Zertifikatsmanagement umfasst das Auffinden, Ausstellen, Erneuern, Überwachen und Widerrufen der digitalen Zertifikate , die die Systeme und die Kommunikation einer Organisation sichern. Effektives Zertifikatsmanagement basiert auf drei Säulen: kontinuierliche Erkennung für Transparenz, Governance für Kontrolle und Automatisierung für Skalierbarkeit. Da die Gültigkeitsdauer öffentlich vertrauenswürdiger TLS-Zertifikate ab 2026 auf 200 Tage begrenzt ist und bis 2029 auf 47 Tage sinken wird, sind diese Funktionen von einer bewährten Vorgehensweise zu einer betrieblichen Notwendigkeit geworden.
Die Zertifikatsverwaltung hat sich von einer routinemäßigen Verwaltungsaufgabe zu einer zentralen Funktion der Cybersicherheit entwickelt. Mit dem Ausbau der Cloud-Infrastruktur, der Einführung von DevOps-Praktiken und der Vernetzung weiterer Dienste wächst die Anzahl der unternehmensweit eingesetzten digitalen Zertifikate rasant. Gleichzeitig zwingen immer kürzere Gültigkeitsdauern von Zertifikaten Unternehmen dazu, ihre Vorgehensweise bei der Verwaltung und Aufrechterhaltung des digitalen Vertrauens zu überdenken.
Eine der bedeutendsten Änderungen der letzten Jahre ist die Entscheidung des CA/Browser Forums, die maximale Gültigkeitsdauer öffentlich vertrauenswürdiger TLS-Zertifikate zu verkürzen. Seit dem 15. März 2026 werden öffentlich vertrauenswürdige TLS-Zertifikate für maximal 200 Tage ausgestellt, zuvor waren es 398 Tage. Am 15. März 2027 sinkt die maximale Gültigkeitsdauer weiter auf 100 Tage und am 15. März 2029 auf nur noch 47 Tage. Diese Änderungen verringern zwar das Risiko kompromittierter Schlüssel und veralteter Kryptografie, erhöhen aber gleichzeitig die Betriebshäufigkeit und -komplexität.
Organisationen, die weiterhin auf Tabellenkalkulationen, manuelle Verlängerungserinnerungen und fragmentierte Bestände setzen, werden Schwierigkeiten haben, mit den Entwicklungen Schritt zu halten. Die Gewährleistung von Sicherheit, Compliance und operativer Stabilität erfordert heute eine Zertifikatsmanagementstrategie, die auf drei Säulen basiert: Ermittlung, Governance und Automatisierung.
Dieser Artikel beschreibt sieben Best Practices für das Zertifikatsmanagement , die Unternehmen dabei helfen, sich an kürzere Zertifikatslaufzeiten anzupassen und gleichzeitig Transparenz, Compliance und Sicherheit zu verbessern. Er erläutert außerdem, worauf die neuen Anforderungen des CA/Browser Forums anwendbar sind und worauf nicht, und unterstützt Teams so bei der proaktiven Planung, anstatt erst im Nachhinein auf zertifikatsbezogene Störungen reagieren zu müssen.
Wie kurz werden TLS-Zertifikate und wann
Der Zeitplan wurde durch die Abstimmung SC-081v3 festgelegt , die vom CA/Browser Forum am 11. April 2025 genehmigt wurde. Sie definiert eine schrittweise Reduzierung sowohl der maximalen Gültigkeitsdauer öffentlich vertrauenswürdiger TLS-Zertifikate als auch des Zeitraums, für den Daten der Domain Control Validation (DCV) wiederverwendet werden können. Die erste Phase ist bereits in Kraft: Seit dem 15. März 2026 stellt keine öffentlich vertrauenswürdige Zertifizierungsstelle mehr TLS-Zertifikate mit einer Gültigkeitsdauer von mehr als 200 Tagen aus. Zertifikate, die vor diesem Datum im Rahmen der maximalen Gültigkeitsdauer von 398 Tagen ausgestellt wurden, behalten ihre ursprüngliche Gültigkeitsdauer; die Begrenzung auf 200 Tage gilt nur für Zertifikate, die am oder nach dem 15. März 2026 ausgestellt wurden.
