Öffentliche TLS-Zertifikate müssen künftig deutlich häufiger erneuert werden, als die meisten PKI-Teams (Public Key Infrastructure) bisher geplant haben. Der im April 2025 verabschiedete Vorschlag SC-081v3 des CA/Browser Forums verkürzt die maximale Gültigkeitsdauer öffentlich vertrauenswürdiger TLS-Zertifikate schrittweise: von 398 Tagen auf 200 Tage ab März 2026, dann auf 100 Tage im März 2027 und schließlich auf 47 Tage bis März 2029. Dies entspricht einer etwa achtfachen Erhöhung der Erneuerungshäufigkeit im Vergleich zu heute.
Hier ist eine natürlichere, menschlich klingende Version mit kürzeren Sätzen:
Diese Änderung verändert die Funktionsweise der PKI grundlegend. Als Zertifikate noch ein Jahr oder länger gültig waren, verließen sich viele Organisationen auf jährliche Verlängerungen, manuelle Nachverfolgung und gelegentliche Tabellenkalkulationsprüfungen. Das war zwar nicht optimal, aber in der Regel ausreichend. Da Zertifikate nur noch 47 Tage gültig sind, funktioniert dieser Ansatz nicht mehr. Die Wahrscheinlichkeit, eine Verlängerung zu verpassen und einen Ausfall zu verursachen, steigt deutlich. Deshalb ist PKI-as-a-Service so wichtig. Es ist nicht nur ein Cloud-basierter Dienst, sondern ein Betriebsmodell, das speziell für die häufigen Zertifikatsverlängerungen entwickelt wurde.
Was schrumpfende Zertifikatslaufzeiten tatsächlich erfordern
Eine Gültigkeitsdauer von 47 Tagen bedeutet nicht einfach nur „häufiger erneuern“. Sie verändert das gesamte Betriebsprofil eines PKI-Programms in einigen spezifischen Punkten.
Erstens ist Automatisierung nicht mehr optional. Ein Prozess, der bisher darauf angewiesen war, dass eine Person daran denkt, zu handeln – selbst ein gut funktionierender –, kann mit den heute etwa achtmal häufigeren Verlängerungen nicht mehr mithalten. Ausstellung, Verlängerung und Widerruf müssen über automatisierte Arbeitsabläufe erfolgen, die durch die Police und deren Ablauf ausgelöst werden, nicht durch einen Kalendercheck.
Zweitens muss die Transparenz kontinuierlich und nicht nur periodisch sein. Wenn Sie keine genaue und aktuelle Bestandsaufnahme aller Zertifikate in Ihrer Umgebung, der davon abhängigen Systeme und deren Ablaufdaten haben, wird ein 47-Tage-Zyklus diese Lücke als Ausfall und nicht erst bei der Prüfung im nächsten Quartal aufdecken.
Drittens gewinnen die von einer PKI-Umgebung unterstützten Registrierungsprotokolle zunehmend an Bedeutung. Manuelle Zertifikatsignierungsanfragen sind für diese Häufigkeit nicht skalierbar. Standardisierte, automatisierbare Protokolle, die sich nahtlos in bestehende Infrastrukturen und Zertifikatsverwaltungstools integrieren lassen, werden zur Grundvoraussetzung und nicht länger nur zu einer wünschenswerten Funktion.
Das alles ist kein Grund zur Panik. Es ist vielmehr ein Grund, PKI-Operationen als Infrastruktur zu betrachten, die kontinuierlich und automatisch laufen muss – und genau diese Lücke soll PKI-as-a-Service schließen.
Was eine vollständig verwaltete PKIaaS tatsächlich bietet
Encryption Consulting bietet mit PKIaaS eine Lösung, die darauf basiert, dass Unternehmen nicht zwischen dem Besitz einer eigenen PKI und der Vermeidung des damit verbundenen Betriebsaufwands wählen müssen. Unser Service ist darauf ausgelegt, die operative Komplexität zu reduzieren und gleichzeitig die Zertifikatsausstellung an verifizierte Identitäten und einen durchgängig starken Schlüsselschutz zu koppeln.
Identitätsgebundene Ausgabe
Jedes Zertifikat sollte erst ausgestellt werden, nachdem die Identität des anfragenden Benutzers, Geräts oder der Workload verifiziert wurde. Die Automatisierung dieser Identitätsprüfung gewährleistet, dass Zertifikate stets gemäß den Sicherheitsrichtlinien des Unternehmens ausgestellt werden, auch wenn Zertifikate deutlich häufiger erneuert werden müssen.
Starker Schutz für die kalifornischen Keys
Die Sicherheit einer PKI hängt letztlich vom Schutz der privaten Schlüssel der Zertifizierungsstelle ab. Enterprise-PKIaaS-Plattformen sichern diese Schlüssel typischerweise mithilfe von Hardware-Sicherheitsmodulen (HSMs), erzwingen Multi-Faktor-Authentifizierung für privilegierte Operationen und implementieren strenge Zugriffskontrollen, um das Risiko einer Kompromittierung zu minimieren.
