Konto, Teams und Synchronisierung

Was jedes Feld, jeder Schalter und jede Einstellung tut, 105 Bedienelemente auf dieser Seite. Es ist der Text hinter dem ⓘ neben jeder Beschriftung in den Apps: Auf dem Desktop darauf zeigen oder klicken (oder im Feld F1 drücken), auf dem Smartphone antippen.

Die Zeile unter jedem Namen nennt die ID, die der Code dafür verwendet, und sagt, wenn nur eine der Apps das Element hat.

Konto: anmelden, erstellen, wiederherstellen

Wo: Einstellungen › Konto & Synchronisierung.

Server-URL

account.serverUrl

Die Adresse des Sternway-Synchronisierungsservers, den du oder deine Organisation betreibt. Ein Konto liegt auf einem Server; die App funktioniert auch ohne, dann verlässt nichts dieses Gerät.

• Beispiel: https://sternway.example.com
• Achtung: Verwende https://. Einfaches http:// sendet deine Anmeldung ungeschützt; der Desktop akzeptiert es nur für einen Server auf demselben Computer.
• Mehr: Weiterlesen (auf Englisch)

E-Mail

account.email

Die E-Mail-Adresse, unter der dein Konto auf diesem Server registriert ist. Sie ist dort dein Benutzername.

• Beispiel: ada@example.com

Passwort

account.password

Dein Kontopasswort. Es weist dich gegenüber dem Server aus und entsperrt außerdem deine verschlüsselten Daten auf diesem Gerät; das Passwort selbst wird nie gesendet.

Authenticator-Code

account.totp

Der 6-stellige Code, den deine Authenticator-App (Google Authenticator, Aegis, 1Password und ähnliche) gerade für Sternway anzeigt. Nur abgefragt, wenn die Zwei-Faktor-Authentifizierung für das Konto aktiv ist.

• Beispiel: 492 817

Name

account.name

Der Name, den Teammitglieder von dir sehen, zum Beispiel in der Mitgliederliste eines Teams. Bis zu 256 Zeichen.

• Beispiel: Ada Lovelace

Passwort

account.newPassword

Das Passwort für das Konto, mindestens 8 Zeichen. Es verschlüsselt außerdem deine Daten, bevor etwas hochgeladen wird, sodass der Server deine Hosts und Schlüssel nie sieht.

• Achtung: Niemand kann es für dich zurücksetzen, nicht einmal der Administrator des Servers. Vergisst du es, kommst du nur mit deinem Wiederherstellungskit wieder hinein.

Passwort bestätigen

account.confirmPassword

Gib dasselbe Passwort noch einmal ein, um Tippfehler zu erkennen, solange sie sich noch beheben lassen.

Wiederherstellungsschlüssel

account.recoveryKey

Der 52-stellige Schlüssel aus deinem Wiederherstellungskit, der Seite, die du beim Erstellen ausgedruckt oder gespeichert hast. Leerzeichen, Bindestriche und Großbuchstaben spielen keine Rolle.

• Beispiel: ABCD-EFGH-JKMN-…
• Achtung: Die Wiederherstellung setzt ein neues Passwort und macht dieses Wiederherstellungskit unbrauchbar: Erstelle danach ein neues Kit.

Verschlüsselungspasswort

account.ssoEncryptionPassword

Single Sign-on weist nach, wer du bist, kann aber deine Daten nicht entsperren. Dieses separate Passwort verschlüsselt und entsperrt deine Tresore auf deinen Geräten und verlässt sie nie. Beim ersten Festlegen mindestens 8 Zeichen.

• Achtung: Deine Organisation kann es nicht zurücksetzen. Bewahre ein Wiederherstellungskit auf.

SSO-Organisation

account.ssoOrganization

Der Kurzname des Single Sign-on deines Teams, den der Team-Eigentümer gewählt und dir gegeben hat. Sternway leitet dich zum Identitätsanbieter dieses Teams weiter (Okta, Entra ID, Google Workspace, Keycloak und ähnliche). Lass es leer, um den Anmeldeanbieter des Servers selbst zu nutzen, falls er einen hat.

• Beispiel: acme
• Achtung: Namen werden auf einem Server nach dem Prinzip „Wer zuerst kommt“ vergeben. Bevor sich der Browser öffnet, zeigt Sternway den Namen des Teams und die Adresse des Identitätsanbieters: Fahre nur fort, wenn beide deine sind.
• Mehr: Weiterlesen (auf Englisch)

Konto: Profil und Sicherheit

Wo: Einstellungen › Konto & Synchronisierung, wenn angemeldet.

Anzeigename

profile.name · Nur Desktop

Der Name, den Teammitglieder von dir sehen. Erforderlich, bis zu 256 Zeichen.

E-Mail

profile.email · Nur Desktop

Die neue E-Mail-Adresse für dein Konto. Du meldest dich ab dann damit an.

Aktuelles Passwort

account.currentPassword

Dein aktuelles Kontopasswort, um zu bestätigen, dass du diese Änderung vornimmst.

Neues Passwort

security.newPassword

Das neue Passwort, mindestens 8 Zeichen und anders als das aktuelle. Deine Daten bleiben verschlüsselt; ihre Schlüssel werden mit dem neuen Passwort neu verpackt.

• Achtung: Das Ändern des Passworts macht dein Wiederherstellungskit unbrauchbar. Erstelle direkt danach ein neues.

Authenticator-Code

twoFactor.code

Der 6-stellige Code, den deine Authenticator-App anzeigt, nachdem du das Geheimnis oben hinzugefügt hast. Die Eingabe bestätigt, dass die App eingerichtet ist, und ab dann braucht die Anmeldung dein Passwort und einen Code.

