Glossar

Ein Nachschlagewerk zu Konzepten, Protokollen, Technologien und weiterem Fachjargon, dem Sie auf unserer Website oder in der Praxis begegnen können

Ein Nachschlagewerk zu den wichtigsten Konzepten, Protokollen und Technologien der Cybersicherheit rund um Passwortverwaltung, privilegierten Zugriff und das Sicherheitsniveau von Unternehmen.

Zugriffssicherheit

Zugriffssicherheit bezeichnet die Gesamtheit der technischen und organisatorischen Maßnahmen, die den Zugriff auf die Ressourcen eines Informationssystems schützen. Dazu gehören starke Authentifizierung, rollenbasierte Zugriffskontrolle (RBAC), das Prinzip der minimalen Rechte, Sitzungsaufzeichnung und die Verwaltung privilegierter Zugriffe (PAM). Wirksame Zugriffssicherheit schützt vor unbefugtem Zugriff, der Kompromittierung von Konten und lateralen Bewegungen im Netzwerk.

AES-256

AES-256 (Advanced Encryption Standard, 256 Bit) ist ein symmetrischer Verschlüsselungsalgorithmus, der weltweit zum Schutz vertraulicher und sensibler Daten eingesetzt wird. Mit der heutigen Rechentechnik gilt er als nicht zu brechen. AES-256 ist der Verschlüsselungsstandard von Regierungen, Finanzinstituten und sicherheitsbewussten Organisationen, um Daten im Ruhezustand und bei der Übertragung zu verschlüsseln. Heimlane Vault verwendet AES-256-CBC mit HMAC-SHA256, um den gesamten Inhalt des Tresors clientseitig zu verschlüsseln, bevor er den Server überhaupt erreicht.

Argon2id

Argon2id ist eine moderne Schlüsselableitungsfunktion (KDF), die Brute-Force-Angriffe abwehrt, indem sie erheblich Speicher und Rechenzeit verlangt. Sie gewann 2015 den Password Hashing Competition und wird von OWASP für das Hashing von Passwörtern empfohlen. Anders als ältere Algorithmen wie PBKDF2 ist Argon2id dank seines speicherintensiven Designs widerstandsfähig gegen Angriffe mit GPUs und ASICs. Heimlane Vault unterstützt Argon2id als empfohlene KDF, um aus den Passwörtern der Nutzer die Master-Schlüssel abzuleiten.

Audit-Trail

Ein Audit-Trail ist die chronologische Aufzeichnung darüber, wer was wann und von wo aus getan hat, in einer Form, die als Nachweis vorgelegt werden kann. Beim privilegierten Zugriff besteht er aus strukturierten Ereignissen (Authentifizierung, Sitzung geöffnet, Ziel erreicht, Zugangsdaten verwendet, Datei übertragen, Sitzung geschlossen) statt aus Video. Das macht ihn durchsuchbar, in ein SIEM exportierbar und für Compliance-Berichte nutzbar. Sein Wert hängt von seiner Integrität ab: Protokolle müssen dort geschrieben werden, wo die protokollierte Person sie nicht verändern kann, und lange genug aufbewahrt werden, um die Erkennungsverzögerung eines realen Vorfalls abzudecken, die in Monaten gemessen wird. Die Sitzungsaufzeichnung zeigt, was auf dem Bildschirm geschehen ist; der Audit-Trail ist das, was Sie abfragen.

Bastion

Eine Bastion (auch Bastion-Host oder Jump-Server genannt) ist ein gehärteter Einstiegspunkt, der als einziges, kontrolliertes Gateway für Administratoren und externe Dienstleister dient, um auf die Server und Anwendungen einer Organisation zuzugreifen. Alle privilegierten Verbindungen laufen über die Bastion, die Benutzer authentifiziert, Zugriffsrichtlinien durchsetzt, Sitzungen aufzeichnet und einen vollständigen Audit-Trail liefert. In Frankreich wird “Bastion” weithin als Synonym für PAM-Lösungen (Privileged Access Management) verwendet. Heimlane Realm arbeitet als Bastion und bietet browserbasierten Zugriff auf RDP-, SSH- und VNC-Ziele mit vollständiger Sitzungsaufzeichnung und Injektion von Zugangsdaten. Mehr dazu: was ein Bastion-Host ist, wofür er dient und wie man ihn einsetzt.

Breach-Monitoring

Breach-Monitoring prüft, ob eine E-Mail-Adresse, eine Domain oder ein Passwort in bekannten Datenlecks und Credential-Dumps auftaucht, die öffentlich oder auf kriminellen Marktplätzen kursieren. Dazu werden Ihre Kennungen mit aggregierten Leak-Sammlungen wie Have I Been Pwned abgeglichen, in der Regel per k-Anonymität, sodass der Dienst nie das vollständige geprüfte Passwort erfährt. Ein Treffer bedeutet nicht, dass Ihr Tresor kompromittiert wurde; er bedeutet, dass ein Zugangsdatum, das Sie irgendwo verwenden, öffentlich ist und geändert werden muss. Heimlane Vault enthält manuelle Leak-Prüfungen im kostenlosen Tarif und automatische Massenprüfungen in den kostenpflichtigen Tarifen, damit kompromittierte Zugangsdaten auffallen, bevor jemand dazu kommt, sie zu verwenden.

Break-Glass-Konto

Ein Break-Glass-Konto, auch Notfall-Administratorkonto genannt, ist ein hochprivilegiertes Konto, das für den Tag bereitgehalten wird, an dem die normalen Zugangswege ausfallen: Der Identity Provider ist nicht verfügbar, MFA steht nicht zur Verfügung oder die PAM-Lösung selbst ist nicht erreichbar. Es existiert gerade deshalb, weil die Zentralisierung des Zugriffs einen Single Point of Failure schafft. Gute Praxis ist, nur sehr wenige solcher Konten zu führen, die Zugangsdaten offline oder in einem separaten Tresor zu versiegeln, die routinemäßige Nutzung zu untersagen, bei jeder Authentifizierung Alarm auszulösen und ein Verfahren für die Nutzung und die anschließende Rotation zu dokumentieren. Ein Break-Glass-Verfahren, das nie geübt wurde, ist kein Verfahren.

CLOUD Act

Der CLOUD Act (Clarifying Lawful Overseas Use of Data Act, 2018) ist ein US-Bundesgesetz, das es US-Behörden erlaubt, in den USA ansässige Dienstleister zur Herausgabe der von ihnen kontrollierten Daten zu zwingen, unabhängig vom Land, in dem diese gespeichert sind. Das europäische Rechenzentrum eines US-Unternehmens ist daher nicht außer Reichweite, ebenso wenig die europäische Tochtergesellschaft einer US-Muttergesellschaft. Dies ist die rechtliche Grundlage der meisten Bedenken zur digitalen Souveränität in Europa und der Grund, warum “in der EU gehostet” allein keine ausreichende Antwort ist: Entscheidend ist, wer den Betreiber kontrolliert und ob die Daten so verschlüsselt sind, dass der Betreiber den Klartext gar nicht herausgeben kann.