| Datum des Inkrafttretens | Maximale Gültigkeitsdauer des TLS-Zertifikats | Maximale Wiederverwendungsdauer des DCV |
|---|---|---|
| Bis 14. März 2026 | 398 Tage | 398 Tage |
| Ab 15. März 2026 | 200 Tage | 200 Tage |
| Ab 15. März 2027 | 100 Tage | 100 Tage |
| Ab 15. März 2029 | 47 Tage | 10 Tage |
Zwei Details sind für die Planung besonders wichtig. Erstens: Zertifikatsgültigkeit und DCV-Wiederverwendung sind separate Zeiträume. Bis 2029 muss ein Zertifikat etwa alle 47 Tage ersetzt werden, während die Domaininhaberschaft ungefähr alle zehn Tage neu validiert werden muss. Die alleinige Automatisierung der Zertifikatserneuerung reicht daher nicht aus, solange die Domainvalidierung noch auf manuellen Prozessen beruht. Zweitens: Einige Zertifizierungsstellen stellen Zertifikate etwas unterhalb der jeweiligen Höchstgrenze aus, um Sonderfälle an der zweiten Grenze zu vermeiden. Daher sollten die Erneuerungsintervalle einen ausreichenden Puffer beinhalten und nicht direkt am Limit liegen.
Ein Punkt wird häufig missverstanden. Der Zeitplan gilt nur für Zertifikate zur Authentifizierung von Servern, die über das öffentliche Internet erreichbar sind. Zertifikate, die von der eigenen privaten PKI einer Organisation ausgestellt werden und für interne Dienste, Geräteauthentifizierung, VPN und ähnliche Fälle verwendet werden, unterliegen nicht diesen CA/Browser-Forum-Regeln. Interne Zertifikate können gegebenenfalls längere Gültigkeitsdauern haben, obwohl kürzere Gültigkeitsdauern für interne Zertifikate weiterhin eine bewährte Sicherheitspraxis darstellen. Das Verständnis dieser Abgrenzung hilft Teams, den Arbeitsumfang korrekt zu planen und entweder eine Überdimensionierung oder das Übersehen von Teilen der Infrastruktur zu vermeiden.
Sieben bewährte Verfahren im Zertifikatsmanagement
1. Kontinuierliche Zertifikatserkennung in allen Umgebungen einrichten
Die Grundlage für ein effektives Zertifikatsmanagement ist Transparenz. Eine Organisation kann Zertifikate, deren Existenz ihr nicht bekannt ist, weder sichern noch erneuern. Zertifikatsbestände sind oft unvollständig, da moderne Infrastrukturen dynamisch sind und Zertifikate auf Cloud-Plattformen, in Containern, APIs, Entwicklungsumgebungen und Drittanbieterdiensten erstellt, bereitgestellt, ersetzt und außer Betrieb genommen werden.
Viele Teams verlassen sich nach wie vor auf regelmäßige Audits oder manuell gepflegte Tabellen. Diese Methoden galten noch als ausreichend, solange die Zertifikatsbestände klein waren und sich nur langsam änderten. In Cloud-nativen Umgebungen, in denen Ressourcen automatisch bereitgestellt werden und kurzlebige Workloads nur wenige Minuten bestehen, ist eine Tabellenkalkulation bereits im Moment des Speicherns veraltet.
Die kontinuierliche Zertifikatserkennung ermöglicht es Unternehmen, stets einen aktuellen Überblick über alle Zertifikate in ihrer IT-Umgebung zu haben. Neben der Lokalisierung von Zertifikaten sollte die Erkennung auch Ablaufdaten, ausstellende Zertifizierungsstellen, Bereitstellungsorte, Zertifikatstypen, Inhaber und kryptografische Details wie Schlüssellänge und Signaturalgorithmus erfassen. Mithilfe dieser Metadaten können Sicherheitsteams Risiken identifizieren, Verantwortlichkeiten zuweisen und die Erneuerung rechtzeitig vor Ablauf der Zertifikate vorbereiten.
