---
title: "Cloud-Secret-Manager: Was er ist und wie Sie einen wählen"
url: https://uselinkpilot.com/de/blog/cloud-secret-manager
description: "Was ein Cloud-Secret-Manager speichert und schützt, wie Sie zwischen AWS, Google, Azure und Vault wählen, ihn einführen und welche Lücke bei Übergaben bleibt."
lang: de
---

Sicherheit (https://uselinkpilot.com/de/blog/category/security)

# Cloud-Secret-Manager: was er ist, wie Sie einen auswählen und was er nicht abdeckt

Was ein Cloud-Secret-Manager speichert und schützt, wie Sie zwischen AWS, Google, Azure und Vault wählen, ihn einführen und welche Lücke bei Übergaben bleibt.

LinkPilot Team (https://uselinkpilot.com/de/author/linkpilot-team) · Die Menschen, die LinkPilot bei TetraCore, LLC entwickeln und betreiben 26. Oktober 2026 · Über LinkPilot (https://uselinkpilot.com/de/about)

Jedes Team kommt irgendwann an den Punkt, an dem Zugangsdaten an zu vielen Orten liegen: eine `.env` auf jedem Laptop, eine angepinnte Nachricht in Slack, eine Tabelle namens „Logins“, eine CI-Variable, die jemand vor zwei Jahren gesetzt hat. Ein Cloud-Secret-Manager ist dafür da, all das an einem Ort zusammenzuführen, der verschlüsselt, zugriffsgeschützt und protokolliert ist.

Dieser Leitfaden erklärt, was ein Cloud-Secret-Manager tut, wie Sie zwischen den wichtigsten Optionen wählen, wie Sie ihn ohne lange Migration einführen und welche eine Aufgabe er nicht übernimmt: ein Geheimnis zu einem Menschen zu bringen, der nicht in Ihrem Cloud-Konto ist.

## Was ein Cloud-Secret-Manager tut

Ein Secret-Manager speichert vertrauliche Werte und gibt sie auf Anfrage an berechtigte Identitäten heraus. Die Kernfunktionen sind bei allen Anbietern gleich:

- **Verschlüsselte Speicherung** im Ruhezustand, mit Schlüsseln im Key-Management-Dienst des Anbieters, und TLS bei der Übertragung.
- **Identitätsbasierter Zugriff**: Für jedes Geheimnis legt eine Richtlinie fest, welche Benutzer, Rollen oder Workloads es lesen, schreiben oder rotieren dürfen. Eine Anwendung authentifiziert sich mit ihrer eigenen Identität, nicht mit einem Master-Passwort.
- **Audit-Logs** für jedes Lesen, Schreiben und Rotieren, mit Angaben dazu, wer was wann getan hat.
- **Versionierung und Rotation**: Ein neuer Wert lässt sich vorab bereitstellen, dann werden die Anwendungen umgestellt und die alte Version stillgelegt. Viele Manager rotieren Datenbank-Zugangsdaten automatisch.
- **Abruf zur Laufzeit**: Die Anwendung holt das Geheimnis beim Start oder bei Bedarf ab, der Wert landet also nie in Code, Images oder Konfigurationsdateien.

Ein Geheimnis ist alles, was Zugriff gewährt. Konfiguration, die nur Verhalten beschreibt, etwa eine Portnummer oder ein Feature-Flag, gehört in die normale Konfiguration. Wer beides mischt, macht den Secret-Speicher unübersichtlich und den Konfigurationsspeicher gefährlich.

## Wie Sie einen auswählen

Meist entscheidet, wo Ihre Workloads laufen und in wie vielen Clouds Sie sind.

| Option | Passt am besten | Darauf achten |
| --- | --- | --- |
| AWS Secrets Manager / Parameter Store | Workloads, die schon auf AWS laufen, überall IAM-Identitäten | Preis pro Geheimnis beim Secrets Manager; Parameter Store ist für einfache Werte günstiger |
| Google Secret Manager | GCP-Projekte, Workloads auf Cloud Run und GKE | Optionen für die regionale Replikation |
| Azure Key Vault | Azure-Workloads, Bedarf an Zertifikatsverwaltung | Getrennte Vaults pro Umgebung, damit die Richtlinien einfach bleiben |
| HashiCorp Vault | Multi-Cloud oder On-Premises, dynamische kurzlebige Zugangsdaten | Eigener Betrieb, außer Sie nutzen die gehostete Version |
| Doppler, Infisical, 1Password Secrets Automation | Kleine Teams, die entwicklerfreundlich auf viele Plattformen synchronisieren wollen | Ein weiterer Anbieter in der Vertrauenskette |

