Der Schutz Ihrer vertraulichen Daten und die sichere Passwortverwaltung sind Keeper ausgesprochen wichtig.

Überblick

Keeper Security, Inc. (KSI) ist es sehr daran gelegen, die Informationen unserer Kunden mit Keepers mobiler und Desktop-Sicherheitssoftware zu schützen. Millionen von Kunden und Unternehmen vertrauen Keeper die Sicherung und den Zugriff auf Ihre Passwörter und privaten Informationen an.

Keepers Software wird kontinuierlich verbessert, um den Kunden stets die neusten Technologien und Schutzmaßnahmen anbieten zu können. Diese Seite soll einen Überblick über Keepers Sicherheitsarchitektur, Verschlüsselungsmethoden und die Hosting-Umgebung der aktuellen Version bieten. Eine Übersicht, der technischen Details unserer Verschlüsselungs- und Sicherheitsmethoden, wird aufgeführt.

Unsere Datenschutzrichtlinien und Nutzungsbedingungen sind auf unserer Website über den folgenden Links erreichbar:

Datenschutzrichtlinie Allgemeine Geschäftsbedingungen

Datenschutz

Zero-Trust beginnt mit Passwortsicherheit. KSI baut seine Produkte rund um die Zero-Trust-Sicherheitsarchitektur auf. Sie basiert darauf, keinem Nutzer innerhalb der Architektur zu vertrauen. Zero-Trust geht davon aus, dass alle Nutzer und alle Geräte potenzielle Sicherheitsgefahren darstellen. Daher muss jeder Nutzer verifiziert und angemeldet werden, bevor sie auf Webseiten, Anwendungen oder das System zugreifen können. Diese Cybersicherheitsmethodik betont die Verfahrensweise der Cybersicherheitsplattform von Keeper. Keeper liefert IT-Administratoren komplette Einblicke in alle Nutzer, Systeme und Geräte, die auf die IT-Umgebung zugreifen, und ermöglicht es Admins so, Einhaltung von Industriestandards und gesetzlichen Vorschriften sicherzustellen. Für den Einsatz einer Zero-Trust-Umgebung in einer Organisation braucht es erstklassige Passwortsicherheit und Zero-Knowledge-Sicherheitsarchitektur.

Zero-Trust-Sicherheitsarchitektur

Klicken Sie auf das i (Infosymbol), um mehr zu erfahren.

Endbenutzer

Keeper-Benutzer auf beliebigen Geräten, einschließlich Desktop-Computer, Mobilgeräte, Internetbrowser und Kommandozeile.

Identitätsanbieter

Ein IdP ist Dienst, der Benutzeridentitäten speichert und verwaltet.

SAML-Anwendungen

Erlaubt die Erweiterung von SSO auf alle Sicherheitsdomänen und ermöglicht so die Nutzung von SSO im Internetbrowser.

SecOps, DevOps und IT

Privilegierte Benutzer mit Zugang zu sensiblen Konten, Anmeldebereichen und IT-Geheimnissen.

Keeper Admin-Konsole

Nutzen Sie die Plattform, um Unternehmensrichtlinien für Endbenutzer einzurichten und umzusetzen.

Keeper Connection Manager (KCM)

Ermöglicht den Zero-Trust-Netzwerkzugriff auf Ihre IT-Infrastruktur auch ohne VPN.

Keeper Secrets Manager (KSM)

Keeper sichert Infrastrukturgeheimnisse wie API-Schlüssel, Datenbankpasswörter, Zugangsschlüssel, Zertifikate und jede Art von vertraulichen Daten.

Keeper Enterprise Passwortmanager (EPM)

Schützt Ihre Passwörter und persönlichen Daten vor Cyberkriminellen.

Client-Geräte, Maschinen und Browser

Endbenutzergeräte, die auf den gesicherten Passworttresor zugreifen.

Windows, Linux, MySQL, SQL Server, PostgreSQL

Verschiedene Endpunkte, auf die privilegierte Benutzer häufig zugreifen.

Jenkins, GitHub, Terraform, PowerShell

Keeper bietet DevOps- und Entwicklertools, die den Erstell- und Entwicklungsprozess von Anwendungen automatisieren.

Passwortbasierte Anwendungen

Webseiten, Anwendungen und Systeme, für die Anmeldungen erforderlich sind.

Sehen Sie sich unser Zero-Trust-Video an

KSI hat weder Zugriff auf die Master-Passwörter der Kunden, noch auf die in im Datentresor gespeicherten Datensätze. KSI kann in keiner Weise auf die Geräte seiner Kunden zugreifen oder ihre Daten entschlüsseln. Die einzigen Informationen, über die Keeper Security verfügt, sind die E-Mail-Adresse, Gerätetyp und Abonnementdetails (z. B. Keeper Unlimited) der Benutzer. Nach Verlust oder Diebstahl eines Geräts kann KSI dabei helfen Zugriff auf eine verschlüsselte Backup-Datei zu erhalten, um die Daten nach Ersatz des Gerätes wiederherzustellen.

Informationen, die in Keeper gespeichert und zur Verfügung gestellt werden, sind nur für den Kunden zugänglich, da sie sofort verschlüsselt und vom verwendeten Gerät entschlüsselt werden - selbst bei Verwendung der Keeper Web-App. Bei der von Keeper verwendeten Verschlüsselungsmethode handelt es sich um einen bekannten und bewährten Algorithmus namens AES (Advanced Encryption Standard) mit einer Schlüssellänge von 256 Bit. Der 256-Bit AES-Schlüssel ist eine Verschlüsselung, die Militärstandards entspricht und von der US-Regierung zur Verschlüsselung hoch sensibler Daten verwendet wird. Laut der Veröffentlichung CNSSP-15 des Ausschusses für nationale Sicherheitssysteme, ist AES mit 256-bit Schlüssellänge ausreichend zur sicheren Verschlüsselung von vertraulichen Daten bis hin zu Daten, die von der US-Regierung als STRENG GEHEIM klassifiziert wurden. Keeper ist zertifiziert nach FIPS 140-2, validiert von NIST CMVP (Zertifikat #3976 - https://csrc.nist.gov/projects/cryptographic-module-validation-program/certificate/3976)

Die zur Ver- und Entschlüsselung der Kunden-Datensätze verwendeten Chiffrierschlüssel werden nicht gespeichert oder zu Keepers Cloud Security Vault übertragen. Um die Synchronisierung zwischen mehreren Geräten dennoch zu ermöglichen, wird eine verschlüsselte Version dieses Chiffrierschlüssels im Cloud Security Vault gespeichert und den mit dem Benutzerkonto verknüpften Geräten zur Verfügung gestellt. Dieser verschlüsselte Chiffrierschlüssel kann nur auf dem Gerät für die weitere Verwendung als Chiffrierschlüssel verwendet werden.

Stärke des Master-Passworts

Es wird dringend empfohlen, für das Keeper-Konto ein besonders starkes Master-Passwort zu wählen. Das Master-Passwort sollte nirgendwo anders als bei Keeper verwendet und an keine anderen Personen weitergegeben werden.

Zwei-Faktor-Authentifizierung

Um Ihren Tresor und Kundenkonten von Webseiten und Apps vor unberechtigtem Zugriff Dritter zu schützen, bietet Keeper außerdem die Zwei-Stufen-Authentifizierung. Die Zwei-Stufen-Authentifizierung ist eine Authentifizierungsmethode, bei der zwei oder mehr dieser drei Authentifizierungsfaktoren benötigt werden: Faktor "Wissen", Faktor "Besitz" und Faktor "Eigenschaft". Für weitere Informationen zur Zwei-Stufen-Authentifizierung, besuchen Sie diesen Link.

Keeper verwendet etwas, das Sie wissen (Ihr Passwort) und etwas, das Sie besitzen (Ihr Handy), um Benutzern zusätzliche Sicherheit zu bieten, falls Ihnen Ihr Master-Passwort oder Gerät abhandenkommen. Hierfür generieren wir TOTPs (Time-based One-Time Passwords, also zeitlich begrenzte Einmalpasswörter).

Keeper generiert einen privaten 10-Byte-Schlüssel mithilfe eines sicheren, kryptografischen Zufallszahlengenerators. Dieser Code ist etwa eine Minute lang gültig und wird dem Benutzer per SMS, Duo Security, RSA SecurID, TOTP-Anwendungen, Google Authenticator oder über Wearables, die mit Keeper DNA kompatibel sind, zugeschickt.

