Die Schattenseiten des Wachstums digitaler Zertifikate: Rogue-Zertifikate und Schatten-IT

Kurz gesagt: Sowohl gefälschte Zertifikate (kompromittierte oder nicht autorisierte Zertifikate, denen Systeme vertrauen) als auch Schatten-IT (Zertifikate, die ohne zentrale Aufsicht ausgestellt werden) entstehen dadurch, dass das Zertifikatsvolumen die manuelle Nachverfolgung übersteigt. Laut einer DigiCert-Umfrage vom Juli 2025 berichteten fast die Hälfte der Unternehmen (45 %) im vergangenen Jahr von zertifikatsbedingten Ausfallzeiten. Zentralisierte Erkennung und automatisiertes Lebenszyklusmanagement schließen diese Lücken.

Ein gefälschtes Zertifikat macht sich nicht bemerkbar. Es liegt in einem Vertrauensspeicher und sieht genauso aus wie ein legitimes Zertifikat einer echten Zertifizierungsstelle, bis es verwendet wird, um Datenverkehr abzufangen, eine Domain zu imitieren oder die Validierungsprüfungen eines Browsers zu umgehen. Hinzu kommen Zertifikate, von deren Existenz die IT-Abteilung nichts wusste und die von einem Entwickler oder einer Geschäftseinheit außerhalb eines zentralen Inventars eingesetzt wurden. Damit sind die beiden Probleme entstanden, die heutzutage in Unternehmensumgebungen stillschweigend die meisten zertifikatsbezogenen Ausfälle und Sicherheitslücken verursachen: gefälschte Zertifikate und Schatten-IT.

Wichtige Erkenntnisse

• Die Auswirkungen auf das Geschäft werden quantifiziert, nicht theoretisch: Eine Umfrage von DigiCert vom Juli 2025 ergab, dass 31 % der Unternehmen durch Zertifikatsprobleme Verluste zwischen 50,000 und 250,000 US-Dollar erlitten, 18.5 % sogar Verluste von mehr als 250,000 US-Dollar. Mehr als die Hälfte der Unternehmen musste pro Vorfall Ausfallzeiten von 5 bis 24 Stunden hinnehmen.
• Das Zeitfenster für die Einhaltung der Vorschriften schrumpft rapide: Die Abstimmung des CA/B Forums im April 2025 verkürzt die maximale Gültigkeitsdauer öffentlicher TLS-Zertifikate auf 200 Tage bis zum 15. März 2026, 100 Tage bis zum 15. März 2027 und 47 Tage bis zum 15. März 2029 – ein Zeitplan, der die manuelle Ausstellung und Nachverfolgung betrieblich unmöglich macht.
• Schatten-IT ist in erster Linie ein Transparenzproblem, bevor sie ein Compliance-Problem darstellt: Mehr als die Hälfte der Organisationen (56.6 %) ist nicht zuversichtlich, die Ablaufdaten von Zertifikaten in ihrer gesamten IT-Umgebung nachverfolgen zu können.
• Vier Teams teilen sich die Eigentümerschaft.PKI/CA-Operationen, Sicherheitsoperationen, Plattform/Infrastruktur und Compliance – jede mit einer eigenen Handlung, nicht mit einer gemeinsamen, undefinierten Verantwortung.
• Automatisierung ist die einzige Kontrollmaßnahme, die mit dem 47-Tage-Zeitraum skaliert: Zentralisierte Erkennung, richtlinienbasierte Ausstellung und automatisierte Verlängerung reduzieren direkt die beiden Fehlerarten – abgelaufene Zertifikate und nicht autorisierte Zertifikate –, die manuelle Prozesse nicht rechtzeitig erkennen können.

Digitale Zertifikate verstehen

Ein digitales Zertifikat ist ein kryptografischer Nachweis gemäß dem X.509- Standard , der einen öffentlichen Schlüssel mit einer verifizierten Identität verknüpft. Eine Zertifizierungsstelle (CA) stellt das Zertifikat aus und bürgt für diese Identität. Dadurch können Browser, Server und Anwendungen dem Zertifikat automatisch vertrauen. Jede TLS-Verbindung, jede signierte Anwendung und jedes authentifizierte Gerät ist auf diese funktionierende Vertrauenskette angewiesen. Wenn diese nicht funktioniert – sei es aufgrund von Betrug, fehlerhafter Verwaltung oder schlichtem Vergessen des Zertifikats –, reichen die Folgen weit über ein abgelaufenes Schlosssymbol hinaus.