Vier Fragen entscheiden die meisten Fälle. Lässt er sich ohne selbst gebauten Klebecode in Ihre Deployment-Tools und Laufzeitumgebung einbinden? Können sich Workloads mit der Identität authentifizieren, die sie bereits haben? Rotiert er die Arten von Zugangsdaten, die Sie tatsächlich haben? Und landen seine Audit-Logs dort, wo Ihr Sicherheitsteam ohnehin hinschaut? Preise, Regionen und Compliance-Nachweise kommen erst nach diesen vier.

## Einführung ohne Sechs-Monats-Projekt

1. **Bestand aufnehmen und Verantwortliche festlegen.** Listen Sie jedes Geheimnis auf: wo es liegt, was es nutzt und wer dafür verantwortlich ist. Die verantwortliche Person legt die Rotationsrichtlinie und die Zugriffsliste fest.
2. **Zuerst die Identitäten einrichten.** Legen Sie die Rollen oder Service-Accounts für jeden Workload und jede Umgebung an, bevor Sie auch nur einen Wert verschieben. Um Zugriffsrichtlinien nach dem Muster „dieser Dienst, diese Umgebung, nur lesen“ geht es ja gerade.
3. **Nach Risiko migrieren.** Zuerst Passwörter für Produktionsdatenbanken und Zahlungsschlüssel, dann API-Schlüssel von Drittanbietern, dann alles andere. Entfernen Sie jeden Wert beim Umzug aus Code, CI-Variablen und Konfigurationsdateien, und erneuern Sie ihn dabei, denn der alte Wert wurde längst herumkopiert.
4. **Ändern, wie Anwendungen Geheimnisse lesen.** Ersetzen Sie fest eingetragene Werte und Umgebungsdateien durch einen Aufruf des SDK des Managers beim Start, oder injizieren Sie sie über die native Integration der Plattform.
5. **Rotation einschalten** für alles, was der Manager selbst rotieren kann, und für den Rest eine Rotationsfunktion oder ein Runbook schreiben.
6. **Bei Ungewöhnlichem alarmieren.** Ein Lesezugriff von einer neuen Identität, ein sprunghafter Anstieg der Lesezugriffe oder ein Zugriff aus einer Region, in der Sie nichts betreiben, ist einen Alarm wert.

Die typischen Fehler sind vorhersehbar: alte Kopien nach der Migration liegen lassen, einem Workload Lesezugriff auf den gesamten Speicher geben statt nur auf seine eigenen Geheimnisse, und den abgerufenen Wert in die Anwendungslogs schreiben.

## Die Lücke, die ein Secret-Manager nicht schließt

Ein Secret-Manager ist für Maschinen gebaut und für Menschen innerhalb Ihres Identitätssystems. Er ist nicht für den Moment gebaut, in dem Zugangsdaten jemanden außerhalb erreichen müssen: einen externen Dienstleister, der vorübergehend ein Datenbankpasswort braucht, einen Kunden, der seinen ersten Admin-Zugang bekommt, einen Techniker eines Anbieters, der für einen Nachmittag ein Token braucht, eine neue Mitarbeiterin am ersten Tag, bevor ihr SSO-Konto existiert.

Diese Übergaben finden trotzdem statt. Ohne einen vorgesehenen Weg landen sie in E-Mail und Chat, also genau dort, wo Secret-Manager die Zugangsdaten eigentlich herausholen sollten. Der vorgesehene Weg ist ein Einmal-Link (https://uselinkpilot.com/de/tools/free-secret-link-generator). Der Wert wird in Ihrem Browser verschlüsselt, bevor er gespeichert wird, die Nachricht enthält nur einen Link, die gespeicherte Kopie wird beim ersten Öffnen des Links vernichtet, und der Link läuft nach einer festen Zeit ab, wenn ihn niemand öffnet.

