Was ist Secrets Management?

Unternehmen setzen zunehmend nicht-menschliche Identitäten ein, um wichtige Geschäftsprozesse und Workflows zu automatisieren. Zu diesen Identitäten können Dienstkonten, Pipelines für die kontinuierliche Integration und kontinuierliche Bereitstellung (CI/CD), Container, Microservices und Orchestrierungstools gehören. Dazu zählen auch Robotic Process Automation (RPA) – Software-Bots, die menschliche Handlungen nachahmen – und seit kurzem auch KI-Agenten. 

Ähnlich wie menschliche Nutzer benötigen auch nicht-menschliche Entitäten Anmeldedaten oder „Geheimnisse“, um sich bei Systemen und Diensten zu authentifizieren und auf Unternehmensressourcen zuzugreifen – oft mit erweiterten Berechtigungen. Ein automatisierter Backup-Prozess könnte zum vertrauliche Dateien lesen und Systemeinstellungen modifizieren.

Für Hacker sind diese privilegierten nicht-menschlichen Konten besonders attraktive Ziele. Sie ermöglichen es Bedrohungsakteuren, Zugriffsrechte zu missbrauchen, um Daten zu stehlen und kritische Systeme zu beschädigen, ohne dabei entdeckt zu werden. Laut dem IBM X-Force Threat Intelligence Index ist die Übernahme legitimer Konten der zweithäufigste Cyberangriffsvektor und machte 32 % aller Vorfälle aus, auf die X-Force im vergangenen Jahr reagiert hat.

Secrets-Management-Systeme tragen zur Bekämpfung dieser Cyberbedrohungen bei, indem sie es Unternehmen ermöglichen, die vertraulichen Daten, die nicht-menschliche Entitäten für den Zugriff auf IT-Ressourcen verwenden, zu erstellen, zu kontrollieren und zu sichern. Mithilfe von Secrets-Management-Tools können IT-Teams nicht-menschliche Zugangsdaten während ihres gesamten Lebenszyklus schützen, automatisierte Workflows optimieren und gleichzeitig Datenschutzverletzungen, Manipulationen, Diebstahl und anderen unbefugten Zugriff verhindern.

Geheimnisse sind digitale Zugangsdaten, die in einer Anwendung oder einem Dienst enthalten sind und es nichtmenschlichen Benutzern ermöglichen, mit einem Dienst, einer Datenbank, einer Anwendung oder einer anderen IT-Ressourcen zu kommunizieren und Aktionen auszuführen. Geheimnisse helfen Unternehmen dabei, ihren Sicherheitsstatus zu stärken, indem sie sicherstellen, dass nur autorisierte Benutzer Zugriff auf sensible Daten und Systeme haben.

Beispiele für Geheimnisse:

• Zugangsdaten für Service-Konten: Service-Konten ermöglichen es Apps und automatisierten Workflows, mit Betriebssystemen zu interagieren. Zu den Zugangsdaten von Service-Konten können Passwörter, Tokens, Kerberos-Tickets und andere Geheimnisse gehören.
  
  
• API-Schlüssel: API-Schlüssel ermöglichen es Benutzern, Anwendungen und Diensten, sich gegenüber Anwendungsprogrammierschnittstellen (APIs) zu verifizieren.
  
  
• Verschlüsselungsschlüssel: Verschlüsselungsschlüssel ermöglichen Benutzern das Verschlüsseln und Entschlüsseln von Daten.
  
  
• Authentifizierungs- und Autorisierungstoken: Token, wie sie im OAuth-Protokoll verwendet werden, sind Informationen, die die Identität eines Benutzers überprüfen und die spezifischen Ressourcen bestimmen können, auf die er zugreifen kann.
  
  
• SSH-Schlüssel (Secure Shell): SSH-Schlüssel werden von SSH-Servern verwendet, um einen Benutzer oder ein Gerät durch Public-Key-Kryptografie zu identifizieren.
  
  

• PKI-Zertifikate und private Schlüssel (SSL/TLS/mTLS): Von einer Zertifizierungsstelle ausgestellte Zertifikate und die dazugehörigen privaten Schlüssel dienen der Authentifizierung von Endpunkten und dem Aufbau verschlüsselter SSL/TLS-Verbindungen, einschließlich der gegenseitigen TLS-Authentifizierung (mTLS).

• Beliebige Geheimnisse: Hierbei handelt es sich um sensible Daten, einschließlich aller Arten strukturierter und unstrukturierter Daten, die für den Zugriff auf eine Anwendung oder Ressource verwendet werden können.

• Verbindungszeichenfolgen: Eine Textzeichenfolge, die die Anweisungen enthält, die ein Computerprogramm benötigt, um eine Verbindung zu einer Datenquelle herzustellen, darunter Datenbanken, Dateien oder Tabellenkalkulationen.

