Zertifikatvorlagen: Wie Microsoft AD CS die Ausstellung steuert

Eine Zertifikatvorlage ist ein vordefinierter Regelsatz, der in Active Directory gespeichert ist und von einer Unternehmenszertifizierungsstelle bei jeder Zertifikatsausstellung angewendet wird. Vorlagen legen fest, was ein Zertifikat enthält, wer es anfordern darf, wie lange es gültig ist, welche kryptografischen Einstellungen verwendet werden und wofür es eingesetzt werden darf. Sie gewährleisten eine konsistente, wiederholbare und einfach zu verwaltende Zertifikatsausstellung über Microsoft Active Directory Certificate Services (AD CS), anstatt dass jeder Anforderer die Eigenschaften selbst definieren kann.

Unternehmen können jährlich Hunderttausende digitale Zertifikate für Benutzer, Computer, Webserver, Anwendungen, Geräte, VPNs und Smartcards ausstellen und verwalten. Müsste jede Anfrage manuell konfiguriert werden, würde die Zertifikatsverwaltung schnell inkonsistent, langsam und schwer abzusichern werden. Microsoft bietet hierfür eine Lösung mit Zertifikatvorlagen.

Zertifikatvorlagen sind die Regelsätze, die AD CS Enterprise-Zertifizierungsstellen zur Standardisierung der Zertifikatsausstellung verwenden. Anstatt jedem Anforderer die Wahl der Zertifikatseigenschaften zu überlassen, legt eine Vorlage genau fest, was ein Zertifikat enthalten soll, wer es anfordern kann, wie lange es gültig ist, welche Algorithmen es verwendet und wofür es eingesetzt werden darf.

Wichtig zu beachten: Anders als Zertifikate selbst sind Zertifikatvorlagen nicht Teil des X.509-Standards . Sie sind eine Microsoft-spezifische Funktion von Unternehmenszertifizierungsstellen, die in Active Directory integriert sind. Organisationen, die eigenständige Zertifizierungsstellen oder andere PKI-Plattformen verwenden, können zwar ähnliche Richtlinien anwenden, nutzen aber keine Microsoft-Zertifikatvorlagen.

Was ist eine Zertifikatsvorlage?

Eine Zertifikatvorlage ist ein Active Directory-Objekt, das die Richtlinie definiert, die eine Unternehmenszertifizierungsstelle bei der Ausstellung eines Zertifikats anwendet. Sie dient als Blaupause für den Inhalt des Zertifikats und dessen Registrierungsanforderungen.

Wenn ein Benutzer, Computer oder eine Anwendung eine Anfrage stellt, identifiziert die Unternehmenszertifizierungsstelle (CA) die angeforderte Vorlage, prüft die Berechtigung des Anfragenden zur Verwendung und stellt ein Zertifikat aus, das der Konfiguration der Vorlage entspricht. Dadurch entfällt die manuelle Entscheidungsfindung bei der Registrierung und die Zertifikatskonsistenz im gesamten Unternehmen wird gewährleistet. Eine Vorlage kann den Zertifikatszweck, das Format des Antragstellernamens, die Schlüssellänge, den kryptografischen Anbieter, die Gültigkeits- und Verlängerungszeiträume, die Schlüsselverwendung, die erweiterte Schlüsselverwendung (EKU), die Registrierungsberechtigungen und die Einstellungen für den privaten Schlüssel definieren. Da diese Richtlinien zentral in Active Directory verwaltet werden, müssen Administratoren die Ausstellung nicht mehr jedes Zertifikat einzeln konfigurieren, sondern können sie zentral verwalten.

So funktionieren Zertifikatvorlagen

Die Registrierung beginnt, wenn ein Benutzer, ein Gerät oder ein Dienst ein Zertifikat anfordert. Die Anforderung verweist auf eine bestimmte Vorlage, und die Unternehmenszertifizierungsstelle ruft die Konfiguration dieser Vorlage aus Active Directory ab.

