Vollständige Anleitung: Passbolt unter Debian Schritt für Schritt installieren

Voraussetzungen und Vorbereitung für die Installation von Passbolt unter Debian 13

Die Installation von Passbolt auf einem Debian 13-Server erfordert sorgfältige Vorbereitung und Kenntnisse der wesentlichen Komponenten, um eine erfolgreiche Einrichtung zu gewährleisten. Passbolt ist eine Open-Source-Lösung für die sichere Verwaltung von Teampasswörtern und basiert auf OpenPGP für eine robuste Verschlüsselung. Vor Beginn der Installation muss sichergestellt werden, dass das Debian-System auf dem neuesten Stand und für diese anspruchsvolle Anwendung geeignet ist.

Melden Sie sich zunächst über die Kommandozeile mit einem Benutzerkonto mit sudo-Rechten (Root-Zugriff) an Ihrem Debian-13-Rechner an. Gute Kenntnisse der Kommandozeile sind unerlässlich, um dieser Anleitung zu folgen und jeden Schritt korrekt auszuführen.

Ein Schlüsselelement dieser Installation ist das Werkzeug. Lockencurl wird zum Herunterladen von Dateien aus dem Internet verwendet. Debian installiert curl nicht automatisch, daher muss es installiert werden:

apt-get update : Aktualisiert die Liste der verfügbaren Pakete.
apt-get install curl : Installieren Sie curl auf dem System.

Passbolt erfordert außerdem die Installation von MariaDB, das als lokale Datenbank dient, und Nginx als Webserver.

Ein weiterer wichtiger vorbereitender Schritt ist die Überprüfung der Unterstützung sicherer TLS-Verbindungen durch das System, da Sicherheit bei der Nutzung von Passbolt von zentraler Bedeutung ist. Zwar ist es möglich, ein Zertifikat später hinzuzufügen, doch die Verwaltung eines TLS-Zertifikats bietet eine zusätzliche Sicherheitsebene und verhindert das Abfangen der Kommunikation zwischen Benutzern und Server.

Darüber hinaus benötigt die Debian-13-Umgebung mindestens 2 GB RAM für einen reibungslosen Betrieb, insbesondere wenn mehrere Benutzer gleichzeitig auf den Manager zugreifen. Für die Speicherung von Datenbanken und Backups werden etwa zehn Gigabyte Festplattenspeicher empfohlen.

Abschließend eine Liste der Voraussetzungen für einen reibungslosen Installationsablauf:

Debian 13 ist auf dem neuesten Stand und über SSH erreichbar.
Root-Konto oder Benutzer mit sudo-Berechtigungen.
Curl installieren.
MariaDB-Server und Nginx-Webserver sind erreichbar.
Domainname oder öffentliche/private IP-Adresse, die für den Serverzugriff konfiguriert ist.
Zugang zum Terminal und Grundkenntnisse in der Linux-Serververwaltung.
Entwickeln Sie eine Strategie zur Datensicherung.

Diese Liste bildet die Grundlage für die vollständige Installation von Passbolt, ein willkommener Schritt hin zur Autonomie durch Open Source und zur vollständigen Kontrolle über die Sicherheit Ihrer Passwörter.

Detaillierte Vorgehensweise zur Installation von Passbolt auf einem Debian-Server: Hinzufügen von Repositories und Installation

Passbolt Community Edition (CE) lässt sich sehr effizient über die offiziellen Repositories des Projektteams installieren. Dies vereinfacht die Verwaltung von Updates und Abhängigkeiten mit APT erheblich. Der Vorgang beginnt mit dem Herunterladen eines speziellen Skripts, das das benötigte Repository zu Ihrer Liste der Debian-Paketquellen hinzufügt.

Das Drehbuch passbolt-repo-setup.ce.sh Es ist über curl zugänglich und enthält eine SHA512-Prüfsummendatei, um die Integrität und Sicherheit der heruntergeladenen Dateien zu überprüfen. Diese Prüfung ist unerlässlich, insbesondere um jegliche Gefährdung beim Herunterladen wichtiger Pakete zu verhindern.

