SecretsScanning.
Secrets Scanner suchen Zugangsdaten, Schlüssel und Tokens in Quellcode, Historien, Build-Artefakten und Kollaborationssystemen. Ein Treffer ist erst abgeschlossen, wenn das Secret validiert, gesperrt oder rotiert und seine Nutzung untersucht wurde. Löschen aus dem aktuellen Commit reicht nicht.
Marktbild: hohe Priorität und breite Werkzeugauswahl. Zwölf Angebote reichen von nativen Repository-Funktionen über spezialisierte Plattformen bis zu Open-Source-Scannern.
Vor dem Commit und über die Historie.
Pre-Commit-Hooks verhindern neue Leaks. Repository- und History-Scans finden Altlasten. Plattformen erweitern die Suche auf Tickets, Chat, Container, Cloudspeicher und öffentliche Repositories. Validierung trennt aktive Credentials von inaktiven Mustern.
Prüfe Quellenabdeckung, Git-Historie, benutzerdefinierte Detektoren, aktive Verifikation ohne Secret-Exposition, Maskierung, Rotation, Owner-Zuordnung, öffentliche Leak-Überwachung und Reaktionszeiten.
Erkennen ist nur der erste Schritt.
| Werkzeug | Abdeckung | Stärke | Geeignet für | Vor Auswahl prüfen |
|---|---|---|---|---|
| GitHub Secret Scanning | GitHub-Repositories und Partner Patterns | Push Protection und native Workflows | GitHub-zentrierte Entwicklung | Lizenz, Custom Patterns und Fremdquellen |
| GitLab Secret Detection | GitLab-Pipelines und Historie | Direkte DevSecOps-Integration | GitLab-Plattformen | Tier, Beta-Funktionen und Reaktion |
| GitGuardian | Code, Collaboration und Public Monitoring | Breite Detektoren und Incident Workflow | Grosse verteilte Entwicklungsorganisationen | Quellen, Datenstandort und Rotation |
| TruffleHog | Git, Cloud und weitere Quellen | Verifikation zahlreicher Credentialtypen | Security Engineering und Eigenintegration | Rate Limits, sichere Verifikation und Reporting |
| Gitleaks | Git und Dateien | Schneller Open-Source-Scanner | Pre-Commit und CI-Pipelines | Workflow, Verifikation und zentrale Sicht |
| Snyk Secrets | Code im Snyk-Workflow | Verbindung mit Developer Security | Snyk-Kunden | Quellenbreite und Rotation |
| Semgrep Secrets | Code und semantischer Kontext | Regeln neben SAST und Supply Chain | Semgrep-basierte AppSec-Programme | Credential-Verifikation und Fremdquellen |
| Aikido Secrets Detection | Repositories und integrierte AppSec-Sicht | Konsolidierter Entwicklerworkflow | Cloud-native KMU und Scale-ups | Detektortiefe und Incident Response |
| Checkmarx Secrets Detection | Code im Checkmarx-One-Portfolio | Enterprise AppSec Governance | Checkmarx-Programme | Standalone-Nutzen und Quellen |
| Spectral | Code und CI/CD | Secrets und weitere sensible Daten | Developer-first Security | Aktuelle Integration in Check Point CloudGuard |
| Nightfall | SaaS, Collaboration und Code | Sensitive-Data- und Secrets-Kontext | Cloud- und SaaS-zentrierte Teams | Entwicklertiefe und Reaktionsautomation |
| git-secrets | Lokale Git-Repositories | Kleiner präventiver Open-Source-Hook | AWS-nahe Einzelteams | Wartung, History Scan und zentrale Governance |
- Das Secret wird aus Git entfernt, bleibt aber gültig.
- Verifikation sendet ein echtes Credential an einen ungeklärten Dienst.
- Die Suche endet am Repository und übersieht Tickets, Chat und Artefakte.
Teste ein aktives und ein widerrufenes Testsecret in aktuellem Code, Git-Historie, Container und Ticket. Messe Erkennung, Maskierung, Owner-Zuordnung, Rotation und den Nachweis, dass keine missbräuchliche Nutzung erfolgte.
Security Tool Navigator · Gebiet 07
Im Gebiet Application und Product Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Application und Product Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.