--- title: "Konfigurationsdatei sicher an Entwickler übergeben" url: https://uselinkpilot.com/de/blog/how-to-securely-deliver-a-config-file-to-a-developer description: "Einstellungen von Geheimnissen trennen, geheime Werte per Einmal-Link oder selbstlöschendem Anhang schicken und die .env aus Git heraushalten." lang: de --- Sicherheit (https://uselinkpilot.com/de/blog/category/security) # So übergeben Sie eine Konfigurationsdatei sicher an einen Entwickler Einstellungen von Geheimnissen trennen, geheime Werte per Einmal-Link oder selbstlöschendem Anhang schicken und die .env aus Git heraushalten. LinkPilot Team (https://uselinkpilot.com/de/author/linkpilot-team) · Die Menschen, die LinkPilot bei TetraCore, LLC entwickeln und betreiben 26. Oktober 2026 · Über LinkPilot (https://uselinkpilot.com/de/about) Eine neue Entwicklerin fängt an oder ein externer Entwickler steigt ins Projekt ein, und als Erstes wird die `.env` gebraucht, mit der das Projekt läuft. Diese Datei mischt meist harmlose Einstellungen mit den sensibelsten Werten, die das Team besitzt. Genau deshalb landet sie so oft in einer Direktnachricht oder als E-Mail-Anhang mit dem Betreff „config“. Wer eine Konfigurationsdatei sicher an einen Entwickler übergeben will, behandelt sie als zwei Dinge: Einstellungen, die auf jedem Weg reisen dürfen, und Geheimnisse, die genau einmal über einen Kanal reisen, der keine Kopien behält. Dieser Leitfaden zeigt, wie Sie beides trennen, wie Sie den geheimen Teil verschicken und was Sie dem Entwickler mitgeben, damit die Datei auch nach der Ankunft sicher bleibt. ## Lesen Sie die Datei, als wäre jede Zeile öffentlich Öffnen Sie die Datei und ordnen Sie jede Zeile einer von zwei Gruppen zu. - **Einstellungen**: Log-Level, Ports, Feature-Flags, Endpunkte außerhalb der Produktion, öffentliche Client-IDs. Sie gehören als Beispieldatei ins Repository und dürfen auf jedem beliebigen Weg verschickt werden. - **Geheimnisse**: Datenbankpasswörter, API-Schlüssel, Signing-Secrets, private Schlüssel, OAuth-Client-Secrets und alles andere, was Zugriff gewährt. Suchen Sie nach `PASSWORD`, `SECRET`, `TOKEN`, `KEY` und `PRIVATE` und lesen Sie danach den Rest. Ein Connection-String mit eingebettetem Passwort gibt sich nämlich nicht zu erkennen. Fragen Sie dann, woran der Entwickler arbeitet. Lokale Entwicklung gegen Staging braucht die Staging-Werte. Sie braucht keine Produktionsschlüssel und auch nicht den Live-Schlüssel des Zahlungsanbieters, nur weil zufällig einer in der Datei steht. ## Halten Sie Geheimnisse aus der eingecheckten Datei heraus Die eingecheckte `.env.example` dokumentiert jede Variable mit einem Platzhalter. Die echten Werte kommen zur Laufzeit aus der Umgebung, aus einem Secrets Manager oder aus dem Secret-Speicher der Plattform. Mit diesem Muster besteht die Datei, die Sie übergeben, nur noch aus den geheimen Werten, und die lokale Kopie des Entwicklers ist der einzige Ort, an dem alles zusammenkommt. ```bash # .env.example (committed) DATABASE_URL=postgres://app:CHANGE_ME@staging-db.internal:5432/app STRIPE_SECRET_KEY=sk_test_CHANGE_ME SESSION_SECRET=CHANGE_ME LOG_LEVEL=debug ``` Tragen Sie `.env` in die `.gitignore` ein, bevor irgendjemand eine echte Datei hat, und richten Sie am besten einen Pre-Commit-Hook wie gitleaks ein, damit ein versehentlicher Commit sofort scheitert. ## Geben Sie dem Entwickler wenn möglich eigene Zugangsdaten Eine Übergabe ist auch eine Gelegenheit, mit dem Teilen aufzuhören. Unterstützt die Datenbank individuelle Benutzer, legen Sie einen für den Entwickler an, mit den Rechten, die seine