OpenBao oder HashiCorp Vault: Secrets-Management nach dem Lizenzwechsel
Hinweis zum Inhalt: Die Informationen in diesem Artikel wurden nach bestem Wissen zum Zeitpunkt der Veröffentlichung zusammengestellt. Technische Details, Preise, Versionen, Lizenzmodelle und externe Inhalte können sich ändern. Bitte prüfen Sie die genannten Angaben eigenständig, insbesondere vor geschäftskritischen oder sicherheitsrelevanten Entscheidungen. Dieser Artikel ersetzt keine individuelle Fach-, Rechts- oder Steuerberatung.
Liegen Zugangsdaten bei Ihnen in Konfigurationsdateien? WZ-IT führt mit OpenBao oder Vault zentrales Secrets-Management ein und übernimmt den laufenden Betrieb über Managed Operations. Vorhaben gemeinsam einordnen
HashiCorp Vault ist seit Jahren die Standardantwort auf zentrale Verwaltung von Zugangsdaten und Zertifikaten. Seit dem Lizenzwechsel von 2023 steht daneben OpenBao, eine Abspaltung unter Dach der Linux Foundation.
Die Frage, die sich daraus ergibt, wird oft als Glaubensfrage geführt und ist eine sachliche: Betrifft die Lizenzänderung meinen Einsatz überhaupt? Für die meisten Betreiber lautet die Antwort nein. Wo sie ja lautet, ist der Wechsel überraschend einfach.
Alle Angaben aus den Repositories und Lizenzdateien, Stand 2. September 2026.
Inhaltsverzeichnis
- Die beiden im Überblick
- Was 2023 passiert ist
- Betrifft die BSL Ihren Einsatz
- Was OpenBao technisch ist
- Was ein Wechsel kostet
- Was Sie mit OpenBao aufgeben
- Welches wofür
- Was im Betrieb tatsächlich schwierig ist
- Unser Vorgehen bei WZ-IT
- Weiterführende Guides
Die beiden im Überblick
Angaben aus den öffentlichen Repositories, Stand 2. September 2026.
| HashiCorp Vault | OpenBao | |
|---|---|---|
| Expertise | Vault | OpenBao |
| Repository | hashicorp/vault | openbao/openbao |
| GitHub-Sterne | 36.161 | 7.137 |
| Lizenz | BUSL-1.1 | MPL-2.0 |
| Trägerschaft | IBM (seit Übernahme von HashiCorp) | Linux Foundation |
| Entstehung | 2015 | 2023, Abspaltung von Vault 1.14.0 |
Die Sternezahl bildet vor allem den Altersunterschied ab. Vault gibt es seit 2015, OpenBao seit 2023. Für eine Entscheidung ist die Trägerschaft aussagekräftiger: ein börsennotiertes Unternehmen auf der einen Seite, eine Stiftung auf der anderen.
Was 2023 passiert ist
Im August 2023 stellte HashiCorp Vault und weitere Produkte von der Mozilla Public License 2.0 auf die Business Source License 1.1 um. Die BSL erlaubt Nutzung und Änderung, verbietet aber, die Software als konkurrierendes Angebot bereitzustellen. Nach vier Jahren je Version wandelt sie sich in MPL-2.0.
Die Open Source Initiative erkennt BSL nicht als Open-Source-Lizenz an, weil sie den Einsatzzweck einschränkt.
Als Antwort entstand OpenBao, abgespalten von Version 1.14.0, der letzten unter MPL-2.0 veröffentlichten Fassung, und angesiedelt bei der Linux Foundation.
Anfang 2025 wurde die Übernahme von HashiCorp durch IBM abgeschlossen. Das ist bis in den Lizenztext durchgeschlagen: Als Lizenzgeber steht dort inzwischen International Business Machines Corporation. Die Reihe dieser Lizenzwechsel und was daraus jeweils wurde, haben wir gesondert aufgeschrieben.
Betrifft die BSL Ihren Einsatz
Das ist die Frage, die vor allen anderen kommt, und in den meisten Fällen lautet die Antwort nein.
| Ihr Einsatz | Betroffen? |
|---|---|
| Eigene Zugangsdaten intern verwalten | nein |
| Vault in eigener Infrastruktur für eigene Anwendungen | nein |
| Vault als Dienst für Kunden betreiben | prüfen, Kernfall der Einschränkung |
| Vault in ein Produkt einbetten und ausliefern | prüfen |
Wer Vault einsetzt, um die Zugangsdaten der eigenen Systeme zu verwalten, hat durch den Lizenzwechsel keine Einschränkung. Die BSL zielt auf Anbieter, die ein konkurrierendes Angebot aufbauen.
