Wie automatisiert man PKI richtig?

Einführung

Die manuelle Zertifikatsverwaltung ist nicht skalierbar, und die schrittweise Reduzierung der Gültigkeitsdauer öffentlicher TLS-Zertifikate auf 47 Tage bis März 2029 durch das CA/Browser Forum macht diese Einschränkung unübersehbar. Jedes von einem Unternehmen ausgestellte Zertifikat, von der Serverauthentifizierung bis hin zu internen Maschinenidentitäten, muss korrekt ermittelt, angefordert, erneuert und widerrufen werden. Die manuelle Durchführung dieser Schritte für Hunderte oder Tausende von Endpunkten ist genau der Punkt, an dem Zertifikatsausfälle entstehen. Dieser Beitrag erläutert, was die Automatisierung der Public-Key-Infrastruktur (PKI) genau beinhaltet, welche Implementierungsmethoden verfügbar sind und wie Sie die richtige für Ihre Umgebung auswählen.

Kurzantwort: Was ist PKI-Automatisierung?

Die PKI-Automatisierung ersetzt manuelle Zertifikatsanforderungen, Genehmigungen und Verlängerungen durch softwaregesteuerte Registrierungsprotokolle und Orchestrierungstools, wie z. B. REST-API-Integration, SCEP, EST, ACME und die automatische Registrierung in Active Directory, sodass Zertifikate ausgestellt, verlängert und widerrufen werden können, ohne dass eine Person die Ablaufdaten in einer Tabelle verfolgen muss.

Was ist eine Public-Key-Infrastruktur (PKI)?

Die Public-Key-Infrastruktur (PKI) ist ein Rahmenwerk aus Zertifikaten, kryptografischen Schlüsselpaaren und Richtlinien, das die Client-Server-Kommunikation authentifiziert und vor Manipulation schützt. Die PKI stellt X.509-Zertifikate aus, die an einen öffentlichen Schlüssel gebunden sind. So können Server und Client die Identität des jeweils anderen überprüfen und bestätigen, dass die ausgetauschten Daten während der Übertragung nicht verändert wurden. Da diese Vertrauensbeziehung die Grundlage der meisten sicheren Internetverbindungen bildet, wird die PKI im Gesundheitswesen, im Finanzsektor, in der öffentlichen Verwaltung und in allen Branchen eingesetzt, die die Integrität digitaler Transaktionen nachweisen müssen.

Was sind die Kernkomponenten einer PKI?

Eine PKI besteht aus drei Kernkomponenten: digitalen Zertifikaten , der Zertifizierungsstelle und der Registrierungsstelle. Gemeinsam schützen und authentifizieren diese Komponenten die digitale Kommunikation und elektronische Transaktionen.

• Digitale Zertifikate:

  Das wichtigste Element einer PKI (Public-Key-Infrastruktur). Ein digitales Zertifikat validiert und identifiziert die Verbindung zwischen Server und Client und gewährleistet so die Vertrauenswürdigkeit dieser Verbindung. Zertifikate können für kleinere Installationen intern ausgestellt oder für größere, öffentlich zugängliche Anwendungen von einer vertrauenswürdigen Zertifizierungsstelle erworben werden.

• Zertifizierungsstelle:

  Die Zertifizierungsstelle (CA) authentifiziert und sichert das Vertrauen in die von ihr ausgestellten Zertifikate. Unabhängig davon, ob die Identität zu einem einzelnen Computer oder einem Server gehört, bürgt die CA dafür, und Geräte vertrauen Zertifikaten, die auf eine ihnen bekannte CA zurückgeführt werden können.

• Registrierungsbehörde:

  Die Registrierungsstelle (RA) ist von der Zertifizierungsstelle (CA) autorisiert, Zertifikatsanfragen in deren Namen zu bearbeiten. Dies umfasst Anfragen von einzelnen digitalen Zertifikaten zum Signieren von E-Mails bis hin zu vollständigen Anträgen von Unternehmen, die eine eigene private Zertifizierungsstelle einrichten möchten. Die RA prüft jede Anfrage und leitet genehmigte Anfragen zur Ausstellung an die CA weiter.

Warum sollte die PKI-Zertifikatsverwaltung automatisiert werden?