Vor der Ausstellung prüft die Zertifizierungsstelle (CA) verschiedene Bedingungen. Sie bestätigt, dass der Antragsteller über die erforderlichen Registrierungsberechtigungen verfügt, wendet gegebenenfalls die Genehmigungsrichtlinie an, prüft die kryptografischen Anforderungen und stellt sicher, dass die Bedingungen der Vorlage erfüllt sind. Erst dann generiert sie ein Zertifikat, das der Vorlage entspricht. Die Funktionstrennung ist dabei der Kernpunkt: Die Vorlage definiert die Ausstellungsrichtlinie, und die Unternehmens-CA setzt diese Richtlinie während der Registrierung durch.

Was eine Zertifikatsvorlage definiert

Eine Vorlage kann nahezu jeden Aspekt eines ausgestellten Zertifikats steuern. Die von Administratoren am häufigsten konfigurierten Einstellungen sind unten aufgeführt.

Vorlageneinstellung	Zweck
Zweck der Bescheinigung	Ob das Zertifikat für Benutzer, Computer, Webserver, Codesignierung, Smartcards oder andere Zwecke bestimmt ist
Subjekt Name	Wie die Identität befüllt wird, automatisch aus Active Directory oder vom Anforderer bereitgestellt
Kryptografische Einstellungen	Schlüsselalgorithmus, Schlüssellänge, kryptografischer Anbieter und Hash-Anforderungen
Gültigkeitszeitraum	Die Gültigkeitsdauer des Zertifikats und der Zeitpunkt seiner Verlängerung
Schlüsselverwendung und EKUs	Wie das Zertifikat verwendet werden kann, z. B. für die TLS-Serverauthentifizierung, die Clientauthentifizierung oder die Codesignierung.
Anmeldeberechtigungen	Welche Benutzer, Gruppen oder Computer können das Zertifikat anfordern?
Schutz des privaten Schlüssels	Exportierbarkeit, Archivierung, hardwaregestützte Speicherung und jegliche Benutzerinteraktionsanforderungen

Diese Kontrollmechanismen sorgen dafür, dass Zertifikate für ihren vorgesehenen Arbeitsaufwand geeignet sind und reduzieren gleichzeitig Konfigurationsfehler.

Zertifikatvorlagenversionen

AD CS hat im Zuge der Weiterentwicklung von Windows Server mehrere Vorlagenversionen, oft auch Schemaversionen genannt, eingeführt. Die korrekte Versionsnummer ist wichtig, da kryptografische Funktionen wie CNG davon abhängen.

Version	Eingeführt mit	Schlüsselfähigkeiten
Version 1	Windows 2000	Bei den integrierten Vorlagen, die nicht geändert werden können, lassen sich lediglich die Berechtigungen anpassen.
Version 2	Windows Server 2003	Anpassbare Vorlagen, Registrierungsberechtigungen, Vorlagenersetzung, Schlüsselarchivierung und Unterstützung für automatische Registrierung
Version 3	Windows Server 2008	Alle Funktionen der Version 2 sowie Cryptography Next Generation (CNG), Key Storage Providers (KSPs) und Elliptische-Kurven-Kryptographie (Hinweis: Das mit dieser Version eingeführte Algorithmusprofil NSA Suite B wurde 2015 zugunsten von CNSA 1.0 als veraltet erklärt und 2022 durch CNSA 2.0 ersetzt).
Version 4	Windows Server 2012	TPM-Schlüsselattestierung, schlüsselbasierte Erneuerung, Erneuerung mit demselben Schlüssel und die Möglichkeit, mehrere Anbieter anzugeben

Moderne Bereitstellungen verwenden in der Regel Vorlagen der Version 3 oder 4, da diese aktuelle kryptografische Anbieter und Standards unterstützen. Da eine Vorlage der Version 4 eine Zertifizierungsstelle (CA) unter Windows Server 2012 oder höher und einen Empfänger unter Windows 8 oder höher erfordert, bestimmen die Kompatibilitätseinstellungen der Vorlage, welche Schemaversion tatsächlich erstellt wird.

Vorlagen für die Bereitschaft nach der Quantenberechnung und Zertifikate

Microsoft Active Directory-Zertifikatdienste unter Windows Server 2025 unterstützen nun Post-Quanten-Kryptografie. Das Patch-Tuesday-Update vom Mai 2026 führte ML-DSA-44, ML-DSA-65 und ML-DSA-87 ein, den vom NIST als FIPS 204 standardisierten Modul-Lattice-basierten digitalen Signaturalgorithmus, für Zertifikatsigniervorgänge in AD CS.

