COD 3.8: Stronghold heißt jetzt Passkeepr

COD 3.8.0 ist am 29. Oktober 2026 erschienen. Es bringt einen neuen Namen und einen umgebauten Tresor. Dazu kommen ein Menü, das Sie sich einrichten können, und schnellere Listen. Zuerst geht es um den Tresor.

Zuerst das Wichtigste: Passkeepr startet leer

Der Tresor von COD hieß bisher Stronghold. Ab 3.8.0 heißt er Passkeepr, in COD und in der Browser-Erweiterung.

Mit COD 3.8 startet jede Passkeepr-Datenbank leer. Eine automatische Übernahme aus Stronghold gibt es nicht. Einträge tragen Sie neu ein oder lesen sie über den Import ein. Die COD-Benutzer und die Codes im alten OTP-Modul bleiben.

Was das für Sie heißt:

• Passkeepr richten Sie nach dem Update ein. Sie wählen ein Master-Kennwort und bekommen ein Emergency Kit.
• Für die Einrichtung hat sich diese Reihenfolge bewährt: zuerst das Manager-Konto von COD, dann die Keepr admins, dann alle anderen.
• Der Import in Passkeepr liest Dateien aus Bitwarden, 1Password, KeePass, sysPass, CSV und JSON, auch passwortgeschützte. So kommen Einträge aus anderen Werkzeugen nach Passkeepr. Passkeys aus Bitwarden bringt er seit 3.8.1 mit, und seit 3.8.2 sortiert er Einträge nach den Gruppen der Datei in mehrere Tresore.

Wer COD selbst betreibt, achtet auf den Weg des Updates. apt upgrade stellt jeden Host selbst auf das neue Paket cod-passkeepr um. apt-get upgrade hält dieses Release zurück, weil es ein neues Paket ist. Dort läuft das Update mit apt full-upgrade. Die Schritte stehen im Installationsleitfaden unter „The update to 3.8.0“. Das Übergangspaket cod-stronghold bleibt installiert und wird nicht von Hand entfernt. Die alten Ordner unter /etc/cod-stronghold und /var/lib/cod-stronghold räumt das Update ab.

Was Passkeepr ist

Passkeepr ist der Team-Tresor in COD. Sie legen Logins, SSH-Schlüssel, Karten und WLAN-Kennwörter in Tresoren ab, teilen Tresore mit Kolleginnen und Kollegen und füllen Logins mit der Browser-Erweiterung in Webseiten ein.

Der Browser oder die Erweiterung ver- und entschlüsselt alles. Der Passkeepr-Server speichert nur Chiffretext und versiegelte Schlüssel, die er nicht öffnen kann. Eine Ausnahme ist gewollt: Einen Enterprise Vault kann zusätzlich das Organisationskonto öffnen. Der Server weiß, wer in welchem Tresor ist und mit welcher Rolle. Namen von Tresoren, Titel, Adressen, Kunden, Kennwörter und Notizen kennt er nicht.

Es gibt drei Arten von Tresoren:

• Personal: nur für Sie.
• Shared: für mehrere Personen. Er endet mit seinem letzten Mitglied.
• Enterprise: gehört der Organisation und bleibt, wenn Personen gehen. Zwei oder mehr Keepr admins führen ihn. Nur ein Keepr admin oder das Manager-Konto legt ihn an.

Bei der Einrichtung vergeben Sie ein Master-Kennwort. Passkeepr zeigt Ihnen danach das Emergency Kit. Es enthält eine Wiederherstellungsphrase aus 24 Wörtern und den Secret Key. Mit der Phrase setzen Sie ein neues Master-Kennwort, wenn Sie das alte vergessen haben. Der Secret Key schaltet ein neues Gerät frei. Bewahren Sie das Kit außerhalb von COD auf.