• Achtung: Beim Einschalten der Zwei-Faktor-Authentifizierung werden einmalig zehn Wiederherstellungscodes angezeigt: Speichere sie. Zum Ausschalten brauchst du einen aktuellen Code, und diese Wiederherstellungscodes werden gelöscht.

Name des Passkeys

account.passkeyName

Ein Name, um diesen Passkey in der Liste zu unterscheiden, etwa das Gerät oder der Passwortmanager, der ihn enthält. Bis zu 64 Zeichen. Beim Hinzufügen des Passkeys wird auch dein Passwort abgefragt (und dein Authenticator-Code, wenn Zwei-Faktor aktiv ist), da ein Passkey diesen Code bei der Anmeldung ersetzt.

• Beispiel: Arbeitslaptop (Windows Hello)
• Mehr: Weiterlesen (auf Englisch)

Code

account.emailCode

Der sechsstellige Code, den dein Server an die E-Mail-Adresse deines Kontos geschickt hat. Mit ihm belegst du, dass die Adresse dir gehört; deine Teammitglieder sehen sie dann als bestätigt. Ein Code gilt 15 Minuten und fünf Versuche lang; fordere danach einen neuen an.

• Mehr: Weiterlesen (auf Englisch)

Ich habe mein Wiederherstellungskit gedruckt oder gespeichert

recovery.stored

Hake dies an, sobald der Wiederherstellungsschlüssel an einem sicheren Ort außerhalb dieses Geräts liegt. Er wird nur dieses eine Mal angezeigt und ist der einzige Weg zurück, falls du dein Passwort vergisst.

• Achtung: Wer diesen Schlüssel hat und deine E-Mail-Adresse kennt, kann ein neues Passwort für das Konto festlegen. Bewahre ihn auf wie einen Ersatzhausschlüssel, nicht in einer Notiz auf diesem Gerät.

Zum Bestätigen DELETE eingeben

danger.typeDelete · Nur Desktop

Eine bewusste Hürde: Die Schaltfläche funktioniert erst, wenn du das Wort DELETE in Großbuchstaben eingegeben hast.

• Achtung: Das Löschen eines Kontos entfernt es samt synchronisierten Daten vom Server (30 Tage lang wiederherstellbar). Das Zurücksetzen eines Kontos löscht jeden Tresor und jeden Eintrag dauerhaft, ohne Weg zurück.

Verzeichnis öffentlicher Schlüssel

Wo: Einstellungen › Konto & Synchronisierung › Verzeichnis öffentlicher Schlüssel (Desktop).

Handle

keyDirectory.handle · Nur Desktop

Ein kurzer öffentlicher Name, unter dem deine öffentlichen SSH-Schlüssel auf deinem Sternway-Server veröffentlicht werden, damit ein Serveradministrator sie abrufen kann, ohne dass Schlüsseldateien per E-Mail verschickt werden. 3 bis 32 Kleinbuchstaben, Ziffern oder Bindestriche.

• Beispiel: ada
• Achtung: Jeder, der den Server erreichen kann, kann die unter einem Handle veröffentlichten Schlüssel ohne Anmeldung lesen. Öffentliche Schlüssel kann man gefahrlos teilen, aber das Handle zeigt, welche Schlüssel dir gehören.

Kontopasswort

keyDirectory.password · Nur Desktop

Dein Kontopasswort, nötig zum Ändern des Handles oder der veröffentlichten Schlüssel.

Zu veröffentlichende Schlüssel

keyDirectory.keys · Nur Desktop

Hake die Schlüssel an, deren öffentliche Hälfte unter deinem Handle aufgeführt werden soll. Es wird immer nur die öffentliche Hälfte veröffentlicht. Ist keiner angehakt, entfernt das Veröffentlichen alle.

Teams und Tresore

Wo: Einstellungen › Konto & Synchronisierung › Teams, Tresore (Desktop).

Einladungslink

teams.inviteLink

Der Link aus der Einladungs-E-Mail, die dir ein Team-Eigentümer geschickt hat. Durch Einfügen trittst du diesem Team mit dem Konto bei, bei dem du angemeldet bist. Eine Einladung funktioniert einmal, 7 Tage ab Versand, und nur für das Konto mit der E-Mail-Adresse, an die sie gesendet wurde.

Teamname

teams.name

Wie das Team heißt. Ein Team ist eine Gruppe von Konten, die Tresore mit Hosts, Schlüsseln und Snippets teilen. Erforderlich, bis zu 256 Zeichen.

• Beispiel: Plattform-Team

Per E-Mail einladen

teams.inviteEmail

Die E-Mail-Adresse der einzuladenden Person. Sie erhält einen Link zum Beitreten; sie braucht ein Konto auf diesem Server mit genau dieser E-Mail-Adresse oder legt eines an. Der Link funktioniert einmal und läuft nach 7 Tagen ab; lade die Person danach erneut ein.

Tresorzugriff

teams.memberPermission

Was dieses Mitglied im Tresor tun darf: „Kann bearbeiten“ lässt es den Inhalt ändern, „Kann ansehen“ lässt es ihn sehen und nutzen, ohne ihn zu ändern, „Zugriff entfernen“ entzieht ihm den Tresor. Mit „Kann ansehen“ kann ein Mitglied sich mit den Hosts des Tresors verbinden und seine Sitzungslogs lesen, aber nichts darin hinzufügen, bearbeiten, verschieben, umbenennen oder löschen, kein Passwort und keinen Host-Schlüssel darin speichern und sein Logging nicht umschalten.

