--- title: "AWS Access Key und Secret Key: erstellen, rotieren, teilen" url: https://uselinkpilot.com/de/blog/aws-access-key-and-secret-key description: "AWS Access Key ID und Secret Access Key: warum der Secret Key nur einmal erscheint, wie Sie rotieren, was nach einem Leak hilft und wie Sie sicher teilen." lang: de --- Sicherheit (https://uselinkpilot.com/de/blog/category/security) # AWS Access Key und Secret Key: erstellen, nutzen, rotieren und sicher teilen AWS Access Key ID und Secret Access Key: warum der Secret Key nur einmal erscheint, wie Sie rotieren, was nach einem Leak hilft und wie Sie sicher teilen. LinkPilot Team (https://uselinkpilot.com/de/author/linkpilot-team) · Die Menschen, die LinkPilot bei TetraCore, LLC entwickeln und betreiben 26. Oktober 2026 · Über LinkPilot (https://uselinkpilot.com/de/about) Ein AWS Access Key besteht aus zwei Zeichenketten, mit denen ein Programm als IAM-Benutzer handeln kann: der Access Key ID, die den Schlüssel identifiziert, und dem Secret Access Key, der ihn beweist. Gesucht wird das Paar unter drei Namen, „access key and secret key“, „secret access key“ und schlicht „AWS secret key“. Gemeint ist immer dasselbe Paar. Es steht in CLI-Konfigurationen, in CI-Pipelines und viel zu oft in einer Slack-Nachricht. Dieser Leitfaden erklärt, was die beiden Hälften sind, wie Sie sie erstellen und konfigurieren, wie Sie ohne Ausfall rotieren und was zu tun ist, wenn einer geleakt wird. Und er beantwortet die Frage, die jedes Mal kommt, wenn jemand neu im Entwicklerteam ist oder ein externer Dienstleister anfängt: Wie gibt man einer Person einen Secret Key, ohne ihn in eine E-Mail zu schreiben? ## Access Key ID und Secret Access Key im Vergleich | | Access Key ID | Secret Access Key | | --- | --- | --- | | Sieht aus wie | `AKIAIOSFODNN7EXAMPLE` (20 Zeichen) | 40 Zeichen aus Groß- und Kleinbuchstaben und Sonderzeichen | | Aufgabe | Zeigt an, welcher Schlüssel die Anfrage signiert | Signiert die Anfrage und beweist den Besitz | | Geheim? | Nein, behandeln Sie sie wie einen Benutzernamen | Ja, behandeln Sie ihn wie ein Passwort | | Später sichtbar? | Ja, in der IAM-Konsole | Nach der Erstellung nie wieder | Langfristige Schlüssel beginnen mit `AKIA`. Temporäre Zugangsdaten aus STS, zu denen auch ein Session-Token gehört, beginnen mit `ASIA` und laufen von selbst ab. Wenn Sie einen `ASIA`-Schlüssel in einer Konfigurationsdatei finden, funktioniert er nach wenigen Stunden nicht mehr. Das ist so gewollt. Keine der beiden Hälften vergibt Berechtigungen. Der Schlüssel authentifiziert sich als IAM-Benutzer, und die Richtlinien, die diesem Benutzer zugeordnet sind, legen fest, was diese Identität darf. Ein geleakter Schlüssel eines Benutzers mit reinen Leserechten ist ein Problem. Ein geleakter Schlüssel eines Administrators ist ein Sicherheitsvorfall. ## Wann Sie überhaupt einen langfristigen Schlüssel brauchen Ehrlich gesagt: seltener, als viele denken. - **Workloads auf AWS** (EC2, Lambda, ECS, EKS) sollten IAM-Rollen nutzen. Das SDK holt sich automatisch kurzlebige Zugangsdaten, und es gibt nichts, was rotiert werden muss oder geleakt werden kann. - **Menschen** sollten sich über IAM Identity Center oder föderiertes SSO anmelden und temporäre Zugangsdaten mit `aws sso login` beziehen. - **CI-Systeme** wie GitHub Actions können über OIDC eine Rolle übernehmen, ganz ohne gespeicherten Schlüssel. - **Langfristige Schlüssel** bleiben für die Fälle, in denen nichts davon geht: ein Tool auf einem Laptop ohne SSO-Unterstützung, ein Drittanbieterdienst, der nur statische Schlüssel akzeptiert, ein alter Job, den Sie noch nicht migriert haben. Wenn Sie doch einen brauchen, erstellen Sie ihn für einen eigenen IAM-Benutzer mit der engsten Richtlinie, die für die Aufgabe reicht. Niemals für das Administratorkonto eines Menschen. ## Einen Schlüssel erstellen und konfigurieren Öffnen Sie in