Das richtige SSL-Zertifikat auswählen: Wildcard vs. SAN (Multi-Domain)

Kurz gesagt: Ein Wildcard-SSL-Zertifikat sichert eine Domain und alle Subdomains der darunterliegenden Ebene mit einem einzigen gemeinsamen Schlüssel. Ein SAN-Zertifikat (Multi-Domain-Zertifikat) hingegen listet bis zu 250 einzelne Domains namentlich auf. Wählen Sie Wildcard für eine wachsende Anzahl von Subdomains unter einer Domain und SAN, wenn Sie mehrere unterschiedliche Domains verwalten oder eine strengere Kontrolle über den privaten Schlüssel benötigen.

Wenn Sie für Ihr Unternehmen mehr als eine Domain oder Subdomain absichern müssen, haben Sie sich wahrscheinlich schon einmal die Frage gestellt: Sollten wir ein Wildcard-SSL-Zertifikat oder ein SAN-Zertifikat (Subject Alternative Name) verwenden? Auf den ersten Blick erscheint es einfach, doch Ihre Entscheidung beeinflusst Ihre Sicherheit, die Arbeitsbelastung Ihres Teams und Ihr Budget.

Executive Summary

Wildcard- und SAN-Zertifikate sind beides öffentliche TLS-Zertifikate und daher direkt von der Abstimmung SC-081v3 des CA/Browser Forums betroffen. Diese sieht eine schrittweise Reduzierung der maximalen Gültigkeitsdauer öffentlicher TLS-Zertifikate vor: auf 200 Tage im März 2026, 100 Tage im März 2027 und schließlich 47 Tage im März 2029 ( CA/Browser Forum ; auch von Sectigo behandelt ). Dies entspricht einer etwa achtfachen Steigerung des jährlichen Erneuerungsaufwands, unabhängig vom gewählten Zertifikatstyp – von einmal jährlich bis etwa alle sieben Wochen im Jahr 2029. Die manuelle Nachverfolgung stößt bereits jetzt an ihre Grenzen: Laut der DigiCert Trust Pulse Survey (2. Juli 2025) berichteten 45 % der Unternehmen von zertifikatsbedingten Ausfallzeiten, und 37.5 % führten einen Ausfall direkt auf ein abgelaufenes Zertifikat zurück ( DigiCert, 2. Juli 2025 ).

Unabhängig vom gewählten Typ bleibt die operative Vorgehensweise dieselbe: Zertifikatserkennung im gesamten Domain-Bereich, automatisierte Zertifikatserneuerung und eine CBOM- Transparenz, die auch die PQC-Bereitschaft unterstützt . Durch den Aufbau dieser Transparenz erhalten Teams die nötige Krypto-Agilität , um kürzere Gültigkeitsdauern problemlos zu bewältigen.

Schnelle Checkliste

• Erstellen Sie zunächst eine Übersicht Ihrer Domänenstruktur: Eine Domäne mit vielen Subdomänen verweist auf Wildcard, mehrere unterschiedliche Domänen verweisen auf SAN.
• Die Gefährdung des privaten Schlüssels muss abgewogen werden: Ein Wildcard-Zertifikat verwendet einen Schlüssel für alle Subdomains, die es abdeckt.
• Vergewissern Sie sich, dass Ihre Zertifizierungsstelle die Anzahl der Domains und den Workflow für die Neuausstellung unterstützt, die Sie benötigen, wenn sich die Gültigkeitsdauer verkürzt.
• Fügen Sie beide Zertifikatstypen dem gleichen zentralen Inventar hinzu, das auch für andere TLS- und Codesignaturzertifikate verwendet wird.
• Richten Sie die Automatisierung der Verlängerung ein, bevor Sie sich für eine der beiden Varianten entscheiden, da die manuelle Nachverfolgung für eine Gültigkeitsdauer von 47 Tagen nicht ausreicht.