Wenn Sie den Google Authenticator auf Ihrem Mobilgerät verwenden, generiert der Keeper-Server intern einen QR-Code mit Ihrem privaten Schlüssel, der niemals an Dritte weitergeleitet wird. Jedes Mal, wenn der Benutzer die Zwei-Stufen-Authentifizierung deaktiviert und wieder aktiviert, wird ein neuer privater Schlüssel erzeugt.

Um die Zwei-Stufen-Authentifizierung zu aktivieren, gehen Sie bitte in die Einstellungen der Keeper Web-App oder öffnen Sie Keeper DNA. Keeper Business-Kunden können optional die Zwei-Stufen-Authentifizierung zur Anmeldung im Tresor und unterstützte 2FA-Methoden über die Funktion "Rollendurchsetzung" in der Keeper Admin-Konsole aktivieren.

FIDO WebAuthn-Sicherheitsschlüssel

Keeper unterstützt FIDO-kompatible hardware-basierte Sicherheitsschlüsselgeräte mit WebAuthn wie YubiKey als zweiten Faktor. Sicherheitsschlüssel bieten eine bequeme und sichere Möglichkeit, eine Zwei-Faktor-Authentifizierung durchzuführen, ohne dass der Benutzer manuell 6-stellige Codes eingeben muss. Für den Tresor eines Benutzers können mehrere Sicherheitsschlüssel konfiguriert werden. Bei Plattformen, die Sicherheitsschlüsselgeräte nicht unterstützen, können Benutzer auf andere konfigurierte 2FA-Methoden zurückgreifen. Um einen Sicherheitsschlüssel und andere Zwei-Faktor-Authentifizierungsmethoden zu konfigurieren, gehen Sie in der Keeper-Anwendung zu „Einstellungen“.

Notfallzugriff (Digitales Erbe)

Keeper erlaubt bis zu fünf Notfallkontakte, die im Falle eines Notfalls auf Ihren Tresor zugreifen dürfen. Sobald ein bestimmter Zeitraum vergangen ist, erhält der Notfallkontakt den Zugriff auf den Tresor des betroffenen Benutzers. Der Prozess der Tresorfreigabe basiert auf einer Zero-Knowledge-Sicherheitsstruktur. Auch das Master-Password wird niemals direkt freigegeben. Es wird eine RSA-Verschlüsselung verwendet, um den 256-Bit-AES-Schlüssel mit dem Notfallkontakt, nach Ablauf der Wartezeit (festgelegt durch den Benutzer) mitzuteilen. Daher müssen die Notfall-Kontakte über ein Keeper-Konto verfügen (und über ein öffentliches/privates RSA-Schlüsselpaar), um die Einladung anzunehmen.

Konto Wiederherstellung

Während der Registrierung werden Benutzer eventuell aufgefordert, eine eigene Sicherheitsfrage und Antwort darauf oder eine andere Wiederherstellungsmethode festzulegen. Während der Registrierung erstellt Keeper zudem einen 256-Bit AES-Datenschlüssel, mit dem die Datensatzschlüssel, die mit jedem Tresordatensatz gespeichert werden, ver- und entschlüsselt werden. Der Datenschlüssel des Benutzers leitet sich aus dem Master-Passwort ab. Für die Ableitung wird PBKDF2 mit bis zu 1.000.000 Iterationen eingesetzt und jeder AES-256-Datensatzschlüssel ist mit dem AES-256-Datenschlüssel verschlüsselt. Jeder Datensatz im Benutzertresor hat einen eigenen, unterschiedlichen Datenschlüssel, der auf dem Gerät erzeugt wird.

Die Kontowiederherstellung mit der Sicherheitsfrage funktioniert so: Es wird eine zweite Kopie des Datenschlüssels hinterlegt, die mit einem Schlüssel verschlüsselt wird, der sich mit bis zu 1.000.000 Iterationen aus der Antwort auf die Sicherheitsfrage ableitet. Zum Abschluss der Kontowiederherstellung muss der Benutzer einen Verifizierungscode aus einer E-Mail und einen Zwei-Faktor-Authentifizierungscode (sofern im Konto aktiviert) eingeben. Wir empfehlen Ihnen, eine komplexe Sicherheitsfrage und Antwort darauf festzulegen, und die Zwei-Faktor-Authentifizierung in den Keeper-Sicherheitseinstellungen zu aktivieren. Die Kontowiederherstellung kann basierend auf der Einrichtung eines Keeper-Enterprise-Kontos deaktiviert sein. Der Einsatz der Zwei-Faktor-Authentifizierung kann in der Keeper Admin-Konsole auch erzwungen werden.

Business- und Enterprise-Kunden haben mit der Kontoübertragungsfunktion von Keeper Zugriff auf eine Zero-Knowledge-Kontowiederherstellungsmethode.

Clientverschlüsselung

Die Daten werden auf den Benutzergeräten, nicht im Cloud Security Vault verschlüsselt. Wir nenne diesen Vorgang "Client-Verschlüsselung", da der Client (d.h. iPhone, Android-Gerät, Web-App, usw.) die Verschlüsselung übernimmt. Der Cloud Security Vault speichert eine binäre Rohdatei, die für einen Eindringling nutzlos ist. Selbst wenn die Daten während der Übertragung zwischen dem Client-Gerät und dem Cloud Security Vault abgegriffen werden, können sie nicht entschlüsselt werden oder zum Angriff auf oder zur Beeinträchtigung der privaten Nutzerdaten führen.

Zur Entschlüsselung oder dem Hacken eines 256-Bit Schlüssels wird die 2¹²⁸-fache Rechenleistung eines 128-Bit Schlüssels benötigt. Theoretisch würde ein Gerät somit 3×1051 Jahre benötigen, bis der Schlüsselraum erschöpft ist.

Teilen

Jeder Benutzer hat ein eigenes öffentliches/privates 256-Bit Elliptic-Curve-Schlüsselpaar (ECC secp256r1), das zum Freigeben von anderen Schlüsseln (zum Beispiel Datensatzschlüssel, Ordnerschlüssel und Teamschlüssel) genutzt wird. Freigegebene Daten werden mit dem öffentlichen Schlüssel des Empfängers verschlüsselt und mit dessen privaten Schlüssel entschlüsselt. So können Benutzer Daten ausschließlich für die gewollten Empfänger freigeben, da nur diese Empfänger die Daten entschlüsseln können. Aus Kompatibilitätsgründen für alte Datensätze kann auch ein 2048-Bit-RSA-Schlüssel verwendet werden.

Schlüsselerzeugung

Standardmäßig authentifizieren sich Benutzer bei Keeper mit einem eigenen Master-Passwort. PBKDF2 wird eingesetzt, um aus dem Master-Passwort einen Schlüssel abzuleiten, mit dem die anderen Schlüssel des Benutzers (z. B. der 256-Bit AES-Datenschlüssel) verschlüsselt werden. Ein zweiter PBKDF2-Schlüssel wird lokal erstellt und dann mit HMAC_SHA256 gehasht, um ein Authentifizierungs-Token abzuleiten. Die Fähigkeit zur Authentifizierung mit dem Master-Passwort ist für Benutzer gesperrt, bis ihr Gerät und 2FA bestätigt wurden. Die Standarditerationszahl für PBKDF2 liegt bei 1.000.000. Keeper-Administratoren können die PBKDF2-Iterationen in der Keeper Admin-Konsole festlegen.

Schlüsselspeicherung

Alle geheimen Schlüssel wie private Elliptic-Curve-Schlüssel, private RSA-Schlüssel und AES-256-Datenschlüssel von Benutzern werden alle vor der Speicherung oder Übertragung verschlüsselt. Für Benutzer und Unternehmen, die sich mit einem Master-Passwort anmelden, wird ein Schlüssel aus dem Master-Passwort abgeleitet, um gespeicherte Schlüssel zu entschlüsseln. Unternehmenskunden, die sich mit einem SSO-Identitätsanbieter anmelden, erhalten verschlüsselte Schlüssel für das Gerät nach erfolgreicher Authentifizierung und der Datenschlüssel und andere Tresorschlüssel werden mit dem privaten Schlüssel des Benutzers entschlüsselt. Da Keeper Cloud Security Vault keinen Zugriff auf das Master-Passwort oder Verschlüsselungsschlüssel des Benutzers hat, können wir keine der gespeicherten Schlüssel oder Daten entschlüsseln.

Keeper Cloud Sicherheitstresor

Der Begriff “Cloud Security Vault” bezieht sich auf KSIs geschützte Software- und Netzwerkarchitektur, die physisch innerhalb der Amazon-Web-Services-Infrastruktur (AWS) bereitgestellt wird.