Da die Gültigkeitsdauer von Lizenzen immer kürzer wird, entscheidet ein präziser und ständig aktualisierter Bestand darüber, ob geplante Verlängerungen oder ungeplante Ausfälle vermieden werden.
2. Einheitliche Governance über den gesamten Zertifikatslebenszyklus hinweg implementieren
Transparenz allein garantiert keine Kontrolle. Organisationen benötigen außerdem Governance-Richtlinien, die festlegen, wie Zertifikate beantragt, genehmigt, ausgestellt, verlängert und widerrufen werden.
Ohne zentrale Verwaltung ist die unkontrollierte Ausbreitung von Zertifikaten nahezu unvermeidlich. Verschiedene Teams erwerben und verwalten Zertifikate unabhängig voneinander, Prozesse driften auseinander, und Schatten-PKI-Zertifikate entstehen außerhalb des Sicherheitsüberblicks. Mit der Zeit wird die Zuständigkeit unklar und die Durchsetzung von Richtlinien fragmentiert.
Ein ausgereiftes Governance-Framework legt einheitliche Standards für alle Zertifikatsvorgänge fest. Es definiert, wer Zertifikate anfordern darf, welche Genehmigungsprozesse gelten, wie Anfragen validiert werden und welche kryptografischen Anforderungen vor der Bereitstellung erfüllt sein müssen. Die Governance sollte zudem rollenbasierte Zugriffskontrollen umfassen, die an unternehmensweite Identitätssysteme gekoppelt sind, sodass nur autorisiertes Personal zertifikatsbezogene Aktionen durchführen kann.
Ein lückenloser Prüfpfad ist ebenso wichtig. Jede Ausstellung, Verlängerung, Änderung und jeder Widerruf sollte automatisch protokolliert werden, um Compliance-Prüfungen und Sicherheitsuntersuchungen zu unterstützen. Eine zentrale Verwaltung reduziert das operationelle Risiko und gewährleistet, dass die Zertifizierungspraxis mit den Sicherheitsrichtlinien und regulatorischen Verpflichtungen übereinstimmt.
Der CertSecure Manager von Encryption Consulting basiert auf denselben drei Säulen, die in diesem Artikel beschrieben werden. Er führt Netzwerk-, Cloud- und Endpunkterkennung durch, um ein aktuelles Inventar zu führen, setzt Anforderungs- und Genehmigungsrichtlinien mit rollenbasierter Zugriffskontrolle und Protokollierung durch und automatisiert die Ausstellung, Verlängerung und Bereitstellung über mehrere Zertifizierungsstellen hinweg mithilfe von Protokollen wie ACME.
3. Automatisierte Zertifikatserneuerung und Lebenszyklusprozesse
Kürzere Gültigkeitsdauern haben die Wirtschaftlichkeit des Zertifikatsmanagements verändert. Eine Aufgabe, die früher jährlich anfiel, wird bald für jedes Zertifikat mehrmals jährlich wiederholt werden müssen.
Für Organisationen, die Hunderte oder Tausende von Zertifikaten verwalten, ist die manuelle Erneuerung nicht praktikabel. Selbst kompetente Teams haben Schwierigkeiten, Ablaufdaten zu verfolgen, Erneuerungen zu koordinieren, Genehmigungen einzuholen und aktualisierte Zertifikate rechtzeitig bereitzustellen. Nehmen wir ein einzelnes Webzertifikat, das ein Administrator manuell erneuert: Bei einer jährlichen Erneuerung ist dies eine Kleinigkeit, aber bei einer halbjährlichen Erneuerung wird es zu einer wiederkehrenden Fehlerquelle für das gesamte Netzwerk.
