Die Konten einer kleinen Softwarefirma
In einer Softwarefirma hängt an wenigen Anmeldungen der ganze Betrieb: Über sie kommt Code in die Produktion und erscheinen Updates in den App-Stores.
- Code-Hosting: die Organisation mit den Repositorys, ihre Eigentümer, ein Maschinenkonto für Build und Deployment.
- Cloud-Konsolen: das Root- oder Inhaberkonto beim Cloud-Anbieter, die Administratoren für den Alltag, die Abrechnung.
- Domains und Zertifikate: Registrar, DNS-Verwaltung, die Adressen der eigenen Produkte. Mehr dazu im Ratgeber Zugangsdaten für Domain und Website.
- App-Stores: das Apple Developer Program und die Google Play Console, dazu der Uploadschlüssel für Android-Apps.
- Zahlungsanbieter: das Dashboard, über das Ihr Produkt Zahlungen abwickelt, mit getrennten Test- und Live-Umgebungen.
- Kundensysteme: VPN-Zugänge, Fernwartung und Testkonten, die Ihnen Kunden für die Wartung ihrer Individualsoftware geben.
Wer gerade gründet und Investoren sucht, findet die Fragen dieser Phase auf der Seite für Start-ups. Wer Websites für Kunden baut und pflegt, auf der Seite für Webagenturen.
Der Tresor ist für Menschen, die Anwendung hat ihre eigene Ablage
Ein API-Schlüssel, den Ihre Anwendung zur Laufzeit braucht, gehört nicht in einen Tresor, aus dem Menschen Passwörter abrufen. Stripe schreibt in seiner Anleitung zu geheimen Schlüsseln, man solle einen neu erzeugten Schlüssel sofort im Secrets Vault der eigenen Plattform speichern und nirgendwo sonst. GitHub hält für Workflows eigene Secrets auf Ebene der Organisation, des Repositorys und der Umgebung bereit und nennt OpenID Connect als Weg, langlebige Zugangsdaten für die Cloud ganz wegzulassen.
Datenbankpasswort der Produktion, Live-Schlüssel des Zahlungsanbieters und Zugangsdaten für Deployments liegen in der Geheimnisverwaltung der Cloud oder der Build-Pipeline. In den Tresor gehört die Anmeldung eines Menschen an genau dieser Verwaltung, am Dashboard des Zahlungsanbieters und an der Cloud-Konsole. Wer zusätzlich eine Datei mit Umgebungsvariablen in den Tresor legt, hat eine zweite Kopie, an die beim nächsten Rotieren niemand denkt.
Root-Konto der Cloud: Passwort und Code bei verschiedenen Personen
AWS rät dringend, das Root-Konto nur für die wenigen Aufgaben zu nutzen, die es verlangen, und für den Alltag einen eigenen Administrator anzulegen. Zum Root-Konto selbst gibt AWS konkrete Empfehlungen (Stand der Dokumentation: Oktober 2026):
- Als Adresse ein Gruppenpostfach der Firma, das an mehrere Personen weiterleitet und für nichts anderes dient.
- Mehrere Geräte für den zweiten Faktor, AWS erlaubt bis zu acht je Root-Konto.
- Wenn möglich zwei Gruppen: eine kennt das Passwort, die andere hat den zweiten Faktor. Für die Anmeldung braucht es je eine Person aus beiden.
Im Tresor liegt das Passwort in der Sammlung „Cloud Root Passwort“. Den zweiten Faktor halten andere Personen auf ihren eigenen Geräten und nicht im Tresor, denn wer im Tresor Eigentümer oder Administrator ist, sähe sonst Passwort und Code zusammen. AWS warnt außerdem davor, das Root-Passwort in einem Werkzeug aufzubewahren, das selbst in diesem Cloud-Konto läuft. Der Tresor steht auf einem eigenen Server Ihrer Firma bei netcup und hängt deshalb nicht an dem Konto, dessen Zugang er verwahrt. Wohin die Wiederherstellungscodes der anderen Dienste gehören, steht im Ratgeber Wiederherstellungscodes aufbewahren.