• Achtung: „Kann ansehen“ ist kein Weg, Geheimnisse vor jemandem zu verbergen. Die App bietet einem Mitglied mit Lesezugriff weder „Privaten Schlüssel exportieren“ noch „Privaten Schlüssel kopieren“ an, aber das ist eine Regel der App, nicht der Verschlüsselung: Seine Geräte erhalten den Schlüssel des Tresors, sodass dessen Inhalt (gespeicherte Passwörter, private Schlüssel) dort lesbar ist und seine Einträge in einen eigenen Tresor kopiert werden können.

Mitglied

teams.accessMember · Nur Desktop

Das Teammitglied, das diesen Tresor bekommen soll. Aufgeführt sind nur Mitglieder, die dem Team beigetreten sind und jetzt keinen Zugriff auf den Tresor haben; lade jemanden zuerst ins Team ein, um ihn hinzuzufügen.

Zugriff endet

teams.accessEnds

Wann der Zugriff des Mitglieds auf diesen Tresor von selbst endet. Das Ende wird in die Mitgliederliste des Teams signiert, sodass die App jedes Mitglieds ihn dann beendet, was auch immer der Server sagt, und der Server das Mitglied ab dann abweist. Danach braucht der Tresor einen neuen Schlüssel, wie nach dem Entfernen eines Zugriffs: Rotiere ihn. Wählst du später wieder „Kann bearbeiten“ oder „Kann ansehen“, bleibt das Ende; gibst du erneut Zugriff ohne Ende, fällt es weg.

• Standard: Nie: bis du den Zugriff entfernst.
• Achtung: Das Ende verhindert, dass die Apps des Mitglieds den Tresor öffnen und Neues bekommen; was seine Geräte vor dem Ende erhalten haben, könnte kopiert worden sein, wie bei jedem Entfernen.

2FA erforderlich

teams.require2fa · Nur Desktop

Mitglieder müssen die Zwei-Faktor-Authentifizierung für ihr Konto aktiviert haben, um die Tresore dieses Teams zu öffnen. Das gilt sofort; Mitglieder ohne sie sind von den Team-Tresoren ausgesperrt, bis sie sie einschalten.

• Standard: Aus.

Sitzungen auf Team-Hosts aufzeichnen

teams.recordSessions · Nur Desktop

Die Desktop-App jedes Mitglieds zeichnet jede Sitzung zu einem Host in den Tresoren dieses Teams auf, unabhängig von den Einstellungen des Hosts oder des Mitglieds, und zeigt daran ein rotes „Aufzeichnung“-Abzeichen. Die Aufzeichnungen bleiben auf dem eigenen Gerät jedes Mitglieds; Sternway lädt keine Aufzeichnungen auf den Server hoch. Die Smartphone-App zeichnet noch nicht auf, daher sind Smartphone-Sitzungen nicht abgedeckt.

• Standard: Aus.
• Achtung: Eine Aufzeichnung enthält alles, was im Terminal angezeigt wurde. Informiere dein Team, bevor du dies einschaltest.
• Mehr: Weiterlesen (auf Englisch)

Was mit dem Konto passiert

teams.removeMode · Nur Desktop

„In Einzelkonto umwandeln“ entfernt die Person aus dem Team und lässt ihr ein persönliches Konto. „Konto löschen“ entfernt das Konto vom Server.

• Standard: In Einzelkonto umwandeln.
• Achtung: In beiden Fällen werden die Schlüssel jedes Tresors ersetzt, den die Person öffnen konnte, sodass ihr Wissen nicht mehr nützt.

Eigentümerschaft übertragen

teams.transferTo · Nur Desktop

Das Mitglied, das nach seiner Zustimmung Eigentümer des Teams wird. Bis dahin bleibst du Eigentümer; danach behältst du Bearbeitungszugriff auf die Tresore des Teams.

Team verlassen

teams.leave

Nimmt dein Konto aus dem Team. Ein Mitglied verlässt es sofort: Die Tresore des Teams und ihre Kopien auf deinen Geräten verschwinden, dein Konto und dein eigener Tresor bleiben. Der Eigentümer verlässt es, indem er einen neuen Eigentümer wählt, und bleibt Eigentümer, bis dieses Mitglied zustimmt; ein Eigentümer, der das einzige Mitglied ist, löscht stattdessen das Team.

• Achtung: Was du in den Tresoren des Teams gespeichert hast, bleibt beim Team. Kopiere vorher alles, was du brauchst, in deinen eigenen Tresor.

Neuer Eigentümer

teams.leaveNewOwner

Das Mitglied, das das Team übernimmt. Es wird zuerst gefragt: Du bleibst Eigentümer, bis es zustimmt, dann verlässt du das Team. Bis dahin kannst du abbrechen, und das Mitglied kann ablehnen.

Warten auf den neuen Eigentümer

teams.pendingTransfer

Du hast ein Mitglied gebeten, das Team zu übernehmen. Nichts ändert sich, bis es zustimmt; dann gehört ihm das Team, und falls du das Verlassen gewählt hast, bist du draußen. „Übertragung abbrechen“ zieht die Anfrage zurück.

… übernehmen?

teams.ownershipOffer

Der Eigentümer hat dich gebeten, Eigentümer des Teams zu werden. Mit der Zustimmung wirst du Eigentümer: Du verwaltest Mitglieder, Tresore und Einstellungen und erhältst Bearbeitungszugriff auf jeden Team-Tresor. Eine Ablehnung lässt alles, wie es ist, und benachrichtigt den Eigentümer.