Automatisierung ist heute Pflicht und nicht mehr nur eine Annehmlichkeit. Plattformen für das Zertifikatslebenszyklusmanagement integrieren sich direkt in Zertifizierungsstellen und unterstützen Protokolle wie ACME. Dadurch können Zertifikate ohne manuelle Eingriffe angefordert, erneuert, bereitgestellt und rotiert werden. Richtlinienbasierte Workflows ersetzen Erinnerungs-E-Mails und manuelle Tickets.
Die Vorteile gehen über die Effizienzsteigerung hinaus. Die Automatisierung gewährleistet die regelmäßige und termingerechte Erneuerung von Zertifikaten, reduziert Ausfallrisiken und ermöglicht die Skalierung des Zertifikatsmanagements ohne proportionales Personalwachstum. Da die Gültigkeitsdauer von Zertifikaten auf etwa 47 Tage sinkt, wird die Automatisierung zum entscheidenden Merkmal eines praktikablen Programms, da eine manuelle Erneuerung alle paar Wochen im Unternehmensmaßstab nicht praktikabel ist.
4. Lösen Sie das Problem der Domain-Revalidierung, nicht nur die Verlängerung.
Die Automatisierung der Domainverlängerung deckt nur die Hälfte der neuen Realität ab. Die immer kürzer werdende Wiederverwendungsperiode von Domain-Vignetten (DCV) bedeutet, dass der Domainbesitz deutlich häufiger nachgewiesen werden muss, voraussichtlich alle zehn Tage bis 2029.
Hier entstehen Probleme mit Wildcard- und Multi-Domain-Zertifikaten. Die automatisierte Ausstellung mit ACME validiert die Kontrolle pro Domain, während Wildcard-Zertifikate in der Regel eine DNS-basierte Validierung mit programmatischem Zugriff auf den DNS-Anbieter erfordern. Ein Multi-Domain-Zertifikat birgt zudem ein konzentriertes Risiko, da ein einzelnes Validierungs- oder Widerrufsereignis jeden Namen im Zertifikat betreffen kann. Teams, die stark auf Wildcard-Zertifikate angewiesen sind, um die Anzahl der Zertifikate zu reduzieren, stellen möglicherweise fest, dass diese Wahl der Automatisierung entgegenwirkt, wenn die Validierungshäufigkeit steigt.
Die praktische Lösung besteht darin, die Domainvalidierung zu automatisieren, typischerweise durch DNS-Integration oder einen ACME-Workflow, der die Validierung ohne manuelle Eingriffe wiederholt. Wildcards sollten nur in Fällen verwendet werden, in denen sie wirklich hilfreich sind, wie beispielsweise bei Edge-Proxys. Für eine reibungslosere Automatisierung pro Domain sind dedizierte Zertifikate vorzuziehen.
Wenn diese Arbeitsabläufe jetzt vorbereitet werden, solange der Zyklus noch 200 Tage beträgt, wird Hektik vermieden, wenn sich das Zeitfenster weiter verengt.
5. Überwachung und risikobasierte Priorisierung stärken
Eine leistungsstarke Erkennung und Automatisierung erfordert weiterhin kontinuierliche Überwachung. Teams benötigen Echtzeit-Einblicke in den Status von Zertifikaten und das damit verbundene Risiko, um Probleme zu erkennen, bevor sie die Produktion erreichen.
Die Überwachung sollte den Ablaufstatus, den Bereitstellungsstatus, die kryptografische Stärke, den Validierungsstatus und die Zuständigkeit offenlegen. Zusammen ermöglichen diese Signale die Behebung von Problemen, bevor diese kritische Dienste beeinträchtigen.