App-Stores: Der Kontoinhaber ist eine Person
Die Angaben zu Apple und Google stammen aus deren Hilfeseiten, Stand Oktober 2026. Im Apple Developer Program verlängert der Account Holder die Mitgliedschaft, akzeptiert Verträge für die Firma, legt die ersten Admins an und gibt Änderungen an der Bankverbindung frei. Übertragen kann die Rolle laut Apple nur der bisherige Account Holder, und zwar an einen Mitarbeiter im Team, der die Firma vertraglich binden darf. Bestätigungscodes für einen Apple Account erscheinen auf den vertrauenswürdigen Geräten der Person oder gehen an ihre vertrauenswürdige Telefonnummer. Eine Authenticator-App nennt Apple dafür nicht, einen Code für das ganze Team gibt es also nicht. Laden Sie die Kollegen deshalb als Admins ein, statt das Konto zu teilen, und übertragen Sie die Rolle, bevor der Account Holder die Firma verlässt.
In der Google Play Console gilt das erste registrierte Konto als Kontoinhaber mit vollem Zugriff. Nur dieses Konto kann ein Zahlungsprofil für kostenpflichtige Apps verknüpfen. Alle anderen kommen als Nutzer mit eigenen Berechtigungen dazu, und Google rät, für alle Nutzer die Bestätigung in zwei Schritten zu erzwingen.
Den App-Signaturschlüssel verwahrt bei Play App Signing Google, den Uploadschlüssel Ihre Firma. Google empfiehlt, ihn an einem sicheren Ort aufzubewahren. Geht er verloren, beantragen Sie in der Play Console, dass Google ihn zurücksetzt. Erstellt bei Ihnen eine Person die Releases von Hand, passt eine Kopie der Schlüsseldatei als Dateianhang in die Sammlung „Release“, das Kennwort ins Passwortfeld. Baut die Pipeline die Releases, liegt der Schlüssel in deren Geheimnisverwaltung.
Code-Hosting: Das Konto gehört dem Entwickler, die Organisation der Firma
Für Leute, die ihr GitHub-Konto privat und beruflich nutzen, hat GitHub eine eigene Anleitung, was beim Wechsel des Arbeitgebers zu tun ist. Nach dem Austritt aus der Organisation kommt die Person weiter an ihr Konto, sofern es kein von der Firma verwaltetes Konto ist. Hat ein Konto zum Beispiel ein Release erstellt, verlangt GitHub die Zwei-Faktor-Anmeldung und empfiehlt dafür eine Authenticator-App (Stand der Dokumentation: Oktober 2026).
Ein privat genutztes Konto samt Wiederherstellungscodes gehört nicht in den Tresor der Firma, auch nicht in den persönlichen Bereich. Wer bei Ihnen die Kontowiederherstellung bedienen darf, kommt nämlich an den persönlichen Tresor jedes Mitarbeiters. Die Eigentümerrolle der Organisation sollten nach der Empfehlung von GitHub mindestens zwei Personen haben, jede mit ihrem eigenen Konto. In den Tresor der Firma gehört der Zugang des Maschinenkontos für Build und Deployment und, falls eingeschaltet, dessen Code für den zweiten Faktor.
Sammlungen in einem Entwicklerteam
| Sammlung | Typische Zugänge | Wer sie sieht |
|---|---|---|
| Cloud Root Passwort | Passwort des Root-Kontos, Adresse des Gruppenpostfachs | Geschäftsführung |
| Betrieb | Cloud-Konsole, Geheimnisverwaltung, Maschinenkonto des Code-Hostings, DNS, Fehlerberichte | wer Bereitschaft hat |
| Release | Play Console, Uploadschlüssel als Anhang, Zugänge zu den Store-Einträgen | wer veröffentlicht |
| Kunde je Wartungsvertrag | VPN, Fernwartung, Testkonten im System des Kunden | das Team dieses Kunden |
| Kaufmännisch | Dashboard des Zahlungsanbieters, Abrechnung der Cloud, Buchhaltung | Geschäftsführung, Buchhaltung |
Eigentümer und Administratoren der Organisation, im Beispiel unten die Geschäftsführerin, sehen zusätzlich alle Sammlungen.
Liegt der geheime Schlüssel für Codes beim Eintrag, ruft jeder Berechtigte den Code selbst ab. Deshalb gilt am Tresor die Zwei-Faktor-Pflicht für alle Mitarbeiter. Eigentümer und Administratoren richten den zweiten Faktor selbst ein. Mehr steht im Ratgeber 2FA im Team teilen.
Wenn ein Entwickler geht, bleiben seine Deploy Keys gültig
Deploy Keys haben laut GitHub kein Ablaufdatum und hängen am Repository, nicht an der Person. Wird die Person, die einen Deploy Key angelegt hat, aus dem Repository entfernt, bleibt der Schlüssel aktiv.
- Der Verantwortliche bei Ihnen sperrt das Konto im Tresor. Der Tresor zeigt, welche Sammlungen die Person sehen konnte.