Die manuelle Verwaltung von Zertifikatslebenszyklen erfordert fundiertes technisches Fachwissen und ständige Aufmerksamkeit. Schon eine einzige versäumte Verlängerung kann zu Ausfällen oder Compliance-Lücken führen. Laut der DigiCert Trust Pulse Survey (Juli 2025) erlebte fast die Hälfte aller Unternehmen im vergangenen Jahr einen zertifikatsbedingten Ausfall. 18.5 % der betroffenen Organisationen meldeten Verluste von über 250,000 US-Dollar, wobei 37.5 % dieser Vorfälle direkt auf abgelaufene Zertifikate zurückzuführen waren. Die PKI-Automatisierung beseitigt die manuelle Nachverfolgung, die diese Ausfälle verursacht: Sie erkennt jedes Zertifikat in der gesamten Umgebung, fordert neue Zertifikate planmäßig an und installiert sie, und verlängert oder widerruft sie, ohne dass eine Person eine Liste mit Ablaufdaten führen muss.

Welche Vorteile bietet die PKI-Automatisierung?

Unternehmen setzen verstärkt auf PKI-Automatisierung, um die Verwaltung von Zertifikatslebenszyklen zu optimieren und sensible Daten besser zu schützen. Drei Vorteile sind dabei besonders hervorzuheben.

• Umfassende Datensicherheit: Die Automatisierung reduziert menschliche Fehler, die die meisten Zertifikatsprobleme verursachen, drastisch, indem sie Erneuerung und Austausch planmäßig durchführt, sodass Maschinen niemals mit einem veralteten oder abgelaufenen Zertifikat laufen. Dadurch wird ein häufiger Weg zu Nichteinhaltung von Vorschriften und Datenverlust vermieden.
• Betriebseffizienz: Die Automatisierung der Zertifikatsausstellung und -erneuerung befreit PKI-Teams von sich wiederholenden manuellen Arbeiten, reduziert den Zeitaufwand für routinemäßige Zertifikatsaktivitäten und senkt die Betriebskosten für den Betrieb einer Zertifizierungsstelle in großem Umfang.
• Geschäftskontinuität: Mangelhaftes Zertifikatsmanagement, nicht etwa kompromittierte Schlüssel, ist die Hauptursache für zertifikatsbedingte Ausfälle. Die automatisierte Erkennung von Endgeräten, die Bereitstellung neuer Zertifikate und die rechtzeitige Erneuerung von Zertifikaten mit nahendem Ablaufdatum beseitigen diese Fehlerquelle und halten abhängige Systeme online.

Wie man PKI automatisiert: Implementierungsmethoden

Es gibt verschiedene Möglichkeiten, PKI zu automatisieren. Welche die richtige ist, hängt von der Infrastruktur Ihres Unternehmens und davon ab, ob Ihre Zertifizierungsstelle eine API zur Integration bereitstellt. Im Folgenden werden fünf Implementierungswege vorgestellt, die eine Prüfung wert sind.

• REST API Integration
• Einfaches Zertifikatsregistrierungsprotokoll (SCEP)
• Anmeldung über sichere Übertragung (EST)
• Automatisierte Zertifikatverwaltungsumgebung (ACME)
• Automatische Active Directory-Registrierung und WSTEP

REST API Integration

Die Integration einer REST-API ist die gängigste Methode zur Automatisierung der PKI, sofern Ihre Zertifizierungsstelle und Ihre Endpunktverwaltungstools dies unterstützen. Sie können diese Integration selbst implementieren, indem Sie Skripte schreiben, die die API der Zertifizierungsstelle aufrufen, um ein Zertifikat anzufordern und es an das Zielgerät zu übertragen. Alternativ können Sie vorhandene Endpunktverwaltungs- und Orchestrierungstools verwenden, die die Zertifikatsautomatisierung bereits unterstützen. Beide Ansätze eliminieren den manuellen Schritt der Anforderung und Installation bei jeder Zertifikatstransaktion.

SCEP (Simple Certificate Enrollment Protocol)

SCEP ist ein offenes Zertifikatsverwaltungsprotokoll, das die Zertifikatsausstellung automatisiert und von den meisten gängigen Betriebssystemen, darunter Android, Windows, Linux und iOS, unterstützt wird. Es benötigt einen SCEP-Agenten auf dem Gerät, arbeitet mit Ihren Enterprise-Geräteverwaltungstools zusammen und ermöglicht es dem Gerät, sein eigenes Zertifikat abzurufen, sobald die Verwaltungssoftware die Registrierungskonfiguration übertragen hat.

