Infisical
Infisical, Inc. ·infisical.com· Stand: 2026-07-30
Unser Urteil
Ein Tresor für Zugangsdaten macht kein Unternehmen unterscheidbar. Er verhindert den Rückfall: Zugangsdaten im Programmcode, im Chat und in der Tabelle sind der häufigste Weg, auf dem ein Betrieb seine eigenen Systeme verliert. Sobald Automaten und KI-Agenten eigenständig auf Systeme zugreifen, wächst die Zahl der Zugangsdaten schneller als die Zahl der Menschen, und ohne Register weiß niemand mehr, wer was darf. Das ist Pflichtausrüstung, kein Vorsprung. Den Vorsprung holt man aus dem, was hinter den Zugangsdaten liegt.
Für wen es taugt
Solopreneur
geeignet
Der kostenlose Tarif deckt fünf Identitäten ab. Ein Mensch, eine Pipeline, zwei Dienste, dann ist die Grenze erreicht. Für einen Einzelbetrieb reicht das, aber es ist knapp bemessen.
KMU
geeignet
20 US-Dollar je Identität und Monat bleiben rechenbar, solange die Zahl der Dienste bekannt ist. Wer den Selbstbetrieb wählt, bekommt den Kern quelloffen und zahlt erst für Rollenrechte, Anmeldung über den Unternehmens-Login und dynamische Zugangsdaten.
Konzern
bedingt geeignet
Der Prüfbericht nach SOC 2 Type II wird laut Preisseite erst ab dem Advanced-Tarif zu 40 US-Dollar je Identität ausgewiesen, alle 16 genannten Subunternehmer sitzen in den Vereinigten Staaten, und ein eigenes ISO-27001-Zertifikat des Anbieters ist öffentlich nicht belegt. Für eine Beschaffung mit Prüfliste heißt das: erst klären, dann unterschreiben.
Kaufen, wechseln oder bauen
Standardprodukt
HashiCorp Vault oder der Tresor der eigenen Cloud
Vault ist der Bezugspunkt der Kategorie und kann mehr, verlangt aber Betriebswissen, das in kleinen Mannschaften niemand hat. Der bequemere Standardweg ist der Tresor der eigenen Cloud, also AWS Secrets Manager oder Azure Key Vault: nichts zusätzlich zu betreiben, keine neue Rechnung, aber die Bindung an einen Anbieter und nichts, was Zugangsdaten außerhalb dieser Cloud ordnet.
KI-nativ
Kein sinnvoller KI-nativer Ersatz
Ein Tresor für Zugangsdaten wird durch ein Sprachmodell nicht besser, er wird dadurch nur angreifbar. Was KI hier verändert, ist die Nachfrageseite: Agenten brauchen kurzlebige, eng begrenzte Zugänge statt dauerhafter Schlüssel. Genau darauf zielen die Agenten-Funktionen des Anbieters. Das ist ein Argument für ein Identitätsregister, nicht für eine neue Werkzeugklasse.
Eigenbau
Verschlüsselte Dateien in der Versionsverwaltung
Der ernsthafte Eigenbau ist nicht der eigene Tresor, sondern der Verzicht auf einen Dienst: Zugangsdaten verschlüsselt als Dateien neben dem Programmcode, entschlüsselt über den Schlüsseldienst der eigenen Cloud. Das kostet nichts, ist prüfbar über die Versionsgeschichte und trägt für kleine, technisch geführte Mannschaften. Es bricht an drei Stellen: beim Wechseln von Zugangsdaten, beim Entzug einzelner Rechte und in dem Moment, in dem jemand ohne Programmierkenntnisse einen Zugang braucht.
Unser Rat
- Solopreneur: Kostenloser Tarif oder verschlüsselte Dateien, beides trägt.
- KMU: Kaufen oder selbst betreiben, aber vorher die Maschinen zählen, nicht die Menschen.
- Konzern: Kaufen, jedoch Auftragsverarbeitung, Transfergrundlage und Prüfbericht vor der Unterschrift schriftlich klären.
Wer dahinter steht
Tragfähigkeit: Finanziert
Junges Unternehmen mit frischem Wagniskapital und einem quelloffenen Kern. Die Finanzierung trägt auf Sicht, eine lange Marktdauer gibt es nicht. Der MIT-lizenzierte Kern begrenzt den Schaden, falls der Anbieter die Richtung wechselt.
