | 15–30 Minuten |
| Geteilte / Kiosk-Arbeitsplätze | 10–15 Minuten |
3.2 Aufbewahrung des Sitzungsverlaufs
Der Sitzungsverlauf bietet einen Audit-Trail aktiver und vergangener Sitzungen. Überprüfen Sie, dass die Aufbewahrungsdauer ausreicht, um die Untersuchung von Vorfällen zu unterstützen (empfohlen: mindestens 90 Tage).
3.3 Sicherheitseinstellungen für Cookies
Überprüfen Sie in config.env, dass das Sitzungs-Cookie mit den Flags Secure und SameSite=Strict oder SameSite=Lax gesetzt ist. Dies verhindert Cookie-Diebstahl über unverschlüsselte Kanäle sowie Cross-Site Request Forgery.
Benutzer können ihre eigenen aktiven Sitzungen unter Account-Einstellungen → Sitzungen überprüfen und verdächtige Sitzungen beenden. Als Administrator können Sie die Sitzungen jedes Benutzers über das Benutzerprofil beenden.
4. Passwortkomplexitätsrichtlinien
Passwork erzwingt separate Komplexitätsrichtlinien für das lokale Anmeldepasswort und das Masterpasswort (das für die clientseitige Verschlüsselung verwendet wird).
Richtlinie für das lokale Passwort
Navigieren Sie zu Einstellungen → Systemeinstellungen → Komplexitätsrichtlinien für lokale Passwörter.
| Parameter | Empfehlung |
|---|---|
| Mindestlänge | 12 Zeichen |
| Erforderliche Zeichenklassen | Groß- + Kleinbuchstaben + Ziffer + Sonderzeichen |
| Passworthistorie | Letzte 5 Passwörter |
| Häufige Passwörter verbieten | Aktiviert (falls verfügbar) |
Richtlinie für das Masterpasswort (CSE-Deployments)
Wenn die clientseitige Verschlüsselung aktiviert ist, navigieren Sie zu Einstellungen → Systemeinstellungen → Komplexitätsrichtlinien für Masterpasswörter.
| Parameter | Empfohlenes Minimum |
|---|---|
| Mindestlänge | 14 Zeichen |
| Erforderliche Zeichenklassen | Alle vier (Großbuchstaben, Kleinbuchstaben, Ziffer, Symbol) |
Es gibt keinen serverseitigen Wiederherstellungspfad für ein vergessenes Masterpasswort. Benutzer, die ihr Masterpasswort verlieren, verlieren den Zugriff auf die Inhalte ihres privaten Tresors. Erzwingen Sie Komplexitätsanforderungen, die stark, aber merkbar sind — oder schulen Sie die Benutzer, Masterpasswörter an einem sicheren Offline-Ort (nicht digital) zu speichern.
5. LDAP-Sicherheit
Wenn die LDAP-Integration konfiguriert ist, überprüfen Sie Folgendes.
5.1 LDAPS (TLS-verschlüsseltes LDAP)
Passwork muss über LDAPS (Port 636 mit TLS) mit dem Verzeichnisdienst verbinden, nicht über einfaches LDAP (Port 389). Einfaches LDAP überträgt Anmeldedaten im Klartext und ist anfällig für Man-in-the-Middle-Angriffe.
Überprüfen Sie unter Einstellungen → LDAP-Einstellungen → Serverkonfiguration:
- Die Server-URL beginnt mit
ldaps:// - Der Port ist 636 (oder der korrekte benutzerdefinierte Port für Ihren LDAPS-Dienst)
Anweisungen zur Installation von LDAPS-Zertifikaten finden Sie unter LDAPS-Konfiguration.
5.2 Berechtigungen des LDAP-Servicekontos
Das von Passwork verwendete LDAP-Servicekonto sollte Nur-Lese-Zugriff auf das Verzeichnis haben. Es darf keine Berechtigungen zum Ändern von Benutzern, Gruppen oder anderen Verzeichnisobjekten haben.
Überprüfen Sie mit dem Verzeichnisadministrator:
- Das Servicekonto hat nur Leseberechtigungen
- Das Servicekonto befindet sich in einer dedizierten OU für Servicekonten, nicht in einer privilegierten Gruppe
- Das Passwort des Servicekontos wird nur in der Passwork-config.env gespeichert und nicht für andere Dienste wiederverwendet
5.3 Speicherung der LDAP-Anmeldedaten
Das LDAP-Bind-Passwort wird in der Passwork-Datenbank gespeichert, verschlüsselt mit serverseitiger Verschlüsselung (AES-256-CFB). Überprüfen Sie:
- Die Datei
config.env(die den Server-Verschlüsselungsschlüssel enthält) hat restriktive Dateiberechtigungen:chmod 600 - Die Datei gehört dem Webserver-Benutzer und ist nicht für alle lesbar
# Linux
ls -la /var/www/init/config.env
# Expected: -rw------- 1 www-data www-data
6. SSO-Sicherheit
Wenn SSO konfiguriert ist, überprüfen Sie Folgendes.
