Auswahl eines Zertifizierungsregistrierungsverfahrens: ACME vs. EST vs. SCEP vs. CMP

Zertifikatsregistrierungsprotokolle legen fest, wie ein System digitale Zertifikate anfordert, erhält, erneuert und widerruft – und zwar ohne menschliches Eingreifen. Lange Zeit war die Protokollwahl eine administrative Angelegenheit, da Zertifikate ein Jahr oder länger gültig waren und Erneuerungen problemlos manuell durchgeführt werden konnten. Diese Ära neigt sich dem Ende zu. Die kürzeren Gültigkeitsdauern öffentlicher TLS-Zertifikate machen die Protokollauswahl zu einer operativen Notwendigkeit. Das gewählte Protokoll entscheidet darüber, ob Ihr Zertifikatsbestand mit dem Umfang der Erneuerungen Schritt halten kann oder nicht. Kürzere Gültigkeitsdauern fördern zudem die Agilität des gesamten Krypto-Ökosystems, da Zertifikate, die alle paar Wochen erneuert werden, die Einführung neuer Algorithmen bei der Einführung von Post-Quanten-Standards deutlich vereinfachen.

Dieser Artikel vergleicht die vier führenden Protokolle für die Zertifikatsregistrierung in Unternehmen: ACME, EST, SCEP und CMP. Jedes Protokoll wurde für unterschiedliche Anwendungsbereiche entwickelt: Webautomatisierung, Registrierung moderner Geräte, ältere Netzwerkgeräte und das vollständige Lebenszyklusmanagement im Unternehmen. In der Praxis benötigen die meisten großen Umgebungen jedoch mehr als ein Protokoll. Wir erläutern, warum die aktuelle Entwicklung dies dringlich gemacht hat, wie die einzelnen Protokolle funktionieren, in welchen Anwendungsbereichen sie eingesetzt werden und wie eine Protokollstrategie entwickelt werden kann, die auch dem Trend zu kurzlebigen Zertifikaten gerecht wird.

Warum ist das jetzt wichtig?

Drei Faktoren führen gleichzeitig dazu, dass die Zertifikatsautomatisierung dringlich wird: Die Gültigkeitsdauer von Zertifikaten verkürzt sich, das Zeitfenster für die Wiederverwendung von Validierungsnachweisen schrumpft parallel dazu, und das Browser-Ökosystem macht Automatisierung zu einer Vertrauensvoraussetzung. Zusammengenommen verwandeln sie die Protokollauswahl von einer Backoffice-Optimierung in eine kurzfristige operative Anforderung und belohnen Teams, die sich frühzeitig auf automatisierbare Protokolle festlegen.

Die 200-Tage-Klippe ist die treibende Funktion

Das CA/Browser Forum verabschiedete im April 2025 die Abstimmung SC-081v3, die eine schrittweise Reduzierung der Gültigkeitsdauer öffentlicher TLS-Zertifikate vorsieht. Laut dieser Abstimmung sinkt die maximale Gültigkeitsdauer ab dem 15. März 2026 auf 200 Tage, ab dem 15. März 2027 auf 100 Tage und ab dem 15. März 2029 auf 47 Tage. In der Praxis setzen die Zertifizierungsstellen den ersten Schritt etwas früher und vorsichtig um: DigiCert stellt ab dem 24. Februar 2026 Zertifikate mit einer maximalen Gültigkeitsdauer von 199 Tagen aus.

Diese Zahlen stellen die Höchstwerte der Wahlzettel dar; Zertifizierungsstellen stellen üblicherweise einen Tag zu wenig aus, weshalb aus 200 auf 199 Tage reduziert wird, da die Gültigkeit sekundengenau gemessen wird und selbst eine Sekunde Überschreitung des Limits als Fehlausstellung gilt. Die 200-Tage-Phase ist mit disziplinierten manuellen Prozessen noch zu bewältigen, stellt aber die letzte Phase dar. Die Umstellung auf 100 Tage im Jahr 2027 und auf 47 Tage im Jahr 2029 macht eine manuelle Verlängerung unwirtschaftlich, weshalb die Teams jetzt auf Automatisierung setzen, anstatt abzuwarten.

Auch die Domänenvalidierung schrumpft.