• Achtung: Hat der Eigentümer das Verlassen gewählt, verliert er mit deiner Zustimmung den Zugriff auf die Tresore des Teams, und die Tresore, die er öffnen konnte, werden für eine Schlüsselrotation markiert.

Team löschen

teams.delete

Löscht das Team für alle: seine Tresore mit allen Hosts, Schlüsseln und Snippets darin, den Zugriff seiner Mitglieder, offene Einladungen und sein Audit-Log. Die Geräte jedes Mitglieds entfernen ihre Kopien der Tresore bei der nächsten Synchronisierung. Nur der Eigentümer kann das tun, und erst nach Eingabe des Teamnamens.

• Achtung: Dies kann nicht rückgängig gemacht werden. Exportiere vorher die Hosts des Teams, falls du sie noch brauchen könntest.

Sicherheitsnummer

teams.safetyNumber

Dreißig Ziffern, gebildet aus den Verschlüsselungsschlüsseln eines Kontos. Deine steht unter Konto › Sicherheit, die jedes Teammitglieds in seiner Zeile im Team. Vergleicht sie persönlich oder über einen anderen Kanal, dem du vertraust: Stimmen sie überein, gehören die Schlüssel wirklich dieser Person, und der Server kann nicht lesen oder ändern, was das Team teilt. „Als bestätigt markieren“ merkt sich das auf diesem Gerät.

• Achtung: Ändert sich eine Nummer, haben sich die Schlüssel des Kontos geändert (ein Zurücksetzen des Kontos oder jemand dazwischen). Sternway hält an, was davon abhängt, bis du die neue Nummer verglichen hast.
• Mehr: Weiterlesen (auf Englisch)

Ich habe diese Nummer mit … verglichen

teams.restoreCompared

Setze das Häkchen, sobald du und die Person die Sicherheitsnummer in dieser Zeile mit der in ihrem eigenen Konto › Sicherheit verglichen habt, persönlich oder über einen anderen Kanal, dem du vertraust. „Wiederherstellen“ in der Zeile nimmt die Person dann mit dieser Nummer in die Mitgliederliste des Teams auf und teilt genau die gezeigten Tresore. „Alle wiederherstellen“ lässt alle aus, deren Nummer du nicht als bestätigt markiert hast.

• Achtung: Eine Nummer, die du nicht verglichen hast, kann ein Schlüssel sein, den der Server eingesetzt hat: Wer ihn besitzt, kann die Tresore lesen, die du damit teilst.
• Mehr: Weiterlesen (auf Englisch)

Teamname zur Bestätigung

teams.deleteName

Gib den Namen des Teams genau so ein, wie er angezeigt wird, mit denselben Groß-/Kleinbuchstaben und Leerzeichen. „Team löschen“ bleibt deaktiviert, bis er übereinstimmt.

Backup-Passwort

teams.exportPassword

Das Passwort, das die von „Zuerst die Hosts des Teams exportieren“ geschriebene Datei verschlüsselt, mindestens 8 Zeichen. Die Datei enthält nur die Tresore des Teams, einschließlich Schlüssel und gespeicherter Passwörter. Wird sie nach dem Ende des Teams wiederhergestellt, landet ihr Inhalt in deinem eigenen Tresor.

• Achtung: Es kann nicht wiederhergestellt werden: Ohne es lässt sich die Datei nicht öffnen. Wer die Datei und das Passwort hat, hat jeden Schlüssel aus den Tresoren des Teams.

Single Sign-on (SAML)

teams.saml · Nur Desktop

Lässt die Mitglieder des Teams sich über den Identitätsanbieter deiner Organisation anmelden (Okta, Entra ID, Google Workspace, Keycloak und andere, die SAML 2.0 sprechen). Er weist nach, wer sie sind; ihre Daten entsperrt weiterhin ihr eigenes Verschlüsselungspasswort.

• Standard: Nicht eingerichtet.
• Mehr: Weiterlesen (auf Englisch)

Name der SSO-Organisation

teams.samlOrganization · Nur Desktop

Der Kurzname, den Mitglieder bei „Mit SSO anmelden“ eingeben, um den Identitätsanbieter dieses Teams zu erreichen. Eindeutig auf dem Server; Kleinbuchstaben, Ziffern und Bindestriche.

• Beispiel: acme
• Mehr: Weiterlesen (auf Englisch)

IdP-Metadaten-URL

teams.samlMetadataUrl · Nur Desktop

Wo dein Identitätsanbieter seine SAML-Metadaten veröffentlicht. Sternway (diese App, nicht der Server) lädt sie herunter und füllt Entity-ID, Anmelde-URL und Signaturzertifikate aus. Rufe sie erneut ab, nachdem der Anbieter sein Zertifikat rotiert hat.

• Beispiel: https://login.example.com/app/sternway/sso/saml/metadata

IdP-Metadaten-XML

teams.samlMetadataXml · Nur Desktop

Das SAML-Metadatendokument des Identitätsanbieters, eingefügt oder aus einer Datei geladen, wenn es keine URL zum Abrufen gibt.

IdP-Entity-ID

teams.samlEntityId · Nur Desktop

Der Name, den sich der Identitätsanbieter selbst gibt (sein Issuer). Jede Anmeldung, die er sendet, muss genau diesen Wert tragen.

• Beispiel: https://sts.windows.net/0000…/

IdP-Anmelde-URL

teams.samlSsoUrl · Nur Desktop

Die Single-Sign-on-Adresse des Identitätsanbieters für das HTTP-Redirect-Binding. Die Browser der Mitglieder werden zur Anmeldung dorthin geleitet.

