In dem Artikel „Wie verwaltest du deine Passwörter?“ habe ich einige Gedanken zum sicheren Umgang mit Passwörtern beschrieben. Ein möglicher Lösungsansatz, um den Umgang mit Passwörtern sicherer zu gestalten, ist das Verwenden eines Passwortmanagers wie KeePass. KeePass ist freie Software und kann daher völlig kostenlos auf allen möglichen Geräten verwendet werden. 

Warum KeePass und nicht eine reine Cloudlösung wie LastPass oder Bitwarden

• KeePass ist, wie auch Bitwarden, kostenlos (nicht nur das Desktop-Programm, auch Erweiterungen und mobile Apps). 
• KeePass ist unabhängig, sodass es am lokalen Rechner ohne entsprechende Serverdienste funktioniert, dennoch können die Daten über einen Cloudanbieter synchronisiert werden. 
• KeePass ist flexibel und bietet mehr Implementierungsmöglichkeiten. 

Siehe auch: Passwortmanager KeePass vs. LastPass vs. Bitwarden - Vergleich

Die Implementierungsmöglichkeiten von KeePass reichen von einer Offlineverwendung auf einem lokalen Laufwerk oder einem USB-Stick, bis hin zur Synchronisation über einen Cloudanbieter. KeePass lässt mehr Spielraum bei der Implementierung und den Einstellmöglichkeiten bzw. bei der Wahl der Plugins und Apps und setzt daher mitunter etwas Planung voraus. Dennoch benötigt KeePass wesentlich weniger Voraussetzungen als beispielsweise, eine selbst gehostete Bitwarden Installation. 

Bei richtiger Konfiguration bzw. mit den richtigen Erweiterungen kann auf die Passwörter von überall zugegriffen werden und bei Verwendung von AutoFill werden die Passwörter bei geöffneten KeePass automatisch vorgeschlagen. 

Um denselben Komfort wie bei Lastpass zu erreichen, sind bei KeePass etwas mehr Schritte notwendig, dafür bleibt KeePass aber immer unter eigener Kontrolle, da die Passwortdatenbank auf einem beliebigen Speicher gelegt werden kann. KeePass speichert, im Gegensatz zu LastPass, die Passwortdatenbank von Haus aus nicht bei einem Cloudanbieter, sondern in einer lokalen Datei. Um KeePass cloudfähig zu machen, kann die Datei über einen beliebigen Cloudanbieter (Dropbox, Google Drive, OneDrive, NextCloud) synchronisiert werden. An dieser Stelle bitte keine Panik: Sollte die Datei in falsche Hände geraten, ist diese ohne dem zugehörigen Masterpasswort wertlos.

Mobile Apps ermöglichen den Zugriff auf die Passwortdatenbank vom Smartphone oder Tablet. 

Als Onlinespeicher hab ich für die folgenden Implementierungsbeispiele der Betriebssysteme Windows, Linux und Android sowie die beiden bekannten Cloud Speicher Google Drive und Dropbox getestet. 

Für das Synchronisieren der Datenbank sollte die Implementierung in etwa so aussehen:

KeePass sollte mit einer lokalen Kopie der Datenbank geöffnet werden, beim Speichern werden die Änderungen dann mit der Version der Cloud abgeglichen. Bei Android übernimmt das in allen Fällen die App. Google Drive besitzt ein Sync-Plugin, welches die Aufgabe übernehmen kann, allerdings nur für Windows, nicht für Linux. In allen Fällen kann aber das Synctool des Cloudanbieters in Kombination mit einem Trigger im KeePass Client verwendet werden, siehe Trigger

KeeWeb

KeeWeb ist ein alternativer KeePass-Client welcher ohne Client-Installation direkt im Browser ausgeführt werden kann. Die Keepass-Dateien sind dabei kompatibel mit dem klassischen KeePass2-Client und können entweder von einer bestehenden KeePass-Datei geöffnet oder direkt in KeeWeb angelegt werden. Die Daten liegen dabei fürs Erste im Speicher des Browsers, können aber, neben einer lokalen Datei, in Dropbox, Google Drive, OneDrive oder auf einem WebDAV-Ordner gespeichert werden. 

