SecretsManagement.
Secrets Management verwaltet Passwörter, API-Schlüssel, Tokens und Zertifikatsschlüssel für Maschinen und Anwendungen. Das Ziel ist, langlebige Zugangsdaten aus Code, Konfigurationen und manuellen Abläufen zu entfernen oder kontrolliert zu rotieren.
Maschinen brauchen eigene Identitäten.
Container, Deployments, Automatisierungen und Service Accounts benötigen Zugang. Ein Geheimnis-Tresor liefert oder erzeugt diese Werte kontrolliert und protokolliert ihren Abruf.
Ein KMS schützt Schlüsselmaterial. PAM steuert privilegierte menschliche Sitzungen. Secrets Management konzentriert sich auf die nichtmenschliche Nutzung von Credentials in Laufzeit und Delivery Pipeline.
Konten ohne
Menschen.
Neben Personen melden sich Dienste, Skripte, Pipelines und Agenten an. Diese nicht-menschlichen Identitäten haben selten eine verantwortliche Person, laufen oft mit festen Zugangsdaten und werden beim Austritt eines Mitarbeitenden nicht automatisch geprüft. In vielen Umgebungen sind sie zahlreicher als die Personenkonten.
Wo sie vorkommen
Welche Klasse wofür zuständig ist
| Objekt | Werkzeugklasse | Kernaufgabe |
|---|---|---|
| Zugangsdaten: Passwort, API-Schlüssel, Token | Secrets Management (diese Seite) | Zentral ablegen, kurzlebig ausgeben, rotieren |
| Zertifikate und Schlüssel: TLS, mTLS, SSH, Code Signing | Machine Identity Management | Inventarisieren, automatisch erneuern, widerrufen |
| Privilegierte Servicekonten (Domänen-Admin, root) | PAM | Interaktive Nutzung sperren, Passwort im Tresor rotieren |
| Eigentümer, Zweck, Lebenszyklus | IGA | Jedes Konto hat eine verantwortliche Person und wird rezertifiziert |
| Missbrauch erkennen | ITDR | Ungewöhnliche Nutzung von Servicekonten melden |
| Geheimnisse im Code finden | Secrets Scanning | Repositories und Pipelines durchsuchen, Funde widerrufen |
Lösungsweg
Dreizehn Werkzeuge im Vergleich.
Der Markt teilt sich in eigenständige Secrets-Plattformen (HashiCorp Vault, Akeyless, Doppler, Infisical), die Secrets-Dienste der Hyperscaler (AWS, Microsoft Azure, Google Cloud) und Secrets-Module grösserer Identity- oder Passwortmanager-Plattformen (Idira, Keeper, 1Password, Bitwarden). Zwei Übernahmen prägen das Bild: IBM hat HashiCorp am 27.02.2025 übernommen, Palo Alto Networks hat die Übernahme von CyberArk am 11.02.2026 abgeschlossen und führt dessen Produkte unter der Marke Idira. Seit HashiCorp Vault unter der Business Source License steht, gibt es mit OpenBao (Linux Foundation, MPL 2.0) einen offenen Fork; daneben ist Infisical in den Kernfunktionen unter MIT-Lizenz verfügbar. Mehrere Anbieter positionieren dynamische, kurzlebige Zugangsdaten und Workload-Identitäten als Ersatz für statische Secrets; nicht alle Produkte bieten sie an.
Dynamisch: dynamische, kurzlebige Secrets · Rotation: automatische Rotation · Kubernetes: Kubernetes-Integration · CI/CD: CI/CD-Integration · HSM/KMS: HSM- oder KMS-Anbindung · SaaS: als SaaS · Self-Hosted: Self-Hosted möglich. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
HashiCorp Vault
HashiCorp (IBM)
Secrets Engines erzeugen Zugangsdaten für Datenbanken, Clouds und weitere Dienste bei Bedarf; statische Datenbank-Rollen werden nach Zeitplan automatisch rotiert.