Injektion von Zugangsdaten

Die Injektion von Zugangsdaten (Credential Injection) ist das automatische Einfügen gespeicherter Zugangsdaten (Benutzername, Passwort) in eine Anmeldesitzung, ohne sie dem Benutzer offenzulegen. Der Benutzer verbindet sich über eine PAM-Lösung mit einem Zielsystem, die Lösung ruft die Zugangsdaten aus dem Passwort-Tresor ab und injiziert sie transparent. Das beseitigt geteilte Passwörter, verhindert den Diebstahl von Zugangsdaten durch Keylogger und schafft einen vollständigen Audit-Trail darüber, wer wann mit welchem Konto auf was zugegriffen hat. Heimlane Realm ruft Zugangsdaten aus Vault ab und injiziert sie in RDP-, SSH-, VNC- und Websitzungen.

Credential Stuffing

Credential Stuffing ist die automatisierte Wiederverwendung von Paaren aus Benutzername und Passwort, die bei einem Dienst gestohlen wurden, gegen viele andere Dienste, in der Wette auf die Wiederverwendung von Passwörtern. Es ist kein Raten: Die Zugangsdaten sind bereits irgendwo gültig. Deshalb genügt eine Erfolgsquote von einem Bruchteil eines Prozents, um im großen Maßstab profitabel zu sein, und deshalb ist der Datenverkehr kaum von gewöhnlichen fehlgeschlagenen Anmeldungen zu unterscheiden. Die Gegenmaßnahmen sind ein eigenes Passwort für jeden Dienst, was in der Praxis einen Passwort-Manager bedeutet, kombiniert mit MFA und Breach-Monitoring, damit ein geleaktes Zugangsdatum geändert wird, bevor es jemand anderswo ausprobiert.

CSPN

CSPN (Certification de Sécurité de Premier Niveau) ist eine französische Sicherheitszertifizierung der ANSSI. Sie bestätigt, dass ein Produkt einen definierten Katalog von Sicherheitsanforderungen erfüllt, geprüft von einem akkreditierten Evaluierungslabor. CSPN ist leichter und schneller zu erlangen als eine Zertifizierung nach Common Criteria (CC) und wird bei der öffentlichen Auftragsvergabe und in regulierten Branchen in Frankreich breit anerkannt.

Cyberversicherung

Eine Cyberversicherung ist ein Versicherungsvertrag, der die finanziellen Verluste und Haftungsrisiken aus einem Cybersicherheitsvorfall (Ransomware, Datendiebstahl, Betriebsunterbrechung) abdeckt. Versicherer verlangen zunehmend nachweisbare Sicherheitskontrollen, etwa Verwaltung privilegierter Zugriffe, Sitzungsaufzeichnung, starke Authentifizierung und Passwortrichtlinien, bevor sie Deckung gewähren oder Prämien senken.

Cyber Resilience Act (CRA)

Der Cyber Resilience Act ist eine seit Dezember 2024 geltende EU-Verordnung, die Cybersicherheitsanforderungen für Produkte mit digitalen Elementen festlegt, die auf dem europäischen Markt in Verkehr gebracht werden: Hardware, Software und die zugehörigen Datenverarbeitungslösungen aus der Ferne. Sie verlangt sichere Standardkonfigurationen, den Umgang mit Schwachstellen samt koordinierter Offenlegung und Sicherheitsupdates während eines festgelegten Support-Zeitraums, nachgewiesen durch die CE-Kennzeichnung. Die Hauptpflichten gelten ab Dezember 2027, die Meldepflichten für Schwachstellen und Vorfälle ab September 2026. Während NIS2 regelt, wie Organisationen arbeiten müssen, regelt der CRA, was Hersteller verkaufen dürfen.

Digitale Souveränität

Digitale Souveränität bezeichnet die Fähigkeit einer Organisation oder eines Staates, die eigene digitale Infrastruktur, die eigenen Daten und die eigenen Technologieentscheidungen zu kontrollieren, ohne von ausländischen Anbietern oder Rechtsordnungen abhängig zu sein. In der Cybersicherheit bedeutet digitale Souveränität, Daten innerhalb der EU zu hosten, in Europa entwickelte Lösungen einzusetzen und sicherzustellen, dass keine ausländische Regierung über extraterritoriale Gesetze wie den US CLOUD Act Zugriff auf Kundendaten erzwingen kann.

DORA

DORA (Digital Operational Resilience Act) ist eine seit dem 17. Januar 2025 geltende EU-Verordnung, die die Anforderungen an die operationale Resilienz im Finanzsektor harmonisiert: Banken, Versicherer, Wertpapierfirmen, Zahlungsinstitute, Anbieter von Krypto-Dienstleistungen und deren kritische IKT-Lieferanten. Sie umfasst IKT-Risikomanagement, Vorfallsmeldungen, Resilienztests und insbesondere das Risiko durch Dritte: Finanzunternehmen müssen ein Register ihrer IKT-Dienstleister führen und diesen vertragliche Sicherheitsanforderungen auferlegen. Ihre Erwartungen an die Zugriffskontrolle überschneiden sich stark mit NIS2 und mit dem, was die Verwaltung privilegierter Zugriffe ohnehin leistet: starke Authentifizierung, minimale Rechte und nachprüfbare Aufzeichnungen administrativer Tätigkeit.

Notfallzugriff (digitaler Nachlass)

Der Notfallzugriff ermöglicht es einem Nutzer, eine Vertrauensperson zu bestimmen, die im Fall von Tod, Handlungsunfähigkeit oder Verlust der Zugangsdaten Zugriff auf seinen Tresor beantragen kann. Der Antrag löst eine Wartefrist aus, in der der Inhaber ihn ablehnen kann; läuft die Frist ohne Ablehnung ab, wird der Zugriff gewährt. Richtig umgesetzt ist der Mechanismus kryptografisch statt administrativ: Der Tresorschlüssel wird im Voraus für den Schlüssel der Vertrauensperson verpackt, sodass der Anbieter den Tresor selbst weiterhin nicht öffnen kann und Zero-Knowledge erhalten bleibt. Das beantwortet die schwierigste Frage im Zero-Knowledge-Design: Was geschieht, wenn die einzige Person, die die Daten entschlüsseln kann, nicht mehr da ist? Heimlane Vault bietet den Notfallzugriff über eine benannte Vertrauensperson und eine Wartefrist.