Post-Quantum-Zertifikatvorlagen unterliegen zwei Anforderungen: Die Vorlage muss einen CNG-Schlüsselspeicheranbieter (und keinen älteren kryptografischen Dienstanbieter) verwenden, und der Zweck der Anforderungsverarbeitung muss auf „Signatur“ eingestellt sein, da ML-DSA ausschließlich Signaturvorgänge unterstützt. Aufgrund dieser Anforderungen können nur Vorlagen der Version 3 oder 4 PQC-Algorithmen enthalten.

Es werden auch zusammengesetzte Zertifikate unterstützt, die einen klassischen Algorithmus wie ECDSA mit einer ML-DSA-Signatur kombinieren. Dadurch können vertrauende Parteien, die Post-Quantum-Formate noch nicht verstehen, weiterhin Signaturen mithilfe der klassischen Komponente validieren.

Organisationen, die eine PQC-Migration planen , sollten beachten, dass bestehende Zertifizierungsstellen nicht direkt aktualisiert werden können. Die Unterstützung von Post-Quantum-Verschlüsselung erfordert die Bereitstellung einer neuen, parallelen Zertifizierungsstellenhierarchie neben der bestehenden Produktionsumgebung. Kryptografische Flexibilität, die Entwicklung von Vorlagen und Registrierungs-Workflows, sodass Algorithmen ohne vollständigen Infrastrukturneubau aktualisiert werden können, sollte ein Leitprinzip für jede heute entworfene Vorlagenarchitektur sein.

Für Organisationen, die CNSA 2.0 unterliegen, müssen neue Beschaffungen von nationalen Sicherheitssystemen ab dem 1. Januar 2027 CNSA-2.0-Algorithmen unterstützen; die vollständige Migration ist bis zum 31. Dezember 2031 erforderlich. NIST IR 8547 sieht eine parallele Abschaffung klassischer asymmetrischer Algorithmen im gesamten öffentlichen und privaten Sektor vor; die Abschaffung ist für 2035 geplant. Die Planung von Zertifikatvorlagen, einschließlich der Migration von CNG-Anbietern, der Auswahl von Parametersätzen und des parallelen CA-Hierarchie-Designs, sollte beide Zeiträume berücksichtigen.

Warum sind Zertifikatvorlagen wichtig?

Vorlagen sind einer der Hauptgründe, warum Enterprise-PKI auch bei großem Umfang handhabbar bleibt. Ohne standardisierte Ausgaberichtlinien müssten Administratoren jede Anfrage einzeln prüfen und konfigurieren, was sowohl den Aufwand als auch das Sicherheitsrisiko erhöht.

Vorlagen verbessern die Konsistenz, da ähnliche Systeme identische Konfigurationen erhalten, und erhöhen die Sicherheit durch die Durchsetzung genehmigter Algorithmen, die Beschränkung der Registrierung, die Verhinderung unangemessener Zertifikatsnutzung und die zentrale Verwaltung der Richtlinien. Angesichts kürzerer Zertifikatslebensdauern und zunehmender Automatisierung gewinnt eine einheitliche Ausstellungsrichtlinie immer mehr an Bedeutung, und Vorlagen bilden die Grundlage für ein praktikables Zertifikatslebenszyklusmanagement in großem Umfang.

Häufige Fehler

Ein häufiger Fehler ist das Ändern integrierter Vorlagen der Version 1 anstatt sie zu duplizieren. Die empfohlene Vorgehensweise ist das Duplizieren einer vorhandenen Vorlage. Dadurch können Administratoren die Einstellungen anpassen, während die Standardeinstellungen erhalten bleiben. Durch das Duplizieren einer Vorlage der Version 1 wird diese außerdem automatisch auf Version 2 aktualisiert. Dadurch wird die Sicherheitslücke CVE-2024-49019 (gepatcht im November 2024) behoben, die es Angreifern mit Registrierungsrechten ermöglichte, beliebige Anwendungsrichtlinien in eine Zertifikatsanforderung einzubetten und Zertifikate zu erlangen, die über den vorgesehenen Zweck der Vorlage hinausgingen.

