IoTs Weg zur Sicherheit: Wie PKI Milliarden vernetzter Geräte schützt

Ein intelligenter Thermostat, eine Insulinpumpe und ein Sensor in einer Fabrikhalle haben außer einer Sache nichts gemeinsam: Sie alle können kein Passwort eingeben. Bis Ende 2025 werden weltweit mehr als 21.1 Milliarden dieser stillen, passwortlosen Geräte online sein – eine Zahl, die jährlich um 14 % wächst und bis 2030 voraussichtlich 39 Milliarden erreichen wird . Jedes dieser Geräte benötigt dennoch eine Möglichkeit, seine Identität nachzuweisen, die gesendeten Daten zu verschlüsseln und die Unversehrtheit der Daten während der Übertragung zu gewährleisten. Die Public-Key-Infrastruktur (PKI) ist nach wie vor das einzige Sicherheitsmodell, das alle drei Anforderungen in diesem Umfang erfüllen kann. Im Jahr 2026 wird sie durch immer kürzere Zertifikatsgültigkeitsdauern, neue IoT-Regulierungen und den Beginn des Übergangs nach der Quantencomputertechnologie stärker denn je gefordert.

Kurzantwort: Wie sichert PKI IoT-Geräte?

Die Public-Key-Infrastruktur (PKI) sichert IoT-Geräte, indem sie in jedes Gerät ein eindeutiges digitales Zertifikat und ein Schlüsselpaar einbettet und Passwörter durch einen kryptografischen Identitätsnachweis ersetzt. Dadurch können sich Geräte gegenüber Netzwerken und untereinander authentifizieren, Daten während der Übertragung verschlüsseln und die Datenintegrität nachweisen, ohne dass ein Mensch Anmeldeinformationen eingeben muss. Dies ist unerlässlich, da die meisten IoT-Geräte keine Schnittstelle zur Passworteingabe besitzen.

Executive Summary

IoT-Geräte können sich nicht mit Passwörtern authentifizieren. Daher bleibt das zertifikatsbasierte PKI-Modell – Authentifizierung, Verschlüsselung und Datenintegrität – der Standard für deren Absicherung im großen Maßstab. Drei Faktoren verändern die IoT-PKI im Jahr 2026: Die Gültigkeitsdauer öffentlich vertrauenswürdiger Zertifikate sinkt bis März 2029 auf 47 Tage, die Meldefrist für Sicherheitslücken gemäß dem EU-Gesetz zur Cyberresilienz endet am 11. September 2026, und die finalisierten Post-Quanten-Standards des NIST werden zur neuen Grundlage für ressourcenbeschränkte Geräte. Die manuelle Zertifikatsausstellung bleibt von diesen drei Änderungen nicht mehr betroffen; Automatisierung, kryptografische Flexibilität und ein dokumentiertes Zertifikatslebenszyklusprogramm sind nun betriebliche Anforderungen und keine optionalen Erweiterungen mehr.

Wer sollte sich für IoT PKI interessieren?

Die Absicherung von IoT-Geräten mit PKI berührt Identität, Sicherheitsarchitektur, Plattformbetrieb und Compliance. Im Folgenden wird erläutert, welche Aufgaben die einzelnen Rollen haben.

PKI-Administratoren

Skalieren Sie die Kapazitäten für die Ausstellung und Erneuerung von Zertifikaten, um dem Wachstum der Geräteflotte gerecht zu werden, und automatisieren Sie die Zertifikatserkennung, damit kein bereitgestelltes Gerät unerkannt bleibt, wenn sich die Gültigkeitsdauer verkürzt.

Sicherheitsarchitekten

Entwerfen Sie die IoT-orientierte Zertifizierungsstellenarchitektur – ob lokal, in der Cloud oder hybrid – und integrieren Sie Krypto-Agilität bereits jetzt, damit ein zukünftiger Wechsel des Post-Quanten-Algorithmus keinen Hardware-Austausch vor Ort erfordert.

