Was ist Geheimverwaltung?

Geheimnismanagement ist die Praxis des sicheren Speicherns, Verteilens, Rotierens und Prüfens der digitalen Anmeldeinformationen (Passwörter, API-Schlüssel, Token, SSH-Schlüssel und Zertifikate), die Menschen, Anwendungen und Dienste zur Authentifizierung gegenüber Systemen und untereinander verwenden.

Geheimnismanagement umfasst die Werkzeuge und Verfahren zur sicheren Speicherung, zum Zugriff, zur Rotation und zur Überprüfung digitaler Zugangsdaten wie Passwörter, API-Schlüssel, Token, SSH-Schlüssel und Zertifikate. Es ersetzt fest codierte und verteilte Zugangsdaten durch einen zentralen, verschlüsselten Tresor, der das Prinzip der minimalen Berechtigungen für menschliche Benutzer und Maschinenidentitäten durchsetzt.

Wichtige Erkenntnisse

• Zu den Geheimnissen gehören Passwörter, API-Schlüssel, Token, SSH-Schlüssel, Datenbankzugangsdaten und private Schlüssel von TLS-Zertifikaten, die von Menschen und zunehmend auch von Maschinen und KI-Agenten verwendet werden.
• Der Bericht „State of Secrets Sprawl 2026“ von GitGuardian ergab, dass im Jahr 2025 28.65 Millionen neue, fest codierte Geheimnisse auf öffentlichen GitHub-Plattformen vorhanden waren – ein Anstieg von 34 Prozent gegenüber 2024.
• Maschinenidentitäten übertreffen menschliche Identitäten im Verhältnis 82 zu 1 (CyberArk 2025 Identity Security Landscape), daher dienen die meisten Geheimnisse heute der Authentifizierung von Anwendungen und nicht von Personen.
• Kubernetes Secrets sind Base64-kodiert, nicht verschlüsselt, und liegen unverschlüsselt in etcd, sofern keine Verschlüsselung im Ruhezustand konfiguriert ist.
• Ein effektives Programm kombiniert einen zentralen Datenspeicher, automatische Rotation, kurzlebige dynamische Anmeldeinformationen, Zugriff nach dem Prinzip der minimalen Berechtigungen, geheime Überprüfung und Audit-Protokollierung.

Warum ist die Geheimhaltung wichtig?

Geheimnismanagement ist wichtig, weil gestohlene oder durchgesickerte Zugangsdaten eine der häufigsten Methoden sind, mit denen Angreifer sich den ersten Zugang verschaffen, und die Anzahl der verwendeten Geheimnisse auf Maschinenebene ständig zunimmt.

Das Problem des Ausmaßes ist messbar. Laut dem Bericht „State of Secrets Sprawl 2026“ von GitGuardian wurden 2025 28.65 Millionen neue, fest codierte Geheimnisse auf dem öffentlichen GitHub-Repository hinterlegt – ein Anstieg von 34 Prozent gegenüber 2024. Derselbe Bericht ergab, dass 64 Prozent der 2022 als gültig bestätigten Geheimnisse im Januar 2026 immer noch angreifbar waren. Das bedeutet, dass die meisten durchgesickerten Zugangsdaten nie aktualisiert oder widerrufen werden. CyberArks „Identity Security Landscape 2025“ beziffert das Verhältnis von Maschinenidentitäten zu menschlichen Identitäten auf 82 zu 1. Die meisten dieser Zugangsdaten dienen also der Authentifizierung von Anwendungen und Diensten und nicht von Personen.

Durchgesickerte Geheimnisse führen direkt zu Sicherheitslücken. Beim Uber-Datendiebstahl 2022 fand ein Angreifer fest codierte Administratorzugangsdaten in einem PowerShell-Skript auf einer internen Netzwerkfreigabe und nutzte diese, um auf Ubers Plattform für privilegiertes Zugriffsmanagement zuzugreifen. Die gemeinsame Leitlinie von NSA und CISA, „ Defending Continuous Integration/Continuous Delivery (CI/CD) Environments“ (Juni 2023), führt die Offenlegung von Geheimnissen, einschließlich fest codierter Zugriffsschlüssel und Passwörter, als eines der häufigsten Risiken beim Aufbau von Pipelines auf und empfiehlt, Geheimnisse in einer Geheimnisverwaltungslösung zu speichern und sie nur indirekt zu übermitteln. Jedes fest codierte Geheimnis sollte als potenzielle Sicherheitslücke betrachtet werden, die noch nicht eingetreten ist.