Wenn Benutzer ihre Keeper-Tresordaten mit anderen, zu ihrem Konto gehörigen Geräten synchronisieren, werden die verschlüsselten Binärdaten über einen verschlüsselten TLS-Tunnel übertragen und in verschlüsselter Form in Keepers Cloud Security Vault gespeichert.

Datensatzverlauf

Keeper erhält den vollständigen verschlüsselten Versionsverlauf jedes Datensatzes, der im Tresor des Benutzers gespeichert ist, und stellt sicher, dass keine kritischen Daten jemals verloren gehen. Von der Keeper-Client-Anwendung können Benutzer den Datensatzverlauf untersuchen und eine Wiederherstellung eines einzelnen Tresor-Datensatzes durchführen. Wenn ein gespeichertes Passwort oder eine Datei in Keeper geändert oder gelöscht wird, haben die Benutzer immer die Möglichkeit, eine punktuelle Wiederherstellung durchzuführen.

Keeper Business

Kunden von Keeper Business erhalten eine zusätzliche Ebene der Kontrolle über ihre Benutzer und Geräte. Als Keeper-Administrator erhalten sie Zugriff auf eine cloud-basierte Verwaltungskonsole. Diese ermöglicht eine vollständige Kontrolle über Benutzer-Onboarding, Offboarding, rollenbasierte Berechtigungen, delegierte Verwaltung, Teams, Active Directory/LDAP-Integration, Zwei-Faktor-Authentifizierung, Single-Sign-on und Richtlinien zur Durchsetzung der Sicherheit. Die rollenbasierten Durchsetzungsrichtlinien von Keeper sind vollständig anpassbar und für Unternehmen jeder Größe skalierbar.

Umfassende Verschlüsselung

Keeper implementiert ein Verschlüsselungssystem mit mehreren Ebenen, das auf Client-seitig erzeugen Schlüsseln basiert. Datensatzschlüssel und Ordnerschlüssel werden auf einem lokalen Gerät erzeugt, auf dem alle Datensätze eines Tresors (zum Beispiel Passwörter) verschlüsselt werden. Wenn Sie beispielsweise 10.000 Datensätze in Ihrem Tresor haben, dann haben sie auch 10.000 AES-Datensatzschlüssel, die die Daten schützen.

Die Schlüssel werden lokal auf dem Gerät erzeugt, um das Zero-Knowledge-Verfahren einzuhalten, und um erweiterte Funktionen wie das Freigeben von Ordnern zu ermöglichen. Datensatz- und Ordnerschlüssel werden von anderen Verschlüsselungen wie dem Daten- oder Client-Schlüssel geschützt.

Rollen, Teams, geteilte Ordner und zugewiesene Administration

Keeper for Business bietet eine Reihe von Steuerungselementen zur Kontrolle von Organisationseinheiten, Rollen, Teams und geteilten Ordnern. Die leistungsstarken Keeper Funktionen bieten umfangreiche Sicherheitsebenen, die sowohl eingeschränkten Zugriff als auch umfassende delegierte Administration ermöglichen.

Für Rollen, die die Übertragbarkeit eines Benutzerkontos fordern gilt:

Der Durchsetzungsschlüssel ist mit jedem Adminschlüssel verschlüsselt, dem die Ausführung der Übertragung gestattet ist.

(Hinweise: separate Übertragungen, die unterschiedliche Benutzergruppen betreffen, müssen möglicherweise von unterschiedlichen Admingruppen ausgeführt werden.)

Kontenordnerschlüssel werden (für Benutzer in entsprechenden Rollen) erstellt und mit einem Durchsetzungsschlüssel verschlüsselt. Für alle Datensätze und geteilten Ordner eines Benutzers werden die jeweiligen Schlüssel mit dem Kontoordnerschlüssel verschlüsselt.

Die Übertragung eines Kontos wird ausgeführt, indem es zunächst gesperrt, dann übertragen und gelöscht wird. Hierdurch wird sichergestellt, dass dieser Vorgang nicht im geheimen ausgeführt wird. Die Kontoordnerschlüssel und Metatdaten ermöglichen die spätere Entschlüsselung der Datensatzdaten, während ein direkter Zugriff verhindert wird. Die Datensätze können also nur verwendet werden, nachdem sie einem bestimmten Benutzer zugeordnet wurden und der Zugriff durch Dritte verhindert wurde.

Die gesamte Verschlüsselung wird auf der Client-Seite durchgeführt und für Keeper ist es zu keinem Zeitpunkt möglich, die geteilten oder übertragenen Informationen zu entschlüsseln. Außerdem werden Benutzerschlüssel niemals geteilt. Wenn ein Benutzer aus einem Team, einem geteilten Ordner oder von anderen geteilten Daten entfernt wird, erhält er keine neuen Daten, geteilten Ordner oder Datensätze von dem Team. Obwohl der Schlüssel durch diesen Benutzer beeinträchtigt ist, kann er nicht mehr für den Zugriff auf Daten verwendet werden.

Verschiedene Administratorrechte können einzelnen hierarchischen Ebenen zugeordnet werden, die es Mitgliedern mit privilegierten Rollen ermöglichen, Befehle in unserer Keeper Adminkonsole auszuführen.

Richtlinien der Server-Seite und Client-Seite können ebenfalls Rollen zugeordnet werden, um das Verhalten von Clients für Gruppen oder Einzelbenutzer vorzuschreiben.

Teams ermöglichen die einfache Verbreitung von geteilten Ordnern an Benutzergruppen.

Keeper Active Directory/LDAP Bridge

Die Keeper Bridge lässt sich mit Active Directory und LDAP-Servern zur Bereitstellung und Eingliederung von Benutzern integrieren. Die Keeper Bridge Kommunikation wird zunächst von einem Administrator mit dem Recht zur Verwaltung der Bridge genehmigt. Ein Übertragungsschlüssel wird erstellt und für jegliche zukünftige Kommunikation mit Keeper geteilt. Die Verwendung des Übertragungsschlüssels stellt die Autorisierung für alle von der Bridge ausgeführten Funktionen dar, abgesehen von der Initialisierung der Bridge. Der Übertragungsschlüssel kann jederzeit wiederhergestellt werden und ändert sich alle 30 Tage.

Der Übertragungsschlüssel dient ausschließlich zur Übertragung, was bedeutet, dass ein beeinträchtigter Schlüssel ohne Datenverlust oder Genehmigung reinitialisiert oder widerrufen wird.

Die Keeper Bridge erteilt keine Rechte an bestimmte Rollen oder Benutzer. Sie kann einen Benutzer eine privilegierte Rolle zuordnen, solange keine Durchsetzungsschlüssel benötigt werden. Die Keeper Bridge kann jedoch weder sich selbst noch einen anderen Benutzer über eine ihm zugeordnete Rolle in der Hierarchie erheben. Nicht alle Funktionen sind für die Bridge verfügbar, d.h. die Bridge kann aktive Benutzer deaktivieren, diese jedoch nicht löschen. Der Admin kann dann entscheiden, ob der Benutzer gelöscht oder übertragen werden soll.

Single Sign-On (SAML 2.0) authentifizierung

Keeper kann von Business Keeper Kunden konfiguriert werden, einen Benutzer mit deren Keeper-Tresor mithilfe von Standard SAML 2.0 Identity Produkte zu authentifizieren. Keeper ist ein vorkonfigurierter Dienstleister aller wichtigen SSO Identitätsanbieter wie Google Apps, Microsoft Azure, Okta, Ping Identity und vielen mehr. Der Mechanismus den Keeper zur Authentifizierung von Benutzern mit deren Tresoren einer Zero-Knowledge-Umgebung verwendet, ist zum Patent angemeldete und heißt Keeper SSO Connect^®. Keeper SSO Connect^® ist eine Softwareanwendung die Keeper Business-Administratoren ihre eigene Infrastruktur zu installieren (entweder vor Ort oder in der Cloud), die als SAML 2.0-Serviceprovider-Endpunkt fungiert. Wenn dies von einem bestimmten Unternehmen aktiviert ist, verwaltet Keeper SSO Connect^® alle Verschlüsselungsschlüssel für Business Keeper Endnutzer. Nach erfolgreicher Authentifizierung für den Single Sign-On Identitätsanbieter für Unternehmen, wird der Benutzer mit den erforderlichen Verschlüsselungsschlüsseln zur Entschlüsselung des Tresors bei Keeper angemeldet. Die Software für Keeper SSO Connect^® ist kompatibel mit Windows, Mac und Linux.