Leasing und Widerruf von Zugangsdaten; Vault Enterprise kann den Root-Schlüssel über ein HSM (PKCS#11) schützen.
Betrieb und Anbindung in Kubernetes über Helm Chart, Vault Secrets Operator und CSI Provider; GitHub Actions über die vault-action.
Selbst betrieben oder als HCP Vault Dedicated, eine von HashiCorp betriebene Variante von Vault Enterprise; der Quellcode ab Version 1.15 steht unter der Business Source License 1.1.
Breite Auswahl an Secrets Engines und Authentisierungsmethoden für dynamische Zugangsdaten in hybriden Umgebungen.
Hoher Betriebsaufwand bei Selbstbetrieb (Hochverfügbarkeit, Unseal, Upgrades); HSM-Funktionen und mehrere Funktionen setzen eine Enterprise-Lizenz voraus.
Akeyless Secrets Management
Akeyless
Statische, dynamische und kurzlebige Secrets sowie API-Schlüssel und Zertifikate; dynamische Secrets unter anderem für AWS, Azure, GCP, Datenbanken und Kubernetes.
Distributed Fragments Cryptography verteilt Schlüsselfragmente über Regionen und Anbieter, sodass laut Hersteller auch Akeyless keinen Zugriff hat.
Authentisierung über SSO, Cloud-IAM und Kubernetes; Einbindung in IDEs und CI/CD-Abläufe.
SaaS-Plattform ohne eigene Vault-Cluster; ein Gateway wird in der eigenen Umgebung betrieben.
Dynamische Secrets und Rotation als SaaS ohne eigenen Tresorbetrieb.
Der Tresor selbst läuft als SaaS; das Vertrauensmodell beruht auf dem herstellereigenen Fragmentverfahren, ein vollständiger Selbstbetrieb ist nicht beschrieben.
Doppler
Doppler
Zentrale Verwaltung von Secrets für Entwickler, Pipelines und KI-Agenten; dynamische Secrets für AWS IAM und Azure Service Principals.
Rotated Secrets für Datenbanken und Cloud-Dienste; Enterprise Key Management verschlüsselt Secrets zusätzlich mit einem Kundenschlüssel im eigenen AWS- oder GCP-KMS.
Integrationen für Cloud-Plattformen, Kubernetes, CI/CD, Webhooks und SDKs sowie Synchronisation in Cloud-Secrets-Manager.
SaaS oder Doppler On-prem, das laut Hersteller vollständig in kundenseitig verwalteter Infrastruktur läuft.
Entwicklerfreundlicher Ablauf mit Synchronisation in bestehende Plattformen und Cloud-Secrets-Manager.
Enterprise Key Management unterstützt laut Dokumentation AWS und GCP, Azure Key Vault ist erst angekündigt; On-prem und EKM erfordern höhere Lizenzstufen.
CipherTrust Secrets Management
Thales
Secrets für DevOps-Werkzeuge, Cloud-Workloads und KI-Pipelines, darunter API-Schlüssel, Zertifikate, Tokens und SSH-Schlüssel.
Automatisierte Erstellung, Speicherung, Rotation und Entfernung von Secrets; zentrale Verwaltung aller Secret-Typen.
Integrationen unter anderem für GitHub, Kubernetes und OpenShift; ergänzt die CipherTrust-Plattform für Datenschutz und Schlüsselverwaltung.
SaaS-Dienst, laut Hersteller technisch auf Akeyless aufgebaut («powered by Akeyless»).
Secrets Management aus dem Portfolio eines Anbieters, der auch HSM und Verschlüsselung liefert.
Technologie stammt von Akeyless, die Funktionstiefe hängt damit vom OEM-Produkt ab; eine HSM-Anbindung des Secrets-Dienstes ist auf der Produktseite nicht beschrieben.