Eine detailliertere Erklärung zur Funktionsweise von SCEP und seiner Einordnung in eine umfassendere PKI finden Sie in unserem entsprechenden Leitfaden weiter unten.

Was ist der SCEP-Dienst? Wie funktioniert das SCEP-Protokoll?

EST (Registrierung über sicheren Transport)

EST ist eine Erweiterung von SCEP, die dieselbe Kernfunktionalität bietet und zusätzlich Elliptische-Kurven-Kryptographie (ECC) unterstützt. Beide Protokolle automatisieren die Zertifikatsregistrierung, sichern diesen Prozess jedoch unterschiedlich: SCEP verwendet ein gemeinsames Geheimnis und PKCS#7-verschlüsselte CSRs innerhalb eines PKIEnvelopes zum Schutz von Nachrichten, während EST TLS selbst zur Authentifizierung des Clients und zur Übertragung sowohl der Anfrage als auch des ausgestellten Zertifikats nutzt.

ACME (Automatisierte Zertifikatsverwaltungsumgebung)

ACME (RFC 8555) ist das von Let's Encrypt bekannt gemachte Protokoll zur automatischen Anforderung, Validierung und Erneuerung von Zertifikaten ohne menschliches Eingreifen. Es wird mittlerweile von den meisten öffentlichen Zertifizierungsstellen und einer wachsenden Zahl privater Zertifizierungsstellen unterstützt. Seine Bedeutung nimmt jährlich zu: Da die Gültigkeitsdauer öffentlicher TLS-Zertifikate bis März 2029 auf die vom CA/Browser Forum festgelegte Untergrenze von 47 Tagen sinkt, ist eine manuelle Erneuerung alle sechs Wochen nicht mehr praktikabel. ACME ist das Protokoll, das speziell für diesen Rhythmus entwickelt wurde.

Automatische Active Directory-Registrierung und WSTEP

Windows-PCs und -Server können die Zertifikatsregistrierung über Active Directory-Zertifikatdienste automatisieren. Mithilfe von Gruppenrichtlinien werden Zertifikate für in die Domäne eingebundene Computer und Dienste wie IIS oder Exchange automatisch ausgestellt und erneuert. Geräte, die nicht in die Domäne eingebunden sind, darunter mobile Endgeräte und BYOD-Geräte, die über eine MDM-Plattform verwaltet werden, nutzen in der Regel WSTEP, das auf WS-Trust basierende Registrierungsprotokoll. Dieses ermöglicht es Tools wie Intune, Zertifikate im Namen eines Geräts anzufordern. Beide Verfahren sind auf Umgebungen beschränkt, die bereits auf der Zertifikatsinfrastruktur von Microsoft basieren.

Welche Methode am sinnvollsten ist, hängt ganz von Ihrer Zertifizierungsstelle, Ihrer Endgerätekonfiguration und dem Anteil heterogener Windows-Geräte in Ihrer IT-Flotte ab. Beratungsunternehmen wie Encryption Consulting können Ihnen helfen, die richtige Kombination auszuwählen und zu implementieren – mit weniger Aufwand und höherer Effizienz als bei einer Einzellösung.

Unsere Einschätzung: Wie die Verschlüsselungsberatung die PKI-Automatisierung angeht

Wir haben PKI-as-a-Service um dieses Entscheidungsproblem herum entwickelt, anstatt um ein einzelnes Protokoll. Encryption Consulting kann die PKI-Operationen vollständig auslagern und die Zertifizierungsstelleninfrastruktur in On-Premise-, Cloud- oder Hybridumgebungen aufbauen, betreiben und betreuen, während Ihr Team die Kontrolle über die Richtlinien und Geschäftsprozesse behält. Wir implementieren und betreuen Ihre PKI mithilfe getesteter und geprüfter Verfahren und benötigen dafür keine Administratorrechte für Ihr Active Directory.

