--- title: "Datenbank-Anmeldung ohne gespeichertes Passwort (Windows-integrierte Authentifizierung)" description: "Wie portier Vision sich über die Windows-Identität des angemeldeten Nutzers ohne gespeichertes Passwort mit Microsoft SQL Server verbindet, was das Dienstkonto der geplanten Aufgaben dafür braucht und wo die Grenzen liegen." url: https://help.portiervision.com/de/articles/124-datenbank-anmeldung-ohne-gespeichertes-passwort-windows-integrierte-authentifizierung collection: "Integrationen & IT-Einrichtung" updated: 2026-08-28 language: de alternates: [en, fr] --- # Datenbank-Anmeldung ohne gespeichertes Passwort (Windows-integrierte Authentifizierung) Wie portier Vision sich über die Windows-Identität des angemeldeten Nutzers ohne gespeichertes Passwort mit Microsoft SQL Server verbindet, was das Dienstkonto der geplanten Aufgaben dafür braucht und wo die Grenzen liegen. ## Worum es geht portier Vision speichert das Datenbank-Passwort standardmäßig verschlüsselt in der Datei `portiervision.ini` auf dem jeweiligen Rechner. In manchen Umgebungen soll überhaupt kein Datenbank-Passwort abgelegt werden, etwa auf Citrix- und Terminalservern, in geteilten Sitzungen, auf Golden Images oder in sicherheitsgeprüften Umgebungen. Für diese Fälle gibt es mit Microsoft SQL Server die integrierte Anmeldung. portier Vision meldet sich dann mit der Windows-Identität des angemeldeten Nutzers an der Datenbank an. Es wird kein Passwort gespeichert und keines übertragen. Nicht zu verwechseln mit der Anmeldung an portier Vision selbst. Wie Sie das Programm über Ihre Windows-Kennung ohne zusätzliches Passwort öffnen, steht unter [Single Sign-On (SSO)](https://help.portiervision.com/de/articles/108-single-sign-on-sso.md). ## Für wen das gedacht ist - Citrix-, Terminalserver- und Golden-Image-Umgebungen, in denen keine Anmeldedaten im Profil liegen sollen - Sicherheitsgeprüfte IT-Umgebungen, die gespeicherte Dienst-Passwörter vermeiden - Organisationen, die den Datenbankzugriff über ihre vorhandenen Windows- bzw. Active-Directory-Gruppen steuern ## Voraussetzungen - Der Rechner ist in die Active-Directory-Domäne aufgenommen. - In Microsoft SQL Server ist eine Anmeldung für den Windows-Nutzer oder, besser, für eine AD-Gruppe angelegt. - Diese Anmeldung hat auf der portier-Datenbank die Rollen `db_datareader`, `db_datawriter` und `db_ddladmin`. `db_ddladmin` erlaubt portier Vision, bei einem Upgrade seine Schema-Aktualisierungen einzuspielen. Nicht `sysadmin`, nicht `db_owner`. ## Einrichtung 1. Öffnen Sie den portier Vision Companion und wechseln Sie auf **Datenbankkonfiguration**. 2. Wählen Sie als **Datenbanktyp** den Eintrag **Microsoft SQL Server - Windows-Anmeldung**. Die Felder für Benutzername und Passwort entfallen damit. 3. Tragen Sie **Host**, **Datenbankname** und **Schema** ein. Ein abweichender Port gehört mit Komma an den Host, zum Beispiel `sqlhost, 1444`. Zum Host-Format siehe [Verbindung mit Microsoft SQL Server](https://help.portiervision.com/de/articles/116-verbindung-von-portier-companion-mit-microsoft-sql-server-korrekte-host-konfiguration.md). 4. Führen Sie **Verbindung testen** aus. Bei Erfolg **Konfiguration speichern**. Der Companion setzt damit `DBLOGIN=1` im Abschnitt `[Database]` der `portiervision.ini`. portier Vision verbindet sich von da an als der angemeldete Windows-Nutzer (Trusted Connection über Kerberos oder NTLM). Ein Passwort wird nicht in die Datei geschrieben. ## Prüfen - Öffnen Sie die `portiervision.ini`. Im Abschnitt `[Database]` steht `DBLOGIN=1`, `DBPASSWORD` ist leer, und die Einträge `DBPASSWORDENCRYPTED` und `DBSHAREDKEY` fehlen. - Starten Sie portier Vision. Die Datenbankverbindung kommt zustande, ohne dass nach einem Datenbank-Passwort gefragt wird. - Der Zugriff erfolgt unter der Windows-Identität des angemeldeten Nutzers. ## Geplante Aufgaben laufen unter einem eigenen Konto Zur Installation gehört ein drittes