OpenBao oder HashiCorp Vault - was ist die richtige Wahl fuer Kubernetes-Secrets?

Bei einem Neueinstieg wuerde ich heute zu OpenBao raten. Vault ist seit 2023 nicht mehr komplett Open Source (Business Source License statt MPL), und seit Februar 2025 gehoert HashiCorp komplett zu IBM - eine zusaetzliche Unsicherheit, die bei einer sicherheitskritischen Komponente wie einem Secrets-Manager schwerer wiegt als anderswo. OpenBao ist der Linux-Foundation-gefuehrte Fork der letzten MPL-Version, API-kompatibel zu Vault. Wer Vault schon produktiv im Einsatz hat: kein Grund zur Panik, aber die Lizenzfrage im Auge behalten.

Ist OpenBao technisch schlechter als Vault?

Nein, OpenBao ist ein direkter Fork der letzten offenen Vault-Version und API-kompatibel. Der Unterschied liegt nicht in der Technik, sondern in der Lizenz und der Governance - OpenBao liegt bei der Linux Foundation, nicht bei einem einzelnen Konzern.

Muessen wir von Vault auf OpenBao migrieren?

Nicht zwingend. Wenn Vault bei euch laeuft und niemand aktuell Enterprise-Features oder neue Vault-Versionen braucht, ist ein Wechsel kein Muss. Fuer neue Setups ist die Ausgangslage aber klar zugunsten OpenBao.

Was hat der IBM-Kauf von HashiCorp mit der Entscheidung zu tun?

IBM hat HashiCorp im Februar 2025 fuer 6,4 Milliarden Dollar uebernommen. Das aendert an der Lizenz erstmal nichts, zeigt aber: Vault ist jetzt Teil eines Grosskonzern-Portfolios, nicht mehr die Kernpriorisierung eines fokussierten Infrastruktur-Anbieters. Bei einer sicherheitskritischen Komponente ist das ein Faktor, den ich nicht ignorieren wuerde.

Strategien

OpenBao oder HashiCorp Vault? Seit IBM zugekauft hat, ist die Antwort klarer

Das passende Training OpenBao Kubernetes Training (HashiCorp Vault) – Secrets zentral verwalten statt in YAML verstecken (2 Tage)

OpenBao oder HashiCorp Vault? Seit IBM zugekauft hat, ist die Antwort klarer

Ganz ehrlich: Die Feature-Vergleichstabellen zwischen OpenBao und Vault kannst du dir sparen. Beide können im Kern dasselbe - OpenBao ist ja der Fork der letzten offenen Vault-Version. Die eigentliche Frage ist eine andere.

Die Lizenzfrage, die 2023 begann

Seit August 2023 ist Vault nicht mehr komplett Open Source. HashiCorp hat auf die Business Source License umgestellt - freie Nutzung mit Einschränkungen, keine MPL mehr. Die Community-Antwort kam schnell: OpenBao, ein Fork der letzten MPL-Version, unter dem Dach der Linux Foundation.

Kein Nischenprojekt, kein Wochenend-Hobby. IBM-Ingenieure gehören zu den aktivsten Contributoren.

Und dann kaufte IBM HashiCorp

Im Februar 2025 wurde es nochmal interessanter: IBM übernahm HashiCorp komplett, für 6,4 Milliarden Dollar. Vault gehört jetzt zu einem Konzern-Portfolio, nicht mehr zu einem fokussierten Infrastruktur-Anbieter.

Der amüsante Teil: Dieselben IBM-Ingenieure, die an OpenBao mitbauen, gehören jetzt auch zum Vault-Mutterkonzern. IBM sitzt an beiden Tischen.

Für dich als Nutzer ändert das an der reinen Technik nichts. Aber es verschiebt das Risikobild - eine sicherheitskritische Komponente wie ein Secrets-Manager sollte nicht von den Prioritäten eines Konzern-Portfolios abhängen.

Meine klare Ansage

Startest du neu: OpenBao. Nicht weil Vault schlecht wäre, sondern weil sich bei einem Neustart keine Lizenz-Unsicherheit einkaufen lässt, die es nicht geben müsste.

Läuft Vault bei euch schon? Kein Grund zur Hektik. Migrieren nur, wenn ihr wirklich neue Vault-Versionen oder Enterprise-Features braucht, die es bei OpenBao (noch) nicht gibt - sonst gilt dasselbe Prinzip wie bei jedem Tool-Wechsel: Wissen und Setup konzentrieren, nicht aus reiner Vorsicht umbauen.

Fazit

Die OpenBao-vs-Vault-Frage ist am Ende keine Technik-Frage. Es ist dieselbe Frage wie bei Istio vs. Linkerd: Wer steht hinter dem Tool, und was bedeutet das für eure Abhängigkeit? Bei Secrets-Management wiegt die Antwort besonders schwer - das ist die Komponente, die im Ernstfall alles andere schützt.

Mein OpenBao-Training zeigt dir die Integration in Kubernetes direkt am Live-Cluster - Vault Secrets Operator, External Secrets Operator, die ganze Praxis, ohne Lizenz-Kopfschmerzen im Nacken.