Mit zunehmender Größe von Zertifikatsbeständen verfolgen viele Organisationen einen risikobasierten Ansatz, anstatt jedes Zertifikat gleich zu behandeln. Die Priorisierung der Behebung erfolgt nach Geschäftsauswirkungen, Internet-Offenlegung, Kritikalität der Anwendung und Compliance-Relevanz. Ein Zertifikat, das einen kundenorientierten Zahlungsdienst schützt, erfordert mehr Aufmerksamkeit als ein internes Entwicklungszertifikat.
Die Überwachungsstrategie sollte auch kürzere Gültigkeitsdauern berücksichtigen. Schwellenwerte, die für jährliche Verlängerungen kalibriert sind, bieten nicht genügend Reaktionszeit, wenn Zertifikate alle paar Monate ablaufen. Daher müssen Benachrichtigungen früher ausgelöst und an klar verantwortliche Eigentümer weitergeleitet werden.
6. Beginnen Sie mit den Vorbereitungen für die Post-Quanten-Kryptographie.
Neben kürzeren Lebensdauern müssen sich Organisationen auf eine Transformation einstellen, die die PKI grundlegend verändern wird: den Übergang zur Post-Quanten-Kryptographie.
Fortschritte im Quantencomputing bedrohen die Public-Key-Algorithmen, die der heutigen PKI und digitalen Zertifikaten zugrunde liegen, darunter RSA und ECC . Großangelegte Quantenangriffe sind zwar noch nicht praktikabel, doch die Planungen nehmen bereits Gestalt an. Der Entwurf des Übergangsfahrplans des NIST, NIST IR 8547 , der nach seiner Veröffentlichung im November 2024 weiterhin als erster öffentlicher Entwurf vorliegt, schlägt vor, quantenanfällige Algorithmen wie RSA und ECCSA nach 2030 als veraltet und nach 2035 als unzulässig zu erklären.
Diese Daten binden die föderalen Systeme im Geltungsbereich von IR 8547, doch der Bericht hat sich zur wichtigsten Referenz für die Industrie entwickelt, um ihre eigene PQC-Migration zu planen . Gemäß NIST SP 800-131A bedeutet „veraltet“, dass der Algorithmus zwar noch verwendet werden kann, seine Verwendung jedoch ein gewisses Sicherheitsrisiko birgt, das der Dateninhaber bewerten und akzeptieren muss. „Nicht zulässig“ bedeutet, dass er nicht mehr für den angegebenen Zweck verwendet werden darf.
Die Methode „Erfassen-jetzt-Entschlüsseln-später“, bei der verschlüsselte Daten heute erfasst und erst nach der Entwicklung ausgereifter Quantenhardware entschlüsselt werden, macht den Zeitrahmen für langlebige Daten jetzt und nicht erst später relevant.
Die Vorbereitung beginnt mit dem Verständnis kryptografischer Abhängigkeiten. Organisationen sollten die verwendeten Algorithmen inventarisieren, geschäftskritische Systeme identifizieren, die auf ihnen basieren, und bewerten, ob ihre Zertifizierungsstellen, Anwendungen und Tools bereit sind, die vom NIST am 13. August 2024 finalisierten quantenresistenten Standards zu unterstützen:
- ML-KEM für die Schlüsselkapselung, standardisiert aus der CRYSTALS-Kyber-Einreichung (FIPS203).
- ML-DSA für digitale Signaturen, standardisiert aus dem CRYSTALS-Dilithium-Beitrag (FIPS204).
- SLH-DSA, eine zustandslose, hashbasierte Signaturoption, die aus der SPHINCS+-Einreichung standardisiert wurde (FIPS205).
Dies sind endgültige Standards, im Gegensatz zum Zeitplan für den Übergang gemäß IR 8547, der sich noch im Entwurfsstadium befindet. Ein kryptografisches Inventar ist Voraussetzung, da ein nicht sichtbarer Algorithmus nicht migriert werden kann.