Fehlkonfigurierte Zertifikatvorlagen zählen zu den kritischsten Angriffsvektoren für Rechteausweitung in Active Directory-Umgebungen. Die ESC-Schwachstellenklasse umfasst verschiedene Fehlkonfigurationen von Vorlagen und Zertifizierungsstellen, die es Angreifern ermöglichen, Zertifikate für Konten mit hohen Berechtigungen zu erlangen.

ESC1 tritt auf, wenn für eine Vorlage das Flag „Teilnehmerbedarf“ aktiviert ist und gleichzeitig Registrierungsrechte für Konten mit geringen Berechtigungen, wie z. B. Domänenbenutzer, gewährt werden. Diese Kombination ermöglicht es einem Angreifer, ein Zertifikat für jedes beliebige Konto, einschließlich eines Domänenadministrators, anzufordern und sich als dieses Konto zu authentifizieren.

APT29 und UNC5330 nutzten dieses Muster 2022 bzw. 2024 aus, um eine vollständige Domänenkompromittierung zu erreichen. ESC4 tritt auf, wenn Benutzerkonten mit geringen Berechtigungen Schreibrechte (WriteProperty, WriteDacl oder WriteOwner) für ein Zertifikatvorlagenobjekt in Active Directory besitzen. Dadurch können sie die Konfiguration der Vorlage ändern und Schwachstellen vom Typ ESC1 einführen.

Beide Fehlkonfigurationen lassen sich durch strikte Least-Privilege-Vorlagenberechtigungen, Deaktivierung des CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT-Flags bei Vorlagen, die es nicht benötigen, und regelmäßige Überprüfung verhindern.

Ein weiteres häufiges Problem ist die zu weit gefasste Vergabe von Registrierungsberechtigungen. Wenn unnötige Benutzer oder Systeme Zertifikate anfordern dürfen, steigt das Risiko unautorisierter Ausstellung und Rechteausweitung. Administratoren neigen außerdem dazu, den Zweck von Zertifikaten zu weit zu fassen. Die Kombination mehrerer unabhängiger Zertifikatskennungen (EKUs) in einer Vorlage verstößt gegen das Prinzip der minimalen Rechtevergabe und erschwert die Verwaltung der Zertifikate über ihren gesamten Lebenszyklus.

Schließlich werden Vorlagen oft nicht überprüft, sodass eine Vorlage, die einst den Richtlinien entsprach, mit der Zeit veraltet, da sich kryptografische Vorgaben, Zertifikatslebensdauern und Geschäftsanforderungen ändern.

Best Practices für die Sicherheit

Vorlagen sollten dem Prinzip der minimalen Berechtigungen folgen und die Registrierung nur für autorisierte Benutzer, Geräte und Dienste zulassen. Wo immer möglich, sollten starke Algorithmen, angemessene Schlüssellängen und nicht exportierbare private Schlüssel verwendet werden, insbesondere für sensible Zertifikate.

Überprüfen Sie regelmäßig die Berechtigungen der Vorlagen: Stellen Sie sicher, dass Konten mit geringen Berechtigungen wie Domänenbenutzer und Authentifizierte Benutzer keine Registrierungsrechte für authentifizierungsfähige Vorlagen besitzen, dass keine Nicht-PKI-Administrator-Prinzipale Schreibrechte für Eigenschaften, Dacl oder Besitzer von Vorlagenobjekten (ESC4-Vektor) besitzen und dass das Flag CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT für alle Vorlagen deaktiviert ist, die es nicht explizit benötigen.

Führen Sie Sicherheitsstatusanalysen mit Certipy oder Microsoft Defender for Identity AD CS durch, um falsch konfigurierte Vorlagen zu ermitteln. Entfernen Sie veraltete Vorlagen, um deren versehentliche Verwendung zu verhindern. Schützen Sie private Schlüssel in der Hardware mithilfe eines Hardware-Sicherheitsmoduls oder eines TPM, um das Risiko eines Schlüsselverlusts zu minimieren.

Scope EKUs eng fassen, indem nicht verwandte Verwendungen in separaten Templates aufbewahrt werden, anstatt sie zu bündeln.

