KON-VAULT Passwort-Manager für Teams
Für IT-Dienstleister und Teams, die Zugänge vieler Kunden betreuen: Passwörter, Geräte und Dateien je Kunde an einem Ort, Passwörter und Dateien verschlüsselt abgelegt, die Nutzung im Aktivitätslog nachvollziehbar.
Beispielansicht mit Beispieldaten
- AES-256-GCM für Passwörter und Dateien
- Aktivitätslog
- Cloud oder eigener Server
Stand heute: Funktionen mit dem Zeichen Mit einem kommenden Update werden mit einem der nächsten KON-VAULT-Updates ausgeliefert. Was Ihr Administrator danach selbst einschaltet, trägt zusätzlich das Zeichen einschaltbar. Alles andere auf dieser Seite ist heute verfügbar. Zum Überblick über die kommenden Funktionen
Ablage
Alles zu einem Kunden an einem Ort
KON-VAULT ordnet Zugangsdaten nach Kunden. Jede Kundenakte bündelt Passwörter, Geräte mit Seriennummer und Version, Dateien und Notizen. Frühere Werte bleiben erhalten.
- Passwörter, Geräte (Server, Client, Firewall, Kartenterminal) und Dateien je Kunde
- Suche nach Kundennummer oder Bestellcode
- Passwörter, Seriennummern und Dateiinhalte liegen AES-256-GCM-verschlüsselt in der Datenbank; Bezeichnungen, Notizen und Kundenstammdaten nicht
- Werte erst auf Klick anzeigen, dann mit einem Klick kopieren
- Versionsstand: Administratoren sehen frühere Werte, ältere Dateiversionen laden sie herunter
- Kunden und Einträge deaktivieren und wiederherstellen
Die Ablage verschlüsselt der Server mit dem Schlüssel Ihrer Instanz. Das schützt die verschlüsselten Werte in Datenbank-Kopien, solange der Schlüssel der Instanz getrennt davon aufbewahrt wird. Zur Anzeige entschlüsselt die Anwendung die Werte. Wer sie sehen darf, entscheiden die Rollen, und das Aktivitätslog hält fest, wer sie angesehen hat.
Anmeldung und Konten
Wer hineinkommt, regeln Anmeldung und Konten
Angemeldet wird mit Benutzername und Passwort, auf Wunsch mit zweitem Faktor per Authenticator-App. Administratoren vergeben Rollen und können Konten einzeln deaktivieren.
- Zwei-Faktor-Anmeldung per Authenticator-App (TOTP, 8-stellige Codes), je Konto einrichtbar
- Rollen Administrator und Benutzer
- Ein deaktiviertes Konto verliert sofort den Zugriff, auch über seine API-Schlüssel
Den zweiten Faktor richtet jedes Konto selbst ein. Eine Pflicht für alle Konten gibt es nicht.
Beispielablauf mit Beispieldaten
Protokoll und Warnungen
Nachvollziehen, wer wann zugegriffen hat
Das Aktivitätslog hält fest, wer sich angemeldet hat, wessen Anmeldung fehlgeschlagen ist und wer Werte angezeigt, angelegt oder geändert hat.
- Aktivitätslog für Administratoren: Anmeldungen, Fehlversuche, angezeigte Werte und Änderungen
- Ansicht je Tag mit Suche
Beispielablauf mit Beispieldaten
API
Aus Ihren Systemen anlegen
Über die REST-API legen Ihre Systeme Kunden, Passwörter, Dateien und Geräte direkt in KON-VAULT an. Lesen und Ändern sind über die API nicht vorgesehen. Die Dokumentation finden Sie in der Anwendung.
- API-Schlüssel je Konto, API-Zugriff je Konto schaltbar
Beispielansicht mit Beispieldaten
AusblickMit einem kommenden Update
Was mit einem der nächsten Updates dazukommt
Die folgenden Funktionen werden mit einem der nächsten KON-VAULT-Updates ausgeliefert und sind heute noch nicht verfügbar. Einiges wirkt danach sofort, anderes schaltet Ihr Administrator bewusst ein; das ist jeweils gekennzeichnet.