Laden Sie beide Dateien herunter:
curl -LO https://download.passbolt.com/ce/installer/passbolt-repo-setup.ce.sh
curl -LO https://github.com/passbolt/passbolt-dep-scripts/releases/latest/download/passbolt-ce-SHA512SUM.txt
Überprüfen Sie die Integrität und fügen Sie das Repository hinzu:
sha512sum -c passbolt-ce-SHA512SUM.txt && bash ./passbolt-repo-setup.ce.sh || echo "Ungültige Prüfsumme. Abbruch" && rm -f passbolt-repo-setup.ce.sh

Dieser Befehl validiert die Skriptdatei mithilfe von SHA512-Prüfsummen und führt sie nur aus, wenn alles korrekt ist. Dadurch wird die Installation schädlicher oder beschädigter Pakete verhindert. Beim Hinzufügen des Repositorys wird die Paketliste automatisch aktualisiert.

Installieren Sie anschließend einfach das Passbolt Community Edition-Paket:

apt install passbolt-ce-server

Die Installation bietet einen interaktiven Assistenten. Dieser Assistent fragt Sie nach den Parametern für die Verbindung von Passbolt mit der MariaDB-Datenbank. Ziel ist Folgendes:

Erstellen Sie einen dedizierten Passbolt-Benutzer in MariaDB.
Legen Sie ein sicheres Passwort für diesen Benutzer fest.
Erstellen Sie eine Datenbank, die ausschließlich zur Speicherung von Passbolt-Passwörtern und Metadaten dient.

Im nächsten Schritt wird der Nginx-Webserver konfiguriert. Passbolt bietet die Möglichkeit, diese Konfiguration zu automatisieren, um die Bereitstellung der Anwendung auf der gewünschten Domain oder IP-Adresse zu vereinfachen.

Ein letzter wichtiger Punkt zu diesem Assistenten betrifft das TLS-Zertifikat: Sie haben drei Optionen:

keiner Die TLS-Konfiguration wird übersprungen und später durchgeführt.
Handbuch : ein zuvor erhaltenes Zertifikat und einen privaten Schlüssel bereitstellen.
Auto : Erlauben Sie dem System, eine automatische Generierung über Let’s Encrypt zu versuchen (erfordert öffentliche Zugänglichkeit).

Die automatische Option ist eine hervorragende Lösung, wenn der Server über das öffentliche Internet erreichbar ist. Für den internen Gebrauch ist die manuelle Verwaltung eines Unternehmenszertifikats oft sicherer. Vergessen Sie schließlich nicht, die MariaDB-Datenbank mit dem integrierten Skript abzusichern. mysql_secure_installation Oder mariadb-secure-installation, wodurch anonyme Benutzer entfernt und der Zugriff auf das Root-Konto gesperrt wird.

Verwaltung und Bereitstellung von TLS-Zertifikaten für optimale Sicherheit auf Passbolt

Die Sicherheit eines Passwortmanagers zu gewährleisten, ist von grundlegender Bedeutung. Die Verwendung eines TLS-Zertifikats stellt nicht nur eine verschlüsselte Verbindung zwischen Client und Server her, sondern stellt auch sicher, dass die Kommunikation tatsächlich mit dem legitimen Server erfolgt und verhindert so das Risiko eines Man-in-the-Middle-Angriffs.

Im Kontext einer Passbolt-Installation an einer internen Adresse, zum Beispiel https://passbolt.it-connect.localEs empfiehlt sich, ein TLS-Zertifikat einer internen Zertifizierungsstelle (CA) zu verwenden – in Unternehmensumgebungen häufig eine Active Directory Certificate Services (AD CS)-Lösung. Dieses Zertifikat gewährleistet vollständiges Vertrauen und eine nahtlose Integration in bestehende Infrastrukturen.