der IAM-Konsole den Benutzer, wählen Sie „Security credentials“ und dann „Create access key“. Wählen Sie den Anwendungsfall, nach dem AWS fragt, lesen Sie die vorgeschlagene Alternative und fahren Sie fort. Der Secret Key wird genau einmal angezeigt. Speichern Sie ihn direkt in Ihrem Secret Store oder Passwortmanager, oder laden Sie die CSV-Datei herunter und löschen Sie sie nach dem Import. Jeder IAM-Benutzer kann höchstens zwei Schlüssel gleichzeitig haben. Genau das macht die Rotation möglich. Konfigurieren Sie auf einem Rechner ein benanntes Profil statt des Standardprofils: ```bash aws configure --profile deploy-tool # AWS Access Key ID [None]: AKIA... # AWS Secret Access Key [None]: ... # Default region name [None]: eu-west-1 ``` Das schreibt `~/.aws/credentials` und `~/.aws/config`. Beschränken Sie die Datei mit `chmod 600` auf Ihren Benutzer. Für Container und CI übergeben Sie `AWS_ACCESS_KEY_ID` und `AWS_SECRET_ACCESS_KEY` als Secrets aus dem Speicher der Plattform, nicht als normale Variablen in einer YAML-Datei. Und übergeben Sie sie nie auf der Kommandozeile, wo sie im Shell-Verlauf landen. ## Rotieren, ohne etwas kaputtzumachen Die Rotation läuft in vier Schritten ab, und sie funktioniert nur dank der Grenze von zwei Schlüsseln. 1. **Erstellen Sie den zweiten Schlüssel** für denselben Benutzer. 2. **Stellen Sie alles, was den Schlüssel nutzt, auf den neuen um**: Konfigurationen, CI-Secrets, den Eintrag im Secrets Manager. Die IAM-Konsole zeigt für jeden Schlüssel, wann er zuletzt verwendet wurde. Daran sehen Sie, ob Sie einen übersehen haben. 3. **Deaktivieren Sie den alten Schlüssel.** Warten Sie einen Tag oder einen Deploy-Zyklus. Wenn etwas ausfällt, aktivieren Sie ihn wieder, korrigieren die betroffene Stelle und versuchen es erneut. 4. **Löschen Sie den alten Schlüssel**, sobald ihn nichts mehr verwendet. Rotieren Sie Schlüssel, die es geben muss, nach festem Zeitplan, und alle Schlüssel bei bestimmten Ereignissen: wenn jemand das Team verlässt, ein Dienstleister wechselt, ein Laptop verloren geht oder ein Leak vermutet wird. AWS Config und IAM Access Analyzer können Schlüssel markieren, die älter sind, als Ihre Richtlinie erlaubt. ## Wenn ein Schlüssel offengelegt wurde Ein Schlüssel, der in einem Repository, einem Log, einem Ticket oder einem Chat aufgetaucht ist, gilt als kompromittiert, auch wenn er eine Minute später gelöscht wurde. Scanner finden gepushte Secrets in Sekunden. 1. **Deaktivieren Sie den Schlüssel** sofort in IAM. Warten Sie nicht erst auf den Ersatz, es sei denn, der Ausfall wäre schlimmer als die Offenlegung. 2. **Erstellen Sie einen Ersatz** und stellen Sie alles um, was den alten Schlüssel nutzt. 3. **Durchsuchen Sie CloudTrail** nach jeder Aktion, die seit der Offenlegung mit dieser Access Key ID ausgeführt wurde. Achten Sie auf neue IAM-Benutzer oder Schlüssel, neue Instanzen, geänderte Bucket-Richtlinien und ungewohnte Regionen. 4. **Prüfen Sie die Rechnung** und den Cost Explorer auf Kostenspitzen, die nach Krypto-Mining aussehen. 5. **Entfernen Sie den Secret Key** aus Code, Logs und der Git-Historie. Erkennt AWS ein öffentliches Leak, hängt es unter Umständen selbst die Richtlinie `AWSCompromisedKeyQuarantine` an den Benutzer. Lassen Sie sie bestehen, bis die Bereinigung abgeschlossen ist. 6. **Löschen Sie den alten Schlüssel.** Finden Sie dann heraus, wie er dorthin gelangt ist, und schließen Sie diesen Weg. ## Einen AWS Secret Key sicher an eine Person weitergeben Manchmal muss der Schlüssel bei einem Menschen ankommen: bei einem externen Dienstleister, der ihn für ein Deployment-Tool braucht, bei jemandem, der in ein Projekt einsteigt, bevor SSO eingerichtet ist, oder bei einem Anbieter, dessen Integration den Schlüssel in das eigene Dashboard eingefügt haben will. E-Mail, Slack und Tickets bewahren Kopien auf, und ein Secret aus 40 Zeichen bleibt dort jahrelang lesbar. Die sichere Routine dauert eine Minute: 1. **Erstellen Sie einen Schlüssel für diese Person** auf einem eigenen IAM-Benutzer, mit genau der Richtlinie, die ihre Aufgabe erfordert, und nicht mehr. Geben Sie keinen Schlüssel weiter, den noch etwas anderes nutzt. 