Ende-zu-Ende-Verschlüsselung

Ende-zu-Ende-Verschlüsselung (E2EE) bedeutet, dass Daten auf dem Gerät des Absenders verschlüsselt werden und nur auf dem Gerät des Empfängers entschlüsselt werden können. Kein Vermittler, auch nicht der Dienstanbieter, kann auf den Klartext zugreifen. Sie ist die Grundlage von Zero-Knowledge-Architekturen, in denen der Anbieter nie Zugriff auf Kundendaten hat, selbst wenn seine Server kompromittiert werden.

FIDO2 / WebAuthn

FIDO2 ist ein offener Authentifizierungsstandard der FIDO Alliance, und WebAuthn ist die Browser-API, die ihn umsetzt. Statt eines gemeinsamen Geheimnisses hält der Authenticator (ein Hardware-Schlüssel wie ein YubiKey oder ein Plattform-Authenticator wie Windows Hello oder Touch ID) einen privaten Schlüssel und signiert eine Challenge, die von der Website gesendet wird. Die Signatur ist an den Ursprung der Website gebunden, sodass eine täuschend ähnliche Domain nichts Wiederverwendbares erhält. Das macht FIDO2 von Grund auf phishing-resistent, anders als TOTP- oder SMS-Codes, bei denen ein Nutzer dazu gebracht werden kann, sie in Echtzeit an einen Angreifer weiterzugeben. Heimlane Vault unterstützt FIDO2- / WebAuthn-Hardware-Sicherheitsschlüssel als zweiten Faktor in den kostenpflichtigen Tarifen.

Vier-Augen-Prinzip

Das Vier-Augen-Prinzip verlangt für eine sensible Handlung zwei Personen: Die eine führt sie aus, die andere genehmigt sie. Beim privilegierten Zugriff bedeutet das, dass eine Sitzung auf einem kritischen System erst beginnen kann, wenn eine zweite berechtigte Person die Anfrage freigibt; in strengeren Varianten verfolgt eine Aufsichtsperson die Sitzung live und kann sie beenden. Es ist die übliche Kontrolle überall dort, wo ein einzelner Administrator sonst ungeprüfte Macht über Produktionssysteme oder Finanzdaten hätte, weshalb es in der Bank- und Industrieregulierung vorkommt. Es ist auch als duale Kontrolle oder duale Autorisierung bekannt.

DSGVO

Die Datenschutz-Grundverordnung (DSGVO) ist die Verordnung der Europäischen Union, die die Erhebung, Verarbeitung und Speicherung personenbezogener Daten regelt. Sie verlangt von Organisationen, geeignete technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten umzusetzen, darunter Verschlüsselung, Zugriffskontrollen und die Fähigkeit, die Einhaltung nachzuweisen. Die DSGVO gilt für jede Organisation, die Daten von Personen in der EU verarbeitet, unabhängig davon, wo die Organisation ansässig ist.

HSM

Ein HSM (Hardware-Sicherheitsmodul) ist ein manipulationsgeschütztes Gerät, das kryptografische Schlüssel erzeugt und speichert und Operationen damit ausführt, ohne dass der Schlüssel die Hardware jemals in verwendbarer Form verlässt. Anwendungen bitten das HSM zu signieren oder zu entschlüsseln, statt sich den Schlüssel selbst zu borgen. HSMs sind nach Standards wie FIPS 140-3 und Common Criteria zertifiziert und im Zahlungsverkehr, bei Zertifizierungsstellen und bei qualifizierten elektronischen Signaturen vorgeschrieben. Cloud-Anbieter bieten sie als Managed Service an, meist als HSM-gestützten Schlüsselverwaltungsdienst. Sie schützen die Schlüssel, die alles andere schützen, weshalb sie an der Wurzel der meisten ernstzunehmenden Schlüsselhierarchien stehen.

Identity Provider (IdP)

Ein Identity Provider ist das System, das Benutzer authentifiziert und ihre Identität gegenüber Anwendungen bestätigt, die ihm vertrauen, statt eigene Passwörter zu halten. Microsoft Entra ID, Okta, Google Workspace und Keycloak sind gängige Beispiele. Anwendungen binden ihn über SAML 2.0 oder OpenID Connect an, und dieselbe Integration transportiert meist auch die Gruppenzugehörigkeit, die dann die Autorisierung steuert. Die Zentralisierung der Authentifizierung macht SSO, eine einheitliche MFA-Richtlinie und sofortiges Offboarding erst möglich; sie bündelt aber auch das Risiko, denn wer den Identity Provider kontrolliert, kontrolliert alles, was daran hängt. Deshalb sollten die Administratorkonten des Identity Providers selbst das Erste sein, was ein Programm für privilegierte Zugriffe abdeckt.

ISO 27001

ISO/IEC 27001 ist der internationale Standard für Informationssicherheits-Managementsysteme (ISMS). Statt eine feste Liste von Maßnahmen vorzuschreiben, verlangt er von einer Organisation, ihre Risiken zu identifizieren, angemessene Maßnahmen aus Anhang A auszuwählen und nachzuweisen, dass das Gesamtsystem gemessen und fortlaufend verbessert wird. Die Zertifizierung wird nach einem Audit von einer akkreditierten Stelle erteilt und gilt drei Jahre mit jährlichen Überwachungsaudits. Sie ist die Zertifizierung, die in Unternehmensausschreibungen und Lieferantenfragebögen am häufigsten verlangt wird. Mehrere Maßnahmen aus Anhang A, insbesondere privilegierte Zugriffsrechte, geheime Authentifizierungsinformationen sowie Protokollierung und Überwachung, entsprechen direkt dem, was ein Passwort-Tresor und eine PAM-Lösung leisten.

Just-in-Time-Zugriff (JIT)

Just-in-Time-Zugriff gewährt ein Privileg nur dann, wenn es gebraucht wird, und nur so lange, wie es gebraucht wird, und entzieht es danach automatisch, anstelle von Konten, die dauerhaft administrative Rechte halten. Eine Anfrage wird gestellt und genehmigt oder nach Richtlinie automatisch bewilligt, die Berechtigung wird erstellt, die Arbeit wird erledigt, und die Berechtigung läuft ab. Ziel ist es, das Zeitfenster zu verkleinern, in dem ein kompromittiertes Konto etwas wert ist: Dauerhafte Privilegien erbt ein Angreifer, und administrative Rechte liegen in der überwältigenden Mehrzahl der Zeit ungenutzt herum. Es ist das Prinzip der minimalen Rechte, angewandt auf die Zeit ebenso wie auf den Umfang.

