Schlüsselmanagement bezeichnet die Gesamtheit aller Prozesse und Systeme, die für den sicheren Umgang mit kryptographischen Schlüsseln zuständig sind: ihre Erzeugung, Speicherung, Verteilung, Nutzung, Rotation und Vernichtung. Verschlüsselung ist nur so sicher wie das Management der Schlüssel: Der stärkste Algorithmus bringt nichts, wenn der Schlüssel unsicher gespeichert oder niemals rotiert wird. Schlüsselmanagement ist die oft vergessene zweite Hälfte der Verschlüsselung.
In Automatisierungsinfrastrukturen betrifft Schlüsselmanagement sowohl kryptographische Schlüssel (für Datenverschlüsselung und TLS-Zertifikate) als auch Secrets im weiteren Sinne: API-Keys, Datenbankpasswörter, OAuth-Tokens, Zertifikate. Alle diese Geheimnisse haben denselben Lebenszyklus und brauchen dasselbe systematische Management.
Der Schlüssel-Lebenszyklus
Erzeugung
Kryptographisch sicher, ausreichende Länge
Speicherung
Sicher, verschlüsselt, zugriffsgeschützt
Verteilung
Nur an autorisierte Empfänger, sicher übertragen
Rotation
Regelmäßig oder bei Verdacht erneuern
Vernichtung
Sicheres Löschen, nicht mehr nutzbar
Secret-Manager: die richtige Infrastruktur
- AWS Secrets Manager: Speichert und rotiert Secrets automatisch – Datenbankpasswörter werden wöchentlich automatisch geändert und an alle Anwendungen propagiert
- HashiCorp Vault: Open-Source Secret-Manager für komplexe Architekturen – unterstützt dynamische Secrets (werden bei Bedarf generiert und sofort nach Nutzung widerrufen)
- Azure Key Vault / Google Cloud KMS: Managed Key Management Services der Cloud-Anbieter – für Verschlüsselungsschlüssel und Zertifikate
- 1Password / Bitwarden Teams: Für das operative Secret-Management im Team – sichere Passwortfreigabe ohne unsichere Kanäle wie E-Mail oder Slack
Die häufigsten Schlüsselmanagement-Fehler in der Praxis: Secrets in Git-Repositories – eines der häufigsten Datenlecks, weil Entwickler API-Keys vergessen zu entfernen. Kein Rotation-Prozess – API-Keys, die seit Jahren unverändert sind, sind ein erhöhtes Risiko bei Personalwechsel oder Dienstleisterwechsel. Zu breite Zugriffsrechte – ein API-Key mit Admin-Rechten für eine Aufgabe, die nur Leserecht braucht.
Praxisbeispiel
Ein Automationsdienstleister entdeckt bei einem Code-Audit, dass ein ehemaliger Mitarbeiter vor 18 Monaten einen API-Key für einen Zahlungsanbieter in einer Testdatei im Git-Repository hinterlassen hat. Das Repository ist privat, aber der Key ist noch aktiv. Sofortmaßnahme: API-Key sofort beim Zahlungsanbieter widerrufen. Analyse der letzten 18 Monate Zugriffslog: keine unautorisierten Verwendungen gefunden. Langfristige Maßnahmen: Pre-commit-Hook installiert, der Commits mit Strings, die wie API-Keys aussehen, blockiert. Alle Secrets in AWS Secrets Manager ausgelagert. Rotation-Policy: alle API-Keys quartalsweise erneuern. Secret-Scan-Tool (GitGuardian) für alle Repositories aktiviert. Incident zeigt: Schlüsselmanagement ohne Rotation und ohne Secrets-Scanner ist strukturell unsicher – unabhängig davon, wie sorgfältig Entwickler sind.
