Seminar Passwortmanagement – Auswahl, Architektur und Proof of Concept

Produktlisten sind schnell erstellt, belastbare Entscheidungen dagegen nicht. Passwortmanager unterscheiden sich wesentlich bei Vertrauensmodell, Client-Sicherheit, Verwaltungsfunktionen, Datenstandort, Wiederherstellung, Exportierbarkeit und Betriebsaufwand.

Das Seminar übersetzt fachliche und technische Anforderungen in überprüfbare Kriterien. Ein Proof of Concept untersucht kritische Abläufe mit Testdaten und verhindert, dass eine Hochglanzvorführung mit einem Betriebsnachweis verwechselt wird.

Einordnung und Nutzen

Drei Tage sind notwendig: Der erste Tag klärt Zielbild und Kriterien, der zweite Tag prüft Architektur und Kernabläufe, der dritte Tag führt Sicherheits-, Migrations-, Betriebs- und Ausfalltests zusammen. Zwei Tage reichen nur für eine Vorauswahl ohne belastbaren Praxisnachweis.

Zielgruppe

• IT-Architekten und technische Entscheider
• Informationssicherheit, Datenschutz und Einkauf
• IAM-, Workplace- und Plattformteams
• Projektleitungen für Passwortmanagement-Einführungen

Voraussetzungen

• Grundverständnis von Authentisierung und Zugriffssteuerung
• Kenntnis der eigenen Benutzer-, Geräte- und Betriebslandschaft
• Für den Proof of Concept sind Testmandanten oder Laborinstanzen hilfreich

Lernziele

• Anforderungen nach Rollen, Schutzbedarf und Betriebsmodell strukturieren
• Sicherheits- und Vertrauensmodelle realistisch vergleichen
• Muss-, Soll- und Ausschlusskriterien messbar formulieren
• Einen herstellerneutralen Proof of Concept planen und durchführen
• Ergebnisse, Risiken und Gesamtkosten nachvollziehbar bewerten

Seminarinhalte

Zielbild und Anforderungskatalog

• Benutzer, Administratoren, externe Partner, Entwickler und privilegierte Rollen unterscheiden
• Persönliche Passwörter, Teamzugänge, technische Konten, Passkeys und Secrets abgrenzen
• Verfügbarkeit, Datenresidenz, Barrierefreiheit, Support und Exit-Anforderungen festlegen

Architektur und Sicherheitsmodell

• Cloud, Self-Hosting, lokale Datenbank und hybride Modelle vergleichen
• Ende-zu-Ende-Verschlüsselung, Zero-Knowledge-Aussagen und Clientvertrauen prüfen
• Schlüsselableitung, Gerätesicherheit, Browser-Erweiterungen, Synchronisation und Metadaten einordnen

Enterprise- und Betriebsfunktionen

• Organisationen, Rollen, Richtlinien, SSO, Provisionierung und Wiederherstellung bewerten
• Auditdaten, SIEM-Anbindung, Backup, Restore, Hochverfügbarkeit und Updates prüfen
• Import, Export, APIs, Automatisierung und Anbieterwechsel absichern

Proof of Concept und Entscheidung

• Repräsentative Testfälle und Abnahmekriterien definieren
• Positiv-, Negativ-, Last-, Ausfall- und Wiederherstellungstests durchführen
• Lizenz-, Betriebs-, Migrations- und Schulungsaufwand als Gesamtkostenmodell erfassen

Praktische Übungen

• Erstellung eines gewichteten Anforderungskatalogs
• Bedrohungsmodell für zwei unterschiedliche Betriebsmodelle
• Durchführung eines PoC mit Benutzer-, Freigabe- und Wiederherstellungsfällen
• Test von Exportierbarkeit und Rückfalloption
• Erstellung einer begründeten Entscheidungsvorlage

Methodik

Die Bewertung erfolgt anhand vorbereiteter Testdaten und nachvollziehbarer Prüfschritte. Funktionsbehauptungen werden nicht ungeprüft übernommen, sondern als Testfall mit Ergebnis, Abweichung, Risiko und Folgemaßnahme dokumentiert.