Arbeit braucht, und einem Ablaufdatum. Bietet die API eingeschränkte Schlüssel an, stellen Sie einen auf seinen Namen aus. Der Leitfaden zum Datenbank-Login für Externe (https://uselinkpilot.com/de/blog/how-to-send-a-temporary-database-login-to-a-contractor-securely) beschreibt dieses Vorgehen. Zugangsdaten, die für eine Person erstellt wurden, lassen sich für diese eine Person wieder entfernen. ## So übergeben Sie die geheimen Werte Zwei Wege funktionieren, und bei beiden bleibt die Datei nicht in einer Nachricht liegen. **Fügen Sie die geheimen Zeilen in einen Einmal-Link ein.** Öffnen Sie das Secret-Link-Tool (https://uselinkpilot.com/de/tools/free-secret-link-generator), fügen Sie nur die Zeilen mit Geheimnissen ein und erstellen Sie den Link. Der Text wird in Ihrem Browser verschlüsselt, bevor er gespeichert wird. Die gespeicherte Kopie wird beim ersten Öffnen des Links gelöscht, und öffnet niemand den Link, läuft er nach einer Stunde, 24 Stunden oder sieben Tagen ab. Ohne Konto passen bis zu 10.000 Zeichen hinein, das reicht für die meisten `.env`-Dateien um ein Vielfaches. **Hängen Sie die ganze Datei an einen Secret-Link.** Mit einem angemeldeten LinkPilot-Konto können Sie bis zu drei Dateien mit je 9 MB an ein Geheimnis anhängen. Jede Datei wird in Ihrem Browser mit einem Schlüssel verschlüsselt, der aus dem Schlüssel des Geheimnisses abgeleitet ist. Der Server hat die Datei also nie im Klartext, und der Anhang wird nach dem einzigen Download gelöscht. Dieser Weg ist besser, wenn die Datei Byte für Byte ankommen muss, etwa eine JSON-Datei für ein Dienstkonto oder ein Keystore. In beiden Fällen gilt: 1. **Prüfen Sie die Identität des Entwicklers** über den Einstellungs- oder Vertragskanal, nicht über die Adresse, die nach der Datei gefragt hat. 2. **Legen Sie den Ablauf** auf den Zeitraum fest, den er tatsächlich braucht. Eine Stunde, wenn er gerade wartet, einen Tag, wenn er in einer anderen Zeitzone sitzt. 3. **Setzen Sie das Limit für Aufrufe auf eins.** 4. **Fügen Sie mit einem Pro-Konto eine Passphrase hinzu**, wenn es um Produktionswerte geht, und schicken Sie sie über einen anderen Kanal. 5. **Schicken Sie den Link mit einer kurzen Notiz**, was er enthält und wohin die Datei gehört. Die nicht geheimen Einstellungen schicken Sie getrennt, oder Sie verweisen auf die Beispieldatei im Repository. Eine Einladung in einen Tresor ist der bessere Weg, wenn der Entwickler fest angestellt ist und Ihr Team bereits einen Secrets Manager mit Zugriff pro Person betreibt. Den Einmal-Link nutzen Sie für die Zeit, bis das eingerichtet ist, und für alle, die nie Zugang zum Tresor bekommen. ## Sagen Sie dem Entwickler, wohin die Datei gehört Auch eine saubere Übergabe kann schlecht enden, wenn die Datei in einem geteilten Ordner landet. Schicken Sie mit den Verbindungsdaten diese Hinweise mit: - **Speichern Sie sie als `.env` im Stammverzeichnis des Projekts** und nirgendwo sonst. Prüfen Sie vor dem ersten Commit, dass `.gitignore` sie abdeckt. - **Fügen Sie keine Werte in Tickets oder Chats ein**, um zu fragen, ob sie stimmen. Melden Sie eine fehlende oder ungültige Variable nur mit ihrem Namen, dann stellt der Absender einen neuen Wert aus. - **Am Ende wird erneuert.