Integrieren Sie die Vorlagenverwaltung in das Lebenszyklusmanagement, sodass ausgestellte Zertifikate während ihrer gesamten Nutzungsdauer überwacht, erneuert, widerrufen und geprüft werden. Konfigurieren Sie in jeder Vorlage die Erweiterungen CRL Distribution Point (CDP) und OCSP Authority Information Access (AIA), damit vertrauende Parteien den Widerrufsstatus überprüfen können. Vorlagen für extern zugängliche Zertifikate müssen öffentlich erreichbare CDP- und OCSP-URLs angeben, nicht nur interne Endpunkte.

Bei konsequenter Anwendung gewährleisten diese Schritte eine sichere und vorhersehbare Emission auch bei wachsenden Anforderungen.

Wie Verschlüsselungsberatung helfen kann

Eine gut konzipierte Template-Umgebung ist entscheidend dafür, ob ein TLS- und Zertifikatsprogramm reibungslos skaliert oder ob sich durch fehlerhafte Konfigurationen der Ausstellungsrichtlinien Risiken anhäufen. Als auf Kryptografie spezialisiertes Unternehmen verfügt Encryption Consulting über maßgeschneiderte PKI-Expertise, die von großen Cybersicherheitsfirmen nicht erreicht wird.

Mit seinen Enterprise PKI Services unterstützt EC die Konzeption, Bereitstellung und Optimierung von Microsoft AD CS-Umgebungen und der zugehörigen Zertifikatsausstellungsrichtlinien. Dies umfasst Vorlagenarchitektur, Registrierungs-Workflows, CA-Hierarchie-Design, kryptografische Richtlinien und Governance. So wird die Bereitstellung revisionssicher und konform mit NIST, FIPS, eIDAS und WebTrust. Die Schlüssel der Stamm- und untergeordneten Zertifizierungsstellen werden durch FIPS 140-3 Level 3 HSMs geschützt. CertSecure Manager ergänzt AD CS um die zentrale Zertifikatserkennung, -inventarisierung, Lebenszyklusautomatisierung, Ablaufüberwachung und Compliance-Berichte für das gesamte Unternehmen.

Fehlerhaftes Zertifikatsmanagement und abgelaufene Anmeldeinformationen sind vermeidbare Risiken. Die Experten von EC identifizieren und beheben diese, bevor es zu einem Sicherheitsvorfall kommt. Im Rahmen der Post-Quantum-Migrationsplanung von Unternehmen bildet die PQC-Readiness-Assessment von EC den gesamten AD CS-Übergangsprozess ab. Dieser umfasst die Erstellung einer kryptografischen Stückliste (CBOM) über den CertSecure Manager und die Migration CSP-gebundener Vorlagen zu CNG-Schlüsselspeicheranbietern bis hin zur Konzeption und Bereitstellung einer parallelen ML-DSA-CA-Hierarchie auf Windows Server 2025 und der Auswahl der passenden Parametersätze für jede Zertifikatslast.

Ob Sie die Ausstellung von Zertifikaten standardisieren, eine veraltete AD CS-Implementierung modernisieren oder Vorlagen für postquantenkryptografische Anforderungen erstellen – EC liefert ohne Unterbrechung, sodass digitales Vertrauen geplant und nicht dem Zufall überlassen bleibt.

Fazit

Zertifikatvorlagen bilden die Richtliniengrundlage für die Zertifikatsausstellung in Microsoft AD CS. Indem sie definieren, wie Zertifikate erstellt werden, wer sie anfordern darf und wie sie während ihres gesamten Lebenszyklus geschützt werden, helfen Vorlagen Unternehmen, Konsistenz zu wahren, die Sicherheit zu erhöhen und die Zertifikatsverwaltung in großem Umfang zu automatisieren.

Mit dem Wachstum von Unternehmensumgebungen und der Verkürzung der Zertifikatsgültigkeitsdauer sind gut gestaltete Vorlagen nicht nur eine administrative Erleichterung, sondern ein grundlegender Bestandteil sicherer und skalierbarer PKI-Operationen. Ein erster praktischer Schritt ist die Bestandsaufnahme der aktuell auf Ihren ausstellenden Zertifizierungsstellen veröffentlichten Vorlagen. Nicht verwendete oder zu weit gefasste Vorlagen sollten entfernt und sichergestellt werden, dass jede verbleibende Vorlage die aktuellen kryptografischen Einstellungen und das Prinzip der minimalen Berechtigungen bei der Zertifikatserteilung durchsetzt.