Zertifikatshygiene und Zertifikatsrotation für Zero Trust

Credential Hygiene umfasst alle Praktiken, die eine Organisation anwendet, um Anmeldeinformationen – einschließlich Zertifikate, Schlüssel und Maschinenidentitäten – über ihren gesamten Lebenszyklus hinweg zu sichern, zu verwalten, zu rotieren und zu löschen. In einem Zero-Trust- Modell, in dem keine Identität dauerhaft als vertrauenswürdig eingestuft wird, basiert eine effektive Credential Hygiene auf kurzlebigen Zertifikaten und einer automatisierten Zertifikatsrotation, die das Vertrauen kontinuierlich erneuert, anstatt es einmalig zu gewähren und dann zu verwerfen. Da die Gültigkeitsdauer öffentlich vertrauenswürdiger Zertifikate bis 2029 auf etwa 47 Tage sinkt, hat sich Credential Hygiene von einer Hintergrundaufgabe zu einer zentralen Sicherheitsmaßnahme entwickelt.

Jahrelang behandelten Organisationen Zertifikate als Infrastruktur, die ausgestellt, bereitgestellt und bis zur Erneuerung weitgehend vergessen werden konnte. Dieser Ansatz ist überholt. Moderne Sicherheitsstrategien gehen davon aus, dass Kompromittierung unvermeidbar ist, Zugangsdaten gestohlen werden können und Angreifer jede gefundene Vertrauensbeziehung ausnutzen. Diese Annahme bildet den Kern des Zero-Trust-Konzepts.

Im Zero-Trust-Modell ist Vertrauen nie dauerhaft. Benutzer, Geräte, Anwendungen und Workloads müssen ihre Identität und Berechtigung kontinuierlich nachweisen, bevor sie auf Ressourcen zugreifen können. Daher stellen langlebige Anmeldeinformationen, einschließlich TLS- Zertifikate, Anwendungszertifikate und Maschinenidentitäten, ein erhebliches Sicherheitsrisiko dar.

Die Branche bewegt sich bereits in diese Richtung. Das CA/Browser Forum hat eine schrittweise Reduzierung der Gültigkeitsdauer öffentlich vertrauenswürdiger TLS-Zertifikate beschlossen. Die maximale Gültigkeitsdauer wird ab dem 15. März 2026 von 398 auf 200 Tage, ab dem 15. März 2027 auf 100 Tage und ab dem 15. März 2029 auf 47 Tage gesenkt. Parallel dazu setzen führende Technologieunternehmen zunehmend auf die automatisierte Rotation von Anmeldeinformationen und kurzlebige Identitäten als grundlegende Zero-Trust-Praktiken.

All dies deutet in dieselbe Richtung: Die Lebensdauer von Zertifikaten ist nicht mehr nur eine Frage des Betriebsablaufs, sondern ein zentraler Bestandteil der Zertifikatshygiene, der Identitätssicherheit und der Zero-Trust-Architektur geworden.

Warum die Pflege von Qualifikationsnachweisen wichtiger ist als je zuvor

Die Credential Hygiene umfasst die Maßnahmen, mit denen Organisationen Anmeldeinformationen während ihres gesamten Lebenszyklus sichern, verwalten, rotieren und löschen. Passwörter standen dabei lange im Mittelpunkt, doch Maschinenidentitäten sind heute genauso wichtig, oft sogar wichtiger.

Moderne Unternehmen nutzen Tausende, mitunter sogar Millionen von Zertifikaten, um Anwendungen, APIs, Cloud-Dienste, Container , IoT-Geräte und die interne Kommunikation zu sichern. Jedes Zertifikat repräsentiert eine Vertrauensbeziehung. Gelangt ein Angreifer in den Besitz eines Zertifikats oder des zugehörigen privaten Schlüssels, kann er sich potenziell als System ausgeben, die Kommunikation abfangen oder sich lateral im Netzwerk bewegen.

Die Herausforderung besteht darin, dass Maschinenidentitäten die menschlichen Identitäten mittlerweile bei Weitem übertreffen und noch schneller wachsen. Mit der zunehmenden Cloud-Einführung, der Automatisierung der Infrastruktur und der Einführung von Microservices steigt auch die Anzahl der zu verwaltenden Zertifikate stetig an. Ohne konsequente Verwaltung der Zugangsdaten schwindet die Transparenz, was wiederum die Gefahr von Ausfällen, Compliance-Verstößen und Sicherheitslücken erhöht.

Eine gute Zertifikatshygiene sorgt dafür, dass Zertifikate sichtbar, verwaltet, regelmäßig ausgetauscht und kontinuierlich überwacht werden, wodurch das Zeitfenster, in dem kompromittierte Anmeldeinformationen ausgenutzt werden können, verkleinert wird.

Wie verändert Zero Trust das Zertifikatsmanagement?

Die Zero-Trust-Architektur ist in der NIST-Sonderveröffentlichung 800-207 (August 2020) maßgebend definiert. Microsoft wendet dieses Framework anhand dreier zentraler Sicherheitsprinzipien an: explizite Verifizierung, minimale Rechtevergabe und Annahme eines Sicherheitsverstoßes. Jedes dieser Prinzipien verändert die Art und Weise, wie Zertifikate verwaltet werden sollten.

Die explizite Überprüfung erfordert eine kontinuierliche Identitätsvalidierung anstelle impliziten Vertrauens. Langlebige Zertifikate schaffen längere Zeiträume, in denen ein System ohne erneute Validierung als vertrauenswürdig gilt. Kurzlebige Zertifikate unterstützen die kontinuierliche Verifizierung, indem sie Identitäten dazu zwingen, das Vertrauen regelmäßig neu herzustellen.

Das Prinzip der minimalen Berechtigungen bedeutet, nur den benötigten Zugriff nur so lange zu gewähren, wie er benötigt wird. Zertifikate mit kürzerer Gültigkeitsdauer entsprechen diesem Prinzip, da ein häufiger Ablauf die erneute Überprüfung des Zugriffs erzwingt und das Risiko inaktiver oder vergessener Anmeldeinformationen verringert.

Gehen wir davon aus, dass ein Sicherheitsverstoß die größten Auswirkungen hat. Zero Trust setzt voraus, dass Angreifer bereits im System sind. Daher besteht das Ziel darin, den Schaden durch kompromittierte Zugangsdaten zu begrenzen. Ein Zertifikat mit einer Gültigkeit von über einem Jahr bietet Angreifern viel Spielraum. Ein Zertifikat mit einer Gültigkeit von wenigen Wochen verkleinert dieses Zeitfenster drastisch, sodass selbst eine unentdeckte Kompromittierung automatisch abläuft und nicht dauerhaft bestehen kann. Aus diesem Grund dienen kurzlebige Zertifikate als Sicherheitsmaßnahme und nicht nur als betriebliche Änderung.

Warum langlebige Zertifikate das Sicherheitsrisiko erhöhen

Langlebige Zertifikate erhöhen das Vertrauen weit über das hinaus, was nach heutigem Sicherheitsstandard als sicher gilt. Wird ein privater Schlüssel kompromittiert, kann ein Angreifer das Zertifikat so lange nutzen, wie es gültig ist. Bei einem 398-Tage-Zertifikat kann dieses Zeitfenster für Angriffe über ein Jahr betragen – genug Zeit, um Dienste zu imitieren, verschlüsselten Datenverkehr abzufangen, sich dauerhaft einzunisten und sich im Netzwerk auszubreiten.

Aktuelle Vorfälle verdeutlichen die Folgen. Im Juli 2024 meldete die Bank of England eine 91-minütige Störung ihres CHAPS-Abrechnungssystems aufgrund eines abgelaufenen Zertifikats. Das Risiko betrifft sowohl die Sicherheit als auch die Verfügbarkeit. Beim Equifax-Datendiebstahl 2017 war ein Netzwerküberwachungsgerät aufgrund eines abgelaufenen Zertifikats rund 19 Monate lang inaktiv. Dadurch konnten Angreifer 76 Tage lang unbemerkt agieren und Daten von etwa 147 Millionen Menschen stehlen. Der Vorfall führte zu einer Entschädigungszahlung von mindestens 575 Millionen US-Dollar.

Kürzere Lebensdauern reduzieren beide Arten von Risiken. Sie begrenzen die Nutzungsdauer gestohlener Zertifikate und verbessern die kryptografische Sicherheit durch häufigeren Schlüsselaustausch. Dieser schnellere Rotationsrhythmus ermöglicht es Unternehmen zudem, nach Beginn der Migration schnell auf Post-Quanten-Algorithmen umzusteigen, da die Mechanismen für den häufigen Zertifikatsaustausch bereits vorhanden sind. Das NIST finalisierte im August 2024 seine ersten Post-Quanten-Kryptografiestandards FIPS 203 , FIPS 204 und FIPS 205 und stellte Unternehmen damit konkrete Algorithmen für die Migration zur Verfügung.

Wie kurz werden öffentliche Zertifikate?

Die Verkürzung der Gültigkeitsdauer von Zertifikaten wird durch die Abstimmung SC-081v3 festgelegt , die vom CA/Browser Forum im April 2025 verabschiedet wurde. Sie reduziert sowohl die maximale Gültigkeitsdauer öffentlich vertrauenswürdiger TLS-Zertifikate als auch den Zeitraum, in dem Daten zur Domain-Kontrollvalidierung (DCV) wiederverwendet werden können.

Datum des Inkrafttretens	Maximale Gültigkeitsdauer des TLS-Zertifikats	Maximale Wiederverwendungsdauer des DCV
Bis 14. März 2026	398 Tage	398 Tage
Ab 15. März 2026	200 Tage	200 Tage
Ab 15. März 2027	100 Tage	100 Tage
Ab 15. März 2029	47 Tage	10 Tage

Diese Beschränkungen gelten ausschließlich für öffentlich vertrauenswürdige Zertifikate, die zur Authentifizierung von Servern im öffentlichen Internet verwendet werden. Zertifikate privater PKIs fallen nicht darunter, obwohl kürzere interne Gültigkeitsdauern weiterhin eine bewährte Zero-Trust-Praxis darstellen. Die betrieblichen Folgen sind unmittelbar: Eine Organisation, die Zertifikate heute einmal jährlich erneuert, wird künftig mehrere Erneuerungen pro Jahr und Zertifikat durchführen müssen. Bis 2029 muss ein öffentliches Zertifikat etwa alle sieben Wochen ersetzt werden. Kürzere Gültigkeitsdauern und manuelle Zertifikatsverwaltung sind in großem Umfang nicht vereinbar, weshalb Automatisierung eine Notwendigkeit und keine bloße Annehmlichkeit ist.

Was die Secure Future Initiative von Microsoft empfiehlt

Microsoft hat sich mit seinen Zero-Trust-Richtlinien und seiner Secure Future Initiative zu einem führenden Verfechter moderner Anmeldeinformationspraktiken entwickelt . Der Schwerpunkt liegt darauf, die Abhängigkeit von statischen Anmeldeinformationen zu reduzieren und diese nach Möglichkeit durch dynamische, automatisch verwaltete Identitäten zu ersetzen.

Im Rahmen der Secure Future Initiative ersetzt Microsoft statische Anmeldeinformationen durch verwaltete Identitäten und Workload- Identitäten , speichert Geheimnisse in einem Schlüsseltresor, schützt Schlüssel mit einem verwalteten Hardware-Sicherheitsmodul unter rollenbasierter Zugriffskontrolle und nutzt die automatische Schlüsselrotation mit hardwaregestützter Token-Signatur. Um alle Anwendungen auf eine einheitliche Basis zu stellen, hat Microsoft nach eigenen Angaben rund 730,000 ungenutzte Anwendungen in seinen Umgebungen entfernt. Dies verdeutlicht, wie hoch das Risiko durch vergessene und nicht verwaltete Identitäten ist.

Die Richtlinien von Microsoft zum Identitätsschutz gehen detailliert auf Zertifikate ein. Sie warnen davor, dass nicht regelmäßig erneuerte Zertifikate Angreifern ein verlängertes Zeitfenster bieten, um den zugehörigen privaten Schlüssel zu stehlen und das Zertifikat zu missbrauchen, um Dienste zu imitieren oder verschlüsselten Datenverkehr abzufangen. Microsoft empfiehlt daher, dass Anwendungs- und Dienstprinzipalzertifikate ein Gültigkeitsdatum haben, das nicht älter als 180 Tage ist. Die Microsoft Entra-Plattformen unterstützen zudem automatisierte Workflows, die Zertifikate ohne manuelle Eingriffe ausstellen und erneuern, einschließlich der verwalteten Zertifikate, die Entra Connect automatisch alle 90 Tage erneuert.

Die häufigere Erneuerung von Zertifikaten ist nur ein Teil des Ziels. Das eigentliche Ziel ist eine Umgebung, in der die Zertifikatsrotation automatisch abläuft: Neue Zertifikate werden ausgestellt, bevor die alten ablaufen, der Wechsel wird validiert und veraltete Zertifikate werden gelöscht, sobald sie nicht mehr benötigt werden. Auf diese Weise funktioniert die Zertifikatsverwaltung als System und nicht als wiederkehrende Aufgabe.

Entwicklung einer Automatisierungsstrategie für die Zertifikatsrotation

Kürzere Gültigkeitsdauern verbessern zwar die Sicherheit, erhöhen aber den Aufwand für Zertifikatsvorgänge. Ohne Automatisierung können Teams mit Verlängerungen, Bereitstellungen und der Überwachung des Ablaufs überfordert sein. Eine praktikable Automatisierungsstrategie umfasst vier Phasen.

Erkennung. Identifizieren Sie jedes Zertifikat in der gesamten Umgebung, einschließlich derjenigen, die von Anwendungen, Cloud-Diensten, APIs, Netzwerkgeräten, Containern und Drittanbieterintegrationen verwendet werden. Transparenz ist die Voraussetzung für alle nachfolgenden Schritte.

Zentralisierte Bestandsaufnahme. Die Ergebnisse werden in einer einzigen Bestandsaufnahme zusammengeführt, die Eigentumsverhältnisse, Ablaufdaten, Bereitstellungsorte, kryptografische Algorithmen und Lebenszyklusstatus erfasst, sodass Teams effektiv priorisieren und Schatten-PKI eliminieren können.

Lebenszyklusautomatisierung . Automatisieren Sie Ausstellung, Verlängerung, Bereitstellung und Widerruf von Zertifikaten. Protokolle wie ACME ermöglichen die Anforderung, Validierung und Verlängerung von Zertifikaten ohne manuelle Eingriffe. Die Integration mit Cloud-Plattformen, DevOps-Pipelines und Identitätssystemen erweitert diese Automatisierung auf die gesamte IT-Infrastruktur.

Kontinuierliche Überwachung. Stellen Sie sicher, dass Zertifikate den Richtlinien entsprechen und erkennen Sie Probleme frühzeitig, damit die Zertifikatsverwaltung zu einer proaktiven Sicherheitsfunktion wird und nicht erst bei Ablauf eines Zertifikats in Panik gerät.

Zusammen ermöglichen diese Phasen eine nachhaltige, häufige Rotation, was für eine Zero-Trust-Architektur erforderlich ist, sobald die Lebensdauer von Zertifikaten in Wochen gemessen wird.

CertSecure Manager setzt jede dieser Phasen in die Praxis um. Es erkennt Zertifikate in Netzwerken, Clouds und auf Endpunkten, verwaltet ein zentrales Inventar mit Angaben zu Eigentümer und Algorithmus und automatisiert die Ausstellung, Verlängerung, Bereitstellung und den Widerruf über mehrere Zertifizierungsstellen hinweg mithilfe von Protokollen wie ACME.

Vorbereitung auf das Zeitalter der 47-Tage-Zertifikate

Die Umstellung auf eine Gültigkeitsdauer von 47 Tagen wird die tägliche Zertifikatspraxis verändern. Viele Teams verwalten Verlängerungen noch immer mit Tabellenkalkulationen, Ticketsystemen und Kalendererinnerungen. Diese Methoden funktionieren zwar bei einem jährlichen Zyklus, stoßen aber an ihre Grenzen, wenn Verlängerungen alle paar Wochen anstehen.

Maschinenidentitäten verschärfen die Herausforderung. Cloud-Workloads, Microservices, APIs, Container und IoT-Geräte benötigen alle Zertifikate, und deren manuelle Verwaltung birgt Risiken und Komplexität, die mit dem Umfang der Systeme zunehmen.

Die Teams, die dies reibungslos bewältigen, sind diejenigen, die jetzt mit den Vorbereitungen beginnen: Zertifikatsbestände prüfen, nicht verwaltete Zertifikate unter Kontrolle bringen, Lebenszyklusautomatisierung implementieren und Governance-Strukturen etablieren, die kurze Gültigkeitsdauern berücksichtigen. Wer wartet, bis die Gültigkeitsdauern weiter sinken, hat kaum Spielraum, kritische Prozesse unter Zeitdruck zu modernisieren. Organisationen, die heute in Automatisierung und Transparenz investieren, werden zukünftige Zertifikatsanforderungen deutlich einfacher bewältigen.

Sicherheitsbest Practices für die Authentifizierungshygiene

Eine hohe Sicherheit im Umgang mit Zugangsdaten erfordert konsequente Sicherheitsmaßnahmen über den gesamten Lebenszyklus hinweg. Unternehmen sollten private Schlüssel in Hardware-Sicherheitsmodulen (HSMs) schützen , das Prinzip der minimalen Berechtigungen durchsetzen, regelmäßige Audits durchführen und kontinuierlich nach nicht verwalteten Zertifikaten suchen. Für Schlüssel mit hohem Sicherheitsstandard sollten HSMs gewählt werden, die nach FIPS 140-3 Level 3 oder höher validiert sind, insbesondere für Schlüssel, die sensible oder regulierte Daten schützen.

In Produktionsumgebungen sollten selbstsignierte Zertifikate vermieden und in Entwicklungsumgebungen separate kryptografische Assets verwendet werden, um die Wiederverwendung von Schlüsseln zu verhindern. Die automatische Erneuerung und der Schlüsselwechsel sollten Standard sein und durch klare Richtlinien für die Ausstellung, die Überwachung des Ablaufs und den Widerruf in jeder Umgebung unterstützt werden.

Diese Praktiken verstärken sich gegenseitig. Durch Rotation wird das Risiko begrenzt, durch Hardware-Schutz werden die Schlüssel gesichert, und durch Überwachung wird sichergestellt, dass nichts unkontrolliert durchrutscht.

Wie Verschlüsselungsberatung helfen kann

Die Verwaltung kurzlebiger Zertifikate in großem Umfang erfordert Transparenz, Governance, Automatisierung und spezialisiertes Fachwissen. Encryption Consulting unterstützt Unternehmen bei der Modernisierung ihres Zertifikatsmanagements, um Zero-Trust-Initiativen und den Branchentrend hin zu kürzeren Gültigkeitsdauern zu fördern.

Die Experten von EC unterstützen Sie bei der Zertifikatsermittlung , Bestandsverwaltung, PKI-Modernisierung , Richtlinienentwicklung und Lebenszyklusautomatisierung und schließen so die Transparenzlücken, die die Verwaltung von Anmeldeinformationen in komplexen Umgebungen erschweren. Für die Automatisierung bietet CertSecure Manager eine zentrale Ermittlung, Überwachung, Ausstellung, Verlängerung, Bereitstellung, Berichterstellung und Lebenszyklusverwaltung mit Richtliniendurchsetzung und Audit-Protokollierung, die eine kontinuierliche Rotation und seltene Ausfälle gewährleisten.

Für Organisationen, die eine private PKI betreiben oder aufbauen, bietet ECs PKI-as-a-Service eine vollständig verwaltete Zertifizierungsstellenhierarchie – bestehend aus Stammzertifizierungsstelle, ausstellenden Zertifizierungsstellen und Richtliniendurchsetzung. So können Teams interne Zertifikate gemäß Zero-Trust-Standards ausstellen, erneuern und außer Betrieb nehmen, ohne den Aufwand für den Betrieb einer eigenen Zertifizierungsstelleninfrastruktur. Ergänzend dazu speichert HSM-as-a-Service private Schlüssel auf dedizierter, FIPS 140-3-validierter Hardware und gewährleistet so die hardwarebasierte Schlüsselsicherheit, die im Abschnitt zu Best Practices für die Sicherheit beschrieben wird. Benötigt eine Organisation einen klaren Ausgangspunkt, analysieren die Encryption Advisory Services von Encryption Consulting den bestehenden Zertifikatbestand, identifizieren Lücken in Transparenz und Governance und entwickeln einen Stufenplan für die automatisierte Verwaltung von Anmeldeinformationen im großen Maßstab.

Fazit

Zero Trust verändert die Art und Weise, wie Unternehmen über Anmeldeinformationen denken. Vertrauen kann nicht länger monate- oder jahrelang vorausgesetzt werden; jede Identität, ob Mensch oder Maschine, muss kontinuierlich validiert, überwacht und verwaltet werden. Dieser Wandel treibt branchenweit eine Bewegung hin zu kürzeren Zertifikatslebensdauern und automatisierter Anmeldeinformationsrotation voran.

Microsofts Bestrebungen hin zu dynamischen, automatisch verwalteten Identitäten und die Roadmap des CA/Browser Forums für 47-Tage-Zertifikate lassen keinen Zweifel daran, wohin die Reise geht. Langlebige Zertifikate sind zunehmend mit modernen Sicherheitsanforderungen unvereinbar. Organisationen, die weiterhin auf manuelle Zertifikatsverwaltung setzen, werden angesichts sinkender Gültigkeitsdauern und einer steigenden Anzahl von Maschinenidentitäten Schwierigkeiten haben, während diejenigen, die in Erkennung, Lebenszyklusautomatisierung, Richtliniendurchsetzung und kontinuierliche Überwachung investieren, bestens gerüstet sind.

Die Sicherstellung einer ordnungsgemäßen Zertifikatsverwaltung hat sich von einer bewährten Methode zu einer Grundvoraussetzung für Zero Trust entwickelt, und die regelmäßige Zertifikatsrotation ist eine der effektivsten Methoden, diese zu gewährleisten. Ein erster praktischer Schritt ist die Erstellung eines vollständigen Verzeichnisses aller Ihrer Zertifikate. Anschließend automatisieren Sie die Rotation, beginnend mit den Zertifikaten mit dem größten Risiko und den größten Auswirkungen auf Ihr Geschäft, und weiten diese Abdeckung dann auf alle Ihre Zertifikate aus. Um den Status Ihres Programms zu ermitteln, kontaktieren Sie uns bei Encryption Consulting.