2. **Fügen Sie nur den Secret Access Key** in einen Einmal-Link für Geheimnisse (https://uselinkpilot.com/de/tools/free-secret-link-generator) ein. Er wird in Ihrem Browser verschlüsselt, bevor er gespeichert wird. Die gespeicherte Kopie wird beim ersten Öffnen des Links gelöscht, und öffnet niemand den Link, läuft er nach einer Stunde, einem Tag oder einer Woche ab. 3. **Senden Sie den Link** mit einer Zeile Kontext. Schicken Sie Access Key ID, Region und Profilnamen in einer separaten Nachricht. Für sich genommen ist keine dieser Angaben geheim. 4. **Setzen Sie mit einem Pro-Konto eine Passphrase** für alles, was über reine Leserechte hinausgeht, und geben Sie sie per SMS oder am Telefon weiter. 5. **Lassen Sie sich bestätigen, dass der Link geöffnet wurde.** Meldet der Link, dass er schon angesehen wurde, und die Person hat ihn nicht geöffnet, deaktivieren Sie den Schlüssel und fangen Sie von vorn an. 6. **Deaktivieren Sie den Schlüssel**, wenn die Zusammenarbeit endet, und löschen Sie ihn danach. Der Leitfaden zu API-Schlüsseln (https://uselinkpilot.com/de/blog/how-to-share-api-keys-securely) zeigt dasselbe Muster für andere Anbieter, und sicheres Teilen von Links für Entwickler (https://uselinkpilot.com/de/blog/secure-link-sharing-for-developers) erklärt, wie Sie die Übergabe beim Onboarding per Skript erledigen. ## Weiterlesen - API-Schlüssel sicher teilen: https://uselinkpilot.com/de/blog/how-to-share-api-keys-securely - Cloud Secret Manager: was er ist und wie Sie einen auswählen: https://uselinkpilot.com/de/blog/cloud-secret-manager - Einem externen Dienstleister einen temporären Datenbank-Login sicher schicken: https://uselinkpilot.com/de/blog/how-to-send-a-temporary-database-login-to-a-contractor-securely - So funktionieren Einmal-Links für Geheimnisse: https://uselinkpilot.com/de/blog/how-one-time-secret-links-work ## Tools zu diesem Artikel One-Time-Secret-Link-Generator Teilen Sie ein Passwort oder eine Notiz über einen Link, der sich nur einmal öffnen lässt. https://uselinkpilot.com/de/tools/free-secret-link-generator Selbstlöschende Nachricht Senden Sie eine Notiz, die nach einmaligem Lesen verschwindet. https://uselinkpilot.com/de/tools/burn-after-read-secret Generator für ablaufende Links Erstellen Sie Links, die zu einem festgelegten Zeitpunkt nicht mehr funktionieren. https://uselinkpilot.com/de/tools/temporary-link ## Häufige Fragen ### Kann ich meinen AWS Secret Access Key nach der Erstellung noch einmal ansehen? ### Ist die Access Key ID dasselbe wie der Secret Access Key? ### Wo finde ich eine bestehende Access Key ID? ### Vergeben Access Keys selbst Berechtigungen? ### Sollte ich einen Schlüssel deaktivieren, bevor ich ihn lösche? ### Was tue ich, wenn ein AWS Access Key offengelegt wurde? ## LinkPilot verschickt einen Secret-Link, der nach dem Öffnen verschwunden ist. In Ihrem Browser verschlüsselt, einmal angezeigt, dann gelöscht. Ohne Konto. Secret-Link erstellen (https://uselinkpilot.com/de/tools/free-secret-link-generator) ## Weiterlesen Sicherheit ### SSH-Zugangsdaten sicher per ablaufendem Link teilen Nutzen Sie den öffentlichen Schlüssel des Empfängers. Privaten Schlüssel oder Passwort per ablaufendem Einmal-Link senden, Host und Benutzernamen getrennt. https://uselinkpilot.com/de/blog/how-to-share-ssh-credentials-with-a-link-that-expires-securely Sicherheit ### Zugangsdaten sicher ohne E-Mail teilen Vier Wege, ein Passwort ohne E-Mail zu teilen, wann welcher passt, und eine Anleitung für einen befristeten Link, der nach einmaligem Öffnen gelöscht wird. https://uselinkpilot.com/de/blog/how-to-share-credentials-securely-without-email