Wer nach "kostenlose Alternativen zum Konfiguration-Bereinigen" sucht, landet bei zwei sehr unterschiedlichen Werkzeugtypen: allgemeinen Skripting-Tools, die sich zurechtbiegen lassen (bash, VSCode, CyberChef), und einer wachsenden Welle von Browser-Erweiterungen, die speziell dafür gebaut wurden, Text vor dem Einfügen in einen KI-Chat zu schwärzen. Fast keine aus der zweiten Gruppe weiß, wie ein BGP-Nachbar-Passwort oder ein SNMP-Community-String aussieht. Hier ein ehrlicher Vergleich beider Welten.
Der Skripting-Weg: bash, VSCode, CyberChef
Was diese Tools wirklich bieten
- bash-Einzeiler (
sed/grep) — schnell, wenn man das exakte Muster schon kennt, aber für jeden Hersteller und jedes Anmeldedatenformat wird neue Regex geschrieben, und ein übersehenes Muster bedeutet ein echtes Passwort im Paste. - Manuelle Regex in VSCode — dieselbe Idee mit GUI und Suchen/Ersetzen-Verlauf, praktisch für Einmalfälle, mühsam bei wiederkehrenden Abläufen, weiterhin ohne Herstellerwissen.
- CyberChef — läuft vollständig clientseitig im Browser, das richtige Datenschutzmodell, und die Rezepte "Find / Replace" und "Extract" lassen sich zu etwas Funktionierendem verketten. Aber das Rezept baut man selbst, von Grund auf, pro Hersteller.
Das sind legitime Optionen, wenn man nur die Syntax eines Herstellers anfasst und bereit ist, die eigene Regex-Bibliothek zu pflegen. Sie skalieren nicht mehr, sobald in derselben Woche Konfigurationen von drei verschiedenen Firewall-Marken eingefügt werden.
Der Browser-Erweiterungsweg: generische KI-Datenschutz-Tools
Es gibt eine eigene Kategorie für ein anderes Problem: persönliche Daten (E-Mails, Namen, Kartennummern) vor dem Einfügen in ChatGPT oder Claude zu entfernen. Mehrere kostenlose und quelloffene Optionen erledigen das für diesen Anwendungsfall gut — wissenswert, auch wenn sie ein anderes Problem lösen als eine Netzwerkkonfiguration:
Was generische PII-/Secret-Redaktoren abdecken, und was nicht
- Gut abgedeckt: E-Mails, generische API-Schlüsselformate (
sk-...,ghp_...), Kreditkartennummern, Telefonnummern — die Art von PII, die in jedem Text vorkommt, nicht nur in Netzwerkkonfigurationen. - Nicht abgedeckt: herstellerspezifische Konfigurationssyntax. Keines erkennt eine Cisco-
enable secret-Zeile, ein FortiGate-set psksecret, oder einen MikroTik-RouterOS-Export gut genug, um jedes darin enthaltene Anmeldedatenformat zu erfassen — weil sie nicht dafür gebaut wurden. - Nicht abgedeckt: der Unterschied zwischen einem starken und einem umkehrbaren Hash. Ein Cisco-Typ-7-Passwort ist trivial umkehrbar; ein bcrypt-Hash nicht. Generische Redaktoren maskieren beides gleich, sofern sie das Muster überhaupt erkennen — sie haben kein Konzept von Anmeldedaten-Stärke.
Wenn das einzige Ziel ist "meine E-Mail nicht in ChatGPT einfügen", ist ein generischer Redaktor eine gute, oft kostenlose Wahl. Wenn das Ziel ist "mein BGP-Nachbar-Passwort oder meinen SNMP-Community-String nicht in ChatGPT einfügen", ist er dafür nicht gebaut — ein Test mehrerer Tools gegen echte Router-/Firewall-Exporte zeigt immer dieselbe Lücke: der Text wird verarbeitet, aber die konfigurationsspezifischen Geheimnisse laufen unangetastet durch.
Wo ein netzwerkspezifisches Tool das Ergebnis verändert
Es gibt außerdem eine kleinere, ältere Kategorie, die speziell für Netzwerkkonfigurationen gebaut wurde — Kommandozeilen-Tools wie Netconan, gedacht für ISPs und MSPs, die einem Kunden oder Hersteller eine bereinigte Konfiguration übergeben müssen. Für diesen ursprünglichen Anwendungsfall sind sie solide: Dateien im Batch verarbeiten, bevor sie eine Support-Warteschlange verlassen. Wofür sie nicht gebaut wurden, ist der Moment, in dem man eine Konfiguration tatsächlich in einen KI-Assistenten einfügen und eine Frage stellen will — kein Workflow im Browser, kein BYOK-Chat, kein Kopieren mit einem Klick.