Teilen per Einmal-LinkMit einem kommenden Update
Zugangsdaten weitergeben, ohne dass sie in E-Mail oder Chat liegen bleiben
Ein Dienstleister braucht kurz das Router-Passwort? Statt es per E-Mail oder Chat zu schicken, erzeugen Sie einen Einmal-Link. Der Inhalt wird in Ihrem Browser verschlüsselt, der Schlüssel steht nur im Link. Vom Inhalt speichert der KON-VAULT-Server nur das Chiffrat, dazu Verwaltungsangaben wie Ablauf, Zahl der Ansichten und eine optionale Empfängerbezeichnung. Das Chiffrat löscht er nach dem letzten Abruf.
1Prüfen
Sie wählen Gültigkeit (1 Stunde, 24 Stunden oder 7 Tage) und die Zahl der Ansichten und bestätigen, dass Sie die Identität des Empfängers geprüft haben.
2Wert holen
Für einen Tresor-Eintrag liefert der KON-VAULT-Server den Wert einmal an Ihren Browser, das steht im Protokoll. Ein freies Geheimnis geben Sie direkt ein.
3Verschlüsseln
Ihr Browser verschlüsselt den Inhalt mit AES-256-GCM. Der Schlüssel steht im Link hinter dem Zeichen #, und diesen Teil schicken Browser beim Aufruf nicht an den Server.
4Ablegen
Der Link-Speicher des Servers erhält vom Inhalt nur das Chiffrat und einen Prüfwert. Ohne den Link kann der Server den Inhalt nicht lesen. Teilen Sie ein Passwort aus dem Tresor, steht ab jetzt am Eintrag „Rotation empfohlen“.
5Übermitteln
Den Link schicken Sie wie gewohnt, ein optionales Link-Passwort über einen zweiten Kanal, zum Beispiel telefonisch.
6Öffnen
Der Empfänger öffnet den Link, ganz ohne Konto. Den Inhalt lädt die Seite erst nach einem Klick und entschlüsselt ihn in seinem Browser.
7Verbraucht
Nach der letzten Ansicht, nach Ablauf oder Widerruf löscht der Server das Chiffrat. Im Protokoll steht, wann der Link geöffnet wurde.
Beispielablauf mit Beispieldaten
- Sensibilität „Hoch“ erzwingt eine Ansicht, höchstens 24 Stunden und ein Link-Passwort.
- Das Link-Passwort wird im Browser abgeleitet (PBKDF2, 600.000 Durchläufe). Nach 5 Fehlversuchen ist der Link gesperrt.
- Teilen Sie Passwörter, Dateien (standardmäßig bis 10 MB) und freie Texte ohne Tresor-Eintrag.
- Übersicht „Freigaben“: alle eigenen Links mit Status, Zugriffen und Widerruf.
- Einfache Link-Vorschauen in Chats verbrauchen keine Ansicht. Automatische Link-Prüfer mancher E-Mail-Programme können das, ein Link-Passwort verhindert es.
Wer den vollständigen Link hat, kann ihn öffnen. Öffnet ihn jemand vorher, verbraucht er eine Ansicht. Bei einer einzigen Ansicht fehlt sie dann dem Empfänger, und das fällt auf; bei mehreren Ansichten zeigt es nur die Zahl der Zugriffe in der Übersicht „Freigaben“. Für sensible Daten deshalb eine Ansicht wählen und das Link-Passwort über einen zweiten Kanal schicken.
Gut zu wissen: Ende-zu-Ende heißt hier, dass der KON-VAULT-Server den Link-Inhalt nicht lesen kann. Einträge aus dem Tresor selbst entschlüsselt der Server, bevor er sie an Ihren Browser gibt. Einmal-Links brauchen eine HTTPS-Adresse, und Ihr Administrator legt fest, wer sie erstellen darf: alle, nur Administratoren oder niemand. Sicherungskopien des Servers können das Chiffrat noch eine Zeit lang enthalten.
Rechte pro EintragMit einem kommenden Update
Standardmäßig sehen alle Benutzer alle aktiven Kunden. Wo das nicht passt, schränkt ein Administrator einen Kunden oder einzelne Einträge ein und gibt sie gezielt frei, auf Wunsch mit Ablaufdatum.
