Ist KeePass DSGVO-konform?
Ist KeePass DSGVO-konform? Frank Müns erklärt.
Passwortmanager sparen Zeit, Nerven und sorgen dafür, dass Sie für jeden Dienst ein starkes, individuelles Passwort verwenden können. Gleichzeitig sind Passwortdatenbanken oft die digitalen Generalschlüssel eines Unternehmens - landen sie ungeschützt in falschen Händen, drohen Betriebsstörungen, Reputationsschäden und hohe Kosten.
In diesem Fachbeitrag erfahren Sie konkret, wie Sie KeePass so einsetzen, dass es zur Arbeitserleichterung wird und nicht zum Single-Point-of-Failure. Sie erhalten klare Regeln, eine Prioritätenliste für Maßnahmen und eine kurze Checkliste, mit der Sie in wenigen Minuten prüfen können, ob Ihre Passwortverwaltung wirklich datenschutzkonform ist.
1) Warum Passwortmanager keine Selbstläufer sind.
Ein Passwortmanager bringt große Vorteile - besonders für Zugänge zu MS365, Social-Media-Accounts, Clouddiensten, Buchhaltung, Hosting oder VPN. Doch genau diese Sammelstellen enthalten oft die Schlüssel zu Kundendaten, Servern und Verwaltungsportalen. Wer Zugriff auf die Datenbank und das Masterpasswort hat, kann weitreichende Rechte erhalten.
Datenschutzkonform ist ein Passwortmanager nicht automatisch, nur weil die Datei auf einem Firmenserver oder Notebook liegt. Entscheidend ist, dass ausschließlich berechtigte Personen Zugriff erhalten, Passwörter gegen Verlust und Manipulation geschützt sind und das Unternehmen die organisatorische Kontrolle behält. Fehlen diese Maßnahmen, kann ein einzelner Vorfall gravierende Folgen haben.
Typische Angriffswege und Risiken
- Ein kompromittiertes Gerät: Bei Phishing, Malware oder heimlichen Fernzugriffen kann ein Angreifer versuchen, das Masterpasswort oder gespeicherte Zugangsdaten auszulesen.
- Manipulierte Konfigurationen: Mit lokalen Rechten lassen sich Einstellungen ändern oder automatisierte Klartext-Exporte auslösen.
- Unklare Zugriffsrechte: Wenn alle Mitarbeitenden dieselbe Datenbank oder dasselbe Masterpasswort verwenden, ist nach einem Vorfall kaum nachvollziehbar, wer welche Änderungen vorgenommen hat.
Es gibt viele Wege, wie Passwortmanager, wie KeePass, zu einem Risiko werden.
2) Wie Sie KeePass datenschutzkonform einsetzen
Hier sind die Regeln, die den Unterschied machen. Setzen Sie diese Maßnahmen um, reduziert sich das Risiko deutlich und KeePass wird zu einem sicheren Werkzeug.
1) Kein Sammelbecken ohne Berechtigungskonzept
Nicht jede Person braucht Zugriff auf alle Zugangsdaten. Trennen Sie Datenbanken oder Gruppen nach Teams, Funktionen, Mandanten oder Kritikalität. Ein Marketingmitarbeiter braucht keinen Zugang zu Buchhaltung, Serververwaltung oder Personalakten. Rollenbasierte Zugriffssteuerung minimiert den sogenannten "Blast Radius" im Ernstfall.
2) Masterpasswort konsequent schützen
Das Masterpasswort muss lang, einzigartig und sicher verwahrt sein. Ergänzen Sie den Schutz durch eine Keyfile und aktivieren Sie für besonders kritische Konten zusätzlich Multifaktor-Authentifizierung (MFA). Damit bleibt der Zugriff deutlich schwerer möglich, selbst wenn einzelne Passwörter kompromittiert werden.