Plattformteams

Tools zur Bereitstellung und Registrierung eigener Geräte (EST, SCEP), sodass die Ausstellung und Erneuerung von Zertifikaten automatisch bei der Herstellung oder beim ersten Start erfolgt und nicht über manuelle Tickets.

Compliance-Teams

Die Nachweise für die Ausstellung, den Widerruf und die Rotation von Zertifikaten sollen den Anforderungen des EU Cyber ​​Resilience Act und des NIST SP 800-213 zugeordnet werden, damit aus einem Audit ein Berichtsexport statt eines Datenchaos wird.

CISOS

Behandeln Sie die Identität von IoT-Geräten als messbares Infrastrukturrisiko und fördern Sie den Übergang von der manuellen, ticketbasierten Zertifikatsausstellung zu einem vollautomatisierten Zertifikatslebenszyklusprogramm, bevor sich die Gültigkeitsdauern weiter verkürzen.

Warum das wichtig ist: Daten und Fristen

Laut der DigiCert Trust Pulse-Umfrage (2. Juli 2025) erlebte fast die Hälfte aller Unternehmen im vergangenen Jahr einen Zertifikatsausfall. 18.5 % der betroffenen Organisationen meldeten Verluste von über 250,000 US-Dollar, wobei 37.5 % dieser Vorfälle direkt auf abgelaufene Zertifikate zurückzuführen waren. Eine IoT-Flotte mit Millionen eingebetteter Zertifikate ohne automatische Verlängerung trägt dieses Betriebsrisiko in deutlich größerem Umfang.

Der vom CA/Browser Forum am 11. April 2025 verabschiedete Wahlvorschlag SC-081v3 sieht eine schrittweise Reduzierung der maximalen Gültigkeitsdauer öffentlicher TLS-Zertifikate vor: ab dem 15. März 2026 auf 200 Tage, ab dem 15. März 2027 auf 100 Tage und ab dem 15. März 2029 auf 47 Tage. Dieser Zeitplan gilt direkt für öffentlich vertrauenswürdige Zertifikate und nicht für die privat ausgestellten Zertifikate, die die meisten IoT-Geräteflotten verwenden. Er deutet jedoch an, wohin die Entwicklung privater IoT-PKI-Programme bereits geht: kürzere Zertifikatslebensdauern, um die Nutzungsdauer eines kompromittierten Schlüssels zu begrenzen.

Das NIST finalisierte seine Post-Quanten-Kryptographiestandards FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA) am 13. August 2024. Da IoT-Geräte, die heute bereitgestellt werden, ein Jahrzehnt oder länger im Einsatz bleiben können, muss jedes Gerät, dem jetzt ein Zertifikat ausgestellt wird, möglicherweise einen Post-Quanten-Algorithmus unterstützen, bevor es außer Betrieb genommen wird. Dadurch wird die Krypto-Agilität zu einer Designanforderung und nicht zu einem zukünftigen Roadmap-Punkt.

Aktuelle Sicherheitsrisiken des Internet der Dinge

Sicherheit muss von Anfang an in die Entwicklung von IoT-Geräten integriert werden und darf nicht nachträglich nachgerüstet werden. Jedes IoT-Gerät benötigt eine eigene, verifizierbare Identität, typischerweise ein Zertifikat, das bei der Herstellung oder Bereitstellung eingebettet wird, da beim Hochfahren des Geräts im Feld kein Benutzer ein Passwort eingeben muss.

Das Risiko entsteht, sobald eine Identität fehlt oder unzureichend ist. Fehlt einem digitalen Türschloss eine ordnungsgemäße zertifikatsbasierte Authentifizierung, kann ein Angreifer es imitieren, entsperren oder seinen Datenverkehr abfangen. Im Oktober 2016 machte das Mirai-Botnetz dieses theoretische Risiko zur Realität: Schadsoftware durchsuchte das Internet nach IoT-Geräten, hauptsächlich DVRs und IP-Kameras, die noch mit den werkseitigen Standardbenutzernamen und -passwörtern liefen, und nutzte diese, um einen DDoS-Angriff auf den DNS-Anbieter Dyn zu starten, der so massiv war, dass Twitter, Netflix, Reddit, CNN und der Guardian stundenlang offline waren. Fast ein Jahrzehnt später gilt Mirai immer noch als Paradebeispiel für IoT-Sicherheit, nicht weil der Angriff neuartig war, sondern weil die Ursache – Geräte ohne eindeutige, bereitgestellte Identität – immer noch der Standardzustand für einen Großteil der vernetzten Geräte ist.