SSO Connect^® Cloud

Keeper SSO Connect^® Cloud bietet Keeper Enterprise-Kunden eine Methode zur Nutzerauthentifizierung und zur Entschlüsselung von gespeicherten Daten aus einem per Zero-Knowledge-Verschlüsselung gesicherten Tresor. Die Authentifizierung läuft komplett über einen Identitätsanbieterdienst (IdP) eines Drittanbieters und mit Hilfe von SAML 2.0 Standardprotokollen in einer Cloud-Umgebung.

Bei dieser Implementierung kann sich ein Benutzer über seinen SSO-Identitätsanbieter authentifizieren und anschließend den Chiffriertext seines Tresors lokal auf seinem Gerät entschlüsseln. Jedes Gerät hat sein eigenes öffentliches/privates EC-Schlüsselpaar (Elliptic Curve) und einen verschlüsselten Datenschlüssel. Jeder Benutzer besitzt einen eigenen Datenschlüssel. Zur Anmeldung bei einem neuen Gerät muss der Benutzer das Gerät über ein bereits zugelassenes Gerät freigeben. Alternativ kann auch ein Administrator mit entsprechender Berechtigung ein neues Gerät freigeben.

Besonders wichtig bei der Funktion ist, dass der Benutzer den Tresor mit einem verschlüsselten Schlüssel entschlüsseln kann, der in der Keeper-Cloud gespeichert ist. Zero Knowledge bleibt erhalten, da die Keeper-Cloud nicht in der Lage ist, den Datenschlüssel des Benutzers auf dessen Gerät zu entschlüsseln. Der Datenschlüssel ("DK") des Benutzers wird mit dem privaten Schlüssel des Geräts (Device Private Key, "DPRIV") entschlüsselt, während der verschlüsselte Datenschlüssel (Encrypted Data Key, "EDK") dem Benutzer nur nach erfolgreicher Authentifizierung von seinem designierten Identitätsanbieter (z. B. Okta, Azure, AD FS) bereitgestellt wird.

Für Benutzer von SSO Connect^® Cloud wird ein privater Elliptic-Curve-Schlüssel erzeugt und lokal auf jedem Gerät gespeichert. Für Chromium-basierte Webbrowser speichert der Keeper-Tresor den lokalen Geräte-EC-Privatschlüssel ("DPRIV") als nicht exportierbaren CryptoKey. Auf iOS- und Mac-Geräten wird der Schlüssel im Schlüsselbund des Geräts gespeichert. Keeper nutzt soweit verfügbar sichere Speichermechanismen.

Der private Schlüssel des Geräts wird nicht direkt zum Verschlüsseln oder Entschlüsseln von Tresordaten verwendet. Nach erfolgreicher Authentifizierung durch den Identitätsanbieter wird ein separater (nicht gespeicherter) Schlüssel zur Entschlüsselung der Tresordaten verwendet. Die Offline-Extraktion des lokalen privaten Schlüssels des Geräts kann den Tresor eines Benutzers nicht entschlüsseln.

Verschiedene Geräte/Plattformen bieten unterschiedlich hohe Sicherheit. Für optimale Sicherheit empfehlen wir daher die Verwendung eines aktuellen Chromium-basierten Webbrowsers.

Für allgemeinen Schutz gegen Angriffe auf gefährdete Geräte empfehlen wir außerdem, alle Geräte (z. B. Desktop-Computer) mit einer Verschlüsselung auf Festplattenebene und durch aktuelle Anti-Malware-Software zu schützen.

SSO-Gerätebestätigungen

Zur Anmeldung bei einem neuen Gerät muss der Benutzer das Gerät über ein bereits zugelassenes Gerät freigeben. Alternativ kann auch ein Administrator mit entsprechender Berechtigung ein neues Gerät freigeben. Neue Geräte generieren einen neuen Satz öffentlicher/privater Schlüssel, und das genehmigende Gerät verschlüsselt den Datenschlüssel des Benutzers mit dem öffentlichen Schlüssel des neuen Geräts. Der verschlüsselte Datenschlüssel (EDK) des neuen Geräts wird dem anfragenden Benutzer/Gerät bereitgestellt. Der Benutzer kann nun seinen Datenschlüssel entschlüsseln, der dann die Tresordaten des Benutzers entschlüsselt. Innerhalb der entschlüsselten Tresordaten kann der Benutzer andere private Verschlüsselungsschlüssel wie Datensatzschlüssel, Ordnerschlüssel, Teamschlüssel usw. entschlüsseln.

Besonders wichtig bei der Funktion ist, dass der Benutzer den Tresor mit einem verschlüsselten Schlüssel entschlüsseln kann, der in der Keeper-Cloud gespeichert ist. Er braucht keine On-Prem oder benutzergehosteten Anwendungsdienste, um die Verschlüsselungsschlüssel zu verwalten. Zero Knowledge bleibt erhalten, da die Keeper-Cloud nicht in der Lage ist, den Datenschlüssel des Benutzers auf dessen Gerät zu entschlüsseln. Der Datenschlüssel ("DK") des Benutzers wird mit dem privaten Schlüssel des Geräts ("DPRIV") entschlüsselt, während der verschlüsselte Datenschlüssel ("EDK") dem Benutzer nur nach erfolgreicher Authentifizierung von seinem designierten Identitätsanbieter (z. B. Okta, Azure, AD FS) zur bereitgestellt wird.

Die Vorteile für den Administrator: einfache Einrichtung und es bedarf keiner gehosteten Software zur Verwaltung von Verschlüsselungsschlüsseln, wie im aktuellen SSO Connect^®-Verschlüsselungsmodell von Keeper beschrieben.
Einzige Workflow-Änderung in diesem Modell (verglichen mit der On-Prem-Implementierung von Keeper SSO Connect^®): Der Benutzer muss ein neues Gerät auf einem aktiven Gerät freigeben bzw. die Freigabe durch einen Keeper-Administrator durchführen lassen.

Keeper SSO Connect^® On-Prem

SSO Connect^® On-Prem ermöglicht die selbst-gehostete Integration auf einem eigenen Windows- oder Linux-basierten Anwendungsserver. Um Zero-Knowledge Sicherheit und nahtlose SSO Erfahrungen für die Benutzer zu gewährleisten, mus Keeper SSO Connect^® auf einem vom Kunden betriebenen Server installiert werden. Der Dienst kann entweder On-Premise oder in der Cloud unter Microsoft Windows, Mac OS oder Linux betrieben werden. HA (HIgh Availability) und Load-Balancing sind dabei vollständig unterstützt.

Keeper SSO Connect^® generiert und verwaltet automatisch das jeweilige Benutzer Master Passwort in der Form eines 256-bit Schlüssels. Das individuelle Master Passwort eines jeden Benutzers ist mit dem SSO Schlüssel verschlüsselt. Der SSO Schlüssel wiederum ist mit dem Knotenschlüssel des SSO Knoten verschlüsselt. Während der Startphase wird der SSO Schlüssel durch den Keeper SSO Connect^® Dienst vom Server heruntergeladen. Um das automatische Starten des SSO Dienstes zu gewährleisten, wird der Knotenschlüssel lokal gespeichert, und während des Dienststarts entschlüsselt dieser den SSO Schlüssel. Die Kommunikation zwischen dem SSO Connect^® Dienst und der Keeper Cloud wird mittles eines separaten Übertragungsschlüssels abgesichert.

BreachWatch

BreachWatch vergleicht Keeper-Datensätze kontinuierlich mit einer Datenbank bekannt gewordener Datenpannen und warnt die Benutzer bei Funden direkt im Tresor. BreachWatch basiert auf der Zero-Knowledge-Sicherheitsarchitektur, bei der mehrere Verfahren zum Einsatz kommen, um die Daten Ihrer Kunden zu schützen:

1. Eine sichere, verschlüsselte kryptografische Hash-Funktion und Anonymisierung, mit der Passwörter mit Einträgen gestohlener Kontodaten in einer Datenbank verglichen werden.
2. Kundenpasswörter werden mit einem Hardware-Sicherheitsmodul (HSM) und einem nicht-exportierbaren Sicherheitsschlüssel verarbeitet, bevor sie mit gestohlenen Passwörtern verglichen oder auf BreachWatch-Servern gespeichert werden.
3. Keeper-Kunden interagieren mit BreachWatch über eine anonymisierte BreachWatch-ID, die keine Verbindung zu anderen Keeper-Kundenidentifikatoren erlaubt.
4. BreachWatch trennt Benutzernamen und Passwörter in getrennten Diensten mit separaten, anonymisierten IDs, um die Verbindung zwischen Benutzernamen und Domains und Passwörtern aufzuheben.
5. BreachWatch-Kunden laden niemals Domain-Informationen hoch. Es werden nur Domains heruntergeladen.