Wird die Datenbank bei einem Cloudanbieter gespeichert, kann diese von einem beliebigen Client oder mobilen Gerät, ganz ohne Installation, direkt im Browser aufgerufen werden. KeeWeb ist also wesentlich schneller und einfacher implementiert als KeePass, dafür sind die vorhandenen Keepass-Plugins des klassischen Keepass2-Clients mit Keeweb aber nicht kompatibel. 

Denkbar wäre außerdem von bestimmten Geräten mit dem KeePass2-Client auf die Datenbank zuzugreifen, von anderen ohne Installation über KeeWeb. 

Der Aufruf von Keeweb erfolgt am einfachsten über die KeeWeb-Webseite: https://keeweb.info/, alternativ kann KeeWeb auf einem eigenen statischen Webspace oder lokal am Client gehostet werden.

Nun aber zurück zum klassischen KeePass2-Client:

Verwenden der gespeicherten Anmeldedaten

Mit KeePass ist es möglich bestimmte Werte, wie zum Beispiel den Benutzernamen und das Passwort, in einem Fenster per AutoType einzutragen. KeePass simuliert dazu eine Tastatur und tippt die entsprechenden Werte. Dazu wird das entsprechende Feld im Fenster ausgewählt und per Tastaturkürzel, Standard: Strg + Alt + A, kann z. B. durch einen vorher hinterlegten Fenstertitel im KeePass-Eintrag der entsprechende Wert befüllt werden. Zudem ist es möglich den Wert in KeePass auszuwählen, dann auf das Fenster und den gewählten Wert tippen zu lassen. AutoType kann somit für alle Programme auch ohne entsprechende Plugins verwendet werden. Mittels URL Overrides können die Werte bestimmten Programmen übergeben werden, siehe z. B. RDP. Zudem gib es für bestimmte Programme, zum Beispiel für alle gängigen Browser, zusätzlich Plugins, die das Ausfüllen der Anmeldedaten übernehmen und für Android gibt es als Beispiel eine AutoFill -Integration. Abhängig vom Betriebssystem gibt es also teils unterschiedliche Helfer für das Verwenden der Passwörter.

Windows

Für die Einrichtung unter Windows wird natürlich als erstes der eigentliche KeePass Client benötigt, welcher in verschiedenen Varianten zur Verfügung steht: als Beispiel KeePassXC. KeePassXC besitzt, im Vergleich zum originalen KeePass 2 Client, eine modernere Oberfläche, dafür aber keine Trigger oder URL-Overrides, was für mich derzeit der Grund für den Einsatz des KeePass 2 Clients ist.

Der Download kann auf folgender Seite gefunden werden: sourceforge.net/projects/keepass/files/

Wer die Sprache auf Deutsch ändern will, kann dies durch Installation der Sprachdateien, welche auf folgender Seite heruntergeladen werden können: http://keepass.info/translations.html 

Die Datei German.langx dazu direkt in das Programmverzeichnis von KeePass kopieren:

In KeePass kann dann unter „View“, „Change Language...“ die Sprache ausgewählt werden:

Die Datenbankdatei sollte auf jeden Fall auf der lokalen Festplatte abgelegt werden, auch für die Verwendung mit einem Remote speicher wie Google Drive, Dropbox oder anderen Cloudanbietern. Die Verwendung der lokalen Datei und eine Synchronisation mit der Version bei einem Cloudanbieter erhöht die Stabilität durch das Schaffen einer zusätzlichen Kopie der Datenbankdatei.