• Andere kryptografische Schlüssel: Dazu können HMAC-Schlüssel (Hash-based Message Authentication Code), Codesignaturschlüssel und andere private Schlüssel gehören, die zum Signieren oder zur Verifizierung verwendet werden.

Secrets Management ist eine wichtige Sicherheitslösung, die Unternehmen dabei unterstützt, sensible Anmeldedaten und andere vertrauliche Informationen wie Passwörter, API-Schlüssel und Tokens sicher zu speichern, zu kontrollieren und regelmäßig zu aktualisieren. 

Es ist eine von vier Kernfunktionen der Steuerung privilegierter Zugriffsrechte (PAM) als Teilbereich des Identity and Access Management (IAM), der sich auf die Sicherung privilegierter Konten und Benutzer konzentriert.

Zu den weiteren drei Funktionen von PAM gehören:

• Privileged Account and Session Management (Verwaltung privilegierter Konten und Sitzungen, PASM) für die Verwaltung des Lebenszyklus von Konten, die Verwaltung von Passwörtern und die Überwachung von Sitzungen. 
  
  
• Privilege Elevation and Delegation Management (Verwaltung von Berechtigungserweiterung und -delegation, PEDM) für das automatische Bewerten, Genehmigen und Ablehnen von Anfragen auf privilegierten Zugriff 
  
  
• Cloud-Infrastruktur-Berechtigungsmanagement (CIEM), das die Berechtigungen und Zugriffsrechte in Cloud Computing-Umgebungen verwaltet.

Secrets Management ist wichtig für die DevOps-Methodik, die den Schwerpunkt auf die automatisierte, kontinuierliche Softwarebereitstellung legt.

DevOps-Teams nutzen häufig mehrere Konfigurationsmanagement- oder Orchestrierungstools, um komplette digitale Ökosysteme, Workflows und Endgeräte zu verwalten. Die Tools verwenden häufig Automatisierung und Skripte, die zum Initiieren Zugriff auf Geheimnisse benötigen. Ohne einen Secrets-Management-Dienst der Unternehmensklasse kann die wahllose Verwendung von Geheimnissen die Anfälligkeit des Systems erhöhen.

Viele Unternehmen integrieren Funktionen zur Verwaltung vertraulicher Daten in ihre CI/CD-Pipeline. Das trägt dazu bei, dass alle beweglichen Teile – Entwickler, Tools und automatisierte Prozesse – bei Bedarf sicheren Zugriff auf die benötigten sensiblen Systeme haben.

Secrets Management wird als Kernkomponente von DevSecOps betrachtet, eine Weiterentwicklung der DevOps-Methode, die Sicherheit während des gesamten DevOps-Lebenszyklus kontinuierlich integriert und automatisiert.

Der Prozess der Verwaltung von Geheimnissen stützt sich in der Regel auf Secrets-Management-Tools. Diese Tools, die auf lokalen Servern oder als Cloud-Services bereitgestellt werden können, können dabei helfen, die Erstellung, Nutzung, Rotation und den Schutz von Geheimnissen zu zentralisieren, zu automatisieren und zu optimieren.

Es stehen sowohl kommerzielle als auch Open-Source-Lösungen für das Secrets-Management zur Verfügung. Zu den Open-Source-Optionen gehört Infisical, während zu den kommerziellen Optionen CyberArk Conjur (das auch über eine Open-Source-Edition verfügt) und HashiCorp Vault (von HashiCorp, einem IBM-Unternehmen) zählen.

Zu den gängigen Funktionen von Secrets-Management-Tools gehören:

• Zentralisiertes und standardisiertes Secrets Management
• Dynamische Erstellung und automatische Rotation von Geheimnissen
• Zugriffssteuerung
• Aktivitätsüberwachung und -prüfung

Mit einem Secrets-Management-Service der Unternehmensklasse können Unternehmen mehrere Arten von Geheimnissen auf einer einzigen Oberfläche verwalten.

Anstatt einzelnen Benutzern die Verwaltung von Geheimnissen in kleinen Silos zu überlassen, können Secrets-Management-Lösungen Geheimnisse an einem sicheren, zentralen Ort, einem sogenannten „Geheimnistresor“, speichern.

Wenn ein autorisierter Benutzer Zugriff auf ein sensibles System benötigt, kann er das entsprechende Geheimnis aus dem Tresor abrufen. Das Secrets-Management-Tool kann die Anfrage automatisch überprüfen und autorisieren und das für die Authentifizierung im Workflow erforderliche Geheimnis freigeben.

