Doppler

Dieser Testbericht zum Doppler-Secrets-Manager behandelt die Einsatzbereiche von Doppler, seine wichtigsten Funktionen, die Preisgestaltung von Doppler, die Strukturierung von Secrets, den Vergleich mit HashiCorp Vault, AWS Secrets Manager und anderen Tools zur Verwaltung von Secrets sowie die Schwachstellen des Tools. Doppler ersetzt verstreute env-Dateien, fest codierte Anmeldedaten und per Kopieren-Einfügen übertragene API-Schlüssel durch eine einzige Plattform. Sie speichern jedes Geheimnis einmal, organisieren es nach Projekt und Umgebung, und Doppler stellt es zur Laufzeit bereit: Die Doppler-CLI fügt Geheimnisse als Umgebungsvariablen ein, und Integrationen synchronisieren sie mit Cloud-Plattformen, Kubernetes und CI/CD-Pipelines. Es handelt sich um einen Managed Service, der in erster Linie auf die Entwicklererfahrung ausgelegt ist und nun über einen MCP-Server auch KI-Agenten bedient. Unter den Tools zur Geheimnismanagement-Verwaltung positioniert es sich zwischen den Cloud-nativen Geheimnisspeichern von AWS, Azure und Google und einem selbst gehosteten Tresor: weniger Betriebsaufwand, mehr Fokus darauf, wie Entwickler im Alltag auf Geheimnisse zugreifen.

Wofür wird Doppler verwendet?

Doppler wird für das Geheimnismanagement in der lokalen Entwicklung, im Staging und in der Produktion eingesetzt, ohne dass Anmeldedaten im Quellcode mitgeliefert werden müssen. Typische Geheimnisse sind API-Schlüssel, Datenbank-Anmeldedaten, Verschlüsselungsschlüssel, OAuth-Client-Geheimnisse, Zertifikate und andere sensible Daten. Entwicklungsteams nutzen es, damit ein neuer Entwickler eine App lokal mit einem einzigen Befehl ausführen kann, anstatt im Chat nach einer .env-Datei zu fragen. Sicherheitsteams nutzen es zur Zugriffskontrolle auf Geheimnisse: Sie sehen, wer auf welches Geheimnis zugegriffen hat, rotieren Anmeldedaten und entziehen den Zugriff, wenn jemand das Unternehmen verlässt. Plattformteams nutzen es als zentrale Datenquelle, die sich mit AWS, Azure, Google Cloud, Vercel, Netlify, GitHub Actions und Kubernetes synchronisiert, sodass jeder Cloud-Anbieter ohne benutzerdefinierte Skripte die gleichen Werte erhält.

Doppler gibt auf seiner Homepage an, dass mehr als 76.000 Organisationen und über 75 Milliarden Geheimnisse jeden Monat abgerufen werden. Die Kundschaft reicht von kleinen Start-ups mit dem kostenlosen Tarif bis hin zu größeren Unternehmen, die SAML-SSO, Audit-Protokolle und eine On-Premise-Bereitstellung benötigen.

Wichtigste Funktionen

• Projekte, Umgebungen und Konfigurationen: Jedes Projekt umfasst Umgebungen wie Entwicklung, Staging und Produktion. Jede Umgebung verfügt über eine Stammkonfiguration, Zweigkonfigurationen, die von der Stammkonfiguration erben, sowie persönliche Konfigurationen für die lokale Entwicklung. Sie können Geheimniswerte in der Web-Benutzeroberfläche oder über die API erstellen, bearbeiten und vergleichen.
• Doppler-CLI: doppler run Ruft Geheimnisse zur Laufzeit ab und fügt sie als Umgebungsvariablen in den Prozess ein, sodass kein Geheimnis in einer Datei auf der Festplatte gespeichert wird. Das Einfügen von Geheimnissen auf diese Weise erfordert keinen benutzerdefinierten Code oder Client-Bibliotheken in der App.
• Integrationen und Synchronisierung von Geheimnissen: Über 50 Integrationen übertragen Geheimnisse an Cloud-Plattformen, CI/CD-Systeme und Hosting-Anbieter wie AWS Secrets Manager, Azure Key Vault, GitHub Actions und Vercel (Help Net Security).
• Geheimnisrotation und dynamische Geheimnisse: Automatische Rotation für unterstützte Datenbanken und Dienste im Team-Tarif sowie dynamische Geheimnisse, die pro Sitzung eine kurzlebige Anmeldeinformation ausgeben und diese bei Ablauf der Gültigkeitsdauer im Enterprise-Tarif widerrufen.
• Zugriffskontrolle und Prüfprotokolle: Rollenbasierter Zugriff, Diensttoken, Dienstkonten, Änderungsanfragen und versionierte Geheimnisse mit Rollback-Möglichkeit. Benutzerdefinierte Rollen und Benutzergruppen ermöglichen eine noch feinere Zugriffskontrolle. Aktivitätsprotokolle zeichnen jeden Zugriff auf und jede Änderung an Geheimnissen für Sicherheitsüberprüfungen auf.
• KI-Agenten: Über den Doppler-MCP-Server kann ein KI-Agent die benötigten Geheimnisse anfordern, wobei die Berechtigungen pro Agent durchgesetzt werden und keine agentenspezifischen Kosten anfallen.
• Sicherheit und Compliance: Doppler gibt an, SOC 2- und ISO 27001-konform zu sein.