Weitere Beispiele für Risiken:

• Ungesicherte Webschnittstellen auf Geräteverwaltungskonsolen
• Schwache oder fehlende Datenschutzmaßnahmen für gesammelte Telemetriedaten
• Unverschlüsselte oder schlecht authentifizierte Netzwerkdienste
• Ungesicherte Verbindungen von mobilen Apps zu Begleitgeräten

Was die Public-Key-Infrastruktur tatsächlich für das IoT bietet

PKI ist ein Sicherheitsökosystem, das internetbasierte Transaktionen seit den Anfängen des Internets mithilfe digitaler Zertifikate absichert . Es ersetzt Passwortrichtlinien und gemeinsam genutzte Token durch einen direkten, kryptografischen Identitätsnachweis zwischen Systemen – genau das Modell, das das IoT benötigt: kein menschlicher Eingriff, keine Anmeldeinformationen, die per Phishing gestohlen werden können, lediglich ein Schlüsselpaar und ein Zertifikat, das ein Gerät selbstständig vorlegen kann.

PKI kombiniert Software, Hardware, Verfahren und Richtlinien, um drei Kerndienste für IoT-Umgebungen bereitzustellen: Authentifizierung, Verschlüsselung und Datenintegrität.

Authentifizierung

• Integriert Zertifikate, die Geräte identifizieren und Vertrauen zwischen Geräten, Diensten und Benutzern herstellen.
• Es werden kurzlebige Zertifikate verwendet, sodass ein kompromittierter Schlüssel für einen Angreifer nur eine kurze Nutzungsdauer hat.
• Gewährleistet eine starke Authentifizierung zwischen Benutzern und Geräten sowie zwischen Geräten innerhalb der gesamten IoT-Flotte.

Verschlüsselung

• Bietet eine starke kryptografische Verschlüsselung, um die Vertraulichkeit der Gerätekommunikation während der Übertragung zu gewährleisten.
• Unterstützt eine breite Palette von IoT-Geräteklassen, von Smart-Grid-Sensoren bis hin zu vernetzten Fahrzeugen.

Datenintegrität

• Bestätigt, dass die Daten während der Übertragung zwischen Gerät und Endpunkt nicht verändert wurden.
• Ermöglicht die digitale Signatur von Dokumenten, Telemetriedaten und anderen Datentypen zur Gewährleistung der Nichtabstreitbarkeit.
• Erhöht das Vertrauen in die vom Gerät gemeldeten Daten und in alle darauf aufbauenden Analysen.

Die neue Einschränkung: Die Gültigkeitsdauer von Zertifikaten schrumpft rapide

Gemäß CA/Browser Forum Ballot SC-081v3, genehmigt am 11. April 2025, ist die maximale Gültigkeitsdauer für öffentlich vertrauenswürdige TLS-Zertifikate auf 47 Tage begrenzt :

• Bis zum 14. März 2026: 398 Tage (aktuelles Maximum)
• 15. März 2026: 200 Tage
• 15. März 2027: 100 Tage
• 15. März 2029: 47 Tage

