Berechtigungen im Password Depot Enterprise Server regeln, wer welche Datenbanken, Ordner und Einträge sehen und ändern darf. Für DLP-Anforderungen (Data Loss Prevention – Datenabfluss verhindern) ist eine zweite Ebene entscheidend: Die CE-Clientrichtlinien der Corporate Edition legen zentral fest, was der Windows-Client technisch überhaupt anbietet – etwa ob Exportieren, Drucken oder Speicherorte wie OneDrive verfügbar sind. Dieser Artikel zeigt, wie Sie beide Ebenen kombinieren, wie Sie Verfügbarkeit ohne unkontrollierte „Neben-Kopien“ sicherstellen – und wo die technische Grenze jedes Kennwort-Managers liegt.
Hinweis: Die CE-Clientrichtlinien wirken nur auf den Windows-Client in der Corporate Edition; die Standard-Edition unterstützt sie nicht.
Die technische Grenze vorweg
Sobald ein Benutzer ein Kennwort, ein TOTP-Geheimnis oder ein anderes Geheimnis im Klartext anzeigen oder verwenden darf, kann er es grundsätzlich auch weitergeben – durch Abschreiben, Screenshot oder mündliche Weitergabe. Eine hundertprozentige Abflussverhinderung gibt es deshalb bei keinem Kennwort-Manager. Ziel einer DLP-Konfiguration ist, die typischen technischen Abflusswege (Export, Druck, Zwischenablage, externe Speicherorte) zentral zu schließen; der Rest ist eine Frage des Berechtigungs- und Betriebsmodells: Klartext sollte nur sehen dürfen, wer ihn wirklich benötigt.
Hebel 1: Erlaubte Speicherorte zentral festlegen (wichtigster Hebel)
Unter Verwalten → CE-Clientrichtlinien → Richtlinien für erlaubte Speicherorte legen Sie im Server-Manager fest, welche Speicherorte die Clients zusätzlich zum Enterprise Server verwenden dürfen (z. B. Lokales System oder Cloud-Dienste wie OneDrive, Dropbox, Google Drive). Alle Speicherorte, die Sie hier deaktivieren, werden im Client nicht angezeigt und können daher nicht zum Speichern von Datenbanken außerhalb des Servers genutzt werden.
Best Practice: Müssen Daten serverseitig bleiben, deaktivieren Sie externe Speicherorte konsequent.
Hebel 2: Aktionen zentral sperren
Unter Verwalten → CE-Clientrichtlinien → Richtlinien für Aktionen erlauben oder sperren Sie serverweit Funktionen, die typischerweise für Datenabfluss genutzt werden, u. a.:
Daten in die Zwischenablage kopieren
Drucken
Exportieren
TOTP-Geheimnisse lesen – diese Richtlinie wurde in der Corporate Edition ergänzt und ist standardmäßig deaktiviert.
Hinweis zu TOTP: Diese Richtlinie steuert nur die Lese-/Anzeigeerlaubnis für das hinterlegte TOTP-Geheimnis (den geheimen Schlüssel) – sie verhindert nicht die Nutzung der Zwei-Faktor-Authentifizierung als solche.
Ergänzend enthalten die Programmoptionen der CE-Clientrichtlinien Schutzoptionen wie Automatische Reinigung der Zwischenablage (kopierte Kennwörter werden nach der eingestellten Zeit in Sekunden wieder gelöscht) und Änderungen der Zwischenablage vor externen Viewern verbergen.
Export richtig einschätzen
Über Extras → Exportieren exportiert der Windows-Client Datenbanken in die Formate XML, CSV, TXT, HTML oder PSWE (Password Depot-Datenbank). XML, CSV, TXT und HTML sind nicht verschlüsselt – jeder mit Zugriff auf die Datei kann den Inhalt im Klartext lesen. PSWE-Exporte werden dagegen mit der aktuell verwendeten Authentifizierungsmethode verschlüsselt. Der Exportumfang lässt sich auf einen Ausgewählten Ordner begrenzen (optional inklusive Unterordner); gemeint sind Ordner innerhalb der Datenbank, nicht ein Zielpfad im Dateisystem. Soll gar nicht exportiert werden: die Aktion Exportieren per CE-Clientrichtlinie sperren und/oder das Recht Exportieren von Einträgen über Serverrichtlinien bzw. Datenbank-Berechtigungen entziehen.
