Welche Phasen umfasst der Lebenszyklus eines Zertifikats?

Aktualisiert: August 2026

Der Zertifikatslebenszyklus beschreibt die Abfolge, die ein digitales Zertifikat durchläuft – von der Erkennung und Erstellung über Installation, Speicherung, Überwachung, Erneuerung und Widerruf bis hin zum endgültigen Ersatz. Die Verwaltung jeder einzelnen Phase, nicht nur der Ausstellung, verhindert, dass ein Zertifikat unbemerkt abläuft oder zu einer Sicherheitslücke wird, die Angreifer ausnutzen können.

Der Lebenszyklus eines Zertifikats umfasst acht Phasen: Erkennung, Erstellung, Installation, Speicherung, Überwachung, Erneuerung, Widerruf und Ersatz. Erkennung und Überwachung finden und verfolgen Zertifikate kontinuierlich, während Erneuerung, Widerruf und Ersatz festlegen, was geschieht, wenn ein Zertifikat abläuft oder kompromittiert wird. Die Verwaltung jeder Phase, nicht nur der Ausstellung, verhindert Ausfälle und Sicherheitslücken.

Wichtige Erkenntnisse

• Die Erkennung hat Priorität, da man ein unbekanntes Zertifikat nicht verwalten kann. In dieser Phase werden fehlende, abgelaufene, beschädigte oder ungenutzte Zertifikate im gesamten Netzwerk aufgespürt, bevor irgendetwas anderes passieren kann.
• Die Überwachung ist die wichtigste fortlaufende Phase. Es nutzt das Discovery Inventory, um kontinuierlich nach bevorstehenden Ablaufdaten, Kompromittierungen und Sicherheitslücken Ausschau zu halten.
• Verlängerung, Widerruf und Ersatz sind drei unterschiedliche Ergebnisse. Die Verlängerung eines gültigen Zertifikats verlängert dessen Gültigkeit, der Widerruf macht ein kompromittiertes Zertifikat ungültig, und der Austausch tauscht den Anbieter oder die Infrastruktur vollständig aus.
• Kürzere Gültigkeitszeiträume verkürzen jede nachgelagerte Stufe. Da die Gültigkeitsdauer von Zertifikaten gemäß CA/Browser Forum Ballot SC-081v3 auf maximal 47 Tage begrenzt wird, müssen Überwachung und Erneuerung deutlich häufiger erfolgen als bisher jährlich oder alle zwei Jahre.
• Durch die Automatisierung des Lebenszyklus werden Fehler in jeder Phase reduziert. Die manuelle Erfassung von Ausstellung, Ablauf und Verlängerung führt genau zu den Fehlkonfigurationen, die Ausfälle verursachen.

Wie erhält man ein digitales Zertifikat?

Die Erlangung eines Zertifikats beginnt mit einem Schlüsselpaar und einer Zertifikatsignierungsanforderung, bevor eine Zertifizierungsstelle involviert ist.

Der Antragsteller generiert ein öffentliches und privates Schlüsselpaar, wobei er den privaten Schlüssel geheim hält. Anschließend erstellt er eine Zertifikatsanforderungsnummer (CSR), die den öffentlichen Schlüssel und Identifikationsinformationen wie Domainnamen oder E-Mail-Adresse enthält. Die CSR wird an eine öffentliche oder private Zertifizierungsstelle (CA) gesendet, die eine Domainvalidierung (DV) durchführt oder, im Falle von OV- und EV-Zertifikaten , eine eingehendere Prüfung der rechtlichen Existenz der Organisation vor der Zertifikatsausstellung vornimmt.

Die acht Phasen des Zertifikatslebenszyklus

Jede Stufe übergibt an die nächste, und ein schwaches Glied in einer dieser Stufen birgt erneut ein Risiko für die gesamte Kette.