KDF (Schlüsselableitungsfunktion)

Eine Schlüsselableitungsfunktion wandelt ein menschliches Passwort in einen kryptografischen Schlüssel fester Länge um. Weil Passwörter kurz und erratbar sind, ist eine KDF absichtlich langsam und ressourcenhungrig: Sie wendet sehr viele Iterationen an und in modernen Designs zusätzlich einen erheblichen Speicherbedarf, sodass jeder Rateversuch einen Angreifer echte Zeit und echte Hardware kostet. Das steht zwischen einem gestohlenen verschlüsselten Tresor und seinem Inhalt. Argon2id und PBKDF2 sind die beiden KDFs, die üblicherweise für Passwort-Tresore verwendet werden; scrypt und bcrypt findet man ebenfalls. Die Wahl einer KDF bedeutet auch die Wahl ihrer Parameter: Iterationszahl, Speicherkosten und Parallelität. Heimlane Vault leitet den Master-Schlüssel clientseitig mit Argon2id (empfohlen) oder PBKDF2 ab.

Laterale Bewegung

Laterale Bewegung (Lateral Movement) ist das, was ein Angreifer nach der ersten Kompromittierung tut: Er springt vom ersten Rechner oder Konto zu wertvolleren, bis er Domänenadministrator, den Hypervisor oder die Backups erreicht. Die Techniken stützen sich auf das, was ohnehin herumliegt: wiederverwendete lokale Administratorpasswörter, zwischengespeicherte Zugangsdaten, überprivilegierte Servicekonten und uneingeschränkte Netzwerkwege zwischen Arbeitsplätzen und Servern. Der größte Teil des Schadens bei einem Ransomware-Vorfall entsteht in dieser Phase und nicht am Einstiegspunkt. Minimale Rechte, eindeutige Zugangsdaten auf jedem Rechner, Netzwerksegmentierung und das Führen jedes administrativen Zugriffs über eine Bastion unterbrechen die Kette.

Prinzip der minimalen Rechte

Das Prinzip der minimalen Rechte (Least Privilege) besagt, dass Benutzer, Konten und Prozesse nur die Mindestberechtigungen haben sollen, die zur Erfüllung ihrer Aufgaben nötig sind. Die Anwendung dieses Prinzips verkleinert die Angriffsfläche, weil sie begrenzt, worauf ein kompromittiertes Konto zugreifen kann. Im Kontext von PAM bedeutet es, Administratoren nur Zugriff auf die konkreten Server und Anwendungen zu geben, die sie brauchen, und nur für die Zeit, die sie brauchen, ohne dauerhafte Berechtigungen.

Master-Passwort

Das Master-Passwort ist das eine Passwort, das einen Passwort-Tresor entsperrt. In einem Zero-Knowledge-Design verlässt es nie das Gerät des Nutzers: Es wird lokal an eine Schlüsselableitungsfunktion übergeben und erzeugt den Schlüssel, der den Inhalt des Tresors ver- und entschlüsselt; der Anbieter speichert ausschließlich Chiffretext. Die Konsequenz ist absolut, und das ist der Punkt: Niemand, auch nicht der Hersteller, kann das Master-Passwort zurücksetzen oder den Tresor ohne es wiederherstellen. Deshalb sollte es eine lange, einzigartige Passphrase sein, nirgendwo sonst wiederverwendet, durch einen zweiten Faktor geschützt und durch eine Notfallzugriffs-Regelung abgesichert statt durch eine im Browser hinterlegte Kopie.

MFA / 2FA

Multi-Faktor-Authentifizierung (MFA) und Zwei-Faktor-Authentifizierung (2FA) verlangen von Benutzern, ihre Identität mit zwei oder mehr unabhängigen Faktoren nachzuweisen: etwas, das sie wissen (Passwort), etwas, das sie besitzen (Telefon, Sicherheitsschlüssel), oder etwas, das sie sind (Biometrie). MFA verringert das Risiko einer Kontoübernahme durch gestohlene Zugangsdaten erheblich. OWASP und ANSSI empfehlen beide MFA für jeden privilegierten oder sensiblen Zugriff.

MFA-Fatigue

MFA-Fatigue, auch Push-Bombing genannt, ist ein Angriff, bei dem ein Angreifer, der bereits ein gültiges Passwort besitzt, immer wieder Authentifizierungsanfragen auslöst, bis der rechtmäßige Nutzer eine aus Genervtheit, Verwirrung oder weil es drei Uhr morgens ist, bestätigt. Er überwindet einfache MFA mit Push-Bestätigung gerade deshalb, weil die Bestätigung nicht mehr als ein Fingertipp erfordert. Gegenmaßnahmen sind Number Matching, das den Nutzer zwingt, einen Code von dem Bildschirm abzulesen, an dem er sich tatsächlich anmeldet, eine Ratenbegrenzung für Anfragen und besser noch Authenticatoren, die von Grund auf phishing-resistent sind, wie FIDO2-Hardware-Schlüssel.

MSP / MSSP

Ein Managed Service Provider (MSP) ist ein Unternehmen, das die IT-Infrastruktur eines Kunden aus der Ferne verwaltet, in der Regel einschließlich Servern, Netzwerken, Endgeräten und Sicherheit. Ein Managed Security Service Provider (MSSP) ist auf Sicherheitsbetrieb spezialisiert. MSPs und MSSPs brauchen Werkzeuge, die von Grund auf mandantenfähig sind und es erlauben, mehrere Kunden von einer einzigen Plattform aus zu verwalten und dabei eine strikte Datentrennung zwischen den Mandanten zu wahren.

Nationale Cybersicherheitsbehörden

Nationale Cybersicherheitsbehörden sind staatliche Stellen, die Sicherheitsstandards veröffentlichen, Warnmeldungen herausgeben, Produkte zertifizieren und die Reaktion auf Vorfälle auf nationaler oder regionaler Ebene koordinieren. Ihre Vorgaben prägen Beschaffungsanforderungen, Regulierungsrahmen und die Grunderwartungen daran, was in ihrem Zuständigkeitsbereich als “gute Sicherheit” gilt. Wichtige Behörden, denen Sie in der Praxis begegnen:

