Passwort-Manager selbst gehostet versus Cloud-Service

Auch in Zeiten der täglich zunehmenden und für viele selbstverständliche Nutzung der Cloud, wird gelegentlich und zurecht die Frage gestellt, ob eine Applikation selbst gehostet oder in der Cloud als Service betrieben werden sollte. [...]

Diese Frage fällt insbesondere dann ins Gewicht, wenn es sich dabei um geheime oder hoch sensible Daten handelt – beispielsweise bei Passwortmanagern.

Selbstverständlich existieren Pro- und Kontra-Argumente für und gegen einen Passwortmanager als Cloud-Service. Diese Argumente hat Keeper Security gegenübergestellt. Eines gleich zu Anfang voraus: Die meisten Argumente sprechen für die Cloud.

Fachkenntnis und Aufwand in der Administration

Ein Vorteil einer selbst gehosteten Kennwortverwaltungsplattform könnte dann vorstellbar sein, wenn ein Benutzer einen Desktop-Computer in einer vollkommen abgeschirmten Netzwerkumgebung verwendet. Da aber genau diese Rahmenbedingungen trifft auf die große Mehrheit von Privatpersonen oder Unternehmen nicht zu. Ergo ist dieser Vorteil lediglich von theoretischer Relevanz.

Im Gegensatz dazu hat insbesondere die Verwaltung der eigens gehosteten Infrastruktur diverse Nachteile gegenüber einer Cloud-Lösung. Bei einer gehosteten Lösung ist der Kunde für die Bereitstellung des Containers, das Hosting, den Lastausgleich, die SSL-Zertifikate, das Routing und die Firewall verantwortlich.

Der Kunde muss sich also neben der Verwaltung der Endanwender zusätzlich um die Verwaltung der kompletten Softwareplattform kümmern. Das hat Folgen. Denn wenn irgendwo in der Gesamtstruktur etwas schief geht – und diese Wahrscheinlichkeit ist hoch – trägt der Administrator die volle Verantwortung.

Um einen selbst gehosteten Passwortmanager zu betreiben würden weitreichende Fachkenntnisse vonnöten sein, beispielsweise für:

• Verwaltung von Docker-Containern
• Docker Swarm für eine hohe Verfügbarkeit
• Datenbankserver-Hosting, Wartung, Upgrades und Backup
• Lastausgleich
• Firewall/Web Application Firewall (WAF)
• Verwaltung von Windows- oder Linux-Diensten
• Patching, Sicherung und Wiederherstellung von Instanzen
• Hardware-Verwaltung – Installation und laufende Wartung von Servern, Netzwerkinfrastruktur (Router, Switches), Firewall-/Sicherheitsanwendungen, Speicher-Arrays und Elektrik
• Gebäudewartung – Notstromversorgung (Generatoren, Batterien), Umweltschutz, physische Sicherheit und Zugangskontrolle.

Im Gegensatz dazu wird ein Passwortmanager wie Keeper, der in einer großen Cloud-Infrastruktur in mehreren geografischen Rechenzentren betrieben wird, von einem engagierten Vollzeit-Team von spezialisierten Administratoren und DevOps-Mitarbeitern verwaltet, gesichert und überwacht.

Herausforderungen bei benutzerdefinierten Einstellungen

Bei einer selbst gehosteten Lösung muss der bereitgestellte Passwortmanager vom Administrator und jedem Endanwender an benutzerdefinierte URL-End-Point-Einstellungen angepasst werden. Die Nutzer müssen dafür über eine Netzwerkverbindung verfügen und proaktiv zu den Einstellungen aufgefordert werden.

Diese Einstellungen lassen sich zwar auch über Gruppenrichtlinien und Mobile Device Management (MDM) vornehmen, aber das setzt voraus, dass man die volle und vollständige Kontrolle über alle Endgeräte hat.

Jedes Gerät, das sich außerhalb der Kontrolle befindet, muss vom Administrator oder Endanwender manuell konfiguriert werden. Ein Passwortmanager hingegen, der über Cloud-Services bereitgestellt wird, benötigt keinerlei gesonderte oder individuelle Konfigurationen an den Endgeräten; er funktioniert Out-of-the-Box.

Kritische Funktionen sind ein Muss

Es gibt diverse Funktionen, die bei einer Vor-Ort-Installation eines Passwortmanagers möglicherweise nicht verfügbar sind. Dazu gehören zum Beispiel:

• die Echtzeit-Synchronisierung und -Push-Funktionen. Diese erfordern die Anbindung an die Cloud-Infrastruktur. Der Anbieter könnte hierfür zwar ein Cloud-Relay zur Verfügung stellen, was jedoch den eigentlichen Sinn eines Self-Hosting ad absurdum führt.
• die Integration von Single Sign-On (SSO) inklusive eines on-premise Key Managements.
• die Integration von APIs inklusive eines Netzwerk-Routings von DevOps-/Produktionsservern zum selbst gehosteten Ziel-Endpunkt.

