Was ist HashiCorp Vault?

HashiCorp Vault ist seit 2015 der De-facto-Standard für Secrets Management in Enterprise-Umgebungen. Vault ist mehr als ein Key-Value-Store für Passwörter: Es bietet dynamische Secrets (also Credentials, die Vault auf Anfrage generiert und automatisch rotiert), Fine-grained Access Policies, Audit-Logging, und Integrationen mit nahezu jedem System – Kubernetes, AWS, Azure, Datenbanken, PKI und mehr.

Die Kernfunktionen im Überblick:

  • Static Secrets: API-Keys, Passwörter, Tokens in verschlüsseltem Speicher
  • Dynamic Secrets: Vault generiert temporäre Datenbankzugänge oder Cloud-Credentials auf Anfrage
  • PKI / TLS: Interne CA, automatisches Zertifikatsmanagement
  • Key/Value Engine: Versionierter KV-Store mit Secret Rotation
  • Kubernetes Auth: Pods authentifizieren sich über Service Accounts

Vault ist Open Source (MPL 2.0), aber HashiCorp hat 2023 die Lizenz auf BSL 1.1 geändert – was kommerzielle Nutzung in direkter Konkurrenz zu HashiCorp-Produkten einschränkt. Das hat Forks wie OpenBao (Linux Foundation) angetrieben.

Was ist Infisical?

Infisical (gegründet 2022, Y Combinator S22) ist eine moderne Open-Source-Plattform für Secrets Management, die explizit als Developer-First-Alternative zu Vault positioniert ist. Infisical löst zunächst ein anderes Problem: Wie tauscht ein Team Secrets sicher aus, ohne sie in .env-Dateien ins Repository zu committen?

Infisical bietet:

  • Web-UI: Übersichtliches Dashboard für alle Environments (Dev, Staging, Prod)
  • CLI: infisical run -- npm start injiziert Secrets als Umgebungsvariablen
  • SDKs: Native Clients für Node.js, Python, Go, Ruby, Java
  • Secret Rotation: Automatische Rotation für AWS IAM, PostgreSQL, MySQL, Redis
  • Dynamic Secrets: Ab Version 0.x, aber weniger ausgereift als Vault
  • Audit-Logs: Wer hat was wann gelesen/geschrieben?
  • Infisical Agent: Sidecar für Kubernetes-Workloads

Infisical ist MIT-lizenziert und bietet eine Cloud-SaaS-Version sowie Self-Hosting via Docker oder Kubernetes Helm Chart an.

Vault vs. Infisical: Der direkte Vergleich

Die zentrale Unterscheidung: Vault ist das Backend-First-Tool (Infrastruktur-Team zentriert), Infisical ist das Developer-First-Tool (App-Entwickler-Team zentriert). Beide Welten überschneiden sich, aber der Ausgangspunkt bestimmt die Stärken.

KriteriumHashiCorp VaultInfisical
HauptzielgruppeOps, Platform-TeamsDeveloper, kleine Teams
LizenzBSL 1.1 (Fork: OpenBao MIT)MIT
Setup-KomplexitätHoch (HA, Raft/Consul, Sealing)Niedrig (Docker Compose, Helm)
Dynamic SecretsVollständig, seit Jahren erprobtIn Entwicklung, deutlich weniger Backends
Kubernetes-IntegrationVault Agent, Vault Secrets OperatorInfisical Agent, K8s Operator
UI/UXFunktional, technischModern, developer-friendly
Secret RotationVollständig (DB, Cloud, PKI)Wächst (PostgreSQL, MySQL, AWS, Redis)
Team-KollaborationPolicy-basiert, technischWorkspace/Environment-Konzept, intuitiv
Cloud SaaSHashiCorp Cloud Platform (kostenpflichtig)Infisical Cloud (Free Tier verfügbar)
Self-HostingVollständig unterstütztVollständig unterstützt (MIT)

Setup und Betrieb: Wie aufwändig ist der Betrieb?

Vault hat einen signifikanten operationalen Overhead: Das Sealing/Unsealing-Konzept (Vault ist nach jedem Neustart verschlossen und muss mit Unseal-Keys oder Auto-Unseal via AWS KMS/Azure Key Vault entsperrt werden) ist ein bewusstes Sicherheitsdesign, aber eine echte Betriebsherausforderung. Ein Vault-Cluster im HA-Modus mit Raft-Backend braucht mindestens 3 Nodes, regelmäßige Snapshots und einen durchdachten Backup-Plan.