Idira Secrets Manager (vormals CyberArk Conjur / Secrets Manager)
Palo Alto Networks (vormals CyberArk)
Speicherung und Abruf von API-Schlüsseln, Tokens, Passwörtern, Zertifikaten und Datenbank-Zugangsdaten für hybride und Multi-Cloud-Umgebungen.
Rotation, Ablauf und Stilllegung von Secrets nach Richtlinie; Secrets Manager SaaS vergibt laut Hersteller jeder Workload eine SPIFFE-Identität.
Integrationen für Kubernetes und OpenShift, CI/CD-Werkzeuge und Cloud-Plattformen; ergänzt Idira Privileged Access Manager.
Wahlweise als SaaS-Dienst oder selbst betrieben im eigenen Rechenzentrum (Secrets Manager – Self-Hosted).
Secrets für Anwendungen und Pipelines in derselben Plattform wie privilegierter Zugriff für Menschen.
Produktnamen und Portfolio befinden sich nach der Übernahme durch Palo Alto Networks im Umbau; dynamische Secrets und HSM-Anbindung sind auf den abgerufenen Seiten nicht beschrieben.
AWS Secrets Manager
Amazon Web Services
Speicherung von Secrets mit Replikation in mehrere AWS-Regionen; native Rotation für Amazon RDS, DocumentDB, Redshift und ausgewählte SaaS-Dienste.
Verschlüsselung mit AWS-verwalteten oder kundeneigenen Schlüsseln in AWS KMS; Zugriffssteuerung über IAM- und Ressourcenrichtlinien.
Einbindung in Amazon EKS über den AWS Secrets and Configuration Provider (CSI-Treiber); GitHub Actions über eine eigene Action.
Verwalteter Dienst in AWS-Regionen; Protokollierung über AWS CloudTrail.
Rotation ohne eigene Infrastruktur für AWS-Datenbanken und eng verzahnt mit IAM und KMS.
Auf AWS ausgerichtet; Rotation für weitere Systeme erfordert eigene Lambda-Funktionen.
Azure Key Vault
Microsoft
Verwaltung von Secrets, Schlüsseln und Zertifikaten für Azure-Workloads.
Premium-Stufe mit HSM-geschützten Schlüsseln (FIPS 140-3 Level 3); alle Tresore sind mit HSM-gespeicherten Schlüsseln verschlüsselt.
Azure Key Vault Provider für den Secrets Store CSI Driver in AKS; Abruf aus GitHub Actions über OpenID Connect.
Verwalteter Dienst in Azure-Regionen; Microsoft sieht laut Dokumentation die Schlüssel nicht ein.
Native Einbindung in Azure-Dienste und Entra ID mit HSM-Stufe ohne eigenen Hardwarebetrieb.
Für Secrets beschreibt Microsoft die Rotation als Tutorial mit eigener Azure Function und Event Grid, nicht als eingebaute Funktion; auf Azure ausgerichtet.
Google Cloud Secret Manager
Google Cloud
Speicherung und Versionierung von Secrets mit automatischer oder benutzerverwalteter Replikation und regionalen Secrets für Datenresidenz.
Rollenbasierte Trennung von Zugriff, Verwaltung, Audit und Rotation; kundenverwaltete Schlüssel (CMEK) über Cloud KMS.
Secret-Manager-Add-on für GKE und Synchronisation in Kubernetes Secrets; Einbindung in Cloud Build.
Verwalteter Dienst in Google-Cloud-Regionen; Ablaufdaten für Secrets setzbar.
Einfache Einbindung in Google-Cloud-Dienste mit regionaler Datenhaltung.
Rotationspläne senden nur Benachrichtigungen an Pub/Sub, die eigentliche Rotation muss selbst umgesetzt werden; auf Google Cloud ausgerichtet.
Keeper Secrets Manager
Keeper Security
API-Schlüssel, Datenbank-Zugangsdaten, Zertifikate, SSH-Schlüssel und Dienstkonten für Pipelines, Container und Skripte.