Beim Anlegen der Datei wird das bereits erwähnte Master Passwort festgelegt:

Um die Sicherheit zu erhöhen, habe ich zusätzlich eine Schlüsseldatei angelegt. Die Schlüsseldatei muss für das Öffnen der Datenbankdatei zusammen mit dem Passwort verfügbar sein, daher hab ich die Datei auf alle Geräte kopiert, die später den Zugriff auf die Datenbank benötigen. Sollte jemand Zugriff auf den Cloudspeicher und somit auf die Datenbankdatei haben, benötigt er zusätzlich nicht nur das Passwort, sondern auch die Schlüsseldatei. Die Datenbankdatei alleine ist wertlos.

Beim ersten Aufruf der Datenbank enthält diese 2 Beispieleinträge und Ordner welche gelöscht werden können, neue Einträge können jetzt hinzugefügt werden:

Browserintegration

Für die Browserintegration, also das automatische Ausfüllen der Passwörter im Browser, kann entweder AutoType verwendet werden oder entsprechende Plugins.

Für Firefox beispielsweise kann die Erweiterung KeeFox verwendet werden, bei Google Chrome ChromeIPass in Kombination mit KeePassHttp. KeePassHttp wird als Plugin in KeePass installiert. Quelle: raw.github.com. Wie auch bei LastPass benötigt der Browser dann noch ein Plugin, hier ChromeIPass.

Die Installation erfolgt durch einfaches Kopieren der Datei KeePassHttp.plgx in das Programmverzeichnis von KeePass:

Zudem benötigen wir für das automatische Ausfüllen der Passwortfelder im Browser noch die Erweiterung chromeIPass: 

chromeIPass kann bei geöffnetem KeePass eine Verbindung zur Kennwortdatenbank aufbauen. Bei der ersten Verbindung muss das Browserplugin mit KeePass verknüpft werden, dies geschieht mittels „Connect“:

Integration von nicht-Browser Anmeldedaten:

KeePass kann auch verwendet werden, um die Anmeldung an eine RDP-Verbindung oder eine Putty Sessions zu übergeben.

Wer seine Remotedesktop Verbindungen automatisch aus KeePass anmelden möchte, kann das mit Hilfe der URL Overrides konfigurieren:

RDP (Remote Desktop Session) - KeePass als Remote-Desktop-Manager

Um automatisch mittels „Open URL“ RDP Sessions aus KeePass starten zu können, muss RDP unter URL Overrides eingetragen werden.

cmd://cmd /c "cmdkey /generic:TERMSRV/{T-REPLACE-RX:/{BASE:RMVSCM}/(:\d{3,4}\z)//} /user:{USERNAME} /pass:{T-REPLACE-RX:!{PASSWORD}!\&!^&!} && start mstsc /v:{URL:RMVSCM} && timeout /t 10 /nobreak && cmdkey /delete:TERMSRV/{T-REPLACE-RX:/{BASE:RMVSCM}/(:\d{3,4}\z)//}"

Diese Version funktioniert auch bei einem & im Passwort und bei Angabe eines Ports in der URL, der Host wird mittels T-REPLACE-RX ermittelt: BASE:HOST oder URL:HOST hat bei mir nicht funktioniert.

Die ursprüngliche Version stammt von dieser Seite: blog.bitcollectors.com/adam

Der Aufruf aus KeePass (URL Eintrag) erfolgt dann mittels folgender URL: rdp:IP (z.B.: rdp:192.168.0.2)

Putty

Die Standard-URL Einstellung für Putty haben aus Sicherheitsgründen kein Passwort konfiguriert, außerdem kann nicht auf gespeicherte Profile zugegriffen werden. Wer seine Puttyprofile  abgespeichert hat und diese automatisch anmelden möchte, kann dies durch Hinzufügen der folgenden URL Override umsetzen:

cmd://putty.exe -load {URL:RMVSCM} -l {USERNAME} -pw {PASSWORD}

im nächsten Screenshot eine gespeicherte Putty Session:

der Zugriff aus KeePass erfolgt darauf wie folgt:

Freigabe / UNC Pfade

Um auf die Freigabe eines Servers zuzugreifen, kann z. B. eine URL-Überschreibung mit folgendem Inhalt erstellt werden:

cmd://cmd /c "net use {URL:RMVSCM} /user:{USERNAME} {PASSWORD} && explorer {URL:RMVSCM}"

der Aufruf über einen Eintrag geht dann so:

Der gleichzeitige Zugriff von mehreren Geräten

Wie schon erwähnt, kann KeePass für den gleichzeitigen Zugriff von mehreren Geräten konfiguriert werden, dafür muss sich die Datenbank natürlich an einem Ort befinden, auf den alle Geräte zugreifen können.

Als Erstes habe ich als zentrale Ablage für die Datenbank Google Drive getestet. Voraussetzung für Google Drive ist natürlich ein Google Konto, welches nach dem Setup angegeben werden muss. Für Google Drive und KeePass gibt für das Synchronisieren ein eigenes Plugin. Die Datenbank liegt auf der lokalen Festplatte (c:\ ....), das GoogleSyncPlugin synchronisiert Änderungen der lokalen Datenbankversion mit der Version auf Google Drive.  Alternativ kann die Synchronisierung auch mittels Trigger konfiguriert werden.

Ein direktes Öffnen der Datenbank über Google Drive gilt es zu vermeiden, da bei Verwendung von mehreren Geräten eventuell Einträge überschreiben könnte. Das GoogleSyncPlugin kann unter folgender URL heruntergeladen werden: sourceforge.net/projects

Das Plugin wird wieder direkt in das KeePass Programmverzeichnis entpackt:

Beim erneuten Starten von KeePass kann das Google Konto für die Synchronisation konfiguriert werden:

Google Drive Installation

Eine Alternative zum Google Sync Plugin ist die Installation von Google Drive und zugehörige Synchronisations-Trigger. Die eigentliche Google Drive Installation ist bei Verwendung des Google Sync Plugin nicht notwendig.

Den Download für Google Drive gibts auf dieser Seite: https://tools.google.com/dlpage/drive?hl=de

Das Einrichten der Trigger für die Synchronisation sieht wie folgt aus:

Trigger für die Synchronisation einer KeePass Datenbank mit Dropbox, Google Drive oder einem beliebigen Remote-Speicher

Die Installation von Dropbox kann auf folgender Seite gestartet werden: https://www.dropbox.com/de/install, 

Damit die Daten gegebenenfalls nicht von einem anderen Computer überschrieben werden, sollte eine lokale KeePass Datei verwendet werden und mittels Trigger zu Dropbox oder Google Drive übertragen werden, siehe keepass.info/help/kb. Mit diesem Setup wird vom Client immer die lokale Kopie verwendet und die Änderungen beim Auslösen der konfigurierten Trigger an die Remote-Version übertragen. Die Datei im Remote-Speicher beinhaltet alle Einträge und könnte theoretisch auch direkt geöffnet werden, sollte aber nur für die Synchronisation verwendet werden. Die Datenbankdatei liegt dadurch mehrfach auf den verschiedenen verwendeten Geräten: Jeder Client besitzt seine eigene Version und zusätzlich liegt eine Kopie am Cloudspeicher. 

Nun aber zum Einrichten der Trigger. Für das Anlegen kann ein beliebiger Name verwendet werden:

Die URL der geöffneten Datenbank kann bei Verwendung von nur einer Datenbank leer gelassen werden. Bei Verwendung von mehreren Datenbanken sollte der Pfad und Dateiname angegeben werden, ansonsten versucht KeePass alle geöffneten Datenbanken zu synchronisieren:

Zusätzlich sollte während der Synchronisation der Triggerzustand ausgeschaltet werden:

Jetzt muss der Pfad zur Remoteversion (Dropbox oder Google Drive) angegeben werden:

Und zu guter Letzt sollte der Trigger wieder aktiviert werden:

Bei jedem Speichervorgang wird die Dropboxversion der Datenbank jetzt automatisch mit der lokalen Version synchronisiert und funktioniert somit auch gleichzeitig von mehreren Geräten.