Das Muster, das funktioniert: Der Secret-Manager ist das führende System, und der Einmal-Link ist der Zustellweg, wenn ein Mensch außerhalb des Systems einen Wert einmal braucht. Erzeugen Sie die Zugangsdaten, speichern Sie sie im Manager, schicken Sie sie der Person über einen Einmal-Link und erneuern Sie sie, wenn ihr Zugang endet. Secret-Links oder Passwortmanager (https://uselinkpilot.com/de/blog/secret-links-vs-password-managers) überträgt dieselbe Überlegung auf den Passwortmanager des Teams, und der Leitfaden zur Übergabe von Zugangsdaten zwischen Teams (https://uselinkpilot.com/de/blog/how-to-create-a-secure-way-to-hand-off-credentials-between-teams) beschreibt den Ablauf im Alltag.

## Eine kurze Checkliste

- Jedes Geheimnis hat eine verantwortliche Person, eine Zugriffsrichtlinie und eine Rotationsregel.
- Workloads authentifizieren sich mit ihrer eigenen Identität, nie mit einem geteilten Schlüssel.
- Nach der Migration steht kein Geheimnis mehr in Code, Images, CI-Variablen oder im Chat.
- Lesezugriffe werden dort protokolliert, wo tatsächlich jemand hinschaut.
- Menschen außerhalb des Identitätssystems bekommen Geheimnisse über einen Einmal-Link, nicht per Nachricht.

Setzen Sie diese fünf Punkte um, dann ist der Secret-Manager kein bloß gekauftes Produkt mehr. Er ist der Grund, warum keine Zugangsdaten mehr durchsickern.

## Weiterlesen

- API-Schlüssel sicher teilen: https://uselinkpilot.com/de/blog/how-to-share-api-keys-securely
- Sicheres Teilen von Links für Entwickler: https://uselinkpilot.com/de/blog/secure-link-sharing-for-developers
- Zugangsdaten sicher zwischen Teams übergeben: https://uselinkpilot.com/de/blog/how-to-create-a-secure-way-to-hand-off-credentials-between-teams
- Secret-Links oder Passwortmanager: https://uselinkpilot.com/de/blog/secret-links-vs-password-managers

## Tools zu diesem Artikel

One-Time-Secret-Link-Generator

Teilen Sie ein Passwort oder eine Notiz über einen Link, der sich nur einmal öffnen lässt.
https://uselinkpilot.com/de/tools/free-secret-link-generator

Selbstlöschende Nachricht

Senden Sie eine Notiz, die nach einmaligem Lesen verschwindet.
https://uselinkpilot.com/de/tools/burn-after-read-secret

Generator für ablaufende Links

Erstellen Sie Links, die zu einem festgelegten Zeitpunkt nicht mehr funktionieren.
https://uselinkpilot.com/de/tools/temporary-link

## Häufige Fragen

### Was ist ein Cloud-Secret-Manager?

### Was gehört in einen Secret-Manager?

### Wie lesen Anwendungen Geheimnisse daraus?

### Wie oft sollte man Geheimnisse rotieren?

### Verschlüsseln Secret-Manager gespeicherte Werte?

### Was ist der Unterschied zwischen dem Speichern und dem Teilen von Geheimnissen?

## LinkPilot verschickt einen Secret-Link, der nach dem Öffnen verschwunden ist.

In Ihrem Browser verschlüsselt, einmal angezeigt, dann gelöscht. Ohne Konto.

Secret-Link erstellen (https://uselinkpilot.com/de/tools/free-secret-link-generator)

## Weiterlesen

Sicherheit

### AWS Access Key und Secret Key: erstellen, nutzen, rotieren und sicher teilen

AWS Access Key ID und Secret Access Key: warum der Secret Key nur einmal erscheint, wie Sie rotieren, was nach einem Leak hilft und wie Sie sicher teilen.
https://uselinkpilot.com/de/blog/aws-access-key-and-secret-key

Sicherheit

### SSH-Zugangsdaten sicher per ablaufendem Link teilen

Nutzen Sie den öffentlichen Schlüssel des Empfängers. Privaten Schlüssel oder Passwort per ablaufendem Einmal-Link senden, Host und Benutzernamen getrennt.
https://uselinkpilot.com/de/blog/how-to-share-ssh-credentials-with-a-link-that-expires-securely