Ein einfaches Vault-Deployment auf einem einzelnen Server:

# docker-compose.yml (vereinfacht)
services:
  vault:
    image: hashicorp/vault:1.16
    cap_add: [IPC_LOCK]
    volumes:
      - ./config:/vault/config
      - ./data:/vault/data
    environment:
      VAULT_LOCAL_CONFIG: |
        storage "raft" { path = "/vault/data" }
        listener "tcp" { address = "0.0.0.0:8200", tls_disable = true }
        ui = true
    command: server

Nach dem Start muss Vault initialisiert und entsiegel werden:

vault operator init -key-shares=3 -key-threshold=2
vault operator unseal [key1]
vault operator unseal [key2]

Infisical ist im Vergleich deutlich einfacher zu betreiben. Ein Self-Hosted-Deployment mit Docker Compose:

git clone https://github.com/Infisical/infisical
cd infisical
cp .env.example .env
# .env anpassen (DB, Redis, SMTP)
docker compose up -d

Infisical startet ohne Sealing-Konzept und ist sofort nutzbar. Das macht es deutlich zugänglicher für kleinere Teams ohne dediziertes Ops-Personal.

Kubernetes-Integration: Vault vs. Infisical in der Praxis

Beide Tools bieten Kubernetes-Operatoren für Secret-Injection. Bei Vault gibt es zwei verbreitete Ansätze:

  1. Vault Agent Injector: Injiziert Secrets als Dateien in Init-Container
  2. Vault Secrets Operator (VSO): Synchronisiert Vault-Secrets als native Kubernetes Secrets
# Vault Secrets Operator: VaultStaticSecret-Ressource
apiVersion: secrets.hashicorp.com/v1beta1
kind: VaultStaticSecret
metadata:
  name: webapp-secrets
spec:
  vaultAuthRef: default
  mount: kv
  path: webapp/config
  refreshAfter: 30s
  destination:
    create: true
    name: webapp-secret-k8s

Infisical bietet den Infisical Kubernetes Operator:

apiVersion: secrets.infisical.com/v1alpha1
kind: InfisicalSecret
metadata:
  name: webapp-secrets
spec:
  authentication:
    universalAuth:
      secretsScope:
        projectSlug: my-project
        envSlug: prod
        secretsPath: /
  managedSecretReference:
    secretName: webapp-secret-k8s
    secretNamespace: default

Beide Operatoren synchronisieren Secrets als Kubernetes Secrets – das ist der empfohlene Ansatz für GitOps-Workflows.

Wann ist Vault die bessere Wahl?

Vault ist dann richtig, wenn:

  • Du Dynamic Secrets brauchst (Datenbankzugänge, die automatisch rotiert werden)
  • Deine Infrastruktur PKI und interne CAs benötigt
  • Du mit Enterprise-Compliance (SOC 2, ISO 27001) umgehst und umfangreiches Audit-Logging brauchst
  • Dein Team bereits Vault-Expertise hat
  • Du in einer größeren Organisation mit dediziertem Platform-Team arbeitest
  • Du OpenBao als MIT-lizenzierte Alternative bevorzugst

Wann ist Infisical die bessere Wahl?

Infisical ist dann richtig, wenn:

  • Du ein kleines bis mittelgroßes Team hast, das Secrets kollaborativ verwalten will
  • Du den .env-Workflow ersetzen willst (CLI-Injection in lokale Entwicklung)
  • Du einen geringen Betriebsaufwand bevorzugst (kein Sealing, einfaches Setup)
  • Du Self-Hosting unter MIT-Lizenz willst (kein BSL wie Vault)
  • Static Secrets und Secret Rotation für gängige Backends ausreichen

Meine Empfehlung

Für die meisten Self-Hoster und kleineren Unternehmen ist Infisical heute der bessere Einstieg: Schneller zu deployen, intuitiver zu bedienen, MIT-lizenziert. Der Vault-Funktionsumfang bei Dynamic Secrets und PKI fehlt noch – das ist ein echter Gap für Infrastruktur-Teams.

Wer bereits Vault im Einsatz hat oder Dynamic Secrets sowie Enterprise-PKI braucht, sollte bei Vault (oder OpenBao wegen der Lizenzfrage) bleiben. Für neue Projekte, die hauptsächlich Static Secrets und Team-Kollaboration brauchen, ist Infisical 2026 die modernere Wahl.

Weiterführende Artikel

Verwandte Technologien im Techradar