- Finanzierungsrunde: 16 Mio. US-Dollar Series A, angeführt von Elad Gil, Juni 2025 · Quelle · Stand 2026-07-30
- Gründung, Kohorte, Größe: gegründet 2022, Y Combinator Winter 2023, rund 50 Mitarbeitende, Sitz San Francisco · Quelle · Stand 2026-07-30
- Quelloffener Kern: MIT-Lizenz mit Ausnahme des Verzeichnisses ee, rund 28.500 Sterne auf GitHub, aktive Entwicklung · Quelle · Stand 2026-07-30
- Subunternehmer: 16 namentlich genannt, sämtlich mit Standort Vereinigte Staaten · Quelle · Stand 2026-07-30
- Unabhängige Prüfung: Penetrationstest über die gesamte Angriffsfläche durch Cure53, Bericht auf Anfrage · Quelle · Stand 2026-07-30
Ausstiegskosten: Mittel
Die Zugangsdaten selbst holt man über Kommandozeile und Schnittstelle heraus, das ist mechanisch. Teuer ist das Drumherum: Kubernetes-Operator, Abgleiche in fremde Systeme, dynamisch erzeugte Datenbankzugänge und, wenn man den Zertifikatsteil nutzt, eine eigene Zertifizierungsstelle, deren Zertifikate im Betrieb hängen. Wer nur Zugangsdaten ablegt, kommt in Tagen wieder heraus. Wer die Ausgabe von Zertifikaten daran gehängt hat, plant Wochen.
Regulatorik und Daten
| Auftragsverarbeitung | auf Anfrage, kein öffentlich verlinktes DokumentDie Datenschutzerklärung sagt, dass Datenschutzbedingungen nach EU-DSGVO und UK-GDPR angeboten werden. Die Rechtsseite listet Nutzungsbedingungen, Datenschutzerklärung, Subunternehmer und Servicezusage, aber kein unterzeichenbares Auftragsverarbeitungsdokument. Ob es eines gibt, klärt nur der Vertrieb.Quelle · Stand 2026-07-30 |
|---|---|
| Speicherort | wählbar: US-Region unter app.infisical.com oder EU-Region unter eu.infisical.comBeide Regionen laufen laut Anbieter in getrennten AWS-Konten mit eigener Infrastruktur. Welche konkreten AWS-Regionen dahinterstehen, nennt die Dokumentation nicht. Die Region wird beim Anlegen der Organisation gewählt und steckt anschließend in jeder Konfiguration.Quelle · Stand 2026-07-30 |
| Subunternehmer | 16 namentlich veröffentlicht, alle mit Standort Vereinigte StaatenGenannt sind unter anderem AWS und Google Cloud für die Infrastruktur, Cloudflare, Datadog, Stripe, Salesforce, Slack und Posthog. Die Liste ist vollständig einsehbar, das ist mehr Offenheit als bei vielen Wettbewerbern.Quelle · Stand 2026-07-30 |
| Drittlandübermittlung | unklarDie Datenschutzerklärung sagt, Daten könnten weltweit übertragen, verarbeitet und gespeichert werden. Auf welcher Grundlage der Transfer in die Vereinigten Staaten ruht, also Standardvertragsklauseln oder Angemessenheitsbeschluss, steht dort nicht. Wer die EU-Region wählt, hat den Betrieb in Europa, die Unterstützungs- und Analysedienste des Anbieters aber weiterhin in den USA.Quelle · Stand 2026-07-30 |
| Training mit Kundendaten | entfällt in der Sache, aber ohne ZusageDas Werkzeug ist kein Sprachmodell, es verarbeitet Zugangsdaten. Eine ausdrückliche Zusage, dass Kundeninhalte nicht für Modelltraining verwendet werden, findet sich weder in der Datenschutzerklärung noch auf der Sicherheitsseite. Der Anbieter bewirbt Zusammenfassungen von Sitzungen durch KI, also gehört die Frage in den Vertrag.Quelle · Stand 2026-07-30 |
| Aufbewahrung und Löschung | Prüfprotokolle 30 Tage im Pro-Tarif, 90 Tage im Advanced-Tarif, frei wählbar im Enterprise-TarifFür die Betriebsprotokolle der eigenen Infrastruktur nennt die Architekturseite 365 Tage in CloudWatch. Wie lange gelöschte Zugangsdaten in Sicherungen verbleiben, ist öffentlich nicht angegeben.Quelle · Stand 2026-07-30 |