Die Lebensdauer ist nur die halbe Miete. Der Zeitraum, in dem Validierungsnachweise für Domainkontrollen wiederverwendet werden können, verkürzt sich im gleichen Tempo: von derzeit 398 Tagen auf 200 Tage im Jahr 2026, 100 Tage im Jahr 2027 und nur noch 10 Tage in der letzten Phase. Das bedeutet eine nahezu kontinuierliche Domain-Revalidierung bei jeder Verlängerung. Ein Protokoll, das die Ausstellung, aber nicht die Validierung automatisiert, löst das Problem nicht. Die Challenge-Response-Validierung von ACME ist gerade deshalb attraktiv, weil sie sowohl Validierung als auch Ausstellung automatisiert.

Chrome schreibt die Unterstützung für Automatisierung vor.

Das Browser-Ökosystem verstärkt diesen Zeitplan. Seit Februar 2024 akzeptiert das Chrome-Root-Programm neue Zertifizierungsstellen nur noch, wenn diese mindestens eine Lösung zur automatisierten Zertifikatsausstellung und -erneuerung für jeden ausgestellten Zertifikatstyp unterstützen. Dadurch wird ACME zur Grundvoraussetzung und verdrängt manuelle CSR- und E-Mail-basierte Erneuerungsprozesse aus neuen öffentlichen PKIs. Eine weitere Änderung in Chrome, die am 15. Juni 2026 in Kraft tritt, schreibt vor, dass öffentlich vertrauenswürdige TLS-Zertifikate auf die Serverauthentifizierung beschränkt werden müssen. Dies verlagert die Clientauthentifizierung und mTLS-Anwendungsfälle in private PKIs und erhöht den Wert von Protokollen, die die Geräte- und Benutzerregistrierung automatisieren können. Automatisierung wandelt sich von einem Wettbewerbsvorteil zu einer Teilnahmevoraussetzung.

Die vier Protokolle erklärt

Vier Protokolle dominieren die Registrierung von Unternehmenszertifikaten, und jedes wurde für einen anderen Anwendungsbereich entwickelt – von der Webautomatisierung bis hin zum umfassenden Lebenszyklusmanagement von Unternehmenszertifikaten. In den folgenden Abschnitten werden die Funktionsweise von ACME, EST, SCEP und CMP, ihre Sicherheitsvorkehrungen und ihre jeweiligen Einsatzgebiete erläutert, bevor sie einander gegenübergestellt werden.

ACME (RFC 8555)

Die in RFC 8555 definierte und von Let's Encrypt entwickelte Automated Certificate Management Environment (ACME) automatisiert den Zertifikatslebenszyklus für webbasierte Dienste und bildet heute die Grundlage der meisten öffentlich vertrauenswürdigen TLS-Zertifikate. Ihre Stärke liegt in der automatisierten Domain-Kontrollvalidierung mittels Challenge-Response (HTTP-01, DNS-01 und TLS-ALPN-01). Sie verwendet einfaches JSON über HTTPS, gesichert mit JWS. Ursprünglich für öffentliche Webzertifikate entwickelt, wird sie zunehmend auch für interne PKI eingesetzt. Erweiterungen wie External Account Binding und ACME Renewal Information (ARI) sorgen dafür, dass sie angesichts immer kürzerer Gültigkeitsdauern relevant bleibt.

EST (RFC 7030)

Enrollment over Secure Transport (EST), definiert in RFC 7030, ist eine einfachere, standardkonforme Alternative zu CMP. Es nutzt HTTPS und setzt für die Sicherheit auf TLS anstatt auf Protokollebene. EST unterstützt Registrierung, erneute Registrierung, den Abruf von CA-Zertifikaten und die serverseitige Schlüsselerzeugung, wobei PKCS#10-Anfragen gegen PKCS#7-Antworten ausgetauscht werden. EST eignet sich für moderne Geräte mit bereits vorhandenem HTTPS-Stack, insbesondere MDM- und IoT-Geräte, obwohl dieser Stack auf ressourcenbeschränkten Geräten ressourcenintensiv sein kann.

