Key Rotation

Key Rotation im Überblick

Key Rotation tauscht Credentials risikobasiert aus und kann Schaden bei Leaks begrenzen.

Ohne Rotation:
Key geleakt → Angreifer kann Zugang behalten, bis der Leak erkannt und behoben wird

Mit Rotation:
Key geleakt → Laufzeit und Rotation begrenzen das Zeitfenster, abhängig vom Intervall

Technisch betrachtet

Secrets-Manager-Rotation

# Automatische Rotation konfigurieren
secrets-manager rotate-secret \
    --secret-id DATABASE_SECRET \
    --rotation-handler ROTATION_HANDLER \
    --rotation-rules ROTATION_POLICY

Zero-Downtime Rotation

1. Neuen Key generieren
2. Beide Keys parallel gültig
3. Anwendungen auf neuen Key umstellen
4. Alten Key deaktivieren

Rotationsstrategien im Vergleich

Je kürzer die Lebensdauer eines Secrets, desto weniger wichtig wird die manuelle Rotation – dynamische, kurzlebige Credentials sind deshalb das Zielbild vieler moderner Architekturen.

Key Rotation in KI- und LLM-Systemen

KI-Anwendungen bringen eigene Rotationsanforderungen mit:

• LLM-Provider-Keys: API-Keys für Sprachmodell-Dienste sind direkt kostenwirksam. Ein geleakter Key erlaubt Inferenz auf fremde Rechnung – regelmäßige Rotation und Budgetlimits begrenzen den Schaden.
• Viele Integrationen, viele Keys: Typische KI-Stacks kombinieren LLM-APIs, Vektordatenbanken, Embedding-Dienste und Webhooks. Jede Integration braucht ein eigenes Secret mit eigenem Rotationsplan – ein zentrales Inventar verhindert vergessene Altlasten.
• Agenten als Maschinenidentitäten: KI-Agenten, die selbstständig Tools aufrufen, sollten kurzlebige, automatisch rotierte Credentials nutzen. So bleibt ein kompromittierter Agent nur für ein kurzes Zeitfenster handlungsfähig.
• Keys nie im Prompt: Credentials gehören nicht in System-Prompts oder Modellkontexte. Taucht ein Key dort auf, gilt er als potenziell geleakt und muss rotiert werden.

Typische Stolperfallen

Abgrenzung zu verwandten Begriffen

• Secrets Management ist der übergeordnete Prozess: sichere Speicherung, Zugriffskontrolle und Audit. Key Rotation ist einer seiner Teilprozesse.
• Key Revocation ist der sofortige Entzug eines Schlüssels ohne Übergangsphase – die Notfallvariante der Rotation.
• Zertifikatserneuerung folgt derselben Logik, ist aber durch feste Ablaufdaten getrieben und heute meist automatisiert (etwa über ACME-Protokolle).