Gängige Arten von Geheimnissen sind:

• Passwörter für Benutzer-, Dienst- und Datenbankkonten
• API-Schlüssel und andere Anmeldeinformationen für Anwendungen (siehe Was ist eine API?)
• SSH-Schlüssel Wird für den Server- und Repository-Zugriff verwendet
• Digitale Zertifikate und die privaten Schlüssel dahinter TLS / SSL Verbindungen
• Tokens werden an Anwendungen, CI/CD-Jobs und KI-Agenten ausgegeben.
• Private Verschlüsselungsschlüssel, wie z. B. PGP-Schlüssel
• Einmalpasswort-Seeds für Hardware- und Software-Authentifizierungstoken

Herausforderungen im Geheimmanagement

Die zentrale Herausforderung besteht darin, dass sich Geheimnisse schneller vermehren, als die meisten Teams sie verfolgen, rotieren oder widerrufen können.

• Unvollständige Sichtbarkeit: Jedes privilegierte Konto, jede Anwendung, jeder Container und jeder Microservice verfügt über eigene Passwörter, Schlüssel und Token, die von dezentralen Teams oft separat verwaltet werden, wenn überhaupt. Ohne ein Inventar, das alle IT-Ebenen umfasst, entstehen Sicherheitslücken und Probleme bei Audits.
• Fest codierte und eingebettete AnmeldeinformationenAnwendungen und IoT-Geräte werden weiterhin mit Standard- oder fest codierten Anmeldeinformationen ausgeliefert, die Angreifer durch einfache Scans und Wörterbuchangriffe ermitteln können. Zudem werden Anmeldeinformationen für die Kommunikation zwischen Anwendungen und Datenbanken routinemäßig in Skripte und Konfigurationsdateien eingefügt. Laut GitGuardians Daten aus dem Jahr 2026 werden durch KI-gestützten Code Geheimnisse etwa doppelt so häufig preisgegeben wie im GitHub-weiten Durchschnitt.
• Cloud-Konsolen und Superuser-Berechtigungen: Cloud- und Virtualisierungskonsolen wie AWS und Microsoft 365 gewähren weitreichende Berechtigungen, um Workloads in großem Umfang zu starten und zu stoppen, und jeder neue Workload bringt seine eigenen Anmeldeinformationen mit, die geschützt werden müssen.
• DevOps-Toolchains: Orchestrierungs- und Konfigurationstools (Terraform, Ansible, Chef, Puppet, Container-Plattformen) benötigen Geheimnisse, um Arbeitsabläufe zu automatisieren, und jede Pipeline-Stufe erhöht die Anzahl der Speicherorte dieser Geheimnisse. Encryption Consulting behandelt dies ausführlich unter Sicherung von DevOps-Umgebungen.
• Zugriff von Drittanbietern und Fernzugriff: Anbieter und Fernzugriffstools erhalten Zugangsdaten, die außerhalb Ihrer direkten Kontrolle liegen, und nur wenige Organisationen können überprüfen, wie gut ein Dritter die ihm anvertrauten Geheimnisse verwaltet.
• Manuelle Prozesse: Von Menschen verwaltete Geheimnisse neigen zur Wiederverwendung, Weitergabe, Verwendung von Standardwerten und zum Auslassen der Rotation. Je manueller der Prozess ist, desto wahrscheinlicher bleibt ein Zugangsrecht lange gültig, nachdem es eigentlich abgelaufen sein sollte.

Wie Geheimnismanagement funktioniert: Sechs Kernpraktiken

Ein Geheimnisverwaltungsprogramm zentralisiert Zugangsdaten in einem verschlüsselten Tresor und umschließt jeden Zugriff mit Identitäts-, Richtlinien- und Prüfkontrollen.