** Endet die Zusammenarbeit, werden die Werte in dieser Datei erneuert. Sagen Sie das von Anfang an, damit niemand überrascht ist. ## Erst bestätigen lassen, dann aufräumen Bitten Sie den Entwickler, Dateinamen, Umgebung und ein nicht geheimes Merkmal zu bestätigen, etwa einen Versionskommentar in der ersten Zeile. Meldet ein Einmal-Link, dass er geöffnet wurde, bevor der Entwickler dazu kam, gilt jeder Wert darin als offengelegt und wird erneuert. Ist die Übergabe abgeschlossen, widerrufen Sie jeden Link, der nie geöffnet wurde, entfernen Sie temporäre Kopien, die Sie irgendwo abgelegt haben, und halten Sie fest, wer wann die Werte welcher Umgebung bekommen hat. Diese Aufzeichnung ist Ihr Audit-Trail. Die Datei selbst sollte nur auf dem Rechner existieren, der sie braucht. ## Weiterlesen - API-Schlüssel sicher teilen: https://uselinkpilot.com/de/blog/how-to-share-api-keys-securely - Sicheres Teilen von Links für Entwickler: https://uselinkpilot.com/de/blog/secure-link-sharing-for-developers - Einen temporären sicheren Link zum Teilen von Dateien erstellen: https://uselinkpilot.com/de/blog/how-to-create-a-temporary-secure-link-for-sharing-files - So funktionieren One-Time-Secret-Links: https://uselinkpilot.com/de/blog/how-one-time-secret-links-work ## Tools zu diesem Artikel One-Time-Secret-Link-Generator Teilen Sie ein Passwort oder eine Notiz über einen Link, der sich nur einmal öffnen lässt. https://uselinkpilot.com/de/tools/free-secret-link-generator Selbstlöschende Nachricht Senden Sie eine Notiz, die nach einmaligem Lesen verschwindet. https://uselinkpilot.com/de/tools/burn-after-read-secret Generator für ablaufende Links Erstellen Sie Links, die zu einem festgelegten Zeitpunkt nicht mehr funktionieren. https://uselinkpilot.com/de/tools/temporary-link ## Häufige Fragen ### Ist es sicher, eine Konfigurationsdatei per E-Mail zu schicken? ### Sollten Geheimnisse überhaupt in der Konfigurationsdatei stehen? ### Wie teile ich eine .env am sichersten mit einem externen Dienstleister? ### Sollte ich eine Konfigurationsdatei vor dem Teilen verschlüsseln? ### Wie stelle ich sicher, dass der Entwickler die richtige Datei bekommen hat? ### Was tun, wenn ich die Datei an die falsche Person geschickt habe? ## LinkPilot verschickt einen Secret-Link, der nach dem Öffnen verschwunden ist. In Ihrem Browser verschlüsselt, einmal angezeigt, dann gelöscht. Ohne Konto. Secret-Link erstellen (https://uselinkpilot.com/de/tools/free-secret-link-generator) ## Weiterlesen Sicherheit ### Sicheres Teilen von Geheimnissen in Remote-Teams einführen In fünf Schritten Geheimnisse im Remote-Team sicher teilen: Bestandsaufnahme, Tresor oder Einmal-Link je nach Lebensdauer, drei Regeln, Slack, Plan für Lecks. https://uselinkpilot.com/de/blog/how-to-implement-secure-secret-sharing-for-remote-teams Sicherheit ### Zugangsdaten sicher zwischen Teams übergeben Zugangsdaten sicher zwischen Teams übergeben: Tresor oder Einmal-Link je nach Nutzung, Rechte beschränken, Verantwortliche benennen, pünktlich widerrufen. https://uselinkpilot.com/de/blog/how-to-create-a-secure-way-to-hand-off-credentials-between-teams Link-Tracking ### Branded URLs für mehrere Kundenkonten verwalten Branded URLs in der Agentur: ein Workspace und eine Domain pro Kunde, Rollen, die Agentur und Kunde trennen, und eine Checkliste fürs Offboarding. https://uselinkpilot.com/de/blog/how-to-manage-branded-urls-across-multiple-client-accounts ## Structured data ```json [ { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Startseite", "item": "https://uselinkpilot.com/de" }, { "@type": "ListItem", "position": 2, "name": "Blog", "item": "https://uselinkpilot.com/de/blog" }, { "@type": "ListItem", "position": 3, "name": "Konfigurationsdatei sicher an Entwickler übergeben", "item": "https://uselinkpilot.com/de/blog/how-to-securely-deliver-a-config-file-to-a-developer" } ] }, { "@context": "https://schema.org", "@type": "BlogPosting", "@id": "https://uselinkpilot.com/de/blog/how-to-securely-deliver-a-config-file-to-a-developer#article", "headline": "Konfigurationsdatei