Liegen Zugangsdaten bei Ihnen in Konfigurationsdateien? WZ-IT führt mit OpenBao zentrales Secrets-Management ein und übernimmt den laufenden Betrieb über Managed Operations. Vorhaben gemeinsam einordnen
HashiCorp Vault ist seit Jahren die Standardantwort auf zentrale Verwaltung von Zugangsdaten und Zertifikaten. Seit dem Lizenzwechsel von 2023 steht daneben OpenBao, eine Abspaltung unter Dach der Linux Foundation.
Die Frage, die sich daraus ergibt, wird oft als Glaubensfrage geführt und ist eine sachliche: Betrifft die Lizenzänderung meinen Einsatz überhaupt? Für die meisten Betreiber lautet die Antwort nein. Wo sie ja lautet, ist der Wechsel überraschend einfach.
Alle Angaben aus den Repositories und Lizenzdateien, Stand 2. September 2026.
Inhaltsverzeichnis
- Die beiden im Überblick
- Was 2023 passiert ist
- Betrifft die BSL Ihren Einsatz
- Was OpenBao technisch ist
- Was ein Wechsel kostet
- Was Sie mit OpenBao aufgeben
- Welches wofür
- Was im Betrieb tatsächlich schwierig ist
- Unser Vorgehen bei WZ-IT
- Weiterführende Guides
Die beiden im Überblick
Angaben aus den öffentlichen Repositories, Stand 2. September 2026.
| HashiCorp Vault | OpenBao | |
|---|---|---|
| Expertise | kein Managed-Angebot (BSL-Lizenz) | OpenBao |
| Repository | hashicorp/vault | openbao/openbao |
| GitHub-Sterne | 36.161 | 7.137 |
| Lizenz | BUSL-1.1 | MPL-2.0 |
| Trägerschaft | IBM (seit Übernahme von HashiCorp) | Linux Foundation |
| Entstehung | 2015 | 2023, Abspaltung von Vault 1.14.0 |
Die Sternezahl bildet vor allem den Altersunterschied ab. Vault gibt es seit 2015, OpenBao seit 2023. Für eine Entscheidung ist die Trägerschaft aussagekräftiger: ein börsennotiertes Unternehmen auf der einen Seite, eine Stiftung auf der anderen.
Was 2023 passiert ist
Im August 2023 stellte HashiCorp Vault und weitere Produkte von der Mozilla Public License 2.0 auf die Business Source License 1.1 um. Die BSL erlaubt Nutzung und Änderung, verbietet aber, die Software als konkurrierendes Angebot bereitzustellen. Nach vier Jahren je Version wandelt sie sich in MPL-2.0.
Die Open Source Initiative erkennt BSL nicht als Open-Source-Lizenz an, weil sie den Einsatzzweck einschränkt.
Als Antwort entstand OpenBao, abgespalten von Version 1.14.0, der letzten unter MPL-2.0 veröffentlichten Fassung, und angesiedelt bei der Linux Foundation.
Anfang 2025 wurde die Übernahme von HashiCorp durch IBM abgeschlossen. Das ist bis in den Lizenztext durchgeschlagen: Als Lizenzgeber steht dort inzwischen International Business Machines Corporation. Die Reihe dieser Lizenzwechsel und was daraus jeweils wurde, haben wir gesondert aufgeschrieben.
Betrifft die BSL Ihren Einsatz
Das ist die Frage, die vor allen anderen kommt, und in den meisten Fällen lautet die Antwort nein.
| Ihr Einsatz | Betroffen? |
|---|---|
| Eigene Zugangsdaten intern verwalten | nein |
| Vault in eigener Infrastruktur für eigene Anwendungen | nein |
| Vault als Dienst für Kunden betreiben | prüfen, Kernfall der Einschränkung |
| Vault in ein Produkt einbetten und ausliefern | prüfen |
Wer Vault einsetzt, um die Zugangsdaten der eigenen Systeme zu verwalten, hat durch den Lizenzwechsel keine Einschränkung. Die BSL zielt auf Anbieter, die ein konkurrierendes Angebot aufbauen.
Für IT-Dienstleister ist der dritte Fall der relevante: Wer Vault als Bestandteil eines Angebots für Kunden betreibt, sollte die Bedingungen anwaltlich prüfen lassen. Wir geben dazu keine Rechtsberatung.
Was OpenBao technisch ist
Keine Neuentwicklung, sondern eine Fortführung. OpenBao teilt mit Vault die Programmierschnittstelle, die Kommandos, die Secrets Engines und die Anmeldeverfahren.
Praktisch heißt das: Bestehende Clients, Skripte und Terraform-Ressourcen arbeiten in der Regel unverändert weiter. Wer Vault kennt, kennt OpenBao.
Das Projekt entwickelt inzwischen eigenständig weiter, unter anderem mit Namespaces und horizontaler Leseskalierung. Es folgt Vault also nicht nur nach, sondern setzt eigene Schwerpunkte. Das ist der wichtigste Unterschied zu Abspaltungen, die nach einem Jahr einschlafen.
Was ein Wechsel kostet
Weniger, als der Aufwand einer Migration üblicherweise vermuten lässt, weil die Schnittstelle dieselbe bleibt.