1. Geheimnisse in einem Tresor zentralisieren: Verlagern Sie Zugangsdaten aus Code, Konfigurationsdateien und Tabellenkalkulationen in einen dedizierten Geheimnismanager, der zum zentralen Datenspeicher wird.
2. Verschlüsseln Sie den Speicher mit einem Hardware-Root of Trust: Schützen Sie die Generalschlüssel des Tresors mit einem Schlüsselverwaltungsdienst oder einem Hardware-SicherheitsmodulEine kopierte Tresordatenbank ist also für sich genommen nutzlos.
3. Jeden Zugriff authentifizieren und autorisieren: Verknüpfen Sie jeden Lesevorgang mit einer verifizierten Personen- oder Arbeitslastidentität, setzen Sie das Prinzip der minimalen Berechtigungen durch rollenbasierte Richtlinien durch und fordern Sie eine Multi-Faktor-Authentifizierung für den privilegierten Personenzugriff an.
4. Automatische Drehung: Durch planmäßige und ereignisgesteuerte Rotation wird verhindert, dass ein durchgesickerter Zugangsschein jahrelang gültig bleibt.
5. Bevorzugen Sie kurzlebige dynamische Geheimnisse: Generieren Sie Anmeldeinformationen bei Bedarf mit einer Gültigkeitsdauer von Minuten oder Stunden, sodass gestohlene Daten verfallen, bevor sie wiederverwendet werden können.
6. Kontinuierliches Scannen und Prüfen: Führen Sie geheime Scans in Repositories, Pipelines und Kollaborationstools durch und protokollieren Sie jeden geheimen Zugriff, damit die Untersuchungen eine vollständige Dokumentation haben.

Vergleich von Tools zur Geheimnisverwaltung

Die meisten Organisationen kombinieren einen dedizierten Geheimnismanager mit den nativen Geheimnisspeichern ihrer Cloud- und Orchestrierungsplattformen.

Werkzeug	Optimale Bildschirmwahl	Stärken	Einschränkungen
HashiCorp-Tresor	Multi-Cloud- und Hybrid-Umgebungen	Dynamische Geheimnisse, breite Authentifizierungsmethoden, selbst gehostet oder verwaltet (HCP Vault)	Betriebsaufwand bei Selbsthosting
AWS Secrets Manager	AWS-zentrierte Workloads	Automatische Rotation mit Lambda, native IAM-Integration	Fokus auf eine einzelne Wolke
Azure Key Vault	Azure-zentrierte Workloads	Geheimnisse, Schlüssel und Zertifikate in einem Dienst; HSM-gestützte Stufen	Fokus auf eine einzelne Wolke
Google Cloud Secret Manager	GCP-zentrierte Workloads	Geheimnisbasierte Versionierung mit feingranularer IAM	Fokus auf eine einzelne Wolke
Kubernetes-Geheimnisse	In-Cluster-Pod-Konfiguration	In jeden Cluster integriert, einfach für Workloads zu nutzen	Base64-kodiert; standardmäßig unverschlüsselt in etcd.
CyberArk Secrets Manager (ehemals Conjur)	Unternehmen haben CyberArk PAM als Standard eingeführt	Starkes Richtlinienmodell für Maschinenidentitäten und Pipelines	Bietet den größten Mehrwert innerhalb des CyberArk-Ökosystems.

Bei Kubernetes ist besondere Vorsicht geboten: Laut Kubernetes-Dokumentation werden Secrets standardmäßig unverschlüsselt in etcd gespeichert. Daher sollten Produktionscluster die Verschlüsselung ruhender Daten aktivieren und die Anmeldeinformationen von einem externen Manager über den External Secrets Operator oder den Secrets Store CSI Driver synchronisieren.

Geheimnisse, Maschinenidentitäten und KI-Agenten

Die meisten Geheimnisse dienen heutzutage der Authentifizierung von Maschinen und KI-Systemen und nicht von Menschen.

Der GitGuardian-Bericht von 2026 verzeichnete einen Anstieg von 81 Prozent bei durchgesickerten Zugangsdaten für KI-Dienste im Jahr 2025. Acht der zehn am schnellsten wachsenden Kategorien von Datenlecks beziehen sich auf KI-Dienste, darunter auch fest in MCP-Konfigurationsdateien (Model Context Protocol) codierte Geheimnisse. KI-Agenten und nicht-menschliche Identitäten benötigen dieselbe Sorgfalt wie Dienstkonten: eingeschränkte Berechtigungen, kurzlebige Zugangsdaten aus einem Tresor, einen benannten Eigentümer und einen definierten Lebenszyklus. Statische API-Schlüssel, die in Agentenkonfigurationsdateien eingefügt werden, stellen das neue fest codierte Passwort dar.