- Sie entfernen die Person aus der Organisation im Code-Hosting, aus der Cloud und aus den App-Stores.
- Sie prüfen die Deploy Keys und die Zugangsschlüssel in der Cloud, die sie angelegt hat, und ersetzen sie.
- Sie ändern die Passwörter aus den Sammlungen, die sie kannte, und bitten Ihre Kunden, ihre Konten in VPN und Fernwartung zu löschen.
Die vollständige Reihenfolge steht in der Checkliste, wenn ein Mitarbeiter geht.
Meldungen nach dem Cyber Resilience Act
Seit dem 11. September 2026 gelten nach Angaben des BSI die Meldepflichten des Cyber Resilience Act für Hersteller von Produkten mit digitalen Elementen. Eine aktiv ausgenutzte Schwachstelle oder einen schwerwiegenden Sicherheitsvorfall melden sie über die Meldeplattform der ENISA, die Frühwarnung innerhalb eines Tages nach belastbarer Kenntnis. Koordinierende Stelle für Deutschland ist CERT-Bund im BSI. Als Merkmal eines schwerwiegenden Vorfalls nennt das BSI unter anderem, dass er zur Manipulation von Software, Updates oder Signaturschlüsseln führen kann.
Für die Plattform braucht man laut BSI ein EU-Login-Konto, eine Registrierung vorab ist keine Pflicht. Legen Sie trotzdem fest, wer meldet und wer vertritt, und lassen Sie beide das Konto anlegen, bevor es eilt. Ob Ihr Produkt unter den Cyber Resilience Act fällt, klären Sie mit Ihrer Rechtsberatung. Dieser Text ist keine Rechtsberatung.
Beispiel: Wiegesoftware für Recyclinghöfe
Ein erfundenes Softwarehaus mit neun Leuten schreibt die Software, mit der Recyclinghöfe Anlieferungen wiegen und abrechnen, dazu eine App für iPhone und Android, die das Personal an der Waage nutzt. Rund 40 Höfe haben einen Wartungsvertrag mit eigenem VPN-Zugang. Diese Zugänge standen in einer Tabelle im Wiki, Account Holder bei Apple war ein Mitgründer kurz vor dem Ruhestand.
Vor seinem letzten Arbeitstag hat er die Rolle an die Geschäftsführerin übertragen. Heute gibt es 40 Kundensammlungen, die außer der Geschäftsführerin jeweils nur das zuständige Team sieht. Das Root-Passwort der Cloud kennt die Geschäftsführerin, den Code haben der technische Leiter und seine Vertretung auf ihren eigenen Geräten, nicht im Tresor. Die Geschäftsführerin ist Eigentümerin der Organisation im Tresor. Fällt sie aus, übernimmt der Prokurist über einen Notfallzugang ihr Konto und kommt so an alle Sammlungen, den Code hat er nicht. Wie der abläuft, beschreibt der Ratgeber Notfallzugriff auf Firmenpasswörter.
Kosten für eine Softwarefirma
Die Wartung des Tresors kostet 16,99 € im Monat inkl. MwSt., bei 12 Monaten Mindestlaufzeit, mit der Einrichtung im Preis und ohne Grenze bei der Zahl der Nutzer. Dazu kommt der Server, den Ihre Firma selbst bei netcup mietet, ab 3,69 € im Monat inkl. MwSt. Das Angebot richtet sich nur an Unternehmer.
Eine Sicherung des Tresors gibt es mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt. Ohne das Paket sichern wir nicht, Sie exportieren den Tresor dann selbst verschlüsselt. Hilfe im Alltag berechnen wir nach Aufwand mit 74,99 € je Stunde inkl. MwSt., je angefangener Viertelstunde. Betreibt Ihr Team lieber selbst einen Tresor, nennt der Ratgeber zum Selbst-Hosten Aufwand und Risiken. Ob die Wartung durch uns für Sie passt, besprechen wir im kostenlosen Erstgespräch (15 Minuten) am Telefon oder per Video.
Anlaufstellen
| Meldungen nach Cyber Resilience Act | CERT-Bund im BSI über die Meldeplattform der ENISA |
|---|---|
| Kammer | IHK Ihres Bezirks |
Quellen: BSI: CRA Single Reporting Platform; AWS: Root user best practices; Stripe: Best Practices für die Verwaltung von API-Geheimschlüsseln; Apple Developer: Transfer the Account Holder role; GitHub Docs: Managing deploy keys. Stand: 14.10.2026.