  • ACN (Agenzia per la Cybersicurezza Nazionale, Italien) ist die nationale Cybersicherheitsbehörde Italiens, gegründet 2021. Sie koordiniert die Reaktion auf Vorfälle über das CSIRT Italia und pflegt das Rahmenwerk Perimetro di Sicurezza Nazionale Cibernetica für kritische nationale Infrastrukturen.
  • ACSC (Australian Cyber Security Centre, Australien) veröffentlicht die Essential Eight, eines der wenigen staatlichen Rahmenwerke, das Sicherheitsmaßnahmen ausdrücklich nach Priorität und Reifegrad ordnet. International weithin als Ausgangspunkt für die Härtung zitiert.
  • ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information, Frankreich) ist die nationale Cybersicherheitsbehörde Frankreichs. Sie veröffentlicht das Référentiel Général de Sécurité sowie die Zertifizierungsschemata CSPN und SecNumCloud und ist die maßgebliche Referenz für die öffentliche Beschaffung in Frankreich und für Unternehmen, die französischer und europäischer Regulierung unterliegen.
  • BSI (Bundesamt für Sicherheit in der Informationstechnik, Deutschland) gibt das IT-Grundschutz-Rahmenwerk heraus und zertifiziert Produkte nach dem deutschen nationalen Schema.
  • CCN-CERT (Centro Criptológico Nacional, Spanien) ist das nationale Kryptologiezentrum Spaniens. Es veröffentlicht den ENS (Esquema Nacional de Seguridad), das verbindliche Sicherheitsrahmenwerk für den spanischen öffentlichen Sektor.
  • CISA (Cybersecurity and Infrastructure Security Agency, Vereinigte Staaten) ist die operative Bundesbehörde der USA für Cyberabwehr und den Schutz kritischer Infrastrukturen. Ihr Katalog Known Exploited Vulnerabilities (KEV) ist eine maßgebliche Referenz.
  • ENISA (Agentur der Europäischen Union für Cybersicherheit) ist die EU-weite Einrichtung, die die Mitgliedstaaten bei Politik, Kapazitätsaufbau und der Umsetzung von Richtlinien wie NIS2 unterstützt.
  • NCSC (National Cyber Security Centre, Vereinigtes Königreich) ist die britische Behörde für Cyberbedrohungen und bewährte Verfahren. Ihr Programm Cyber Essentials ist eine weit verbreitete Basiszertifizierung.
  • NIST (National Institute of Standards and Technology, Vereinigte Staaten) veröffentlicht die SP-800-Reihe und das NIST Cybersecurity Framework (CSF), die weltweit am häufigsten referenzierten Sicherheitsstandards der Branche.

Diese Behörden stimmen in den Grundprinzipien (minimale Rechte, Defense in Depth, Audit-Trails, MFA) oft überein, sodass die Befolgung einer von ihnen in der Regel die meisten anderen mit erfüllt. Das Produktdesign von Heimlane orientiert sich an den Vorgaben mehrerer Behörden statt an einer einzelnen Rechtsordnung.

NIS2

NIS2 (Network and Information Security Directive 2) ist die Richtlinie der Europäischen Union, die die Cybersicherheitspflichten auf einen größeren Kreis von Organisationen ausweitet, darunter mittelgroße Unternehmen in wesentlichen und wichtigen Sektoren. NIS2 verlangt Maßnahmen wie Zugriffskontrolle, Meldung von Vorfällen, Risikomanagement, Sicherheit der Lieferkette und Verantwortlichkeit auf Leitungsebene. Artikel 21 behandelt ausdrücklich Zugriffskontrolle und die Verwaltung privilegierter Zugriffe als erforderliche Sicherheitsmaßnahmen.

PAM

PAM (Privileged Access Management) ist die Disziplin, den Zugriff von Benutzern mit erhöhten Berechtigungen (Administratoren, externe Dienstleister, Servicekonten) auf kritische Systeme zu kontrollieren, zu überwachen und zu prüfen. Eine PAM-Lösung umfasst typischerweise eine Bastion oder ein Gateway, einen Passwort-Tresor, Sitzungsaufzeichnung, Zugriffsrichtlinien und die Injektion von Zugangsdaten. PAM begegnet dem Risiko, dass privilegierte Konten im Falle einer Kompromittierung Angreifern direkten Zugang zu den sensibelsten Systemen einer Organisation verschaffen.

Passkey

Ein Passkey ist ein FIDO2-Zugangsdatum, das das Passwort vollständig ersetzt, statt ihm einen zweiten Faktor hinzuzufügen. Der private Schlüssel liegt in der sicheren Hardware des Geräts oder in einem synchronisierten Schlüsselbund, und der Nutzer gibt ihn per Biometrie oder Geräte-PIN frei. Bei der Anmeldung gibt es also kein gemeinsames Geheimnis, das gestohlen, abgephisht oder wiederverwendet werden könnte. Passkeys sind von Grund auf phishing-resistent, weil das Zugangsdatum an den Ursprung der Website gebunden ist und der Browser sich weigert, es anderswo zu verwenden. Die Verbreitung ist weiterhin uneinheitlich: Passkeys sind dort hervorragend, wo es sie gibt, aber die meiste Unternehmenssoftware erwartet nach wie vor ein Passwort, sodass Tresore und Passkeys noch Jahre nebeneinander bestehen werden, statt dass das eine das andere ablöst.

Passwortrotation

Passwortrotation ist die Praxis, Zugangsdaten nach einem Zeitplan oder nach einem auslösenden Ereignis zu ändern: ein ausscheidender Administrator, das Ende eines Dienstleistervertrags, ein Verdacht auf Kompromittierung. Die pauschale periodische Rotation von Benutzerpasswörtern ist aus der Mode gekommen, und sowohl NIST als auch ANSSI raten inzwischen davon ab, sie ohne Anlass zu erzwingen, weil sie Menschen zu vorhersehbaren Variationen desselben Passworts verleitet. Bei privilegierten und gemeinsam genutzten Konten ist das anders: Diese Zugangsdaten sind mehreren Personen bekannt, selten an eine Einzelperson gebunden, und ihre Rotation nach der Nutzung oder beim Ausscheiden ist der einzig verlässliche Weg, Zugriff zu entziehen. Die Injektion von Zugangsdaten macht das praktikabel, da Benutzer das Passwort nie sehen und von einer Änderung nicht gestört werden.

Password Spraying

Beim Password Spraying wird eine kleine Zahl sehr gebräuchlicher Passwörter gegen eine große Zahl von Konten ausprobiert, statt vieler Passwörter gegen ein einzelnes Konto. Weil jedes Konto nur ein oder zwei Fehlversuche sieht, werden Sperrschwellen nie erreicht, und die Versuche gehen im Hintergrundrauschen unter. Es ist ein Standardzug gegen exponierte Authentifizierungsendpunkte: RDP-Gateways, VPN-Portale, Webmail und Verzeichnisdienste. Die Erkennung erfordert Korrelation über Konten hinweg statt Zähler pro Konto, und die strukturelle Lösung ist MFA in Kombination mit der Ablehnung schwacher und bereits geleakter Passwörter im Moment ihrer Wahl.

Passwort-Tresor

Ein Passwort-Tresor ist ein verschlüsselter digitaler Safe, der Passwörter, Zugangsdaten, Notizen, Zahlungskarten und andere sensible Daten speichert. Ein Passwort-Tresor für Unternehmen ergänzt Funktionen wie Teamfreigabe, Zugriffskontrollen, geteilte Tresore und Audit-Trails. Anders als Lösungen für Privatnutzer lässt sich ein Unternehmens-Tresor in Werkzeuge zur Verwaltung privilegierter Zugriffe integrieren, um Zugangsdaten in Remote-Sitzungen zu injizieren, ohne Passwörter gegenüber Benutzern offenzulegen.