Direkt zu: Funktionsvergleichstabelle | Kaufentscheidungstabelle | Eigentümer | Nächste Schritte | Wie Verschlüsselungsberatung helfen kann | FAQ

Grundlagen von Wildcard- und SAN-SSL-Zertifikaten (Multi-Domain-Zertifikaten)

Beginnen wir mit den Grundlagen dessen, was die einzelnen Zertifikatstypen leisten.

Ein Wildcard-SSL-Zertifikat sichert eine Domain und alle ihre Subdomains auf einer einzigen Ebene. Beispielsweise deckt ein Wildcard-Zertifikat für *.example.com mail.example.com, app.example.com und store.example.com ab, jedoch nicht sub.sub.example.com. Der Stern (*) dient als Platzhalter und steht für jede Subdomain eine Ebene unterhalb Ihrer Hauptdomain.

Ein SAN-Zertifikat (Subject Alternative Name) , auch Multi-Domain-SSL-Zertifikat oder UCC-Zertifikat (Unified Communications Certificate) genannt, funktioniert anders. Anstatt eines Wildcards werden alle Domains und Subdomains namentlich im Zertifikat aufgeführt. Ein einziges SAN-Zertifikat kann beispielsweise example.com, shop.example.com, example.net und secureportal.anotherdomain.org gleichzeitig abdecken.

Beide sind vertrauenswürdige TLS-Zertifikatstypen . Die Entscheidung hängt nicht davon ab, welcher technisch sicherer ist, sondern davon, welcher besser zu Ihrer Konfiguration passt.

Wildcard-SSL vs. SAN-SSL: Wichtigste Unterschiede

Hier sehen Sie im direkten Vergleich, wie sich diese beiden Zertifikatstypen unterscheiden:

Domainabdeckung: Ein Wildcard-SSL-Zertifikat deckt eine Domain und eine unbegrenzte Anzahl ihrer Subdomains auf einer einzigen Ebene ab. Ein SAN-Zertifikat kann bis zu 250 benannte Domains und Subdomains abdecken, einschließlich völlig unterschiedlicher Stammdomains.

Unterstützung mehrerer Domänen: Wildcard-Zertifikate sind auf eine einzige Basisdomäne beschränkt. SAN-Zertifikate sind für die Verwendung mit mehreren Domänen ausgelegt und können völlig unterschiedliche Domänen mit einem einzigen Zertifikat absichern.

Subdomaintiefe: Wildcard-Zertifikate funktionieren nur eine Ebene tief, zum Beispiel *.example.com. SAN-Zertifikate können Subdomains in beliebiger Tiefe enthalten, solange jede einzelne explizit aufgeführt ist.

Flexibilität: Wildcard-Zertifikate sind flexibel, wenn sich alle Ihre Dienste unter einer einzigen Domain befinden. SAN-Zertifikate sind die bessere Wahl, wenn Sie verschiedene Domains verwalten müssen.

Kosten: Wildcard-Zertifikate sind in der Regel pro Subdomain günstiger, da Sie nur einmal zahlen, unabhängig von der Anzahl der hinzugefügten Subdomains. Die Preise für SAN-Zertifikate skalieren mit der Anzahl der aufgeführten Domains.

Risiko durch privaten Schlüssel: Bei einem Wildcard-Zertifikat wird ein einziger privater Schlüssel für alle Subdomains verwendet, was das Risiko erhöht, falls dieser Schlüssel kompromittiert wird. SAN-Zertifikate ermöglichen eine bessere Kontrolle, wodurch sich das Risiko leichter eindämmen lässt.

Ein wichtiger Punkt: Beide Zertifikatstypen verwenden dieselbe Standard-TLS-Verschlüsselung. Der Unterschied liegt lediglich darin, wie die Zertifikate die geschützten Domains identifizieren, nicht in der Stärke der Verschlüsselung.

Abdeckungsvergleich: Welche Domains und Subdomains sind geschützt?

