IT-Sicherheit
Secrets Management / Vault
Secrets Management ist die zentrale, abgesicherte Verwaltung von Maschinen-Geheimnissen (API-Keys, DB-Credentials, Zertifikate); Referenz: Vault und Fork OpenBao.
- Zentrale Geheimnis-Verwaltung
- Dynamische, kurzlebige Credentials
- Secret Engines, Auth Methods
- Audit-Trail, Leases/TTL
- Vault (BUSL) / OpenBao (MPL-2.0)
Secrets Management verwaltet zentral die Geheimnisse, die Anwendungen und Dienste brauchen: API-Schlüssel, Datenbank-Zugangsdaten, Zertifikate, Tokens. Das Gegenproblem ist der „Secret Sprawl“, Geheimnisse, die verstreut in Quellcode, Konfigurationsdateien, Umgebungsvariablen und Git-Historien landen und dort oft jahrelang gültig bleiben.
Dieser Artikel erklärt die Abgrenzung zum Passwortmanager, die Architektur von HashiCorp Vault als Referenz, Secret Engines und Authentifizierungsmethoden, das Kernkonzept dynamischer Secrets mit Lease und Widerruf, die Verschlüsselung als Dienst sowie die Lizenzlage rund um Vault und den Fork OpenBao.
1. Maschine statt Mensch
Die wichtigste Abgrenzung vorweg: Ein Passwortmanager (wie Passbolt, eigener Artikel) ist für Menschen, die interaktiv Zugangsdaten verwalten. Ein Secrets Manager ist für Maschinen: Anwendungen, Dienste und CI/CD-Pipelines authentifizieren sich programmatisch und holen ihre Geheimnisse zur Laufzeit über eine API, statt sie fest zu hinterlegen. Das Ziel ist, Geheimnisse aus Code und Konfiguration herauszuhalten.
2. Vault-Architektur
HashiCorp Vault ist die Referenz. Hinter einer Sicherheitsbarriere verschlüsselt es alle Daten, bevor sie in ein (als nicht vertrauenswürdig behandeltes) Storage-Backend geschrieben werden. Beim Start ist Vault „versiegelt“ (sealed) und kann nichts entschlüsseln; das Unseal rekonstruiert den Hauptschlüssel, klassisch über das Shamir-Verfahren (mehrere Teilschlüssel, von denen ein Mindestquorum nötig ist) oder automatisch über ein Cloud-KMS/HSM. Dieses Unseal-Verhalten macht Vault zu einem bewusst geschützten, aber auch betriebskritischen System.
3. Secret Engines und Auth Methods
Vault ist modular. Secret Engines erzeugen, speichern oder verschlüsseln Geheimnisse je nach Typ: KV für statische Schlüssel-Wert-Paare, die Datenbank-Engine für dynamisch erzeugte DB-Zugangsdaten, PKI für Zertifikate (Querverweis PKI/TLS) und Transit für Verschlüsselung als Dienst. Auth Methods regeln, wie sich Clients ausweisen, für Maschinen etwa über AppRole, die Kubernetes-Identität oder OIDC. Policies vergeben Rechte pfadgenau nach dem Prinzip „standardmäßig verboten“.
4. Dynamische Secrets: der Kernvorteil
Der größte Sicherheitsgewinn sind dynamische Secrets: Statt eines statischen Datenbank-Passworts, das alle Dienste teilen, erzeugt Vault auf Anfrage ein kurzlebiges, einzigartiges Zugangskonto mit einer Laufzeit (Lease/TTL) und löscht es nach Ablauf automatisch. Jeder Dienst bekommt eigene Credentials, das macht den Audit-Trail eindeutig und begrenzt den Schaden einer Kompromittierung zeitlich. Über die Revocation lassen sich im Vorfall alle Geheimnisse eines Pfads in einem Schritt zurückziehen.
Statische Geheimnisse, die ewig gelten, sind das eigentliche Risiko. Dynamische, kurzlebige Credentials drehen den Spieß um: Ein geleaktes Secret ist nach Minuten wertlos.
5. Verschlüsselung als Dienst und Audit
Die Transit-Engine bietet Verschlüsselung als Dienst: Anwendungen schicken Klartext an Vault und erhalten Chiffretext zurück, ohne selbst Krypto-Code und Schlüssel verwalten zu müssen, Vault speichert die Daten dabei nicht. Ergänzend protokollieren Audit Devices jeden Zugriff; Vault verweigert sogar Operationen, wenn kein Audit-Ziel erreichbar ist. Das ergibt einen lückenlosen Nachweis, wer wann welches Geheimnis bezogen hat.
6. Lizenz: Vault und OpenBao
Ein wichtiger Punkt für die Werkzeugwahl: HashiCorp hat Vault 2023 von einer Open-Source-Lizenz auf die quellverfügbare, aber nicht quelloffene BUSL umgestellt (seit 2025 ist HashiCorp Teil von IBM). Als Reaktion entstand OpenBao, ein quelloffener Fork (MPL-2.0), inzwischen Projekt der OpenSSF unter dem Dach der Linux Foundation, weitgehend API-kompatibel zu Vault. Für den reinen Eigenbetrieb ist die BUSL meist unproblematisch; wer offene Lizenzierung braucht oder Hersteller-Bindung vermeiden will, hat mit OpenBao eine etablierte Alternative.
7. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Zentrale, auditierbare Verwaltung aller Maschinengeheimnisse | Vault selbst ist hochkritisch und hochverfügbarkeitspflichtig |
| Dynamische, kurzlebige Credentials begrenzen Schäden | Unseal-Handling nach Neustart als Betriebsrisiko |
| Verschlüsselung als Dienst (Transit) entlastet Anwendungen | Betriebskomplexität (Storage, HA, Backup, Upgrades) |
| Breite Integrationen (Kubernetes, CI/CD, Cloud) | Lizenzfrage: Vault BUSL ist nicht Open Source |
| OpenBao als quelloffene Alternative (MPL-2.0) | kein Ersatz für menschliche Passwortmanager |
Häufige Fragen zu Secrets Management / Vault
Ein Passwortmanager (wie Passbolt) ist für Menschen, die interaktiv ihre Zugangsdaten speichern und teilen. Ein Secrets Manager (wie Vault oder OpenBao) ist für Maschinen: Anwendungen, Dienste und CI/CD-Pipelines authentifizieren sich programmatisch und beziehen Geheimnisse, idealerweise kurzlebig und dynamisch erzeugt, zur Laufzeit über eine API. Beide lösen unterschiedliche Probleme und ergänzen sich; ein Passwortmanager ist kein Ersatz für Maschinen-Secrets-Management und umgekehrt.
HashiCorp hat Vault 2023 von der quelloffenen MPL-2.0 auf die Business Source License (BUSL) umgestellt, eine quellverfügbare, aber nicht im OSI-Sinne quelloffene Lizenz; seit 2025 gehört HashiCorp zu IBM. Als Reaktion entstand OpenBao, ein quelloffener Fork unter MPL-2.0, inzwischen Projekt der OpenSSF unter dem Dach der Linux Foundation, der weitgehend API-kompatibel zu Vault ist. Für den reinen Eigenbetrieb ist die BUSL meist unproblematisch; wer eine echte Open-Source-Lizenz oder Unabhängigkeit von IBM braucht, wählt OpenBao.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
Secrets Management / Vault im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.