PBKDF2

PBKDF2 (Password-Based Key Derivation Function 2) ist eine Schlüsselableitungsfunktion, die eine Pseudozufallsfunktion (typischerweise HMAC-SHA256) auf ein Passwort samt Salt anwendet, über viele Iterationen wiederholt, um einen abgeleiteten Schlüssel zu erzeugen. Die hohe Iterationszahl (600.000 ist die aktuelle OWASP-Empfehlung) macht Brute-Force-Angriffe rechnerisch teuer. PBKDF2 wird auf allen Plattformen breit unterstützt und bleibt die Standard-KDF der Bitwarden-kompatiblen Clients.

Phishing / Adversary-in-the-Middle

Phishing ist der Einsatz einer überzeugenden Nachricht und einer gefälschten Seite, um einem Nutzer Zugangsdaten zu entlocken. Adversary-in-the-Middle (AiTM) ist die moderne Form: Statt ein Passwort zur späteren Verwendung abzugreifen, leitet die gefälschte Seite die Sitzung in Echtzeit an den echten Dienst weiter, reicht die MFA-Abfrage an das Opfer durch und fängt das resultierende Sitzungs-Cookie ab. Das Konto ist dann ohne das Passwort und ohne den zweiten Faktor zugänglich. TOTP-Codes und Push-Benachrichtigungen überstehen diesen Angriff nicht; ursprungsgebundene Zugangsdaten wie FIDO2 und Passkeys schon, weil der Browser sich weigert, für eine Domain zu signieren, die nicht die echte ist. Auch ein Passwort-Manager hilft, denn er füllt auf einer nicht passenden Domain nichts automatisch aus.

PKI

PKI (Public-Key-Infrastruktur) ist die Gesamtheit aus Zertifizierungsstellen, Registrierungsprozessen, Sperrmechanismen und Richtlinien, die einen öffentlichen Schlüssel an eine Identität binden. Sie bildet die Grundlage für TLS-Zertifikate von Websites, Client-Zertifikate zur Authentifizierung von Maschinen und Benutzern, Codesignierung, S/MIME-E-Mail und SSH-Zertifizierungsstellen. Das Schwierige ist nicht die Kryptografie, sondern der Lebenszyklus: Zertifikate an die richtigen Empfänger ausstellen, sie vor dem Ablauf erneuern und sie umgehend sperren, wenn ein Schlüssel kompromittiert wird oder eine Person ausscheidet. Abgelaufene Zertifikate gehören nach wie vor zu den zuverlässigsten Ursachen selbstverschuldeter Ausfälle.

Privilegierte Konten

Privilegierte Konten sind Konten mit erhöhten Rechten in einem Informationssystem: Systemadministratoren, Datenbankadministratoren, Servicekonten, Root-Konten. Diese Konten sind bevorzugte Ziele von Angreifern, weil ihre Kompromittierung direkten Zugang zu den sensibelsten Ressourcen einer Organisation verschafft. Die Verwaltung privilegierter Zugriffe (PAM) zielt darauf ab, die Nutzung dieser Konten zu kontrollieren, zu überwachen und zu prüfen, um die Angriffsfläche zu verringern.

Ransomware

Ransomware ist Schadsoftware, die die Daten einer Organisation verschlüsselt und für den Entschlüsselungsschlüssel eine Zahlung verlangt, heute fast immer in Kombination mit vorheriger Exfiltration, sodass der Angreifer ein zweites Mal erpressen kann, indem er mit der Veröffentlichung droht. Moderne Vorfälle sind Operationen mit Hand an der Tastatur und kein Virus, das sich von selbst verbreitet: Ein Operator verschafft sich Zugang, oft über ein gestohlenes Zugangsdatum oder einen exponierten RDP-Dienst, eskaliert Privilegien, bewegt sich lateral, zerstört die Backups und löst erst dann die Nutzlast aus. Deshalb entscheiden Hygiene bei Zugangsdaten, Kontrolle privilegierter Zugriffe und Offline-Backups weit mehr über den Ausgang als die Erkennung am Ende der Kette.

RBAC

Rollenbasierte Zugriffskontrolle (Role-Based Access Control, RBAC) ist eine Methode der Zugriffskontrolle, bei der Berechtigungen Rollen statt einzelnen Benutzern zugewiesen werden. Benutzer werden dann anhand ihrer Funktion Rollen zugeordnet. RBAC vereinfacht die Zugriffsverwaltung, senkt den Verwaltungsaufwand und erleichtert die Durchsetzung minimaler Rechte in der gesamten Organisation. Wechselt ein Mitarbeiter die Rolle, ändert sich sein Zugriff mit der Rollenzuordnung, ohne dass einzelne Berechtigungen angepasst werden müssen.

RDP / SSH / VNC

Dies sind die drei Protokolle für die Fernadministration. RDP (Remote Desktop Protocol, Microsoft) bietet grafischen Zugriff auf einen Windows-Desktop oder -Server. SSH (Secure Shell) bietet eine verschlüsselte Kommandozeilensitzung auf Linux, Unix und Netzwerkgeräten und transportiert zudem Dateiübertragungen und Tunnel. VNC (Virtual Network Computing) teilt einen grafischen Desktop plattformübergreifend und ist auf Linux-Arbeitsplätzen, Hypervisoren und Appliances verbreitet. Alle drei sind bevorzugte Ziele: RDP oder SSH direkt ins Internet zu stellen zieht innerhalb weniger Stunden Brute-Force-Versuche an. Deshalb gehören sie hinter eine Bastion, die den Benutzer authentifiziert, die Zugangsdaten injiziert und die Sitzung aufzeichnet. Heimlane Realm leitet alle drei im Browser über HTML5 weiter, ohne Client-Software und ohne VPN.

Wiederherstellungscodes

Wiederherstellungscodes sind Einmalcodes, die bei der Aktivierung der Zwei-Faktor-Authentifizierung ausgegeben werden und zum Einsatz kommen, wenn der zweite Faktor verloren geht: ein gestohlenes Telefon, eine gelöschte Authenticator-App, ein verlegter Hardware-Schlüssel. Jeder Code funktioniert nur einmal. Sie sollten ausgedruckt oder getrennt vom Gerät und vom Tresor, den sie schützen, aufbewahrt werden, denn sie in dem Konto abzulegen, das sie entsperren, verfehlt ihren Zweck. Wiederherstellungscodes sind ausschließlich eine Absicherung für den zweiten Faktor: Sie stellen kein Master-Passwort wieder her und können einen Zero-Knowledge-Tresor nicht entschlüsseln. Heimlane Vault zeigt einen Satz Wiederherstellungscodes einmalig an, wenn Sie 2FA aktivieren.