Das Wachstum digitaler Zertifikate und warum die manuelle Kontrolle scheitert

Das Zertifikatsvolumen ist deutlich schneller gewachsen, als die meisten Unternehmen es manuell verwalten können. Laut der DigiCert-Studie „2025“ verwalten bereits fast 60 % der Unternehmen zwischen 1,000 und 10,000 Zertifikate, und 80 % erwarten, dass dieses Volumen in den nächsten zwölf Monaten weiter steigen wird. Jede neue Cloud-Workload, API-Integration, jedes IoT-Gerät und jeder interne Dienst benötigt in der Regel ein eigenes Zertifikat, und jedes Zertifikat hat ein Ablaufdatum, das überwacht, verlängert und gegebenenfalls widerrufen werden muss.

Genau unter diesen Bedingungen breiten sich unautorisierte Zertifikate und Schatten-IT aus: zu viele Zertifikate, zu wenige Personen, die sie überwachen, und kein System mit vollständiger Transparenz. Die Folgen spiegeln sich deutlich in den Zahlen wider. DigiCert ermittelte, dass 45 % der Unternehmen im vergangenen Jahr Ausfallzeiten aufgrund von Zertifikaten verzeichneten, und 37.5 % führten diese Ausfallzeiten konkret auf abgelaufene Zertifikate zurück – eine der am besten vermeidbaren Sicherheitslücken in Unternehmen, die fast immer auf ein unbeaufsichtigtes Zertifikat zurückzuführen ist.

Betrügerische Zertifikate: Eine versteckte Bedrohung

Ein gefälschtes Zertifikat ist ein technisch gültiges und vertrauenswürdiges Zertifikat, das von einer legitimen Zertifizierungsstelle ausgestellt wurde, aber kompromittiert oder an die falsche Person ausgestellt wurde. Da das Zertifikat selbst die üblichen Vertrauensprüfungen besteht, ist es deutlich schwieriger zu erkennen als ein offensichtlich gefälschtes Zertifikat.

Wie gefälschte Zertifikate erstellt werden

Gefälschte Zertifikate stammen typischerweise aus einer von drei Quellen: einer kompromittierten Zertifizierungsstelle oder einem kompromittierten Zwischensignaturschlüssel, einer Schwachstelle, die im Validierungs- oder Ausstellungsprozess der Domain ausgenutzt wird, oder Schadsoftware, die Zertifikate generiert, die legitime Zertifikate imitieren. In jedem Fall gelangt der Angreifer in den Besitz eines Zertifikats, dem Systeme standardmäßig vertrauen.

Auswirkungen auf die reale Welt

Gefälschte Zertifikate ermöglichen es Angreifern, sich als vertrauenswürdige Domains auszugeben, verschlüsselten Datenverkehr abzufangen und Man-in-the-Middle-Angriffe durchzuführen , die für den Endnutzer praktisch unsichtbar sind, da der Browser durchgehend ein gültiges Zertifikat anzeigt. Die tatsächlichen Schäden decken sich mit den Vorfallsdaten von DigiCert: 31 % der betroffenen Unternehmen verloren zwischen 50,000 und 250,000 US-Dollar, 18.5 % sogar mehr als 250,000 US-Dollar. Über die Hälfte der betroffenen Unternehmen musste mit Ausfallzeiten von 5 bis 24 Stunden rechnen. Ein unentdecktes, gefälschtes oder nicht autorisiertes Zertifikat birgt nicht nur das Risiko eines Ausfalls, sondern auch das Risiko einer Sicherheitslücke, die von außen wie normaler verschlüsselter Datenverkehr aussieht.