Was gleich bleibt: Anwendungen, die Zugangsdaten abrufen, Skripte, Terraform-Ressourcen, die Kommandozeile.
Was Arbeit macht: Der Zustand muss übertragen werden, das Speicher-Backend eingerichtet, die Entsiegelung neu aufgesetzt und die Anmeldeverfahren neu verbunden werden. Bei einem Verbund mit mehreren Knoten ist das ein Wartungsfenster, kein Nachmittag.
Was geprüft gehört: Ob Funktionen im Einsatz sind, die nur in Vaults Enterprise-Stufe existieren. Genau daran scheitert ein Wechsel, wenn er scheitert.
Was Sie mit OpenBao aufgeben
Ehrlich benannt, weil es sonst später auffällt:
- Die Enterprise-Stufe von HashiCorp mit erweiterter Replikation über Rechenzentren und weitergehenden HSM-Funktionen. Die automatische Entsiegelung über ein HSM per PKCS#11 bietet OpenBao seit Version 2.2 (Changelog 2.2.0, 5. März 2025) ebenfalls; ab Version 2.7 wird sie als externes Plugin aus der Sammlung openbao-plugins eingebunden (OpenBao: PKCS#11-Seal, Stand Oktober 2026)
- Das gehostete Angebot von HashiCorp
- Herstellersupport mit vertraglichen Reaktionszeiten
Wer eines davon nutzt oder braucht, hat mit OpenBao keinen gleichwertigen Ersatz. Für Umgebungen, die Vault ohnehin nur in der freien Ausgabe betreiben, entfällt dieser Punkt.
Welches wofür
| Ausgangslage | Naheliegende Wahl | Begründung |
|---|---|---|
| Neu einführen, interner Einsatz | OpenBao | MPL-2.0, Stiftungsträgerschaft, kompatibel |
| Bestehendes Vault, interner Einsatz, läuft | Vault behalten | Lizenz betrifft Sie nicht, Wechsel ohne Anlass |
| Vault als Dienst für Dritte | prüfen lassen, dann meist OpenBao | Kernfall der BSL-Einschränkung |
| Enterprise-Funktionen im Einsatz | Vault | kein gleichwertiger Ersatz in OpenBao |
| Herstellersupport vertraglich nötig | Vault | OpenBao hat keinen entsprechenden Anbieter |
Was im Betrieb tatsächlich schwierig ist
Die Lizenzfrage ist die, über die gesprochen wird. Diese vier entscheiden über den Erfolg:
Die Entsiegelung. Nach jedem Neustart muss das System entsiegelt werden. Wer die Schlüsselanteile nicht sicher und zugleich erreichbar verwahrt, steht nach einem Ausfall vor einem versiegelten System und kommt nicht hinein. Das ist der Ausfall, den man fürchten muss, nicht der Ausfall selbst.
Die Sicherung. Der Zustand liegt im Speicher-Backend, und dessen Sicherung mit geprüfter Wiederherstellung ist Voraussetzung, nicht Zusatz. Ein Secrets-Management ohne getestete Wiederherstellung ist ein zentraler Ausfallpunkt.
Die Rotation. Der eigentliche Nutzen entsteht nicht durch das Speichern, sondern durch kurzlebige Zugangsdaten, die automatisch erneuert werden. Wer nur dauerhafte Schlüssel hineinlegt, hat einen aufwendigen Passwortspeicher gebaut.
Der Zugriffspfad. Anwendungen brauchen einen Weg, sich anzumelden, ohne dafür wieder ein dauerhaftes Geheimnis zu benötigen. Diese Kette sauber aufzubauen ist der anspruchsvollste Teil der Einführung.
Noch unklar, welches Werkzeug passt? Der Orientierungsworkshop ordnet Ihre Anforderungen und liefert eine priorisierte Themenliste mit Empfehlung je Thema. Ab 1.490 € netto, remote.
Unser Vorgehen bei WZ-IT
Bei Neueinführungen setzen wir OpenBao, weil MPL-2.0 und Stiftungsträgerschaft die Frage nach künftigen Lizenzänderungen erledigen und die Kompatibilität keinen Nachteil lässt.
Bei bestehenden Vault-Installationen raten wir in der Mehrzahl der Fälle zu nichts. Wer intern arbeitet, ist von der BSL nicht betroffen, und ein Wechsel ohne Anlass erzeugt Risiko an einer Stelle, an der Risiko besonders teuer ist.
Was wir vor jeder Einführung klären, ist die Entsiegelung: wo die Schlüsselanteile liegen, wer sie hat und wie der Wiederanlauf abläuft. Diese Übung machen wir einmal gemeinsam, bevor das System produktiv geht.
Weiterführende Guides
- Lizenzwechsel bei Open Source: die Chronik - der größere Zusammenhang
- Vaultwarden - Passwortverwaltung für Menschen, nicht für Maschinen
- Managed Operations - Betrieb, Sicherung und geprüfte Wiederherstellung
- Compliance im Betrieb - Nachweispflichten rund um Zugriffe
Unklar, ob die Lizenzfrage Sie betrifft? Wir sichten den Einsatz, sagen ob Handlungsbedarf besteht und führen den Wechsel durch, wenn er sinnvoll ist. Termin vereinbaren