Preise bei Doppler

Doppler berechnet die Kosten pro Benutzer, nicht pro Geheimnis, API-Aufruf oder KI-Agent. Die folgenden Tarife stammen von der Doppler-Preisseite vom September 2026.

• Developer (kostenloser Tarif): kostenlos für 3 Benutzer, danach 8 $ pro zusätzlichem Benutzer und Monat, bis zu 25 Benutzer. 10 Projekte, 4 Umgebungen, 5 Konfigurationssynchronisierungen und 3 Tage Aktivitätsprotokolle.
• Team: 21 US-Dollar pro Nutzer und Monat nach einer 14-tägigen kostenlosen Testphase, bis zu 500 Nutzer. 250 Projekte, 15 Umgebungen, 100 Konfigurationssynchronisierungen, SAML-SSO, rollenbasierter Zugriff, Änderungsanfragen, automatische Geheimnisrotation und 90 Tage Aktivitätsprotokolle.
• Enterprise: individuelle Preisgestaltung. Unbegrenzte Anzahl an Projekten, Umgebungen und Protokollaufbewahrungsdauer, dynamische Geheimnisse, Enterprise Key Management, SCIM, benutzerdefinierte Rollen, Protokollweiterleitung sowie Bereitstellung vor Ort oder in der Cloud.

Benutzerdefinierte Rollen, Benutzergruppen und zusätzliche Integrationssynchronisierungen sind Add-ons im Team-Tarif und kosten jeweils 9 US-Dollar pro Arbeitsplatz und Monat. Open-Source-Projekte, Bildungseinrichtungen, gemeinnützige Organisationen und Behörden können einen Rabatt beantragen.

Eine kostenseitige Überraschung ist der Sprung vom kostenlosen Tarif zum Team-Tarif. SSO, rollenbasierter Zugriff und Rotation sind im kostenlosen Tarif nicht enthalten, sodass ein achtköpfiges Team, das SSO benötigt, für alle acht Benutzer den Team-Tarif bezahlt, und die Add-ons können den Preis pro Arbeitsplatz weiter erhöhen. Dynamische Geheimnisse und On-Prem-Hosting sind nur im Enterprise-Tarif verfügbar.

Verwaltung von Geheimnissen mit Doppler: Umgebungsvariablen von einer Plattform aus

