Dokumenten-Safe mit Passwortmanager für Teams

Die 2008 gegründete Zürcher Softwareschmiede Dswiss bietet unter der Marke Securesafe cloudbasierte E-Safes für Dokumente und Passwörter an und bedient damit unter anderem Finanzdienstleister und Versicherungen im In- und Ausland, die naturgemäss mit besonders sensiblen Daten umgehen. Die in den E-Safes gesicherten Daten werden deshalb in hoch sicheren, Finma-­konformen Rechenzentren in der Schweiz gehalten – die Website spricht von «tief in den Schweizer Bergen» – und mit AES-256 und RSA-2048 vollständig verschlüsselt sowie per SSL/TLS transportiert.


Traditionell erhält jeder Securesafe-­User einen persönlichen E-Safe, in dem Passwörter und je nach gewähltem Abo zwischen 100 MB und 100 GB an Dokumenten abgelegt werden können. Neu hat Dswiss für Unternehmen den Teamsafe lanciert: Bei diesem Angebot lässt sich zusätzlich ein E-Safe für das ganze Team aufsetzen, damit die Teammitglieder auf gemeinsam benötigte Passwörter und Dokumente zugreifen können. Wir haben von Dswiss einen Testzugang für maximal fünf Teammitglieder erhalten und den Dienst im Chrome-Browser unter MacOS und iOS unter die Lupe genommen. Neben der browserbasierten Variante und der iOS-App existieren auch Desktop-Apps für Windows und MacOS zur Synchronisation von Dateien zwischen Securesafe und dem Computer sowie eine Android-App. Dazu kommt eine Browser-Erweiterung zum automatischen Ausfüllen der Login-Felder – vorerst allerdings teils im Betastadium und nur für Chrome, Edge, Firefox und Brave.

Einrichtung in mehreren Schritten

Für den Administrator des Teamsafes gilt es als Erstes, den eigenen Securesafe-Account anzulegen, was durch einen per E-Mail versandten Sicherheitscode als zweiten Faktor abgesichert wird. Innerhalb des Accounts steht dann per Default der persönliche E-Safe mit Passwort- und Dokumentenablage bereit. Über das Aufklappmenü wird sodann der Teamsafe erstellt, der im Wesentlichen die gleichen Möglichkeiten bietet wie der persönliche E-Safe, nur dass die gespeicherten Daten später für alle Teammitglieder zugänglich sind.

Danach muss jedes Teammitglied einzeln für die Teilnahme am Teamsafe eingeladen werden. Dazu erfasst der Administrator über einen Dialog einen eindeutigen Nickname für den neuen User, dessen E-Mail-Adresse und die Rolle des Nutzers. Zur Auswahl stehen hier die Optionen Administrator, Bearbeiter, Betrachter mit eingeschränkten Rechten, Betrachter und Archivar. Es wird allerdings nirgends erklärt, welche konkreten Berechtigungen diese Rollen bieten. Weder enthält die Web-App eine Hilfefunktion, noch findet sich auf der Secure­safe-Website eine umfassende Dokumentation. Die FAQ-Sektion gibt keine Auskunft über die Teamsafe-Benutzerrollen.


Zusätzlich lässt sich die Sprache einstellen, in der die Oberfläche für das neue Mitglied erscheint. Nach dem Klick auf «Einladen» wird entweder im nächsten Schritt ein Sicherheitscode zur Weiterleitung an das neue Teammitglied angezeigt, oder der Code wird per SMS ans Handy verschickt.

Beim neuen Teammitglied kann es sich in der Theorie entweder um einen Nutzer mit bestehendem Securesafe-Account oder um einen komplett neuen Nutzer handeln. In der Theorie deshalb, weil in unseren x-fachen Tests das Anlegen eines neuen Accounts im Zuge der Einladung eines neuen Teammitglieds nur einmal wirklich geklappt hat. Hat es jedoch funktioniert, kann das neue Mitglied ein PDF-Dokument herunterladen, das einen 36-stelligen Wiederherstellungscode enthält. Damit lässt sich das Konto zurücksetzen, falls man das Passwort vergessen hat. Es empfiehlt sich, dieses PDF sicher aufzubewahren, da der Konto-Reset nur damit möglich ist. Einen anderen Recovery-Mechanismus bietet Securesafe nicht an, und die Daten des Accounts wären unwiederbringlich verloren.

