Modernisierung von ADCS: Warum PKI ein einheitliches kryptografisches Statusmanagement benötigt

Veröffentlicht: Juni 2026 | Aktualisiert: August 2026

Seit über zwei Jahrzehnten ist Active Directory Certificate Services (ADCS) der stille Leistungsträger der Unternehmenssicherheit. Es stellte Zertifikate aus, die Domänencontroller authentifizierten, den internen Datenverkehr verschlüsselten, Code signierten und Mitarbeitern die Anmeldung mit Smartcards ermöglichten. Es funktionierte, weil es in einer weitgehend statischen Umgebung lief: eine bekannte Anzahl von Windows-Rechnern, eine einzige Gesamtstruktur, eine vorhersehbare Zertifikatsausstellungsrate und kryptografische Algorithmen, deren Änderung für eine ganze Generation erwartet wurde.

Diese Welt ist Geschichte. Die Anzahl der Identitäten, die ein Unternehmen schützen muss, bemisst sich nicht mehr an der Mitarbeiterzahl. Sie bemisst sich vielmehr an der Anzahl der Dienste, Container, Workloads, APIs und nun auch autonomer KI-Agenten, die ihre Identität nachweisen müssen, bevor sie auch nur ein einziges Byte an Daten austauschen. Kryptografie hat sich still und leise zu einer der wichtigsten operativen Abhängigkeiten im modernen Unternehmen entwickelt, doch die dazugehörige Governance hinkt hinterher. Die meisten Organisationen können Ihnen ihre Mitarbeiterzahl deutlich genauer nennen als die Anzahl der produktiv eingesetzten Zertifikate und Schlüssel, deren Eigentümer, die verwendeten Algorithmen oder deren Ablaufdatum.

Genau in dieser Lücke liegt das Risiko. Deshalb betrachten immer mehr Sicherheitsverantwortliche PKI nicht mehr als zu installierende Software, sondern als zu verwaltende Sicherheitsstrategie. Dieser Artikel beleuchtet die tatsächlichen Grenzen von ADCS in einer Cloud-basierten, maschinengesteuerten Umgebung, erklärt die praktische Bedeutung von kryptografischem Sicherheitsmanagement und zeigt einen pragmatischen Weg zur Modernisierung auf, ohne die bestehende Infrastruktur zu beeinträchtigen.

Wichtige Erkenntnisse

• ADCS erfüllt seine ursprüngliche Aufgabe nach wie vor gut. Es wurde jedoch nicht für Umgebungen mit mehreren Gesamtstrukturen, mehreren Cloud-Umgebungen oder einer Vielzahl von Maschinenidentitäten entwickelt, und die Erweiterung seines Anwendungsbereichs auf diese Bereiche birgt heutzutage die meisten PKI-Risiken.
• Maschinenidentitäten übertreffen menschliche Identitäten mittlerweile um etwa das 109-Fache (Palo Alto Networks' Identity Security Landscape Report 2026, Mai 2026), und 72 % der Unternehmen meldeten im vergangenen Jahr mindestens einen Ausfall im Zusammenhang mit Zertifikaten (CyberArk's 2025 State of Machine Identity Security Report).
• Laut Gartners CISO Role-Based Survey: State of the Union 2026 verfügen derzeit nur 8 % der Unternehmen über ein nutzbares kryptografisches Inventar. Dies ist das eigentliche Hindernis für die Einhaltung des NIST-Zeitplans 2030/2035 für die Abschaffung der Quantentechnologie.
• Cryptographic Posture Management (CPM) umschließt ADCS und alle anderen Zertifizierungsstellen, Schlüsselspeicher und Arbeitslasten mit einer kontrollierten Ebene der Erkennung, Besitzverwaltung, Risikobewertung und Automatisierung, sodass ADCS nicht entfernt werden muss, um die Lücke zu schließen.
• Ein praktischer Modernisierungspfad umfasst die Schritte Entdeckung, dann Härtung, dann zentralisiertes Lebenszyklusmanagement, dann Automatisierung in Maschinengeschwindigkeit, dann Post-Quanten-Testing, wobei jede Phase für sich genommen einen Mehrwert liefert, anstatt ein einzelnes disruptives Projekt zu erfordern.