• Achtung: Muss https:// verwenden (einfaches http:// wird nur für einen Anbieter auf dem Rechner des Servers selbst akzeptiert).

Signaturzertifikat

teams.samlCert · Nur Desktop

Das Zertifikat (PEM), mit dem dein Identitätsanbieter Anmeldungen signiert. Eine mit einem anderen Schlüssel signierte Anmeldung wird abgelehnt.

Zweites Signaturzertifikat

teams.samlCert2 · Nur Desktop

Das nächste Zertifikat, während dein Identitätsanbieter seinen Signaturschlüssel rotiert: Beide werden akzeptiert, bis du das alte entfernst.

• Standard: Leer: Nur das erste Zertifikat wird akzeptiert.

E-Mail-Attribut

teams.samlEmailAttribute · Nur Desktop

Das SAML-Attribut, das die E-Mail-Adresse des Mitglieds enthält.

• Standard: Leer: die NameID, wenn ihr Format emailAddress ist, sonst ein Attribut namens email oder mail.
• Beispiel: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress

Namensattribut

teams.samlNameAttribute · Nur Desktop

Das SAML-Attribut, das den Anzeigenamen des Mitglieds enthält, angezeigt, wenn ein neues Konto erstellt wird.

• Standard: Leer: ein Attribut namens displayName oder name, sonst die E-Mail-Adresse.

SSO für Mitglieder erzwingen

teams.samlRequire · Nur Desktop

Mitglieder (nicht du als Eigentümer) können sich dann nur über den Identitätsanbieter dieses Teams bei Sternway anmelden; die Anmeldung nur mit Passwort oder über einen anderen Anbieter wird abgelehnt. Ihr Verschlüsselungspasswort geben sie weiterhin ein.

• Standard: Aus.
• Achtung: Du behältst die Anmeldung per Passwort, damit du eine fehlerhafte Einrichtung reparieren kannst. Ein Mitglied, das das Team verlässt, kann sich wieder mit dem Passwort anmelden.

Aktivitätsübersicht

teams.digest · Nur Desktop

Eine E-Mail-Zusammenfassung für den Eigentümer darüber, was sich in den Tresoren des Teams geändert hat: wer was wann geändert hat, nie die Inhalte.

• Standard: Aus.

Team

vaults.team · Nur Desktop

Das Team, zu dem der neue Tresor gehört. Seinen Mitgliedern kann Zugriff auf den Tresor gegeben werden.

Tresorname

vaults.name · Nur Desktop

Wie der Tresor heißt. Ein Tresor ist eine separat verschlüsselte Sammlung von Hosts, Schlüsseln und Snippets, die mit einem Team geteilt werden kann. Erforderlich, bis zu 256 Zeichen.

• Beispiel: Produktionsserver

Team-Richtlinien

Wo: Einstellungen › Konto & Synchronisierung › Teams › ein Team › Richtlinien.

Richtlinie

teamAdmin.mode

„Keine Richtlinie“ überlässt die Einstellung jedem Mitglied. „Vorgeschlagen“ gilt, wo ein Mitglied keine eigene Einstellung hat, und es kann stattdessen seine eigene verwenden. „Gesperrt“ ist eine Untergrenze: Mitglieder können sie verschärfen, nie lockern.

• Standard: Keine Richtlinie.
• Achtung: Wer eine Richtlinie lockert, muss bestätigen, dass er es ist, und der Eigentümer wird benachrichtigt.
• Mehr: Weiterlesen (auf Englisch)

Grund

teamAdmin.reason

Warum die Richtlinie gilt; Mitglieder sehen es als reinen Text neben der Einstellung. Höchstens 280 Zeichen. Der Sync-Server kann es lesen.

• Mehr: Weiterlesen (auf Englisch)

Zwei-Faktor-Authentifizierung verlangen

policy.auth.require2fa

Mitglieder brauchen Zwei-Faktor-Authentifizierung für ihr Konto, um die Tresore, Änderungen und Berichte dieses Teams zu nutzen. Anmeldung und persönliche Tresore werden nie gesperrt. Vom Server durchgesetzt.

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

Anmeldung mit Passkey verlangen

policy.auth.requirePasskey

Wer sich mit einem Passkey angemeldet haben muss, um die Ressourcen dieses Teams zu nutzen: alle, oder nur Eigentümer, Admins und signierende Rollen. Vom Server durchgesetzt. Nicht mit „SSO-Anmeldung verlangen“ kombinierbar.

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

SSO-Anmeldung verlangen

policy.auth.requireSso

Mitglieder melden sich bei diesem Team über das Single Sign-on deiner Organisation an. Nur der Eigentümer ändert das.

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

Älteste erlaubte App-Version

policy.apps.minVersion

Ältere Apps als diese Version können die Ressourcen dieses Teams erst nach einem Update nutzen. Admins können sie nur bis zu einer Version anheben, die Geräte anderer Mitglieder schon melden; Sitzungen des Eigentümers werden nie ausgesperrt.

• Standard: Keine Richtlinie.
• Achtung: Eine Anhebung gilt für bestehende Sitzungen 24 Stunden nach der Signatur; der Bericht listet die Geräte, die sie aussperren würde.
• Mehr: Weiterlesen (auf Englisch)

App-Sperre verlangen

policy.lock.required

Schaltet die App-Sperre auf dem Gerät jedes Mitglieds ein. Von der App jedes Mitglieds angewendet.

