Viele Sicherheitsvorfälle beginnen nicht mit einem raffinierten Angriff, sondern mit einem Schlüssel an der falschen Stelle: im Repository, in einem Screenshot, in einer Chatnachricht, im JavaScript-Bundle einer Website. Secrets Management ist die Disziplin, die das verhindert.
Wo Geheimnisse liegen
In Umgebungsvariablen der Hosting-Plattform, getrennt nach Produktion, Preview und Entwicklung, oder in einem dedizierten Tresor, aus dem die Anwendung sie zur Laufzeit liest. Nicht im Code, nicht in Konfigurationsdateien im Repository, nicht in geteilten Dokumenten. Lokale Entwicklungsdateien mit Geheimnissen werden vom Repository ausgeschlossen.
Die Falle öffentlicher Variablen
Frameworks unterscheiden zwischen Variablen, die nur auf dem Server verfügbar sind, und solchen, die in den Browser gelangen. In Next.js werden Variablen mit dem Präfix NEXT_PUBLIC_ in das Client-Bundle eingebaut und sind damit für jeden lesbar. Ein Datenbank-Service-Schlüssel mit diesem Präfix ist veröffentlicht. Schlüssel mit erhöhten Rechten werden deshalb ausschliesslich serverseitig verwendet.
Minimale Rechte und Trennung
Jeder Schlüssel erhält nur die Rechte, die sein Einsatzzweck braucht, und jede Umgebung eigene Schlüssel. Ein kompromittierter Preview-Schlüssel darf keinen Zugang zur Produktion geben. Für Integrationen mit Drittanbietern lohnen sich eigene Schlüssel pro Integration, damit sich einer widerrufen lässt, ohne alle anderen zu treffen.
Rotation
Geheimnisse sollten sich wechseln lassen, ohne dass die Anwendung ausfällt — regelmässig und sofort, wenn ein Leck vermutet wird oder eine Person mit Zugriff das Team verlässt. Wer Rotation nie geübt hat, entdeckt im Ernstfall, an wie vielen Stellen ein Schlüssel verwendet wurde.
Lecks erkennen
Werkzeuge zur Erkennung von Geheimnissen in Repositories prüfen Commits und die Historie; viele Plattformen bieten das integriert an. Ein Schlüssel, der einmal im Repository war, gilt als kompromittiert, auch wenn er später entfernt wurde, weil er in der Historie bleibt. Dann hilft nur Rotation.
Teil der Datensicherheit
Secrets Management ist eine der technischen und organisatorischen Massnahmen, die Datenschutzrecht verlangt, und gehört in jede Sicherheits-Checkliste vor dem Go-live. Die Praxis auf Vercel beschreibt der Beitrag zu den Vercel-Deployment-Mustern.