Zero-Knowledge-Verschlüsselung; zeit- und ereignisgesteuerte Rotation für SSH-Schlüssel, Dienstkonten, API-Tokens und Datenbank-Passwörter.
Integrationen für GitHub Actions, Jenkins, Terraform, Kubernetes und Docker; SIEM-Anbindung.
Cloud-nativer Dienst, Bestandteil von KeeperPAM und als Zusatz zu Business-Plänen erhältlich.
Secrets Management und Passwortverwaltung für Menschen in einer Zero-Knowledge-Plattform.
Nur als Cloud-Dienst verfügbar; dynamische Secrets sind auf den abgerufenen Seiten nicht beschrieben.
1Password Secrets Automation
1Password
Infrastruktur- und Anwendungs-Secrets aus 1Password-Tresoren für Maschinen und Pipelines über Service Accounts oder Connect-Server.
Credential Broker (Public Preview) gibt GitHub-Actions-Workflows zur Laufzeit Zugriff auf Secrets über ein kurzlebiges OIDC-Token statt eines Service-Account-Tokens.
Kubernetes- und CI/CD-Integrationen für Service Accounts und Connect-Server; 1Password CLI und REST-API (Connect).
Daten liegen im 1Password-Dienst; Connect-Server laufen in der eigenen Infrastruktur und halten einen Cache.
Naheliegend für Organisationen, die 1Password bereits für Mitarbeitende einsetzen.
Automatische Rotation und dynamische Secrets sind in der Dokumentation nicht beschrieben; Service Accounts unterliegen Ratenbegrenzungen.
Bitwarden Secrets Manager
Bitwarden
Ende-zu-Ende-verschlüsselte Verwaltung von Maschinen- und Infrastruktur-Secrets für Pipelines, Kubernetes und KI-Agenten.
Zero-Knowledge-Verschlüsselung, pro Pipeline begrenzte Maschinenkonten und Audit-Protokoll jedes Zugriffs.
Integrationen für GitHub Actions, GitLab CI/CD, Jenkins, Ansible und Terraform sowie ein Kubernetes Operator.
Quellcode öffentlich auf GitHub; Enterprise-Organisationen können Secrets Manager selbst hosten.
Offener Quellcode und Selbstbetrieb für Organisationen mit Bitwarden-Umgebung.
Dynamische Secrets und Rotation für Maschinen-Secrets sind auf den abgerufenen Seiten nicht beschrieben; Selbstbetrieb nur mit Enterprise-Plan.
Infisical
Infisical
Anwendungs-Secrets, Zertifikate und privilegierter Zugriff in einer Plattform; dynamische Secrets für Datenbanken und Cloud-Dienste.
Rotation nach Zeitplan und kurzlebige, auf die Anfrage begrenzte Secrets; feingranulare RBAC und Freigabe-Workflows.
Kubernetes Operator, Terraform, Ansible, Jenkins, Docker, AWS ECS, GitLab und GitHub.
Selbst betrieben (Docker, Kubernetes, Linux) mit HSM-Anbindung über PKCS#11 oder als Infisical Cloud.
Offener Kern mit dynamischen Secrets, Rotation und HSM-Anbindung im Selbstbetrieb.
Dynamische Secrets gehören zum kostenpflichtigen Advanced-Plan; Teile unter «ee/» stehen nicht unter MIT-Lizenz.
OpenBao
OpenBao (Linux Foundation)
Community-getriebener Fork von Vault zur Verwaltung von Secrets, Zertifikaten und Schlüsseln; dynamische Secrets etwa für Kubernetes und SQL-Datenbanken.
Leasing, Verlängerung und automatischer Widerruf; statische Datenbank-Rollen mit automatischer Passwortrotation.
Offizielles Helm Chart, Agent Injector und CSI Provider für Kubernetes; Auto-Unseal über PKCS#11-HSM und Cloud-KMS (als Plugins).
