NuGet API Keys werden auf 30 Tage begrenzt: Was Entwickler und Admins jetzt tun müssen

Wer NuGet-Pakete veröffentlicht, muss ab sofort handeln: Microsoft verkürzt ab dem 17. August 2026 die maximale Lebensdauer von NuGet.org API-Keys von 365 Tagen auf 30 Tage. Alle vor diesem Datum erstellten Keys verlieren ihre Gültigkeit am 1. November 2026. Wer seine CI/CD-Pipelines nicht rechtzeitig umstellt, verliert die Fähigkeit, Pakete zu veröffentlichen.

Was ist passiert?

Am 3. August 2026 veröffentlichte das .NET-Team auf dem offiziellen Microsoft DevBlogs eine Ankündigung zur Stärkung der Supply-Chain-Sicherheit bei NuGet. Der zentrale Punkt: Neue API-Keys, die ab dem 17. August 2026 erstellt werden, erhalten eine maximale Gültigkeit von nur noch 30 Tagen. Die bisherige Option für 365-Tage-Keys entfällt komplett.

Bestehende API-Keys, die vor dem 17. August erstellt wurden, verlieren am 1. November 2026 ihre Gültigkeit. Das gibt Entwicklern und DevOps-Teams eine Übergangsphase von etwa zwoeinhalb Monaten, um auf die neue Methode umzusteigen.

Warum diese Änderung?

Ein NuGet API-Key ist im Grunde ein Passwort für das Veröffentlichen von Paketen. Lange gültige Keys erhöhen das Risiko: Wenn ein Key kompromittiert wird, können Angreifer über einen langen Zeitraum Schadpakete hochladen, die dann über NuGet an tausende Entwickler verteilt werden. Microsoft nennt als Hauptziel die Verringerung des Risikos, dass Angreifer erbeutete Keys über einen langen Zeitraum missbrauchen.

Diese Entscheidung passt in eine generelle Trendentwicklung. Auch andere Paketmanager haben ähnliche Maßnahmen ergriffen, um die Sicherheit ihrer Ökosysteme zu erhöhen.

Wer ist betroffen?

Alle Organisationen und Entwickler, die NuGet-Pakete auf NuGet.org veröffentlichen. Das betrifft insbesondere:

1. DevOps-Teams mit CI/CD-Pipelines, die NuGet-Pakete automatisch deployen
2. Bibliotheksentwickler, die Open-Source-Pakete auf NuGet.org veröffentlichen
3. Unternehmen mit internen NuGet-Feeds, die auf NuGet.org-Publishing zugreifen

Nicht betroffen sind Nutzer, die NuGet-Pakete lediglich installieren oder referenzieren. Der Key betrifft nur das Veröffentlichen.

Was sollten Admins jetzt tun?

1. Bis 17. August: Bestehende API-Keys in der NuGet.org-Kontenverwaltung unter „API Keys" prüfen. Notieren, welche Keys in CI/CD-Pipelines verwendet werden.
2. OIDC Trusted Publishing einrichten: Microsoft empfiehlt als Alternative zu API-Keys die Verwendung von OIDC Trusted Publishing. Dabei autorisiert NuGet.org nur bestimmte CI/CD-Workloads (z. B. bestimmte GitHub Actions Repositories) Pakete zu veröffentlichen, ohne dass ein statischer Key persistiert wird.
3. CI/CD-Pipelines anpassen: GitHub Actions, Azure DevOps, Jenkins oder andere Systeme, die NuGet-Pakete veröffentlichen, müssen auf Trusted Publishing oder automatische Key-Rotation umgestellt werden.
4. Bis 1. November: Alle alten Keys müssen bis zu diesem Datum durch die neue Methode ersetzt sein. Danach funktioniert das Veröffentlichen nicht mehr.
5. Interne Dokumentation: Das Update im internen Patch- oder Änderungsprotokoll festhalten, damit bei der nächsten Pipeline-Wartung der Übergang nicht vergessen wird.

Einordnung für Unternehmen

Für KMU, die eigene NuGet-Pakete veröffentlichen, ist der Handlungsdruck mittelfristig gegeben. Das Umsteigen auf OIDC Trusted Publishing erfordert eine einmalige Einrichtung, reduziert aber langfristig das Risiko kompromittierter API-Keys. Die Deadline von 1. November ist knapp, aber ausreichend, wenn die Umstellung zeitnah angegangen wird.

Wer keine NuGet-Pakete veröffentlicht, kann diese Meldung getrost ignorieren.

Passende Anleitungen auf S-EDV

1. GitHub sperrt npm install-Skripte: Was Entwickler jetzt tun müssen – Ähnliches Thema: Supply-Chain-Sicherheit bei Paketmanagern, hier am npm-Ökosystem.
2. Cordyceps: Kritische CI/CD-Lücken gefährden 300 GitHub-Repos – Zeigt, wie Angriffe auf CI/CD-Pipelines ablaufen und warum kürzere Key-Lebenszyklen das Risiko senken.
3. Microsoft Security Updates: Warum der monatliche Patch-Prozess sauber sein muss – Grundsätzliches zur Priorisierung von Security-Updates im Microsoft-Ökosystem.

Quellen

1. Microsoft DevBlogs: Strengthening NuGet Supply Chain Security
2. Heise: NuGet-Sicherheit – Microsoft verkürzt Gültigkeit von API-Keys auf 30 Tage
3. Help Net Security: Microsoft reduces NuGet API key lifetime