3) Endgeräte absichern
Ein Passwortmanager schützt nicht vor einem bereits kompromittierten Rechner. Zu Ihrem Mindeststandard gehören:
- Regelmäßige Updates und aktueller Malware-Schutz
- Festplattenverschlüsselung
- Getrennte Benutzerkonten und eingeschränkte lokale Administratorrechte
- Sauber abgesicherter Zugriff auf Unternehmensgeräte
4) Klare, schriftliche Regeln
Legen Sie verbindlich fest, wer Passwortdatenbanken anlegen, verändern, exportieren oder löschen darf. Regeln Sie den Umgang mit gemeinsam genutzten Funktionskonten, die Vergabe neuer Zugänge sowie den Entzug von Berechtigungen beim Rollenwechsel oder Austritt von Mitarbeitenden. Schriftliche Regeln schaffen Nachvollziehbarkeit und minimieren Risiken.
5) Schulung und Dokumentation
Mitarbeitende müssen wissen, warum Passwörter nicht per E-Mail, Chat oder Excel geteilt werden dürfen. Dokumentieren Sie nachprüfbar die bestehenden Schutzmaßnahmen als Teil der technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO, damit Verantwortlichkeiten klar sind.
Maßnahmen-Übersicht
| Maßnahme | Warum wichtig ist es | Priorität |
|---|---|---|
| Zugriff nach Rollen trennen | Minimiert "Blast Radius" bei Kompromittierung | Hoch |
| Masterpasswort + Keyfile + MFA | Erhöht Hürde für Zugriff erheblich | Hoch |
| Endgeräte-Härtung | Verhindert Ausspähen auf kompromittierten Hosts | Hoch |
| Schriftliche Berechtigungsregeln | Nachvollziehbarkeit und organisatorische Kontrolle | Mittel |
| Schulung & Dokumentation | Vermeidet Fehlverhalten und erhöht Awareness | Mittel |
Je nach Unternehmensorganisation und Prozessen kommen ggf. weitere Maßnahmen hinzu.
Kurze Checkliste zum Sofort-Check
- Gibt es getrennte Passwortsammlungen oder nur eine einzige Firmen-Datenbank?
- Ist das Masterpasswort einzigartig und sicher verwahrt?
- Ist MFA für kritische Konten aktiviert?
- Sind Endgeräte gehärtet und verschlüsselt?
- Gibt es schriftliche Regeln und eine Dokumentation der Maßnahmen?
Wenn Sie mehrere Fragen mit Nein beantworten, besteht dringender Handlungsbedarf.
Fazit
Passwortmanager wie KeePass können datenschutzkonform und sehr nützlich sein, vorausgesetzt, sie sind in ein umfassendes Sicherheitskonzept eingebettet. Entscheidend sind ein durchdachtes Berechtigungskonzept, starker Schutz des Masterpassworts, abgesicherte Endgeräte, klare Regeln und kontinuierliche Schulung.
Probieren Sie heute Folgendes aus: Trennen Sie kritische Konten in eine eigene Gruppe, setzen Sie MFA für Admins und dokumentieren Sie kurz, wer Zugang zu welchen Daten hat. So machen Sie aus einer potenziellen Schwachstelle ein kontrolliertes Werkzeug.
Wie lange dauert es, bis sich Verbesserungen bemerkbar machen?
Bei sichtbaren Verbesserungen reicht oft schon die Umsetzung weniger hoher Prioritätspunkte - erste Effekte zeigen sich nach Tagen, stabilere Sicherheit nach Wochen.
Brauche ich für die Umsetzung spezielle IT-Kenntnisse?
Grundlegende Maßnahmen wie Rollen trennen, MFA aktivieren und schriftliche Regeln lassen sich ohne tiefgehende Spezialkenntnisse umsetzen; bei Endgeräte-Härtung empfiehlt sich die Einbindung der IT-Abteilung.
Was tun, wenn das Masterpasswort kompromittiert wurde?
Ändern Sie unverzüglich das Masterpasswort, überprüfen Sie alle kritischen Konten, entziehen Sie gegebenenfalls Zugänge, und führen Sie eine forensische Überprüfung kompromittierter Endgeräte durch.