Schatten-IT: Nicht verwaltete digitale Zertifikate

Im Zertifikatskontext bezeichnet Shadow-IT Zertifikate, die von einem Team oder einer Einzelperson außerhalb des zentralen Zertifikatsverwaltungsprozesses des Unternehmens ausgestellt, bereitgestellt oder erneuert werden. Beispiele hierfür sind ein Entwickler, der ein selbstsigniertes Zertifikat für eine Testumgebung erstellt, eine Geschäftseinheit, die ein eigenes SSL-Zertifikat für eine neue Subdomain bereitstellt, oder eine Legacy-Anwendung mit einem Zertifikat, das seit seiner Ausstellung unberührt geblieben ist. Solche Fälle treten in Unternehmensumgebungen immer wieder auf.

Das Risiko liegt nicht im Zertifikat selbst, sondern in der dadurch entstehenden Sicherheitslücke. Ein Zertifikat außerhalb des zentralen Bestands kann nicht auf sein Ablaufdatum überwacht, im Falle einer Kompromittierung nicht schnell widerrufen werden und verwendet häufig schwächere Verschlüsselungseinstellungen als in den Richtlinien vorgeschrieben. Die Daten von DigiCert spiegeln genau diese Lücke wider: 56.6 % der Unternehmen sind nicht zuversichtlich, die Ablaufdaten ihrer Zertifikate nachverfolgen zu können. Dies ist ein direkter Indikator dafür, wie groß der Anteil der Zertifikate ist, der sich außerhalb der effektiven Kontrolle befindet.

Risikomatrix: Ursache, Auswirkung, Erkennung, Minderung und Verantwortlichkeit

Mithilfe dieser Matrix können Sie jedes zertifikatsbezogene Risiko einer konkreten geschäftlichen Auswirkung zuordnen, wie es typischerweise erkannt wird, wer für die Behebung verantwortlich ist und woher die zugrunde liegenden Beweise stammen.

Risiko / Ursache	Auswirkungen auf das Geschäft	Erkennungsmethode	Mitigation	Eigentümer	Beweisquelle
Das abgelaufene Zertifikat wurde nicht rechtzeitig erneuert.	Serviceausfall; 45 % der Unternehmen waren im vergangenen Jahr betroffen	Ablaufüberwachung, Verfügbarkeitswarnungen, vom Kunden gemeldete Fehler	Automatisierte Verlängerung mit Benachrichtigungen zur Vorlaufzeit	PKI-/Zertifikatsbetrieb	DigiCert Trust Pulse Survey, Juli 2025
Unberechtigte oder nicht autorisierte Zertifikate ausgestellt	Man-in-the-Middle-Angriffe, Datenabfang, Datenschutzverletzungen	Überwachung von Zertifikatstransparenzprotokollen, kontinuierliche Erkennungsscans	Zentralisierte Ausstellungsrichtlinie, strenge Zugriffskontrollen, CA-Audit	Sicherheitsoperationen	DigiCert Trust Pulse Survey, Juli 2025
Shadow-IT-Zertifikat außerhalb des Inventars	Nicht nachverfolgtes Ablaufrisiko; 56.6 % haben kein Vertrauen in die Nachverfolgung	Netzwerkweite Zertifikatserkennung und Inventarisierung	Tools zur kontinuierlichen Erkennung, obligatorische Registrierungsrichtlinie	Plattform / Infrastruktur	DigiCert Trust Pulse Survey, Juli 2025
Die manuelle Ausstellung kann mit der immer kürzeren Gültigkeitsdauer nicht Schritt halten.	Verlängerungsrückstand, verpasste Fristen aufgrund der Verkürzung der Gültigkeitsdauer auf 47 Tage	Verfolgung des Verlängerungsvolumens im Hinblick auf die Fristen des CA/B-Forums	ACME/SCEP/EST-Automatisierung, richtlinienbasierte Anmeldung	PKI-/Zertifikatsbetrieb	Abstimmung im CA/B-Forum über Sectigo, April 2025
Es findet keine Überprüfung des Zertifikatswiderrufs statt.	Kompromittierte Zertifikate behalten auch nach ihrer Erkennung ihr Vertrauen.	CRL/OCSP-Überwachung, regelmäßige PKI-Audits	Echtzeit-Widerrufsprüfungen, automatisierte CRL/OCSP-Validierung	Sicherheitsoperationen	Ergebnisse der internen PKI-Prüfung
Keine Prüfprotokollierung für Compliance-Berichte	Nicht bestandene Auditfeststellungen, regulatorische Risiken (HIPAA, DORA, PCI DSS)	Compliance-Audit, Überprüfung der Berichterstattung zum Zertifikatslebenszyklus	Automatisierte Prüfprotokolle, standardisierte Lebenszyklusberichterstattung	Compliance	DigiCert Trust Pulse Survey, Juli 2025