Abbildung 1. Der Weg eines gehashten Kundenpassworts durch BreachWatch. Nur von der HSM und einem nicht-exportierbaren Sicherheitsschlüssel gesicherte Passwörter werden auf BreachWatch-Servern gespeichert. BreachWatch-Kunden interagieren mittels anonymisierter IDs mit den BreachWatch-Servern.

Um einen sicheren Dienst für seine Kunden einzurichten, trennte Keeper die BreachWatch-Anwendung in drei Einzeldienste, die jeweils getrennt Domains, Benutzernamen, Passwörter und Benutzernamen+Passwort-Paare überprüfen. Die Keeper-Anwendung kontaktiert jeden dieser Einzeldienste getrennt mit einer verschlüsselten REST-API.

Domain-Überprüfung

BreachWatch-Kunden laden eine Domain-Liste herunter, bei denen Datendiebstähle stattgefunden haben, und führen eine Überprüfung lokal durch.

Überprüfung von Benutzernamen und Passwörtern

Geräte von Kunden sind mit den BreachWatch-Servern verbunden und laden eine Liste von gehashten Benutzernamen (oder Passwörtern) sowie vom Programm festgelegten, zufälligen Identifikatoren (getrennte Identifikatoren jeweils für Passwort- und Benutzernamen-Überprüfungsdienst) hoch. Diese Benutzernamen-Hashes werden nach dem Hochladen verarbeitet. Die Verarbeitung findet mit einem Keyed-Hash Message Authentication Code (HMAC) statt, für den ein Hardware-Sicherheitsmodul (HSM) und ein geheimer Schlüssel verwendet werden. Der Schlüssel ist im HSM als nicht-exportierbar markiert. Damit kann das HSM den HMAC nur lokal verarbeiten und der Schlüssel kann nicht extrahiert werden. Die HMAC-gesicherten Daten (Benutzernamen oder Passwörter) werden dann mit der Datenbank der gestohlenen Datensets verglichen, die ebenfalls mit einem HMAC und Sicherheitsschlüssel gesichert wurden. Über sämtliche Funde wird anschließend auf dem Gerät des Kunden informiert. Alle Werte, für die keine Übereinstimmungen gefunden wurden, werden mit der anonymisierten Programm-ID gespeichert.

Wenn neue gestohlene Benutzernamen und Passwörter in das System aufgenommen werden, werden diese ebenfalls mit dem HMAC im HSM verarbeitet, dann in die BreachWatch-Datenbank aufgenommen und mit den gespeicherten Kundendaten verglichen. Bei Treffern wird eine Benachrichtigung für die entsprechende Programm-ID veranlasst.

Die Programme stellen regelmäßig eine Verbindung zu BreachWatch her und übermitteln die IDs. Alle veranlassten Nachrichten werden heruntergeladen und neue oder geänderte Benutzernamen und Passwörter werden hochgeladen und auf dieselbe Art und Weise verarbeitet.

Die Sicherheitsvorkehrungen von BreachWatch-Diensten basieren auf dem Trust-On-First-Use-Prinzip (TOFU). Das bedeutet, dass das Programm annehmen muss, dass die BreachWatch-Server keine Schadserver sind (also nicht aktiv von Angreifern kompromittiert werden), wenn das Programm die Hash-Werte hochlädt. Sobald die Werte mit einem HSM verarbeitet wurden, sind sie gesichert gegen Offline-Cracking-Versuche. Mit anderen Worten: Wenn Angreifer Datensets mit gespeicherten Programmwerten stehlen, können sie diese Werte offline nicht aufbrechen, ohne den HMAC-Schlüssel des HSM zu kennen.

Wird ein gestohlenes Passwort entdeckt, sendet das Gerät eine Hash-Kombination für Benutzername+Passwort an die BreachWatch-Server, wo derselbe Vergleich des HMAC-Hash-Werts durchgeführt wird, um festzustellen, ob diese Kombination von Benutzername+Passwort beeinträchtigt ist. Ist dies der Fall, werden die Domains aus dem Datendiebstahl an das Gerät zurückgesendet, damit auf diesem überprüft werden kann, ob es eine Übereinstimmung für die Kombination Benutzername+Passwort+Domain gibt. Stimmen alle drei Parameter auf dem Gerät überein, wird der Benutzer über die Schwere des Datendiebstahls informiert.

BreachWatch Business

Wird BreachWatch für Unternehmen aktiviert, werden die Passworttresore der Benutzer automatisch jedes Mal gescannt, wenn sich die Benutzer bei ihren Tresoren anmelden. Eine Zusammenfassung der BreachWatch-Daten zu den gescannten Benutzergeräten wird mit dem öffentlichen Schlüssel des Unternehmens verschlüsselt und vom Unternehmensadministrator entschlüsselt, wenn sich dieser bei der Keeper-Admin-Konsole anmeldet. Die verschlüsselten Daten enthalten E-Mail-Adressen, Anzahl riskanter Datensätze, Anzahl behobener Problemfälle und Anzahl ignorierter Problemfälle. Der Keeper-Administrator ist in der Lage, über die Admin-Konsole detaillierte Zusammenfassungen zu einzelnen Benutzern einzusehen.

Ereigniserfassung und Berichte

Mit der Integration mit "Erweiterte Berichterstattung & Warnungen" können Keeper-Endbenutzergeräte optional so eingerichtet werden, dass sie detaillierte Daten zu Ereignissen in Echtzeit an SIEM-Lösungen von Drittanbietern und an die Keeper-Admin-Konsole übertragen. Die Ereignisdaten enthalten E-Mail-Adressen, einzigartige IDs von Datensätzen, IP-Adressen und Geräteinformationen. Ereignisse enthalten aber keinerlei verschlüsselte Datensätze, da Keeper auf die Zero-Knowledge-Sicherheitsarchitektur setzt und Benutzerdaten nicht entschlüsseln kann.

Standardmäßig werden detaillierte BreachWatch-Ereignisdaten nicht an das Modul "Erweiterte Berichte und Warnungen" oder externe Datenerfassungsdienste gesendet. Um deren Übertragung an das Modul "Erweiterte Berichte und Warnungen" zu aktivieren, müssen Sie die Rollendurchsetzungseinstellungen unter der entsprechenden Rolle aktivieren. Gehen Sie dazu zu Rolle > Durchsetzungseinstellungen > Tresor-Funktionen. Nachdem die Einstellung aktiviert wurde, beginnt das Endbenutzergerät mit der Übertragung von Ereignisdaten. Da Daten bei der Integration mit SIEM-Lösungen von Drittanbietern von den Keeper-Diensten an diese SIEM-Lösungen übertragen werden, können die Ereignisdaten von diesen gelesen werden und können dazu verwendet werden, um herauszufinden, welche Benutzer und Datensätze in der Organisation riskante Passwörter enthalten. Möchte der Keeper-Administrator keine Ereignisdaten an das Modul "Erweiterte Berichte und Warnungen" übertragen, kann die Einstellung auch deaktiviert bleiben.

Offline-Modus

Der Offline-Modus erlaubt es Benutzern, auf ihren Tresor zuzugreifen, obwohl sie keine Verbindung zu Keeper oder ihrem SSO-Identitätsdienst herstellen können. Die Funktion steht in der Mobil-App, Desktop-App von Keeper zur Verfügung und kann für Unternehmenskunden auch auf bestimmt Internetbrowser erweitert werden.

Das funktioniert, indem Keeper eine Kopie des Tresors auf einem lokalen Speichermedium anlegt. Die so gespeicherten Daten sind AES-GCM-verschlüsselt mit einer 256-Bit-Client-Verschlüsselung, die zufällig erstellt wird und durch PBKDF2-HMAC-SHA512 mit bis zu 1.000.000 Iterationen und zufälligem Salt geschützt ist. Das Salt und die Iterationen werden lokal gespeichert. Mit der Eingabe des Master-Passworts durch Benutzer wird ein Schlüssel aus dem Salt und den Iterationen abgeleitet und es wird versucht, die Client-Verschlüsselung zu entschlüsseln. Die Client-Verschlüsselung wird dann zur Entschlüsselung der lokal gespeicherten Datensätze verwendet. Sollte der Selbstzerstörungsschutz für den Tresor des Benutzers aktiviert sein, werden nach 5 Anmeldungsfehlversuchen alle lokal gespeicherten Tresordaten gelöscht.