Sicherheit ### Webhook-Signing-Secret sicher an Kunden übergeben Ein Webhook-Signing-Secret übergeben, ohne Kopien in E-Mails oder Tickets: Empfänger prüfen, Einmal-Link senden, richtig speichern, bei Leck erneuern. https://uselinkpilot.com/de/blog/how-to-send-a-webhook-signing-secret-to-a-client-securely ## Structured data ```json [ { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://uselinkpilot.com/de" }, { "@type": "ListItem", "position": 2, "name": "Blog", "item": "https://uselinkpilot.com/de/blog" }, { "@type": "ListItem", "position": 3, "name": "AWS Access Key und Secret Key: erstellen, nutzen, rotieren und sicher teilen", "item": "https://uselinkpilot.com/de/blog/aws-access-key-and-secret-key" } ] }, { "@context": "https://schema.org", "@type": "BlogPosting", "@id": "https://uselinkpilot.com/de/blog/aws-access-key-and-secret-key#article", "headline": "AWS Access Key und Secret Key: erstellen, nutzen, rotieren und sicher teilen", "description": "AWS Access Key ID und Secret Access Key: warum der Secret Key nur einmal erscheint, wie Sie rotieren, was nach einem Leak hilft und wie Sie sicher teilen.", "inLanguage": "de", "datePublished": "2026-10-26", "dateModified": "2026-10-26", "image": "https://uselinkpilot.com/logo-512.png", "author": { "@type": "Organization", "@id": "https://uselinkpilot.com/author/linkpilot-team#organization", "name": "LinkPilot Team", "url": "https://uselinkpilot.com/de/author/linkpilot-team" }, "publisher": { "@type": "Organization", "name": "LinkPilot", "url": "https://uselinkpilot.com", "logo": { "@type": "ImageObject", "url": "https://uselinkpilot.com/logo-512.png", "width": 512, "height": 512 } }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://uselinkpilot.com/de/blog/aws-access-key-and-secret-key" } }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Kann ich meinen AWS Secret Access Key nach der Erstellung noch einmal ansehen?", "acceptedAnswer": { "@type": "Answer", "text": "Nein. AWS zeigt den Secret Access Key einmal bei der Erstellung an und danach nie wieder. Wurde er nicht gespeichert, deaktivieren Sie diesen Schlüssel und erstellen Sie einen neuen. Die Access Key ID bleibt in der IAM-Konsole sichtbar." } }, { "@type": "Question", "name": "Ist die Access Key ID dasselbe wie der Secret Access Key?", "acceptedAnswer": { "@type": "Answer", "text": "Nein. Die Access Key ID ist eine öffentliche Kennung, vergleichbar mit einem Benutzernamen, und beginnt bei langfristigen Schlüsseln mit AKIA. Der Secret Access Key ist die Passwort-Hälfte und muss vertraulich bleiben. Anfragen werden mit beiden signiert." } }, { "@type": "Question", "name": "Wo finde ich eine bestehende Access Key ID?", "acceptedAnswer": { "@type": "Answer", "text": "In der IAM-Konsole beim jeweiligen Benutzer auf dem Tab „Security credentials“. Den Secret Key eines bestehenden Schlüssels können Sie nicht abrufen, nur die ID, den Status und den Zeitpunkt der letzten Verwendung." } }, { "@type": "Question", "name": "Vergeben Access Keys selbst Berechtigungen?", "acceptedAnswer": { "@type": "Answer", "text": "Nein. Ein Schlüssel authentifiziert sich als der IAM-Benutzer, zu dem er gehört. Was er darf, bestimmen die IAM-Richtlinien dieses Benutzers. Ein Schlüssel ohne Richtlinien darf nichts, ein Schlüssel eines Administrators darf alles." } }, { "@type": "Question", "name": "Sollte ich einen Schlüssel deaktivieren, bevor ich ihn lösche?", "acceptedAnswer": { "@type": "Answer", "text": "Ja. Deaktivieren Sie ihn zuerst, warten Sie lange genug, um zu sehen, dass nichts ausgefallen ist, und löschen Sie ihn dann. Einen deaktivierten Schlüssel können Sie wieder aktivieren, einen gelöschten nicht." } }, { "@type": "Question", "name": "Was tue ich, wenn ein AWS Access Key offengelegt wurde?", "acceptedAnswer": { "@type": "Answer", "text": "Deaktivieren Sie ihn sofort in