Wie Verschlüsselungsberatung hilft

Die Cloud-Datenschutzdienste von Encryption Consulting unterstützen Sie bei der Konzeption und Implementierung eines zentralisierten Geheimnis- und Schlüsselmanagements für AWS, Azure und Google Cloud – von der Tresorarchitektur und Zugriffsrichtlinienentwicklung bis hin zu Rotationsworkflows und der Migration von fest codierten Anmeldeinformationen. HSM-as-a-Service stellt die Hardware-Vertrauensbasis bereit, die die Hauptschlüssel Ihres Geheimnisspeichers schützt. Die Lösungen basieren auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Worin besteht der Unterschied zwischen Geheimnismanagement und Schlüsselmanagement?

Geheimnisverwaltung schützt Anmeldeinformationen wie Passwörter, API-Schlüssel, Token und SSH-Schlüssel und konzentriert sich dabei auf kontrollierten Zugriff, Schlüsselrotation und Protokollierung. Schlüsselverwaltung schützt kryptografische Schlüssel für Verschlüsselung und Signierung und konzentriert sich auf Schlüsselerzeugung, -speicherung und -lebenszyklus, häufig innerhalb eines HSM (Home Storage Management). Es gibt Überschneidungen: Die meisten Geheimnisverwaltungssysteme nutzen einen Schlüsselverwaltungsdienst oder ein HSM als Vertrauensanker, der den Geheimnisspeicher selbst verschlüsselt.

Was ist heimliche Zersiedelung?

Die unkontrollierte Verbreitung von Zugangsdaten über Quellcode, Konfigurationsdateien, CI/CD-Pipelines, Container und Kollaborationstools wird als „Secret Sprawl“ bezeichnet. Laut dem Bericht „State of Secrets Sprawl 2026“ von GitGuardian wurden allein im Jahr 2025 28.65 Millionen neue, fest codierte Geheimnisse auf öffentlichen GitHub-Plattformen hinzugefügt. Zudem waren 64 Prozent der im Jahr 2022 als gültig bestätigten Geheimnisse im Januar 2026 immer noch angreifbar. Zentrale Speicherung, Scannen von Geheimnissen und automatische Rotation sind die gängigen Gegenmaßnahmen.

Sind Kubernetes-Secrets standardmäßig sicher?

Nein. Kubernetes-Secrets werden Base64-kodiert, was eine Kodierung und keine Verschlüsselung darstellt. Laut Kubernetes-Dokumentation werden sie in etcd unverschlüsselt gespeichert, sofern die Verschlüsselung ruhender Daten nicht explizit konfiguriert ist. In Produktionsclustern sollten die etcd-Verschlüsselung aktiviert, der Zugriff auf Secrets mittels rollenbasierter Zugriffskontrolle (RBAC) eingeschränkt und die Anmeldeinformationen von einem externen Secrets-Manager über den External Secrets Operator oder den Secrets Store CSI Driver synchronisiert werden.

Wie oft sollten Geheimnisse ausgetauscht werden?

Maschinenschlüssel sollten automatisch und je nach Arbeitslast regelmäßig rotiert werden. Viele Teams ändern Zugangsdaten alle 30 bis 90 Tage und sofort nach jedem Verdacht auf Sicherheitslücken. Ein sichereres Verfahren vermeidet feste Gültigkeitsdauern vollständig durch die Ausgabe kurzlebiger dynamischer Zugangsdaten, die innerhalb von Minuten oder Stunden ablaufen. Für Passwörter empfiehlt NIST SP 800-63B eine Rotation bei nachgewiesener Kompromittierung und nicht nach einem festen Zeitplan.

Was ist ein dynamisches Geheimnis?

Ein dynamisches Geheimnis ist eine Anmeldeinformation, die bedarfsgesteuert für einen bestimmten Client generiert und nach kurzer Gültigkeitsdauer automatisch widerrufen wird. Anstatt ein einziges, langlebiges Datenbankpasswort für mehrere Dienste zu verwenden, erstellt ein Geheimnismanager wie HashiCorp Vault für jede Anfrage ein eindeutiges Datenbankkonto und löscht es nach Ablauf der Gültigkeitsdauer. Dynamische Geheimnisse verkürzen den Zeitraum, in dem gestohlene Anmeldeinformationen genutzt werden können.

Bring deine Geheimnisse unter Kontrolle

Sind Sie bereit, fest codierte Zugangsdaten durch einen verwalteten, revisionssicheren Geheimnisspeicher zu ersetzen? Schützen Sie Ihre Daten in der Cloud mit Cloud Data Protection Services oder sprechen Sie mit einem Berater von Encryption Consulting über eine Bewertung Ihres Geheimnismanagements.