Netzwerkarchitektur

KSI setzt auf Server von Amazon AWS in Nordamerika, Europa und Australien für lokalisierten Datenschutz und geografische Datensegregation, um Anwendungen und die Systemarchitektur von Keeper zu hosten. Amazon AWS ermöglicht Keeper die nahtlose Skalierung von Ressourcen anhand der jeweiligen Nachfrage und bietet Keeper-Kunden die schnellste und sicherste der verfügbaren Cloud-Speicherumgebungen. KSI betreibt sowohl Multizonen- als auch Multiregionen-Umgebungen, um Verfügbarkeitszeiten zu maximieren und schnellstmögliche Reaktionszeiten zu gewährleisten.

Serverauthentifizierung

Der Keeper Cloud Security Vault wird durch eine API geschützt, die jeden Zugriffsversuch von Benutzergeräten individuell autorisiert. Auf den Benutzergeräten wird mittels PBKDF2-HMAC-SHA256 und einem zufälligen Salt aus dem Master-Passwort ein 256-Bit-Authentifizierungsschlüssel generiert. Der Authentifizierungs-Hash wird durch Hashing des Authentifizierungsschlüssels mittels SHA-256 generiert. Zur Anmeldung wird dieser Authentifizierungs-Hash mit dem Authentifizierungs-Hash verglichen, der im Cloud Security Vault hinterlegt ist. Nach der Anmeldung wird ein Sitzungstoken erstellt und vom Benutzergerät für weitere Anfragen verwendet. Dieser Authentifizierungs-Token muss alle 30 Minuten oder bei einer Serveranfrage erneuert werden.

Transport-Layer-Verschlüsselung

KSI supports 256-bit and 128-bit TLS to encrypt all data transport between the client application and KSI’s cloud-based storage. This is the same level of encryption trusted by millions of individuals and businesses everyday for web transactions requiring security, such as online banking, online shopping, trading stocks, accessing medical information and filing tax returns.

KSI nutzt TLS-Zertifikate, die von Digicert signiert wurden mittels SHA2-Algorithmen. SHA2 ist der aktuell sicherste, von kommerziellen Signaturanbietern erhältliche Signatur-Algorithmus. SHA2 bietet beträchtlich mehr Sicherheit als das noch weit verbreitete SHA1, das mathematische Schwachstellen aufwies, die ausgenutzt werden konnten. SHA2 unterstützt Sie dabei, sich gegen die Ausstellung gefälschter Zertifikate zu schützen, mit denen Angreifer vorgeben könnten, eine bestimmte Webseite zu sein.

KSI unterstützt Zertifikatstransparenz (Certificate Transparency, CT). Dabei handelt es sich um eine neue Initiative von Google, um eine öffentlich überprüfbare Datenbank für alle von Zertifikatsanbietern signierten Zertifikate aufzubauen. CT verbessert den Schutz gegen die Ausstellung von Zertifikaten durch nicht autorisierte Organisationen. CT wird aktuell in der neuesten Version des Chrome-Browsers unterstützt. Weitere Informationen zu Zertifikatstransparenz erhalten Sie unter: https://www.certificate-transparency.org. Keeper unterstützt folgende TLS-Cipher-Suiten:

• ECDHE-ECDSA-AES128-GCM-SHA256
• ECDHE-RSA-AES128-GCM-SHA256
• ECDHE-ECDSA-AES128-SHA256
• ECDHE-RSA-AES128-SHA256
• ECDHE-ECDSA-AES256-GCM-SHA384
• ECDHE-RSA-AES256-GCM-SHA384
• ECDHE-ECDSA-AES256-SHA384
• ECDHE-RSA-AES256-SHA384

Schutz gegen Cross-Scripting-Angriffe (XSS)

Der Keeper-Webtresor bietet eine strikte Inhaltssicherheitsregel, die alle von außen kommenden Anfragen einschränkt und die Ausführung von Scripten blockiert, sofern sie nicht direkt von Keeper stammen. Zu den blockierten Script-Arten zählen Inline-Scripte und Event-Handler-HTML-Attribute. Mit diesen Vorkehrungen minimieren Sie das Risiko eines Cross-Site-Scripting-Angriffs.

Der Zugriff auf die Domänen KeeperSecurity.com und KeeperSecurity.eu ist beschränkt auf HTTPS mit TLS 1.2, was durch HTTP Strict Transport Security umgesetzt wird. So wird eine große Bandbreite an Paket-Sniffing-, Datenmodifizierungs- und Man-In-The-Middle-Angriffen verhindert.

In der Keeper-Browsererweiterung wird Sie Keeper niemals auffordern, sich innerhalb eines Seiten-Frames beim Keeper-Tresor anzumelden. Die Anmeldung erfolgt ausschließlich in der Toolbar der Keeper-Browsererweiterung. Die Anmeldung bei Ihrem Tresor erfolgt im Browser entweder nur auf den Domänen KeeperSecurity.com oder KeeperSecurity.eu oder in der Toolbar der Keeper-Browsererweiterung und niemals direkt im Inhaltsanzeigebereich des Browsers.

Die Keeper-Browsererweiterung für Chrome, Firefox, Edge und Opera verwendet iFrames für die Injektion von Datensätzen auf den Anmeldeseiten von Webseiten. Somit soll verhindert werden, dass bösartige Webseiten Zugriff auf die eingefügten Daten erhalten. Per iFrame eingefügte Daten sind zudem auf die im Datensatz im Tresor gespeicherten Domänen der Zielwebseite beschränkt. Keeper wird AutoFill nur dann anbieten, wenn die Webseitendomäne mit den Daten im Tresordatensatz übereinstimmt.

Die Erweiterung für Internet Explorer nutzt eine separate, native Fensteranwendung für Anmeldungen und den Zugriff auf Datensätze. Das separate Fenster ist nicht anfällig für XSS-Angriffe, da es über den Browser nicht zugänglich ist. So kann die Erweiterung für Internet Explorer die Anmeldung direkt in einer Webseite anbieten. Die Erweiterung wird keine Datensätze anzeigen, wenn die Webseiten-Root-Domäne nicht mit den im Datensatz gespeicherten Informationen übereinstimmt.

Erweiterungen von Drittanbietern verfügen möglicherweise über höhere Berechtigungen im Browser und können auf Daten in einer Webseite zugreifen. Wir empfehlen daher, dass Keeper-Administratoren die Installation von nicht genehmigten Erweiterungen im Browser aus den Erweiterungsbibliotheken der Browseranbieter durch Benutzer verhindern.

Konformität & Überprüfung

FedRAMP StateRAMP ITAR FIPS 140-2 SOC2 ISO 27001 GDPR Compliant FDA 21 CFR
Part 11 Compliant HIPAA Compliant FSQS-NL

Zertifizierte SOC 2-Einhaltung

Die Tresordaten von Kunden bleiben mittels strenger und eng überwachter interner Kontrollmethoden geschützt. Keeper besitzt die Zertifizierung für SOC 2 Typ 2 gemäß den Vorschriften der AICPA Service Organization. Die SOC 2 Zertifizierung hilft dabei, Ihren Datentresor anhand der Implementierung standardisierter Kontrollen zu sichern, gemäß der Definition im Rahmen der AICPA Trust Service Principles.

Zertifiziert nach ISO 27001 (Informationsverwaltungssystem)

Keeper ist zertifiziert nach ISO 27001. Die Zertifizierung umfasst das Informationsverwaltungssystem von Keeper Security, auf dem die Keeper Enterprise-Plattform aufbaut. Die Zertifizierung nach ISO 27001 umfasst weiterhin die Verwaltung und Operation des digitalen Tresors, der Cloud-Dienste, Software und Anwendungsentwicklung und den Schutz digitaler Werte im digitalen Tresor und in den Cloud-Diensten.

GDPR

Keeper entspricht der DSGVO und wir sehen uns dazu verpflichtet sicherzustellen, dass unsere Geschäftsabläufe und Produkte weiterhin den Richtlinien für unsere Kunden in der Europäischen Union entsprechen.. Klicken Sie hier, um mehr über Keepers Einhaltung der DSGVO zu erfahren und eine Datenverarbeitungsvereinbarung herunterzuladen.

FedRAMP-geprüft

Keeper Security Government Cloud (KSGC) ist die Cybersicherheitsplattform von KSI für Behörden. KSGC ist ein FedRAMP-Anbieter mit dem Level „Moderate“ und wird in der AWS GovCloud (USA) gehostet. Sie finden KSGC auf dem FedRAMP Marketplace.