- Einschränken je Kunde oder je Passwort, Datei und Gerät: „Nur für freigegebene Personen sichtbar“ einschaltbar
- Freigabe pro Person mit dem Recht Lesen, Lesen und Teilen oder Bearbeiten
- „Gültig bis einschließlich“, vorbelegt mit 30 Tagen, oder unbefristet
- Konto-Schalter „Nur Lesen“: kann nichts anlegen, ändern oder teilen, auch nicht per API einschaltbar
- Gilt überall: Liste, Suche, Anzeige, Download, Teilen und API. Für Personen ohne Freigabe ist ein eingeschränkter Eintrag schlicht nicht da.
- Seite „Freigaben“, für Administratoren mit dem Filter „läuft in 7 Tagen ab“; ein Widerruf wirkt sofort
Administratoren sehen weiterhin alles. Das Teilen-Recht steuert Einmal-Links aus dem Eintrag. Wer einen Wert lesen darf, kann ihn weitergeben, zum Beispiel als freies Geheimnis. Sollen nur Administratoren Einmal-Links erstellen, stellen Sie das so ein; das Weitergeben auf anderen Wegen verhindert keine Einstellung.
Anmeldung und SitzungenMit einem kommenden Update
- Jeder Zwei-Faktor-Code gilt nur einmal; Wiederherstellungscodes für den Notfall lassen sich erzeugen
- Anmeldeschutz: nach 5 Fehlversuchen eine wachsende Wartezeit bis 30 Sekunden, gleiche Antwort für unbekannte Benutzernamen
- Sitzungen auf dem Server: Liste der eigenen Anmeldungen und „Alle anderen Sitzungen beenden“
- Neu gesetzte Passwörter mit mindestens 12 Zeichen, ohne verbreitete Passwörter und ohne den Benutzernamen
- Neue Instanzen starten mit einem zufälligen Administrator-Passwort, das beim ersten Anmelden geändert werden muss
- Sicherheits-Header, Schutz vor Anfragen fremder Seiten, Cookies mit SameSite-Schutz, über HTTPS zusätzlich Secure
- Passkeys, sobald Ihre Instanz unter einer HTTPS-Adresse mit Hostnamen läuft einschaltbar
- Automatische Abmeldung bei Inaktivität, empfohlen nach höchstens 30 Minuten, mit Hinweis eine Minute vorher einschaltbar
- Harte Sperre nach wiederholten Fehlversuchen einschaltbar
- Zufällige Schlüssel für neue Zwei-Faktor-Einrichtungen einschaltbar
Den zweiten Faktor richtet jedes Konto selbst ein, eine Pflicht für alle Konten gibt es nicht. Die Sicherheitsübersicht zeigt, wie viele Konten noch keinen haben.
Protokoll und WarnungenMit einem kommenden Update
- Zugriffsverlauf je Eintrag für Administratoren: wer hat dieses Passwort wann gesehen
- Filter nach Zeitraum, Benutzer, Aktion und Suchbegriff, Export als CSV mit maskierten Werten
- Sicherheitsereignisse, zum Beispiel viele Passwort-Anzeigen in kurzer Zeit, wiederholte Zugriffe ohne Berechtigung, Zugriff nach Ablauf einer Freigabe oder viele fehlgeschlagene Anmeldungen
- Rote Markierung für Administratoren, Ereignisse einzeln quittieren
- Sicherheitsübersicht mit Prüfliste und Ampel, angelehnt an Empfehlungen des BSI
- Die Anwendung speichert IP-Adressen nur gekürzt oder pseudonymisiert; die Aufbewahrung des Protokolls ist einstellbar
- Benachrichtigung per Webhook als JSON an ein System Ihrer Wahl, etwa eine Automatisierung, die in Ihren Team-Chat weiterleitet. Nur über HTTPS, ohne Passwörter, Kundendaten und Eintragsnamen. einschaltbar
NachsorgeMit einem kommenden Update
- Konto deaktivieren: Einmal-Links und Freigaben werden widerrufen, Sitzungen beendet und die in den letzten 90 Tagen gesehenen Passwörter zur Änderung markiert. Dazu gibt es einen Nachsorge-Bericht.