1. Entdeckung. Durchsuchen Sie das Netzwerk nach fehlenden, abgelaufenen, kompromittierten oder ungenutzten Zertifikaten und speisen Sie das Inventar, das während des gesamten restlichen Lebenszyklus verwendet wird.
2. Schöpfung. Eine Zertifizierungsstelle überprüft die Informationen und den öffentlichen Schlüssel des Antragstellers und erstellt anschließend das Zertifikat.
3. Installation. Das Zertifikat wird an einem sicheren Ort installiert, der aber für jeden erreichbar ist, der es überprüfen muss.
4. Lagerung. Das Zertifikat und sein privater Schlüssel werden sicher gespeichert, ohne den Zugriff für legitime Überprüfungen zu blockieren.
5. Monitoring. Zertifikatsverwaltungssysteme überwachen mithilfe des Discovery-Inventars kontinuierlich die Sicherheit auf Sicherheitslücken, Ablaufdaten oder Kompromittierungen.
6. Erneuerung. Ein gültiges Zertifikat, dessen Ablaufdatum bevorsteht, wird neu ausgestellt, idealerweise durch einen automatisierten Arbeitsablauf und nicht durch manuelle Nachverfolgung.
7. Widerruf. Ein kompromittiertes, gestohlenes oder anderweitig nicht vertrauenswürdiges Zertifikat wird für ungültig erklärt und einer Zertifikatssperrliste (CRL) hinzugefügt.
8. Ersatz. Ein Zertifikat wird gegen ein Zertifikat einer anderen Zertifizierungsstelle oder Infrastruktur ausgetauscht, was im Vergleich zur routinemäßigen Erneuerung selten vorkommt.

Verlängerung vs. Widerruf vs. Ersatz

Diese drei Phasen werden am häufigsten miteinander verwechselt, da alle drei damit enden, dass das Zertifikat nicht mehr das ursprüngliche ist. Die folgende Tabelle erläutert die Auslöser der einzelnen Phasen und die Unterschiede.

Ergebnis	Ausgelöst durch	Was ändert sich	Wie oft
Erneuerung	Das Ablaufdatum eines gesunden Zertifikats	Gleiche Zertifizierungsstelle, gleicher Zertifikatstyp, neue Gültigkeitsdauer	Routinemäßig und zunehmend häufiger im Rahmen der CA/Browser Forum-Abstimmung SC-081v3
Widerruf	Kompromittierung, Schlüsseldiebstahl oder eine Änderung des Status des Inhabers	Zertifikat sofort ungültig gemacht, zu einer CRL oder einem OCSP-Responder hinzugefügt	Aus wichtigem Grund, oft dringend
Ersatz	Wechsel der Zertifizierungsstelle, der Infrastruktur oder des kryptografischen Algorithmus	Ein völlig neues Zertifikat, ausgestellt von einer anderen Quelle	Selten im Vergleich zur Erneuerung

Warum der Zertifikatslebenszyklus wichtig ist

Wird ein Zertifikat in irgendeiner Phase kompromittiert, ermöglicht dies einem Angreifer, sich als dessen Inhaber auszugeben, was Konsequenzen hat, die weit über das Zertifikat selbst hinausgehen.

Da der Schlüssel des Zertifikatsinhabers an seine digitale Identität gebunden ist, gefährdet eine Kompromittierung in jeder Phase des Lebenszyklus sowohl die Identität als auch die verschlüsselten Daten. Ausfälle aufgrund von Fehlern im Lebenszyklus, insbesondere versäumte Verlängerungen, verursachen zudem direkte Geschäftskosten und können Unternehmen Verstößen gegen Compliance-Vorgaben im Rahmen von Frameworks aussetzen, die ein ordnungsgemäßes Zertifikatsmanagement erfordern. Das Ausmaß des Problems wird bereits in den Daten deutlich: Laut dem CyberArk-Bericht „State of Machine Identity Security 2025“ erlebten 72 % der Unternehmen im vergangenen Jahr mindestens einen zertifikatsbedingten Ausfall , und laut dem DigiCert-Bericht „Global PKI Research 2026 “ verfügen nur 34 % der Unternehmen über vollständige und aktuelle Transparenz hinsichtlich ihrer Zertifikate . Das bedeutet, dass die meisten Unternehmen den Lebenszyklus mit einem unvollständigen Überblick über ihre Zertifikate verwalten.

