Plattformen für Secrets Management im Vergleich
Die Wahl einer Plattform für Secrets Management bestimmt für Jahre die Lizenzkosten, das Betriebsmodell, die API-Kompatibilität und die Datenhoheit. Diese Seite stellt OpenBao neben HashiCorp Vault Enterprise, Vault Community (BSL), Infisical, AWS Secrets Manager und Azure Key Vault.
Der Vergleich auf einen Blick
| OpenBao | Vault Enterprise | Vault Community (BSL) | Infisical | AWS Secrets Manager | Azure Key Vault | |
|---|---|---|---|---|---|---|
| Lizenz | MPL 2.0 | Kommerziell | BSL 1.1 | MIT | Proprietär | Proprietär |
| Kostenmodell | Kostenlos plus Betrieb | Preis pro Client | Kostenlos (BSL-beschränkt) | Gratis-Stufe plus kostenpflichtig | Pro Secret und Monat | Pro Operation |
| API-Kompatibilität | Vault-API | Vault-API | Vault-API | Eigene API | Eigene API | Eigene API |
| Dynamische Secrets | Ja | Ja | Ja | Eingeschränkt | Nein | Nein |
| PKI und Zertifikate | Ja | Ja | Ja | Nein | Nein | Ja |
| Transit-Verschlüsselung | Ja | Ja | Ja | Nein | Nein | Ja |
| HSM-Unterstützung | Ja | Ja | Nein | Nein | CloudHSM | Azure HSM |
| Datenhoheit | Deine Infrastruktur | Deine Infrastruktur | Deine Infrastruktur | SaaS oder selbst betrieben | AWS-Regionen | Azure-Regionen |
| Von VSHN betrieben | Ja | Nein | Nein | Nein | Nein | Nein |
Was Vault Enterprise kostet
HashiCorp rechnet Vault Enterprise pro Client ab: jede Anwendung, jeder Dienst und jede Person, die sich authentifiziert, zählt als Client. Die Preise sind nicht öffentlich. Nach verfügbaren Marktdaten und Kundenberichten liegen die Schätzungen bei einem bis drei US-Dollar pro Client und Monat, wobei Enterprise-Verträge üblicherweise bei 50'000 US-Dollar pro Jahr beginnen.
IBM hat die Übernahme von HashiCorp 2024 abgeschlossen. Zur Einordnung: seit IBM 2019 Red Hat übernommen hat, sind die Red-Hat-Abopreise durchgehend um rund 10 Prozent pro Jahr gestiegen. Für Vault Enterprise ist dasselbe Muster zu erwarten.
OpenBao verursacht keine Lizenzkosten für die Software. Managed Operations von VSHN kosten einen festen Monatsbetrag, unabhängig von der Client-Zahl.
Geschätzte Jahreskosten nach Client-Zahl
| Clients | Vault Enterprise (geschätzt) | OpenBao plus Betrieb durch VSHN |
|---|---|---|
| 100 | 1'200 bis 3'600 USD pro Jahr | Fester Monatsbetrag, auf Anfrage |
| 500 | 6'000 bis 18'000 USD pro Jahr | Fester Monatsbetrag, auf Anfrage |
| 2'000 | 24'000 bis 72'000 USD pro Jahr | Fester Monatsbetrag, auf Anfrage |
Vorbehalt: die Preise für Vault Enterprise sind nicht öffentlich. Die Schätzungen oben stützen sich auf verfügbare Marktdaten und Kundenberichte. Für eine aktuelle Offerte wende dich an HashiCorp.
Was der Fork inzwischen aufgeholt hat
Zwei Fähigkeiten, die die Editionen früher getrennt haben, tun das nicht mehr, und beide sind für die Organisationen relevant, an die sich diese Seite richtet.