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

App spätestens sperren nach

policy.lock.maxMinutes

Wie lange die App eines Mitglieds höchstens unbenutzt entsperrt bleiben darf, in Minuten (1 bis 1440). Eine kürzere eigene Zeit des Mitglieds bleibt.

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

Lokale Shells erlauben

policy.localShell.allowed

Ob Mitglieder eine Shell auf ihrem eigenen Computer öffnen dürfen, während sie Hosts dieses Teams nutzen. Aus ist strenger.

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

Kopierte Geheimnisse spätestens löschen nach

policy.clipboard.maxClearSec

Wie lange ein kopiertes Passwort oder ein kopierter Schlüssel höchstens in der Zwischenablage bleiben darf, in Sekunden (1 bis 3600). Eine kürzere eigene Zeit des Mitglieds bleibt.

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

Nur mit Schlüsseln einloggen, keine Passwörter

policy.hosts.keysOnly

Team-Hosts melden sich nur mit Schlüsseln an: Passwörter werden für sie weder gespeichert noch gesendet. Von der App jedes Mitglieds angewendet.

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

Unbekannte Host-Schlüssel

policy.ssh.hostKeyPolicy

„Unbekannte Schlüssel ablehnen“ verbindet sich nie mit einem Host, dessen Schlüssel noch nicht bekannt ist; „Nachfragen“ fragt das Mitglied zuerst.

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

SSH-Agent-Weiterleitung

policy.ssh.agentForwarding

Was der SSH-Agent an Team-Hosts weiterleitet, auf jedem Sprung: nichts, nur den Login-Schlüssel oder alle Schlüssel. Strengere Werte gehen der eigenen Einstellung eines Mitglieds vor.

• Standard: Keine Richtlinie.
• Achtung: Ein weitergeleiteter Agent lässt jeden mit Root-Rechten auf dem Host deine Schlüssel nutzen, solange du verbunden bist.
• Mehr: Weiterlesen (auf Englisch)

Veraltete SSH-Algorithmen erlauben

policy.ssh.legacyAlgorithms

Ob Verbindungen zu Team-Hosts alte, schwächere SSH-Algorithmen nutzen dürfen (für alte Geräte). Aus ist strenger.

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

Portweiterleitungen lauschen nur auf diesem Gerät

policy.forwards.loopbackOnly

Portweiterleitungen zu Team-Hosts lauschen nur auf dem Computer des Mitglieds, nicht in seinem Netzwerk.

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

Mitglieder dürfen Hosts hinzufügen

policy.hosts.membersMayAdd

Ob Mitglieder, die keine Änderungen signieren, den Tresoren des Teams Hosts hinzufügen dürfen. Vom Server durchgesetzt.

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

Export ohne Verschlüsselung

policy.export.plaintext

Ob Teamdaten ohne Verschlüsselung in eine Datei exportiert werden dürfen. „Gesperrt“ erlaubt weiterhin verschlüsselte Sicherungen und einen privaten Schlüssel des Teams, der mit einer Passphrase exportiert oder kopiert wird; die Schlüssel des Team-Eigentümers verlassen das Gerät so oder so. Die Hosts des Teams fehlen in der Inventar-CSV, und Aufzeichnungen seiner Hosts werden nicht exportiert.

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

Einträge aus dem Team kopieren oder verschieben

policy.items.copyOut

„Nur innerhalb des Teams“ verhindert, dass Hosts, Schlüssel und Snippets in einen persönlichen Tresor oder den eines anderen Teams kopiert oder verschoben werden, und dass die privaten Schlüssel des Teams exportiert oder kopiert werden, auch mit einer Passphrase. Kopieren und Verschieben zwischen den eigenen Tresoren des Teams geht weiterhin, und der Team-Eigentümer kann Schlüssel weiterhin exportieren.

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

KI-Assistent

policy.ai.mode

Ob der KI-Assistent mit Team-Hosts genutzt werden darf: aus, nur mit den unten zugelassenen Anbietern, oder mit jedem Anbieter.

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

Zugelassene KI-Anbieter

policy.ai.approvedProviders

Die Adressen (https-Ursprünge) der KI-Anbieter, die Mitglieder mit Team-Hosts nutzen dürfen, wenn der Assistent auf zugelassene Anbieter beschränkt ist. Ein Anbieter passt nur, wenn seine Adresse genau einer davon entspricht.

• Standard: Keine.
• Mehr: Weiterlesen (auf Englisch)

Sitzungsfreigabe

policy.share.mode

Ob Mitglieder eine Sitzung zu einem Team-Host freigeben dürfen: aus, nur lesen oder mit Steuerung.

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

Längste Sitzungsfreigabe

policy.share.maxHours

Wie lange eine Sitzungsfreigabe höchstens dauern darf, in Stunden (1 bis 168).

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

Ordner-Sync darf Teamdaten enthalten

policy.folderSync.teamData

Ob der Ordner-Sync Team-Tresore in einen Sync-Ordner schreiben darf. Aus ist strenger.

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

Längster Tresorzugriff

policy.grants.maxDays

Der längste Zugriff auf einen Team-Tresor, den jemand außer dem Eigentümer vergeben darf, in Tagen (1 bis 3650). Vom Server durchgesetzt.

• Standard: Keine Richtlinie.
• Mehr: Weiterlesen (auf Englisch)

Sitzungen aufzeichnen

policy.recording.required

Die App jedes Mitglieds zeichnet Sitzungen zu Team-Hosts auf. Nur der Eigentümer ändert das.

