Secrets Management in der Praxis — HashiCorp Vault, SOPS und sichere Verwaltung von Geheimnissen

Jede moderne Anwendung arbeitet mit Geheimnissen — Datenbankzugangsdaten, API-Schlüssel, TLS-Zertifikate, Verschlüsselungsschlüssel, Drittanbieter-Tokens. Dennoch begegnen wir immer noch Unternehmen, die Passwörter hart im Code haben, .env-Dateien in Git committen oder über Slack teilen. Im Jahr 2026 ist das der schnellste Weg zu einem Sicherheitsvorfall.

Secrets Management ist nicht nur die Frage „wohin mit dem Passwort”. Es ist eine komplexe Disziplin, die sichere Speicherung, Verteilung, Rotation, Audit und Widerruf von Geheimnissen über den gesamten Anwendungslebenszyklus umfasst.

Warum Secrets Management kritisch ist¶

Geheimnisleck = offene Türen¶

Laut einer GitGuardian-Studie erschienen 2025 über 12 Millionen neue Geheimnisse in öffentlichen Repositories auf GitHub. AWS-API-Schlüssel, Datenbankpasswörter, private Schlüssel — alles frei zugänglich für jeden.

Konsequenzen eines Geheimnislecks: - Finanzielle Verluste — Angreifer mit AWS-Schlüsseln können innerhalb von Stunden Zehntausende Dollar in Kryptowährungen schürfen - Datenschutzverletzung — Datenbankzugangsdaten führen direkt zu Kundendaten - Compliance-Verstöße — DSGVO, NIS2, DORA verlangen den Schutz von Zugangsdaten - Reputationsschaden — öffentliche Geheimnislecks signalisieren die Reife der Sicherheitskultur

Architektur des Secrets Management¶

Grundprinzipien¶

Zentralisierte Speicherung — Geheimnisse leben an einem Ort, nicht über Konfigurationen, CI/CD-Variablen und Confluence-Notizen verstreut.

Verschlüsselung at rest und in transit — Geheimnisse sind immer verschlüsselt, nicht nur während der Übertragung.

Least-Privilege-Zugriff — jeder Service, Benutzer oder Pipeline hat nur Zugriff auf die Geheimnisse, die tatsächlich benötigt werden.

Automatische Rotation — Schlüssel und Passwörter ändern sich regelmäßig ohne manuelle Eingriffe.

Audit Trail — jeder Zugriff auf Geheimnisse wird protokolliert — wer, wann, woher.

Widerruf — Möglichkeit, kompromittierte Geheimnisse sofort ungültig zu machen.

Dynamische Geheimnisse — statt statischer Passwörter temporäre Zugangsdaten mit begrenzter Gültigkeit generieren.

HashiCorp Vault — der De-facto-Standard¶

HashiCorp Vault ist die am weitesten verbreitete Open-Source-Lösung für Secrets Management.

Was Vault kann¶

Secret Engines — pluggable Backends für verschiedene Arten von Geheimnissen: - kv (Key-Value) — klassische Geheimnisspeicherung - database — dynamische Generierung von Datenbankzugangsdaten - pki — eigene Certificate Authority für TLS-Zertifikate - aws / azure / gcp — dynamische Cloud-Zugangsdaten - transit — Encryption as a Service (Verschlüsselung ohne Offenlegung des Schlüssels) - ssh — signierte SSH-Zertifikate statt statischer Schlüssel

Dynamische Geheimnisse — Game Changer¶

Statische Passwörter sind wie Wohnungsschlüssel: Sobald jemand sie kopiert, hat er für immer Zugang. Dynamische Geheimnisse eliminieren dieses Problem. Vault kann Datenbankzugangsdaten on-the-fly mit begrenzter Gültigkeit generieren. Jede Anfrage generiert einen einzigartigen Benutzernamen und ein Passwort, gültig für 1 Stunde. Nach Ablauf widerruft Vault die Zugangsdaten automatisch.