Standardisierung kann dazu beitragen, Secrets Sprawl zu verhindern. Von Secrets Sprawl spricht man, wenn Geheimnisse an verschiedenen Orten im Unternehmen gespeichert sind, oft fest in Anwendungen codiert oder als Klartext in einem gemeinsam genutzten Dokument. Secrets Sprawl erschwert es, Geheimnisse vor böswilligen Akteuren zu schützen und zu verfolgen, wie Geheimnisse verwendet werden.  

Geheimnisse, die in einem Secrets Manager erstellt werden, können entweder statisch oder dynamisch sein. Ein statisches Geheimnis bleibt für eine lange Zeit gültig, normalerweise bis es manuell geändert wird oder ein vorher festgelegtes Verfallsdatum erreicht.

Im Gegensatz dazu wird ein dynamisches Geheimnis vom Secrets Manager bei Bedarf in dem Moment erstellt, in dem es benötigt wird. Dynamische Geheimnisse verfallen schnell und können nur einmal verwendet werden.

Ein Anwendungsfall für ein dynamisches Geheimnis wäre der Schutz einer vertraulichen Ressource – wie beispielsweise einer Datenbank oder einer Cloud-Umgebung wie AWS oder Microsoft Azure –, indem bei jedem Abruf oder Zugriff auf diese Ressource dynamisch API-Schlüssel generiert werden. Dadurch wird sichergestellt, dass böswillige Akteure API-Schlüssel nicht stehlen und wiederverwenden können.

Viele Secrets Manager können auch die Rotation von Geheimnissen, also ihre regelmäßige Änderung, automatisieren. Die Rotation von Geheimnissen kann nach Plan oder bei Bedarf automatisiert werden, ohne dass Anwendungen neu bereitgestellt oder unterbrochen werden müssen. Bei der Erstellung eines Geheimnisses kann eine Time-to-Live (TTL) oder eine Lease-Dauer definiert werden, um die Zeitspanne zu verkürzen, in der das Geheimnis existiert.

Um den Zugriff zu organisieren und einzuschränken, können Geheimnisse nur bestimmten Entitäten oder Gruppen gewährt werden. Der Zugriff auf Geheimnisse wird häufig nach dem Prinzip der minimalen Rechtevergabe gewährt, d. h. jeder Prozess erhält nur die Rechte, die zur Ausführung einer Aufgabe erforderlich sind. Benutzer können nur auf die Geheimnisse zugreifen, die sie zum Ausführen ihrer autorisierten Aufgaben benötigen.

Zero-Trust-Architekturen – nach dem Motto „Niemals vertrauen, immer überprüfen“ – regeln häufig den Zugriff auf Systeme zur Verwaltung vertraulicher Daten. Dadurch wird sichergestellt, dass jede Anfrage nach vertraulichen Daten authentifiziert und autorisiert wird, selbst wenn sie aus dem Netzwerk selbst stammt.

Viele Secrets Manager können nachverfolgen, wie Benutzer und Anwendungen mit Geheimnissen interagieren und diese verwenden, um sicherzustellen, dass mit Geheimnissen während ihrer Lebenszyklen angemessen umgegangen wird. Auf diese Weise kann das Unternehmen Ereignisse im Zusammenhang mit dem Zugriff auf Secrets nahezu in Echtzeit überwachen, einschließlich Authentifizierungen und Autorisierungen beim Secret-Manager.

Secrets Manager können unbefugte Versuche, Geheimnisse einzusehen oder zu nutzen, umgehend unterbinden und den Zugriff bei Bedarf widerrufen. Dies kann zu einer schnelleren Behebung von Problemen beitragen, bevor Hacker, Insider-Bedrohungen und andere böswillige Akteure Schaden anrichten können.

Ein leistungsstarkes Tool zur Geheimnis-Automatisierung führt detaillierte Prüfprotokolle, in denen die Benutzerauthentifizierung und Zugriffe auf Geheimnisse erfasst werden.

Die Überwachung von Geheimnissen ist oft wesentlich einfacher zu bewerkstelligen, sobald ein Unternehmen dynamische Tools zur Automatisierung der Geheimnismanagement einsetzt. Diese detaillierten Prüfpfade helfen dabei, die genehmigte Verwendung von Geheimnissen zu überprüfen oder potenzielle Bedrohungen zu erkennen und aufzuspüren.

Neben der Verwendung von Secrets-Management-Lösungen befolgen viele Unternehmen bei ihren Prozessen zur Verwaltung von Geheimnissen gängige Kernpraktiken:

• Geheimnisse werden in der entsprechenden Umgebung generiert, gespeichert und abgerufen (zum Beispiel in separaten Entwicklungs-, Test- und Produktionsumgebungen). Einige Unternehmen verwenden für jede Umgebung unterschiedliche Secrets-Management-Tools. Andere verwenden eine zentrale Lösung und isolieren die Geheimnisse jeder Umgebung in einem dediziert Segment. Die Geheimnisse verlassen niemals ihre Umgebung und werden durch strenge Maßnahmen zur Zugriffskontrolle gesichert.
  