SCEP (RFC 8894, Informationell)

Das Simple Certificate Enrollment Protocol (SCEP) entstand Ende der 1990er-Jahre für die Registrierung von Netzwerkgeräten und wurde in Routern, Switches und VPN-Konzentratoren weit verbreitet eingesetzt. Es nutzte HTTP-Transport mit kryptografischer Nachrichtensyntax und wurde in Microsoft-Umgebungen üblicherweise über NDES bereitgestellt. Sein Alter zeigt sich in einem schwächeren Sicherheitsmodell, eingeschränkter Funktionalität und veralteter Kryptografie. Da RFC 8894 nur informativ und nicht standardisiert ist, wird SCEP zunehmend durch EST ersetzt. Für ältere Geräte, die keine andere Technologie unterstützen, ist es weiterhin notwendig. Daher ist es am sichersten, es abzusichern und nach einem festgelegten Zeitplan zu ersetzen.

CMP (RFC 4210)

Das in RFC 4210 standardisierte Certificate Management Protocol (CMP) bietet von den vier Protokollen das umfassendste Lebenszyklusmanagement: Seine Nachrichten verfügen über einen eigenen, vom Transport unabhängigen Schutz und ermöglichen so echte Ende-zu-Ende-Sicherheit bei Erstanfragen, Verlängerungen, Widerrufen, Schlüsselerzeugung und Schlüsselwiederherstellung. Ein Lightweight CMP Profile (RFC 9483, 2023) erweitert es für ressourcenbeschränkte und industrielle Anwendungen. CMP ist in der Telekommunikation etabliert, wo es von 3GPP für Mobilfunknetzgeräte spezifiziert wird. Allerdings ist es komplex, da es die Verarbeitung von ASN.1 erfordert und nur begrenzten kommerziellen CA-Support bietet.

Nebeneinander Vergleich

Protokoll	Standard	Transport/Sicherheit	Optimale Bildschirmwahl	Lebenszyklusumfang
ACME	RFC 8555	JSON über HTTPS, JWS	Webserver, Load Balancer, DevOps, Cloud	Ausstellung und Verlängerung, automatisierte DCV
EST	RFC 7030	HTTPS, TLS gegenseitige Authentifizierung	Moderne Geräte, MDM, IoT mit HTTPS	Anmeldung, Wiederanmeldung und Abruf der CA-Nummer
SCEP	RFC 8894 (Informations-)	HTTP mit CMS	Ältere Router, Switches, Firewalls	Nur für die grundlegende Anmeldung und Verlängerung
CMP	RFC 4210	Transportunabhängig, Nachrichtenebene	Komplexe Unternehmen, Regierung, Verteidigung	Vollständiger Lebenszyklus inkl. Schlüsselwiederherstellung

Risiken und Fallstricke

Die unüberlegte Auswahl oder Anwendung von Anmeldeverfahren birgt eigene Fehlerquellen, insbesondere im Hinblick auf den neuen Erneuerungszyklus. Die folgende Tabelle fasst die Risiken zusammen, die ein Zertifikatsprogramm mit kürzerer Gültigkeitsdauer am häufigsten zum Scheitern bringen, und erläutert deren Bedeutung sowie die damit verbundenen Kosten.

Herausforderung	Warum es wichtig ist	Folge
Manuelle Erneuerung im großen Maßstab	Aus 200-Tage-Zertifikaten werden erst 100, dann 47.	Ausfälle und verpasste Vertragsverlängerungen bei steigendem Datenaufkommen.
Protokollausbreitung	Unterschiedliche Segmente benötigen unterschiedliche Protokolle.	Operative Komplexität und fragmentierte Transparenz.
Legacy-SCEP-Abhängigkeit	Alte Geräte unterstützen nichts anderes.	Schwache Kryptographie und ein begrenzter PQC-Fahrplan bestehen weiterhin.
Validierungsengpässe	Die Wiederverwendungsdauer von DCV verkürzt sich auf etwa 10 Tage.	Die Verlängerung schlägt fehl, wenn die Validierung nicht automatisiert ist.
Architekturkonflikt bei CA	CMP und EST stellen Anforderungen an die CA-Seite.	Protokolle lassen sich nicht sauber nachträglich einbauen.

Die Berechnungen zur Erneuerung sind unerbittlich.