Der Übergang wird voraussichtlich schrittweise durch hybride Implementierungen erfolgen, die klassische und quantenresistente Algorithmen kombinieren. Daher sind algorithmische Flexibilität und umfangreiche Tests unerlässlich. Organisationen in regulierten oder sicherheitsrelevanten Bereichen sollten zudem die CNSA-2.0-Richtlinien der NSA beachten. Diese sehen für nationale Sicherheitssysteme einen früheren Einführungszeitpunkt vor als der zivile Zeitplan IR 8547 und spezifizieren Parametersätze wie ML-KEM-1024 und ML-DSA-87.
Gemäß CNSA 2.0 müssen neue nationale Sicherheitssysteme ab Januar 2027 quantenresistente Algorithmen unterstützen, wobei kategoriespezifische Fristen für die ausschließliche Nutzung zwischen 2030 und 2033 gelten und die vollständige Migration bis 2035 erwartet wird. Die gleichen Disziplinen, die die Verwaltung kurzlebiger Zertifikate ermöglichen – ein vollständiges Inventar, automatisierte Bereitstellung und Richtliniendurchsetzung –, sind genau die Disziplinen, die eine PQC-Migration erfordert.
7. Integration des Zertifikatsmanagements in Cloud- und DevOps-Ökosysteme
Moderne Infrastrukturen sind auf Geschwindigkeit ausgelegt. Anwendungen werden über CI/CD- Pipelines bereitgestellt, Container dynamisch erstellt und gelöscht, und Cloud-Ressourcen skalieren bedarfsgerecht. Die Zertifikatsverwaltung muss in diese Workflows integriert sein und darf nicht als separater Prozess daneben laufen.
Die Integration mit Cloud- und DevOps-Plattformen ermöglicht die automatisierte Bereitstellung von Zertifikaten. Unabhängig davon, ob Ressourcen über Kubernetes , Terraform, Cloud-native Dienste oder andere Infrastructure-as-Code-Frameworks bereitgestellt werden, sollten Zertifikatsausstellung und -erneuerung automatisch erfolgen, sobald Dienste online gehen. Die native Integration mit Cloud-Schlüsselspeichern und Tools wie cert-manager gewährleistet die Konsistenz in allen Umgebungen.
Ohne Integration entstehen Sicherheitslücken, da Zertifikate dort nicht zentral verwaltet werden. Diese unkontrollierten Zertifikate bergen Sicherheitsrisiken, erschweren die Einhaltung von Vorschriften und erhöhen die Wahrscheinlichkeit unerwarteter Ausfälle.
Die Integration des Zertifikatsmanagements in Cloud- und DevOps-Workflows verbessert die Transparenz, erhöht die betriebliche Effizienz und sorgt dafür, dass die Zertifikate mit der sich ständig ändernden Infrastruktur im Einklang stehen.
Häufige Fehler, die zu Zertifikatsausfällen führen
Trotz gestiegenen Bewusstseins sind Ausfälle aufgrund abgelaufener oder falsch verwalteter Zertifikate branchenübergreifend weiterhin häufig. Viele Organisationen verlassen sich nach wie vor auf manuelle Verlängerungen, unvollständige Zertifikatsbestände und unklare Eigentumsverhältnisse.
Zu den weiteren häufigen Fehlern zählen die fehlende Berücksichtigung kürzerer Gültigkeitsdauern, das Übersehen von Zertifikaten in Cloud-Umgebungen, die Verwendung selbstsignierter Zertifikate im Produktivbetrieb und das Hinauszögern von Verlängerungen bis kurz vor deren Ablauf. Diese Probleme erscheinen oft unbedeutend, bis sie zu Serviceunterbrechungen, Ausfällen für Kunden oder Verstößen gegen Compliance-Vorgaben führen.
Die Folgen sind hinlänglich bekannt. Im Juli 2024 meldete die Bank of England eine 91-minütige Störung des CHAPS-Abwicklungssystems aufgrund eines abgelaufenen Zertifikats in ihrer Infrastruktur. Betroffen war ein System, das Zahlungen in Pfund Sterling mit hohem Wert abwickelt. Das Risiko beschränkt sich nicht nur auf die Verfügbarkeit.