RSA-2048

RSA-2048 ist ein asymmetrischer Verschlüsselungsalgorithmus, der ein Schlüsselpaar (öffentlich und privat) zum Ver- und Entschlüsseln von Daten verwendet. Die Schlüssellänge von 2048 Bit gilt für die heutige Nutzung als sicher und wird von NIST und ANSSI empfohlen. In der Passwortverwaltung dient RSA typischerweise dem Austausch verschlüsselter Daten zwischen Benutzern: Ein Absender verschlüsselt mit dem öffentlichen Schlüssel des Empfängers, und nur dessen privater Schlüssel kann entschlüsseln. Heimlane Vault verwendet RSA-2048 für die Zero-Knowledge-Teamfreigabe innerhalb von Organisationen.

SCIM

SCIM (System for Cross-domain Identity Management) ist das standardisierte REST-Protokoll für die Bereitstellung von Benutzerkonten zwischen Systemen. Während SSO die Frage beantwortet “darf sich diese Person anmelden”, beantwortet SCIM “hat diese Person überhaupt ein Konto”: Der Identity Provider überträgt Kontoerstellungen, Attributänderungen, Gruppenänderungen und vor allem Deaktivierungen an jede angebundene Anwendung. Ohne ihn hängt das Offboarding davon ab, dass sich jemand an jedes Werkzeug erinnert, auf das ein ausscheidender Mitarbeiter Zugriff hatte. Er ist eine Routineerwartung in Unternehmensausschreibungen und eine echte Sicherheitskontrolle, denn verwaiste Konten ehemaliger Mitarbeiter sind in Berichten über Sicherheitsvorfälle eine immer wiederkehrende Ursache.

SecNumCloud

SecNumCloud ist die von der ANSSI vergebene Qualifizierung für Cloud-Dienstanbieter. Sie geht über technische Maßnahmen hinaus: Sie stellt Anforderungen an die Rechtsstruktur des Anbieters, die gegenüber nichteuropäischem extraterritorialem Recht wie dem CLOUD Act immun sein muss, sowie an den Standort der Daten, der Administration und des Supports. Sie ist die Referenz für die Cloud-Beschaffung der französischen öffentlichen Hand im Rahmen der Doktrin “cloud de confiance” und zunehmend auch für Betreiber lebenswichtiger Einrichtungen und regulierte Sektoren. Die Qualifizierung ist anspruchsvoll und wird nur von wenigen Anbietern gehalten, was sie zu einem echten Unterscheidungsmerkmal macht statt zu einem Häkchen auf der Checkliste.

Servicekonten

Ein Servicekonto ist eine nicht-menschliche Identität, die von einer Anwendung, einem Skript, einer geplanten Aufgabe oder einem Infrastrukturbaustein verwendet wird, um sich bei einem anderen System zu authentifizieren. Servicekonten übertreffen menschliche Konten typischerweise um ein Vielfaches, halten weitreichende Berechtigungen und tragen Passwörter, die bei der Bereitstellung gesetzt und nie geändert wurden, oft weil niemand sicher ist, was dann kaputtginge. Sie werden selten von Joiner-Mover-Leaver-Prozessen erfasst und fast nie durch MFA geschützt, was sie zu einem bevorzugten Weg für laterale Bewegungen macht. Sie in einen Tresor zu überführen, jedem eine eigene Identität zu geben, einzuschränken, was es tun darf, und sein Geheimnis zu rotieren, ist meist das wirkungsvollste Projekt zu privilegierten Zugriffen, mit dem eine Organisation beginnen kann.

Sitzungsisolierung

Sitzungsisolierung bedeutet, dass der Arbeitsplatz des Administrators nie direkt mit dem Zielsystem spricht: Die Verbindung wird von einer zwischengeschalteten Komponente aufgebaut, und nur Pixel und Tastenanschläge wandern zum Benutzer. Ein kompromittierter Laptop kann daher das Netzwerk des Servers nicht erreichen, Schadsoftware kann dem Tunnel nicht folgen, und die Zugangsdaten sind auf dem Endgerät nie vorhanden. Die Isolierung gibt dem Kontrollpunkt außerdem die Möglichkeit, Regeln für Zwischenablage und Dateiübertragung durchzusetzen und die Sitzung aufzuzeichnen. Eine browserbasierte Bastion isoliert von Natur aus, da der Client eine Webseite und kein Netzwerkpfad ist. Heimlane Realm stellt RDP-, SSH- und VNC-Sitzungen im Browser über HTML5 dar, sodass keine direkte Route vom Arbeitsplatz zum Ziel nötig ist.

Sitzungsaufzeichnung

Die Sitzungsaufzeichnung ist die Erfassung und Speicherung von allem, was während einer privilegierten Zugriffssitzung (RDP, SSH, VNC oder Web) geschieht. Aufzeichnungen können Video des Bildschirms, Tastenanschlagprotokolle, Befehlsverläufe und Metadaten wie Zeitstempel und Benutzeridentität enthalten. Sitzungsaufzeichnungen liefern einen prüfbaren Nachweis für Compliance, forensische Untersuchungen und die Echtzeitüberwachung administrativer Tätigkeiten. Heimlane Realm zeichnet alle privilegierten Sitzungen auf, mit OCR-basierter Ereigniserkennung für durchsuchbare Audit-Trails.

Schatten-IT

Schatten-IT ist jede Software, jeder Dienst und jedes Gerät, das für die Arbeit ohne Wissen oder Genehmigung der IT-Abteilung genutzt wird: ein privates Konto zum Dateiaustausch, ein per Karte bezahltes SaaS-Abonnement einer Abteilung, ein KI-Assistent, dem Unternehmensdaten übergeben werden. Sie entsteht, weil die freigegebenen Werkzeuge langsamer sind oder fehlen, nicht aus böser Absicht. Die Sicherheitsfolge ist, dass Zugangsdaten und Daten in Systemen landen, die niemand überwacht, die das Offboarding nicht sperren kann und die kein Incident-Response-Plan abdeckt. Werkzeuge bereitzustellen, die tatsächlich einfacher sind als die Schatten-Alternative, und einen Tresor, in dem Zugangsdaten für die Organisation sichtbar bleiben, löst mehr davon als jedes Verbot.

SIEM

Ein SIEM-System (Security Information and Event Management) sammelt Protokolle aus dem gesamten Informationssystem, normalisiert sie, korreliert Ereignisse zwischen den Quellen und löst Alarm bei Mustern aus, die keine einzelne Quelle für sich offenbaren würde. Es ist das Werkzeug, in dem ein Sicherheitsteam lebt, und meist das führende System für Protokollaufbewahrung und Vorfalluntersuchung. Ereignisse zu privilegierten Zugriffen dort einzuspeisen, also wer welche Sitzung auf welchem Ziel mit welchem Konto geöffnet hat, macht administrative Tätigkeit neben allem anderen sichtbar, typischerweise über Syslog, eine API oder einen Export im CEF-Format. Splunk, Elastic, Microsoft Sentinel und Wazuh sind gängige Beispiele.

