Dein Unternehmen hat nicht einen API-Schlüssel. Wahrscheinlich hat es Dutzende — für die Bezahlplattform, den Paketdienst, Facebook Ads, Google Ads, den Onlineshop, die Bank, das ERP, GitHub und ein halbes Dutzend andere. Die eigentliche Frage ist nur, wo sie heute tatsächlich liegen.
In den meisten polnischen KMU ist die Antwort unangenehm: in einer Slack-Nachricht von vor zwei Jahren, in einer Excel-Datei auf jemandes OneDrive, in einer .env-Datei auf einem Server, zu dem drei Leute Zugriff haben (zwei davon arbeiten nicht mehr hier), und im Kopf eines Freelancers, der einmal die Woche „irgendwas anbindet". Das funktioniert genau bis zu dem Moment, in dem es nicht mehr funktioniert — und dann sind die Kosten völlig unverhältnismäßig zur Firmengröße.
Es geht nicht darum, eine Festung zu bauen. Es geht darum, zu wissen, was du hast, wo es liegt und wer darauf zugreifen kann. Ohne das ist jedes Gespräch über IT-Sicherheit ein Märchen.
Wo Secrets im KMU wirklich liegen
Bevor du „aufräumst", mach eine ehrliche Bestandsaufnahme. In einem KMU, das nie eine Secrets-Policy hatte, landen Schlüssel und Service-Passwörter meist an fünf Orten.
- Team-Chats. Slack, Teams, WhatsApp, Signal. „Schick mir nochmal den Allegro-Key, meine Session ist abgelaufen." Dieser Schlüssel bleibt dort für immer — Slack ist durchsuchbar, Teams hat unendliche Aufbewahrung.
.env-Dateien und Skripte im Repo. Ein Entwickler committetconfig.production.envmit echten Werten in ein privates GitHub-Repo. Heute privat — morgen öffentlich, wenn jemand den falschen Schalter umlegt.- Excel und OneNote. „Alle Passwörter und Keys — Katja". Datei per Passwort geschützt, das Passwort steht auch in Slack.
- Anwendungs-Quellcode. Schlüssel direkt in
.cs,.py,.phpreingeschrieben. Beim ersten öffentlichen Commit eines Juniors in seiner Karriere — in einer Minute öffentlich. - Der Kopf eines Menschen. Meistens der Freelance-Entwickler oder „unser IT-Mensch". Er geht in Urlaub oder wechselt den Job und die Firma kann den eigenen Google-Ads-Schlüssel nicht mehr zurücksetzen.
Schritt eins ist nicht der Kauf eines Tools. Schritt eins ist ein einstündiges Meeting, in dem drei Personen alle Systeme aufschreiben, mit denen sich die Firma per API oder Token verbindet: Zahlung, Paketdienste, ERP, E-Commerce, Marketing, Bank, Cloud, Monitoring, Backups. Diese Liste überrascht die Geschäftsführung meistens — sie ist länger, als gedacht.
Was konkret passieren kann
Ein API-Schlüssel-Leck ist nichts Theoretisches. In den letzten zwei Jahren haben wir bei polnischen KMU genau diese Szenarien gesehen:
- Schlüssel im öffentlichen Repo → Wettlauf der Bots. Automatische Scanner durchsuchen GitHub rund um die Uhr. Ein AWS- oder LLM-Schlüssel, der in einem Commit gefunden wird, wird innerhalb von Minuten verwendet, bevor der Autor den Fehler bemerkt.
- Anzeigen-Schlüssel → jemand verbrennt dein Budget. Kampagnen für zwielichtige Seiten laufen nachts an. Morgens siehst du das aufgebrauchte Budget und ein vom Anbieter wegen „Richtlinienverstoßes" gesperrtes Konto.
- Bank-Schlüssel (Firmenbanking mit Zahlungs-API) → echter finanzieller Schaden. Seltener, weil Banken wie mBank oder ING zusätzliche Sicherheitsschichten haben, aber möglich.
- Schlüssel für Versandplattformen → Erzeugen falscher Etiketten auf deine Kosten. Bekannt im E-Commerce, ein populärer Angriffsvektor seit 2024.
- Leck beim Anbieter-Schlüssel → Datenschutzverletzung. Dein Schlüssel für die Mailing-Plattform gibt vollen Zugriff auf die Empfängerdatenbank. DSGVO, Meldung an die Aufsichtsbehörde binnen 72 Stunden, Benachrichtigung der Kundschaft.
Gemeinsamer Nenner: Im Moment des Lecks weiß niemand in der Firma, wie viele Schlüssel es gibt, wo sie liegen und welchen man zuerst deaktivieren soll. Eine Stunde Verzögerung kann leicht Zehntausende Złoty kosten.
Ein konkretes Beispiel aus dem Alltag
Bei einem unserer Kunden — einer 25-köpfigen Marketingagentur aus der Dreistadt, die Meta-Ads-Kampagnen für Endkunden fährt — hat ein Junior-Entwickler eine Datei config.local.js in ein privates GitHub-Repo committet, in der versehentlich die produktiven Facebook-Business-Manager-API-Schlüssel dreier Kunden standen. Ein paar Tage später hat er die Sichtbarkeit des Repos auf öffentlich umgestellt (er wollte einem Kollegen einen Code-Ausschnitt zeigen und die Datei vergessen).