sicher an Entwickler übergeben", "description": "Einstellungen von Geheimnissen trennen, geheime Werte per Einmal-Link oder selbstlöschendem Anhang schicken und die .env aus Git heraushalten.", "inLanguage": "de", "datePublished": "2026-10-26", "dateModified": "2026-10-26", "image": "https://uselinkpilot.com/logo-512.png", "author": { "@type": "Organization", "@id": "https://uselinkpilot.com/author/linkpilot-team#organization", "name": "LinkPilot Team", "url": "https://uselinkpilot.com/de/author/linkpilot-team" }, "publisher": { "@type": "Organization", "name": "LinkPilot", "url": "https://uselinkpilot.com", "logo": { "@type": "ImageObject", "url": "https://uselinkpilot.com/logo-512.png", "width": 512, "height": 512 } }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://uselinkpilot.com/de/blog/how-to-securely-deliver-a-config-file-to-a-developer" } }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Ist es sicher, eine Konfigurationsdatei per E-Mail zu schicken?", "acceptedAnswer": { "@type": "Answer", "text": "Nicht, wenn sie aktive Geheimnisse enthält. E-Mail hinterlässt Kopien in beiden Postfächern, auf jedem synchronisierten Gerät und in den Backups dahinter. Schicken Sie die geheimen Werte per Einmal-Link und nutzen Sie E-Mail nur für die nicht geheimen Einstellungen." } }, { "@type": "Question", "name": "Sollten Geheimnisse überhaupt in der Konfigurationsdatei stehen?", "acceptedAnswer": { "@type": "Answer", "text": "Nur wenn die Anwendung es verlangt. Besser sind Platzhalter in der eingecheckten Datei, und die echten Werte kommen zur Laufzeit aus der Umgebung oder einem Secrets Manager. Die eingecheckte Beispieldatei dokumentiert den Aufbau, die geheimen Werte reisen getrennt." } }, { "@type": "Question", "name": "Wie teile ich eine .env am sichersten mit einem externen Dienstleister?", "acceptedAnswer": { "@type": "Answer", "text": "Prüfen Sie die Identität der Person, geben Sie ihr eigene Zugangsdaten, beschränkt auf die Umgebung, die sie braucht, schicken Sie diese Werte per Einmal-Link und sagen Sie ihr, wohin die Datei gehört und dass sie nie committet werden darf." } }, { "@type": "Question", "name": "Sollte ich eine Konfigurationsdatei vor dem Teilen verschlüsseln?", "acceptedAnswer": { "@type": "Answer", "text": "Hängen Sie sie an einen Secret-Link von LinkPilot, wird sie vor dem Hochladen in Ihrem Browser verschlüsselt und nach einem Download gelöscht. Ein zusätzlicher Schritt ist dann nicht nötig. Nutzen Sie einen anderen Kanal, verschlüsseln Sie die Datei mit einem Tool wie age oder einem passwortgeschützten Archiv und schicken Sie die Passphrase auf einem anderen Weg." } }, { "@type": "Question", "name": "Wie stelle ich sicher, dass der Entwickler die richtige Datei bekommen hat?", "acceptedAnswer": { "@type": "Answer", "text": "Bitten Sie ihn, Dateinamen, Umgebung und ein nicht geheimes Merkmal zu bestätigen, etwa einen Versionskommentar am Dateianfang. Bitten Sie ihn nie, den Inhalt zurückzuschicken." } }, { "@type": "Question", "name": "Was tun, wenn ich die Datei an die falsche Person geschickt habe?", "acceptedAnswer": { "@type": "Answer", "text": "Erneuern Sie jedes Geheimnis darin bei den Systemen, die es akzeptieren, und aktualisieren Sie dann die Deployments, die die alten Werte genutzt haben. Die Datei selbst lässt sich nicht