Checkliste zur Risikominderung: Reduzierung des Risikos durch gefälschte Zertifikate und Schatten-IT

Jeder der folgenden Punkte behandelt einen spezifischen Fehlermodus aus der obigen Risikomatrix. Betrachten Sie dies als Checkliste zur Umsetzung und nicht als Ideensammlung – jeder Punkt entspricht einer konkreten, überprüfbaren Kontrollmaßnahme.

1. Umfassendes Zertifikatsverzeichnis: Führen Sie ein aktuelles Verzeichnis aller verwendeten Zertifikate, einschließlich Typ, zugehöriger Domain oder Dienst, Ablaufdatum und verantwortlichem Inhaber. Dies ist die Grundlage für alle weiteren Kontrollmaßnahmen.
2. Zentralisierte Zertifikatsverwaltung: Routenausstellung, -verlängerung und -entzug über eine einzige Stelle Zertifikatslebenszyklus Die Plattform wird genutzt, anstatt dass einzelne Teams ihre IT-Systeme selbst verwalten. Dadurch wird Schatten-IT an der Quelle beseitigt.
3. Automatisierte Verwaltung des Zertifikatslebenszyklus: Automatisierte Erstellung, Verlängerung und Widerrufung von Zertifikaten sorgen dafür, dass diese stets aktuell bleiben, ohne dass sich jemand an ein Datum erinnern muss – was zwingend erforderlich wird, sobald die Gültigkeitsdauer 47 Tage erreicht.
4. Überprüfung des Zertifikatswiderrufs: Hilft dabei Zertifikatssperrlisten (CRLs) oder Online Certificate Status Protocol (OCSP) Prüfungen zur Erkennung kompromittierter Zertifikate in Echtzeit, nicht erst im nächsten Prüfzyklus.
5. Strenge Zugangskontrollen: Beschränken Sie, wer Zertifikate anfordern, genehmigen oder ausstellen darf. Ungenehme Zertifikate sind viel wahrscheinlicher, wenn der Ausstellungszugriff weit gefasst und unkontrolliert ist.
6. Regelmäßige Schwachstellenanalysen: Prüfen Sie nicht nur die Anwendungen, die auf die Zertifikatsinfrastruktur angewiesen sind, sondern auch die Infrastruktur selbst auf Fehlkonfigurationen und Schwachstellen.
7. Bewährte Methoden zur Verschlüsselung: Die Einhaltung der aktuellen Schlüssellängen und Algorithmen ist zu erzwingen, und kryptografische Bibliotheken sollten im gleichen Rhythmus wie alle anderen kritischen Infrastrukturkomponenten aktualisiert werden.
8. Regelmäßige Zertifikatsprüfungen: Überprüfen Sie regelmäßig den gesamten Zertifikatsbestand auf Anomalien: nicht autorisierte Ausstellung, abgelaufene, aber noch im Einsatz befindliche Zertifikate oder Zertifikate, die nicht den Richtlinien entsprechen.
9. Anheften von Zertifikaten, wo dies angebracht ist: Um die Anfälligkeit für Man-in-the-Middle-Angriffe zu verringern, sollten bestimmte Zertifikate gezielt an bestimmte Domains oder Dienste gebunden werden. Diese Vorgehensweise sollte selektiv und nicht universell angewendet werden.
10. Kontinuierliche Überwachung: Führen Sie kontinuierliche, automatisierte Scans auf unautorisierte oder verdächtige Zertifikatsaktivitäten durch, anstatt sich auf periodische manuelle Überprüfungen zu verlassen.
11. Governance von Anbietern und Drittanbietern: Externe Anbieter müssen denselben Zertifikatsmanagementstandards unterliegen wie interne Teams, einschließlich regelmäßiger Compliance-Überprüfungen.