Beim Equifax-Datendiebstahl 2017 war ein Netzwerküberwachungsgerät aufgrund eines abgelaufenen Zertifikats rund 19 Monate lang inaktiv. Dadurch konnten Angreifer 76 Tage lang unbemerkt agieren und Daten von etwa 147 Millionen Menschen stehlen. Dieser Vorfall führte später zu einer Entschädigungszahlung von bis zu 700 Millionen US-Dollar. Um solche Vorfälle zu verhindern, ist dieselbe Grundlage aus Transparenz, Governance und Automatisierung erforderlich, die in diesem Artikel beschrieben wird.
Bewährte Sicherheitspraktiken für langfristigen Erfolg
Ein effektives Zertifikatsmanagement umfasst mehr als nur die Verlängerung. Unternehmen sollten private Schlüssel mithilfe von Hardware-Sicherheitsmodulen (HSMs) schützen , Zugriffskontrollen nach dem Prinzip der minimalen Berechtigungen durchsetzen, regelmäßige Audits durchführen und kontinuierlich nach nicht verwalteten Zertifikaten in ihrer Umgebung suchen. Für Anwendungsfälle mit hohen Sicherheitsanforderungen sollten HSMs nach FIPS 140-3 validiert sein , wobei der Validierungsgrad der Sensibilität der zu schützenden Schlüssel entsprechen sollte.
Klare Richtlinien für Entwicklungs- und Testumgebungen verhindern die Wiederverwendung von Produktionsschlüsseln und minimieren unnötige Risiken. Wurden öffentliche Zertifikate für die interne Authentifizierung verwendet, ist deren Ersetzung durch Zertifikate einer verwalteten privaten PKI in der Regel langfristig die bessere Wahl.
Diese Praktiken verringern die Wahrscheinlichkeit einer Kompromittierung von Zertifikaten und unterstützen gleichzeitig die Einhaltung der Vorschriften und die operative Stabilität.
Wie Verschlüsselungsberatung helfen kann
Die sieben in diesem Artikel beschriebenen Praktiken bilden die Grundlage für ein einheitliches Betriebsmodell, das auf Analyse, Steuerung und Automatisierung basiert. Encryption Consulting stellt dieses Modell durch eine Kombination aus Plattformfunktionen und Beratungskompetenz bereit, sodass Unternehmen von fragmentierten, manuellen Prozessen zu einem verwalteten Programm übergehen können, bevor kürzere Gültigkeitsdauern vollständig in Kraft treten.
CertSecure Manager ist eine Plattform für das Zertifikatslebenszyklusmanagement, die kontinuierlich Netzwerkendpunkte, Cloud-Plattformen und lokale Zertifikatsspeicher durchsucht, um ein aktuelles Inventar zu führen. Dabei werden Ablaufdatum, ausstellende Zertifizierungsstelle, Schlüssellänge und Signaturalgorithmus jedes gefundenen Zertifikats erfasst. Dies schließt die Transparenzlücke, die ohne diese Plattform sowohl die Automatisierung der Zertifikatserneuerung als auch die Planung nach der Zertifikatsabgabe unmöglich macht.
Im Bereich Governance setzt CertSecure Manager Richtlinien bereits bei der Anfrage durch. Er definiert, welche Zertifizierungsstellen und Zertifikatsprofile für jeden Anwendungsfall zulässig sind, wendet rollenbasierte Zugriffskontrollen an, die an die Unternehmensidentität gekoppelt sind, leitet Anfragen durch Genehmigungsworkflows und protokolliert jede Ausstellung, Verlängerung und jeden Widerruf in einem manipulationssicheren Audit-Trail. Nicht konforme Anfragen werden blockiert, anstatt nachträglich korrigiert zu werden, wodurch die Entstehung einer Schatten-PKI verhindert wird.