zurückholen." } } ], "inLanguage": "de" }, { "@context": "https://schema.org", "@type": "SoftwareApplication", "@id": "https://uselinkpilot.com/#software", "name": "LinkPilot", "applicationCategory": "BusinessApplication", "operatingSystem": "Web", "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.", "url": "https://uselinkpilot.com", "offers": [ { "@type": "Offer", "name": "Free", "price": "0", "priceCurrency": "USD", "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Pro", "price": "29", "priceCurrency": "USD", "priceSpecification": { "@type": "UnitPriceSpecification", "price": "29", "priceCurrency": "USD", "billingDuration": "P1M" }, "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Agency", "price": "299", "priceCurrency": "USD", "priceSpecification": { "@type": "UnitPriceSpecification", "price": "299", "priceCurrency": "USD", "billingDuration": "P1M" }, "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Agency Plus", "price": "799", "priceCurrency": "USD", "priceSpecification": { "@type": "UnitPriceSpecification", "price": "799", "priceCurrency": "USD", "billingDuration": "P1M" }, "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Pro (yearly)", "price": "288", "priceCurrency": "USD", "priceSpecification": { "@type": "UnitPriceSpecification", "price": "288", "priceCurrency": "USD", "billingDuration": "P1Y" }, "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Agency (yearly)", "price": "2988", "priceCurrency": "USD", "priceSpecification": { "@type": "UnitPriceSpecification", "price": "2988", "priceCurrency": "USD", "billingDuration": "P1Y" }, "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Agency Plus (yearly)", "price": "7980", "priceCurrency": "USD", "priceSpecification": { "@type": "UnitPriceSpecification", "price": "7980", "priceCurrency": "USD", "billingDuration": "P1Y" }, "url": "https://uselinkpilot.com/pricing" }, { "@type": "Offer", "name": "Enterprise", "priceSpecification": { "@type": "PriceSpecification", "priceCurrency": "USD" }, "url": "https://uselinkpilot.com/pricing" } ] }, { "@context": "https://schema.org", "@type": "Organization", "@id": "https://uselinkpilot.com/#organization", "name": "LinkPilot", "alternateName": "LinkPilot by TetraCore", "url": "https://uselinkpilot.com", "contactPoint": { "@type": "ContactPoint", "contactType": "customer support", "email": "support@uselinkpilot.com", "url": "https://uselinkpilot.com/support" }, "parentOrganization": { "@type": "Organization", "@id": "https://tetracorehq.com/#organization", "name": "TetraCore", "url": "https://tetracorehq.com/" }, "logo": { "@type": "ImageObject", "url": "https://uselinkpilot.com/logo-512.png", "width": 512, "height": 512 }, "description": "LinkPilot is a secure link management platform for creating branded short links, tracking engagement, and sharing secrets with expiring, protected, self-destructing links.", "sameAs": [ "https://x.com/uselinkpilot", "https://www.linkedin.com/company/uselinkpilot", "https://facebook.com/uselinkpilot", "https://github.com/TetraCoreHQ/linkpilot-cli", "https://github.com/TetraCoreHQ/linkpilot-mcp", "https://www.npmjs.com/package/linkpilot", "https://www.npmjs.com/package/@uselinkpilot/sdk", "https://www.npmjs.com/package/@uselinkpilot/mcp", "https://chromewebstore.google.com/detail/linkpilot-short-links-and/mnmppadihpcncicldpkmgknhnjkondad", "https://addons.mozilla.org/en-US/firefox/addon/uselinkpilot/" ] }, { "@context": "https://schema.org", "@type": "WebSite", "name": "LinkPilot", "url": "https://uselinkpilot.com", "potentialAction": { "@type": "SearchAction", "target": "https://uselinkpilot.com/blog?q={search_term_string}", "query-input": "required name=search_term_string" } } ] ```