Wildcard-Zertifikatabdeckung:

• Ein Zertifikat für *.example.com deckt app.example.com, mail.example.com und portal.example.com ab, also alle Subdomains, die direkt unter dieser einen Domain liegen.
• Es umfasst nicht example.com selbst (Sie müssen es separat hinzufügen), dev.app.example.com (zwei Ebenen tief) oder irgendeine andere Stammdomäne.

SAN-Zertifikatabdeckung:

• Ein SAN-Zertifikat kann example.com, www.example.com, app.example.com, example.net und beta.anotherbrand.org in einem einzigen Zertifikat auflisten.
• Die meisten Zertifizierungsstellen unterstützen bis zu 250 alternative Subjektnamen pro Zertifikat.
• Jede Domain muss zum Zeitpunkt der Zertifikatsausstellung registriert sein. Neue Domains werden nicht automatisch abgedeckt.

Ein praktisches Beispiel: Betreiben Sie eine SaaS-Plattform, bei der jeder Kunde eine eigene Subdomain wie beispielsweise customer1.yourapp.com oder customer2.yourapp.com erhält, ist ein Wildcard-Zertifikat die einfachere Wahl. Verwalten Sie hingegen fünf separate Markendomains für eine Holdinggesellschaft, ist ein SAN-Zertifikat besser geeignet.

Sicherheits-, Management- und Kostenüberlegungen

• Sicherheit: Bei einem Wildcard-Zertifikat wird ein einziger privater Schlüssel für alle abgedeckten Subdomains verwendet. Das ist zwar praktisch, bedeutet aber auch, dass bei einer Kompromittierung dieses privaten Schlüssels alle Subdomains gefährdet sind. SAN-Zertifikate ermöglichen hingegen eine präzisere Schlüsselverwaltung pro Domain oder Dienst, was insbesondere in Branchen wie dem Finanz- oder Gesundheitswesen mit ihren strengen Sicherheitsanforderungen von Vorteil ist.
• Management: Wildcard-Zertifikate sind für wachsende Subdomain-Listen einfach zu verwalten, da das Zertifikat beim Hinzufügen einer neuen Subdomain nicht aktualisiert werden muss. SAN-Zertifikate hingegen erfordern bei jeder neuen Domain eine Neuausstellung, was für Teams mit sich ändernden Domain-Anforderungen zusätzlichen Verwaltungsaufwand bedeutet.
• Kosten: Wildcard-Zertifikate sind in der Regel kostengünstiger, wenn Sie viele Subdomains besitzen, da Sie nur einmal zahlen, unabhängig von der Anzahl der hinzugefügten Subdomains. Die Preise für SAN-Zertifikate richten sich üblicherweise nach der Anzahl der aufgeführten Domains, sodass die Kosten mit zunehmender Anzahl der Domains steigen. Bei einer geringen Anzahl verschiedener Domains kann ein SAN-Zertifikat unter Umständen die günstigere Option sein.

Wann man ein Wildcard-SSL-Zertifikat anstelle eines SAN-Zertifikats wählen sollte

Wählen Sie ein Wildcard-SSL-Zertifikat, wenn:

• Sie verwalten eine Domain mit vielen Subdomains oder planen, im Laufe der Zeit weitere Subdomains hinzuzufügen.
• Sie möchten, dass die Dinge einfach bleiben und nicht jedes Mal ein neues Zertifikat ausstellen müssen, wenn ein neuer Dienst startet
• Sie betreiben eine SaaS- oder Multi-Tenant-Plattform, bei der jeder Kunde oder jede Umgebung eine eigene Subdomain erhält.
• Ihr Team ist klein und benötigt eine möglichst unkomplizierte SSL-Zertifikatsverwaltung.

Wählen Sie ein SAN-SSL-Zertifikat (Multi-Domain), wenn:

• Sie müssen mehrere verschiedene Domains sichern, z. B. verschiedene Stammdomains für verschiedene Marken oder Produkte.
• Ihre Organisation verwaltet Domains über verschiedene Top-Level-Domains (TLDs) wie .com, .net oder .org.
• Aus Sicherheits- oder Compliance-Gründen benötigen Sie eine strengere Kontrolle über die Verwaltung privater Schlüssel.
• Sie benötigen für Prüfungszwecke eine lückenlose Aufzeichnung aller geschützten Domains innerhalb des Zertifikats.