Das Federal Risk and Authorization Management Program (FedRAMP) ist ein Programm der US-Bundesregierung, das einen standardisierten Ansatz für die Sicherheitsbewertung, Autorisierung und kontinuierliche Überwachung von Cloud-Produkten und -Diensten bietet. FedRAMP ermöglicht es Regierungsbehörden, moderne Cloud-Technologien zu nutzen, wobei der Schwerpunkt auf der Sicherheit und dem Schutz von Bundesinformationen liegt. FedRAMP hilft, die Einführung sicherer Cloud-Lösungen zu beschleunigen.

Weitere Informationen zu FedRAMP finden Sie unter https://www.gsa.gov/technology/government-it-initiatives/fedramp.

Autorisiert für StateRAMP

Keeper Security Government Cloud (KSGC) ist die Passwortverwaltungs- und Cybersicherheitsplattform von KSI für Behörden. KSGC ist ein nach StateRAMP autorisierter Anbieter mit dem Impact-Level „Moderate“ und wird in der AWS GovCloud (USA) gehostet. Sie finden KSGC auf dem StateRAMP Marketplace.

Die Regulierungsausschüsse von StateRAMP legen Richtlinien und Verfahren fest, die die Sicherheitsanforderungen an Dienstleister standardisieren. Die StateRAMP-Verwaltungsbehörde überprüft dann mit unabhängigen Prüfungen und kontinuierlicher Überwachung, ob die von Behörden eingesetzten Cloud-Dienste die Sicherheitsanforderungen erfüllen. Mit StateRAMP können Regierungsbehörden moderne Cloud-Technologien nutzen, die auf Sicherheit und den Schutz sensibler Daten ausgerichtet sind. So können sichere Cloud-Lösungen schneller eingerichtet und umgesetzt werden.

Weitere Informationen zu StateRAMP finden Sie auf https://stateramp.org.

ITAR-Konformität

KSGC erfüllt die Bestimmungen der United States International Traffic in Arms Regulations (ITAR). Unternehmen, die den ITAR-Exportbestimmungen unterliegen, müssen unbeabsichtigte Exporte kontrollieren, indem sie den Zugriff auf geschützte Daten auf US-Personen beschränken und geschützte Daten nur an US-Standorten aufbewahren.

Die FedRAMP-Moderate-Umgebung von KSGC unterstützt ITAR-Anforderungen mit folgenden Merkmalen:

• Vollständig konformer Datenspeicher, der auf AWS GovCloud gehostet wird und auf die USA beschränkt ist.
• Sichere Datenverschlüsselung während der Übertragung und Speicherung auf Geräten.
• Mittels Zero-Knowledge- und Zero-Trust-Sicherheit in Verbindung mit granularen Berechtigungen können Unternehmen sicherstellen, dass nur autorisiertes Personal auf sensible Daten zugreifen kann.
• Robuste Konformitätsüberprüfungsfunktionen bieten eine nachvollziehbare elektronische Prüfmethode aller durchgeführten Aktionen und eingegebenen Daten.
• Das Sequestered Customer Success Team besteht aus US-Personen, die speziell im sicheren Umgang mit exportbeschränkten und ITAR-kontrollierten Daten geschult sind.
• Support wird immer von den USA aus geleistet.

Die Keeper FedRAMP-Umgebung wurde von einer unabhängigen Bewertungsorganisation (3PAO) geprüft. Sie hat bestätigt, dass angemessene Kontrollen vorhanden sind, um die Export-Compliance-Programme der Kunden zu unterstützen.

Weitere Informationen zu ITAR finden Sie unter https://www.pmddtc.state.gov/.

Nach FDA 21 CFR Part 11 zertifiziert

Keeper ist nach FDA 21 CFC Part 11 zertifiziert. Dieser Standard gilt für Wissenschaftler, die in stark regulierten Umgebungen arbeiten, etwa bei klinischen Studien. Der Standard spezifiziert FDA-Kriterien, die elektronische Aufzeichnungen und Signaturen erfüllen müssen, um als vertrauenswürdig, zuverlässig und Äquivalent zu Papierdokumenten mit handschriftlichen Unterschriften zu gelten. Wissenschaftler müssen insbesondere gewährleisten, dass alle Software die Regulierungen als 21 CFR Part 11 einhalten. Diese umfassen:

Sicherheitskontrollen bei der Benutzeridentifikation: Keeper erfüllt die Anforderungen von 21 CFR Part 11 für Sicherheitsfunktionen, die den Benutzerzugriff und ihre Berechtigungen einschränken. Dazu zählt die Sicherstellung, dass alle Benutzer einzigartige Benutzernamen und Passwörter haben müssen; die Möglichkeit, nicht autorisierte Systemzugriffe zu erkennen und zu verhindern; und die Möglichkeit, kompromittierte Konten zu sperren.

Detailliertes Überprüfungsprotokoll

Bei einer FDA-Inspektion verlangen Prüfer der Behörde von Wissenschaftlern lückenlose Überprüfungsaufzeichnungen mit chronologischen Daten zu allen Operationen. Keepers Überprüfungsberichtsfunktion ermöglicht es Wissenschaftlern, unkompliziert leicht nachverfolgbare elektronische Überprüfungsprotokolle anzufertigen.

Elektronische Signaturen

Erfordert ein Dokument eine rechtsverbindliche elektronische Unterschrift, muss diese Unterschrift nach 21 CFR Part 11 an eine einzigartige Anmeldename-Passwort-Kombination oder biometrische Identifikation gebunden sein. Keeper ermöglicht die Erfüllung dieser Anforderung, in dem Wissenschaftler für alle Benutzer einzigartige Benutzernamen und Passwörter vergeben können, die sicher im digitalen Tresor gespeichert werden, auf den nur die Benutzer selbst Zugriff haben.

Weitere Informationen zu 21 CFR Part 11 finden Sie hier: https://www.fda.gov/regulatory-information/search-fda-guidance-documents/part-11-electronic-records-electronic-signatures-scope-and-application

Schutz von Patientendaten

Die Keeper-Software entspricht den globalen Standards zum Schutz medizinischer Daten und deckt ohne Beschränkung den HIPAA (Health Insurance Portability and Accountability Act) und DPA (Data Protection Act) mit ab.

HIPAA-Konformität und Partnervereinbarungen

Keeper ist eine nach SOC2 und ISO 27001 zertifizierte und HIPAA-konforme zero-knowledge Sicherheitsplattform. Dank strenger Einhaltung und Kontrolle bei Datenschutz werden Vertraulichkeit, Integrität und Verfügbarkeit der Daten stets sichergestellt. Aufgrund unserer Sicherheitsarchitektur kann Keeper Daten, einschließlich geschützter Gesundheitsdaten, die in den Keeper-Tresoren der Benutzer gespeichert sind, entschlüsseln, ansehen oder darauf Zugriff erlangen. Wegen der genannten Gründe ist Keeper kein Geschäftspartner im Sinne der Definition des HIPAA-Gesetzes (Health Insurance Portability and Accountability Act) und unterliegt deswegen keiner Partnervereinbarung.

Wenn Sie mehr über weitere Vorzüge für Gesundheitsdienstleister und Krankheitsversicherungen erfahren möchten, lesen Sie sich unsere gesamte Sicherheitsmitteilung durch und schauen Sie in unseren Enterprise-Anleitung.

Rigorose Sicherheitstests

Keeper lässt von Expertenunternehmen wie NCC Group, Secarma, Cybertest und andere unabhängige Forschungsinstituten regelmäßig Penetrationstest bei unseren Produkten und Systemen durchführen. Keeper unterhält auch eine Partnerschaft mit Bugcrowd, um unser Schwachstellen-Bekanntmachungsprogramm (Vulnerability Disclosure Program, VDP) zu verwalten.

Externe Sicherheitsanalysen & Penetrationstests

Keepers Infrastruktur wird täglich von Tenable gescannt, um sicherzustellen, dass die Web-Anwendungen von Keeper und der Cloud Security Vault von KSI sicher sind vor bekannten Exploits, Schwachstellen und Denial-of-Service-Angriffen. Keeper-Mitarbeitende überprüfen und beheben alle gefundenen Probleme.

Zahlungsabwicklung und PCI-Konformität

KSI nutzt PayPal und Stripe für die sichere Verarbeitung von Kreditkarten- und Girokartenzahlungen über die KSI-Zahlungswebseite. PayPal und Stripe sind PCI-DSS-konforme Zahlungsverarbeitungsdienste.

KSI ist PCI-DSS-zertifiziert.

