Admin-Konsole

Die Übersicht zeigt Mitglieder, Zwei-Faktor-Anmeldung, Teilnahme an der Wiederherstellung, den durchschnittlichen Sicherheitswert, die Richtlinie und den Zustand des Protokolls. Darunter steht, was Ihre Aufmerksamkeit braucht: Personen, die auf Bestätigung warten, offene Wiederherstellungsanfragen, Tresore, die einen neuen Schlüssel brauchen, oder Mitglieder ohne verlangte Zwei-Faktor-Anmeldung.

Eine Tabelle mit Rolle, Status, Zwei-Faktor-Anmeldung, Wiederherstellung, letzter Anmeldung und Sicherheitswert. Filter zeigen etwa, wer wartet oder keine Zwei-Faktor-Anmeldung hat. Hier laden Sie ein, bestätigen, ändern Rollen, pausieren den Zugriff und beenden ihn.

Die Übersicht trennt Mitglieder und Gäste. Gäste sind kostenlos und zählen nicht als Mitglieder.

Mit Richtlinien legen Sie Regeln für alle Mitglieder fest. Ändern Sie etwas, wählen Sie Prüfen und unterschreiben. Passbox unterschreibt die Richtlinie mit Ihrem Schlüssel. Die Apps der Mitglieder prüfen diese Unterschrift. Ein manipulierter Server kann eine Richtlinie deshalb nicht lockern oder eine ältere Version unterschieben.

Gehört ein Mitglied mehreren Organisationen an, gilt für sein Konto jeweils die strengste Vorgabe.

Das Protokoll hält fest, was in der Organisation passiert: Anmeldungen und Fehlversuche, Änderungen an Mitgliedern, Gruppen und Tresoren, Änderungen von Einträgen in geteilten Tresoren, Wiederherstellungen und Änderungen der Richtlinie. Mit der Regel „Nutzung von Einträgen protokollieren“ kommen Öffnen, Anzeigen, Kopieren und Ausfüllen dazu. Inhalte von Einträgen stehen nie im Protokoll.

• Filtern nach Aktion, Person, Ziel und Zeitraum.
• Exportieren als CSV für Tabellen oder als JSON, das sich prüfen lässt.
• Prüfen: Jeder Eintrag enthält einen Hashwert des vorherigen. Eine geänderte oder gelöschte Zeile fällt so auf. Sie können die Kette auch auf Ihrem Gerät prüfen.
• Aufbewahrung: In den Einstellungen wählen Sie, wie lange Einträge bleiben, von 30 Tagen bis zehn Jahren oder unbegrenzt. Ältere Einträge löscht Passbox automatisch. Der Rest der Kette bleibt prüfbar.

Wer die Datenbank kontrolliert, könnte die Kette ab einem Punkt neu berechnen. Exportieren Sie das Protokoll deshalb regelmäßig oder leiten Sie es an ein SIEM weiter (siehe Anbindungen). Dann haben Sie eine unabhängige Kopie.

• Sicherheit: pro Mitglied Sicherheitswert und wie viele Anmeldungen schwach, mehrfach verwendet oder unsicher sind, dazu ob das Master-Passwort die Vorgabe erfüllt. Die Apps melden das einmal täglich nach dem Entsperren, nur als Zahlen. Mit Nur Probleme filtern Sie, mit Als CSV exportieren nehmen Sie die Tabelle mit.
• Websites mit Datenleck: je Leck, wie viele Mitglieder betroffen sind und wie viele schon ein neues Passwort haben. Hier zählen nur Anmeldungen in Tresoren der Organisation.
• Zugriffe: wer welchen Tresor mit welcher Berechtigung öffnen kann, direkt oder über Gruppen.
• Ungenutzte Tresore: Tresore ohne Änderung und ohne protokollierte Nutzung seit 90 Tagen.

Administratoren können Mitgliedern helfen, die ihr Master-Passwort vergessen, ohne Inhalte zu sehen. In neuen Organisationen ist das von Anfang an eingerichtet. Hier sehen Sie, wer teilnimmt, und berechtigen mit Weiteren Admin berechtigen weitere Administratoren, Anfragen zu bestätigen. Wie eine Anfrage abläuft und was ein Administrator dabei technisch sehen könnte, steht unter Zugang wiederherstellen.

Um die Wiederherstellung für alle auszuschalten, schalten Sie zuerst in der Richtlinie Wiederherstellung verlangen aus. Danach wählen Sie Wiederherstellung für alle ausschalten. Richten Sie sie später wieder ein, nehmen die Mitglieder neu teil.

Wird ein Administrator, der Wiederherstellungen bestätigen durfte, abgesetzt, löscht der Server seine Kopie des Schlüssels. Hatte er sie vorher kopiert, behielte er sie. Einen Schlüsselwechsel für diesen Fall gibt es in der App noch nicht.

Wenn jemand das Unternehmen verlässt, wählen Sie bei der Person Zugang beenden…:

1. Prüfen: Passbox listet die Tresore, die die Person öffnen kann, ihre Gruppen und Tresore, die nur sie verwaltet.
2. Übergeben: Für jeden solchen Tresor wählen Sie eine neue Verwaltung. Das geht für Tresore, in denen Sie selbst Mitglied sind. Bei anderen bitten Sie die Person vorher, den Tresor an jemanden zu übergeben.
3. Abmelden: Standardmäßig meldet Passbox die Person auf allen Geräten ab. Bis zur nächsten Anmeldung endet damit auch der Zugriff auf ihre persönlichen Tresore. Gelöscht wird nichts.
4. Beenden: Der Zugriff endet sofort. Ihr Gerät ersetzt die Schlüssel der Tresore und Gruppen, die Sie verwalten.

Tresore, die Sie nicht verwalten, bekommen ihren neuen Schlüssel, sobald eine verwaltende Person das nächste Mal entsperrt. Die Konsole zeigt sie bis dahin als „wartet auf neuen Schlüssel“. Ändern Sie zum Schluss die Passwörter, auf die die Person Zugriff hatte. Was sie vorher gesehen hat, kann sie sich gemerkt haben.

Leiten Sie das Aktivitätsprotokoll an Ihr SIEM weiter, zum Beispiel Splunk, Microsoft Sentinel, Elastic, Graylog oder Wazuh:

• Tokens für die Ereignis-API: Ein Token erlaubt einem Sammeldienst, das Protokoll dieser Organisation zu lesen, und sonst nichts. Es wird nur einmal angezeigt.
• Webhooks: Passbox schickt neue Einträge gesammelt an eine HTTPS-Adresse. Jede Zustellung ist mit einem Geheimnis unterschrieben, das Sie im Header X-Passbox-Signature prüfen. Schlägt eine Zustellung fehl, wiederholt Passbox sie mit wachsenden Pausen.

Die technischen Details für Entwickler stehen in der API-Referenz.

Unter Abrechnung verwalten Sie Ihr Business-Abonnement, siehe Business einrichten. Unter Einstellungen ändern Sie den Namen, die Aufbewahrung des Protokolls, verlassen die Organisation oder löschen sie.