| Zertifikate | SOC 2 Type II, laut Preisseite erst ab dem Advanced-Tarif ausgewiesen; Penetrationstest durch Cure53Ein eigenes ISO-27001-Zertifikat des Anbieters ist öffentlich nicht belegt. Berichte und eine Bestätigung zum Penetrationstest gibt es laut Dokumentation auf Anfrage über security@infisical.com. Dass der Prüfbericht an einen Tarif gebunden ist, ist ungewöhnlich und sollte vor der Beschaffung geklärt werden.Quelle · Stand 2026-07-30 |
| EU-KI-Verordnung, Artikel 50 | unklarZu den Transparenzpflichten aus Artikel 50 der KI-Verordnung äußert sich der Anbieter öffentlich nicht. Das Werkzeug ist kein KI-System im Sinne der Verordnung, es enthält aber KI-gestützte Zusammenfassungen von Sitzungen, für die eine Einordnung fehlt.ohne Quellenangabe · Stand 2026-07-30 |
| Protokollierung | Prüfprotokolle im Produkt enthalten, Aufbewahrungsdauer tarifabhängigJeder Zugriff auf eine Zugangsdatei wird protokolliert. Im kostenlosen Tarif ist die Aufbewahrung nicht ausgewiesen, im Pro-Tarif 30 Tage, im Advanced-Tarif 90 Tage. Wer längere Nachweispflichten hat, braucht den Enterprise-Tarif oder einen Abzug in das eigene Protokollsystem.Quelle · Stand 2026-07-30 |
Was es wirklich kostet
Einstieg
Kostenlos für 5 Identitäten, unbegrenzte Projekte, 3 Umgebungen und 10 Abgleiche. Der Pro-Tarif kostet 20 US-Dollar je Identität und Monat bei Jahreszahlung, 23 US-Dollar bei monatlicher Zahlung. Der Kern ist unter MIT-Lizenz selbst betreibbar.
Quelle · Stand2026-07-30
Was teuer wird
Die Zähleinheit ist die Falle. Als Identität gilt jeder Mensch und jede Maschine, die sich anmeldet. Jeder Dienst, jede Pipeline, jeder Agent zählt einzeln und kostet gleich viel wie eine Person. Wer Automatisierung ernst betreibt, hat mehr Maschinen als Menschen, und die Rechnung wächst mit der Automatisierung statt mit der Mannschaft. Dazu kommen zwei Sprünge: dynamische Zugangsdaten und der SOC-2-Nachweis liegen im Advanced-Tarif zu 40 US-Dollar je Identität, und der Selbstbetrieb mit Unternehmensfunktionen kostet laut Preisseite 25 bis 100 US-Dollar je Identität und Monat, also mehr als der gehostete Betrieb.
Was es verdrängt
- Zugangsdaten im Programmcode und in Konfigurationsdateien
- Passwörter im Chat und in Tabellen
- Geteilte Passwortmanager-Tresore für Maschinenzugänge
Schnittstellen
- Kommandozeile und REST-Schnittstelle
- Kubernetes-Operator
- Abgleich in fremde Systeme über Secret Syncs
- Dynamisch erzeugte Datenbankzugänge
Bei uns: Nicht von uns genutzt
Bei Convios nicht im Einsatz. Diese Einordnung stammt aus der Prüfung öffentlicher Quellen, nicht aus dem eigenen Betrieb.
Passende Methoden
Belege
- 1.Tarife, Freigrenzen, Preis je Identität, Aufschlag für den Selbstbetrieb und Bindung des SOC-2-Nachweises an den Advanced-Tarif · Stand 2026-07-30
- 2.Vollständige Liste der 16 Subunternehmer, sämtlich mit Standort Vereinigte Staaten · Stand 2026-07-30
- 3.Getrennte US- und EU-Region in eigenen AWS-Konten, Verschlüsselung im Ruhezustand, 365 Tage Aufbewahrung der Betriebsprotokolle · Stand 2026-07-30
- 4.MIT-Lizenz für den Kern mit Ausnahme des Verzeichnisses ee, das eine Infisical-Lizenz verlangt · Stand 2026-07-30
- 5.16 Mio. US-Dollar Series A im Juni 2025 unter Führung von Elad Gil · Stand 2026-07-30
- 6.Weltweite Übertragung und Verarbeitung möglich, Datenschutzbedingungen nach DSGVO werden angeboten, kein öffentlich verlinktes Auftragsverarbeitungsdokument · Stand 2026-07-30
Zuletzt geprüft: 2026-07-30vonDr. Oliver Gausmann, Convios GmbH
Angaben veraltet? Schreiben Sie uns.