Es gibt keine allgemeingültige Antwort. Welcher Zertifikatstyp für Sie am besten geeignet ist, hängt von der Struktur Ihrer Domains, dem Zeitaufwand Ihres Teams für die Zertifikatsverwaltung und der Risikobereitschaft Ihres Unternehmens ab.

Funktionsvergleichstabelle: Wildcard vs. SAN auf einen Blick

Diese Tabelle vergleicht beide Zertifikatstypen mit den Kriterien, die für den laufenden Betrieb am wichtigsten sind, nicht nur für die Erstausstellung.

Eigenschaften	Wildcard-SSL	SAN (Multi-Domain)
Automatisierungskompatibilität	Hoch; verlängert sich einmal und deckt neue Subdomains automatisch ab	Mittel; jede hinzugefügte Domain muss neu ausgestellt werden
CA-Unterstützung	Wird von nahezu allen öffentlichen CAs unterstützt	Unterstützt von den meisten öffentlichen Zertifizierungsstellen, bis zu etwa 250 SANs pro Zertifikat
Protokollunterstützung	Funktioniert mit ACME und manueller Ausgabe	Funktioniert mit ACME und manueller Ausgabe
CLM-Plattformintegrationen	Standardunterstützung auf allen gängigen CLM-Plattformen	Standardunterstützung auf allen gängigen CLM-Plattformen
Berichtswesen und Prüfprotokoll	Ein einzelnes Zertifikat vereinfacht zwar die Berichtserstellung, verschleiert aber die Details pro Subdomain.	Die Auflistung pro Domain liefert detailliertere Prüfinformationen.
PQC-Bereitschaft	Derselbe Migrationspfad wie bei jedem öffentlichen TLS-Zertifikat	Derselbe Migrationspfad wie bei jedem öffentlichen TLS-Zertifikat
Bereitstellungsmodell	Am besten geeignet für eine Domain mit vielen Subdomains	Ideal für mehrere unterschiedliche Domänen oder Marken
Bewertung oder Quelle	Der Zertifikatstyp wird durch die CA/Browser Forum Baseline Requirements definiert, es handelt sich nicht um ein bewertetes Herstellerprodukt.	Der Zertifikatstyp wird durch die CA/Browser Forum Baseline Requirements definiert, es handelt sich nicht um ein bewertetes Herstellerprodukt.

Käuferentscheidungstabelle

Option	Am besten geeignet,	Einschränkungen	Einsatzpassung	Integrationen	Preistransparenz	Nachweis/Quelle
Wildcard-SSL	SaaS- und Multi-Tenant-Plattformen fügen im Laufe der Zeit Subdomains hinzu.	Gemeinsamer privater Schlüssel für alle Subdomains; keine Abdeckung für die Stammdomäne oder zwei Ebenen tief	Eine Domain, viele Subdomains	Standard CLM- und ACME-Unterstützung	Festpreis unabhängig von der Anzahl der Subdomains	CA/Browser-Forum-Grundanforderungen
SAN (Multi-Domain)	Organisationen, die mehrere unterschiedliche Markendomains oder Top-Level-Domains (TLDs) verwalten	Für jede weitere Domain ist eine Neuausstellung erforderlich; die Preise steigen mit der Anzahl der Domains.	Mehrere unterschiedliche Domänen, bis zu ~250 SANs	Standard CLM- und ACME-Unterstützung	Die Preisgestaltung skaliert mit der Anzahl der gelisteten Domains.	CA/Browser-Forum-Grundanforderungen