Dieser Zeitplan gilt technisch gesehen für öffentlich vertrauenswürdige Zertifikate, nicht für die privat ausgestellten Zertifikate, die die meisten IoT-Geräteflotten zur internen Geräteidentität verwenden. Für das IoT ist er jedoch aus zwei Gründen relevant. Erstens erbt jedes Gerät, das über öffentliches TLS mit einem Cloud-Endpunkt kommuniziert, die kürzeren Gültigkeitsdauern dieser Verbindung. Zweitens, und noch wichtiger, zeigt er die zukünftige Entwicklung der Branche auf: Kurzlebige Zertifikate begrenzen die Nutzungsdauer eines kompromittierten Schlüssels – genau die Logik, für die sich IoT-Sicherheitsexperten seit der Mirai-Ära einsetzen. Private PKI-Programme, die Zertifikate für Geräteflotten ausstellen, übernehmen ähnlich kurze Gültigkeitsdauern als Best Practice – nicht etwa, weil es von einer Regulierungsbehörde vorgeschrieben ist, sondern weil die Sicherheit einer Flotte von einer Milliarde Geräten nur so hoch ist wie die langsamste Zertifikatsrotation. Bei diesem Tempo ist die manuelle Ausstellung und Erneuerung keine Prozesslücke, sondern ein drohender Ausfall.

Skalierung und Diversität: Die zwei beständigen Herausforderungen der PKI im Bereich IoT

PKI existierte Jahrzehnte vor dem Internet der Dinge, und das IoT-Zeitalter hat zwei Herausforderungen hervorgebracht, für die traditionelle PKI-Implementierungen nie ausgelegt waren.

Skalierbarkeit

• Traditionelle PKI-Datenbanken und Ausgabeprozesse waren nicht für das Anfragevolumen ausgelegt, das Milliarden von Geräten erzeugen.
• IoT-Implementierungen benötigen zunehmend eine dedizierte, auf IoT ausgerichtete Lösung. Zertifizierungsstelle statt einer allgemeinen Unternehmens-CA.
• Wo und wie die Zertifizierungsstelle bereitgestellt wird – lokal, in der Cloud oder hybrid –, verändert das Automatisierungs- und Skalierungsmodell erheblich.
• Die Zertifizierungsstelle und ihre unterstützende Infrastruktur müssen ein hohes Ausstellungsvolumen mit schnellen, vorhersehbaren Reaktionszeiten bewältigen können, insbesondere da die Gültigkeitsdauer immer kürzer wird.

Gerätevielfalt

• Traditionelle PKI-Anwendungsfälle konzentrierten sich auf die Ausstellung von Zertifikaten für den Zugriff auf Benutzerportale oder SSL/TLS auf Servern, eine relativ einheitliche Menge von Endpunkten.
• Das IoT durchbricht diese Einheitlichkeit: Ein vernetztes Fahrzeug, ein medizinischer Sensor und ein intelligenter Zähler haben jeweils unterschiedliche Rechenbudgets, Konnektivitätsmuster und Zertifikatslebenszyklen.
• Jede für das IoT hergestellte Geräteklasse benötigt effektiv ihr eigenes Sicherheits- und Bereitstellungsprofil.

Die Regulierung holt auf: Was EU CRA und NIST für IoT PKI bedeuten

Die Sicherheit im Internet der Dinge (IoT) hat sich von einer Diskussion über Best Practices zu einer Compliance-Frage entwickelt. Der EU-Cyberresilience-Act (CRA) trat am 10. Dezember 2024 in Kraft und gilt für Hardware- und Softwareprodukte mit digitalen Elementen, die in der EU verkauft werden. Die Meldepflichten für Sicherheitslücken, die Hersteller verpflichten, aktiv ausgenutzte Schwachstellen zu melden, treten am 11. September 2026 in Kraft , die wichtigsten Verpflichtungen des Acts zur Cybersicherheit durch Design gelten ab dem 11. Dezember 2027. Für jedes Unternehmen, das vernetzte Geräte in die EU liefert, ist dieser Zeitplan nun eine verbindliche Frist und keine bloße Option mehr.

Auf Bundesebene veröffentlichte das NIST Mitte 2026 einen Entwurf zur Überarbeitung seiner grundlegenden IoT-Richtlinie SP 800-213 Revision 1 zur öffentlichen Kommentierung. Damit wurden die Cybersicherheitsanforderungen aktualisiert, die Bundesbehörden an Hersteller vernetzter Geräte stellen. Unabhängig davon, ob ein Unternehmen direkt an die US-Regierung verkauft, hat SP 800-213 in der Vergangenheit die Beschaffungsanforderungen geprägt, die sich auf die gesamte IoT-Lieferkette auswirken.