In der Nacht von Freitag auf Samstag haben Angreifer einen der Schlüssel benutzt, um Kampagnen für gefälschte Fake-Shops zu starten. Sie haben täglich 15.000-18.000 Złoty vom Budget des Kunden verbrannt, bevor Meta die Anomalie bemerkte und das Konto gesperrt hat. Als am Montagmorgen jemand in der Agentur reagierte, betrug der Schaden 47.000 Złoty. Der Kunde — ein großer Sportartikel-Onlineshop — verlangte die Deckung des Schadens. Die Agentur zahlte, weil die Alternative der Verlust des Auftrags gewesen wäre.
Was wir danach in sechs Wochen gemacht haben: Inventur aller Secrets (sie wussten von 71 aktiven Schlüsseln, real waren es 118), Einführung von 1Password Business für 25 Konten, Verlagerung der Anwendungs-Secrets in Umgebungsvariablen in Azure, Rotation aller entdeckten Schlüssel, Secret-Scanner in GitHub (Secret Scanning + Push Protection), Offboarding-Prozess für Freelancer. Einmalige Kosten: 18.000 Złoty Dienstleistung plus rund 380 Złoty/Monat für 1Password. Amortisiert beim ersten „wir mussten nichts in Panik rotieren".
Wichtig: Keiner dieser Bausteine brauchte eine große Infrastruktur. Es waren gesunde Gewohnheiten, aufgeschrieben auf vier A4-Seiten, plus ein Werkzeug, das weniger kostet als ein Praktikantengehalt.
Ein Secrets-Manager — was auswählen
Für ein polnisches KMU mit 10-50 Personen ist die praktische Auswahl schmal. Alle ernst zu nehmenden Optionen funktionieren; der Unterschied liegt darin, wie viel Zeit jede kostet.
- 1Password Business oder Bitwarden Enterprise — für Menschen. Passwörter und Schlüssel geteilt in „Tresoren" (pro Team, pro Kunde). Einfache Oberfläche, mobile Apps, Browser-Integration. Kosten: 20-30 Złoty/Person/Monat. Fast immer der schnellste Start für nicht-technische Firmen.
- Azure Key Vault oder AWS Secrets Manager — für Secrets, die von Anwendungen konsumiert werden (API-Schlüssel im Code, Datenbank-Passwörter). Die App holt das Secret zur Laufzeit, das Secret landet nie in einem Repo oder auf einer Entwickler-Festplatte. Einmalige Arbeit für den Entwickler.
- HashiCorp Vault, Doppler, Infisical — fortgeschrittene Optionen. Sinnvoll, wenn du mehrere eigene Anwendungen und eine dedizierte DevOps-Rolle hast. Darunter ist es Kanone gegen Spatz.
Die Wahl ist binär: Menschen brauchen einen Manager für Menschen (1Password/Bitwarden), Anwendungen brauchen einen Tresor für Anwendungen (Key Vault/Secrets Manager). Anwendungs-Schlüssel in 1Password zu drücken klingt verlockend und ist ein Anti-Pattern — denn die App braucht trotzdem einen Weg, sich bei 1Password einzuloggen, und das ganze Problem beginnt von vorne.
Rotation und Hygiene
Ein einmal generiertes Secret lebt ewig, es sei denn, du änderst es bewusst. Das reicht, um drei einfache Regeln einzuführen und einzuhalten.
- Rotation mindestens einmal jährlich für kritische Schlüssel (Zahlungen, Geldanbieter, Anbieter mit personenbezogenen Daten). Google-Kalender-Erinnerung, zwei Stunden pro Quartal.
- Sofortige Rotation beim Ausscheiden einer Person, die das jeweilige Secret gesehen hat. Wenn unklar ist, ob sie es gesehen hat — behandele es so, als hätte sie es gesehen.
- Secret-Scanner im Repo. GitHub hat das kostenlos eingebaut (Secret Scanning + Push Protection). Aktivieren sind drei Klicks und verhindert 90% der Junior-Entwickler-Ausrutscher.
Rotation ist langweilig. Genau deshalb funktioniert sie — sie braucht kein Heldentum, sondern Disziplin einmal im Quartal.
Was du diese Woche tun kannst
Wenn du ohne großes Projekt loslegen willst, hier ist das Minimum für die nächsten fünf Werktage.
- Berufe ein 60-minütiges Meeting mit den Personen ein, die mit Systemen zu tun haben: IT, Marketing, Buchhaltung, E-Commerce, Entwickler. Listet auf einer Seite alle externen Systeme auf, mit denen sich die Firma verbindet.
- Markiert, welche Schlüssel ihr im letzten Monat in Slack, Mail oder Excel gesehen habt. Das ist eure erste Liste zum Aufräumen.
- Kauft 1Password Business oder Bitwarden Enterprise auf 90 Tage Testphase. Verschiebt jedes Service-Passwort und jeden Schlüssel dorthin, den jemand nur im Kopf oder in einer Tabelle hat.
- Aktiviert GitHub Secret Scanning und Push Protection auf allen Firmen-Repos. Drei Klicks.
- Bestimmt eine Person, die einmal pro Quartal eine 2-stündige „Secrets-Review" macht — wer ist gegangen, wem entzieht man Zugriff, was wird rotiert.
Das ist kein Sechs-Monats-Projekt. Das sind fünf Tage, um aufzuhören zu beten, dass niemand den falschen Schalter umgelegt hat.
Ein API-Schlüssel-Leck ist keine Frage von „ob", sondern von „wie viel es dich kostet". Der ganze Unterschied liegt darin, ob du am Freitagabend weißt, wo dieser Schlüssel überhaupt war.