Eigentümer- und Aktionsmatrix des Teams

Ungeregelte Zertifikate und Schatten-IT sind abteilungsübergreifende Probleme. Im Folgenden erfahren Sie, welche Aufgaben jedes Team nach diesem Artikel übernehmen sollte.

Team	Primäre Aktion	Erfolgsmetrik
PKI-/Zertifikatsbetrieb	Erstellen und pflegen Sie ein vollständiges Zertifikatsinventar; automatisieren Sie die Erneuerung und Ausstellung.	Keine durch Ablauf verursachten Ausfälle; die Frist für die Erneuerung wurde stets eingehalten.
Sicherheitsoperationen	Kontinuierliche Erkennung und Widerrufsprüfung implementieren; Zugriffskontrollen für die Erteilung durchsetzen	Erkennungszeit für nicht autorisierte Zertifikate; Prozentsatz der Zertifikate unter aktiver Überwachung
Plattform / Infrastruktur	Eliminieren Sie Schatten-IT, indem Sie alle Zertifikatsanfragen über die zentrale Plattform leiten.	Prozentsatz des Zertifikatsbestands außerhalb des zentralen Inventars (Ziel: 0 %)
Compliance	Pflegen Sie ein revisionssicheres Lebenszyklus-Reporting, das den relevanten Rahmenwerken (HIPAA, DORA, PCI DSS) zugeordnet ist.	Ergebnisse der Prüfung im Zusammenhang mit dem Zertifikatsmanagement, die quartalsweise verfolgt wurden

Wie dies mit der 47-tägigen TLS-Zertifikatsbereitschaft zusammenhängt

Unautorisierte Zertifikate und Schatten-IT sind angesichts der heutigen Zertifikatslebensdauern bereits schwer zu handhaben. Mit der schrittweisen Reduzierung durch das CA/B-Forum wird dies deutlich schwieriger: Die maximale Gültigkeitsdauer öffentlicher TLS-Zertifikate sinkt am 15. März 2026 auf 200 Tage, am 15. März 2027 auf 100 Tage und am 15. März 2029 auf 47 Tage. Jede Phase erhöht die Anzahl der manuell zu überwachenden Erneuerungsereignisse, was genau zu Ausfällen durch abgelaufene Zertifikate und zu undokumentierten, an Schatten-IT erinnernden Workarounds führt, da Teams nach Abkürzungen suchen, um mit den Anforderungen Schritt zu halten.

Organisationen, denen es bereits jetzt an vollständiger Transparenz bei Zertifikaten mangelt und die auf manuelle Verlängerung angewiesen sind, sind durch die Verkürzung der Gültigkeitsdauer am stärksten gefährdet. Die Automatisierung der Zertifikatserstellung ist keine optionale Vorbereitung auf 47-Tage-Zertifikate; sie ist die gleiche Kontrollmaßnahme, die bereits die oben beschriebenen Lücken im Bereich unautorisierter Zertifikate und Schatten-IT schließt. Eine einmalige Lösung dieses Problems ist sowohl für die aktuelle Umgebung als auch für die Zukunft mit kürzeren Gültigkeitsdauern ausreichend.

Umgang damit in Multi-Cloud- und hybriden PKI-Umgebungen

Multi-Cloud- und Hybridumgebungen vervielfachen das Risiko von Schatten-IT, da die Zertifikatsausstellung häufig über mehrere Cloud-native Zertifikatsverwaltungssysteme verteilt ist, von denen jedes seine eigene Sichtbarkeitsgrenze hat. Ein Zertifikat, das über die nativen Tools eines Cloud-Anbieters ausgestellt wurde, kann für ein Sicherheitsteam, das nur die lokale PKI überwacht, völlig unsichtbar sein – und umgekehrt.