Namespaces. OpenBao hat Mandantenfähigkeit ausgeliefert. Jeder Namespace verhält sich wie ein eigenes kleines OpenBao, mit eigenen Policies, Auth-Methoden, Secret Engines, Tokens und Identity Groups, dazu namespace-fähige Policies und Quotas, das Verschieben und Umbenennen von Engines über Namespaces hinweg und Locking. Wer Vault Enterprise angeschaut hat, um jedem Team oder Mandanten einen eigenen abgeschotteten Raum zu geben, hat diesen Grund nicht mehr.
HSM-Auto-Unseal. Oben bereits behandelt: HashiCorp stellt PKCS#11 hinter Enterprise, OpenBao behandelt es als gewöhnliche Seal-Konfiguration.
Beides gehört gegen die aktuelle Dokumentation geprüft, bevor eine Entscheidung darauf ruht. Die beiden Projekte bewegen sich, und eine Vergleichstabelle ist die Momentaufnahme von etwas Beweglichem.
Der Fork: warum es OpenBao gibt
Im August 2023 wechselte HashiCorp die Lizenz von Vault von MPL 2.0 auf BSL 1.1, die Business Source License. BSL 1.1 schränkt die Nutzung in konkurrierenden gehosteten Diensten ein. 2024 übernahm IBM HashiCorp.
OpenBao entstand als Antwort auf den Lizenzwechsel. Das Projekt wird unter der Linux Foundation gepflegt, nutzt MPL 2.0 und ist vollständig API-kompatibel zu Vault. Der Wechsel von Vault zu OpenBao ist eine Konfigurationsänderung und keine Neuentwicklung. Bestehende Vault-Clients, Skripte und Terraform-Ressourcen laufen unverändert.
Vault Enterprise
HashiCorp Vault Enterprise ist das ausgereifte kommerzielle Angebot mit der längsten Geschichte.
Stärken: Sentinel-Policies für feingranulare Zugriffskontrolle, Performance-Replikation über Cluster hinweg, Disaster-Recovery-Replikation, Support-SLA und eine grosse Gemeinschaft von Betreibern mit tiefem Betriebswissen. Auch HSM-Auto-Unseal gehört hierher: HashiCorps Dokumentation hält fest, dass Auto-Unseal und Seal Wrapping für PKCS11 Vault Enterprise voraussetzen.
Kein Unterscheidungsmerkmal mehr: Namespaces. OpenBao hat sie ausgeliefert, Mandantenfähigkeit allein ist also kein Grund mehr, die Lizenz zu kaufen.
Grenzen: der Preis pro Client wächst linear mit der Verbreitung. Die BSL-1.1-Lizenz schränkt bestimmte Anwendungsfälle ein. IBMs Preisgeschichte bei Red Hat zeigt konstante jährliche Erhöhungen, was die langfristige Kostenplanung erschwert. Und du hängst für den gesamten Secrets-Stack an einem einzigen Anbieter.
Passt, wenn: deine Organisation ohnehin auf Vault Enterprise festgelegt ist, Sentinel-Policies oder Performance-Replikation braucht und die Lizenzkosten sowie die Abhängigkeit von IBM akzeptiert.
Vault Community (BSL)
Die Community-Edition von Vault ist kostenlos zu betreiben, aber die BSL-1.1-Lizenz schränkt den Einsatz in konkurrierenden Dienstangeboten ein.
Stärken: kostenloser Betrieb, dieselbe API wie Vault Enterprise und OpenBao, breite Dokumentation und viel Material aus der Community.
Grenzen: BSL 1.1 ist nach der Definition der OSI keine Open-Source-Lizenz. Die Einschränkungsklausel erzeugt rechtliche Unschärfe für SaaS-Anbieter und für interne Plattformteams, die Vault als geteilten Dienst anbieten. Für Fehlerbehebungen und Sicherheitspatches bleibst du auf HashiCorp, heute IBM, angewiesen. Und PKCS#11-Auto-Unseal steht nicht zur Verfügung: HashiCorps Dokumentation stellt es hinter Enterprise, eine Community-Installation kann sich also nicht aus einem HSM entsiegeln. Für eine regulierte Organisation, der vorgegeben wurde, wo ihr Schlüsselmaterial liegen muss, entscheidet diese eine Zeile über die Edition.