Programm ohne Oberfläche, `companion-services.exe`. Es erledigt die geplanten Hintergrundaufgaben, also Erinnerungs-E-Mails, Entra-ID-Abgleich, geplanten Personalimport und Datenaufbewahrung. Es liest dieselbe `portiervision.ini`. Gestartet wird es von einer Windows-Aufgabe, standardmäßig `PortierCompanionServices`. Diese Aufgabe legt nicht das Installationsprogramm an, sondern das Skript `Register-CompanionTask.ps1` im Ordner `companion` des Installationsverzeichnisses. Dabei bestimmen Sie das Dienstkonto, unter dem die Aufgabe läuft. Für die Datenbank zählt genau dieses Konto. Mit `DBLOGIN=1` meldet sich `companion-services.exe` unter dem Dienstkonto an, nicht unter Ihrer Kennung. Das Dienstkonto oder seine AD-Gruppe braucht deshalb dieselbe SQL-Server-Anmeldung und dieselben drei Rollen wie die Nutzer. Fehlt sie, läuft Vision am Bildschirm einwandfrei, während jede geplante Aufgabe die Datenbank nicht erreicht. Prüfen lässt sich das direkt. Melden Sie sich an der Maschine mit dem Dienstkonto an und starten Sie `companion-services.exe --once` aus dem Installationsverzeichnis. Rückgabewert 0 heißt, die Startdiagnose hat die Datenbank erreicht. Im Aufgaben-Bereich des Companion erscheint außerdem ein Hinweisbanner, sobald eine geplante Aufgabe ihren Termin verpasst hat oder fehlgeschlagen ist. Mit gespeichertem Passwort ist dieser Punkt heikler. Das Passwort in der `portiervision.ini` ist standardmäßig an das Windows-Konto gebunden, das es gespeichert hat, und die geplante Aufgabe läuft nur, wenn dasselbe Konto die Verbindung eingerichtet hat. Die integrierte Anmeldung nimmt diese Bindung weg und verlangt dafür die SQL-Server-Anmeldung für das Dienstkonto. ## Empfehlung: Anmeldung mit minimalen Rechten Legen Sie die Datenbank-Anmeldung für portier Vision mit den geringstmöglichen Rechten an: `db_datareader` und `db_datawriter` für den laufenden Betrieb, dazu `db_ddladmin`, damit portier Vision bei einem Upgrade seine Schema-Aktualisierungen einspielen kann. `sysadmin` oder `db_owner` sind nicht erforderlich und sollten nicht vergeben werden. Ohne `db_ddladmin` besteht die Anmeldung zwar die Berechtigungsprüfung beim Start, das nächste Versions-Upgrade bleibt aber bei der ersten Schemaänderung stehen. Am einfachsten steuern Sie den Zugriff über eine eigene AD-Gruppe und nehmen die berechtigten Nutzer dort auf. Auf Citrix- und Terminalservern teilen sich viele Nutzer eine Installation, jeder verbindet sich aber unter seiner eigenen Windows-Identität. Die AD-Gruppe deckt dann alle ab, ohne dass Sie jede Anmeldung einzeln anlegen. Nehmen Sie das Dienstkonto der geplanten Aufgaben in dieselbe Gruppe auf. ## Was nicht unterstützt wird Die integrierte Anmeldung setzt Microsoft SQL Server und eine Windows-Domänenidentität voraus. In zwei Fällen ist sie nicht möglich: - **Firebird:** Die mitgelieferte Firebird-Datenbank kennt keine Windows-integrierte Anmeldung. Hier bleibt ein verschlüsselt gespeichertes Passwort in der `portiervision.ini`. - **SQL Server ohne Domäne (Arbeitsgruppe):** Ohne Domänenidentität gibt es nichts, womit man sich integriert anmelden könnte. Auch hier bleibt ein verschlüsselt gespeichertes Passwort. Für den SQL-Server-Fall sollte diese gespeicherte Anmeldung weiterhin minimale Rechte haben: `db_datareader`, `db_datawriter` und `db_ddladmin`. ## Sicherheitsgewinn Mit der integrierten Anmeldung liegt kein wiederherstellbares Datenbank-Passwort vor, weder in der `portiervision.ini` noch im Arbeitsspeicher des Programms. Die Anmeldung erfolgt allein über die Windows-Identität des Nutzers. * * * **Weiterführend:** [portier Vision Installationsanleitung](https://help.portiervision.com/de/articles/110-portier-vision-installationsanleitung-ab-version-531.md) und [Verbindung mit Microsoft SQL Server](https://help.portiervision.com/de/articles/116-verbindung-von-portier-companion-mit-microsoft-sql-server-korrekte-host-konfiguration.md).