SOC 2

SOC 2 ist ein US-amerikanisches Prüfungsrahmenwerk des AICPA, das über die Kontrollen einer Dienstleistungsorganisation anhand von fünf Trust-Services-Kriterien berichtet: Sicherheit, Verfügbarkeit, Verarbeitungsintegrität, Vertraulichkeit und Datenschutz. Ein Type-I-Bericht bewertet das Design der Kontrollen zu einem Stichtag; ein Type-II-Bericht prüft ihre Wirksamkeit im Betrieb über einen Zeitraum, meist sechs bis zwölf Monate, und ist der, den Käufer tatsächlich sehen wollen. Anders als ISO 27001 liefert er einen Prüfbericht statt einer Zertifizierung, und er ist die übliche Anforderung bei nordamerikanischen Ausschreibungen, wo europäische Käufer ISO 27001 verlangen.

SSO

Single Sign-On (SSO) ermöglicht es Benutzern, sich einmal zu authentifizieren und auf mehrere Anwendungen zuzugreifen, ohne erneut Zugangsdaten einzugeben. SSO verbessert die Benutzererfahrung und verringert die Passwortmüdigkeit, bündelt aber auch das Risiko: Wird der SSO-Anbieter kompromittiert, sind alle angebundenen Anwendungen gefährdet. SSO wird typischerweise über Protokolle wie SAML 2.0 oder OpenID Connect umgesetzt.

Supply-Chain-Angriff

Ein Supply-Chain-Angriff kompromittiert eine Organisation über einen ihrer Lieferanten statt frontal: ein Softwarehersteller, dessen Update-Mechanismus unterwandert wird, eine übernommene Open-Source-Abhängigkeit oder, bei gewöhnlichen Unternehmen am häufigsten, ein Dienstleister, dessen Fernzugriff auf seine Kunden missbraucht wird. Diese dritte Variante ist der Grund, warum der Zugriff Dritter dieselben Kontrollen verdient wie der Zugriff von Mitarbeitern: namentliche Konten statt eines gemeinsamen, auf die betroffenen Systeme und das Zeitfenster der Intervention beschränkter Zugriff, Zugangsdaten, die der Dienstleister nie tatsächlich besitzt, und eine Aufzeichnung dessen, was getan wurde. Heimlane Realm wurde mit Blick auf den Zugriff von Lieferanten und Dritten entwickelt.

TLS 1.3

TLS 1.3 (Transport Layer Security, Version 1.3) ist die neueste Version des Protokolls, das die Kommunikation im Internet absichert. Gegenüber TLS 1.2 entfernt es veraltete Cipher Suites, reduziert den Handshake auf einen Round Trip (was die Leistung verbessert) und schreibt Perfect Forward Secrecy (PFS) vor. Das heißt: Selbst wenn der private Schlüssel eines Servers in Zukunft kompromittiert wird, lassen sich vergangene Sitzungen nicht entschlüsseln.

TOTP

TOTP (Time-based One-Time Password, definiert in RFC 6238) ist der Standard hinter den wechselnden sechsstelligen Codes, die Authenticator-Apps anzeigen. Der Dienst und die App teilen einmalig einen geheimen Seed, meist durch Scannen eines QR-Codes, danach leitet jede Seite unabhängig denselben Code aus diesem Seed und der aktuellen Zeit ab, normalerweise in 30-Sekunden-Fenstern. Danach wird nichts mehr zwischen ihnen übertragen, daher funktioniert TOTP offline und hängt nicht von SMS ab, die anfällig für SIM-Swapping sind. TOTP stoppt Angriffe mit gestohlenen oder wiederverwendeten Passwörtern, aber kein Echtzeit-Phishing: Ein auf einer gefälschten Anmeldeseite eingegebener Code kann von einem Angreifer innerhalb seiner Gültigkeitsdauer weiterverwendet werden. Deshalb bleiben FIDO2- / WebAuthn-Hardware-Schlüssel die stärkere Option für die sensibelsten Konten. Heimlane Vault hat einen integrierten Authenticator, der den TOTP-Seed im Login-Eintrag speichert und den Code erzeugt, wenn Sie ihn brauchen, und unser kostenloser Decoder für Google-Authenticator-Exporte hilft Ihnen, vorhandene Seeds aus Google Authenticator in den Tresor oder ein beliebiges anderes Werkzeug zu übernehmen.

Zero-Knowledge

Eine Zero-Knowledge-Architektur bedeutet, dass der Dienstanbieter keinerlei Möglichkeit hat, auf Kundendaten zuzugreifen, sie zu lesen oder wiederherzustellen. Die gesamte Ver- und Entschlüsselung findet auf dem Gerät des Nutzers statt (clientseitig), und der Anbieter speichert nur verschlüsselten Chiffretext. Selbst wenn die Server des Anbieters angegriffen werden, erhält der Angreifer nur verschlüsselte Daten, die ohne das Master-Passwort des Nutzers nicht entschlüsselt werden können. Der Anbieter kann weder Passwörter zurücksetzen noch Tresore wiederherstellen, weil er die Entschlüsselungsschlüssel nie besitzt.

Zero Trust

Zero Trust ist ein Sicherheitsmodell nach dem Grundsatz “niemals vertrauen, immer überprüfen”. Statt anzunehmen, dass Benutzer oder Geräte innerhalb des Netzwerkperimeters vertrauenswürdig sind, verlangt Zero Trust bei jeder Zugriffsanfrage die fortlaufende Überprüfung von Identität, Gerätezustand und Kontext. Zero-Trust-Architekturen kombinieren typischerweise starke Authentifizierung, Mikrosegmentierung, Zugriff mit minimalen Rechten und kontinuierliche Überwachung. ZTNA (Zero Trust Network Access) setzt dieses Modell für den Fernzugriff auf Anwendungen und Ressourcen um.

ZTNA

ZTNA (Zero Trust Network Access) ersetzt herkömmliche VPNs, indem es Zugriff auf Anwendungsebene auf Grundlage von Identität und Kontext statt Zugriff auf Netzwerkebene bietet. Anders als ein VPN, das breiten Zugriff auf ein ganzes Netzwerk gibt, gewährt ZTNA nur Zugriff auf bestimmte Anwendungen, die der Benutzer nutzen darf. ZTNA liefert die Konnektivitätsschicht, während PAM die Governance-Schicht liefert: wer wann mit welchen Zugangsdaten auf was zugegriffen hat und was er während der Sitzung getan hat.