6.1 Vertrauensbereich des IdP
Überprüfen Sie in der SSO-Konfiguration:
- Die Assertion-Consumer-Service-(ACS-)URL ist auf die exakte Passwork-URL gesetzt — kein Platzhalter
- Die Audience/Entity ID stimmt mit dem Bezeichner der Passwork-Anwendung überein
- Das IdP-Signaturzertifikat ist gültig und stammt vom erwarteten Aussteller
6.2 SSO als erzwungene Anmeldemethode
Wenn SSO die maßgebliche Authentifizierungsmethode der Organisation ist:
- Aktivieren Sie SSO-Anmeldung priorisieren in den Passwork-SSO-Einstellungen
- Erwägen Sie, die lokale Passwortauthentifizierung für SSO-Benutzer über die Authentifizierungseinstellungen des Benutzers zu deaktivieren
- Stellen Sie sicher, dass die lokale Passwortauthentifizierung für den Notfallzugriff verfügbar bleibt (Servicekonto, Besitzer-Konto)
6.3 Abstimmung der Lebensdauer von Sitzungstokens
Passwork stellt nach der SSO-Authentifizierung eigene Sitzungstokens aus. Überprüfen Sie, dass das Passwork-Sitzungs-Timeout (Abschnitt 3.1) mit der IdP-Sitzungslebensdauer abgestimmt oder kürzer ist als diese. Eine lange Passwork-Sitzung kann die SSO-Sitzung überdauern und ein Zeitfenster hinterlassen, in dem ein widerrufener IdP-Benutzer den Passwork-Zugriff behält.
7. Inaktive und verwaiste Konten
Verwaiste Konten — Konten von Benutzern, die die Organisation verlassen oder die Rolle gewechselt haben — sind ein anhaltendes Risiko für die Zugriffssteuerung.
Was zu überprüfen ist
- Suchen Sie nach Konten mit administrativen Rollen, die Benutzern zugewiesen sind, die diese nicht mehr benötigen
- Überprüfen Sie, dass die LDAP-Synchronisierung Konten ehemaliger Mitarbeiter korrekt deaktiviert oder entfernt hat
Wenn die LDAP-Synchronisierung aktiv ist, werden Benutzerkonten automatisch auf Basis der AD-Gruppenmitgliedschaft verwaltet. Das Entfernen eines Benutzers aus der relevanten AD-Gruppe entzieht ihm beim nächsten Synchronisierungszyklus den Passwork-Zugriff. Überprüfen Sie, dass der Synchronisierungsplan häufig genug ist, um Ihr SLA für den Zugriffsentzug zu erfüllen.
Zusammenfassende Checkliste
| # | Kontrolle | Status |
|---|---|---|
| 1.1 | 2FA verpflichtend für Besitzer und alle Admin-Rollen | |
| 1.2 | Keine Admin-Konten mit deaktivierter 2FA | |
| 2 | Kontosperrung nach ≤ 5 fehlgeschlagenen Versuchen mit ≥ 15-min-Abkühlphase | |
| 3.1 | Sitzungs-Timeout ≤ 60 min (≤ 30 min für Admins) | |
| 3.2 | Aufbewahrung des Sitzungsverlaufs ≥ 90 Tage | |
| 4.1 | Lokales Passwort: ≥ 12 Zeichen, alle Zeichenklassen | |
| 4.2 | Masterpasswort: ≥ 14 Zeichen (falls CSE aktiviert) | |
| 5.1 | LDAP verwendet LDAPS (Port 636, TLS) | |
| 5.2 | LDAP-Servicekonto ist nur lesend | |
| 5.3 | config.env-Dateiberechtigungen: 600, im Besitz des Webserver-Benutzers | |
| 6.1 | SSO-ACS-URL ist exakt (kein Platzhalter) | |
| 6.2 | Lokales Passwort für SSO-Benutzer deaktiviert (falls zutreffend) | |
| 6.3 | Passwork-Sitzungslebensdauer ≤ IdP-Sitzungslebensdauer | |
| 7 | Keine verwaisten/inaktiven Konten mit aktivem Tresorzugriff |