Keines der beiden Frameworks schreibt Organisationen explizit die Verwendung von PKI vor, doch beide setzen eine verifizierbare Geräteidentität, verschlüsselte Kommunikation und einen nachvollziehbaren Umgang mit Sicherheitslücken voraus – genau das, was ein gut geführtes Zertifikatslebenszyklusprogramm als Nebenprodukt liefert. Eine Zertifikatslebenszyklusmanagement-Plattform (CLM), die Ausstellungshistorie, Widerrufsstatus und die Einhaltung der Rotationsrichtlinien für eine ganze Geräteflotte anzeigt, verwandelt ein CRA- oder NIST-Audit von einem unübersichtlichen Datenaustausch in einen aussagekräftigen Bericht.

IoT-PKI für die Post-Quanten-Kryptographie vorbereiten

Im August 2024 finalisierte das NIST seine ersten drei Post-Quanten-Kryptographiestandards: FIPS 203 (ML-KEM) für Schlüsselkapselung, FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA) für digitale Signaturen. Diese Algorithmen dienen nun als Referenz für die Migration jeder PKI, einschließlich IoT-PKI, da ein heute bereitgestelltes Gerät möglicherweise noch in zehn Jahren im Einsatz ist – also weit über den Zeitpunkt hinaus, zu dem Quantencomputer die aktuellen Public-Key-Algorithmen voraussichtlich gefährden werden.

Das IoT bringt eine Herausforderung mit sich, die in der Unternehmenswelt nicht in gleichem Maße auftritt: Die meisten finalisierten PQC-Algorithmen sind rechenintensiver als die ECC-Algorithmen, die die meisten ressourcenbeschränkten Geräte heute verwenden. Die Antwort des NIST auf diese Lücke ist SP 800-232 , das 2025 veröffentlicht wurde und eine auf Ascon basierende, ressourcenschonende Kryptografie speziell für ressourcenbeschränkte Geräte standardisiert – genau die Hardwareklasse, die den Großteil der IoT-Geräte ausmacht.

Im Bereich der Hardware-Root-of-Trust läuft die Validierung von FIPS-140-2-Modulen am 21. September 2026 aus . Damit ist FIPS 140-3 der einzige gültige Validierungsstandard für HSMs, die üblicherweise die Root- und Ausgabeschlüssel einer IoT-CA verankern. Jedes IoT-PKI-Programm, das noch auf FIPS-140-2-validierter Hardware läuft, benötigt daher vor diesem Datum einen Übergangsplan.

IoT PKI Glossar

Kurze, leicht verständliche Definitionen der in diesem Beitrag verwendeten Begriffe.

Bedingungen	Definition
Public-Key-Infrastruktur (PKI)	Die Zertifikate, Schlüsselpaare, Richtlinien und die Zertifizierungsstelle, die zusammen die digitale Identität von Benutzern, Servern und Geräten herstellen und überprüfen.
Zertifizierungsstelle (CA)	Die vertrauenswürdige Instanz, die digitale Zertifikate ausstellt, signiert und widerruft und damit die Identität eines Geräts oder Benutzers bestätigt.
Digitales Zertifikat	Eine signierte, kryptografische Datei, die einen öffentlichen Schlüssel mit einer Identität verknüpft und von einem Gerät verwendet wird, um seine Identität ohne Passwort nachzuweisen.
Zertifikatslebenszyklusverwaltung (CLM)	Der Prozess und die Werkzeuge, die verwendet werden, um Zertifikate in einer Umgebung oder Geräteflotte automatisch zu erkennen, auszustellen, zu erneuern und zu widerrufen.
Krypto-Agilität	Die Möglichkeit, kryptografische Algorithmen auszutauschen, beispielsweise durch den Übergang zu Post-Quanten-Algorithmen, ohne die zugrunde liegende Hardware oder Infrastruktur ersetzen zu müssen.
EST / SCEP	Registrierungsprotokolle (Enrollment over Secure Transport und Simple Certificate Enrollment Protocol), die es Geräten ermöglichen, Zertifikate automatisch anzufordern und zu erneuern.
Hardware-Sicherheitsmodul (HSM)	Ein dediziertes, manipulationssicheres Hardwaregerät, das die privaten Schlüssel generiert und schützt, die die Vertrauensbasis einer Zertifizierungsstelle verankern.
Post-Quanten-Kryptographie (PQC)	Kryptografische Algorithmen wie NISTs ML-KEM und ML-DSA, die so konzipiert sind, dass sie auch gegen Angriffe von zukünftigen Quantencomputern sicher bleiben.