- „Gerät verloren“: widerruft die Einmal-Links des Kontos, entfernt seine Passkeys und beendet Sitzungen
- Hinweis „Rotation empfohlen“ am Eintrag, bis ein neuer Wert gespeichert ist, und eine Liste aller betroffenen Passwörter für Administratoren
Die Passwörter in den Zielsystemen ändern Sie selbst. KON-VAULT sagt Ihnen, welche.
Schlüssel und Notfall-ExportMit einem kommenden Update
- Ein Hauptschlüssel (KEK) umhüllt die Datenschlüssel (DEK). Den KEK wechseln Sie, ohne Daten neu zu verschlüsseln; neue Datenschlüssel gelten für neu gespeicherte Werte. einschaltbar
- Ein Prüfwert erkennt beim Start einen falschen Wurzelschlüssel der Instanz (ENCRYPTION_KEY).
- Das neue Speicherformat schaltet Ihr Administrator ein und stellt den Altbestand schrittweise um. einschaltbar
- Verschlüsselte Datei mit allen aktiven Kunden und ihren Passwörtern, Geräten und Dateien, geschützt durch eine Passphrase (Argon2id, AES-256-GCM)
- Offline per Kommandozeile mit dem KON-VAULT-Programm zu öffnen, auch wenn der Server nicht erreichbar ist; bewahren Sie dafür eine Kopie des Programms mit der Datei auf
- Nur für Administratoren, mit Konto-Passwort und frischem Zwei-Faktor-Code, höchstens einmal pro Stunde, als Sicherheitsereignis vermerkt
Ohne eingeschaltetes neues Format gilt der Schlüsselring noch nicht für den Bestand. Wer Datenbank und Wurzelschlüssel der Instanz zugleich besitzt, kann weiterhin entschlüsseln.
Der Export ersetzt keine Datensicherung der Instanz, und ein Import in eine Instanz ist nicht vorgesehen.
APIMit einem kommenden Update
- Laufzeit und letzte Nutzung je Schlüssel sichtbar
- Neue Schlüssel nur mit eingerichtetem zweiten Faktor
- Rechte pro Eintrag und „Nur Lesen“ gelten auch für die API
Betrieb
Bei uns oder bei Ihnen
KON-VAULT läuft als eigene Instanz in einem Docker-Container mit PostgreSQL. Wir betreiben sie für Sie, oder Sie betreiben sie auf Ihrer Infrastruktur.
Cloud
Von uns betriebenWir betreiben Ihre Instanz und spielen Updates ein. Sie melden sich an und arbeiten.
- Eigene Instanz für Ihr Unternehmen
- Updates durch digitalWAS
- Einrichtung durch unser Team
- Ansprechpartner bei digitalWAS
On-Premise
Auf Ihrer InfrastrukturFür Unternehmen, die Zugangsdaten im eigenen Netz halten wollen.
- Docker-Container mit PostgreSQL auf Ihrem Server
- Daten bleiben in Ihrem Netz
- Netzwerk und Proxy nach Ihren Vorgaben
- Optional von uns betreut
Enterprise
MaßgeschneidertFür größere Teams mit eigenen Anforderungen.
- Ressourcen und Betrieb nach Absprache
- Anbindung Ihrer Systeme über die API
- Anpassungen auf Anfrage
- Persönlicher Ansprechpartner
KON-VAULT
Preise
Abgerechnet wird pro Benutzer und Monat. Ihr Angebot erhalten Sie auf Anfrage, gern zusammen mit einer Vorführung an Ihren eigenen Abläufen.
Cloud
- Kundenakten mit Passwörtern, Geräten und Dateien
- Aktivitätslog und Versionsstand
- Betrieb und Updates durch digitalWAS
On-Premise
- Alle Programmfunktionen aus Cloud
- Installation auf Ihrer Infrastruktur
- Daten bleiben in Ihrem Netz
- Optional von uns betreut
- Prioritäts-Support
Enterprise
- Alle Funktionen aus On-Premise
- Ressourcen und Betrieb nach Absprache
- Anbindung über die API
- Anpassungen auf Anfrage
- Persönlicher Ansprechpartner
FAQ
Häufige Fragen
Ist KON-VAULT Ende-zu-Ende verschlüsselt?