Die stille Belastung für veraltete PKI

ADCS wurde für einen bestimmten Zweck in einer bestimmten Ära entwickelt und erfüllt diesen Zweck gut. Schwierigkeiten entstehen, wenn Unternehmen von ihm Aufgaben verlangen, für die es ursprünglich nicht konzipiert wurde. In Unternehmensumgebungen stoßen wir immer wieder auf mehrere strukturelle Grenzen.

Eine Zertifizierungsstelle, ein Server. ADCS bindet jede Zertifizierungsstelle an die Kerberos-Identität der Windows Server-Instanz, auf der sie ausgeführt wird. Das bedeutet, dass jede logische Zertifizierungsstelle effektiv einen eigenen Server benötigt. Skalierung ist keine Konfigurationsänderung, sondern erfordert ein weiteres Betriebssystem, das lizenziert, gepatcht, gesichert und geschützt werden muss. In großen Umgebungen mit mehreren Ebenen und vielfältigen Anwendungsfällen vervielfacht dies unbemerkt die Kosten und vergrößert die Angriffsfläche.

Die Grenzen von Gesamtstrukturen werden zu operativen Barrieren. In Organisationen mit mehreren Active Directory-Gesamtstrukturen lassen sich Zertifizierungsstellen nicht zentral über diese Grenzen hinweg verwalten. Administratoren müssen daher separate Konten und Konsolen für Umgebungen verwalten, die aus Risikosicht eigentlich als eine einzige verwaltet werden sollten. Die Transparenz ist genau dort fragmentiert, wo sie konsolidiert werden müsste.

Die Cloud erweist sich als unpassend. Da ADCS an Active Directory gebunden ist, funktioniert es in Cloud- und Multi-Cloud-Umgebungen nur schwer reibungslos. Moderne Workloads erfordern moderne Registrierungsprotokolle wie ACME , EST, CMP und REST. Der Wandel hin zu hybriden Arbeitsmodellen, containerisierten Anwendungen und DevOps-Pipelines verlangt eine Erweiterbarkeit, die eine Plattform aus dem Jahr 2012 nie bieten konnte.

Fehlkonfigurationen stellen das Standardrisiko dar. ADCS ist bekanntermaßen sehr leicht unsicher einzurichten. Zu freizügige Zertifikatvorlagen, schwache Registrierungseinstellungen und uneingeschränkte automatische Registrierung haben zu einer langen Liste gut dokumentierter Wege zur Rechteausweitung geführt. Unsichere ADCS-Implementierungen waren so verbreitet, dass sie auf der Liste der häufigsten Cybersicherheitsfehlkonfigurationen der NSA landeten. Die Plattform macht den sicheren Weg nicht offensichtlich, und gute Dokumentation war schon immer schwer zu finden.

Manuelle Lebenszyklusverwaltung ist nicht skalierbar, und die Daten belegen dies. Die automatische Registrierung per Gruppenrichtlinie ist zwar hilfreich für in Domänen eingebundene Windows-Geräte, doch sobald Linux-Server, macOS-Endpunkte, Netzwerkgeräte, Mobilgeräte und Cloud-Workloads hinzukommen, steigt der manuelle Aufwand rapide an. Der CyberArk- Bericht „State of Machine Identity Security 2025“ , für den 1,200 Sicherheitsverantwortliche in sechs Ländern befragt wurden, ergab, dass 72 % der Unternehmen im vergangenen Jahr mindestens einen Zertifikatsausfall erlebten . Jede nicht verwaltete Verlängerung birgt das Risiko eines zukünftigen Ausfalls.

Das alles bedeutet nicht, dass ADCS fehlerhaft ist. Es bedeutet lediglich, dass ADCS eine Umgebung steuern muss, die weitaus größer, schneller und heterogener ist als die, für die es ursprünglich konzipiert wurde. Die Belastung äußert sich selten durch einen dramatischen Ausfall. Sie zeigt sich beispielsweise durch ein abgelaufenes Zertifikat, das einen Zahlungsdienst an einem Samstagabend lahmlegt, eine vergessene interne Zertifizierungsstelle, die während eines Zwischenfalls entdeckt wird, oder einen Fragebogen zur Quantenbereitschaft, den niemand sicher beantworten kann.