Für IT-Dienstleister ist der dritte Fall der relevante: Wer Vault als Bestandteil eines Angebots für Kunden betreibt, sollte die Bedingungen anwaltlich prüfen lassen. Wir geben dazu keine Rechtsberatung.
Was OpenBao technisch ist
Keine Neuentwicklung, sondern eine Fortführung. OpenBao teilt mit Vault die Programmierschnittstelle, die Kommandos, die Secrets Engines und die Anmeldeverfahren.
Praktisch heißt das: Bestehende Clients, Skripte und Terraform-Ressourcen arbeiten in der Regel unverändert weiter. Wer Vault kennt, kennt OpenBao.
Das Projekt entwickelt inzwischen eigenständig weiter, unter anderem mit Namespaces und horizontaler Leseskalierung. Es folgt Vault also nicht nur nach, sondern setzt eigene Schwerpunkte. Das ist der wichtigste Unterschied zu Abspaltungen, die nach einem Jahr einschlafen.
Was ein Wechsel kostet
Weniger, als der Aufwand einer Migration üblicherweise vermuten lässt, weil die Schnittstelle dieselbe bleibt.
Was gleich bleibt: Anwendungen, die Zugangsdaten abrufen, Skripte, Terraform-Ressourcen, die Kommandozeile.
Was Arbeit macht: Der Zustand muss übertragen werden, das Speicher-Backend eingerichtet, die Entsiegelung neu aufgesetzt und die Anmeldeverfahren neu verbunden werden. Bei einem Verbund mit mehreren Knoten ist das ein Wartungsfenster, kein Nachmittag.
Was geprüft gehört: Ob Funktionen im Einsatz sind, die nur in Vaults Enterprise-Stufe existieren. Genau daran scheitert ein Wechsel, wenn er scheitert.
Was Sie mit OpenBao aufgeben
Ehrlich benannt, weil es sonst später auffällt:
- Die Enterprise-Stufe von HashiCorp mit erweiterter Replikation über Rechenzentren und HSM-Anbindung
- Das gehostete Angebot von HashiCorp
- Herstellersupport mit vertraglichen Reaktionszeiten
Wer eines davon nutzt oder braucht, hat mit OpenBao keinen gleichwertigen Ersatz. Für Umgebungen, die Vault ohnehin nur in der freien Ausgabe betreiben, entfällt dieser Punkt.
Welches wofür
| Ausgangslage | Naheliegende Wahl | Begründung |
|---|---|---|
| Neu einführen, interner Einsatz | OpenBao | MPL-2.0, Stiftungsträgerschaft, kompatibel |
| Bestehendes Vault, interner Einsatz, läuft | Vault behalten | Lizenz betrifft Sie nicht, Wechsel ohne Anlass |
| Vault als Dienst für Dritte | prüfen lassen, dann meist OpenBao | Kernfall der BSL-Einschränkung |
| Enterprise-Funktionen im Einsatz | Vault | kein gleichwertiger Ersatz in OpenBao |
| Herstellersupport vertraglich nötig | Vault | OpenBao hat keinen entsprechenden Anbieter |
Was im Betrieb tatsächlich schwierig ist
Die Lizenzfrage ist die, über die gesprochen wird. Diese vier entscheiden über den Erfolg:
Die Entsiegelung. Nach jedem Neustart muss das System entsiegelt werden. Wer die Schlüsselanteile nicht sicher und zugleich erreichbar verwahrt, steht nach einem Ausfall vor einem versiegelten System und kommt nicht hinein. Das ist der Ausfall, den man fürchten muss, nicht der Ausfall selbst.
Die Sicherung. Der Zustand liegt im Speicher-Backend, und dessen Sicherung mit geprüfter Wiederherstellung ist Voraussetzung, nicht Zusatz. Ein Secrets-Management ohne getestete Wiederherstellung ist ein zentraler Ausfallpunkt.
Die Rotation. Der eigentliche Nutzen entsteht nicht durch das Speichern, sondern durch kurzlebige Zugangsdaten, die automatisch erneuert werden. Wer nur dauerhafte Schlüssel hineinlegt, hat einen aufwendigen Passwortspeicher gebaut.
Der Zugriffspfad. Anwendungen brauchen einen Weg, sich anzumelden, ohne dafür wieder ein dauerhaftes Geheimnis zu benötigen. Diese Kette sauber aufzubauen ist der anspruchsvollste Teil der Einführung.
Unser Vorgehen bei WZ-IT
Bei Neueinführungen setzen wir OpenBao, weil MPL-2.0 und Stiftungsträgerschaft die Frage nach künftigen Lizenzänderungen erledigen und die Kompatibilität keinen Nachteil lässt.
Bei bestehenden Vault-Installationen raten wir in der Mehrzahl der Fälle zu nichts. Wer intern arbeitet, ist von der BSL nicht betroffen, und ein Wechsel ohne Anlass erzeugt Risiko an einer Stelle, an der Risiko besonders teuer ist.