Bei kürzeren Gültigkeitsdauern steigt die operative Belastung sprunghaft an. Nehmen wir eine Organisation, die derzeit jährlich etwa 1,000 Zertifikatserneuerungen durchführt: Bei einer Gültigkeitsdauer von 47 Tagen generiert derselbe Bestand über 8,000 Erneuerungsereignisse pro Jahr, da jedes Zertifikat deutlich häufiger neu ausgestellt werden muss. Kein manueller Prozess kann eine achtfache Steigerung bewältigen. Der Großteil dieser Belastung bleibt unbemerkt, bis ein Fehler auftritt, da jede Erneuerung eine Zertifikatsignierungsanfrage, eine Domänenvalidierung, eine Ausstellung und eine Bereitstellung umfasst, die alle ohne Überwachung erfolgreich ablaufen müssen. Die Protokollentscheidung bestimmt, ob dieses Volumen automatisch verarbeitet wird oder zu wiederkehrenden Ausfällen und Notfallmaßnahmen außerhalb der Geschäftszeiten führt.

Plattformlücken drängen Teams zu SCEP

Eine häufige und oft unterschätzte Einschränkung ist die ausstellende Plattform selbst. Microsoft AD CS unterstützt ACME, EST und CMP nicht nativ; die integrierte automatische Registrierung beschränkt sich auf die automatische Registrierung von Windows-Clients und auf SCEP über den Network Device Enrollment Service (NDES). Dies beschränkt heterogene Systemlandschaften effektiv auf SCEP und die manuelle Webregistrierung. Teams, die die ACME-Automatisierung nutzen möchten, aber AD CS verwenden, benötigen häufig eine zusätzliche Plattform oder ein Gateway, um diese Lücke zu schließen. Dies ist eine bewusste Designentscheidung und kein nachträglicher Einfall.

Best Practices für die Implementierung

Die Auswahl von Registrierungsprotokollen ist selten eine Ja/Nein-Entscheidung; die meisten Unternehmen betreiben mindestens zwei parallel, die jeweils unterschiedliche Segmente bedienen. Ziel ist es nicht, sich auf ein einzelnes Protokoll festzulegen, sondern jedes Protokoll optimal an die jeweiligen Workloads anzupassen und gleichzeitig Verwaltung und Transparenz auf einer zentralen Plattform wie dem CertSecure Manager von Encryption Consulting zu gewährleisten.

• Verwenden Sie ACME für webseitiges TLS: Für Webserver, Load Balancer, Reverse-Proxys und alle internetseitigen Dienste, bei denen eine Domain-Control-Validierung angebracht ist, ist ACME die eindeutige Wahl und diejenige, die aufgrund der verkürzten Lebensdauer am meisten begünstigt wird.
• Nutzen Sie EST für moderne Geräte: Wenn Geräte HTTPS unterstützen, aber nicht den gesamten Lebenszyklus von CMP benötigen, bietet EST einen praktischen Mittelweg für MDM und IoT und ist der empfohlene Nachfolger von SCEP für neue Implementierungen.
• Nutzen Sie CMP für komplexe Unternehmenslebenszyklen: Wenn Sie die vollständige Kontrolle über den Lebenszyklus, die Wiederherstellung von Schlüsseln und den transportunabhängigen Nachrichtenschutz über verschiedene Zertifikatsprofile hinweg benötigen, insbesondere in Regierungs-, Verteidigungs- und regulierten Branchen, ist CMP die beste Option.
• SCEP sollte als Übergangslösung betrachtet werden: Nutzen Sie SCEP nur für ältere Netzwerkgeräte ohne EST- oder CMP-Client und planen Sie einen Migrationspfad zu EST für Geräte, die dies unterstützen. SCEP-Endpunkte werden mit der Aktualisierung der Hardware außer Betrieb genommen. CBOM Secure zeigt Oberflächen an, auf denen SCEP noch ausgeführt wird, sodass die Migration priorisiert werden kann.
• Entwerfen Sie die CA-Architektur für die benötigten Protokolle: Da der Besitznachweis von CMP und das gegenseitige TLS von EST Anforderungen an die CA stellen, sollte die Protokollunterstützung von Anfang an in die CA integriert und nicht nachträglich nachgerüstet werden. Die PKI- und CLM-Beratungsleistungen von Encryption Consulting unterstützen Sie dabei von Beginn an.
• Konsolidierung auf einer Multi-Protokoll-Plattform: Implementieren Sie eine Plattform wie die von Encryption Consulting. CertSecure Manager Das System unterstützt alle vier Protokolle über eine einzige Schnittstelle, sodass Sie unabhängig davon, wie die einzelnen Zertifikate ausgestellt wurden, eine einheitliche Transparenz erhalten, anstatt für jedes Protokoll ein separates Registrierungssystem zu betreiben, was die Transparenz fragmentiert und den operativen Aufwand vervielfacht.
• Führen Sie Lasttests durch, bevor die Fristen drängen: Bei Zertifikatsbeständen mit mehr als etwa zehntausend Zertifikaten liegt der Flaschenhals oft in der HSM-Signaturgeschwindigkeit, der Leistung der CA-Datenbank und der Netzwerklatenz – und nicht im Protokoll selbst. Testen Sie daher die End-to-End-Zertifikatsausstellung unter realistischen Bedingungen, lange bevor eine Frist Probleme verursacht. Das HSM-as-a-Service- und Beratungsteam von Encryption Consulting unterstützt Sie bei der Dimensionierung und Validierung dieser Kapazität.