Warum sollte das Zertifikatslebenszyklusmanagement automatisiert werden?

Die manuelle Verwaltung des Zertifikatslebenszyklus ist bei einer geringen Anzahl von Zertifikaten nicht skalierbar, ohne Fehler zu verursachen.

• Effizienz. Die Automatisierung reduziert den manuellen Aufwand bei der Ausstellung, Verlängerung, Bereitstellung und dem Widerruf großer Zertifikatsmengen.
• Richtigkeit. Automatisierte Arbeitsabläufe reduzieren Fehlkonfigurationen und verpasste Verlängerungen, zu denen die manuelle Nachverfolgung anfällig ist.
• Aktualität. Automatisierte Systeme lösen Erneuerungen und Rotationen planmäßig aus, anstatt darauf angewiesen zu sein, dass jemand daran denkt, dies zu überprüfen.
• Skalierbarkeit Mit zunehmender Anzahl an Zertifikaten skaliert die Automatisierung, ohne dass der Verwaltungsaufwand proportional ansteigt.
• Beachtung. Automatisierte Richtliniendurchsetzung und Unterstützung von Prüfberichts-Frameworks wie PCI DSS, HIPAA und DSGVO.

Wie Verschlüsselungsberatung hilft

CertSecure Manager verwaltet alle Phasen des Zertifikatslebenszyklus zentral über eine Plattform: Erkennung und Inventarisierung, Ausstellung, Installation, kontinuierliche Überwachung, automatische Verlängerung und Widerruf. Die aktuelle Version, CertSecure Manager 3.3, bietet die automatische Verlängerung für elf Zertifizierungsstellen, die automatische Erkennung in AWS, Cloud-IIS/CCS-Speichern, Containern und Vaults sowie die Bewertung von Zertifikatsrisikoprofilen. Diese kennzeichnet schwache oder falsch konfigurierte Zertifikate, bevor es zu Ausfällen kommt. Intelligente Benachrichtigungen und Berichte sorgen für Transparenz in jeder Phase und machen manuelle Nachverfolgung überflüssig. Die Software basiert auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Welche Phasen umfasst der Lebenszyklus eines Zertifikats?

Der Lebenszyklus eines Zertifikats umfasst acht Phasen: Erkennung, Erstellung, Installation, Speicherung, Überwachung, Erneuerung, Widerruf und Ersatz. Erkennung und Überwachung laufen kontinuierlich, während Erneuerung, Widerruf und Ersatz über das Schicksal des Zertifikats entscheiden, wenn es abläuft oder kompromittiert wird.

Worin besteht der Unterschied zwischen einer Zertifikatserneuerung und einem Zertifikatsersatz?

Bei einer Verlängerung wird kurz vor Ablauf des Zertifikats ein neues Zertifikat desselben Typs von derselben Zertifizierungsstelle ausgestellt, wodurch die bestehende Beziehung erhalten bleibt. Bei einem Austausch wird das Zertifikat durch ein Zertifikat einer anderen Zertifizierungsstelle oder Infrastruktur ersetzt. Dies kommt selten vor, da die Verlängerung beim bisherigen Anbieter in der Regel einfacher ist.

Warum ist die Zertifikatserkennung der erste Schritt und nicht die Zertifikatserstellung?

Die Zertifikatserkennung findet bereits vorhandene Zertifikate im gesamten Netzwerk, auch solche, an deren Ausstellung sich niemand mehr erinnert. Ohne diese Transparenz kann ein Unternehmen nicht zuverlässig nachverfolgen, welche Zertifikate überwacht, erneuert oder widerrufen werden müssen. Daher ist die Zertifikatserkennung die Voraussetzung für jeden weiteren Schritt.

Worin unterscheidet sich der Widerruf eines Zertifikats von dessen Ablauf?