Automatisiertes Zertifikatslebenszyklusmanagement
Einer der größten Vorteile von PKIaaS ist die Automatisierung. Zertifikatsausstellung, -verlängerung, -widerruf und -ersatz können vollautomatisch abgewickelt werden, wodurch der manuelle Aufwand reduziert und das Risiko von Ausfällen durch abgelaufene Zertifikate minimiert wird. Angesichts immer kürzerer Gültigkeitsdauern von Zertifikaten wird die Automatisierung von einer praktischen Funktion zu einer Notwendigkeit.
Unterstützung für Post-Quanten-Kryptographie
Moderne PKIaaS-Plattformen unterstützen zunehmend sowohl traditionelle als auch Post-Quanten-Kryptografiealgorithmen sowie hybride Bereitstellungen während der Migrationsphase. Dies ermöglicht es Unternehmen, quantenresistente Zertifikate schrittweise einzuführen, während sich Standards weiterentwickeln, anstatt später umfangreiche Migrationen durchzuführen.
Dedizierte Infrastruktur für einen einzelnen Mandanten
Für Unternehmenseinsätze ist häufig eine dedizierte Infrastruktur mit integrierter Redundanz, Überwachung, Datensicherung und Notfallwiederherstellungsfunktionen erforderlich. Hohe Verfügbarkeit gewinnt zunehmend an Bedeutung, da Zertifikatserneuerungen im Laufe des Jahres häufiger anfallen.
Überwachung rund um die Uhr und kontinuierliche Einhaltung der Vorschriften
Die meisten Managed-PKI-Dienste umfassen kontinuierliche Überwachung, regelmäßige Wartung, Software-Updates und die Unterstützung gängiger Compliance-Frameworks. Durch die Übernahme operativer Aufgaben wie der Wartung von Zertifizierungsstellen, dem Einspielen von Patches und der Zustandsüberwachung können Unternehmen ihren Verwaltungsaufwand reduzieren und gleichzeitig eine sichere und zuverlässige PKI-Umgebung gewährleisten.
Anwendungsfälle, in denen dies am wichtigsten ist
Die Vorteile einer verwalteten PKI werden besonders deutlich in Umgebungen, in denen Zertifikate in großem Umfang ausgestellt, erneuert und verwaltet werden. Da die Gültigkeitsdauer von Zertifikaten immer kürzer wird, sind diese Anwendungsfälle zunehmend auf Automatisierung angewiesen.
Endpunktauthentifizierung
Ausstellung hochsicherer Zertifikate zur Sicherung von Intune-verwalteten Geräten und Anwendungen mit automatisierter Widerrufs- und Richtlinienverwaltung sowie Echtzeit-Synchronisierung mit Unterstützung für Hybridzertifikate zur Endpunktauthentifizierung über UEM- und MDM-Plattformen hinweg.
Automatisierte Registrierung
In großen Umgebungen müssen häufig Zertifikate für Tausende von Benutzern, Geräten und Workloads bereitgestellt werden. Die automatisierte Registrierung über Protokolle und Integrationen wie ACME, SCEP und Enterprise-Identitätsplattformen eliminiert die manuelle Bereitstellung und gewährleistet gleichzeitig die einheitliche Ausstellung von Zertifikaten gemäß den Unternehmensrichtlinien.
Verwaltete CA-Operationen
Der Betrieb einer Zertifizierungsstelle umfasst weit mehr als die Ausstellung von Zertifikaten. Dazu gehören der Schutz der CA-Schlüssel, die Wartung von Zertifikatssperrdiensten , die Überwachung der Infrastruktur, die Durchführung von Datensicherungen, die Installation von Sicherheitsupdates und die Gewährleistung hoher Verfügbarkeit. Ein Managed-PKI-Service übernimmt diese operativen Aufgaben und ermöglicht es Unternehmen gleichzeitig, die Kontrolle über ihre PKI zu behalten.
In all diesen Fällen war die manuelle, seltene Zertifikatsverwaltung schon vor der Verkürzung der Zertifikatsgültigkeitsdauer eine Herausforderung. Genau bei diesen Arbeitslasten zahlt sich ein verwalteter, automatisierter Ansatz aus.
Wie PKIaaS sich in Ihre übrige Umgebung einfügt
Eine verwaltete PKI ist nur dann hilfreich, wenn sie sich nahtlos in die Zertifikatsanforderung und -nutzung Ihrer Umgebung integriert. Die PKIaaS-Lösung von Encryption Consulting unterstützt eine Vielzahl von Registrierungspfaden und Integrationen: CA-Gateways, REST-API-Zugriff, ACME, agentenbasierte und orchestrierungsgesteuerte Registrierung, SCEP , Active Directory-Integration und Microsoft Intune für verwaltete Geräte. Im Bereich der Hardware-Sicherheitsmodule (HSMs) ist der Dienst mit Thales- und Entrust- HSMs kompatibel. Für sichere E-Mails unterstützt er S/MIME in Gmail und Outlook.
