Tresor-Modul · Benutzeranleitung

Passwörter sicher speichern und gezielt teilen

Der Tresor ist ein Passwort-Manager, der in Deinem FreeScout wohnt. Der entscheidende Unterschied zu einer Notiz oder einer Tabelle: alles wird bereits in Deinem Browser verschlüsselt, bevor es zum Server geht, und dort erst wieder entschlüsselt. Auf dem Server liegen nur unlesbare Daten.

Das gilt auch für uns und für Deine Administratorin. Niemand mit Zugriff auf den Server oder die Datenbank kann Deine Einträge lesen. Das ist der Sinn der Sache — und es hat eine Kehrseite, die Du kennen solltest: es gibt niemanden, der Dir ein vergessenes Master-Passwort zurücksetzen kann. Deshalb der nächste Abschnitt.

Den Tresor einrichten

Wenn Du Tresor in der Navigation das erste Mal öffnest, legst Du ein Master-Passwort fest. Aus diesem Passwort wird direkt in Deinem Browser der Schlüssel berechnet, mit dem Deine Einträge verschlüsselt werden. Das Master-Passwort selbst verlässt den Browser nie und wird nirgends gespeichert.

Drei Dinge in diesem einen Schritt entscheiden darüber, ob Du in zwei Jahren noch an Deine Daten kommst:

Nimm Dir diese fünf Minuten wirklich. Ein Passwort-Manager ohne Notfallweg ist genau bis zu dem Tag bequem, an dem man ihn braucht.

Einträge anlegen und ordnen

Einträge legst Du in Ordnern ab, so wie Du es von Dateien kennst. Zusätzlich bekommt jeder Eintrag einen von dreizehn Typen — der Typ bestimmt, welche Felder Du zu sehen bekommst:

Der Typ ist kein Selbstzweck. Bei einem SSH-Schlüssel willst Du Felder für Benutzer, Host und Passphrase, bei einer Kreditkarte Nummer, Ablaufdatum und Prüfziffer. Ein einziges Feld «Passwort» für alles führt dazu, dass die Hälfte der Angaben in der Notiz landet und niemand sie wiederfindet.

Passwörter erzeugen lassen

Bei einem Log-in-Eintrag steht ein Generator bereit. Du stellst Länge und Zeichensatz ein, und er erzeugt ein zufälliges Passwort.

Die Zufallszahlen kommen aus der kryptografischen Funktion Deines Browsers, nicht aus einer selbstgebauten Formel. Das ist der Unterschied zwischen einem Passwort, das zufällig aussieht, und einem, das zufällig ist.

Einmalpasswörter direkt im Tresor

Ein Log-in-Eintrag kann zusätzlich einen TOTP-Seed aufnehmen — den Wert also, den Dir eine Website beim Einrichten der Zwei-Faktor-Anmeldung als QR-Code oder Zeichenkette zeigt.

Der Tresor zeigt danach den aktuell gültigen sechsstelligen Code live an, mit eigenem Kopieren-Knopf. Es funktioniert wie eine Authenticator-App, liegt aber am selben Ort wie das Passwort dazu.

Verlauf und Papierkorb

Jede Änderung an einem Eintrag legt automatisch eine neue Fassung in seinem Verlauf ab. Du kannst jederzeit zu einer früheren zurück — nützlich, wenn ein Passwort geändert wurde, das alte aber noch irgendwo gebraucht wird.

Gelöschte Einträge landen zuerst im Papierkorb und sind von dort wiederherstellbar. Erst der zweite Schritt entfernt sie endgültig.

Gemeinsame Tresore

Neben Deinem persönlichen Tresor lassen sich gemeinsame anlegen — einer pro Kunde etwa, oder einer für die Server-Zugänge, die das ganze Team braucht. Mitglieder fügst Du gezielt hinzu, jedes mit einer von drei Rollen:

Die Verschlüsselung bleibt dabei bestehen: der Schlüssel eines gemeinsamen Tresors wird für jedes Mitglied einzeln verpackt. Der Server sieht auch hier keine Inhalte, sondern nur, wer Mitglied ist.

Einen Eintrag nach draussen geben

Manchmal muss ein Zugang zu einer Person, die kein FreeScout hat — an eine Kundin, an einen externen Techniker. Dafür gibt es den Freigabe-Link für genau einen Eintrag.

Der Link ist durch eine separate sechsstellige PIN geschützt und läuft nach einer von Dir gewählten Frist ab. Die PIN solltest Du über einen anderen Kanal mitteilen als den Link selbst — den Link per E-Mail, die PIN per Telefon oder SMS. Stehen beide in derselben Nachricht, schützt die PIN nichts mehr; wer die Nachricht liest, hat beides.

Das Notfall-Set drucken

Auf der Seite mit dem Wiederherstellungsschlüssel kannst Du ein druckfertiges Notfall-Set erzeugen. Es ist bewusst Papier: ein Wiederherstellungsschlüssel, der als Datei auf demselben Rechner liegt wie der Browser, hilft nicht, wenn dieser Rechner das Problem ist.

Bewahre es dort auf, wo Du auch Verträge oder Ausweise aufbewahrst.

Gut zu wissen

Ein Neuladen der Seite sperrt den Tresor

Der Entschlüsselungs-Schlüssel liegt nur im Arbeitsspeicher Deines Browsers, nie auf der Festplatte. Deshalb musst Du nach jedem Neuladen das Master-Passwort erneut eingeben. Das ist keine Nachlässigkeit, sondern genau der Grund, warum ein gestohlener Rechner Deine Passwörter nicht hergibt.

Ein entferntes Mitglied verliert den Zugriff nicht sofort

Nimmst Du jemanden aus einem gemeinsamen Tresor heraus, bleibt dessen bereits im Browser zwischengespeicherter Zugriff bis zum nächsten Schlüsselwechsel bestehen. Der Schlüsselwechsel ist ein Schritt, den Du selbst auslöst.

Bei einem Austritt aus dem Unternehmen oder einem heiklen Tresor solltest Du ihn deshalb bewusst durchführen — und nicht davon ausgehen, dass das Entfernen des Mitglieds allein genügt.

Ein vergessenes Master-Passwort ist endgültig

Ohne Master-Passwort und ohne Wiederherstellungsschlüssel sind die Einträge nicht mehr zu öffnen. Es gibt keine Hintertür, keinen Administrator-Zugang und keinen Weg über uns. Das ist der Preis dafür, dass auch niemand sonst mitlesen kann.

Kommst Du damit nicht weiter? Support