Die Aufhebung eines Zertifikats ist eine aktive Entscheidung, es vor seinem regulären Ablaufdatum für ungültig zu erklären, üblicherweise aufgrund einer Kompromittierung oder einer Änderung des Status des Inhabers. Die Aufhebung eines Zertifikats erfolgt automatisch nach Ablauf seiner Gültigkeitsdauer. Beides führt dazu, dass das Zertifikat als nicht vertrauenswürdig gilt, die Aufhebung erfolgt jedoch aus wichtigem Grund und oft mit Dringlichkeit.

Warum ist die Automatisierung des Zertifikatslebenszyklus heute wichtiger als früher?

Da die Abstimmung SC-081v3 des CA/Browser Forums die maximale Gültigkeitsdauer von Zertifikaten bis März 2029 auf 47 Tage verkürzt, müssen alle Phasen des Lebenszyklus, insbesondere Überwachung und Erneuerung, deutlich häufiger wiederholt werden als bisher üblich (jährlich oder mehrjährig). Manuelle Prozesse, die in diesem Tempo noch praktikabel waren, werden bei einem 47-Tage-Zyklus zu einem Problem.

Worin besteht der Unterschied zwischen Zertifikatsspeicherung und -installation?

Die Installation platziert das Zertifikat dort, wo es für seine Funktion benötigt wird, beispielsweise auf einem Webserver, sodass es für jeden, der es überprüfen muss, erreichbar ist. Die Speicherung dient der sicheren Aufbewahrung des Zertifikats und seines privaten Schlüssels, sodass der Schlüssel nicht extrahiert oder kopiert werden kann, während das Zertifikat weiterhin für legitime Zwecke zugänglich ist.

Wie lange dauert ein typischer Zertifikatslebenszyklus von der Erstellung bis zur Verlängerung?

Es hängt vollständig von der Gültigkeitsdauer des Zertifikats ab, die rapide abnimmt. Öffentliche TLS-Zertifikate werden ab März 2026 von maximal 398 Tagen auf 200 Tage, ab März 2027 auf 100 Tage und ab März 2029 gemäß CA/Browser Forum Ballot SC-081v3 auf 47 Tage verkürzt. Derselbe Lebenszyklus, der sich bisher jährlich wiederholte, wird sich daher bald nur noch etwa alle sieben Wochen wiederholen.

Was geschieht, wenn eine Phase im Zertifikatslebenszyklus übersprungen oder falsch verwaltet wird?

Das Auslassen oder fehlerhafte Management einer beliebigen Phase erhöht das Risiko für die gesamte Kette. Ein versäumter Erkennungsschritt führt zu verwaisten Zertifikaten, die niemand überwacht; eine versäumte Verlängerung verursacht einen Ausfall; ein verzögerter Widerruf lässt ein kompromittiertes Zertifikat länger als nötig als vertrauenswürdig gelten. Der Lebenszyklus funktioniert nur so gut wie seine schwächste Phase.

Wie unterstützt CertSecure Manager jede Phase des Zertifikatslebenszyklus?

CertSecure Manager deckt Erkennung und Inventarisierung, Ausstellung, Installation, kontinuierliche Überwachung, automatische Verlängerung und Widerruf von Zertifizierungsstellen über eine einzige Plattform ab. Version 3.3 bietet zusätzlich die automatische Verlängerung für elf Zertifizierungsstellen sowie die automatische Erkennung in AWS, Cloud-IIS/CCS-Speichern, Containern und Vaults. So bleibt jeder Schritt transparent, anstatt dass eine manuelle Nachverfolgung an einem einzelnen Punkt erforderlich ist.

Automatisieren Sie jede Phase des Zertifikatslebenszyklus

Automatisieren Sie Zertifikatslebenszyklen mit CertSecure Manager , von der Erkennung bis zum Widerruf, oder sprechen Sie mit einem Berater von Encryption Consulting über Ihre aktuellen Lebenszykluslücken.