• Standard: Keine Richtlinie.
• Achtung: Eine Aufzeichnung enthält alles, was im Terminal angezeigt wird. Sag es deinem Team, bevor du das einschaltest.
• Mehr: Weiterlesen (auf Englisch)

Aufzeichnungen höchstens behalten

policy.retention.recordingsMaxDays

Wie lange das Gerät eines Mitglieds Aufzeichnungen von Team-Sitzungen höchstens behält, in Tagen (1 bis 3650). Admins dürfen den Wert nur erhöhen; senken kann ihn nur der Eigentümer.

• Standard: Keine Richtlinie.
• Achtung: Ein niedrigerer Wert löscht ältere Aufzeichnungen.
• Mehr: Weiterlesen (auf Englisch)

Sitzungsprotokolle auf dem Server behalten

policy.retention.sessionLogsMaxDays

Wie lange der Server die Sitzungsprotokolle des Teams behält, in Tagen (1 bis 3650). Admins dürfen den Wert nur erhöhen; hinzufügen, senken oder entfernen kann ihn nur der Eigentümer.

• Standard: Keine Richtlinie.
• Achtung: Ein niedrigerer Wert löscht ältere Protokolle.
• Mehr: Weiterlesen (auf Englisch)

Audit-Protokoll behalten

policy.audit.retentionDays

Wie lange der Server das Audit-Protokoll des Teams behält, in Tagen: 0 behält es für immer, sonst mindestens 30. Admins dürfen den Wert nur erhöhen; hinzufügen, senken oder entfernen kann ihn nur der Eigentümer.

• Standard: Keine Richtlinie.
• Achtung: Ein niedrigerer Wert löscht ältere Audit-Ereignisse.
• Mehr: Weiterlesen (auf Englisch)

Team-Rollen, Verwaltung, Umstellung und Wiederherstellung

Wo: Einstellungen › Konto & Synchronisierung › Teams › ein Team.

Rolle

teamAdmin.role

Was dieses Mitglied im Team darf: Mitglied, Admin oder eine eigene Rolle. Eine Rolle, die Änderungen signiert, gibt es nur für ein Mitglied, dessen Sicherheitsnummer du geprüft hast.

• Standard: Mitglied.
• Mehr: Weiterlesen (auf Englisch)

Name der Rolle

teamAdmin.roleName

Der Name der Rolle, der bei den Mitgliedern steht. Höchstens 280 Zeichen. Der Sync-Server kann ihn lesen.

• Mehr: Weiterlesen (auf Englisch)

Berechtigungen

teamAdmin.perms

Was Personen mit dieser Rolle dürfen. Einladen, Entfernen, Erstellen, Teilen, Rotieren, Löschen und Richtlinien verwalten signieren Teamänderungen; Berichte ansehen und das Audit-Protokoll exportieren nicht.

• Mehr: Weiterlesen (auf Englisch)

Admins dürfen Tresore löschen

teamAdmin.adminsMayDeleteVaults

Erlaubt Admins mit Bearbeitungszugriff auf einen Tresor, ihn zu löschen. Einen gelöschten Tresor kannst du 30 Tage lang wiederherstellen.

• Standard: Aus.
• Mehr: Weiterlesen (auf Englisch)

Das Löschen eines Tresors braucht deine Zustimmung

teamAdmin.deleteApproval

Die Löschung durch einen Admin geht als Vorschlag an dich, statt sofort zu geschehen.

• Standard: Aus.
• Mehr: Weiterlesen (auf Englisch)

Das Lockern einer Richtlinie braucht deine Zustimmung

teamAdmin.relaxApproval

Die Lockerung einer Richtlinie durch einen Admin geht als Vorschlag an dich, statt sofort zu geschehen.

• Standard: Aus.
• Mehr: Weiterlesen (auf Englisch)

Wartezeit, bis eine Lockerung gilt

teamAdmin.relaxDelay

Wie lange die strengere Einstellung bleibt, nachdem ein Admin eine Richtlinie gelockert hat, damit du sie zurücknehmen kannst: keine, 15 Minuten, 1 Stunde, 4 Stunden oder 24 Stunden.

• Standard: Keine Wartezeit.
• Mehr: Weiterlesen (auf Englisch)

Verlorene Versionen schließen

teamAdmin.closeLost

Alte Tresorschlüssel, die dieses Gerät nie hatte, können nicht in die neue Mitgliederliste aufgenommen werden. Schließen hält darunter geschriebene Einträge dort lesbar, wo der Schlüssel vorhanden ist, und darunter wird nichts mehr geschrieben.

• Mehr: Weiterlesen (auf Englisch)

Wer Änderungen signiert

teamAdmin.signing

Eigentümer und Admins: Admins und Rollen, die du vergibst, signieren Änderungen im Rahmen der Regeln. Nur du: Du signierst jede Änderung, Admins können sie vorschlagen.

• Standard: Eigentümer und Admins.
• Mehr: Weiterlesen (auf Englisch)

Die Richtlinie von … auf meine eigenen Hosts und Schlüssel auf diesem Gerät anwenden

teamAdmin.personalOptIn

Die Richtlinie des Teams gilt für seine eigenen Tresore. Eingeschaltet gilt sie auch für deine persönlichen Hosts, Schlüssel und Einstellungen auf diesem Gerät: Ihre festgelegten Werte sind auch dort eine Untergrenze. Das gilt nur auf diesem Gerät, und nur du kannst es ändern.

• Standard: Aus.
• Mehr: Weiterlesen (auf Englisch)

Name des neuen Tresors

teamAdmin.restoreName

Der Name des Tresors, der aus der Kopie dieses Geräts entsteht. Er bekommt neue Schlüssel; Mitglieder erhalten erst Zugriff, wenn du ihn vergibst.

