# Tresor-Check und Zugriffs-Protokoll {/* AUTO-SYNCED SOURCE: this page lives in apps/app/src/modules/credentials/docs/ and is mirrored into the docs app by `bun sync:module-docs`. Edit it in the module, not in apps/docs. */} Ein Tresor ist ein Ort, an den man Dinge legt und nie wieder hinschaut. Genau deshalb hat er zwei Bereiche, die von selbst hinschauen: den **Tresor-Check** und das **Zugriffs-Protokoll**. ## Der Tresor-Check Du findest ihn in der Seitenleiste unter **Tresor-Check**. Er sieht sich alle Zugänge an, die du sehen darfst, und meldet, was Aufmerksamkeit braucht. Oben steht ein Urteil in drei Stufen: **in Ordnung**, **ein paar Dinge ansehen** oder **hier ist etwas zu tun**. Absichtlich keine Punktzahl von 0 bis 100. Eine solche Zahl täuscht eine Genauigkeit vor, die es nicht gibt, und verführt dazu, sie zu optimieren statt die Befunde zu beheben. ### Was der Check findet | Befund | Was er bedeutet | |---|---| | **In einer bekannten Datenpanne** | Das Passwort steht in einer veröffentlichten Sammlung und gilt als bekannt. Sofort wechseln. | | **Mehrfach verwendet** | Dasselbe Passwort liegt bei mehreren Zugängen. Wird einer bekannt, sind alle offen. | | **Zu schwach** | Kurz, gut ratbar oder aus einem erkennbaren Wort gebaut. Der Generator im Eintrag erzeugt in einem Klick einen Ersatz. | | **Abgelaufen** | Das hinterlegte Ablaufdatum liegt in der Vergangenheit. | | **Läuft bald ab** | Weniger als 30 Tage. Rechtzeitig erneuern, bevor der Zugang mitten in einem Vorgang wegbricht. | | **Seit über einem Jahr nicht gewechselt** | Bei geteilten Zugängen wächst der Kreis der Mitwissenden mit der Zeit. Ein Wechsel setzt ihn zurück. | | **Seit über einem Jahr nicht geöffnet** | Wird vermutlich nicht mehr gebraucht. Löschen verkleinert die Angriffsfläche. | | **Von einer ausgeschiedenen Person angelegt** | Die Person ist nicht mehr im Arbeitsbereich. Das Passwort kennt sie weiterhin. | | **Nur eine Person hat Zugriff** | Fällt diese Person aus, kommt niemand an den Zugang. Eine zweite Freigabe oder ein Notfallzugriff löst das. | Jeder Befund führt direkt in die gefilterte Liste. Ein Befund, den man nicht anfassen kann, ist nur eine Nörgelei. ### Prüfung gegen bekannte Datenlecks Der Tresor kann deine Passwörter mit veröffentlichten Datensammlungen abgleichen. Dabei verlässt **kein Passwort** die Plattform: Übermittelt werden die ersten fünf Zeichen eines Prüfwerts, und auf diese fünf Zeichen passen Millionen realer Passwörter. Der Dienst erfährt nicht, welches davon deines ist, und auch nicht, ob überhaupt eines dabei war. Damit die Prüfung läuft, braucht es dreierlei: 1. Du bist Inhaberin oder Administrator des Arbeitsbereichs. 2. Der Schalter **Leck-Prüfung erlauben** steht in den Tresor-Einstellungen unter **Prüfungen** auf an. Ab Werk ist er aus. 3. Unter **Einstellungen, Datenschutz** liegt die Zustimmung zur Verarbeitung außerhalb der EU vor. Der Schalter sagt „wir wollen das“, die Zustimmung sagt „wir dürfen das“. Beides ist nötig. Wenn der Dienst gerade nicht erreichbar ist, gilt ein Zugang **nicht** als geprüft. Der Unterschied zwischen „geprüft und nichts gefunden“ und „konnte nicht prüfen“ ist der zwischen einer Zusicherung und einer Vermutung. ## Das Zugriffs-Protokoll In der Seitenleiste unter **Zugriffs-Protokoll**. Dort steht Zeile für Zeile, wer wann welchen Zugang geöffnet, kopiert, über einen Link geöffnet oder exportiert hat, und bei sensiblen Einträgen auch der angegebene Grund. Die letzten Einträge dazu stehen auch direkt im geöffneten Zugang unter **Zuletzt geöffnet**, damit man nicht erst suchen muss. **Angesehen und kopiert sind zwei verschiedene Vorgänge.