Was wir vor jeder Einführung klären, ist die Entsiegelung: wo die Schlüsselanteile liegen, wer sie hat und wie der Wiederanlauf abläuft. Diese Übung machen wir einmal gemeinsam, bevor das System produktiv geht.
Weiterführende Guides
- Lizenzwechsel bei Open Source: die Chronik - der größere Zusammenhang
- Vaultwarden - Passwortverwaltung für Menschen, nicht für Maschinen
- Managed Operations - Betrieb, Sicherung und geprüfte Wiederherstellung
- Compliance im Betrieb - Nachweispflichten rund um Zugriffe
Unklar, ob die Lizenzfrage Sie betrifft? Wir sichten den Einsatz, sagen ob Handlungsbedarf besteht und führen den Wechsel durch, wenn er sinnvoll ist. Termin vereinbaren
Quellen
Secrets-Management aufsetzen oder ablösen
Wir richten Vault oder OpenBao ein, binden es an Ihre Systeme an und übernehmen den Betrieb.
Häufig gestellte Fragen
Antworten auf wichtige Fragen zu diesem Thema
Eine Abspaltung von HashiCorp Vault, entstanden nach dem Lizenzwechsel von 2023. Abgespalten wurde von der letzten unter MPL-2.0 veröffentlichten Fassung, Version 1.14.0. Das Projekt läuft unter Dach der Linux Foundation und steht unter MPL-2.0.
Unter der Business Source License 1.1. Im Lizenztext ist inzwischen International Business Machines Corporation als Lizenzgeber eingetragen, nachdem IBM HashiCorp übernommen hat. Nach vier Jahren je Version wandelt sich die Lizenz in MPL-2.0.
Für interne Nutzung in aller Regel nicht. Die Einschränkung zielt darauf, Vault als konkurrierendes Angebot bereitzustellen. Wer Vault zur Verwaltung eigener Zugangsdaten nutzt, ist davon nicht betroffen. Wer es als Dienst für Dritte betreibt, sollte die Bedingungen prüfen lassen.
Geringer als erwartet. OpenBao teilt Vaults Schnittstelle, Kommandos, Secrets Engines und Anmeldeverfahren. Bestehende Clients, Skripte und Terraform-Ressourcen arbeiten in der Regel unverändert weiter. Der Wechsel ist eher eine Konfigurationsfrage als eine Neuentwicklung.
Die kommerzielle Enterprise-Stufe von HashiCorp mit erweiterten Replikationsfunktionen und HSM-Anbindung sowie das gehostete Angebot und den Herstellersupport. Wer diese Funktionen nutzt, hat mit OpenBao keinen gleichwertigen Ersatz.
Nein. Das Projekt entwickelt eigenständig weiter, unter anderem mit Namespaces und horizontaler Leseskalierung. Es folgt Vault nicht nur nach, sondern setzt eigene Schwerpunkte.
Deutlich kleiner nach Sichtbarkeit: rund 7.100 GitHub-Sterne gegenüber rund 36.200 bei Vault, Stand September 2026. Das bildet vor allem den Altersunterschied ab, nicht die Eignung. Für die Entscheidung zählt eher die Trägerschaft unter der Linux Foundation.
Sobald Zugangsdaten in mehr als einer Anwendung gebraucht werden und in Konfigurationsdateien oder Umgebungsvariablen liegen, ja. Der Nutzen liegt weniger im Speichern als im Rotieren, im nachvollziehbaren Zugriff und in kurzlebigen Zugangsdaten statt dauerhaften Schlüsseln.
Die Entsiegelung nach einem Neustart und die Sicherung des Zustands. Ein versiegeltes System nach einem Ausfall nicht wieder öffnen zu können, ist der Ausfall, den man wirklich fürchten muss. Beides gehört geübt, nicht nur dokumentiert.
Ja, etwa Infisical für einen einfacheren Einstieg oder die Secrets-Verwaltung des jeweiligen Cloud-Anbieters. Für gemischte Umgebungen mit eigener Infrastruktur bleiben Vault und OpenBao die vollständigsten Lösungen.
Geschrieben von
Timo Wevelsiep
Co-Founder & CEO
Co-Founder von WZ-IT. Spezialisiert auf Cloud-Infrastruktur, Open-Source-Plattformen und Managed Services für KMUs und Enterprise-Kunden weltweit.
LinkedInLassen Sie uns über Ihre Idee sprechen
Ob konkrete IT-Herausforderung oder einfach eine Idee - wir freuen uns auf den Austausch. In einem kurzen Gespräch prüfen wir gemeinsam, ob und wie Ihr Projekt zu WZ-IT passt.
Rückruf vereinbaren
Unternehmen weltweit vertrauen WZ-IT