Zu den wichtigsten Schritten für die Verwaltung eines TLS-Zertifikats gehören:

Generieren einer Zertifikatsignierungsanforderung (CSR) oder Abrufen eines vorhandenen Zertifikats von Ihrer Zertifizierungsstelle.
Sichere Übertragung des Zertifikats (.cer) und des privaten Schlüssels (.key) an den Debian-Server via scp oder ein Tool wie WinSCP.
Die Dateien in einem sicheren Verzeichnis ablegen, üblicherweise unter /etc/ssl/certs Und /etc/ssl/private mit entsprechenden Genehmigungen.
Passbolt wird so konfiguriert, dass diese Dateien verwendet werden:

dpkg-reconfigure passbolt-ce-server startet die minimal notwendige Neuinstallation.
Überspringen Sie die Datenbankkonfiguration.
Wählen Sie die manuelle TLS-Konfiguration.
Geben Sie die vollständigen Pfade zum Zertifikat und zum Schlüssel an.

Sobald die Änderungen angewendet wurden, genügt ein einfaches Neuladen der Nginx-Konfiguration über systemctl reload nginx Dies genügt, um die TLS-Sicherheit zu aktivieren.

Es ist auch möglich, diesen Ansatz durch die Integration eines Reverse-Proxys mit WAF (Web Application Firewall) oder Tools wie Fail2ban oder CrowdSec zu ergänzen, um eine zusätzliche Schutzebene gegen Netzwerkangriffe auf Passbolt zu schaffen.

Zusammenfassend lässt sich sagen, dass die Verwaltung von TLS-Zertifikaten weit über die einfache Installation hinausgeht: Es handelt sich um einen umfassenden Prozess, der die regelmäßige Erneuerung von Zertifikaten, die Überwachung auf Sicherheitslücken und die Gewährleistung eines sicheren Zugriffs umfasst. Passbolt bietet als Open-Source-Tool diese unerlässliche Flexibilität in anspruchsvollen professionellen Umgebungen.

Schließen Sie die Ersteinrichtung ab und erstellen Sie das Passbolt-Administratorkonto.

Nach der Serverinstallation erfolgt die Erstkonfiguration von Passbolt direkt über die Weboberfläche. Dieser Schritt ist unerlässlich, um den Passwortmanager für den praktischen Einsatz, insbesondere für die sichere Zusammenarbeit, vorzubereiten.

Öffnen Sie dazu Ihren Browser und rufen Sie die für Passbolt konfigurierte Adresse auf, zum Beispiel https://passbolt.it-connect.localEs sollte ein webbasierter Einrichtungsassistent angezeigt werden, der Sie durch die folgenden Schritte führt:

Datenbankanbindung: Geben Sie den Host (normalerweise 127.0.0.1), den zuvor erstellten Benutzernamen und das zugehörige Passwort sowie den Datenbanknamen ein.
Erstellen eines OpenPGP-Server-Schlüsselpaares: Zur Generierung dieses Schlüssels werden ein Name und eine E-Mail-Adresse benötigt. Dieser Schlüssel dient zur Verschlüsselung der auf dem Server gespeicherten Passwörter.
Zugriffs-URL-Validierung: Die Passbolt-Serveradresse wird automatisch ausgefüllt, kann aber geändert werden. Es wird empfohlen, die Verwendung von SSL zu erzwingen.
SMTP-Einstellungen: Konfigurieren Sie den E-Mail-Versand für Benachrichtigungen (SMTP-Servername, Zugangsdaten, Absender-E-Mail-Adresse). Ein Testversand ist über die Benutzeroberfläche möglich.
Erstellung des Administratorkontos: Bitte geben Sie Vorname, Nachname und E-Mail-Adresse des zukünftigen Hauptadministrators an.

Dabei wird ein grundlegendes Element eingeführt: die Erstellung eines persönlichen Masterpassworts für das Administratorkonto. Dieses Passwort dient als privater Schlüssel zum Entsperren der Passwortdatenbank. Die Stärke dieses Passworts ist unerlässlich, da ohne es niemand die Daten wiederherstellen kann.