Der Einstieg dauert nur wenige Minuten, und die meisten Teams erstellen ihr erstes Projekt über die Web-Benutzeroberfläche. Erstellen Sie ein Projekt, fügen Sie Ihre Geheimnisse in der Web-Benutzeroberfläche hinzu oder importieren Sie eine vorhandene .env-Datei, installieren Sie anschließend die Doppler-CLI und führen Sie doppler setup in Ihrem Repository aus. Von da an doppler run -- npm start (oder ein beliebiger Befehl) startet Ihre App mit den richtigen Geheimnissen für Ihre Umgebung. In CI/CD verwenden Sie ein Service-Token anstelle eines persönlichen Logins, und für die Produktion führen Sie entweder die CLI in Ihrem Container aus oder lassen eine Integration die Geheimnisse mit Ihrem Cloud-Anbieter synchronisieren, sodass sich Ihr Anwendungscode nicht ändert. Zweigkonfigurationen ermöglichen es einem Entwickler, einen einzelnen Wert zu überschreiben, ohne die gemeinsame Staging-Konfiguration zu verändern, und Änderungsanfragen fügen einen Überprüfungsschritt hinzu, bevor Produktionsgeheimnisse geändert werden. Da Geheimnisse zur Laufzeit gelesen werden, wirkt sich eine rotierte Anmeldeinformation beim nächsten Deployment oder Neustart auf jeden Dienst aus. Das Ergebnis ist ein einheitlicher Workflow zur Verwaltung von Anwendungsgeheimnissen – vom Laptop bis zur Produktion –, anstatt fest codierter Anmeldedaten, die über verschiedene Tools verteilt sind.

Geheimnisverwaltung für KI-Agenten

Auch KI-Agenten benötigen Anmeldeinformationen: Ein Agent, der Pull-Anfragen eröffnet, eine Datenbank abfragt oder eine kostenpflichtige API aufruft, muss irgendwo auf Geheimnisse zugreifen können. Doppler behandelt einen KI-Agenten als eine weitere Identität. Über den Doppler-MCP-Server fordert ein Agent nur die Geheimnisse an, die seine Konfiguration zulässt; jeder Lesezugriff wird in den Audit-Protokollen erfasst, und Sicherheitsteams können diesen Zugriff widerrufen, ohne den Code des Agenten anzutasten. Dynamische Geheimnisse in der Enterprise-Version gehen noch einen Schritt weiter, indem sie jeder Agenten-Sitzung eine kurzlebige Anmeldeinformation zuweisen. Doppler berechnet die Kosten pro menschlichem Nutzer, sodass das Hinzufügen von Agenten die Kosten für die Geheimnismanagement-Lösung nicht erhöht.

Doppler im Vergleich zu HashiCorp Vault, AWS Secrets Manager und Azure Key Vault

HashiCorp Vault (mittlerweile Teil von IBM) ist der umfassendste Geheimnismanager: dynamische Geheimnisse für viele Datenbanken, PKI, Verschlüsselungsschlüssel als Service und vollständiges Selbsthosting, einschließlich einer Open-Source-Version. Er ist der Standard in großen Unternehmen mit strengen Sicherheitsanforderungen. Damit geht jedoch auch operative Komplexität einher: Jemand muss den Cluster betreiben, entsperren, aktualisieren und sichern. Doppler konzentriert sich auf den Weg des geringsten Widerstands für Entwickler: einen Managed Service, eine einfache Web-Benutzeroberfläche und eine CLI, die in wenigen Minuten einsatzbereit ist – was ihn in den meisten Vergleichen zum entwicklerfreundlichsten Geheimnismanager macht. AWS Secrets Manager, Azure Key Vault und Google Secret Manager sind die nativen Lösungen, wenn sich alle Ihre Workloads in einer Cloud befinden; die Preise richten sich nach dem Secret und pro API-Aufruf. Ihr Secret-Speicher ist an ein Konto gebunden, sodass Multi-Cloud-Teams letztendlich mehrere Tools verwalten müssen. Doppler setzt sich bei Multi-Cloud- oder gemischten Stacks über diese Lösungen hinweg und synchronisiert einen Satz von Werten mit jedem Cloud-Anbieter sowie mit Drittanbieterdiensten wie Vercel oder GitHub Actions. Zwei von Mitbewerbern verfasste Vergleiche behaupten, Doppler sei ausschließlich als SaaS verfügbar; auf der Preisseite von Doppler wird jedoch im Enterprise-Tarif eine On-Premise-Bereitstellung aufgeführt.

Wo Doppler glänzt – und wo es Schwächen gibt

Stärken:

• Erstklassige Entwicklererfahrung: CLI-Einbindung, Branch-Konfigurationen und persönliche Konfigurationen für die lokale Entwicklung.
• Eine einzige Plattform zur Verwaltung von Anwendungsgeheimnissen und deren Synchronisierung mit zahlreichen Cloud-Plattformen und CI/CD-Tools.
• Preisgestaltung pro Benutzer ohne zusätzliche Kosten für Geheimnisse, API-Aufrufe oder KI-Agenten.
• Integrierte Audit-Protokolle, Versionsverwaltung und Rollback-Funktion.