Warum der Druck jetzt zunimmt

Drei Kräfte wirken gleichzeitig zusammen, und jede von ihnen erhöht unabhängig voneinander die Anforderungen an die Art und Weise, wie ein Unternehmen seine Kryptographie handhabt.

Maschinenidentitäten sind mittlerweile weitaus zahlreicher als Menschenidentitäten.

Der nicht-menschliche Identitätsperimeter hat sich stillschweigend zum dominanten entwickelt. Der Bericht „Identity Security Landscape 2026“ von Palo Alto Networks , veröffentlicht am 14. Mai 2026 und basierend auf den Antworten von 2,930 Cybersicherheitsentscheidern weltweit, zeigt, dass Unternehmen durchschnittlich 109 Maschinenidentitäten pro menschlicher Identität verwalten . Prognosen zufolge werden Maschinenidentitäten im nächsten Jahr um 77 % wachsen, während menschliche Identitäten nur um 56 % zunehmen. Servicekonten, API-Schlüssel, Cloud-Workload-Identitäten, SSH-Schlüssel und TLS-Zertifikate müssen ausgestellt, regelmäßig aktualisiert und außer Betrieb genommen werden – und jede dieser Berechtigungsinformationen ist ein gefundenes Fressen für Angreifer.

Agentenbasierte KI beschleunigt diesen Prozess dramatisch. Laut einem Bericht von Palo Alto Networks erwarten Unternehmen in den nächsten zwölf Monaten ein Wachstum von 85 % bei KI-Agenten. Autonome Agenten sind keine passiven Inhaber von Berechtigungen; sie fordern Berechtigungen zur Laufzeit an, starten Subagenten, rufen externe APIs auf und verketten Aktionen über Dutzende von Systemen hinweg, um eine Aufgabe zu erledigen. Jeder Agent und jede kurzlebige Teilaufgabe benötigt möglicherweise eine verifizierbare Identität. Autonome Agenten als vollwertige Akteure mit eigener, kurzlebiger und nachweisbarer kryptografischer Identität zu behandeln, wird zunehmend zur Standarderwartung. Eine PKI, die auf manuellen Vorlagen und serverseitigen Zertifizierungsstellen basiert, kann Identitäten nicht in diesem Tempo erstellen und verwerfen. Weitere Informationen zu den spezifischen Anforderungen dieser Entwicklung an PKI-Teams finden Sie in unserem Leitfaden zur Maschinenidentität für PKI-Teams.

Die Gültigkeitsdauer von Zertifikaten schrumpft.

Das CA/Browser Forum hat klare und ambitionierte Richtlinien für die Gültigkeit öffentlicher TLS-Zertifikate festgelegt. Die maximale Gültigkeitsdauer sinkt von 398 Tagen auf 200 Tage am 15. März 2026, dann auf 100 Tage am 15. März 2027 und schließlich auf 47 Tage am 15. März 2029 – eine achtfache Reduzierung der Gültigkeitsdauer jedes Zertifikats. Die manuelle Erneuerung war bereits bei jährlicher Aktualisierung aufwendig; bei einem halbjährlichen Rhythmus ist sie ohne Automatisierung praktisch unmöglich. Diese Regeln regeln zwar öffentlich vertrauenswürdige Zertifikate, prägen aber auch die kulturellen und technischen Erwartungen, die sich direkt auf den Betrieb interner PKI auswirken.

Die postquantenmechanische Uhr läuft.

Im Jahr 2024 finalisierte das NIST seine ersten Post-Quanten-Kryptographiestandards, darunter ML-KEM für die Schlüsselkapselung sowie ML-DSA und SLH-DSA für digitale Signaturen. Laut NIST IR 8547 (Erster öffentlicher Entwurf, November 2024) sollen RSA und ECC ab etwa 2030 als veraltet gelten und ab 2035 vollständig verboten sein. Diese Umstellung wird nahezu alle Zertifikate, Schlüssel und Protokolle betreffen, die in Unternehmen eingesetzt werden.