Neu in Passkeepr

• Enterprise Vaults und Keepr admins. Das Manager-Konto oder ein Keepr admin macht einen COD-Admin mit „Make Keepr admin“ zum Keepr admin. Das Konto fragt beim Anmelden nach einer Passkeepr-Adresse. Nehmen Sie ein Rollenpostfach, denn die Adresse lässt sich nicht mehr ändern.
• Archivieren und Wiederherstellen. Archivierte Einträge und Tresore warten unter „Archived“ mit dem Grund, den Sie angegeben haben. Persönliche und geteilte Einträge stellen Sie selbst wieder her, für alles andere schicken Sie eine Anfrage. Löschen geht erst 30 Tage nach dem Archivieren. Passkeepr löscht nie von selbst nach Zeit.
• Umstieg auf Enterprise Vaults. Mit der Einstellung „Only enterprise vaults“ beginnt ein Übergangsfenster, standardmäßig 30 Tage. Tresore, in denen nur eine Person ist, werden schreibgeschützt. Einträge, die bleiben sollen, gehen per Anfrage an das Manager-Konto. Nach dem Fenster öffnen nur noch Enterprise Vaults.
• Import, Offline-Kopien, Einmalcodes. Der Import liest die oben genannten Formate. Wenn ein Keepr admin es erlaubt, speichert „Download for offline“ ausgewählte Einträge als passwortgeschützte Datei, die ohne Netz zu öffnen ist. Das ist ab Werk aus. Einmalcodes liegen am Eintrag, die Erweiterung liefert sie.
• Audit. Unter „Admin Area, Passkeepr“ sehen Keepr admins, wer was getan hat. „Check now“ prüft, ob Einträge entfernt oder umgeschrieben wurden. Fehlende oder geänderte Einträge zeigt Passkeepr als rote Zeile, bis das Manager-Konto sie mit Begründung annimmt. Gegen einen übernommenen Passkeepr-Prozess oder Host hilft die Kette nicht. Die Grenzen stehen im Handbuch.
• Suche und Filter. „username=jane“ sucht in einem Feld. OR, AND und Anführungszeichen verknüpfen Begriffe, „!=“ schließt einen Wert aus.
• Browser-Erweiterung. Sie installieren sie über Passkeepr und bestätigen die Verbindung mit Ihrem COD-Kennwort. Eine Freigabe gilt für alle Standorte. Die Erweiterung füllt Logins und Passkeys aus und fragt bei Passkeys in einem eigenen Fenster. Sie ist ein neues Add-on. Alte Fassungen fordern zum Update auf. COD 3.8.2 verlangt mindestens die Fassung 3.3.2, und sie läuft weiter. COD 3.8.5 bringt die Fassung 3.3.5 mit, große Tresore mit Tausenden Logins brauchen sie. Wer unter Firefox noch 3.3.0 hat, entfernt sie und installiert die neue aus Passkeepr. Sie braucht Chrome 137 oder neuer, bei Firefox gilt Version 140.

Das alte OTP-Modul bleibt

Das OTP-Modul ist in COD 3.8 weiter Teil von COD. Es ist nicht abgekündigt. Passkeepr hat Einmalcodes eingebaut. Die Codes aus dem OTP-Modul wandern einmal nach Passkeepr. Ohne „Only enterprise vaults“ geschieht das beim Entsperren in einen eigenen Tresor „Old OTP“. Mit der Einstellung zeigt Passkeepr oben die Zeile „Import“, und Keepr admins legen unter „Admin, Old OTP“ Tresore für die alten Gruppen an. Der zweite Faktor für die Anmeldung an COD ist etwas anderes und wird davon nicht berührt.

Sonst neu in 3.8.0

• Menü mit Favoriten und Farben. Ein Rechtsklick auf eine Seite legt sie oben unter „Favourites“ ab. Gruppen und Seiten bekommen eine von acht Farben. Der Stift unten links startet den Bearbeitungsmodus.
• Schnellere Listen. Lange Listen in GRC, Network, Assets, NAC, Backup, Monitoring, Firewall und Reports laden seitenweise und suchen auf dem Server. Das Dashboard zählt auf dem Server und lädt nicht mehr jede Zeile.
• Schnellerer Start. COD zeigt Name, Farben und Logo Ihrer Installation sofort. Eine Seite wartet nicht mehr auf die Erneuerung der Sitzung.
• Admin Area in neuer Optik. Jede Seite nutzt die ganze Breite, die Kopfzeile mit „Save“ bleibt beim Scrollen sichtbar.
• Korrekturen. Eine Firewall lässt sich jetzt mit ihrem eigenen CA-Zertifikat speichern. PDF-Exporte drucken die Beschriftung von Mermaid-Diagrammen wieder. Dazu kommen Sicherheitskorrekturen. Die Einzelheiten stehen in COD im Fenster „What's New“.