** Ein kopiertes Passwort liegt in der Zwischenablage, ein angesehenes nur auf dem Bildschirm. Falls einmal etwas nachzuvollziehen ist, ist genau das die Unterscheidung, nach der gefragt wird. Wer einen Zugang sehen darf, sieht auch, wer ihn geöffnet hat. Das ist Absicht: Ein geteiltes Passwort, bei dem nur die Chefin die Zugriffe sieht, macht die Kolleginnen zu Beobachteten. Sehen es alle Beteiligten, ist es eine gemeinsame Aufsicht. **Im Protokoll steht nie ein Geheimnis.** Auch nicht gekürzt. ## Der Papierkorb Gelöschte Zugänge landen im **Papierkorb** und lassen sich von dort mit einem Klick zurückholen. Wie lange sie dort bleiben, stellst du in den Tresor-Einstellungen unter **Allgemein** ein; danach werden sie automatisch entfernt. Endgültig löschen geht nur aus dem Papierkorb heraus und nur mit dem Recht **Einträge löschen**. Ein Weg, der einen lebenden Zugang in einem Schritt unwiederbringlich entfernt, wäre eine Falle. Beim endgültigen Löschen verschwindet auch das Zugriffs-Protokoll zu diesem Eintrag. Wenn du die Historie für eine Prüfung brauchst, lass den Eintrag im Papierkorb liegen. ## Wenn jemand das Büro verlässt Im Tresor-Check ganz unten liegt der Bereich **Beim Ausscheiden einer Person**. Du wählst die Person aus und siehst, welche Zugänge sie geöffnet hat und welche davon seitdem gewechselt wurden. Der Zeitraum steht auf **90 Tage** und lässt sich daneben auf **30 Tage** umstellen. 90 Tage ist die sichere Wahl und fängt auch die Portale, die jemand vor Monaten einmal geöffnet hat. 30 Tage zeigt dir, was die Person zuletzt aktiv benutzt hat, wenn du nur das Dringendste schaffst. Was auf **offen** steht, kennt die Person weiterhin. Diese Zugänge solltest du beim jeweiligen Anbieter neu setzen und danach im Tresor eintragen; damit gilt der Eintrag automatisch als gewechselt und verschwindet aus der offenen Liste. Geht das im Tresor nicht (etwa weil der Zugang gar nicht dort gepflegt wird), nutze **Als gewechselt markieren** an der Zeile, oder **Alle offenen markieren** für die ganze Liste auf einmal. Das ändert kein Passwort. Es hält nur fest, dass du es beim Anbieter neu gesetzt hast. Über **Liste exportieren** bekommst du die Zugänge als Tabelle zum Abarbeiten. Passwörter stehen darin nicht, nur was zu tun ist. Der Bereich braucht das Recht **Alle Einträge lesen**, weil er eine Auskunft über eine Person ist und nicht über einen Eintrag. Zum Markieren brauchst du zusätzlich das Recht **Passwörter wechseln**. Setzt du in der Mitglieder-Verwaltung einen Sitz zurück oder löschst ihn, nennt die Rückfrage die Zahl der betroffenen Zugänge und verlinkt hierher. Sieh dir die Liste vor dem **Löschen** an: Danach ist die Zuordnung der Zugriffe zu dieser Person entfernt und die Liste lässt sich nicht mehr abrufen. Die Zahlen bleiben im Protokoll deines Arbeitsbereichs erhalten. ## Häufige Fragen Bei der höchsten Stufe wird das Geheimnis in deinem Browser verschlüsselt, bevor es gespeichert wird. Der Server sieht es nie und kann es deshalb auch nicht bewerten. Das ist kein Mangel, sondern genau der Sinn dieser Stufe. Nein. Er sieht genau das, was du auch in der Liste siehst. Ein Check, der Befunde über unsichtbare Einträge meldet, würde deren Existenz verraten. Zu jedem Geheimnis wird beim Speichern ein Prüfwert gebildet, der mit einem Schlüssel gesichert ist. Verglichen werden nur diese Prüfwerte. Sie verraten genau eine Sache, nämlich ob zwei Werte gleich sind, und sonst nichts. Zwölf Monate. Danach werden alte Zeilen automatisch entfernt, weil das Protokoll personenbezogene Angaben enthält und nicht unbegrenzt wachsen soll.