API-Keys und .env-Secrets sicher im Team teilen, ohne sie durch Slack zu jagen
Erseni Vault ist das EU-gehostete Zero-Knowledge-Tool für DevOps-Teams: Ihr teilt Server-, Datenbank- und Cloud-Zugänge über selbstzerstörende Links, holt Kunden-Credentials sicher ab und behaltet mit einem Audit-Log den Überblick, wer was wann gesehen hat. Self-hostbar, wenn ihr es braucht.
DSGVO-konform Hosting in der EU Zero Knowledge
Warum Passwörter im Mail-Thread ein Risiko sind
Zugänge, Passwörter und Dokumente kommen selten sicher an: Wer sie euch schicken muss, nimmt meist den schnellsten Weg über Mail oder Chat, und dort bleiben sie liegen.
Die Zugangsdaten verschwinden nie wieder
Secrets sind überall: der AWS-Key im Slack-Thread, das Datenbank-Passwort in einer Confluence-Seite, der SSH-Zugang als Sprachnachricht, die halbe .env in einer WhatsApp an den neuen Kollegen. Jede dieser Kopien lebt weiter, lange nachdem das Ticket geschlossen ist, und rotiert wird sowieso nie. Kommt ein einziger Account oder ein einziges Backup abhanden, liegen Produktions-Zugänge, Cloud-Keys und Kundendaten offen. Für ein Team, das Sicherheit verkauft, ist genau das der Vorfall, den ihr euch nicht leisten könnt.
So funktioniert es
Drei Schritte, und der Kunde braucht dafür keinen Account.
Anforderungs-Link schicken
Ihr legt fest, welche Zugänge ihr braucht (Cloud-Konsole, CI/CD, Container-Registry, VPN) und schickt dem Kunden einen einzigen Link. Das Schlüsselpaar entsteht in eurem Browser, der private Schlüssel verlässt euer Gerät nie.
Kunde trägt seine Zugangsdaten ein
Der Kunde öffnet den Link und füllt die Felder aus. Alles wird in seinem Browser gegen euren öffentlichen Schlüssel verschlüsselt, bevor es rausgeht. Der Server sieht ausschließlich Chiffrat.
Einmal abholen, Link ist tot
Ihr holt die Zugangsdaten genau einmal ab und entschlüsselt sie lokal. Danach wird der Inhalt auf dem Server gelöscht und der Link ist tot. Im Postfach bleibt nichts zurück.
Secrets für KI-Agenten: vault-ask
Dein Coding-Agent braucht einen API-Key oder ein Datenbank-Passwort? Mit vault-ask gibst du den Wert im Browser ein, und er geht nur an den einen Befehl, den du gesehen hast. Per CLI oder MCP-Server, an seinen Zweck gebunden und in der Ausgabe maskiert, damit er nie im Chat oder im Sitzungsprotokoll steht.
So gebaut, dass wir die Daten eurer Kunden nicht lesen können
Zero Knowledge ist hier kein Versprechen, sondern die Architektur, und der Quellcode ist öffentlich.
Nichts im Klartext auf dem Server
Ver- und Entschlüsselung passieren im Browser (AES-GCM-256, X25519). Gespeichert werden Chiffrat und Metadaten, nie der Schlüssel, nie der Klartext.
DSGVO-konform by Design
Datenminimierung, einmaliger Abruf, kurze Speicherfristen. Zugangsdaten, die auf keinem Server mehr liegen, können bei einem Vorfall auch nicht abfließen. Das macht eure Auftragsverarbeitung deutlich einfacher.
Hosting in der EU
Server und Backups bleiben innerhalb der Europäischen Union. Keine Drittlandübermittlung, kein US-Cloud-Anbieter im Request-Pfad.
Schluss mit Secrets in Slack-Threads
Team-Account anlegen, den ersten Secret-Request verschicken und API-Keys ab sofort über Links teilen, die nach dem ersten Abruf verfallen. Wer den Wert eintippt, braucht kein Konto.
Kostenloser Tarif, keine Kreditkarte, kein Vertriebsgespräch.