Diese Breite ist insbesondere aufgrund der Verkürzung des Lebenszyklus, die dieser gesamten Diskussion zugrunde liegt, von Bedeutung. SCEP (definiert in RFC 8894 ) und ACME ( RFC 8555 ) existieren genau, um eine automatisierte, maschinelle Registrierung zu ermöglichen, ohne dass jedes Mal ein manueller Antrag gestellt werden muss. Dies ist die einzig realistische Möglichkeit, einen 47-Tage-Zyklus für einen großen Zertifikatbestand einzuhalten.
Wie Verschlüsselungsberatung helfen kann
Die Vorbereitung auf einen 47-tägigen Zertifikatserneuerungszyklus beschränkt sich nicht nur auf die Zertifikate selbst. Es handelt sich um eine operative Herausforderung, und genau dafür ist die PKIaaS-Lösung von Encryption Consulting konzipiert: Sie übernimmt einen Großteil dieser Komplexität für Ihr Team.
Dies beginnt mit der Grundlage: einem vollständig verwalteten, skalierbaren und hochverfügbaren PKI-Dienst, der die operative Komplexität des internen Betriebs einer CA-Infrastruktur beseitigt. Dazu gehören integriertes Know-how für hybrides Zertifikatsmanagement und PQC-Bereitschaft . Self-Service-Funktionen in Kombination mit automatisierter Ausstellung, Verlängerung und Widerrufung bedeuten, dass Zertifikate nicht mehr von manuellen Maßnahmen abhängen – die größte Herausforderung, die ein immer kürzerer Verlängerungszyklus mit sich bringt. Jede Anfrage bleibt mit einer verifizierten, authentifizierten Identität verknüpft, sodass eine höhere Ausstellungsfrequenz nicht zu einer Lockerung der Kontrollen führt.
Auf der Infrastrukturseite werden kritische CA-Schlüssel durch FIPS 140-3 Level 3-zertifizierte Cloud-HSMs geschützt. Für den Zugriff auf die Root-CA wird eine Multi-Faktor-Authentifizierung erzwungen. Die ausstellende CA-Umgebung läuft auf einer dedizierten Single-Tenant-Architektur mit integrierter Echtzeit- CRL- Infrastruktur, Überwachung sowie Backup und Recovery. So bleibt die Verfügbarkeit auch bei steigendem Erneuerungsvolumen erhalten. Kontinuierliche Compliance wird durch 24/7-Überwachung und den Betrieb durch Experten sichergestellt, die CA- und CRL-Erneuerungen, Patch-Management und Incident Response abdecken.
Auf der Integrationsseite verbindet sich der Dienst mit den Protokollen und Plattformen, die eine häufige, automatisierte Erneuerung ermöglichen: CA-Gateways, REST-API-Zugriff, ACME , SCEP, Active Directory und Microsoft Intune sowie HSM-Integration über Thales und Entrust . Da die Plattform native PQC-Funktionen zur Ausstellung von ML-DSA-Zertifikaten und zur hybriden Zertifikatsverwaltung unterstützt, bietet jeder der deutlich häufigeren Erneuerungszyklen, die eine Welt mit 47 Tagen Laufzeit mit sich bringt, die Chance, sich auf die Zeit nach der Quantencomputer-Ära vorzubereiten, anstatt den Status quo beizubehalten.
Egal ob Ihre Organisation eine vollständig gehostete PKIaaS-Lösung, eine lokal verwaltete Bereitstellung oder einen SaaS-basierten Ansatz zur Einrichtung digitaler Identitäten benötigt – die PKIaaS-Lösung von Encryption Consulting ist so konzipiert, dass sie mit dem Tempo der heutigen Zertifikatslebenszyklen mitwachsen kann, ohne dass Sie Ihr internes PKI-Team vergrößern müssen, um Schritt zu halten.
Fazit
Die Gültigkeitsdauer von Zertifikaten verkürzt sich, da die Branche entschieden hat, dass langlebige Zertifikate ein zu hohes Risiko bergen. Diese Entscheidung ist nun in einem veröffentlichten Zeitplan verankert, den alle Organisationen, die öffentlich vertrauenswürdige TLS- Zertifikate ausstellen , einhalten müssen. Bis 2029 müssen Zertifikate, die bisher über ein Jahr gültig waren, etwa alle sechs Wochen neu ausgestellt werden. Die manuelle, periodische PKI-Verwaltung war für sicherheitskritische Infrastrukturen nie optimal und ist bei dieser Erneuerungsfrequenz überhaupt nicht mehr praktikabel.
PKI-as-a-Service wurde entwickelt, um diesem Wandel direkt gerecht zu werden: Identitätsgebundene, automatisierte Ausstellung, FIPS 140-3 Level 3-geschützte Schlüssel mit erzwungenen Zugriffskontrollen, native Unterstützung für Post-Quanten-Algorithmen wie ML-DSA und Integration mit den Registrierungsprotokollen und -plattformen, die eine häufige, automatisierte Erneuerung ermöglichen. Wenn Ihre Organisation Zertifikate noch jährlich verwaltet, ist die Zeit zur Umstellung auf 47-Tage-Zertifikate kürzer als gedacht.
Wenn Sie beurteilen möchten, wie Ihre aktuelle PKI-Konfiguration dieser Umstellung standhalten würde, ist dies genau die Frage, die eine PKI-Gesundheitsbewertung beantworten soll.