• Mehr: Weiterlesen (auf Englisch)

Über einen Ordner synchronisieren

Wo: Einstellungen › Konto & Synchronisierung › Über einen Ordner synchronisieren, wenn nicht angemeldet (Desktop und Android).

Ordner

folderSync.folder

Ein Ordner, den ein Sync-Tool, das du bereits nutzt, auf deine anderen Geräte überträgt: Dropbox, OneDrive, Google Drive für Desktop, iCloud Drive, Syncthing oder eine Netzwerkfreigabe. Sternway legt darin einen Ordner „Sternway Sync“ an und schreibt dort nur verschlüsselte Dateien. Jedes Gerät, das du synchronisierst, zeigt auf denselben Ordner.

• Beispiel: ~/Dropbox
• Achtung: Verwende einen Ordner, den nur du öffnen kannst. Wer die Dateien und deine Sync-Passphrase hat, kann deine Hosts und Schlüssel lesen.
• Mehr: Weiterlesen (auf Englisch)

Sync-Passphrase

folderSync.passphrase

Verschlüsselt alles, was Sternway in den Ordner schreibt. Das erste Gerät legt sie fest; jedes weitere Gerät fragt einmal danach, wenn du dort die Ordner-Synchronisierung einschaltest. Mindestens 12 Zeichen; ein paar unzusammenhängende Wörter sind leicht zu tippen und schwer zu erraten.

• Achtung: Niemand kann sie für dich wiederherstellen. Bereits synchronisierende Geräte funktionieren ohne sie weiter, aber ein neues Gerät kann nicht beitreten, bewahre sie also in deinem Passwortmanager auf.
• Mehr: Weiterlesen (auf Englisch)

Sync-Passphrase bestätigen

folderSync.confirmPassphrase

Gib dieselbe Passphrase noch einmal ein, um Tippfehler zu erkennen.

Deaktivieren

folderSync.turnOff · Nur Desktop

Dieses Gerät hört auf, den Ordner zu lesen und zu beschreiben. Deine Hosts, Schlüssel und Einstellungen bleiben hier unverändert, und der Ordner behält seine Dateien für deine anderen Geräte.

App-Sperre

Wo: Einstellungen › Sicherheit › App-Sperre; der Sperrbildschirm.

Aktuelle PIN oder Passphrase

appLock.current

Der Code, der die App derzeit entsperrt, nötig, um ihn zu ändern oder die Sperre auszuschalten.

Neue PIN oder Passphrase

appLock.new

Der Code, den du zum Öffnen der App eingibst, mindestens 4 Zeichen (auf einem Computer ohne System-Schlüsselbund, wo er auch die Passphrase ist, die die Daten verschlüsselt: mindestens 8 und nicht nur Ziffern). Die App startet dann gesperrt und sperrt sich bei Inaktivität wieder. Das Sperren blendet die App aus; deine Sitzungen laufen weiter.

• Achtung: Es gibt kein „PIN vergessen“: Gespeichert wird nur ein gesalzener Hash (sowie auf einem Smartphone mit aktiver Fingerabdruck- oder Gesichtsentsperrung die PIN selbst im sicheren Speicher des Smartphones). Zu viele Fehlversuche lassen die App immer länger zwischen den Versuchen warten.

Bestätigen

appLock.confirm

Gib denselben Code noch einmal ein, um Tippfehler zu erkennen, bevor du dich aussperrst.

Mit Fingerabdruck oder Gesicht entsperren

appLock.biometric · Nur Smartphone

Öffne die App mit der Fingerabdruck- oder Gesichtsprüfung des Smartphones, statt die PIN einzugeben. Gib zuerst oben deine aktuelle PIN ein und schalte dies dann ein.

• Standard: Aus.
• Achtung: Damit das funktioniert, wird die PIN im sicheren Speicher des Smartphones (iOS-Schlüsselbund, Android Keystore) aufbewahrt und nach einer erfolgreichen biometrischen Prüfung von der App gelesen. Ausschalten dieser Option oder Deaktivieren der Sperre entfernt sie.

PIN

lock.code

Der Code, den du für die App-Sperre gewählt hast. Sitzungen laufen weiter, während die App gesperrt ist.

• Achtung: Nach 5 Fehlversuchen lässt dich die App warten, zuerst 30 Sekunden und jedes Mal doppelt so lange.

Neue Passphrase

lock.createPassphrase · Nur Desktop

Alles, was Sternway auf diesem Computer speichert, ist mit einem zufälligen Schlüssel verschlüsselt, und dieser Schlüssel wird normalerweise vom System-Schlüsselbund verwahrt (macOS-Schlüsselbund, Windows DPAPI, der Linux-Keyring). Dieser Computer hat keinen, dem die App vertraut: keinen Keyring oder nur den ungeschützten „basic“-Speicher. Daher wird der Schlüssel stattdessen mit einer von dir gewählten Passphrase verschlüsselt und nie ungeschützt gespeichert. Mindestens 8 Zeichen und nicht nur Ziffern. Du gibst sie bei jedem Start der App ein; sie ist zugleich die App-Sperre und kann geändert, aber nicht ausgeschaltet werden.

• Achtung: Sie kann nicht wiederhergestellt werden. Ohne sie lassen sich die Daten auf diesem Gerät nicht öffnen.

Passphrase bestätigen

lock.confirmPassphrase · Nur Desktop

Gib dieselbe Passphrase noch einmal ein, um Tippfehler zu erkennen.