Nein. Passwörter, Seriennummern und Dateiinhalte verschlüsselt der Server mit AES-256-GCM und dem Schlüssel Ihrer Instanz; zur Anzeige entschlüsselt die Anwendung sie. Mit einem der nächsten Updates kommen Einmal-Links, die Ende-zu-Ende verschlüsselt sind: Der Inhalt wird im Browser verschlüsselt, und der Schlüssel steht nur im Link.
Wie gebe ich ein Passwort an jemanden ohne Konto weiter?
Heute zeigt KON-VAULT Passwörter nur angemeldeten Benutzern. Mit einem der nächsten Updates geht das per Einmal-Link: Sie legen Gültigkeit und Zahl der Ansichten fest und schicken bei Bedarf ein Link-Passwort über einen zweiten Kanal. Voraussetzung ist eine HTTPS-Adresse, die Empfänger erreichen können.
Kann ich festlegen, wer welchen Kunden sieht?
Heute gibt es zwei Rollen, Administrator und Benutzer, und alle Benutzer sehen alle aktiven Kunden. Mit einem der nächsten Updates kann ein Administrator Kunden oder einzelne Einträge einschränken und Personen gezielt freigeben, auf Wunsch befristet.
Welche Anmeldeverfahren gibt es?
Benutzername und Passwort, dazu ein zweiter Faktor per Authenticator-App, den jedes Konto selbst einrichtet. Eine Pflicht für alle Konten gibt es nicht. Mit einem der nächsten Updates kommen Wiederherstellungscodes und ein Anmeldeschutz gegen Durchprobieren dazu, Passkeys werden einschaltbar.
Was passiert, wenn ein Mitarbeiter das Unternehmen verlässt?
Sie deaktivieren sein Konto. Damit endet sein Zugriff sofort, auch über seine API-Schlüssel. Mit einem der nächsten Updates markiert KON-VAULT dabei zusätzlich die Passwörter, die er in den letzten 90 Tagen gesehen hat, zur Änderung und widerruft seine Einmal-Links und Freigaben.
Kann ich KON-VAULT auf eigenen Servern betreiben?
Ja. KON-VAULT läuft als Docker-Container mit PostgreSQL auf Ihrer Infrastruktur.
Gibt es einen Testzugang?
Ja. Unter vault.digitalwas.de steht eine öffentliche Demo-Instanz mit Beispieldaten, die Zugangsdaten finden Sie oben im Abschnitt „Demo“. Sie wird alle 30 Minuten zurückgesetzt; bitte dort keine echten Zugangsdaten speichern. Gern zeigen wir Ihnen KON-VAULT auch in einer Vorführung an Ihren eigenen Abläufen.
Funktioniert KON-VAULT auf dem Smartphone?
Die Anwendung ist für den Browser am Arbeitsplatz ausgelegt.
In welcher Sprache ist die Oberfläche?
Die Oberfläche von KON-VAULT ist deutschsprachig.
Quick-Check
Passt KON-VAULT zu Ihnen?
Fünf kurze Fragen, danach sehen Sie, welche Variante und welche Funktionen zu Ihnen passen.
Frage 1 von 5: Für wie viele Kunden verwalten Sie Zugangsdaten?
Demo
Sofort selbst ausprobieren
Öffentliche Demo-Instanz mit Beispieldaten. Sie wird alle 30 Minuten zurückgesetzt, bitte keine echten Zugangsdaten eintragen.
- Demo-Adresse
- vault.digitalwas.de
- Benutzer
- admin
- Passwort
- admin_pw
Vorführung
KON-VAULT live erleben
Wir zeigen Ihnen KON-VAULT in einer Vorführung, gern an Ihren eigenen Abläufen: Kundenakte und Aktivitätslog, und sobald das entsprechende Update ausgeliefert ist, auch Einmal-Link und Rechte pro Eintrag. Zum Selbst-Ausprobieren gibt es daneben die Demo-Instanz.
Vorführung vereinbaren