Mozilla SOPS — Verschlüsselung für GitOps¶

Nicht jede Organisation braucht (oder will) einen vollen Vault-Cluster betreiben. Für kleinere Teams oder als Ergänzung zu Vault gibt es Mozilla SOPS (Secrets OPerationS). SOPS verschlüsselt Werte in YAML-, JSON- oder ENV-Dateien, während Schlüssel lesbar bleiben. Dies ermöglicht das Committen verschlüsselter Geheimnisse direkt in Git bei gleichzeitiger Sichtbarkeit der Konfigurationsstruktur.

External Secrets Operator — Brücke zwischen Welten¶

External Secrets Operator (ESO) löst ein häufiges Problem: Anwendungen in Kubernetes erwarten klassische Secret-Objekte, aber Geheimnisse leben in Vault, AWS Secrets Manager oder Azure Key Vault. ESO erstellt und synchronisiert Kubernetes Secrets aus externen Quellen.

Secrets in CI/CD-Pipelines¶

CI/CD-Pipelines sind kritische Punkte — sie brauchen Zugriff auf Geheimnisse für das Deployment, sind aber gleichzeitig Hochrisiko-Umgebungen.

CI/CD-Prinzipien¶

1. Niemals Geheimnisse loggen — Maskierung in Logs reicht nicht, besser Geheimnisse gar nicht als Variablen exponieren
2. Kurzlebige Tokens — Vault AppRole mit 15-Minuten-TTL für Pipelines
3. Isolation pro Umgebung — Staging-Pipeline hat keinen Zugriff auf Produktionsgeheimnisse
4. OIDC-Föderierung — GitHub Actions und GitLab CI unterstützen OIDC-Tokens, die gegen Vault-/Cloud-Zugangsdaten ohne statische Secrets getauscht werden können

Geheimnis-Rotation — Automatisierung ist der Schlüssel¶

Manuelle Passwort-Rotation ist zum Scheitern verurteilt. Entweder wird sie gar nicht durchgeführt oder sie verursacht Ausfälle durch veraltete Konfigurationen.

Rotationsstrategien¶

Vault Dynamic Secrets — am elegantesten. Geheimnisse werden nicht vorab generiert, sondern on-demand mit begrenzter Gültigkeit. Rotation ist implizit.

Blue-Green-Rotation — für Geheimnisse, die nicht atomar rotiert werden können.

Cloud-native Alternativen¶

Vault ist nicht immer die richtige Wahl. Wenn Sie komplett auf einer Cloud sind, können native Services einfacher sein: Azure Key Vault, AWS Secrets Manager oder GCP Secret Manager.

Unsere Empfehlung: Vault für Multi-Cloud und komplexe Umgebungen, Cloud-native Lösungen für Single-Cloud mit einfachen Anforderungen.

Fazit¶

Secrets Management ist kein sexy Thema — bis es eines wird. Ein API-Schlüssel-Leck, ein Datenbankpasswort oder ein privates Zertifikat können fatale Folgen haben. Die Investition in die richtige Lösung zahlt sich vielfach zurück.

Wichtige Erkenntnisse: - Zentralisieren — ein Ort für alle Geheimnisse - Rotation automatisieren — manuelle Rotation funktioniert nicht - Dynamische Geheimnisse verwenden wo möglich — eliminiert das Leck-Problem - Code scannen — Pre-commit Hooks fangen Fehler ab, bevor sie in Git landen - Auditieren — jeden Zugriff loggen, Alerting einrichten

Bei CORE SYSTEMS implementieren wir Secrets Management als Teil jedes Projekts. Sicherheit ist kein Add-on — es ist das Fundament. Wenn Sie die Verwaltung von Geheimnissen in Ihrer Organisation angehen, kontaktieren Sie uns — wir helfen gerne bei Architektur und Implementierung.

---

Brauchen Sie Hilfe mit Secrets Management oder der gesamten Sicherheitsarchitektur? Schauen Sie sich unsere Security-Services an oder kontaktieren Sie uns direkt.