Wem gehört das: Auswirkungen und Maßnahmen des Teams

Team	Warum es ihnen wichtig ist	Sofortige Maßnahme
PKI-Team	Besitzt das Zertifikatsinventar und entscheidet, welcher Typ zu welcher Domänenstruktur passt.	Ordnen Sie jede Domain und Subdomain zu und weisen Sie ihr anschließend basierend auf der Struktur Wildcards oder SANs zu.
Sicherheits Team	Besitzt das Offenlegungsfenster, falls ein gemeinsam genutzter Wildcard-Privatschlüssel kompromittiert wird.	Legen Sie eine Richtlinie fest, wann Wildcards akzeptabel sind und wann die Schlüsselisolation des SAN erforderlich ist.
Plattform-Team	Besitzt die Automatisierung, die Zertifikate in verschiedenen Umgebungen ausstellt und erneuert.	Stellen Sie sicher, dass ACME oder eine gleichwertige Automatisierung beide Zertifikatstypen abdeckt, bevor sie skaliert wird.
Compliance-Team	Besitzt Prüfnachweise, aus denen hervorgeht, welche Domains von welchem ​​Zertifikat abgedeckt sind	Stellen Sie sicher, dass SAN-Zertifikate überall dort verwendet werden, wo domänenspezifische Prüfdetails erforderlich sind.

Was macht man als nächstes

• PKI-Teams: Erstellen Sie ein Verzeichnis aller Domains und Subdomains und klassifizieren Sie jede als Wildcard- oder SAN-Kandidaten.
• Sicherheitsteams: Legen Sie eine Richtlinie fest, die die Verwendung von Wildcards einschränkt, wenn die Offenlegung gemeinsam genutzter privater Schlüssel inakzeptabel ist.
• Plattformteams: Vergewissern Sie sich, dass die automatische Erneuerung für beide Zertifikatstypen eingerichtet ist, bevor sich die Gültigkeitsdauer weiter verkürzt.
• Compliance-Teams: Die Bestätigungszertifikatsaufzeichnungen zeigen zu Prüfungszwecken, welche spezifischen Domänen jedes Zertifikat abdeckt.

Wie Verschlüsselungsberatung helfen kann

Ob Sie sich für ein Wildcard-SSL-Zertifikat oder ein SAN-Zertifikat entscheiden, die operative Herausforderung bleibt dieselbe: den Überblick über Ihre Zertifikate, deren Ablaufdaten und die Sicherheit zu behalten. Mit zunehmender Anzahl Ihrer Domains wächst auch diese Herausforderung. CertSecure Manager wurde genau für diese Anforderungen entwickelt.

CertSecure Manager ist die Zertifikatslebenszyklusmanagement-Plattform von Encryption Consulting. Sie bietet Ihrem Team eine zentrale Übersicht über alle Zertifikate in Ihrer Umgebung – unabhängig von Typ, Zertifizierungsstelle oder Bereitstellungsort. Ob Sie ein einzelnes Wildcard-Zertifikat für Hunderte von Subdomains oder eine wachsende Anzahl von SAN-Zertifikaten für mehrere Markendomains verwalten: Mit CertSecure Manager behalten Sie stets den Überblick und die Kontrolle.

Folgendes ist enthalten:

Zertifikatserkennung: CertSecure Manager durchsucht Ihre gesamte Infrastruktur, um ein vollständiges Verzeichnis aller verwendeten SSL-Zertifikate zu erstellen, einschließlich Wildcard- und SAN-Zertifikaten, die möglicherweise ausgestellt und in Vergessenheit geraten sind. Was man nicht sieht, kann man nicht verwalten.

Ablaufverfolgung und automatische Verlängerung: Jedes Zertifikat in Ihrem Bestand wird hinsichtlich seines Ablaufdatums überwacht. CertSecure Manager kennzeichnet Zertifikate, deren Ablaufdatum bevorsteht, und automatisiert die Verlängerung, sodass Ihr Team nie von einem abgelaufenen Zertifikat überrascht wird, das eine Subdomain oder Domain lahmlegt.

Unterstützung mehrerer Zertifizierungsstellen: Egal ob Ihre Wildcard- oder SAN-Zertifikate von einer öffentlichen Zertifizierungsstelle oder einer internen Zertifizierungsstelle ausgestellt werden, CertSecure Manager verwaltet sie alle an einem Ort, ohne dass Sie Ihre bestehenden Beziehungen zu Zertifizierungsstellen ändern müssen.

