Seminar Passwortmanagement – Sicherheit, Auditing und Incident Response

Ein Passwortmanager konzentriert wertvolle Zugänge und wird damit selbst zum Hochwertziel. Gleichzeitig sind seine Ereignisdaten nicht automatisch vollständig: Clientaktionen, lokale Kopien, Exporte und kompromittierte Endgeräte können zusätzliche Spuren erfordern.

Das Seminar verbindet Prävention, Detektion und Reaktion. Für jedes Angriffsszenario werden verfügbare Beweise, Sofortmaßnahmen, Rotationsumfang, Wiederanlauf und Kommunikation festgelegt.

Einordnung und Nutzen

Drei Tage sind notwendig: Tag eins entwickelt Bedrohungsmodell und Härtung, Tag zwei Audit- und SIEM-Erkennung, Tag drei Incident-Übungen mit Rotation, Recovery und Nachkontrolle. Zwei Tage würden entweder Erkennung oder praktische Reaktion unzureichend behandeln.

Zielgruppe

• SOC, Incident Response und Security Operations
• Passwortmanager-, IAM- und Systemadministratoren
• Informationssicherheit und Revision
• Forensik, Datenschutz und Notfallmanagement

Voraussetzungen

• Grundkenntnisse von Passwortmanagement und Zugriffssteuerung
• Grundverständnis von Protokollen und Incident-Prozessen
• Für SIEM-Übungen sind einfache Such- und Filterkenntnisse hilfreich

Lernziele

• Bedrohungen für Konto, Client, Tresor, Server und Backup priorisieren
• Härtungsmaßnahmen und regelmäßige Rechteprüfungen umsetzen
• Relevante Ereignisse erfassen, korrelieren und alarmieren
• Credential- und Secret-Funde nach Reichweite bewerten
• Incidents eindämmen, rotieren, wiederherstellen und nachvollziehbar abschließen

Seminarinhalte

Bedrohungsmodell und Härtung

• Phishing, Malware, Browser-Manipulation, Insider und Lieferkette
• Master-Zugang, MFA, Passkeys, Sitzungen, Geräte und Recovery schützen
• Freigaben, Exporte, administrative Rollen und Notfallzugänge begrenzen

Audit und Rezertifizierung

• Anmeldung, Neubindung, Richtlinie, Freigabe, Export und Administration erfassen
• Eigentümer, Gruppen, privilegierte Rollen und verwaiste Konten prüfen
• Aufbewahrung, Integrität, Zeitsynchronisation und Zugriff auf Auditdaten regeln

SIEM und Detection

• Normalverhalten, Schwellenwerte und risikobasierte Korrelation
• Ungewöhnliche Geräte, Orte, Exporte, Rechteänderungen und Wiederherstellungen
• Fehlalarme, blinde Flecken und ergänzende Endpoint- sowie IdP-Daten

Incident Response

• Kontosperre, Sitzungsentzug, Geräteisolierung und Beweissicherung
• Betroffene Zugangsdaten und abhängige Systeme priorisiert rotieren
• Recovery, Wiederfreigabe, Benachrichtigung und Lessons Learned

Praktische Übungen

• Bedrohungsmodell für eine Enterprise-Tresorlandschaft
• Audit eines absichtlich fehlerhaften Rollen- und Freigabemodells
• Erstellung und Test mehrerer SIEM-Erkennungen
• Simulation eines kompromittierten Endgeräts mit Tresorzugriff
• Credential-Leak-Übung mit Priorisierung, Rotation und Wiederanlauf

Methodik

Szenariobasierte Übungen verbinden technische Protokolle mit organisatorischen Entscheidungen. Jede Reaktion wird auf Beweiserhalt, Reichweite, Betriebsfolgen und sichere Wiederfreigabe geprüft.