Neu in 3.8.3 bis 3.8.5

• Import aus sysPass je Gruppe. Seit 3.8.3 liest der sysPass-Import eine Gruppendatei aus der sysPass-Datenbank und legt jede sysPass-Gruppe in einen eigenen Tresor. Seit 3.8.4 bekommt dabei jede Gruppe von sich aus einen neuen geteilten Tresor, außer Passkeepr erlaubt nur Enterprise Vaults.
• Tresor-Admins. Seit 3.8.3 prüfen Passkeepr und COD genauer, wem ein Enterprise Vault gehört. Ein entfernter Admin behält keinen Weg, für den Tresor zu unterschreiben. Als Admin bietet Passkeepr beim Teilen nur Keepr admins an, die Passkeepr eingerichtet haben.
• Große Importe. Seit 3.8.4 laufen große Importe ohne Pause und ohne „Too many requests“ durch.
• Browser-Erweiterung. COD 3.8.5 bringt die Fassung 3.3.5 mit, Sie installieren sie aus Passkeepr. Die Fassung 3.3.2 läuft weiter, große Tresore mit Tausenden Logins brauchen 3.3.5.

Neu in 3.8.1 und 3.8.2

• Import. Ein Bitwarden-Import bringt seit 3.8.1 die Passkeys der Logins mit. Seit 3.8.2 sortiert der Import Einträge nach den Gruppen der Datei, zum Beispiel nach Bitwarden-Ordner, Kunde oder KeePass-Gruppe, in mehrere Tresore. Große Importe laufen in Blöcken zu je 100 Einträgen.
• Keepr admins. Seit 3.8.1 macht auch ein Keepr admin andere COD-Admins zu Keepr admins. Ein Enterprise Vault hat seit 3.8.2 zwei oder mehr Admins. Einen Admin entfernen zwei Personen gemeinsam: Ein Admin fragt, ein zweiter Admin oder das Manager-Konto bestätigt. Auch das Manager-Konto allein kann es. Mindestens zwei Admins bleiben.
• Einladungen, Notizen, Anmeldefeld. Den Zugriff einer offenen Einladung ändern Sie unter „Manage vault“, bis sie benutzt ist. Jeder Eintrag hat ein Notizfeld. Der Feldtyp „COD sign-in“ sagt der Erweiterung, welchen Anmeldereiter von COD sie füllt.
• Browser-Erweiterung. COD 3.8.2 verlangt mindestens die Fassung 3.3.2, und sie läuft weiter. COD 3.8.5 bringt die Fassung 3.3.5 mit, große Tresore mit Tausenden Logins brauchen sie.
• Benutzer in der Admin Area. Ein neuer Benutzer ohne Passwort bekommt eine Einladung. „Send set-password link“ gilt für jedes lokale Konto, der Link ist einmal gültig. COD schreibt einem lokalen Konto, wenn sich Passwort oder Mailadresse ändern.

Was Passkeepr nicht tut

Passkeepr hindert niemanden daran, zu kopieren, was er lesen darf. Wer einen Tresor verlässt, behält, was er gesehen hat. Nach einem feindlichen Abgang ändern Sie die Zugangsdaten bei den Systemen selbst. Eine Offline-Kopie lässt sich nicht zurückrufen. Passkeepr löscht nichts nach Zeit.

Zusammenfassung zum Mitnehmen

1. Passkeepr startet nach dem Update leer.
2. Betreiber aktualisieren mit apt full-upgrade, wenn apt-get upgrade das Release zurückhält.
3. Danach richten alle ihr Master-Kennwort und ihr Emergency Kit ein.
4. Das alte OTP-Modul bleibt.

Welche Funktionen Ihr Vertrag umfasst, ergibt sich allein aus der Leistungsbeschreibung in der Fassung, die für Ihren Vertrag gilt.

Ansehen

Die Demo läuft auf COD 3.8 mit den Daten eines erfundenen Industriebetriebs. In der offenen Demo sehen Sie den Menüpunkt und die Entsperrmaske. Einrichten lässt sich Passkeepr dort nicht. Das Bild zeigt den Tresor der Demo mit Beispieldaten. Zeigen lassen können Sie ihn in einer persönlichen Vorführung.

• Demo: cod.demo.extocode.com, Zugangsdaten auf extocode.com/demo
• Persönliche Vorführung: Kontakt
• Vorgängerbeitrag zu Stronghold: COD 3.6: Stronghold und TACACS+

extocode GmbH · Central Operations Dashboard