# Ein Geheimnis wechseln, ohne den Lauf anzuhalten
Typ: Checkliste
Herkunft: microsoft-entra-m365 / application-workloads / microsoft-entra-workload-secret-rotation
Version: microsoft-entra-workload-secret-rotation-2026-09-13
Geprüft: 2026-09-13

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Das Geheimnis einer Anwendungsregistrierung läuft in zwei Wochen ab. Die Anwendung läuft außerhalb von Azure, ein föderierter Weg steht nicht zur Verfügung. Der erste Entwurf lautet: altes Geheimnis löschen, neues anlegen, in der Anwendung eintragen.

## Schritte
1. Ein zweites Geheimnis anlegen, ohne das bestehende anzutasten
2. Das neue Geheimnis in der Anwendung hinterlegen und den Dienst neu starten
3. An den Anmeldungen der Anwendung prüfen, dass sie den neuen Nachweis verwendet
4. Das alte Geheimnis aus der Registrierung entfernen
5. Prüfen, dass keine weiteren Einträge in der Nachweisliste übrig sind
6. Den nächsten Ablauftermin an einer Stelle festhalten, an der jemand hinsieht

## Begründung
Warum: Wo zwei Nachweise gleichzeitig gültig sein können, ist Überlappung immer billiger als Lücke. Der letzte Schritt gehört dazu, weil ein Wechsel ohne festgehaltenen Folgetermin nur den nächsten Ausfall verabredet.
Folgen: **+** Der Dienst läuft durchgehend, und am Ende ist nachweislich genau ein gültiger Nachweis übrig. **−** Zwischen Schritt 1 und 4 existieren zwei gültige Zugänge; wird der Ablauf dort abgebrochen, bleibt ein zweiter Nachweis stehen, den niemand mehr zuordnet.

## Quellen
1. https://learn.microsoft.com/en-us/entra/identity-platform/security-best-practices-for-app-registration
2. https://learn.microsoft.com/en-us/entra/identity-platform/app-objects-and-service-principals