Passt, wenn: du Vault Community intern betreibst, die BSL-Einschränkungen deinen Fall nicht berühren und du den Betriebsaufwand selbst trägst.
Infisical
Infisical ist eine Secrets-Plattform mit Fokus auf Entwicklungsteams. Der Ansatz unterscheidet sich von Vault: ein Web-Dashboard, native Integrationen und eingebaute Rotation.
Stärken: eingängige Weboberfläche, native Integrationen mit GitHub Actions, Kubernetes, Docker und CI-Systemen, eingebaute Secret-Rotation für gängige Dienste und die MIT-Lizenz für die selbst betriebene Variante.
Grenzen: Infisical kennt keine dynamischen Secrets, jedes Secret ist ein gespeicherter Wert und keiner, der pro Anfrage erzeugt wird. Keine PKI und keine Zertifikatsverwaltung. Keine Transit-Engine. Keine HSM-Unterstützung. Infisical und Vault lösen unterschiedliche Probleme: Infisical ist ein Secrets-Speicher, Vault eine Secrets-Plattform.
Passt, wenn: dein Team einen entwicklerfreundlichen Secrets-Speicher mit Oberfläche braucht und weder dynamische Secrets noch PKI oder Transit-Verschlüsselung.
Die Hyperscaler: AWS Secrets Manager und Azure Key Vault
Beide sind eng in ihr jeweiliges Cloud-Ökosystem eingebettet.
Stärken: keine Infrastruktur zu betreiben, native IAM-Anbindung, enge Verzahnung mit cloud-nativen Diensten wie Lambda, EC2 oder App Service, eingebaute Audit-Spuren.
Grenzen: die Jurisdiktion eines US-Unternehmens gilt unabhängig von der Datenregion. Keine dynamischen Secrets. Keine Transit-Engine. Keine Portabilität, denn was im AWS Secrets Manager liegt, erreicht ein Azure-Workload nur über Aufrufe zwischen den Clouds. AWS verlangt 0,40 US-Dollar pro Secret und Monat sowie 0,05 US-Dollar je 10'000 API-Aufrufe, Azure Key Vault rechnet pro Operation ab. Die Kosten wachsen mit der Zahl der Secrets und der Zugriffshäufigkeit.
Passt, wenn: dein gesamter Workload auf einem einzigen Hyperscaler läuft, US-Jurisdiktion akzeptabel ist und du nur statische Secret-Speicherung mit IAM-Zugriffskontrolle brauchst.
Wann was passt
OpenBao mit Betrieb durch VSHN, wenn du Vault-API-Kompatibilität ohne Lizenzkosten pro Client willst, Datenhoheit auf Schweizer Infrastruktur brauchst oder von Vault Enterprise weg willst und einen direkten Ersatz unter MPL 2.0 suchst.
Vault Enterprise, wenn deine Organisation Sentinel-Policies oder Performance-Replikation braucht, ohnehin unter Vertrag steht und den Preis pro Client sowie die Abhängigkeit von IBM akzeptiert.
Vault Community (BSL), wenn du intern betreibst, den Betrieb selbst trägst und die BSL-Einschränkungen deinen Fall nicht berühren.
Infisical, wenn du vor allem einen entwicklerfreundlichen Secrets-Speicher mit Weboberfläche und CI-Integrationen brauchst und weder dynamische Secrets noch eine PKI-Engine.
AWS Secrets Manager oder Azure Key Vault, wenn deine Workloads ausschliesslich auf einem Hyperscaler laufen, US-Jurisdiktion akzeptabel ist und einfache Secret-Speicherung mit nativer IAM-Anbindung genügt.
Nächster Schritt
Migration von Vault auf OpenBao abklären oder Lizenzkosten für deine Client-Zahl vergleichen? Buche eine Beratung. Wir schauen uns dein aktuelles Setup an und legen einen konkreten Kostenvergleich vor.