Die CA-Schlüssel werden in FIPS 140-3 Level 3-validierten HSMs gespeichert , die entweder in Ihrem eigenen sicheren Rechenzentrum oder in unserem gehostet werden. Im Bereich der Automatisierung unterstützt CertSecure Manager standardmäßig die Registrierung über REST-API, SCEP, EST, ACME und WSTEP, sodass Sie bei der Weiterentwicklung Ihrer Umgebung nicht auf eine einzige Implementierungsmethode beschränkt sind.

Fazit

Die Automatisierung der PKI wird unumgänglich, sobald die Gültigkeitsdauer von Zertifikaten auf 47 Tage verkürzt wird und die Anzahl der Maschinenidentitäten die der verwaltenden Personen übersteigt. Die Wahl der Methode – ob REST-API-Integration, SCEP, EST, ACME oder automatische Active Directory-Registrierung – ist weniger wichtig als die Wahl einer Lösung, die zu Ihrer Zertifizierungsstelle und Ihren Endpunkten passt. Anschließend muss der Erkennungs- und Erneuerungsprozess so gestaltet sein, dass kein Zertifikat jemals von der Erinnerung an ein Ablaufdatum abhängt. Wenn Ihr Unternehmen Managed PKI evaluiert oder die Verwaltung des Zertifikatslebenszyklus automatisieren möchte, sind PKI-as-a-Service und CertSecure Manager genau dafür entwickelt worden.

Häufig gestellte Fragen

Was ist PKI-Automatisierung?

Die PKI-Automatisierung ersetzt manuelle Zertifikatsanforderungen, Genehmigungen und Verlängerungen durch Protokolle und Tools wie die REST-API-Integration, SCEP, EST, ACME und die automatische Active Directory-Registrierung, die Zertifikate ausstellen, verlängern und widerrufen, ohne dass eine Person die Ablaufdaten manuell überwachen muss.

Warum ist die PKI-Automatisierung jetzt wichtig?

Der vom CA/Browser Forum am 11. April 2025 verabschiedete Wahlvorschlag SC-081v3 sieht eine schrittweise Reduzierung der maximalen Gültigkeitsdauer öffentlicher TLS-Zertifikate vor: ab dem 15. März 2026 auf 200 Tage, ab dem 15. März 2027 auf 100 Tage und ab dem 15. März 2029 auf 47 Tage. Eine so häufige manuelle Erneuerung der Zertifikate ist unrealistisch, weshalb die Automatisierung eher eine Notwendigkeit als eine Optimierung darstellt.

Worin besteht der Unterschied zwischen SCEP und EST?

Beide Verfahren automatisieren die Zertifikatsregistrierung, wobei SCEP den Austausch mit einem gemeinsamen Geheimnis und einem PKCS#7-kodierten CSR sichert, während EST selbst TLS zur Authentifizierung des Clients und zur Übertragung von Anfrage und Zertifikat verwendet. EST bietet zudem Unterstützung für Elliptische-Kurven-Kryptographie, die SCEP nicht bereitstellt.

Ersetzt ACME SCEP und EST?

Nein. ACME (RFC 8555) wird am häufigsten zur Automatisierung der Zertifikatsausstellung und -erneuerung bei öffentlichen und zunehmend auch privaten Zertifizierungsstellen eingesetzt, während SCEP und EST weiterhin gängig für die Registrierung verwalteter Geräte und Endpunkte sind. Viele Organisationen verwenden je nach Zertifikatstyp und anfragendem Endpunkt mehrere Protokolle.

Kann die PKI-Automatisierung auch in einer Nicht-Windows-Umgebung funktionieren?

Ja. Die REST-API-Integration, SCEP, EST und ACME funktionieren alle unter Android, Linux, iOS und Windows. Die automatische Active Directory-Registrierung und WSTEP sind die beiden Methoden, die speziell an die Zertifikatsinfrastruktur von Microsoft gebunden sind.

Wie kann Verschlüsselungsberatung bei der PKI-Automatisierung helfen?

Encryption Consulting bietet mit PKI-as-a-Service eine vollständige Auslagerung des PKI-Betriebs in On-Premise-, Cloud- oder Hybridumgebungen. Die CA-Schlüssel werden dabei in FIPS 140-3 Level 3-validierten HSMs gespeichert. CertSecure Manager unterstützt die Registrierung über REST API, SCEP, EST, ACME und WSTEP, sodass die Automatisierung nicht auf ein einzelnes Protokoll beschränkt ist.