Tutorials

GitHub Push Protection aktivieren: Der ultimative Guide [2025 Easy Guide]

Melden

Hier ist ein aktuelles Tutorial für das Jahr 2025, wie du den GitHub Push-Schutz aktivierst, um zu verhindern, dass sensible Daten (wie API-Keys oder Passwörter) jemals in deinen Repositories landen.

Die versehentliche Veröffentlichung von Secrets (API-Schlüsseln, Token oder Passwörtern) ist eines der größten Sicherheitsrisiken in der Softwareentwicklung. GitHubs Push Protection scannt deinen Code bevor er hochgeladen wird und blockiert den Push, falls sensible Daten gefunden werden.

In dieser Anleitung lernst du, wie du dieses Feature in wenigen Schritten aktivierst.

Warum Push Protection?

Früher hat GitHub Secrets erst erkannt, nachdem sie gepusht wurden (Secret Scanning). Dann war der Schaden oft schon angerichtet. Push Protection greift ein, bevor die Daten den GitHub-Server erreichen.

Schritt 1: Push Protection für ein einzelnes Repository aktivieren

Wenn du den Schutz nur für ein bestimmtes Projekt aktivieren möchtest:

  1. Logge dich auf GitHub ein und öffne dein Repository.
  2. Klicke in der oberen Menüleiste auf den Reiter Settings (Einstellungen).
  3. Wähle in der linken Seitenleiste unter der Sektion "Security" den Punkt Code security and analysis aus.
  4. Suche den Abschnitt Secret scanning.
  5. Stelle sicher, dass Secret scanning auf Enabled steht.
  6. Direkt darunter findest du Push protection. Klicke rechts auf den Button Enable.

Schritt 2: Push Protection für dein gesamtes Konto aktivieren (Empfohlen)

Seit 2024/2025 bietet GitHub die Möglichkeit, den Schutz global für alle deine persönlichen Repositories zu aktivieren. So vergisst du es nie wieder:

  1. Klicke oben rechts auf dein Profilbild und wähle Settings.
  2. Wähle in der linken Seitenleiste Code security and analysis.
  3. Suche den Bereich "Global settings".
  4. Aktiviere bei Secret scanning die Option Push protection.
  5. Klicke zusätzlich auf Automatically enable for new repositories, damit zukünftige Projekte sofort geschützt sind.

Schritt 3: Was passiert, wenn ein Secret gefunden wird?

Wenn du versuchst, einen API-Key zu pushen, erhältst du in deinem Terminal (oder deinem Git-Tool wie VS Code) eine Fehlermeldung:

Remote: push declined due to detected secrets.

Was du jetzt tun kannst:

  1. Secret entfernen: Lösche das Passwort/den Key aus deinem Code, erstelle einen neuen Commit und pushe erneut.
  2. Sonderfall (Bypass): Falls es sich um einen Fehlalarm (False Positive) handelt, gibt GitHub dir in der Fehlermeldung einen Link oder eine ID aus, mit der du den Schutz für diesen speziellen Fall umgehen kannst.

Bonus: Push Protection für Organisationen (Teams)

Falls du eine GitHub-Organisation verwaltest:

  1. Gehe zu den Organization Settings.
  2. Klicke auf Code security > Global settings.
  3. Dort kannst du unter Configurations festlegen, dass Push Protection standardmäßig für alle Repositories der Firma aktiv sein muss.

Fazit für 2025

Der GitHub Push-Schutz ist mittlerweile für alle öffentlichen Repositories kostenlos verfügbar. Da Hacker immer schneller automatisierte Bots einsetzen, um Repositories nach Keys zu scannen, sollte die Aktivierung der Push Protection der erste Schritt bei jedem neuen Projekt sein.

Pro-Tipp: Nutze zusätzlich immer eine .gitignore-Datei und Umgebungsvariablen (.env), damit Secrets gar nicht erst im Code-Editor auftauchen!

War dieses Tutorial hilfreich? Teile es mit deinem Team, um eure Code-Basis sicher zu halten!

0