EU-US Privacy Shield

Der Keeper Webclient, die Android-App, Windows Phone-App, IPhone/IPad-App und Browser-Erweiterungen entsprechen der 'EU Privacy Shield‘-Vereinbarung im Rahmen des EU-U.S. Privacy Shield Programmes des US-Handelsministeriums, in Übereinstimmung mit der Datenschutzrichtlinie der Europäischen Kommission.
Weitere Informationen zum Safe-Harbor-Abkommen zwischen dem US-Handelsministerium und der EU finden Sie unter https://www.privacyshield.gov

Gemäß FIPS 140-2 zertifiziert

Keeper verwendet nach FIPS 140-2 validierte Verschlüsselungsmodule, um die strengen Anforderungen von Regierungsbehörden und anderen Ämtern zu erfüllen. Die Verschlüsselungsverfahren von Keeper wurden im Rahmen des NIST CMVP zertifiziert und durch akkreditierte Labore für den Standard FIPS 140-2 validiert. Keeper hat vom NIST CMVP das Zertifikat #3976 erhalten.

FSQS-NL-zertifiziert

Keeper Security EMEA Limited ist zertifiziert nach Hellios Financial Services Qualification System-Netherlands (FSQS-NL). Das Zertifikat erkennt die höchsten Standards bei Sicherheit, Qualität und Innovationen in den Niederlanden an. Der Standard bezeugt Konformität mit Vorgaben der Finanzdienstleistungsaufsicht und Finanzaufsichtsbehörde, die die Vertrauenswürdigkeit von Keeper-Enterprise-Software für große Banken und Finanzinstitute garantieren.

Lizenzierte Ausfuhr unter EAR des US-Handelsministeriums

Keeper ist vom Bureau of Industry and Security des US-Handelsministeriums unter der ECCC-Nummer (Export Commodity Classification Control Number) 5D992 im Rahmen der Export Administration Regulations (EAR) für die Ausfuhr zugelassen.
Weitere Informationen über EAR: https://www.bis.doc.gov

Remote-Überwachung rund um die Uhr

Keeper wird rund um die Uhr von einem Überwachungsnetzwerk überwacht, um sicherzustellen, dass unsere Website und der Cloud Security Vault weltweit verfügbar sind.

Sollten Sie Fragen bezüglich dieser Sicherheitsinformationen haben, bitten wir Sie uns zu kontaktieren.

Phishing und Spoofing

Wenn Sie eine E-Mail, die angeblich von KSI gesendet wurde, erhalten und unsicher sind, ob das tatsächlich der Fall ist, könnte es sich dabei um eine "Phishing-E-Mail" handeln, bei der die Absender-Adresse gefälscht oder manipuliert wurde. In diesem Fall könnte die E-Mail Links zu einer Website, die wie KeeperSecurity.com aussieht, aber nicht ist, enthalten. Die Website könnte Sie nach Ihrem Keeper Security-Master-Passwort fragen oder versuchen unerwünschte Software auf Ihrem Computer zu installieren, um persönliche Daten zu stehlen oder auf Ihren Computer zuzugreifen. Andere E-Mails könnten Links enthalten, die Sie auf andere, potentiell gefährliche, Websites weiterleiten. Der Nachricht könnten ebenfalls Anhänge beigefügt sein, die in der Regel unerwünschte Software, sogenannte "Malware", enthalten. Falls Sie sich bei einer E-Mail in Ihrem Posteingang nicht sicher sind, sollten Sie diese löschen, ohne vorher auf enthaltene Links zu klicken oder Anhänge zu öffnen.

Wenn Sie eine E-Mail, die angeblich von KSI ist, von der Sie aber denken, dass es sich um eine Fälschung handelt, melden möchten oder weitere Sicherheitsfragen in Bezug auf KSI haben, bitte wir Sie uns zu kontaktieren.

Zertifizierte Hosting-Infrastruktur mit höchsten Branchenstandards

Die Keeper Website und Cloudspeicherung läuft auf der sicheren Cloudcomputing-Infrastruktur von Amazon Web Services (AWS). Die AWS Cloud-Infrastruktur, auf der Keepers Systemarchitektur aufbaut, erhielt die folgenden Bescheinigungen, Prüfberichte und Zertifizierungen:

SOC 2 PCI Compliant FIPS-140-2 ISO 27001 FedRAMP StateRAMP

Schwachstellen-Bekanntmachungs- und Bug-Bounty-Programm

Keeper Security sieht es die Erfüllung industrieweiter bewährter Praktiken zur Veröffentlichung von potenziellen Sicherheitsschwachstellen als elementare Verantwortung. Wir nehmen die Sicherheit Ihrer Daten äußerst ernst und verpflichten uns dem Schutz Ihrer persönlichen Daten. Die Mission von KSI ist die Schaffung der weltweit am besten geschützten und innovativsten Sicherheits-Apps. Aus diesem Grund glauben wir, dass Fehlerberichte unserer weltweiten Gemeinschaft von Sicherheitsforschern einen wertvollen Beitrag zur Gewährleistung der Sicherheit von KSI-Produkten und -Diensten leisten kann.

Die Gewährleistung der Sicherheit unserer Kunden ist Kernbestandteil unserer Unternehmensphilosophie. Wir schätzen Hinweise und Informationen von Hackern, die IT-Systeme auf Schwachstellen überprüfen und die Organisationen über Funde in Kenntnis setzen. Wir denken, eine produktive Zusammenarbeit mit diesen Hackern stellt einen unschätzbaren Vorteil für uns dar, um die Sicherheit der Daten unserer Kunden zu gewährleisten und das Internet insgesamt zu einem sichereren Ort zu machen. Daher fördern wir die verantwortungsvolle Überprüfung auf und Veröffentlichung von Sicherheitsschwachstellen.

Richtlinien

In unseren Schwachstellen-Bekanntmachungsrichtlinien führen wir unsere Erwartungen auf, die wir an verantwortungsvolle Hacker stellen, und was Sie als verantwortungsvolle Hacker von uns erwarten können.

Wird die Sicherheitsüberprüfung und das Melden von Schwachstellen in Übereinstimmung mit diesen Richtlinien durchgeführt,

• betrachten wir das als Autorisiert durch den Computer Fraud And Abuse Act der USA.
• betrachten wir das als Ausgenommen vom Digital Millennium Copyright Act der USA und wir werden keine Ansprüche gegen Sie wegen der Überwindung von Sicherheits- und technologischen Kontrollmaßnahmen anstrengen.
• betrachten wir das als legale Aktion und werden keine rechtlichen Schritte in Verbindung mit diesem Programm gegen Sie anstrengen oder unterstützen.
• werden wir mit Ihnen zusammenarbeiten, um Probleme schnell zu beheben.
• und wir erkennen Ihren Beitrag öffentlich an, wenn Sie eine Schwachstelle als erstes melden und wir Code-Änderungen basierend auf dem Bericht vornehmen können, um das Problem zu beheben.

Sollten Sie Bedenken oder Unsicherheiten zum Testvorgang haben, der diesen Testrichtlinien folgt, kontaktieren Sie uns bitte unter security@keepersecurity.com, bevor Sie fortfahren.

Um das verantwortungsvolle Testen und Veröffentlichen von Sicherheitsschwachstellen zu ermöglichen, bitten wir Sie,

• die Privatsphäre oder das Benutzungserlebnis anderer Nutzer oder Produktions- und Unternehmenssysteme zu stören und/oder zu zerstören.
• Forschungsaktivitäten werden ausschließlich im Rahmen des Bugcrowd-Schwachstellen-Offenlegungsprogramms (Link unten) durchgeführt. Systeme und Aktivitäten außerhalb dieses Rahmens werden nicht berührt,
• uns umgehend zu kontaktieren unter security@keepersecurity.com, falls Sie auf irgendwelche Benutzerdaten während Ihres Tests zugreifen können.
• uns einen angemessenen Zeitraum zu gewähren, in dem wir Ihren Fund analysieren, bestätigen und beheben können, bevor Sie diesen öffentlich bekannt machen.

Bericht übermitteln

Keeper unterhält eine Partnerschaft mit Bugcrowd, um unser Schwachstellen-Bekanntmachungsprogramm zu verwalten.

Bitte übermitteln Sie Ihre Funde auf [https://bugcrowd.com/keepersecurity].

Weitere Informationen

Produktdokumentation

Das Dokumentationsportal von Keeper mit Produkthandbüchern, technischen Daten, Versionshinweisen und Guides für Endnutzer finden Sie hier: https://docs.keeper.io

Systemstatus

Den Echtzeit-Systemstatus finden Sie hier: https://statuspage.keeper.io