  
• Der Zugriff auf Geheimnisse wird auf dem Mindestniveau gewährt, das ein Benutzer zur Erfüllung seiner Aufgaben benötigt. Übermäßige Berechtigungen – ob beabsichtigt oder nicht – können zu Datenschutzverletzungen führen.
  
  
• Geheimnisse werden regelmäßig entsprechend den Systemanforderungen rotiert.
  
  
• Benutzer speichern keine Geheimnisse in Quellcode, Konfigurationsdateien oder Dokumentation.
  
  
• Sicherheitsrichtlinien können verbessert werden, indem die Verschlüsselung aller sensiblen Daten vorgeschrieben wird. Die Verschlüsselungsschlüssel können mit einem Schlüsselverwaltungsdienst (KMS) geschützt werden.
  
  
• Das Unternehmen überwacht kontinuierlich Geheimnisse, wobei Auditprotokolle jede Anfrage verfolgen: wer nach dem Geheimnis gefragt hat, für welches System, ob die Anfrage erfolgreich war, wann sie ausgestellt oder abgerufen wurde, wann sie abgelaufen ist und wann und ob das Geheimnis aktualisiert wurde. Anomalien sollten dann sofort untersucht werden. 

Da IT-Ökosysteme immer komplexer werden, wird es immer schwieriger, das Secrets Management effektiv zu kontrollieren. Zu den häufigsten Herausforderungen bei der Verwaltung von Geheimnissen können gehören:

Dezentrale Ökosysteme, in denen Admins, Entwickler und Benutzer ihre Geheimnisse getrennt verwalten, können Risiken bergen, da Sicherheitslücken und die Verwendung von Geheimnissen möglicherweise nicht ordnungsgemäß überwacht oder geprüft werden.

Zentralisierte Secrets-Management-Lösungen können Unternehmen mehr Einblick in und Kontrolle über Geheimnisse bieten.

Wenn Passwörter oder andere Geheimnisse als Klartext in Quellcode oder Skripte eingebettet sind, können Angreifer sie leicht entdecken und für den Zugriff auf vertrauliche Informationen verwenden.

Fest codierte Geheimnisse können an vielen Stellen auftauchen, z. B. in CI/CD-Toolchains, Code-Repositorys, auf Geräten für das Internet der Dinge (IoT), auf Container-Orchestrierungsplattformen wie Kubernetes, auf Anwendungsservern, bei Schwachstellen-Scannern und auf RPA-Plattformen (Robotic Process Automation).

Die regelmäßige Rotation von Geheimnissen kann dazu beitragen, Diebstahl und Missbrauch zu verhindern. Ohne ein Secrets-Management-System kann die Rotation jedoch inkonsistent oder ineffektiv sein. Wenn ein Geheimnis zu lange unverändert bleibt, kann ein Hacker es möglicherweise durch Raten oder einen Brute-Force-Angriff entschlüsseln.

Je länger ein Passwort verwendet wird, desto mehr Benutzer haben Zugriff und desto größer ist die Wahrscheinlichkeit eines Datenlecks.

Wachsende IT-Systeme können zu Secrets Sprawls führen, bei denen Geheimnisse über viele isolierte Teile des Systems verteilt sind. Ein Secrets Sprawl kann besonders in hybriden Multicloud-Ökosystemen besorgniserregend sein, in denen Unternehmen Public- und Private-Cloud-Umgebungen kombinieren, die von mehreren Cloud-Providern bereitgestellt werden.

Unternehmen verfügen möglicherweise über Tausende oder sogar Millionen von Geheimnissen in allen ihren cloudnative Anwendungen, Microservices, Containern und anderen IT-Ressourcen. Diese Verbreitung stellt eine enorme Sicherheitsbelastung dar und vergrößert die potenzielle Angriffsfläche.

Die Transparenz über verschiedene Dienste hinweg ist möglicherweise eingeschränkt und die Verwaltung geheimer Daten kann schnell unhandlich werden, wenn sie manuell oder über verteilte Systeme verfolgt wird. Das Fehlen eines zentralisierten Secrets-Management-Dienstes kann die Durchsetzung einer ordnungsgemäßen Secrets-Hygiene erschweren oder unmöglich machen.

Wenn ein Unternehmen kein Secrets-Management-System hat, werden Geheimnisse möglicherweise manuell weitergegeben – beispielsweise per E-Mail oder SMS. Das bedeutet, dass Bedrohungsakteure sie abfangen können.