Secret Rotation
Das regelmäßige Austauschen von Geheimnissen — Passwörtern, API-Schlüsseln, Zertifikaten, Datenbankzugängen —, damit ein durchgesickertes Geheimnis nur für kurze Zeit nutzbar ist. Verwandelt einen gestohlenen Schlüssel von einer dauerhaften Hintertür in eine zeitlich begrenzte.
Problem: Geheimnisse lecken (in Logs, Git-Historie, einem kompromittierten Backup), und statische, langlebige Geheimnisse geben einem Angreifer unbegrenzt Zeit, sie auszunutzen. Rotation begrenzt das Zeitfenster: Wird das Geheimnis oft genug gewechselt, funktioniert eine gestohlene Kopie irgendwann nicht mehr. Moderner Ansatz: dynamische, kurzlebige Geheimnisse — etwa HashiCorp Vault, das bei Bedarf eindeutige Datenbankzugänge mit einer TTL von Minuten bis Stunden erzeugt, oder die IAM-Rollen der Cloud mit temporären Tokens statt eines fixen Passwort-Strings, der ewig bestehenbleibt. Automatisierung ist der Schlüssel: Manuelle Rotation passiert zu selten und bricht oft etwas → sie muss automatisch und nahtlos ablaufen (die Anwendung holt sich ein frisches Geheimnis ohne Ausfallzeit). Eng verbunden mit der Frage, wie man Geheimnisse überhaupt speichert (Vault, K8s Secrets + externe Stores). Ein zentraler Baustein modernen Secret-Managements. Verwandt mit Secret (K8s) und Golden Image.