Seminar KeePassXC – Sicherheitskonzept, Härtung und Notfallvorsorge

Verschlüsselung schützt eine kopierte Datenbank nur so gut wie Master-Passphrase, Schlüsselableitung, Zusatzschlüssel und Endgerät – und sie ersetzt weder Backup noch Vorfallplan.

Seminarüberblick

Das Seminar entwickelt ein belastbares Sicherheitskonzept für KeePassXC. Die Schutzmaßnahmen werden aus realistischen Bedrohungen abgeleitet: Diebstahl oder Kopie der KDBX-Datei, kompromittierter Arbeitsplatz, Phishing, unsichere Synchronisation, Verlust zusätzlicher Schlüssel und Fehlbedienung.

Neben kryptografischen Einstellungen stehen sichere Nutzung, Trennung von Faktoren, Härtung der Browser-Anbindung, Datenminimierung, überprüfbare Sicherungen und konkrete Reaktionspläne im Mittelpunkt. Externe Prüfungen und Zertifizierungen werden richtig eingeordnet: hilfreich, aber kein Ersatz für aktuelle Versionen und einen sicheren Betrieb.

Zielsetzung

Die Teilnehmenden können Risiken systematisch bewerten, angemessene Schutzprofile festlegen, KeePassXC und seinen Nutzungskontext härten, Qualitätskontrollen durchführen, Schlüssel- und Backupverfahren gestalten und auf typische Verlust- und Kompromittierungsszenarien vorbereitet reagieren.

Zielgruppe

IT-Sicherheitsbeauftragte, Administratoren, Security Engineers, Datenschutz- und Governance-Verantwortliche, Revisoren sowie Betreiber schutzbedürftiger Passwortbestände.

Voraussetzungen

Grundlegende KeePassXC-Kenntnisse sowie ein allgemeines Verständnis von Zugriffsschutz, Backup und Arbeitsplatzsicherheit. Vertiefte Kryptografiekenntnisse sind nicht erforderlich.

Seminarinhalte

Bedrohungsmodell und Schutzbedarf

• Schützenswerte Daten, Angreifer, Zugriffspfade und Folgen einer Offenlegung erfassen
• Offline-Angriffe auf kopierte Datenbanken von Angriffe auf ein entsperrtes Endgerät unterscheiden
• Privilegierte, persönliche, teambezogene und TOTP-Daten nach Schutzbedarf trennen
• Risikoakzeptanz, Mindestanforderungen und überprüfbare Ausnahmen dokumentieren

Datenbankverschlüsselung und Entschlüsselungsfaktoren

• KDBX-Format, Verschlüsselungsverfahren und Schlüsselableitung verständlich bewerten
• Master-Passphrasen nach Länge, Einzigartigkeit, Merkbarkeit und Wiederherstellbarkeit gestalten
• Schlüsseldateien getrennt aufbewahren, sichern und vor unbeabsichtigter Veränderung schützen
• Challenge-Response-Hardware korrekt einordnen und mit Ersatzschlüsselverfahren absichern

Anwendungs- und Arbeitsplatzhärtung

• Automatische Sperre, Zwischenablage, Sichtbarkeit, Verlauf und Inaktivität konfigurieren
• Browser-Verbindungen, URL-Freigaben, Favicons und Netzwerkzugriffe begrenzen
• Dateirechte, lokale Ablage, Vollverschlüsselung und Schutz vor Schadsoftware einbeziehen
• Portable, paketisolierte und gemeinsam genutzte Arbeitsplätze risikogerecht behandeln

Datenqualität und laufende Kontrolle

• Schwache, wiederverwendete, abgelaufene und gefährdete Kennwörter mit Berichten ermitteln
• Verwaiste Konten, unnötige Anhänge und überbreite Zugriffsbestände bereinigen
• Änderungen, Eigentum und regelmäßige Überprüfung besonders privilegierter Einträge organisieren
• Passkeys, TOTP-Geheimnisse und Wiederherstellungscodes in die Schutzbedarfsanalyse aufnehmen

Backup, Wiederherstellung und Schlüsselnotfall

• Versionierte, getrennte und gegen Überschreiben geschützte Sicherungen aufbauen
• Datenbank, Schlüsseldatei, Hardware-Geheimnis und notwendige Verfahrensinformationen vollständig erfassen
• Wiederherstellung regelmäßig auf einem getrennten System testen
• Verlust eines Faktors von Kompromittierung eines Faktors unterscheiden und angemessen reagieren

Vorfallbehandlung

• Vorgehen bei verlorenem Gerät, kopierter KDBX-Datei und kompromittiertem Arbeitsplatz
• Priorisierte Rotation privilegierter und extern erreichbarer Zugangsdaten
• Browser-Verbindungen, Passkeys, TOTP-Zuordnungen und SSH-Schlüssel gezielt widerrufen
• Beweise und Zeitablauf dokumentieren, ohne zusätzliche Geheimnisse in Protokolle zu schreiben

Praktische Übungen

• Erstellung eines Bedrohungsmodells für drei unterschiedlich schutzbedürftige Datenbanken
• Vergleich und Konfiguration geeigneter Datenbank- und Schlüsselableitungsparameter
• Härtung einer absichtlich unsicher vorkonfigurierten KeePassXC-Arbeitsumgebung
• Aufbau und erfolgreicher Test eines getrennten Backup- und Schlüsselwiederherstellungsverfahrens
• Bearbeitung eines Vorfalls mit gestohlenem Notebook und möglicherweise kopierter Datenbank

Methodik

Bedrohungsbasierte Facharbeit, Live-Konfiguration und Notfallübungen greifen ineinander. Schutzmaßnahmen werden nicht pauschal maximiert, sondern nach Wirksamkeit, Bedienbarkeit, Wiederherstellbarkeit und dokumentiertem Restrisiko ausgewählt.