IAM, erstellen Sie einen Ersatz und stellen Sie alles um, was ihn genutzt hat. Prüfen Sie in CloudTrail, welche Aktionen mit dem offengelegten Schlüssel ausgeführt wurden, suchen Sie nach neuen Ressourcen oder IAM-Änderungen und entfernen Sie den Schlüssel aus Code, Logs und Commit-Historie. Klären Sie danach, wie er geleakt wurde." } } ], "inLanguage": "de" }, { "@context": "https://schema.org", "@type": "SoftwareApplication", "@id": "https://uselinkpilot.com/#software", "name": "LinkPilot", "applicationCategory": "BusinessApplication", "operatingSystem": "Web", "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.", "url": "https://uselinkpilot.com", "offers": [ { "@type": "Offer", "name": "Free", "price": "0", "priceCurrency": "USD", "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Pro", "price": "29", "priceCurrency": "USD", "priceSpecification": { "@type": "UnitPriceSpecification", "price": "29", "priceCurrency": "USD", "billingDuration": "P1M" }, "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Agency", "price": "299", "priceCurrency": "USD", "priceSpecification": { "@type": "UnitPriceSpecification", "price": "299", "priceCurrency": "USD", "billingDuration": "P1M" }, "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Agency Plus", "price": "799", "priceCurrency": "USD", "priceSpecification": { "@type": "UnitPriceSpecification", "price": "799", "priceCurrency": "USD", "billingDuration": "P1M" }, "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Pro (yearly)", "price": "288", "priceCurrency": "USD", "priceSpecification": { "@type": "UnitPriceSpecification", "price": "288", "priceCurrency": "USD", "billingDuration": "P1Y" }, "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Agency (yearly)", "price": "2988", "priceCurrency": "USD", "priceSpecification": { "@type": "UnitPriceSpecification", "price": "2988", "priceCurrency": "USD", "billingDuration": "P1Y" }, "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Agency Plus (yearly)", "price": "7980", "priceCurrency": "USD", "priceSpecification": { "@type": "UnitPriceSpecification", "price": "7980", "priceCurrency": "USD", "billingDuration": "P1Y" }, "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Enterprise", "priceSpecification": { "@type": "PriceSpecification", "priceCurrency": "USD" }, "url": "https://uselinkpilot.com/pricing" } ] }, { "@context": "https://schema.org", "@type": "Organization", "@id": "https://uselinkpilot.com/#organization", "name": "LinkPilot", "alternateName": "LinkPilot by TetraCore", "url": "https://uselinkpilot.com", "contactPoint": { "@type": "ContactPoint", "contactType": "customer support", "email": "support@uselinkpilot.com", "url": "https://uselinkpilot.com/support" }, "parentOrganization": { "@type": "Organization", "@id": "https://tetracorehq.com/#organization", "name": "TetraCore", "url": "https://tetracorehq.com/" }, "logo": { "@type": "ImageObject", "url": "https://uselinkpilot.com/logo-512.png", "width": 512, "height": 512 }, "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.", "sameAs": [ "https://x.com/uselinkpilot", "https://www.linkedin.com/company/uselinkpilot", "https://facebook.com/uselinkpilot", "https://github.com/TetraCoreHQ/linkpilot-cli", "https://github.com/TetraCoreHQ/linkpilot-mcp", "https://www.npmjs.com/package/linkpilot", "https://www.npmjs.com/package/@uselinkpilot/sdk", "https://www.npmjs.com/package/@uselinkpilot/mcp", "https://chromewebstore.google.com/detail/linkpilot-short-links-and/mnmppadihpcncicldpkmgknhnjkondad", "https://addons.mozilla.org/en-US/firefox/addon/uselinkpilot/" ] }, { "@context": "https://schema.org", "@type": "WebSite", "name": "LinkPilot", "url": "https://uselinkpilot.com", "potentialAction": { "@type": "SearchAction", "target": "https://uselinkpilot.com/blog?q={search_term_string}", "query-input": "required name=search_term_string" } } ] ```