Checkliste für IoT-PKI-Probleme: Auswirkungen, Maßnahmen und Verantwortlicher

Problem	Auswirkungen auf das Geschäft	Empfohlene Maßnahme	Eigentümer
Manuelle Zertifikatsausstellung für Geräteflotte	Der Verlängerungsrückstand wächst, während die Gültigkeitsdauern sinken, wodurch das Risiko von Ausfällen steigt.	Automatisieren Sie die Ausstellung und Verlängerung mit EST oder SCEP.	Plattformteams, PKI-Administratoren
Keine dedizierte IoT-Zertifizierungsstelle	Enterprise-CA kann das Ausgabevolumen auf Geräteebene nicht bewältigen.	Richten Sie eine auf IoT spezialisierte Zertifizierungsstelle ein – lokal, in der Cloud oder als Hybridlösung.	Sicherheitsarchitekten
Kein Krypto-Agilitätsplan für die PQC-Migration	Langlebige Geräte benötigen möglicherweise einen Algorithmuswechsel, der eine Hardwareaktualisierung erfordert.	Integrieren Sie Krypto-Agilität jetzt in die Bereitstellung neuer Geräte.	Sicherheitsarchitekten, CISOs
Keine dokumentierten Zertifikatsnachweise für Audits	Die Audits nach EU CRA und NIST SP 800-213 werden zu einem manuellen Durcheinander.	Führen Sie eine CLM-Plattform mit Berichtsfunktion für Ausstellung, Widerruf und Rotation ein.	Compliance-Teams
HSMs weiterhin auf FIPS 140-2 Validierung	Root-of-Trust-Hardware fällt nach dem 21. September 2026 aus dem aktuellen Validierungsstandard heraus.	Planen Sie den Übergang zu FIPS 140-3 validierten HSMs	PKI-Administratoren, CISOs

Was wir 2026 tatsächlich für IoT PKI empfehlen würden

Unter Berücksichtigung der Risiken, der regulatorischen Vorgaben und der zeitlichen Entwicklung nach der Quantentechnologie ist unsere Empfehlung an Kunden, die IoT-PKI-Systeme aufbauen oder umstrukturieren, einheitlich: Die Zertifikatsausstellung sollte nicht länger als manueller, ticketbasierter Prozess behandelt werden. Angesichts von 21 Milliarden Geräten und immer kürzeren Gültigkeitsdauern ist die manuelle Ausstellung bereits jetzt der Flaschenhals, und die Situation verschärft sich mit jedem Jahr, in dem keine Lösung gefunden wird.

• Automatisieren Sie die Ausstellung und Verlängerung vollständig. Durch die Verwendung von Protokollen wie EST oder SCEP können Geräte Zertifikate registrieren und rotieren, ohne dass ein Mensch eingreifen muss.
• Standardmäßig ECC und ressourcenschonende Algorithmen verwenden für ressourcenbeschränkte Geräte, anstatt die Annahmen von Server-RSA auf batteriebetriebene Hardware zu übertragen.
• Bauen Sie jetzt Krypto-Agilität auf.Die Migration zur Post-Quanten-Technologie ist dringend notwendig, daher bedeutet der Austausch von Algorithmen nicht zwangsläufig einen Hardware-Austausch im Feld.
• Konformitätsnachweise sind als Designanforderung zu behandeln.Es handelt sich nicht um einen Bericht, den Sie im Nachhinein erstellen, da die Meldefristen von CRA und NIST nun feste Termine sind.

