Secrets Sprawl 2026:
Zugangsdaten längst außer Kontrolle
API-Keys, Tokens und Passwörter verbreiten sich unkontrolliert – und werden zur größten Cybersecurity-Bedrohung 2026.
Ein unsichtbares Problem wächst weiter
Die größte Gefahr in modernen IT-Infrastrukturen ist längst nicht mehr nur Malware oder Ransomware. Es sind die eigenen Zugangsdaten.
API-Keys, Tokens, Passwörter – sie liegen überall. In Git-Repositories, CI/CD-Pipelines, Logs oder sogar in Chatverläufen. Ein aktueller Bericht von GitGuardian zeigt deutlich: Unternehmen verlieren zunehmend die Kontrolle über ihre sensiblen Zugangsdaten.
👉 Einmal geleakt, bleiben Secrets oft weiterhin gültig – und damit ein dauerhaft offenes Einfallstor.
Kennzahlen im Überblick
Wichtige Metriken im Jahresvergleich
| Metrik | 2024 | 2025 | YoY |
|---|---|---|---|
| Geleakte Secrets (gesamt) | 12,8 Mio. | 15,7 Mio. | +23% |
| Secrets in öffentlichen Repos | 5,1 Mio. | 6,4 Mio. | +25% |
| Durchschn. Rotationszeit | 47 Tage | 42 Tage | -11% |
| Aktive Non-Human-Identitäten | 92x pro Entwickler | 100x pro Entwickler | +9% |
Quelle: GitGuardian 2026
Warum passiert das überhaupt?
Die Ursachen sind selten böse Absicht – sondern strukturell:
Geschwindigkeit schlägt Sicherheit
Entwickler arbeiten unter Druck. Schnelle Deployments sind wichtiger als saubere Secret-Verwaltung.
Fehlende Prozesse
Viele Unternehmen haben keine klare Strategie für Secret Rotation, Zugriffskontrollen und Monitoring.
Tool-Chaos
Unzählige Tools, Cloud-Dienste und APIs führen zu mehr Zugangsdaten, mehr Risiken und weniger Übersicht.
Die unterschätzte Gefahr
Ein geleakter API-Key ist kein kleiner Fehler – sondern potenziell ein Millionenschaden. Der Drift-Vorfall mit 285 Mio. Dollar Verlust zeigt, wie schnell kompromittierte Zugangsdaten zu direktem finanziellen Impact führen:
Zugriff auf Produktionssysteme
Datenabfluss
Cloud-Kostenexplosion
Komplette Infrastruktur-Kompromittierung
👉 Angreifer scannen automatisiert Plattformen wie GitHub nach genau solchen Schwachstellen – in Echtzeit.
Hardcodierte Secrets nach Repository-Typ
Anteil der Repositories mit mindestens einem hardcodierten Secret
Quelle: GitGuardian 2026
Anzahl Secrets pro Maschine
Verteilung der Non-Human-Identitäten nach Anzahl zugewiesener Secrets
Quelle: GitGuardian 2026
Secrets in SCM- und Kollaborationstools
Verteilung der entdeckten Secrets nach Tool-Kategorie
Quelle: GitGuardian 2026
Top 5 gültige Secrets in MCP-Konfigurationen
Anteil der häufigsten noch gültigen Secrets in MCP-Konfigurationsdateien
Quelle: GitGuardian 2026
Noch gültige Secrets nach Leak
Einer der alarmierendsten Befunde: 77 % aller im Jahr 2025 entdeckten geleakten Secrets waren zum Zeitpunkt der Entdeckung noch gültig. Die Rotationsrate hat sich in den letzten vier Jahren kaum verbessert.
Anteil noch gültiger Secrets nach Leak
Prozent der geleakten Secrets, die nach Entdeckung weiterhin gültig bleiben
Quelle: GitGuardian 2026
Mehr Entwickler, mehr Risiko
Die Zahl aktiver Entwickler auf Plattformen wie GitHub ist von 7,6 Mio. (2019) auf 22,8 Mio. (2025) gestiegen. Mehr Code bedeutet mehr Commits – und mehr potenzielle Leaks.
Besonders brisant: KI-generierter Code leakt im Durchschnitt doppelt so viele Secrets pro 1.000 Commits wie menschlich geschriebener Code.
Aktive Entwickler auf GitHub (2019–2025)
Millionen aktive Entwickler pro Jahr – mehr Entwickler bedeuten mehr potenzielle Leaks
Quelle: GitHub / GitGuardian 2026
Geleakte Secrets pro 1.000 Commits
Mensch vs. KI-generierter Code – Januar bis Dezember 2025
Quelle: GitGuardian 2026
Was Unternehmen jetzt tun müssen
Secrets niemals im Code speichern
Nutze Secret Manager (z. B. Vault-Systeme) und Umgebungsvariablen.
Regelmäßige Rotation
Jeder Key muss ein Ablaufdatum haben. Keine Ausnahme.
Continuous Scanning
Automatisierte Tools scannen Repositories und lösen sofort Alerts aus.
Least Privilege Prinzip
Jeder Zugriff nur so viel wie nötig. Nicht mehr.
Automatisierung statt Vertrauen
Security darf nicht von Menschen abhängen. Prozesse automatisieren, Fehler minimieren.
DevOps ohne Security ist ein Risiko
Viele Unternehmen haben DevOps eingeführt – aber DevSecOps ignoriert. Das Ergebnis: schnellere Releases, aber auch schnellere Sicherheitslücken.
👉 Secrets Management muss integraler Bestandteil jeder Pipeline sein.
Fazit: Das Problem ist hausgemacht
Secrets Sprawl ist kein Hackerproblem. Es ist ein Organisationsproblem.
Wer heute keine Kontrolle über seine Zugangsdaten hat, wird morgen kompromittiert.
💡 Wasacon Insight
Wenn du denkst, dein Unternehmen hat das im Griff, stell dir eine Frage:
👉 Weißt du, wo alle deine API-Keys gerade liegen?
Wenn nicht, hast du bereits ein Problem.
Häufig gestellte Fragen
📚 Weiterführende Artikel
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