Zur Automatisierung integriert sich die Plattform direkt in mehrere Zertifizierungsstellen und unterstützt Protokolle wie ACME, sodass Ausstellung, Verlängerung, Bereitstellung und Widerruf von Zertifikaten ohne manuelle Eingriffe erfolgen können. Sie ist mit Cloud-Schlüsselspeichern und DevOps-Tools verbunden, wodurch Zertifikate im Rahmen der regulären Bereitstellung und nicht als separate Aufgabe bereitgestellt werden können. Leichtgewichtige Agenten erweitern diese Automatisierung auf ältere Systeme, die keine modernen Protokolle unterstützen. Dies macht einen 47-tägigen Verlängerungszyklus betrieblich realisierbar.
Private PKI unterliegt Ihren eigenen Regeln und nicht dem Zeitplan des CA/Browser Forums, benötigt aber dennoch eine Struktur. ECs PKI-as-a-Service bietet eine verwaltete private Vertrauenshierarchie für interne Dienste, Geräte- und Benutzerauthentifizierung sowie Workload-Identität. Gleichzeitig schützt HSM-as-a-Service die zugrunde liegenden privaten Schlüssel in dedizierter Hardware. Zusammen gewährleisten sie für interne Zertifikate dieselbe Sorgfalt wie für öffentliche Zertifikate.
Für den längerfristigen Übergang erstellt CBOM Secure eine kryptografische Stückliste, die die im gesamten System verwendeten Algorithmen erfasst – die Transparenz auf Algorithmenebene, die für jede Post-Quanten-Migration unerlässlich ist. Die PQC Advisory Services von EC übersetzen diese Bestandsaufnahme anschließend in einen stufenweisen Migrationsplan, der auch aufzeigt, wo hybride klassische und quantenresistente Implementierungen während des Übergangs sinnvoll sind.
Für Organisationen, die sich über ihren aktuellen Stand der Verschlüsselungsstrategie unsicher sind, bietet EC mit seinen Beratungsleistungen im Bereich Verschlüsselung eine Analyse des Zertifikatsbestands, eine Quantifizierung der betrieblichen Auswirkungen kürzerer Gültigkeitsdauern und die Entwicklung eines Fahrplans für die Bereiche Erkennung, Verwaltung und Automatisierung. Ziel ist der Aufbau eines nachhaltigen Zertifikatsmanagementprogramms, das sich effizient an die zunehmenden Erneuerungszyklen anpasst, anstatt unter Zeitdruck auf jede neue Frist reagieren zu müssen.
Fazit
Die Landschaft des Zertifikatsmanagements verändert sich rasant. Da die Gültigkeitsdauer öffentlich vertrauenswürdiger TLS-Zertifikate bereits auf 200 Tage begrenzt ist und bis 2029 weiter auf 47 Tage sinken wird, bieten manuelle Prozesse und fragmentierte Transparenz keinen ausreichenden Schutz mehr für Unternehmen.
Der Erfolg hängt nun von einer Strategie ab, die auf kontinuierliche Erkennung , starke Governance und umfassende Automatisierung setzt, wobei die Domainvalidierung zusammen mit der Verlängerung automatisiert wird. Organisationen, die diese Grundlagen schaffen, sind für häufigere Verlängerungen gerüstet, vermeiden kostspielige Ausfälle und sind für den längerfristigen Übergang zur Post-Quanten-Kryptographie bestens aufgestellt.
Die Umstellung auf kurzlebige Zertifikate ist bereits im Gange. Ein erster praktischer Schritt ist der Aufbau eines vollständigen, stets aktuellen Verzeichnisses aller Ihrer Zertifikate. Nutzen Sie diese Transparenz, um die Automatisierung dort zu priorisieren, wo die Erneuerungshäufigkeit und die geschäftlichen Auswirkungen am größten sind. Um den aktuellen Stand Ihres Zertifikatsprogramms und die Anforderungen an kürzere Gültigkeitsdauern zu ermitteln, wenden Sie sich an das Team von Encryption Consulting.
