HashiCorp hat die Lizenz gewechselt. Dein Vault muss nicht mitwechseln.

OpenBao ist eine quelloffene Lösung für Secrets Management unter dem Dach der Linux Foundation. Das Projekt ist ein von der Community getragener Fork von HashiCorp Vault und entstand als Antwort auf den Lizenzwechsel von MPL zu BSL. OpenBao bietet identitätsbasiertes Secrets Management, Verschlüsselungsdienste, dynamische Zugangsdaten, PKI-Zertifikatsverwaltung und sicheren Key-Value-Speicher. Weil die API zu Vault kompatibel bleibt, funktionieren bestehende Integrationen, Werkzeuge und Abläufe unverändert weiter.

GitLab hat seinen eigenen Secrets Manager auf OpenBao gebaut und im August 2026 als Public Beta veröffentlicht. Das sagt einiges darüber, wohin sich das Ökosystem bewegt. Ob Warten für dich sinnvoll ist, hängt an zwei Punkten. Erstens ist es eine cloud-native Komponente: auf selbstverwaltetem GitLab läuft sie auf einem Kubernetes-Cluster mit eigener PostgreSQL-Datenbank, TLS-Endpunkt, Schlüsselverwahrung und Backup, die Betriebsarbeit verschwindet also nicht. Zweitens hält sie Zugangsdaten für GitLab-Pipelines, während die meisten Organisationen auch Secrets für Anwendungen, Datenbanken und Infrastruktur ausserhalb von CI brauchen. Eine eigene OpenBao-Instanz deckt beides ab, und deine GitLab-Jobs erreichen sie über CI-ID-Tokens per OIDC.

OpenBao ist ein direkter Fork von HashiCorp Vault und bleibt API- und protokollkompatibel. Der entscheidende Unterschied liegt in der Lizenz: OpenBao steht unter MPL 2.0, während Vault zur Business Source License gewechselt ist. Vault Enterprise rechnet nach Client-Identitäten oder verwalteten Secrets ab, was die Kosten mit wachsender Plattform schwer planbar macht. OpenBao kennt keine Client-Gebühren, keine Feature-Schranken und keine Zählung. Die Entwicklung wird von der Linux Foundation getragen. Bestehende Vault-Clients, Integrationen und Terraform-Provider arbeiten ohne Codeänderung mit OpenBao.

OpenBao selbst ist kostenlos, lizenziert unter MPL 2.0, ohne Gebühren pro Client oder pro Secret. Vault Enterprise rechnet üblicherweise nach Client-Zahl ab, die mit der Plattform schwer vorhersehbar wächst. Unsere Beratung für Architektur, Deployment und Migration kostet CHF 250 pro Stunde. Für den laufenden Betrieb bieten wir Support und Managed Operations rund um die Uhr zu planbaren Monatspreisen, ohne deine Secrets oder Client-Identitäten zu zählen. Du bezahlst Betriebskompetenz, nicht die Anzahl Anwendungen, die Secrets beziehen.

Wir begleiten OpenBao von Anfang bis Ende: Architekturentwurf, Deployment, Migration von Vault, Hochverfügbarkeitskonfiguration und laufender Betrieb. Unser Engineering-Partner bespinian bringt ausgewiesene Go- und Security-Kompetenz in die Zusammenarbeit ein. Die Bandbreite reicht von einem eintägigen Architektur-Review bis zu mehrwöchigen Projekten mit 100 GB und mehr an Secrets-Daten.

Wir verfolgen das Projekt eng und nehmen an der Community der Linux Foundation teil, die es steuert. Unsere Engineers arbeiten täglich mit der Codebasis: debuggen, erweitern, in Kundenumgebungen integrieren. Aus dieser Nähe folgt, was in der Beratung zählt: wir können Probleme auf Quellcode-Ebene eingrenzen, neue Releases auf Produktionsreife prüfen und aus eigener Erfahrung urteilen statt nur aus der Dokumentation.

Ein Support-Abo gibt dir Telefon und Ticketsystem, wenn etwas kaputt geht. Architektur, Deployment, Patches und Betrieb bleiben trotzdem bei dir. Managed Operations geht weiter: wir entwerfen die Architektur, betreiben HA-Cluster, konfigurieren Auto-Unseal, sichern automatisiert, überwachen den Zustand und reagieren rund um die Uhr auf Störungen. Hörst du auf, mit uns zu arbeiten, läuft deine Installation unverändert weiter, ohne Migration und ohne Umbau.