Etwas problematisch ist der Umgang mit Nicknames. Der Nickname (Benutzername) muss erstens minimal vier Zeichen umfassen. Benutzernamen mit drei Zeichen wie zum Beispiel «Tom» oder «Urs» sind somit nicht möglich. Und zweitens lässt sich ein Nickname offenbar nur einmal verwenden, auch wenn der betroffene Nutzer längst wieder gelöscht wurde. Dies kann sich bei der Einladung eines neuen Teammitglieds als äusserst lästig erweisen, zumal der Hinweis, dass der Nickname bereits vergeben sei, erst im letzten Schritt der Anmeldung angezeigt wird. Dann heisst es: Das Ganze nochmals von vorne.

Teamsafe für Dateien und Passwörter

Das Menü am linken Fensterrand präsentiert für den Teamsafe die Optionen Passwörter, Dateien, Mitglieder, Aktivitäten und Einstellungen. Die erste Option zeigt eine Liste der erfassten Passwörter samt Titel und Benutzernamen an, rechts daneben erscheinen nach der Auswahl eines Passworts weitere Angaben wie das Sicherheitsranking, das Erstellungsdatum und allenfalls ein Kommentar sowie ein Link zur entsprechenden Website. Beim Erstellen eines neuen Passworts werden jeweils ein Titel, die URL der Website, ein Benutzername und das gewünschte Passwort sowie optional ein Kommentar angegeben. Ein Passwortgenerator unterstützt bei der Wahl eines sicheren Passworts, erlaubt die Angabe der gewünschten Anzahl Zeichen (von 6 bis 32) und ermöglicht das Erstellen von einprägsamen oder zufällig erscheinenden Passwörtern. Zusätzlich gibt es die Optionen «nur Kleinbuchstaben», Sonderzeichen und Zahlen. Zu jedem generierten oder manuell eingegebenen Passwort erscheint zudem ein entsprechendes Sicherheitsranking mit den vier Stufen schwach, mittel, gut und stark. Der Securesafe-Passwortmanager bietet damit alle Features, die man von einem modernen Passwortmanager erwarten darf. Dokumente lassen sich per Drag & Drop auf die Dateien-Seite ziehen oder vom Rechner hochladen. Der Dateimanager erlaubt darüber hinaus das Anlegen einer Ordnerstruktur (im privaten Safe ist eine solche bereits als Vorschlag vordefiniert). Ist eine Datei in der Liste selektiert, erscheint in der Seitenspalte rechts daneben eine Vorschau mit mehreren Optionen: herunterladen, drucken, als ungelesen markieren, umbenennen, kopieren, verschieben, sicher senden, Link teilen sowie in den Papierkorb verschieben. Insgesamt ein üppiger Funktionsumfang, der den Dateimanager zu einem gut brauchbaren Tool macht.


Die Seite Mitglieder zeigt eine Liste der aktivierten oder eingeladenen Teammitglieder an und ermöglicht Administratoren, einzelne Mitglieder zu bearbeiten oder zu löschen. Und unter Aktivitäten listet Securesafe fein säuberlich mit Datum und verantwortlichem User Vorgänge wie das Hochladen von Dateien und das Hinzufügen von Mitgliedern auf, merkwürdigerweise jedoch nicht die Erfassung von neuen Passwörtern.

Mobile App und Browser-Erweiterung

Wir haben auch die Mobile App von Securesafe auf einem iPhone sowie die Browser-Erweiterung in Chrome auf dem Mac installiert und haben bei beiden eine Überraschung erlebt: Nach der erfolgreichen Anmeldung erscheinen in der App und in der Chrome Extension nur die Passwörter aus dem persönlichen E-Safe. Wir konnten jedoch keine Möglichkeit ausfindig machen, auch auf die Passwörter des Teamsafes zuzugreifen. Das schränkt den Nutzen der App und der Erweiterung recht signifikant ein. Was in der iPhone-App dagegen anstsandslos bereitsteht, sind die Dateien sowohl aus dem persönlichen als auch aus dem Teamsafe.