Projekt der LF Projects, LLC und Sandbox-Projekt der OpenSSF; Lizenz MPL 2.0.
Offene Lizenz mit Vault-ähnlichem Betriebsmodell und offener Governance.
Kein Herstellersupport und kein SaaS; eine offizielle CI/CD-Integration ist auf den abgerufenen Seiten nicht beschrieben.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- Delinea DevOps Secrets Vault: Secrets-Tresor für DevOps-Pipelines; die bisherige Produkt-URL führt auf eine allgemeine Plattformseite, ein aktueller Produktname ist dort nicht genannt
- Fortanix Data Security Manager: Schwerpunkt Schlüsselverwaltung/KMS mit Secrets-Funktion; Grenzfall zu KMS
- Oracle OCI Vault, IBM Cloud Secrets Manager: Secrets-Dienste weiterer Cloud-Anbieter
- External Secrets Operator, Sealed Secrets, SOPS: Open-Source-Werkzeuge zur Verteilung bzw. Verschlüsselung von Secrets, kein eigener Secrets-Tresor
- GitGuardian, Entro, Astrix: Erkennung geleakter Secrets bzw. Non-Human-Identity-Sicherheit; keine Secrets-Verwaltung im engeren Sinn
- Segura (vormals senhasegura) DevSecOps: PAM-Anbieter mit Secrets-Modul
Erst finden,
dann ersetzen.
- Repositories samt Historie, CI/CD-Variablen, Container-Images und Infrastructure-as-Code nach Geheimnissen durchsuchen und Funde nach Wirkung (Produktion, Admin, Drittanbieter) einstufen.
- Gefundene Secrets nicht nur in den Tresor verschieben, sondern widerrufen und neu ausstellen: Was einmal im Code stand, gilt als offengelegt.
- Workloads authentisieren sich am Tresor über ihre Plattformidentität (z. B. Kubernetes-Service-Account, Cloud-Rolle, OIDC aus der Pipeline) statt über ein weiteres statisches Token.
- Secret-Scanning als Pre-Commit- und Pipeline-Prüfung verankern, damit keine neuen Altlasten entstehen.
- Anzahl offener Secret-Funde in Repositories, nach Kritikalität
- Medianes Alter produktiver Secrets seit der letzten Rotation
- Anteil Workloads, die Secrets dynamisch oder über ihre Plattformidentität beziehen
Das Plattform- oder DevOps-Team betreibt Tresor und Anbindungen; Anwendungs-Owner verantworten Rotation und Widerruf ihrer Secrets. Security definiert Mindestregeln und wertet Scan-Funde aus.
ISO/IEC 27001:2022 Annex A 5.17 (Authentisierungsinformationen), 8.24 (Verwendung von Kryptografie) und 8.28 (sicheres Programmieren).
NIS2 Art. 21 Abs. 2 lit. e und lit. h nennen Sicherheit bei Entwicklung und Wartung sowie Kryptografie; ein Secrets-Tresor unterstützt den Nachweis für beides, ersetzt aber kein Schlüsselmanagement-Konzept.
Ein privates Repository ist kein sicherer Ort für Secrets. Klone auf Laptops, Forks, Build-Logs und Drittanbieter-Integrationen tragen sie weiter, oft ohne dass jemand den Weg nachvollziehen kann.
Ein belastbarer Pilot.
- Ein echtes Deployment ohne statisches Passwort in Code oder Pipeline ausführen.
- Secrets dynamisch beziehen oder mindestens zuverlässig rotieren.
- Den Verlust eines Tokens und den kontrollierten Ersatz durchspielen.
- Audit-Daten in bestehende Security- und Betriebsprozesse geben.
Secrets Management und Machine Identity Management ergänzen sich: Das eine steuert Credentials, das andere den Lebenszyklus von Zertifikaten und maschinellen Identitäten.
Security Tool Navigator · Gebiet 03
Im Gebiet Identity Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Identity Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.