Die Lösung besteht in der Zertifikatserkennung , die alle Umgebungen umfasst, anstatt auf eine einzelne beschränkt zu sein, gepaart mit einer zentralen Datenquelle für das gesamte Zertifikatsinventar, unabhängig vom Ausstellungsort. Krypto-Agilität ist hierbei ebenfalls entscheidend: Mit fortschreitender PQC-Migration wird es für hybride Umgebungen, denen es bereits an einheitlicher Transparenz mangelt, noch schwieriger, die zu ändernden Zertifikate und Algorithmen zu identifizieren. Ein Ansatz mit kryptografischer Stückliste (CBOM) erweitert die für Zertifikate angewandte Erkennungs- und Inventarisierungsmethode auf die gesamte kryptografische Infrastruktur. So wird ein statisches Inventar in handlungsrelevante kryptografische Informationen umgewandelt und zunehmend zum Standard für die PKI-Governance in Multi-Cloud-Umgebungen. Teams, die in ihrer PQC- Vorbereitungsplanung bereits weiter fortgeschritten sind, werden dies als die gleiche Grundlage für die Erkennung erkennen, auf der ihre Quantenmigrationsarbeit bereits basiert.

Was macht man als nächstes

Der weitere Weg sieht unterschiedlich aus, je nachdem, welches Team dies liest:

• PKI-Teams: Erstellen Sie zunächst ein vollständiges Zertifikatsinventar für jede Zertifizierungsstelle und jede Umgebung, bevor Sie irgendetwas automatisieren – man kann nicht automatisieren, was man nicht sieht.
• Sicherheitsteams: Richten Sie eine kontinuierliche Zertifikatserkennung und -widerrufsprüfung als ständige Kontrollmaßnahme ein, nicht als periodische Prüfungsaufgabe.
• Plattformteams: Jeder neue Dienst oder jede neue Arbeitslast muss Zertifikate über die zentrale Plattform anfordern, wodurch der Schatten-IT-Pfad bereits bei der Bereitstellung geschlossen wird.
• Compliance-Teams: Stellen Sie sicher, dass die Berichterstattung über den Lebenszyklus von Zertifikaten jetzt, vor der Gültigkeitsreduzierung im Jahr 2026, und nicht erst nach einer Prüfungsfeststellung, sauber auf Ihre jeweiligen Rahmenwerke abgestimmt ist.

Fazit

Ungenehme Zertifikate und Schatten-IT haben beide dieselbe Ursache: Das Zertifikatsvolumen übersteigt die manuelle Überwachung. Die Daten belegen dies eindeutig: 45 % der Unternehmen sind von zertifikatsbedingten Ausfallzeiten betroffen, 37.5 % davon aufgrund abgelaufener Zertifikate, und über die Hälfte der Organisationen ist sich nicht sicher, ob sie die Ablaufdaten in ihrer gesamten IT-Umgebung überhaupt nachverfolgen können. Diese Lücke schließt sich nicht von selbst und wird immer schwieriger zu schließen, da die Gültigkeitsdauer von Zertifikaten bis 2029 auf etwa 47 Tage sinkt.

Die Lösung besteht nicht in einem einzelnen Tool, sondern in einer systematischen Vorgehensweise: vollständige Bestandsaufnahme, zentrale Ausstellung, automatisierte Verlängerung und kontinuierliche Überwachung – allesamt Aufgaben, die von den PKI-, Sicherheits-, Plattform- und Compliance-Teams explizit übernommen werden und nicht einer unbesetzten Verantwortung überlassen bleiben. Organisationen, die dies jetzt umsetzen, werden die 47-tägige Zertifikatslaufzeit als routinemäßige operative Umstellung und nicht als wiederkehrende Krise bewältigen können.

Erfahren Sie, wie CertSecure Manager die Ermittlung, Ausstellung und Erneuerung von Zertifikaten in Hybrid- und Multi-Cloud-Umgebungen automatisiert, oder besuchen Sie das PQC Center of Excellence, um Anleitungen zur Erweiterung der Krypto-Agilität über Zertifikate hinaus auf Ihre gesamte kryptografische Infrastruktur zu erhalten.

Häufig gestellte Fragen