Audit-Trail für Compliance: In Branchen, in denen eine klare Dokumentation jeder geschützten Domain eine Compliance-Anforderung ist, protokolliert CertSecure Manager jedes Zertifikatsereignis und liefert Ihren Sicherheits- und Audit-Teams den benötigten Nachweispfad.

Risikotransparenz bei privaten Schlüsseln: Eines der Hauptrisiken von Wildcard-Zertifikaten ist die Verwendung eines gemeinsamen privaten Schlüssels für alle Subdomains. CertSecure Manager ermöglicht Ihnen die Nachverfolgung, wo Zertifikate und die zugehörigen Schlüssel eingesetzt werden, sodass Sie schnell handeln können, falls ein Schlüssel widerrufen und ersetzt werden muss.

Die Wahl des richtigen Zertifikatstyps ist der erste Schritt. Die kontinuierliche Aufgabe, die Ihre Benutzer täglich schützt, besteht darin, sicherzustellen, dass das Zertifikat ordnungsgemäß verwaltet, rechtzeitig erneuert und in Ihrer gesamten Umgebung vollständig erfasst wird. Teams, die bereits die Umstellung auf den Algorithmus planen, können auch das PQC Center of Excellence von EC in Anspruch nehmen , das denselben Ansatz zur Ermittlung und Verwaltung von Zertifikaten auch für die Migration nach der Quantenmigration anbietet.

Fazit

Bei der Wahl zwischen einem Wildcard-SSL-Zertifikat und einem SAN-Zertifikat geht es nicht darum, die fortschrittlichere Option auszuwählen. Es geht darum, das richtige Zertifikat für Ihre konkrete Konfiguration zu finden.

Wenn Sie hauptsächlich unter einer Domain arbeiten und fortlaufend Subdomains hinzufügen, bietet Ihnen ein Wildcard-Zertifikat Einfachheit und Flexibilität für zukünftiges Wachstum. Verwalten Sie hingegen viele verschiedene Domains über verschiedene Marken oder Regionen hinweg, bietet Ihnen ein SAN-Zertifikat die nötige Kontrolle und eine übersichtliche Dokumentation.

So oder so bleibt das Ziel dasselbe: Jede Domain und Subdomain, die Ihre Nutzer besuchen, muss durch eine korrekt eingerichtete HTTPS-Verschlüsselung geschützt sein – ohne abgelaufene Zertifikate und ohne Sicherheitslücken. Der richtige Zertifikatstyp ist nur die halbe Miete. Sprechen Sie mit unseren PKI-Experten , um die Zertifikatsstrategie zu finden, die optimal zu Ihrer Umgebung passt, und die Tools, mit denen Sie diese reibungslos betreiben können.

Häufig gestellte Fragen

Was ist die wichtigste Erkenntnis aus dem Artikel „Das richtige SSL-Zertifikat auswählen: Wildcard vs. SAN (Multi-Domain)“?

Die richtige Wahl hängt von der Domainstruktur ab, nicht davon, welcher Typ technisch stärker ist: Wildcard eignet sich für eine Domain mit vielen Subdomains, während SAN für mehrere unterschiedliche Domains oder Marken geeignet ist, und beide müssen im selben automatisierten Zertifikatsinventar verwaltet werden.

Warum ist das für das Zertifikatslebenszyklusmanagement in Unternehmen von Bedeutung?

Sowohl Wildcard- als auch SAN-Zertifikate sind öffentliche TLS-Zertifikate, die den immer kürzer werdenden Gültigkeitsdauern des CA/Browser-Forums unterliegen. Da die Erneuerung bis 2029 von jährlich auf alle sieben Wochen verschoben wird, muss der vom Unternehmen gewählte Zertifikatstyp im Rahmen desselben Zertifikatslebenszyklusmanagementprozesses wie alle anderen Zertifikate erfasst und erneuert werden.