Sicherheit

### Zugangsdaten sicher ohne E-Mail teilen

Vier Wege, ein Passwort ohne E-Mail zu teilen, wann welcher passt, und eine Anleitung für einen befristeten Link, der nach einmaligem Öffnen gelöscht wird.
https://uselinkpilot.com/de/blog/how-to-share-credentials-securely-without-email

## Structured data

```json
[
  {
    "@context": "https://schema.org",
    "@type": "BreadcrumbList",
    "itemListElement": [
      {
        "@type": "ListItem",
        "position": 1,
        "name": "Startseite",
        "item": "https://uselinkpilot.com/de"
      },
      {
        "@type": "ListItem",
        "position": 2,
        "name": "Blog",
        "item": "https://uselinkpilot.com/de/blog"
      },
      {
        "@type": "ListItem",
        "position": 3,
        "name": "Cloud-Secret-Manager: Funktion, Auswahl und Grenzen",
        "item": "https://uselinkpilot.com/de/blog/cloud-secret-manager"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "BlogPosting",
    "@id": "https://uselinkpilot.com/de/blog/cloud-secret-manager#article",
    "headline": "Cloud-Secret-Manager: Funktion, Auswahl und Grenzen",
    "description": "Was ein Cloud-Secret-Manager speichert und schützt, wie Sie zwischen AWS, Google, Azure und Vault wählen, ihn einführen und welche Lücke bei Übergaben bleibt.",
    "inLanguage": "de",
    "datePublished": "2026-10-26",
    "dateModified": "2026-10-26",
    "image": "https://uselinkpilot.com/logo-512.png",
    "author": {
      "@type": "Organization",
      "@id": "https://uselinkpilot.com/author/linkpilot-team#organization",
      "name": "LinkPilot Team",
      "url": "https://uselinkpilot.com/de/author/linkpilot-team"
    },
    "publisher": {
      "@type": "Organization",
      "name": "LinkPilot",
      "url": "https://uselinkpilot.com",
      "logo": {
        "@type": "ImageObject",
        "url": "https://uselinkpilot.com/logo-512.png",
        "width": 512,
        "height": 512
      }
    },
    "mainEntityOfPage": {
      "@type": "WebPage",
      "@id": "https://uselinkpilot.com/de/blog/cloud-secret-manager"
    }
  },
  {
    "@context": "https://schema.org",
    "@type": "FAQPage",
    "mainEntity": [
      {
        "@type": "Question",
        "name": "Was ist ein Cloud-Secret-Manager?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Ein verwalteter Dienst, der Zugangsdaten wie API-Schlüssel, Datenbankpasswörter und Zertifikate verschlüsselt speichert, festlegt, welche Identitäten welches davon lesen dürfen, jeden Zugriff protokolliert und Werte nach Zeitplan rotieren kann. Anwendungen holen Geheimnisse zur Laufzeit dort ab, statt sie in Code oder Konfiguration zu halten."
        }
      },
      {
        "@type": "Question",
        "name": "Was gehört in einen Secret-Manager?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Alles, was Zugriff gewährt: Passwörter, API-Schlüssel, Token, private Schlüssel, Zertifikate, Verbindungszeichenfolgen mit eingebetteten Zugangsdaten. Reine Konfiguration wie Log-Level und Feature-Flags gehört in die Konfiguration, nicht in den Secret-Speicher."
        }
      },
      {
        "@type": "Question",
        "name": "Wie lesen Anwendungen Geheimnisse daraus?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Über das SDK oder die CLI des Anbieters, authentifiziert mit der eigenen Identität des Workloads, zum Beispiel einer IAM-Rolle oder einem Kubernetes-Service-Account. Die Anwendung hält nie langlebige Zugangsdaten, um den Secret-Speicher zu erreichen."
        }
      },
      {
        "@type": "Question",
        "name": "Wie oft sollte man Geheimnisse rotieren?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Nach Zeitplan bei langlebigen Werten, die das unterstützen, und sofort bei bestimmten Ereignissen: wenn jemand das Team verlässt, bei einem Anbieterwechsel, bei jedem Verdacht auf Offenlegung. Die meisten Manager rotieren Datenbankpasswörter automatisch; API-Schlüssel von Drittanbietern brauchen meist eine Rotationsfunktion oder einen manuellen Schritt."
        }
      },
      {
        "@type": "Question",
        "name": "Verschlüsseln Secret-Manager gespeicherte Werte?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Ja, im Ruhezustand mit einem Schlüssel aus dem Key-Management-Dienst des Anbieters und bei der Übertragung per TLS. Der Zugriff richtet sich trotzdem nach den Berechtigungen, die Sie festlegen. Gegen eine zu weit gefasste Richtlinie schützt die Verschlüsselung also nicht."