Das System bietet außerdem die Möglichkeit, die Passbolt-Browsererweiterung zu installieren, die für die Generierung und Verwendung von OpenPGP-Schlüsseln auf Clientseite unerlässlich ist. Die Wiederherstellungsdatei heißt passbolt-recovery-kit.txt, muss sorgfältig aufbewahrt werden: Es handelt sich um Ihren verschlüsselten privaten Schlüssel, die einzige Möglichkeit, den Zugriff wiederherzustellen, falls Sie ihn vergessen.

Wir begrüßen das visuelle Personalisierungssystem beim ersten Zugriff, das Ihren Browser anhand einer Farbe und eines dreistelligen Codes identifiziert. Diese Maßnahme schützt vor Phishing-Angriffen.

Nach der Anmeldung kann der Administrator Passwörter zu seinem persönlichen Tresor hinzufügen, Benutzer einladen und Berechtigungen verwalten und so eine sichere und effiziente Zusammenarbeit für das gesamte Team gewährleisten.

Bewährte Verfahren und Tipps zur Sicherung und Wartung eines Passbolt-Servers unter Debian

Die Installation von Passbolt ist nur der erste Schritt in einem fortlaufenden Prozess zum optimalen Schutz der sensiblen Daten Ihres Unternehmens. Angesichts der zunehmenden Raffinesse von Cyberangriffen ist es im Jahr 2025 unerlässlich, eine umfassende Sicherheitsstrategie für den Debian-Server zu implementieren, auf dem dieser Passwortmanager gehostet wird.

Hier sind einige wichtige Best Practices, die ab der Bereitstellungsphase zu beachten sind:

Aktualisieren Sie Debian und Passbolt regelmäßig: Die Updates bringen nicht nur neue Funktionen, sondern vor allem die Behebung kritischer Sicherheitslücken.
Sichern des Serverzugangs: SSH-Verbindungen sollten bevorzugt über öffentliche Schlüssel anstatt über klassische Passwörter hergestellt werden. Der Root-Zugriff bei direkten Verbindungen sollte deaktiviert werden.
Installieren Sie eine Firewall: UFW oder nftables können Verbindungen auf essentielle Ports beschränken, insbesondere auf 80 und 443 für Nginx und 22 für SSH.
Stärkung der MariaDB-Datenbank: setzt die begonnene Härtung fort mit mariadb-secure-installationdurch Beschränkung von Berechtigungen und Verwendung sicherer Passwörter.
Fail2ban oder CrowdSec konfigurieren: Diese Tools bieten proaktiven Schutz vor Brute-Force-Angriffen auf SSH und Nginx.
Protokollüberwachung: Implementieren Sie eine Lösung wie Logwatch oder Graylog, um Ereignisse zu überwachen und Anomalien zu erkennen.
Regelmäßige Sicherung: Tägliche Datensicherung der Passbolt-Datenbanken und der Nginx-Konfiguration mit einer getesteten Wiederherstellungsstrategie.
Beschränken Sie Admin-Benutzer: Administratorrechte werden nur Konten gewährt, die unbedingt erforderlich sind.

Zum Beispiel das Unternehmen SecureCorp[Firmenname], spezialisiert auf Projektmanagement im öffentlichen Sektor, betreibt seit 2024 einen Passbolt-Server auf Debian 13. Zu den regelmäßigen Wartungsarbeiten gehören die monatliche Überprüfung der Protokolldateien und die vierteljährliche Erneuerung des TLS-Zertifikats. Zudem nutzt das Unternehmen Fail2ban, um verdächtige IP-Adressen nach drei fehlgeschlagenen Verbindungsversuchen zu blockieren.

Schließlich sind die offizielle Dokumentation und die Passbolt-Community unverzichtbare Informationsquellen, um über neue Versionen und Sicherheitspatches auf dem Laufenden zu bleiben. Wachsamkeit gegenüber Zero-Day-Schwachstellen und Sicherheitsschulungen für Benutzer sind weiterhin entscheidend für die effektive Nutzung von Passbolt.