Welche Teams sind für die Umsetzung dieser Vorgaben verantwortlich?

PKI-Teams bilden die Domänenstruktur ab und wählen den Zertifikatstyp aus, Sicherheitsteams legen Richtlinien für die Offenlegung privater Schlüssel fest, Plattformteams pflegen die Automatisierung der Zertifikatserneuerung und Compliance-Teams stellen sicher, dass die Prüfnachweise jede Domäne abdecken.

Welche Risiken erhöhen sich, wenn dieses Thema manuell behandelt wird?

Bei einem manuell verwalteten Wildcard-Zertifikat konzentriert sich das Risiko auf einen einzigen gemeinsam genutzten privaten Schlüssel für alle Subdomains. Bei einem manuell verwalteten SAN-Zertifikat kann es passieren, dass man es vergisst, wenn eine neue Domain hinzugefügt wird, das Zertifikat aber nie neu ausgestellt wird, wodurch diese Domain ungeschützt bleibt.

Wie kann Automatisierung das Risiko von Zertifikatsausfällen verringern?

Die automatisierte Erkennung und Erneuerung erfassen ein bevorstehendes Ablaufdatum eines Wildcard- oder SAN-Zertifikats, bevor es verfällt, und automatisierte Neuausstellungs-Workflows für SAN-Zertifikate stellen sicher, dass eine neu hinzugefügte Domain niemals versehentlich vom Zertifikat ausgeschlossen wird.

Welche Kennzahlen sollten die Teams nach der Implementierung verfolgen?

Verfolgen Sie die Vollständigkeit des Zertifikatsbestands über beide Typen hinweg, die Erfolgsquote der Erneuerung, die Zeit bis zur Neuausstellung eines SAN-Zertifikats nach einer Domänenänderung und wie schnell ein kompromittierter Wildcard-Privatschlüssel widerrufen und ersetzt werden kann.

Wie hängt das mit der 47-tägigen TLS-Zertifikatsbereitschaft zusammen?

Sowohl Wildcard- als auch SAN-Zertifikate sind öffentliche TLS-Zertifikate und daher direkt von der Umstellung auf eine maximale Gültigkeitsdauer von 47 Tagen bis März 2029 betroffen. Eine Automatisierung, die für den einen Zertifikatstyp funktioniert, muss auch für den anderen funktionieren, da eine manuelle Erneuerung bei dieser Häufigkeit für beide Typen nicht skalierbar ist.

Wie sollte dies in Multi-Cloud- oder Hybrid-PKI-Umgebungen gehandhabt werden?

Wildcard- und SAN-Zertifikate werden in einem einzigen protokollunabhängigen, zentralen Inventar verwaltet, das für alle Clouds, Zertifizierungsstellen und internen PKIs in der Umgebung verwendet wird, anstatt jeden Zertifikatstyp oder jeden Cloud-Anbieter separat zu verwalten.

Welche Option ist die beste für große Unternehmen?

Große Unternehmen benötigen oft beides: Wildcard-Zertifikate für SaaS- oder Multi-Tenant-Plattformen mit wachsender Anzahl an Subdomains und SAN-Zertifikate für markenspezifische Domains oder regulierte Umgebungen, die detaillierte Audits pro Domain erfordern. Die Wahl erfolgt pro Domainstruktur und nicht als unternehmensweite Richtlinie.

Welche Kriterien sollten Käufer beim Vergleich von Anbietern heranziehen?

Bei der Bewertung einer Zertifizierungsstelle oder einer Plattform für das Zertifikatslebenszyklusmanagement sollten Sie die Automatisierungskompatibilität, unterstützte Protokolle wie ACME, die maximale Anzahl von Domänen pro Zertifikat, die Integration mit bestehenden CLM-Tools, die Tiefe der Audit- und Berichtsfunktionen sowie die klar dokumentierte Preisgestaltung vergleichen, anstatt sich allein auf Marketingaussagen zu verlassen.