        }
      },
      {
        "@type": "Question",
        "name": "Was ist der Unterschied zwischen dem Speichern und dem Teilen von Geheimnissen?",
        "acceptedAnswer": {
          "@type": "Answer",
          "text": "Speichern betrifft den Ort, an dem ein Geheimnis liegt, und wie Maschinen und berechtigte Personen es über die Zeit abrufen. Teilen ist der Moment, in dem ein Wert eine Person erreichen muss, die nicht in diesem System ist: einen externen Dienstleister, einen Kunden, eine neue Mitarbeiterin. Ein Secret-Manager übernimmt das Erste. Ein Einmal-Link übernimmt das Zweite, ohne eine Kopie in einer Nachricht zu hinterlassen."
        }
      }
    ],
    "inLanguage": "de"
  },
  {
    "@context": "https://schema.org",
    "@type": "SoftwareApplication",
    "@id": "https://uselinkpilot.com/#software",
    "name": "LinkPilot",
    "applicationCategory": "BusinessApplication",
    "operatingSystem": "Web",
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "url": "https://uselinkpilot.com",
    "offers": [
      {
        "@type": "Offer",
        "name": "Free",
        "price": "0",
        "priceCurrency": "USD",
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro",
        "price": "29",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "29",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency",
        "price": "299",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "299",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus",
        "price": "799",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "799",
          "priceCurrency": "USD",
          "billingDuration": "P1M"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Pro (yearly)",
        "price": "288",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "288",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency (yearly)",
        "price": "2988",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "2988",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Agency Plus (yearly)",
        "price": "7980",
        "priceCurrency": "USD",
        "priceSpecification": {
          "@type": "UnitPriceSpecification",
          "price": "7980",
          "priceCurrency": "USD",
          "billingDuration": "P1Y"
        },
        "url": "https://uselinkpilot.com/pricing"
      },
      {
        "@type": "Offer",
        "name": "Enterprise",
        "priceSpecification": {
          "@type": "PriceSpecification",
          "priceCurrency": "USD"
        },
        "url": "https://uselinkpilot.com/pricing"
      }
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "Organization",
    "@id": "https://uselinkpilot.com/#organization",
    "name": "LinkPilot",
    "alternateName": "LinkPilot by TetraCore",
    "url": "https://uselinkpilot.com",
    "contactPoint": {
      "@type": "ContactPoint",
      "contactType": "customer support",
      "email": "support@uselinkpilot.com",
      "url": "https://uselinkpilot.com/support"
    },
    "parentOrganization": {
      "@type": "Organization",
      "@id": "https://tetracorehq.com/#organization",
      "name": "TetraCore",
      "url": "https://tetracorehq.com/"
    },
    "logo": {
      "@type": "ImageObject",
      "url": "https://uselinkpilot.com/logo-512.png",
      "width": 512,
      "height": 512
    },
    "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.",
    "sameAs": [
      "https://x.com/uselinkpilot",
      "https://www.linkedin.com/company/uselinkpilot",
      "https://facebook.com/uselinkpilot",
      "https://github.com/TetraCoreHQ/linkpilot-cli",
      "https://github.com/TetraCoreHQ/linkpilot-mcp",
      "https://www.npmjs.com/package/linkpilot",
      "https://www.npmjs.com/package/@uselinkpilot/sdk",
      "https://www.npmjs.com/package/@uselinkpilot/mcp",
      "https://chromewebstore.google.com/detail/linkpilot-short-links-and/mnmppadihpcncicldpkmgknhnjkondad",
      "https://addons.mozilla.org/en-US/firefox/addon/uselinkpilot/"
    ]
  },
  {
    "@context": "https://schema.org",
    "@type": "WebSite",
    "name": "LinkPilot",
    "url": "https://uselinkpilot.com",
    "potentialAction": {
      "@type": "SearchAction",
      "target": "https://uselinkpilot.com/blog?q={search_term_string}",
      "query-input": "required name=search_term_string"
    }
  }
]
```