Verfügbarkeit und Notfallzugriff ohne „Neben-Cloud“
Verfügbarkeit und Notfallzugriff lösen Sie über die vorgesehenen Servermechanismen – nicht über parallel gepflegte private Cloud-Datenbanken:
Offline-Modus: Zugriff auf Server-Datenbanken, wenn der Server vorübergehend nicht erreichbar ist. Voraussetzung: In Verwalten → Serverrichtlinien steht Lokales Speichern der Datenbank auf Nicht definiert oder Aktiviert, und dasselbe Recht ist auf Datenbank-Ebene für die betreffenden Benutzer/Gruppen erlaubt. Empfehlung der Online-Hilfe: Serverrichtlinie auf Nicht definiert belassen und das Recht gezielt je Datenbank vergeben. Zeitlich begrenzen können Sie die Offline-Nutzung unter Verwalten → Serverrichtlinien → Sicherheit (Die Offline-Nutzung beschränken auf, Stunden oder Tage).
Server-Backups: Unter Verwalten → Servereinstellungen → Sicherungsdateien konfigurieren Sie automatische Sicherungen (bei jedem Programmstart und/oder in festen Intervallen, empfohlen mindestens alle 24 Stunden). Gesichert werden Datenbanken, Logs und die Konfigurationsdatei
pwd_srv.cfg(Benutzer und Einstellungen); die Aufbewahrung ist steuerbar (Anzahl 1–2.000, Höchstalter 1–72 Monate), optional mit Sicherungsprotokoll.Serverspiegelung: Unter Verwalten → Serverspiegelung richten Sie ein Echtzeit-Replikat ein (Rollen Prinzipal und Spiegel). Benutzer können sich mit dem Spiegel verbinden, ihn aber ausschließlich im Lese-Modus nutzen; fällt der Haupt-Server aus, aktivieren Administratoren den Spiegel als neuen Haupt-Server.
Private Datenbanken auf dem Server: Unter Verwalten → Servereinstellungen → Erweitert lassen sich private Datenbanken für neue Benutzer (und Gruppen-Datenbanken für neue Gruppen) automatisch anlegen. Private Kennwörter bleiben so unter zentraler Richtlinien-, Backup- und Berechtigungskontrolle, statt in externe Cloud-Konten auszuweichen.
Berechtigungen und Serverrichtlinien gezielt einsetzen
Für DLP besonders relevante Rechte – global in Verwalten → Serverrichtlinien oder je Benutzer/Gruppe über Datenbanken → Berechtigungen: Drucken von Einträgen, Exportieren von Einträgen, Lokales Speichern der Datenbank (Voraussetzung für den Offline-Modus), Einträge teilen, Einträge versiegeln sowie Zweites Kennwort setzen. Beachten Sie: Ein in den Serverrichtlinien deaktiviertes Recht gilt für den gesamten Server und lässt sich auf Datenbank-Ebene nicht wieder erlauben – globale Deaktivierungen daher sparsam einsetzen.
Umgehung durch andere Clients verhindern
Damit Benutzer die CE-Clientrichtlinien nicht durch Installation der Standard-Edition umgehen, legen Sie unter Verwalten → Servereinstellungen, Bereich Verbindungen → Unterstützte Clients, fest, dass sich nur die Corporate-Edition für Windows mit dem Server verbinden darf.
Drei Best-Practice-Profile
Profil 1 – Maximaler Schutz (Serverdaten dürfen das Unternehmen nicht verlassen):
Richtlinien für erlaubte Speicherorte: nur Enterprise Server, alle anderen Speicherorte deaktivieren.
Richtlinien für Aktionen: Daten in die Zwischenablage kopieren, Exportieren und Drucken deaktivieren.
Programmoptionen: zusätzlich Automatische Reinigung der Zwischenablage und Änderungen der Zwischenablage vor externen Viewern verbergen aktivieren.
Verfügbarkeit: Offline-Modus nur gezielt je Datenbank/Gruppe erlauben und zeitlich begrenzen; automatische Server-Backups; bei hohen Verfügbarkeitsanforderungen Serverspiegelung.
Profil 2 – Balance (Risiko senken, Betrieb praktikabel halten):
Speicherorte: Enterprise Server, bei echtem Bedarf zusätzlich Lokales System.
Aktionen: Exportieren und Drucken deaktivieren; Zwischenablage erlauben, aber mit Automatischer Reinigung der Zwischenablage.
Offline-Modus: gezielt für mobile Benutzer freigeben und zeitlich begrenzen.
Server-Backups: täglich, mit klar definierter Aufbewahrung.
Profil 3 – Getrennte Welten (dienstlich und privat, ohne Schatten-IT):
Unternehmensdaten: je nach Schutzbedarf Profil 1 oder Profil 2.
Private Kennwörter: nicht in externe Cloud-Lösungen ausweichen lassen, sondern private Datenbanken automatisch auf dem Enterprise Server anlegen (siehe oben).
Warnung: Die CE-Clientrichtlinien gelten immer serverweit für alle Benutzer – eine Abstufung pro Benutzer, Gruppe oder Datenbank ist nicht vorgesehen. Planen und testen Sie die Konfiguration daher vor der Aktivierung, z. B. mit einer Teststellung.
Verwandte Themen: