CP und CPS in PKI verstehen

Die Public-Key-Infrastruktur (PKI) basiert auf einem Rahmenwerk von Richtlinien und Verfahren, um Vertrauen aufzubauen. Zwei zentrale Dokumente jeder PKI sind die Zertifikatsrichtlinie (CP) und die Zertifizierungspraxisrichtlinie (CPS) . Diese Dokumente definieren die Sicherheitsgarantien eines Zertifikats und wie eine Zertifizierungsstelle diese gewährleistet. Dieser Artikel behandelt CP und CPS detailliert, erläutert die Unterschiede zwischen beiden und verweist auf relevante Standards wie RFC 3647, RFC 6484, RFC 7382, WebTrust und das CA/Browser Forum.

Kurzantwort: Was sind CP und CPS in PKI?

Eine Zertifizierungsrichtlinie (CP) ist ein übergeordnetes Dokument, das den Zweck eines Zertifikats und das damit verbundene Sicherheitsniveau definiert. Eine Zertifizierungspraxisanweisung (CPS) ist das operative Dokument, das beschreibt, wie eine Zertifizierungsstelle diese Richtlinienvorgaben umsetzt. Die CP stellt die Strategie dar, die CPS die Taktik. Beide Dokumente werden von Prüfern, Aufsichtsbehörden und dem CA/Browser Forum für jede PKI gefordert, die öffentliches oder unternehmensweites Vertrauen beansprucht.

Wichtige Erkenntnisse

• Der Zertifizierungspunkt (CP) definiert den Zweck eines Zertifikats und das von ihm gebotene Sicherheitsniveau. Der Zertifizierungsstellenstandard (CPS) beschreibt, wie die Zertifizierungsstelle diese Anforderungen operativ erfüllt. Der CPS darf dem CP nicht widersprechen und kann lediglich spezifischer oder restriktiver sein.
• Beide Dokumente müssen gemäß RFC 3647 für öffentlich vertrauenswürdige Zertifizierungsstellen (CAs) gemäß den Baseline Requirements des CA/Browser Forums strukturiert sein. Abschnitt 2.2 der Baseline Requirements schreibt dieses Format ausdrücklich vor.
• Das CA/Browser Forum verpflichtet öffentlich vertrauenswürdige Zertifizierungsstellen, ihre CP/CPS mindestens jährlich zu überprüfen und zu aktualisieren, selbst wenn keine Änderungen vorgenommen wurden. Versionsnummern und -daten müssen erhöht werden, um die erfolgte Überprüfung zu dokumentieren.
• Die Abstimmung des CA/Browser Forums (SC-081v3, April 2025) verkürzt die maximale Gültigkeitsdauer öffentlicher TLS-Zertifikate auf 200 Tage (März 2026), 100 Tage (März 2027) und 47 Tage (März 2029). Jede Verkürzung der Gültigkeitsdauer kann Aktualisierungen von CP/CPS erfordern, um die neuen zulässigen Gültigkeitszeiträume und Automatisierungsanforderungen zu berücksichtigen.
• Ohne einen dokumentierten CP und CPS können Organisationen weder WebTrust-Audits für Zertifizierungsstellen noch Compliance-Prüfungen des CA/Browser Forum bestehen, noch können sie gegenüber Prüfern gemäß HIPAA, PCI DSS, DORA oder ISO 27001 eine PKI-Governance nachweisen.

Einleitung: Was CP und CPS definieren

Eine Zertifikatsrichtlinie (CP) ist eine übergeordnete Spezifikation von Sicherheitsanforderungen und Regeln für die Zertifikatsnutzung. Sie legt den Zweck eines Zertifikats und das Maß an Vertrauen oder Sicherheit fest, das es bietet, und beschreibt die Grenzen und zulässigen Verwendungszwecke von Zertifikaten einer bestimmten Public-Key-Infrastruktur (PKI). Beispielsweise kann eine CP festlegen, dass eine bestimmte Zertifikatsklasse zur Absicherung von TLS-Webservern geeignet ist, und die Anforderungen an die Identitätsprüfung für die Ausstellung definieren.

Eine Zertifizierungspraxisrichtlinie (Certification Practice Statement, CPS) beschreibt detailliert, wie die Zertifizierungsstelle die Anforderungen des Zertifizierungsrichtlinienkatalogs (Certificate of Certification, CP) erfüllt. Sie definiert die Verfahren, die eine Zertifizierungsstelle bei der Ausstellung, Verwaltung, dem Widerruf und der Erneuerung von Zertifikaten anwendet. Die CPS dokumentiert die betrieblichen Abläufe und Sicherheitskontrollen: wie die Zertifizierungsstelle die Identitätsprüfung durchführt, ihre privaten Schlüssel schützt, Zertifikate generiert und Widerrufe bearbeitet.

Die Zertifikatsrichtlinien (CPS) müssen mit den Zertifikatsrichtlinien (CP) übereinstimmen. Die CPS beschreibt detaillierter, wie eine Zertifizierungsstelle eine bestimmte Zertifikatsrichtlinie implementiert, und darf den Bestimmungen der CP nicht widersprechen. Wenn die CP beispielsweise nur die Ausstellung von E-Mail-Verschlüsselungszertifikaten zulässt, darf die CPS keine Verfahren zur Ausstellung von TLS-Serverzertifikaten außerhalb dieses Geltungsbereichs beschreiben.

Gemeinsam stellen der Compliance Policy (CP) und der Compliance Policy Statement (CPS) die Offenlegungspflichten der Zertifizierungsstelle (CA) dar und dienen als Governance-Rahmen für deren Geschäftstätigkeit. Der CP muss allen vertrauenden Parteien öffentlich zugänglich sein; die meisten Zertifizierungsstellen veröffentlichen auch ihren CPS. Einige Organisationen fassen diese aus Gründen der Einfachheit in einem einzigen CP/CPS-Dokument zusammen; andere führen sie getrennt.

Wer sollte sich für Kinderschutz und Kinderschutz interessieren?

Die Governance von CP und CPS liegt nicht in der Verantwortung eines einzelnen Teams. Jede der unten aufgeführten Rollen trägt ein direktes Interesse daran, dass diese Dokumente vollständig, aktuell und sowohl mit der betrieblichen Praxis als auch mit den regulatorischen Anforderungen übereinstimmen.

Funktion / Rolle (Role) *	Warum es wichtig ist	Aktionselement
PKI-Administratoren	Verantwortlich für die im CPS dokumentierten Betriebsabläufe: Schlüsselerzeugungszeremonien, Zertifikatsausstellungsprozesse, Widerrufsprozesse und HSM-Management	Stellen Sie sicher, dass das CPS die aktuellen CA-Abläufe korrekt widerspiegelt; kennzeichnen Sie alle betrieblichen Änderungen, die eine CPS-Überarbeitung erfordern; dokumentieren Sie alle wichtigen Zeremonien mit Nachweisen der Vier-Augen-Kontrolle.
Sicherheitsarchitekten	Verantwortung für die im CP dokumentierten Richtlinienentscheidungen übernehmen: Sicherheitsstufen, zugelassene Zertifikatstypen, Algorithmenstandards und Vertrauensmodell	CP-Sicherheitsniveaus an regulatorischen Verpflichtungen ausrichten; Mindestanforderungen gemäß NIST SP 800-131A für Algorithmen durchsetzen; Krypto-Agilität und PQC-Bereitschaftsplanung in die CP-Entwicklung einbeziehen
Plattform-/DevOps-Teams	Die Einhaltung der im CP definierten Zertifikatstypen, Gültigkeitsdauern und Ausstellungsregeln ist erforderlich; selbstsignierte Zertifikate oder nicht zugelassene Zertifizierungsstellen verstoßen gegen die CP-Kontrollen.	Prüfen Sie CP, um die zugelassenen Zertifikatstypen und Gültigkeitszeiträume zu verstehen; integrieren Sie die ACME-basierte automatisierte Ausstellung in Ihre Pipelines und verwenden Sie dabei ausschließlich zugelassene Zertifizierungsstellen.
Compliance-Teams	Die CP- und CPS-Kontrollen müssen den regulatorischen Anforderungen (HIPAA, PCI DSS, DORA, ISO 27001) zugeordnet werden, und es muss sichergestellt werden, dass die Dokumente bei Änderungen der Standards aktualisiert werden.	Führen Sie jährlich eine Überprüfung der CP/CPS-Standards anhand der aktuellen CA/Browser Forum-Basisanforderungen und der geltenden regulatorischen Rahmenbedingungen durch; pflegen Sie die Versionskontroll- und Genehmigungsprotokolle.
CISOS	Eigenverantwortliche PKI-Governance; Änderungen an den Compliance-Richtlinien (CP) können die Genehmigung des CISO oder der PMA erfordern; Lücken zwischen CP und CPS bergen ein direktes regulatorisches Risiko.	Genehmigung von CP-Änderungen; Finanzierung der jährlichen CP/CPS-Überprüfung und -Entwicklung für neue PKI-Implementierungen; Einbeziehung der CP/CPS-Compliance in die Risikoberichterstattung auf Vorstandsebene.

Wichtige Aspekte einer Zertifizierungsrichtlinie

Eine Zertifikatsrichtlinie legt die Arten von Zertifikaten und deren Verwendung (Authentifizierung, digitale Signatur, Verschlüsselung) sowie den für die Zertifikatsausstellung erforderlichen Grad an Identitätsprüfung oder Sicherheit fest, oft auch als Assurance-Level bezeichnet . Viele Zertifikatsrichtlinien definieren mehrere Assurance-Level oder Zertifikatsklassen.

Beispiel: Die PKI-Zertifikatsrichtlinie der kanadischen Regierung definiert vier Sicherheitsstufen (Rudimentär, Basis, Mittel, Hoch) für jede der beiden Hauptanwendungen (digitale Signatur und Vertraulichkeit), was zu acht verschiedenen Policy-OIDs innerhalb eines einzigen CP-Dokuments führt.

Jede Stufe stellt zunehmend strengere Anforderungen und entspricht einer eindeutigen Richtlinienobjektkennung (OID), die in den Zertifikaten enthalten ist. Durch die Einbindung der Richtlinien-OID in die Zertifikatsrichtlinienerweiterung wird das Zertifikat an die Regeln des Zertifizierungspräferenzsystems (CP) gebunden. Dies ermöglicht es Software oder Prüfern, die Richtlinie zu identifizieren, der das Zertifikat nach eigenen Angaben entspricht.

Ein CP (Certificate Policy) dient auch der Erleichterung von Vertrauensentscheidungen und -vergleichen . Verschiedene Organisationen oder Zertifizierungsstellen (CAs) können ihre Zertifikate standardisierten CP-OIDs zuordnen, um anzuzeigen, dass sie bestimmte gemeinsame Kriterien erfüllen. Das Dokument „Baseline Requirements“ des CA/Browser Forums dient als De-facto-Zertifikatsrichtlinie für öffentlich vertrauenswürdige TLS-Serverzertifikate und definiert die Mindestanforderungen, die alle diese Zertifikate und CAs erfüllen müssen. Jede öffentlich vertrauenswürdige CA muss eine CP/CPS (Certificate Policy Statement) veröffentlichen, die die Baseline Requirements als Richtlinie für die TLS-Zertifikatsausstellung enthält.

CP- und CPS-Glossar: Wichtige Begriffe, ihre Bedeutung und Überlegungen zur Umsetzung

Anhand dieser Referenztabelle können Sie die wichtigsten CP- und CPS-Konzepte verstehen, feststellen, wann welches Konzept in Ihrer Umgebung Anwendung findet, und den richtigen Implementierungsansatz ermitteln.

Konzept	Definition	Wenn es darauf ankommt	Überlegungen zur Implementierung
Zertifikatsrichtlinie (CP)	Ein übergeordnetes Dokument, das den Zweck eines Zertifikats, das von ihm gebotene Sicherheitsniveau und die vor der Ausstellung zu erfüllenden Anforderungen definiert.	Jede PKI-Implementierung; erforderlich gemäß WebTrust, CA/Browser Forum, HIPAA, PCI DSS, DORA und ISO 27001	Struktur gemäß RFC 3647; Definition von Richtlinien-OIDs für jeden Zertifikatstyp und jede Sicherheitsstufe; öffentlich zugänglich machen
Erklärung zur Zertifizierungspraxis (CPS)	Operatives Dokument, das beschreibt, wie eine Zertifizierungsstelle die CP-Anforderungen umsetzt: Identitätsprüfung, Schlüsselzeremonien, Zertifikatsausstellung, -widerruf und Auditkontrollen.	Jede CA-Implementierung; Prüfer fordern dies zuerst an; erforderlich gemäß Abschnitt 2.2 der CA/Browser Forum Baseline Requirements.	Struktur gemäß RFC 3647; darf nicht im Widerspruch zum CP stehen; kann restriktiver sein; mindestens jährlich aktualisieren.
Policy OID	Ein in ausgestellte Zertifikate eingebetteter Objektbezeichner verknüpft das Zertifikat mit einem bestimmten CP-Sicherheitsniveau und ermöglicht so automatisierte Vertrauensentscheidungen.	Bei der Ausstellung von Zertifikaten mit einem bestimmten Sicherheitsniveau (z. B. EV, IV, DV); erforderlich für EV-Zertifikate gemäß den CABF-EV-Richtlinien	OIDs im CP definieren; sicherstellen, dass die CLM-Plattform die korrekte OID in die ausgestellten Zertifikate einbettet; OID-zu-Richtlinien-Zuordnung dokumentieren.
Vertrauensstufe	Eine Klassifizierung innerhalb des CP, die den Grad der erforderlichen Identitätsprüfung vor der Ausstellung eines Zertifikats definiert (z. B. rudimentär, grundlegend, mittel, hoch).	Bei der Ausstellung von Zertifikaten für verschiedene Anwendungsfälle, die unterschiedliche Vertrauensstufen in Bezug auf die Identität erfordern (Gerät vs. Mensch vs. Organisation)	Die Sicherheitsstufen werden den Verfahren zur Identitätsprüfung im CPS zugeordnet; die Stufen werden an die regulatorischen Anforderungen (CMMC, FedRAMP, eIDAS) angepasst.
RFC 3647-Rahmenwerk	Der IETF-Standard (2003) bietet eine standardisierte Gliederung mit neun Abschnitten für CP- und CPS-Dokumente und ermöglicht so eine einheitliche Struktur über verschiedene Zertifizierungsstellen hinweg.	Alle CP- und CPS-Autorenschaften; vorgeschrieben durch Abschnitt 2.2 der CA/Browser Forum Baseline Requirements; empfohlen von WebTrust	Verwenden Sie die Abschnittsnummerierung gemäß RFC 3647; tragen Sie für nicht zutreffende Abschnitte „Keine Bestimmung“ ein, anstatt das Feld leer zu lassen.
Keine Auflage	Die in einem CP oder CPS verwendete Formulierung, um einen Abschnitt ausdrücklich als nicht zutreffend zu kennzeichnen und damit zu bestätigen, dass die Auslassung gemäß den Richtlinien von CA/Browser Forum beabsichtigt ist.	Wenn eine Zertifizierungsstelle eine bestimmte Funktion nicht ausführt (z. B. die Aussetzung von Zertifikaten nicht zulässt)	Abschnitte des RFC 3647 dürfen niemals leer bleiben; verwenden Sie „Keine Bestimmung“, um die beabsichtigte Nichtanwendbarkeit zu bestätigen.
Policy Management Authority (PMA)	Das für die Genehmigung von Änderungen am CP zuständige Gremium kann intern (CISO plus PKI-Administrator) oder extern (CA/Browser Forum für Basisanforderungen) sein.	Jegliche Änderung des CP; Anträge auf Kreuzzertifizierung, die eine Feststellung der Richtlinienäquivalenz erfordern.	Definieren Sie die PMA im CP; dokumentieren Sie den Genehmigungsprozess und die Quorumsanforderungen für CP-Änderungen.
Registrierungsstelle (RA)	Eine von einer Zertifizierungsstelle autorisierte Stelle, die im Namen der Zertifizierungsstelle Identitätsprüfungen durchführt, aber selbst keine Zertifikate ausstellt.	Bei der Auslagerung der Identitätsprüfung an Dritte; üblich in unternehmensweiten PKI-Systemen (z. B. Personalabteilung als RA für Mitarbeiterzertifikate).	Die Verantwortlichkeiten und Einschränkungen der RA im CPS sind zu dokumentieren; die RA muss die relevanten CP/CPS-Bestimmungen gemäß den WebTrust-Anforderungen einhalten.

Praxisleitfaden für die Zertifizierung (CPS): Umsetzung der Richtlinie

Wenn der Zertifizierungspunkt (CP) das Was und Warum beschreibt, so beschreibt das Zertifizierungsstellenprotokoll (CPS) das Wie. Das CPS ist ein detailliertes, technisches Dokument, das die Praktiken und Verfahren einer Zertifizierungsstelle (CA) zur Umsetzung der Anforderungen eines oder mehrerer Zertifizierungspunkte beschreibt. Dies umfasst die Identifizierung und Authentifizierung von Antragstellern, die Generierung und den Schutz von Schlüsseln, die Ausstellung und Zustellung von Zertifikaten, die Veröffentlichung von Widerrufsinformationen sowie weitere betriebliche Details.

Ein CPS (Certified Practices Statement) wird typischerweise aus der Perspektive des Betriebs der Zertifizierungsstelle (CA) erstellt und von Auditoren, internen Sicherheitsteams und Richtlinienverantwortlichen genutzt, um zu überprüfen, ob die tatsächlichen Praktiken der CA mit den Richtlinien übereinstimmen. Im Gegensatz zu CPs (Certified Practices), die oft von einer Richtlinienverantwortlichen oder einem Branchenverband festgelegt werden, wird ein CPS in der Regel von der CA selbst verfasst. Die meisten Public-Trust-CAs veröffentlichen ihr CPS aus Transparenzgründen; in einigen privaten oder internen PKIs (Public-Key-Infrastrukturen) wird ein CPS intern gehalten und nur mit vertrauenden Parteien, Auditoren oder Partnern geteilt.

Typischer Inhalt eines CPS

• Organisatorische Verantwortlichkeiten: Rollen wie CA, Registrierungsbehörde und Abonnent
• Verfahren zur Identitätsprüfung: Wie die Zertifizierungsstelle (CA) oder die Regulierungsbehörde (RA) die Identität von Zertifikatsbewerbern überprüft
• Zertifikatslebenszyklusmanagement: Ausstellungs-, Verlängerungs-, Neucodierungs-, Änderungs-, Sperrungs- und Widerrufsverfahren
• Anlagen- und Personalkontrollen: physische Sicherheit, Personensicherheit, Hintergrundüberprüfungen, Funktionstrennung
• Technische Sicherheitskontrollen: Standards für kryptografische Module HSMsSchlüsselerzeugungszeremonien, Schlüsselschutz, Datensicherung und Wiederherstellung
• Zertifikats- und CRL/OCSP-Profile: Technische Details zum Zertifikatsformat und zur Widerrufsinfrastruktur
• Compliance- und Audit-Anforderungen: Wie die Zertifizierungsstelle die Einhaltung des CP nachweist

Die wichtigste Regel: CPS darf nicht im Widerspruch zu CP stehen.

Die CPS kann spezifischer oder restriktiver als die CP sein, darf aber keine in der CP festgelegten Anforderungen lockern. Wenn die CP beispielsweise eine persönliche Identitätsprüfung mit einem amtlichen Ausweis verlangt, darf die CPS keine Verifizierung per E-Mail allein zulassen. Eine CPS kann zusätzliche Verfahren über die CP hinaus einführen, solange diese die Anforderungen der CP nicht untergraben. Diese Konsistenz macht die CP zur maßgeblichen Quelle für die Vertrauensansprüche der PKI.

CP vs. CPS: Unterschiede und Beziehung

Der CP ist die Strategie; der CPS die Taktik. Der CP konzentriert sich darauf, welche Ziele oder Zusicherungen erreicht werden müssen (und für wen), während der CPS sich darauf konzentriert, wie diese in der Praxis erreicht werden können.

Aspekt	Zertifikatsrichtlinie (CP)	Erklärung zur Zertifizierungspraxis (CPS)
Zweck	Definiert den Verwendungszweck des Zertifikats und die geltenden Sicherheitsgarantien oder -anforderungen. Allgemeine Regeln oder Kriterien für die Zertifikatsnutzung.	Beschreibt, wie die Zertifizierungsstelle die Richtlinienvorgaben erfüllt. Detaillierte Beschreibung der Verfahren zur Ausstellung und Verwaltung von Zertifikaten.
Fokus und Zielgruppe	Konzentriert sich auf die Bedürfnisse der Vertrauenspartner und der Vertrauensgemeinschaft. Wird häufig von einer politischen Behörde oder einem Branchenverband festgelegt.	Konzentriert sich auf die internen Abläufe und Kontrollen der Wirtschaftsprüfer. Wird von Wirtschaftsprüfern und internen Projektmanagementbeauftragten verwendet. Verfasst von der Wirtschaftsprüferorganisation selbst.
Inhalt	Anforderungen auf hoher Ebene, Geltungsbereich und Anwendbarkeit: Verwendungszwecke des Zertifikats, Definitionen des Sicherheitsniveaus, allgemeine Anforderungen. Jede Richtlinie wird durch eine OID in ausgestellten Zertifikaten identifiziert.	Detaillierte Verfahren und technische Kontrollen: Schritte zur Identitätsprüfung, kryptografische Verfahren (HSM-Details, Schlüssellängen), physische Sicherheit, Personensicherheit, Reaktion auf Sicherheitsvorfälle.
Vielzahl	Ein CP kann mehrere CAs oder eine ganze PKI verwalten; ein Dokument kann mehrere zusammengehörige Richtlinien (mehrere Sicherheitsstufen oder Zertifikatstypen) enthalten.	Üblicherweise gibt es ein CPS pro CA oder CA-Familie. Ein einzelnes CPS kann mehrere CPs abdecken. Organisationen führen CP und CPS manchmal in einem einzigen Dokument zusammen.
Führung und Veränderungen	Änderungen an den Richtlinien (CP) können die Genehmigung durch eine Richtlinienmanagementbehörde (PMA) oder eine externe Stelle erfordern. Sie werden häufig auf einer höheren Ebene versioniert und kontrolliert.	Änderungen an den CPS werden üblicherweise von der CA unter Aufsicht der PMA vorgenommen. Öffentliche CAs müssen die CP/CPS mindestens jährlich überprüfen und aktualisieren. Wesentliche Änderungen können den Prüfern oder den übergeordneten Programmen gemeldet werden.

Standards und Rahmenbedingungen für CP und CPS

RFC 3647: Das Rahmenwerk für CP und CPS

Um die Erstellung von CPs und CPSs zu vereinheitlichen, veröffentlichte die IETF im Jahr 2003 RFC 3647: „Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework“. RFC 3647 bietet einen standardisierten Überblick über die Themen, die ein CP- oder CPS-Dokument abdecken sollte, und erleichtert es Richtlinienerstellern, Lesern, Prüfern und Zertifizierungsstellen, Informationen in verschiedenen CP/CPS-Dokumenten zu finden und zu vergleichen.

Der Rahmen von RFC 3647 ist in neun Hauptabschnitte unterteilt:

1. Einleitung (Geltungsbereich, Dokumentenidentifizierung)
2. Veröffentlichungs- und Repositoriumspflichten
3. Identifizierung und Authentifizierung (wie Identitäten überprüft werden)
4. Betriebliche Anforderungen im Lebenszyklus von Zertifikaten (Antragstellung, Ausstellung, Annahme, Widerruf, Verlängerung)
5. Anlagen-, Management- und Betriebskontrollen (physische Sicherheit, Personensicherheit, Protokollierung von Audits)
6. Technische Sicherheitskontrollen (Schlüsselverwaltung, kryptografische Kontrollen, Lebenszyklus-Sicherheitskontrollen)
7. Zertifikat-, CRL- und OCSP-Profile (technische Details zum Zertifikatsformat)
8. Compliance Prüfungen und sonstige Bewertungen
9. Sonstige geschäftliche und rechtliche Angelegenheiten (Haftungsausschlüsse, finanzielle Verantwortung, Datenschutz, Vertraulichkeit)

Durch die Einhaltung dieser einheitlichen Struktur decken die Zertifizierungsrichtlinien (CP) und die Zertifizierungspraxisrichtlinien (CPS) derselben Zertifizierungsstelle (CA) dieselben Informationskategorien ab. Dadurch wird deutlich, wie die Praktiken der CA (CPS) die einzelnen Richtlinienanforderungen erfüllen. Das CA/Browser Forum aktualisierte 2015 seine Basisanforderungen und verlangt seitdem, dass Zertifizierungsstellen ihre CP/CPS gemäß RFC 3647 strukturieren. Abschnitt 2.2 der Basisanforderungen legt ausdrücklich fest: Die Zertifizierungsrichtlinie und/oder die Zertifizierungspraxisrichtlinie MÜSSEN gemäß RFC 3647 strukturiert sein und alle in RFC 3647 geforderten Inhalte enthalten.

Wenn ein bestimmter Abschnitt nicht anwendbar ist, sollte in den Dokumenten ausdrücklich „Keine Bestimmung“ vermerkt werden , anstatt das Feld leer zu lassen. Dies bestätigt den Lesern, dass die Auslassung beabsichtigt ist. Wenn beispielsweise eine Zertifizierungsstelle (CA) die Aussetzung von Zertifikaten nicht zulässt, würde im Abschnitt „Aussetzung“ des CPS Folgendes stehen: „Nicht anwendbar; die CA setzt keine Zertifikate aus.“

RFC 6484: Zertifikatsrichtlinie für RPKI

RFC 6484 ist eine spezifische Zertifikatsrichtlinie: „Zertifikatsrichtlinie (CP) für die Ressourcen-Public-Key-Infrastruktur (RPKI)“. Die RPKI ist eine spezialisierte PKI, die das Internet-Routing durch die Ausstellung von Zertifikaten für IP-Adressblöcke und Autonome-System-Nummern (AS-Nummern) sichert. RFC 6484 dient als gemeinsame, vereinbarte CP für alle RPKI-Teilnehmer, einschließlich der Regionalen Internet-Registrierungsstellen (RIRs). Sie wurde anhand der Vorlage von RFC 3647 strukturiert und regelt die Identifikationsanforderungen für IP-Adresszertifikate, die betrieblichen Anforderungen und die Widerrufsfristen speziell für den RPKI-Kontext.

RFC 7382: CPS-Vorlage für RPKI

Zur Ergänzung des CP der RPKI in RFC 6484 veröffentlichte die IETF 2015 RFC 7382: „Template for a Certification Practice Statement (CPS) for the RPKI“. Dies ist ein Standard-CPS, der auf die RPKI-Umgebung zugeschnitten ist und die Struktur von RFC 3647 verwendet. Er enthält spezifische Hinweise zum RPKI-Betrieb, wie z. B. Schlüsselwechsel, Verfügbarkeit von Repository-Daten und die betrieblichen Anforderungen einer RPKI-CA wie eines RIR.

WebTrust-Prinzipien und CA/Browser-Forum-Richtlinien

WebTrust für Zertifizierungsstellen empfiehlt und verlangt nachdrücklich, dass öffentliche Zertifizierungsstellen über ein dem Standardrahmen entsprechendes Zertifizierungsrichtlinien- und Zertifikatslebenszyklusprotokoll (CP/CPS) verfügen. Die Prüfer von WebTrust verifizieren, dass die Zertifizierungsstelle ihre Verfahren für den Schlüssel- und Zertifikatslebenszyklus in einem CP/CPS-Dokument offenlegt und diese auch tatsächlich einhält. Externe Registrierungsstellen, die von einer Zertifizierungsstelle eingesetzt werden, müssen die entsprechenden Bestimmungen des CP/CPS der Zertifizierungsstelle einhalten. Somit ist das CP/CPS die maßgebliche Quelle für die zulässigen Handlungen einer Registrierungsstelle.

Die Baseline Requirements des CA/Browser Forum (CABF) dienen als übergeordnetes Compliance-Standard (CP), den alle öffentlich vertrauenswürdigen Zertifizierungsstellen (CAs) implementieren müssen. Zu den wichtigsten Anforderungen gehören: Der CP/CPS muss rund um die Uhr in englischer Sprache und im Textformat öffentlich zugänglich sein; er muss klar angeben, für welche Zertifikate (Root- und Sub-CAs) er gilt; er muss dem Format von RFC 3647 entsprechen, wobei jeder Unterabschnitt ausgefüllt sein muss (auch wenn nur „Keine Angabe“ steht); Aussteller von EV-Zertifikaten müssen eine spezifische Policy-OID in EV-Zertifikaten angeben und die Einhaltung der EV-Richtlinien in ihrem CP/CPS bestätigen; und CAs müssen ihren CP/CPS mindestens jährlich überprüfen und aktualisieren und dabei Versionsnummer und Datum erhöhen, auch wenn keine betrieblichen Änderungen vorgenommen werden.

Die Kombination aus RFC 3647 und diesen Branchenanforderungen hat zu einer weitgehend einheitlichen Struktur und Wartung von CP/CPS-Systemen in der gesamten Branche geführt. Eine vertrauende Partei oder ein Auditor kann jedes CP/CPS-System durchsuchen und feststellen, wo es die Identitätsprüfung (Abschnitt 3 von RFC 3647) oder das Schlüsselmanagement (Abschnitt 6) behandelt, und es mit den Dokumenten anderer Zertifizierungsstellen oder erwarteten Standards vergleichen.

CP/CPS und Zertifikatslebenszyklusmanagement

Der Zertifizierungspunkt (CP) definiert die Regeln, die eine Plattform für das Zertifikatslebenszyklusmanagement (CLM) durchsetzen muss. Zugelassene Zertifizierungsstellen (CAs), zulässige Gültigkeitsdauern von Zertifikaten, erforderliche Algorithmen und Anforderungen an die Identitätsprüfung, die im CP dokumentiert sind, müssen in den Richtlinien der CLM-Plattform abgebildet sein. Die Richtlinien für die Zertifikatssicherheit (CPS) dokumentieren, wie die CA diese Regeln operativ umsetzt.

Da die Abstimmung des CA/Browser Forums (SC-081v3, April 2025) die maximale Gültigkeitsdauer öffentlicher TLS-Zertifikate bis März 2029 auf 47 Tage reduziert, müssen die CP/CPS-Dokumente entsprechend aktualisiert werden. Zudem muss die CLM-Automatisierung implementiert werden, um den sich daraus ergebenden Erneuerungszyklus zu verwalten. Eine manuelle Zertifikatsverwaltung ist bei nennenswertem Zertifikatsvolumen für einen 47-tägigen Erneuerungszyklus nicht geeignet.

Für Organisationen, die ihre PKI aufbauen oder modernisieren, bieten PKI-as-a-Service- Anbieter typischerweise ein CPS an, das die verwaltete CA-Infrastruktur abdeckt. Organisationen können dieses CPS in ihrer eigenen CP/CPS-Dokumentation referenzieren. Für Organisationen, die ihren kryptografischen Bestand vor der CP-Erstellung inventarisieren müssen, automatisiert CBOM Secure die kryptografische Erkennung in hybriden und Multi-Cloud-Umgebungen und generiert eine kryptografische Stückliste, die als Grundlage für die CP-Gültigkeitsdefinition dient. Für die Planung der Post-Quantum-Readiness bietet das PQC Center of Excellence Leitlinien gemäß NIST FIPS 203, 204 und 205, die als Grundlage für Entscheidungen zu CP-Algorithmen dienen sollten.

Wie Verschlüsselungsberatung helfen kann

Encryption Consulting LLC bietet spezialisierte Expertise in der Entwicklung von Zertifikatsrichtlinien (CP) und Zertifizierungspraxisanweisungen (CPS), um die Konformität, Sicherheit und Branchenstandardkonformität der PKI ihrer Kunden zu gewährleisten. Die Berater nutzen RFC 3647 als Vorlage für die CP/CPS-Dokumentation und stellen sicher, dass alle erforderlichen Abschnitte und Kontrollen gemäß den CA/Browser Forum Baseline Requirements und den WebTrust-Kriterien abgedeckt sind, angepasst an die individuelle Umgebung und die spezifischen Compliance-Anforderungen des jeweiligen Unternehmens.

Gap-Analyse und PKI-Konformitätsbewertungen

Encryption Consulting unterstützt Kunden durch umfassende PKI-Bewertungen und Gap-Analysen, um die Einhaltung der Vorschriften sicherzustellen. Die PKI-Bewertungsleistungen beinhalten eine detaillierte Gap-Analyse, die kryptografische Praktiken, Betriebsabläufe und bestehende Richtlinien mit den Best Practices der Branche und den erforderlichen Standards vergleicht und Schwachstellen oder nicht konforme Bereiche aufdeckt, die die PKI gefährden könnten.

Im Rahmen dieser Bewertungen führt Encryption Consulting eine gezielte Richtlinienprüfung durch, bei der bestehende CP- und CPS-Dokumente auf Übereinstimmung mit den NIST-Richtlinien, ISO 27001 und anderen regulatorischen Rahmenwerken geprüft werden. Abweichungen werden zur Behebung markiert. Durch die Identifizierung von Schwachstellen in Governance, Zertifizierungspraktiken oder technischen Kontrollen bereitet Encryption Consulting Organisationen darauf vor, Audits (intern, extern oder WebTrust für öffentliche Zertifizierungsstellen) souverän zu bestehen. Berichte und Empfehlungen dienen als Leitfaden für kontinuierliche Compliance und nicht nur als Grundlage für ein einmaliges Bestehen eines Audits.

Fazit

Zertifizierungsstellen (CPs) und Zertifizierungsstellensysteme (CPSs) verkörpern das Prinzip des Vertrauens, aber mit Überprüfung. Sie sind die Dokumente, die es uns ermöglichen zu überprüfen, warum wir einem digitalen Zertifikat vertrauen sollten und wie dieses Vertrauen verwaltet wird. Die Zertifizierungsstelle legt die Regeln fest; das CPS beweist, dass die Zertifizierungsstelle diese einhält. Zusammen bilden sie den Governance-Rahmen, den Regulierungsbehörden, Prüfer und vertrauende Parteien zur Bewertung der PKI-Vertrauenswürdigkeit nutzen.

In einer Welt, die zunehmend von PKI abhängig ist – von HTTPS und Codesignierung bis hin zu Smart Grids und der Identifizierung von IoT-Geräten –, spielen diese Richtlinien und Verfahrensanweisungen weiterhin eine entscheidende Rolle für die Cybersicherheit. Angesichts kürzerer Zertifikatsgültigkeitsdauern, dem Aufkommen von Post-Quanten-Algorithmen und steigenden regulatorischen Anforderungen ist die Aktualisierung von CP- und CPS-Dokumenten nicht nur eine Pflichterfüllung, sondern eine operative Notwendigkeit.

Häufig gestellte Fragen

Was ist die wichtigste Erkenntnis aus dem Verständnis von CP und CPS in PKI?

Die Zertifizierungsrichtlinie (CP) und die Zertifizierungspraxisrichtlinie (CPS) bilden die Governance-Grundlage jeder PKI. Die CP definiert den Zweck eines Zertifikats und das von ihm gebotene Sicherheitsniveau. Die CPS beschreibt, wie die Zertifizierungsstelle diese Zusicherungen operativ umsetzt. Zusammen dienen sie Prüfern, Aufsichtsbehörden und vertrauenden Parteien als Grundlage für die Beurteilung der Vertrauenswürdigkeit einer PKI.

Warum sind CP und CPS für PKI-Teams in Unternehmen wichtig?

Enterprise-PKI-Teams müssen über dokumentierte Zertifizierungsrichtlinien (CP) und Zertifizierungspraktiken (CPS) verfügen, um Audits gemäß HIPAA, PCI DSS, DORA, ISO 27001, WebTrust und den Baseline Requirements des CA/Browser Forums zu bestehen. Ohne diese Dokumente fehlt ein Governance-Rahmen, der belegt, dass die Zertifikatsausstellung, der Zertifikatswiderruf und das Schlüsselmanagement den regulatorischen Anforderungen entsprechen. Das CA/Browser Forum verpflichtet öffentlich vertrauenswürdige Zertifizierungsstellen, ihre CP/CPS mindestens jährlich zu überprüfen und zu aktualisieren.

Welche Risiken erhöhen sich ohne dokumentierte Kinderschutz- und Kindeswohlgefährdungsakte?

Ohne dokumentierte CP und CPS sehen sich Organisationen sofortigen Auditfeststellungen gemäß HIPAA, PCI DSS, DORA und ISO 27001 ausgesetzt; der Unfähigkeit, das Sicherheitsniveau der ausgestellten Zertifikate nachzuweisen; inkonsistenten CA-Abläufen, die Lücken zwischen der Absicht der Richtlinien und der tatsächlichen Praxis schaffen; dem Risiko der Fehlausstellung, weil den Mitarbeitern dokumentierte Ausstellungsregeln fehlen; und der Unfähigkeit, sich mit anderen PKIs, die eine dokumentierte Richtlinienäquivalenz erfordern, kreuzzertifizieren zu lassen.

Welchen Teams sollten die CP und CPS gehören?

PKI-Administratoren sind für die im CPS dokumentierten Betriebsabläufe verantwortlich. Sicherheitsarchitekten verantworten die im CP dokumentierten Richtlinienentscheidungen. Compliance-Teams stellen sicher, dass CP und CPS den regulatorischen Anforderungen entsprechen und bei Änderungen der Standards aktualisiert werden. CISOs tragen die Gesamtverantwortung für die Governance und genehmigen alle wesentlichen Änderungen am CP.

Wie hängen CP und CPS mit dem Zertifikatslebenszyklusmanagement zusammen?

Der Zertifizierungsrichtlinienkatalog (CP) definiert die Regeln, die eine CLM-Plattform durchsetzen muss: welche Zertifizierungsstellen zugelassen sind, welche Gültigkeitsdauern von Zertifikaten zulässig sind, welche Algorithmen erforderlich sind und welche Identitätsprüfung vor der Ausstellung notwendig ist. Eine CLM-Plattform wie CertSecure Manager automatisiert die Durchsetzung der CP-Regeln für jedes Zertifikat und verhindert so, dass Richtlinienverstöße zu Beanstandungen bei Audits oder Serviceausfällen führen.

Wie sollten Organisationen den Erfolg von CP- und CPS-Governance messen?

Zu den wichtigsten Kennzahlen gehören: CP- und CPS-Dokumente werden mindestens jährlich überprüft und versionskontrolliert; alle Zertifikatsausstellungs-Workflows sind im CPS dokumentiert und mit dem CP konsistent; es gibt keine Feststellungen im Zusammenhang mit nicht dokumentierten PKI-Praktiken; bei internen Audits wurden keine Lücken zwischen CP/CPS und der Praxis festgestellt; und es gibt eine vollständige Zuordnung zwischen den CP-Richtlinienanforderungen und den Durchsetzungsregeln der CLM-Plattform.

Was sollte in einem CP/CPS-Programm regelmäßig geprüft oder überwacht werden?

Jährliche Prüfung: CP- und CPS-Dokumente auf Übereinstimmung mit den aktuellen CA/Browser Forum Baseline Requirements, den NIST-Richtlinien und den geltenden regulatorischen Rahmenbedingungen; Versionskontrolle und Genehmigungsprotokolle; sowie Übereinstimmung von Richtlinien und Praxis, um sicherzustellen, dass die CA-Abläufe den CPS-Beschreibungen entsprechen. Vierteljährliche Überprüfung: Neue regulatorische oder CABF-Richtlinienänderungen, die Aktualisierungen von CP/CPS erfordern, sowie betriebliche Änderungen, die eine Überarbeitung der CPS notwendig machen.

Wie wirken sich CP und CPS auf Cloud-, Hybrid- oder Multi-CA-PKI-Umgebungen aus?

In hybriden Umgebungen und Umgebungen mit mehreren Zertifizierungsstellen (CAs) sollte jede CA in der Hierarchie über ein eigenes Cybersicherheitsprofil (CPS) verfügen, das ihre spezifischen Betriebspraktiken beschreibt. Alle diese Praktiken unterliegen einem gemeinsamen Kontrollpunkt (CP). Ohne diese Struktur können verschiedene CAs unter widersprüchlichen Regeln arbeiten, was zu Governance-Lücken führt. PKI-as-a-Service -Anbieter stellen typischerweise ein CPS für ihre verwaltete CA-Infrastruktur bereit, auf das Organisationen in ihrer eigenen CP/CPS-Dokumentation verweisen können.

Welche häufigen Fehler sollten Teams beim Verfassen eines CP oder CPS vermeiden?

Die häufigsten Fehler sind: die Nichtstrukturierung des CP und CPS gemäß RFC 3647; das Leerlassen von Abschnitten anstelle des Eintrags „Keine Bestimmung“ für nicht anwendbare Bereiche; die Zulassung eines Widerspruchs zwischen CPS und CP; die Nichtaktualisierung des CP/CPS jährlich, selbst wenn keine betrieblichen Änderungen eintreten; und die Nichtzuordnung von CP-Richtlinien-OIDs zu tatsächlichen Zertifikatsausstellungen, sodass Versicherungsansprüche in ausgestellten Zertifikaten nicht überprüft werden können.

Was sollte in einem CP/CPS-Governance-Programm vierteljährlich oder jährlich aktualisiert werden?

Vierteljährliche Überprüfung: Aktualisierungen der CA/Browser-Forum-Richtlinien (Baseline Requirements, EV Guidelines, S/MIME BR) hinsichtlich Änderungen, die CP/CPS-Aktualisierungen erfordern; NIST-Algorithmenleitfaden (SP 800-131A, SP 800-57) hinsichtlich Änderungen kryptografischer Standards; und alle betrieblichen Änderungen in der CA-Umgebung. Jährliche Überprüfung: vollständige CP- und CPS-Dokumente auf Übereinstimmung mit aktuellen Verfahren; Zuordnung zwischen CP-Sicherheitsstufen und CLM-Richtliniendurchsetzung; und Cross-Zertifizierungsvereinbarungen, die auf den CP verweisen. Nutzen Sie das PQC Center of Excellence für Anleitungen zu Aktualisierungen der NIST FIPS 203-, 204- und 205-Algorithmenrichtlinien.