Als zentrale Ablage könnte beispielsweise auch ein Netzlaufwerk verwendet werden. Trigger bieten die Möglichkeit, div. Aufgaben auszuführen, so könnte z. B. ein BATchbefehl beim Speichern der Datenbank eine Sicherungskopie anlegen, Beispiele dazu findest du auf der KeePass Seite.

Passwörter von Google Chrome importieren

Wer seine Passwörter aus Chrome in KeePass importieren will, kann dies durch die Option in Google Chrome: „Passwörter exportieren“ und im Anschluss mit einem Import in KeePass bewerkstelligen.

Android

Unter Android ist die Einrichtung denkbar einfach: Die App Keepass2Android, verfügbar im Google Playstore, bietet Zugriff auf KeePass Files der gängigen Protokolle und Cloudanbieter. KeePass2Android arbeitet mit einer lokalen Kopie der Datenbank und synchronisiert diese beim Starten, Beenden oder einem Speichervorgang, ähnlich einer lokalen Kopie und einer Synchronisation am PC (wie oben beschrieben). 

KeePass2Android kann als AutoFill-Dienst verwendet werden, um Passwörter automatisch vorzuschlagen, dazu in KeePass2Android: Einstellungen, Anwendung, Passwort-Zugriff und Auto-Fill-Dienst Keepass2Android auswählen.

Alternativ kann der Abruf eines Passworts mittels „Teilen ...“ und Passwort suchen (KP2A) erfolgen. Die Passwörter können dann mittels KeePass Tastatur (KP2A) verwendet werden:

Ubuntu

Die Installation unter Ubuntu ist sehr ähnlich zu der bereits beschriebenen Einrichtung unter Windows:

1. KeePass installieren
2. Plugins ins Programmverzeichnis kopieren
3. Browser-Plugin installieren
4. Einrichten der Synchronisation

Die Installation erfolgt mittels Paketmanager: sudo apt-get install keepass2

Für die Autotype Integration ist noch folgendes Paket nötig:sudo apt-get install xdotool

und eine Einstellung unter Tastatur:

in KDE unter Kurzbefehle: 

mono /usr/lib/keepass2/KeePass.exe -auto-type

bzw. einfach keepass2 -auto-type

Browser Integration unter Ubuntu

Als Vorbereitung für die Browserintegration muss das Plugin keepasshttp hinzugefügt werden:

Download unter: https://github.com/pfn/keepasshttp

die Datei keePassHttp.plgx wird dazu in den Ordner /usr/lib/keepass2 kopiert.

Google Chrome

in Google Chrome kann, analog zu der Einrichtung unter Windows, die Erweiterung chromelPass hinzugefügt werden:

 siehe: maxolasersquad.blogspot.co.at

Aufruf von Webseiten aus KeePass mit einem bestimmten Browser

Unter Umständen muss der Browser für Aufrufen einer URL geändert werden, in folgendem Beispiel werden URLs in Google Chrome geöffnet

Unter Options / Integration / URL Overrides:

Synchronisation:

Schwierig gestaltet sich die automatische Synchronisation unter Ubuntu:

Das Google Sync Plugin wurde für Windows geschrieben: Ubuntu fehlt offensichtlich eine dot-net Komponente 

 Trigger:

Trigger waren bei mir anfangs nur über einen Umweg möglich, da die GUI abstürzte, wenn ich auf „File/URL“ geklickt habe. Das Problem mit dem GUI-Absturz ist in jüngster Vergangenheit bei mir nicht mehr aufgetaucht. Der Trigger kann ganz einfach, wie unter Trigger beschrieben, angelegt werden. Sollte die GUI an dieser Stelle dennoch abstürzen, kann die URL mit einem Editor in die Konfigdatei eingetragen werden: ~/.config/KeePass/KeePass.config.xml