Ja, und das ist bei uns der Normalfall. Wir setzen auf Schweizer Cloud-Provider wie Cloudscale und Exoscale, die ihre Rechenzentren ausschliesslich in der Schweiz betreiben. Ebenso möglich sind APPUiO, Managed OpenShift, Enterprise Private Cloud und Infrastruktur in deinem eigenen Rechenzentrum. VSHN ist in Schweizer Hand, ohne ausländische Muttergesellschaft, und alle Verträge unterstehen Schweizer Recht. Details stehen in unserer Souveränitätsbewertung.

Wir betreiben OpenBao auf Schweizer Cloud-Infrastruktur, also Cloudscale, Exoscale oder deiner privaten Cloud, mit verschlüsselter Speicherung im Ruhezustand, strikt kontrolliertem Operator-Zugriff und Audit-Logging. Auto-Unseal ist so konfiguriert, dass OpenBao nach einem Neustart ohne Handgriff wieder verfügbar ist. Weil wir den gesamten Infrastruktur-Stack verantworten und nicht nur einen Supportvertrag, können wir betriebliche Grenzen durchsetzen, die ein reiner Support-Anbieter gar nicht in der Hand hat.

Ein vollständig verwalteter OpenBao-Service im VSHN Application Catalog ist in Entwicklung. Er wird automatisierte Bereitstellung, Backups, Monitoring und SLA bis 99,99 Prozent Verfügbarkeit enthalten, in derselben Qualität wie unsere übrigen Managed Services für Datenbanken und Anwendungen. Bis dahin bieten wir Beratung, Deployment und vollen Betrieb für deine eigene Installation. Melde dich, wenn du frühen Zugang möchtest.

Wir planen sie gemeinsam mit dir: Abbildung der Secrets Engines, Übernahme der Policies, Konfiguration der Auth-Methoden und Integrationstests. Weil OpenBao die API-Kompatibilität zu Vault hält, laufen die meisten Clients und Automatisierungen unverändert weiter. Während des Übergangs betreiben wir beide Umgebungen parallel, damit kein Unterbruch entsteht und die Erreichbarkeit aller Secrets geprüft ist, bevor die alte Vault-Installation abgeschaltet wird.

Schreib uns über das Formular weiter unten und beschreib das Vorhaben: Migration von Vault, neues OpenBao-Deployment, Architektur-Review oder Betrieb einer bestehenden Installation. Du bekommst innert eines Arbeitstages einen schriftlichen Scope und eine Kostenschätzung in CHF. In dieser Phase gehst du keine Verpflichtung ein.

OpenBao lässt sich mehreren Anforderungen der CIS Controls v8 direkt zuordnen. Für CIS Control 3 (Data Protection) liefert es Encryption as a Service über die Transit Engine, verschlüsselte Speicherung im Ruhezustand mit AES-256-GCM und ein zentrales Secrets-Inventar, das verstreute Zugangsdaten in Konfigurationsdateien ablöst. Für CIS Control 6 (Access Control Management) erzwingt es richtlinienbasierte minimale Rechte, gibt dynamische Zugangsdaten mit automatischem Ablauf aus und unterstützt MFA über TOTP. Für CIS Control 18 (Penetration Testing) hält das Audit-Log jeden Zugriff auf ein Secret und jeden Anmeldeversuch fest und liefert damit den Nachweis, den Security-Teams zur Kontrolle brauchen. VSHN betreibt OpenBao mit nach ISO 27001 zertifizierten Prozessen und stellt regulierten Kunden ISAE-3402-Type-II-Berichte aus. Die vollständige Zuordnung steht in unserem Compliance-Mapping.

Ja. Beratungsfirmen und Systemintegratoren setzen von VSHN betriebenes OpenBao ein, um Secrets Management für Kundeninfrastruktur bereitzustellen. Jeder Kunde läuft auf getrennter Infrastruktur mit einer eigenen OpenBao-Instanz in der Schweizer Cloud. Wir übernehmen Betrieb, Upgrades und Überwachung rund um die Uhr, während dein Team Policies, Secrets Engines und Auth-Methoden für die jeweilige Kundenumgebung konfiguriert. Schriftliche Leistungsvereinbarungen machen die Vertragsgestaltung einfach. Wie die Zusammenarbeit im Einzelnen aussieht, steht auf unserer Partnerseite.