Wir gehen hoffnungsvoll davon aus, dass Dswiss dies in einer kommenden App-Version auch für die Passwörter nachliefern wird. Was die Browser-Erweiterung betrifft, ist diese im Chrome Web Store zwar als Version 1.2.2 gelistet, das automatische Ausfüllen von Log­in-Feldern und Sichern von Passwörtern bezeichnet Dswiss in den Einstellungen der Extension jedoch als Betaversion. Auch hier hoffen wir auf eine baldige Integration der Teamsafe-Funktionalität.

Fehler kommen vor

Im grossen Ganzen macht die Nutzung von Securesafe Spass und geht meist auch problemlos vor sich. Aber nur meist. Neben dem Problem mit früher schon einmal genutzten Nicknames sind im Laufe unseres Tests immer wieder mal Fehlermeldungen aufgetaucht. So konnte ein Teammitglied aus unerfindlichen Gründen – nähere Informationen lieferte die Meldung keine – nicht gelöscht werden. Nach dem nächsten Login des Administrators funktionierte es dann plötzlich. Ein anderer Fehler: Nach der Erfassung eines neuen Teammitglieds wurde die Liste der Mitglieder nicht neu geladen, das Mitglied erschien weder als eingeladen noch als aktiviert.


Auch dieses zweite Problem liess sich durch Aus- und wieder Einloggen beheben. Wobei das Ausloggen nicht immer freiwillig erfolgt. Im Test mussten wir mehr als einmal erleben, dass plötzlich die Anmeldeseite erschien. Als wir uns dann wieder einloggen wollten, wurden wir darauf aufmerksam gemacht, dass die Session noch am Laufen sei und beendet werde, wenn wir uns nun wirklich neu anmeldeten. Nebst den hier geschilderten Merkwürdigkeiten kam es auch sonst immer wieder zu mysteriösen Fehlermeldungen. Was man jedoch betonen muss: Daten gingen dabei nie verloren. Es scheint sich ausschliesslich um Bugs in der Web-App von Securesafe zu handeln.

Fazit

Die Kombination eines Datei- und eines Passwortmanagers überzeugt vom Prinzip her und ist im Fall von Securesafe gut gelungen. Die Team-Funktionalität zur gemeinsamen Nutzung von Dateien und Passwörtern wertet den Dienst zusätzlich auf und ist in dieser Form selten anzutreffen. Die Oberfläche der Web-App ist einfach zu bedienen und schnörkellos gehalten, lässt aber eine Hilfefunktion vermissen. Preislich ist das Securesafe-Angebot von Dswiss mit Kosten zwischen 16.50 Franken pro Monat für einen Teamsafe mit bis zu fünf Teammitgliedern und 9.50 Franken pro User und Monat für das Business-Plus-Abo mit 10 GB Speicherplatz durchaus attraktiv. Die zahlreich und unvermittelt auftretenden Fehlermeldungen trüben das Gesamtbild allerdings erheblich, ebenso die bisher fehlende Integration des Teamsafe in die Mobile App und die Browser Extension – das gibt Punkte­abzug bei der Bedienung. An allen drei ­Orten muss Dswiss noch nacharbeiten, um dem Securesafe mit integriertem Teamsafe den letzten Schliff zu geben.

Positiv
+ gelungene Kombination von Datei- und Passwortmanager
+ vollständige Verschlüsselung aller Daten
+ sichere Datenhaltung in Finma-konformen Schweizer Rechenzentren


Negativ
- Web-App noch nicht völlig ausgereift
- unvermittelt auftretende, unklar begründete Fehlermeldugen
- Teamsafe-Passwörter noch nicht in Mobile App und Browser Extension integriert

Hersteller/Anbieter
Dswiss

Preis
ab 16.50 Franken für Teamsafe bis 5 Mitglieder, Business-Abos ab 9.50 Franken pro User und Monat

Wertung (Beta)
Funktionalität 4 von 6 Sternen
Bedienung 4 von 6 Sternen
Preis/Leistung 5 von 6 Sternen
Gesamt 4 von 6 Sternen