Ein professioneller cloud-basierter Passwortmanager wie der von Keeper hingegen bietet Echtzeit-Synchronisierung und benötigt für den Betrieb oder die Integration mit SSO keine On-Premises-Dienste.

Alle APIs kommunizieren direkt mit der Keeper-Cloud, und verwenden zudem eine Zero-Knowledge-Verschlüsselung.

Keine Sicherheit ohne Schwachstellenmanagement

Damit Endanwender auf ihren Remote-Systemen oder mobilen Geräten auf den Passwortmanager zugreifen können, muss die gehostete Anwendung den eingehenden Netzwerkzugriff auf das Ziel freigeben.

Das bedeutet, dass der Service öffentlich zugänglich ist, so dass Bots und Cyberkriminelle ihn attackieren können. Infolgedessen sind Unternehmen gezwungen, eine Front-End-WAF-Lösung eines Drittanbieters zu erwerben und einzusetzen, was zusätzlichen Aufwand für die Administration und zusätzliche Kosten bedeutet.

Professionelle Passwortmanager-Lösungen hingegen bieten eine vollständig verwaltete Zero Knowledge Lösung, die beispielsweise in Amazon Web Services gehostet wird. Dabei wird Amazon Shield/WAF zur Kontrolle von Distributed Denial of Service (DDoS) und anderen Bot-Angriffen eingesetzt.

Aufwand bei Software-Updates

Bei einer selbst gehosteten Lösung muss die vor Ort installierte Software für Updates vollständig gesichert, gepatcht und gegebenenfalls neu gestartet werden. Das bedeutet Administrationsaufwand und potenziell auch ein Zeitfenster, in dem der Passwortmanager nicht verfügbar ist – eine Situation, die kaum ein Unternehmen akzeptieren kann.

Eine Passwort-Management-Lösung, die sich schnell verändert, erfordert viele bewegliche Komponenten und ständige Produkt-Updates für die verschiedenen Plattformen – Web, Desktop, Mobile oder Browsererweiterungen.

Das hohe Tempo der Updates erfordert häufige Software-Patches für jedes On-Premise-Produkt. Dabei besteht auch das Risiko, dass ein fehlerhafter Patch oder ein verpasster Patch ein ernsthaftes Problem verursacht.

Cloud-basierte Passwortmanager hingegen kennen diese Probleme nicht. Die Software ist auf allen Plattformen immer auf dem neuesten Stand und wird mit den neuesten Sicherheitsupdates gepatcht. Ein Eingreifen seitens des Nutzers oder kundenseitigen Administrators ist nicht erforderlich.

Potenzielle Gefahr von Innen

Bei einer selbst gehosteten Lösung hat der Administrator – und das können viele Mitarbeiter sein – die volle Kontrolle über die Software sowie den Speicher. Dies gibt dem Administrator die Möglichkeit, die Kontrolle über den Tresor eines Benutzers zu übernehmen.

Noch einen Schritt weitergedacht: Würde ein Administrator einen Service aus dem Quellcode erstellen, könnte er auch Bugs, Schwachstellen und die Ausweitung von Berechtigungen einführen beziehungsweise nutzen. In den meisten Umgebungen dürfen Management-Teams und Führungskräfte nicht zulassen, dass ein Administrator seine Rechte erweitert und auf den Inhalt von Benutzertresoren zugreift.

Keeper beispielsweise basiert auf einer Zero-Knowledge– und Zero-Trust-Sicherheitsarchitektur. Die Passwortlösung kann so konfiguriert werden, dass delegierte Administratorrollen nur eingeschränkte Berechtigungen haben. Zudem haben Keeper-Administratoren niemals die Möglichkeit, die Tresore von Nutzern zu entschlüsseln.

Lücken durch Mitarbeiterwechsel

Es ist nicht zu vermeiden, dass beispielsweise ein Administrator, der für Sicherheit und Kontrolle der Unternehmensumgebung und damit auch für einen selbst gehosteten Passwortmanager verantwortlich ist, das Unternehmen verlässt.

Dies kann dazu führen, dass ein nicht verwaltetes, nicht gewartetes oder unsicheres System zurückbleibt, bis ein neuer Administrator diese Aufgaben übernimmt. Im schlechtesten Fall, wenn ein Administrator das Unternehmen unter ungünstigen Bedingungen verlässt, könnte sogar die Tür für böswilliges Verhalten geöffnet sein, etwa für das Kopien von Benutzertresoren, das Einschleusen von Sicherheitslücken oder die Zerstörung der Tresore.

Fazit

Eine gehostete Passwortmanagerlösung macht für die wenigsten Unternehmen Sinn. Der Aufwand an Administrator-Ressourcen und Budgets ist viel zu hoch. Aber auch in Bezug auf die Sicherheit ist der gehostete Passwortmanager im Vergleich zur Cloud-Lösung meist die schlechtere Alternative.

Eine Zero-Trust und eine Zero-Knowledge-Architektur kann mit einem cloudbasierten Modell zuverlässig und mit ausgewiesenen Experten sichergestellt werden.

powered by www.it-daily.net