Nachteile:

• Closed Source, und Selbsthosting ist nur im Enterprise-Tarif möglich.
• SSO und Schlüsselrotation sind erst ab dem kostenpflichtigen Team-Tarif verfügbar.
• Kein Verschlüsselungsdienst oder PKI; Teams, die Verschlüsselungsschlüssel in großem Umfang verwalten, benötigen weiterhin Vault oder einen Cloud-KMS.
• Es gibt keine Open-Source-Version, die kostenlos geprüft oder selbst gehostet werden kann.
• Der kostenlose Tarif ist auf drei kostenlose Nutzer begrenzt.

Wie Doppler im Vergleich abschneidet

LowCodeDevs listet noch keine anderen Tools zur Geheimnismanagement auf, daher werden die wichtigsten Alternativen ohne Links genannt. Das richtige Tool zur Geheimnismanagement hängt davon ab, wo Sie hosten und in welchem Umfang Sie den Betrieb betreiben möchten.

• HashiCorp Vault: der umfassendste und selbst hostbare Secret-Manager, der jedoch einen höheren Betriebsaufwand erfordert.
• AWS Secrets Manager, Azure Key Vault und Google Secret Manager: nativ in einer Cloud integriert, Abrechnung pro Secret und API-Aufruf.
• Infisical: ein Open-Source-Secret-Manager mit einer Option zum Selbsthosting.
• Akeyless: Ein SaaS-Vault mit dynamischer Verwaltung von Geheimnissen und Schlüsseln.
• Supabase: kein Secrets-Manager, aber seine „Vault“-Erweiterung speichert Secrets in einer Supabase-Postgres-Datenbank für Apps, die bereits auf Supabase laufen.

Lohnt sich Doppler?

Doppler lohnt sich für Entwicklungsteams, die das Weiterreichen von env-Dateien vermeiden möchten und dieselben Geheimnisse in der lokalen Entwicklung, bei CI/CD sowie auf verschiedenen Cloud-Plattformen benötigen. Der kostenlose Tarif deckt ein kleines Team ab, und der Team-Tarif bietet zusätzlich SSO, rollenbasierten Zugriff und Rotation zu einem Preis pro Benutzer, der auch bei wachsender Anzahl von Geheimnissen und KI-Agenten vorhersehbar bleibt. Es ist weniger geeignet, wenn Sie aus Kostengründen selbst hosten müssen, ein Open-Source-Tool benötigen oder eine Plattform mit vollständiger Verschlüsselung und PKI benötigen – in diesen Fällen sind HashiCorp Vault oder ein Cloud-nativer Manager besser geeignet. Wenn Sie Hilfe bei der Integration von Geheimnissen in einen Low-Code- oder benutzerdefinierten Stack benötigen, können die Agenturen und Entwickler auf LowCodeDevs diese Aufgabe übernehmen.

Quellen

• Doppler-Preise: Tarife, Limits, Add-ons und Rabatte.
• Doppler-Startseite: Produktübersicht, Nutzungskennzahlen, Unterstützung für KI-Agenten und Compliance.
• Doppler schützt Geheimnisse für Menschen, Pipelines und KI-Agenten, Help Net Security: Konfigurationen, Integrationen, dynamische Geheimnisse und der MCP-Server.
• Vergleich von Tools zur Geheimnismanagement, WorkOS: verfasst von einem Mitbewerber. Darin wird der Team-Tarif mit 12 US-Dollar pro Nutzer bei unbegrenzten Projekten angegeben und Doppler als reines SaaS-Angebot bezeichnet; auf der Preisseite von Doppler sind 21 US-Dollar pro Nutzer, 250 Projekte im Team-Tarif und eine On-Premise-Bereitstellung im Enterprise-Tarif aufgeführt.
• Die besten Tools für das Geheimnismanagement im Jahr 2026, Infisical: verfasst von einem Mitbewerber. Die Behauptung, Doppler könne nicht selbst gehostet werden, steht im Widerspruch zur On-Premise-Option im Enterprise-Tarif.
• Secrets-Management: Doppler oder HashiCorp Vault?, The New Stack: Einrichtung und Struktur im Vergleich zu Vault.