<Action> <TypeGuid>Iq135Bd4Tu2ZtFcdArOtTQ==</TypeGuid> <Parameters> <Parameter>/home/Username/Dropbox/test2.kdbx</Parameter> </Parameters> </Action>

Alternativ kann die lokale Datenbank nach einer Änderung natürlich auch über die GUI synchronisiert werden:

Dropbox: 

Da es für Ubuntu einen offiziellen Dropboxclient gibt, empfehle ich für den Einsatz unter Ubuntu Dropbox und nicht Google Drive zu verwenden. Der Dropboxclient kann einzelne Files oder Ordner synchronisieren und bemerkt Änderungen am Cloudspeicher ohne manueller Synchronisation.

Die Installation erfolgt mittels Paketmanager, aus dem Terminal:

sudo apt-get install nautilus-dropbox

Google Drive:

Für Google Drive gibt es seitens Google leider noch keine offizielle Version.

Die inoffizielle Version synchronisiert beim Speichern, nicht, aber wenn sich Dateien auf Google Drive geändert haben. Um so wichtiger ist es bei Verwendung von KeePass in Kombination mit Google Drive eine lokale Datenbankdatei zu verwenden und diese gegen Google Drive abzugleichen. (wie beschrieben Synchronize: Synchronize with File… oder per Trigger)

Die Installation der grive-tools erfolgt durch das Hinzufügen eines Repositorys:

sudo add-apt-repository ppa:thefanclub/grive-tools
sudo apt-get update
sudo apt-get install grive-tools

das Setup öffnet den Setup-Key im Browser, dieser muss dann einfach in das Google Drive Setup Utility eingegeben werden:

Quelle: http://www.linuxtechi.com/mount-google-drive-in-ubuntu/

Mono Bug ab Mono 4.0 Fehler beim Speichern: Internal error Flush

Failed to save the current database to the specified location!

Internal error (no progress possible) Flush

The target file might be corrupted. Please try saving again. If that fails, save the database to a different location.

Laut folgender Seite liegt das Problem an einem Bug in Mono: sourceforge.net/p/keepass

Bis der Bug in Mono behoben wurde, kann das Problem durch das Deaktivieren der Komprimierung umgangen werden:

Mit dem zuletzt eingespielten Update 4.0.4.1 funktioniert die GZip Komprimierung bei mir wieder.

Terminal copy paste

Für das Kopieren von der Zwischenablage ins Terminal kann Str.-Umsch-Einfg verwendet werden

iPhone

Für das iPhone ist zum Beispiel die App MiniKeePass verfügbar, da ich kein iPhone besitze, konnte ich die App bedauerlicherweise noch nicht testen, ev. kann von euch wer Erfahrungen dazu posten.

Mac OSx

Für Mac gibt es neben den kostenpflichtigen Programmen KyPass oder KeePassX 2.0 Alpha 6 auch ein kostenloses Programm: MacPass siehe: mstarke.github.io/MacPass/

Windows Phone

Für Windows Phone gibt es den Client 8Pass

bilbob74.github.io/8Pass/ 

Sicherheit – KeeFarce

Ein paar kleine Tricks können die Sicherheit von KeePass erhöhen, siehe: KeePass Sicherheit 

Fazit

Solange es keine bessere Möglichkeit als Passwörter für den Zugriff auf unsere diversen Systeme gibt, kann ein Passwortmanager für mehr Sicherheit und gleichzeitig für mehr Komfort sorgen. 

Wer KeePass einmal fertig eingerichtet hat, wird sich nie wieder davon trennen wollen. Das Verwenden eines Passwortmanagers vermittelt das Gefühl von Souveränität, probier’s einfach aus …