Zertifikatslebenszyklusmanagement und PKI-Modernisierung

Die Schließung der in diesem Beitrag beschriebenen Lücke erfordert dieselben Funktionen zur Zertifikatserkennung und -automatisierung, die auch jede umfassende PKI-Modernisierung unterstützen . CertSecure Manager automatisiert die Zertifikatserkennung, -ausstellung und -erneuerung für große, heterogene Geräteflotten und macht die immer kürzer werdenden Gültigkeitsdauern zu einer Konfigurationseinstellung statt zu einer Notfallmaßnahme.

Organisationen, die ihre IoT-PKI skalieren müssen, ohne sie vollständig intern zu betreiben, können auf PKI-as-a-Service zurückgreifen . Dieser bietet eine dedizierte, Cloud-basierte Zertifizierungsstelle, die für das Ausstellungsvolumen großer Geräte ausgelegt ist. Vor einem umfassenden IoT-Rollout empfiehlt es sich, mit CBOM Secure ein Inventar der Geräteidentitäten zu erstellen und eine PQC-Readiness -Analyse durchzuführen. So wird die Zertifikatserkennung für die Geräteflotte optimiert und gleichzeitig die Krypto-Agilität für den Übergang zur Post-Quanten-Verschlüsselung gestärkt. Das PQC Center of Excellence von Encryption Consulting bietet Unterstützung bei der Abstimmung dieser Initiativen.

Mehr darüber, warum die Automatisierung von Zertifikaten in der gesamten IT-Umgebung wichtig ist, erfahren Sie in unseren Artikeln im Education Center zu den Phasen im Lebenszyklus eines Zertifikats und dazu, wie Sie Zertifikatsausfälle vermeiden können.

Erfolgsmessung und laufende Audits

Verfolgen Sie den Anteil der Geräteflotte mit automatisierter Zertifikatsausstellung im Vergleich zur manuellen Bereitstellung, die Anzahl der gerätebedingten Ausfälle aufgrund von Zertifikaten und ob alle ausstellenden Zertifizierungsstellen in einer Hybrid- oder Multi-CA-Umgebung in einer zentralen Zertifikatsübersicht zusammengeführt werden. Prüfen Sie regelmäßig, vierteljährlich (bei richtlinienbasierten Faktoren wie dem Gültigkeitsplan der Zertifizierungsstelle/des Browserforums) und kontinuierlich (bei ablaufenden Zertifikaten), die Protokolle zur Zertifikatsausstellung, den Widerrufsstatus und die HSM-Validierungsstufen, um ungeplante Geräteausfälle aufgrund eines sich verkürzenden Gültigkeitszeitraums zu verhindern.

PKI bildet seit den Anfängen des Internets die Grundlage für Vertrauen, und das IoT-Zeitalter hat daran nichts geändert; im Gegenteil, die Anforderungen sind gestiegen. Die Unternehmen, die 2026 die IoT-Sicherheit erfolgreich umsetzen, sind nicht diejenigen, die erst nach einem Vorfall Insellösungen implementieren. Sie sind diejenigen, die zertifikatsbasierte Identität von Anfang an als Infrastruktur betrachtet haben, auf Automatisierung ausgelegt, skalierbar dimensioniert und Algorithmen eingeplant haben, die noch nicht produktiv im Einsatz sind.

Bei Encryption Consulting helfen wir Unternehmen bei der Konzeption, Implementierung und dem Betrieb der PKI, die für IoT im großen Maßstab tatsächlich erforderlich ist, indem wir die richtige Architektur und die richtige Automatisierung auswählen, nicht nur den richtigen Anbieter.

Häufig gestellte Fragen

Was ist die wichtigste Erkenntnis aus „PKI – IoTs Weg zur Sicherheit“?

Da IoT-Geräte sich nicht mit Passwörtern authentifizieren können, bleibt das zertifikatsbasierte Modell der PKI der Standardweg, um die Geräteidentität, die Verschlüsselung und die Datenintegrität zu sichern. Im Jahr 2026 muss dieses Modell automatisiert werden, um den sinkenden Lebensdauern von Zertifikaten und neuen Vorschriften standzuhalten.