Was bedeutet das für Sicherheitsteams?

Die Umstellung auf die automatisierte Zertifikatserstellung betrifft nahezu alle Teams, die Zertifikate ausstellen oder verwenden, nicht nur die PKI-Gruppe. Die Verantwortlichkeiten variieren je nach Rolle, doch die verkürzte Gültigkeitsdauer erhöht das Risiko für alle, da eine versäumte Verlängerung nun viel schneller zu einem Ausfall für die Nutzer führt als im Zeitalter jährlicher Zertifikate.

• PKI-Teams Die Auswahl des eigenen Protokolls und die Entscheidungen zur CA-Architektur, die festlegen, welche Protokolle überhaupt möglich sind, fallen in den Bereich PKI und CLM von Encryption Consulting. Beratungsdienste die direkteste Unterstützung.
• DevSecOps-Teams Sie verlassen sich darauf, dass ACME Zertifikate innerhalb von Pipelines ohne menschliches Eingreifen ausstellt und erneuert, da deren Gültigkeitsdauer immer kürzer wird – ein Workflow CertSecure Manager automatisiert den gesamten Prozess.
• Cloud-Sicherheitsteams Wir benötigen eine automatisierte Ausstellung für Kubernetes, Load Balancer und Managed Services, wo die Zertifikatsfluktuation am höchsten ist. CertSecure Manager stellt all diese Zertifikate aus und verfolgt sie über eine einzige Schnittstelle.
• IAM-Teams Sie kümmern sich um EST und CMP für die Geräte- und Benutzeridentitätsregistrierung, insbesondere für mTLS und Server-zu-Server-Authentifizierung, die von Encryption Consulting angeboten wird. PKI-as-a-Service kann untermauern.
• Infrastrukturingenieure die bestehende Netzwerkinfrastruktur, in der SCEP noch vorhanden ist, beibehalten, indem man CBOM Secure um es vor der Planung seines späteren Ersatzes zu inventarisieren.
• CISOS Das Ausfall- und Compliance-Risiko tragen sie, wenn die manuelle Erneuerung bis in die 100-Tage- und 47-Tage-Phasen andauert, und verlassen sich auf die Transparenz, die CBOM Secure und CertSecure Manager bieten, um gegenüber Vorständen und Wirtschaftsprüfern für zertifikatsbedingte Ausfallzeiten Rede und Antwort stehen zu können.

Wie kann Verschlüsselungsberatung helfen?

Die Wahl des richtigen Registrierungsprotokolls ist nur der erste Schritt; die meisten Teams benötigen Unterstützung beim Betrieb des Protokolls in dem Umfang, den 200-Tage- und 47-Tage-Zertifikate erfordern. Encryption Consulting bietet die Plattform, die Transparenz und das Fachwissen, um die Protokollstrategie in einen zuverlässigen, automatisierten Betrieb umzusetzen.