Eine Cisco-Zeile enable secret 5 $1$..., ein FortiGate-Block set psksecret ENC ..., ein MikroTik-RouterOS-Export mit eingebetteter WPA-Passphrase, ein OSPF-message-digest-key, ein TACACS+-Serverschlüssel — all das folgt herstellerspezifischer Syntax, die ein generischer PII-Scanner keinen Grund hat zu kennen, und die ein allgemeiner CLI-Anonymisierer keinen Grund hat, in einem Einfügen-und-Fragen-Workflow offenzulegen.
Vergleichstabelle
| Tool | Herstellerbewusstes Config-Parsing | Läuft wo | KI-Chat integriert | Kosten |
|---|---|---|---|---|
| bash / sed / grep | Nein (selbst geschrieben) | Terminal | Nein | Kostenlos |
| Manuelle Regex in VSCode | Nein (selbst geschrieben) | Editor | Nein | Kostenlos |
| CyberChef | Nein (Rezept selbst gebaut) | Browser, clientseitig | Nein | Kostenlos |
| Netconan-ähnliche CLI-Anonymisierer | Teilweise (Multi-Hersteller, keine Auth-Key-Analyse auf Protokollebene) | Terminal / CI-Pipeline | Nein | Kostenlos, quelloffen |
| Generische KI-Datenschutz-Erweiterungen | Nein | Browser | Unterschiedlich, meist eine Plattform | Meist kostenlos |
| ScrubForge | Ja, 12 Herstellerprofile + Secrets auf Protokollebene (BGP, OSPF, HSRP, TACACS+, RADIUS, SNMP) | Browser-Erweiterung | Ja, BYOK mit 5 Anbietern | Kostenlose Stufe, bezahltes Pro |
Was tatsächlich verwenden
- Einmalig, ein Hersteller, exaktes Muster bekannt: ein bash-Einzeiler oder ein CyberChef-Rezept ist tatsächlich schneller einmal geschrieben als irgendetwas installiert.
- Wiederkehrend, mehrere Hersteller, Datei muss an jemand anderen übergeben werden: ein CLI-Anonymisierer hat die richtige Form für eine Pipeline, auch ohne KI-Chat-Schritt.
- Wiederkehrend, in ChatGPT/Claude/Gemini einfügen und fragen wollen, ohne jede Zeile von Hand zu prüfen: keines der oben genannten wurde für genau diesen Workflow gebaut — das ist die Lücke, die ScrubForge füllt, mit herstellerbewusster Erkennung plus integriertem BYOK-Chat, der nur die tokenisierte Version der Konfiguration sieht.
Häufig gestellte Fragen
Ist CyberChef sicher, um Netzwerkkonfigurationen zu bereinigen?
Ja, aus Datenschutzsicht — läuft vollständig im Browser ohne Serveraufrufe. Die Einschränkung liegt nicht beim Datenschutz, sondern bei der Abdeckung: CyberChef weiß nicht, welche Teile einer Router- oder Firewall-Konfiguration sensibel sind, sofern diese Logik nicht selbst gebaut wird, Hersteller für Hersteller.
Erkennen generische ChatGPT-Datenschutz-Erweiterungen Router- und Firewall-Passwörter?
Nicht zuverlässig. Sie sind darauf ausgelegt, generische PII und gängige API-Schlüsselformate zu erkennen, nicht herstellerspezifische Syntax wie ein Cisco-enable-secret, ein FortiGate-PSK oder einen SNMP-Community-String. Vor dem Vertrauen mit Produktions-Anmeldedaten gegen einen echten Config-Export testen und die Ausgabe Zeile für Zeile prüfen.
Was ist der eigentliche Unterschied zwischen einem CLI-Anonymisierer und ScrubForge?
CLI-Tools wie Netconan sind für die Batch-Verarbeitung von Konfigurationsdateien vor der Übergabe an Dritte gebaut, MSP-zu-Kunde oder ISP-zu-Hersteller. ScrubForge ist für den Einfügen-und-KI-fragen-Workflow gebaut: eine Browser-Erweiterung mit Kontextmenü, Herstellererkennung und optionalem BYOK-Chat, der nur Tokens sieht, nie die echten Anmeldedaten.
Gibt es einen komplett kostenlosen Weg, eine Konfiguration vor dem Einfügen in ein KI-Tool zu bereinigen?
Ja. Die kostenlose Stufe von ScrubForge deckt die Kern-Erkennungs-Engine, die 12 Herstellerprofile und formatbewusste Tokens ab, ohne Konto. Die bezahlte Stufe fügt den integrierten KI-Chat, tiefes Entropie-Scanning und Batch-Verarbeitung hinzu.