Warum ist das für PKI-Teams in Unternehmen wichtig?

Die PKI-Teams sind direkt verantwortlich für die Skalierung der Zertifikatsausstellung und -erneuerung, um dem Wachstum der Geräteflotte gerecht zu werden, und für den Aufbau der Krypto-Agilität, die für den Übergang nach der Quantencomputer-Ära erforderlich sein wird.

Welche Risiken erhöhen sich, wenn dieses Thema manuell behandelt wird?

Die manuelle Ausstellung von Zertifikaten für eine IoT-Flotte erhöht das Risiko verpasster Verlängerungen, uneinheitlicher Geräteintegration und langsamerer Reaktionszeiten, wenn das Zertifikat eines Geräts nach einer Kompromittierung widerrufen werden muss.

Welche Teams sollten für diese Änderung verantwortlich sein?

Sicherheitsarchitekten entwerfen die Architektur der IoT-Zertifizierungsstelle, PKI-Administratoren skalieren die Ausstellung und Automatisierung, Plattformteams besitzen die Tools zur Geräteregistrierung, und Compliance-Teams überprüfen, ob das Programm die Anforderungen der EU CRA und des NIST erfüllt.

Wie hängt das mit dem Zertifikatslebenszyklusmanagement zusammen?

Jedes IoT-Gerät erfordert ein weiteres Zertifikat, das ausgestellt, erneuert und widerrufen werden muss. Die Absicherung von IoT-Systemen mit PKI ist nur dann nachhaltig, wenn die gesamte Geräteflotte im Rahmen desselben Zertifikatslebenszyklusmanagements verwaltet wird wie alle anderen Zertifikatstypen in der Umgebung.

Wie sollten Organisationen ihren Erfolg messen?

Verfolgen Sie den Prozentsatz der Geräteflotte, bei denen die Zertifikate automatisiert bzw. manuell ausgestellt werden, die Anzahl der gerätebedingten Ausfälle im Zusammenhang mit Zertifikaten und ob die Zertifikatserkennung alle ausstellenden Zertifizierungsstellen in der Umgebung umfasst.

Was sollte regelmäßig geprüft oder überwacht werden?

Überprüfen Sie regelmäßig die Protokolle zur Zertifikatsausstellung, den Widerrufsstatus, die HSM-Validierungsstufen und die Dashboards zum Zertifikatsablauf für die gesamte Geräteflotte, um Erneuerungsfehler zu erkennen, bevor sie zu Geräteausfällen führen.

Welche Auswirkungen hat dieses Thema auf Cloud-, Hybrid- oder Multi-CA-PKI?

Bei großen IoT-Implementierungen werden häufig Zertifikate von mehreren Zertifizierungsstellen (CAs) in lokalen und Cloud-Umgebungen ausgestellt; ohne eine zentrale Zertifikatserkennung können Geräte, die einer CA vertrauen, unauffindbar bleiben, wenn die Umgebung auf eine Hybrid- oder Multi-CA-Architektur umgestellt wird.

Welche häufigen Fehler sollten Teams vermeiden?

Zu den häufigsten Fehlern gehören die Auslieferung von Geräten mit Zertifikaten, die manuell erneuert werden müssen, die Verwendung einer universellen Unternehmenszertifizierungsstelle, die das Ausstellungsvolumen in Gerätegröße nicht bewältigen kann, und die Verzögerung der Planung der Krypto-Agilität bis zu dem Zeitpunkt, an dem eine Post-Quanten-Migration bereits dringend notwendig ist.

Was sollte vierteljährlich aktualisiert werden?

Überprüfen Sie den Gerätebestand auf neu bereitgestellte Geräte, die Zertifikate benötigen, bestätigen Sie die Gültigkeitsdauer der Zertifikate anhand des aktuellen CA/Browser Forum-Zeitplans und überprüfen Sie die HSM-Validierungsstufen erneut vor dem Auslaufen von FIPS 140-2.