• CertSecure Manager: Unsere Plattform für das Management des Zertifikatslebenszyklus stellt Zertifikate für ACME, EST, SCEP und CMP über eine einzige Schnittstelle aus, erneuert sie und verfolgt sie, sodass Automatisierung und Transparenz nicht über verschiedene Protokolle hinweg fragmentiert werden.
• CBOM Secure: Die kryptografische Erkennung und eine kryptografische Stückliste erfassen jedes Zertifikat, die von ihm unterstützten Protokolle und die davon abhängigen Systeme, sodass Sie wissen, was vor dem nächsten Stichtag auf die automatisierte Registrierung umgestellt werden muss.
• PKI-as-a-Service: Eine verwaltete private PKI für interne Dienste und Geräte, bei denen kurzlebige öffentliche Zertifikate nicht geeignet sind, mit den für Ihre Infrastruktur erforderlichen Registrierungsprotokollen.
• HSM-as-a-Service: Hardwaregestützter Schutz für die Signaturschlüssel der von Ihrer Zertifizierungsstelle offengelegten Protokolle, ohne die Kosten für den Aufbau einer eigenen HSM-Infrastruktur.
• PKI- und CLM-Beratungsleistungen: Praktische Unterstützung bei der Entwicklung der CA-Architektur, der Auswahl von Protokollen und der Migration weg vom veralteten SCEP, sodass die Protokollunterstützung von Anfang an integriert und nicht nachträglich eingebaut wird.

Zusammen ermöglichen diese Mechanismen einer Organisation die Ausstellung von Zertifikaten auf Basis einer kontrollierten, automatisierten und protokollübergreifenden Grundlage und die Bewältigung kürzerer Gültigkeitsdauern sowie sich ändernder Validierungsregeln als Routinevorgänge. Um Ihre Bereitschaft für die 200-Tage- und 47-Tage-Phasen zu ermitteln, sprechen Sie mit Encryption Consulting über eine Roadmap zur Zertifikatsfindung und -automatisierung.

Fazit

Die vier Registrierungsprotokolle existieren, weil die Zertifikatsausstellung sehr unterschiedliche Bereiche umfasst und kein einzelnes Protokoll alle abdeckt. ACME hat sich zum Rückgrat der automatisierten Webzertifikatsausstellung entwickelt und ist das Protokoll, das von der verkürzten Gültigkeitsdauer am stärksten profitiert; EST ist der moderne Nachfolger des in die Jahre gekommenen SCEP; CMP bleibt das umfassendste Lebenszyklusprotokoll für komplexe und regulierte Umgebungen; und SCEP wird nur noch dort verwendet, wo ältere Systeme keine Alternative bieten.

Die Umstellung auf 200-Tage-Zertifikate im März 2026 und auf 47-Tage-Zertifikate bis 2029 hat die grundlegende Frage geklärt: Manuelle Erneuerung ist passé, Automatisierung ist Pflicht. Wählen Sie ACME für webbasiertes TLS, EST für moderne Geräte, CMP für den gesamten Unternehmenslebenszyklus und betrachten Sie SCEP als ein Protokoll, das es zu reduzieren und von dem es zu migrieren gilt. Erfolgreiche Organisationen werden dies nicht als einmaliges Projekt, sondern als dauerhaften Wandel hin zu automatisierter, richtlinienbasierter Zertifikatsausstellung begreifen. Mit einer zentralen Managementplattform und einem übersichtlichen kryptografischen Inventar wird die kürzere Zertifikatslaufzeit zu einer überschaubaren operativen Anpassung und nicht zu einem ständigen Ausfallrisiko.

Letztendlich ist die Umstellung auf kurzlebige Zertifikate weniger eine Frage des Überlebens als vielmehr die Einführung eines neuen Betriebsmodells. Organisationen, die jede Verkürzung der Gültigkeitsdauer als einmaligen Notfall betrachten, werden ständig mit der Fehlerbehebung beschäftigt sein; diejenigen hingegen, die eine automatisierte, protokollbasierte Zertifikatsausstellung in ihre Infrastruktur integrieren, werden die Phasen von 200, 100 und 47 Tagen als Routine betrachten. Der erste praktische Schritt ist Transparenz: die Kenntnis jedes einzelnen Zertifikats im Systembestand, des verwendeten Protokolls und des davon abhängigen Systems. Indem man anschließend jede Arbeitslast dem richtigen Protokoll zuordnet und alle Prozesse über eine zentrale Plattform verwaltet, wird die sinkende Gültigkeitsdauer von Zertifikaten von einer wiederkehrenden Ausfallquelle zu einem vorhersehbaren, gut gesteuerten Hintergrundprozess.