Die erfolgreichsten Organisationen werden nicht diejenigen sein, die erst 2029 mit der Migration beginnen; vielmehr werden diejenigen erfolgreich sein, die bereits wissen, welche Kryptografie sie einsetzen und Algorithmen austauschen können, ohne ihre Anwendungen neu zu strukturieren. Krypto-Agilität ist also kein nettes Extra mehr, sondern die Grundvoraussetzung für den erfolgreichen Übergang. Doch die Branche ist noch nicht so weit: Der DigiCert Quantum Readiness Outlook 2026, veröffentlicht am 23. Juli 2026 und basierend auf einer Umfrage unter 1,001 Sicherheitsverantwortlichen in Unternehmen, ergab, dass 87 % der Organisationen Post-Quanten-Kryptografie planen oder testen, aber nur 7 % sie flächendeckend implementiert haben.

Man beachte, dass alle drei Faktoren auf dieselbe grundlegende Schwäche hinweisen. Es liegt nicht daran, dass die Ausstellung einzelner Zertifikate schwierig ist. Vielmehr fehlt es Organisationen an einem einheitlichen, kontinuierlich aktualisierten Überblick über ihre kryptografische Infrastruktur und an der Automatisierung, um darauf zu reagieren. Genau dieses Problem soll das kryptografische Sicherheitsmanagement lösen.

Was kryptografisches Haltungsmanagement tatsächlich bedeutet

Kryptografisches Posture-Management (manchmal auch kryptografisches Sicherheits-Posture-Management oder CPM genannt) ist die Disziplin, alle kryptografischen Assets einer Organisation kontinuierlich zu erfassen, zu inventarisieren, zu bewerten und zu verwalten, um anschließend auf Basis dieser zentralen Datenquelle Korrekturmaßnahmen einzuleiten. Wenn Sie bereits wissen, wie Cloud-Posture-Tools eine Vielzahl falsch konfigurierter Cloud-Ressourcen in ein verwaltetes, richtlinienbasiertes Inventar umgewandelt haben, ist dies dasselbe Prinzip, angewendet auf Schlüssel, Zertifikate und Algorithmen.

In der Praxis beruht eine ausgereifte kryptografische Sicherheitsarchitektur auf einigen miteinander verbundenen Säulen.

Erkennung und Inventarisierung: Man kann nur steuern, was man sieht, und die meisten Unternehmen haben derzeit nur sehr wenig Einblick. Laut der Gartner-Studie „CISO Role-Based Survey: State of the Union 2026“ haben weniger als ein Viertel der Unternehmen messbare Fortschritte in Richtung Quanten-Readiness erzielt, und nur 8 % verfügen über ein nutzbares kryptografisches Inventar. Ausgangspunkt ist ein automatisierter, kontinuierlicher Scan, der Zertifikate und Schlüssel überall dort findet, wo sie gespeichert sind: in ADCS, in Cloud-Schlüsselspeichern, auf Load Balancern und Netzwerkgeräten, in Containern und CI/CD- Pipelines sowie eingebettet in Anwendungen. Das Ergebnis ist ein dynamisches Inventar , keine einmalige Tabelle, die schon am nächsten Tag veraltet ist. Unsere Analyse, warum netzwerkbasierte Scans allein die meisten realen kryptografischen Risiken übersehen, geht der Frage nach, warum diese 8 % so niedrig sind.

Kontext und Zuständigkeit: Ein Inventar ist erst dann sinnvoll, wenn jedes Asset Kontextinformationen enthält: welchen Algorithmus und welche Schlüssellänge es verwendet, wo es eingesetzt wird, was es schützt, wann es abläuft und – ganz entscheidend – wem es gehört. Unklare Zuständigkeiten zwischen PKI-, Cloud- und Infrastrukturteams sind einer der häufigsten Gründe für ein unzureichendes Krypto-Risikomanagement. Daher ist die eindeutige Zuweisung von Verantwortlichkeiten die halbe Miete.

Risikobewertung und Richtlinien: Mit dem vorhandenen Kontext können Sie die IT-Infrastruktur anhand der Richtlinien bewerten: Kennzeichnen Sie schwache oder veraltete Algorithmen, kurze Schlüssellängen, Zertifikate mit nahendem Ablaufdatum, selbstsignierte Zertifikate im Produktivbetrieb und jegliche nicht quantensichere Kryptografie . So wird aus einer abstrakten Sorge ein priorisierter, messbarer Aufgabenbestand.

Automatisierter Lebenszyklus und Fehlerbehebung: Transparenz ohne Handlung ist nur ein schönerer Bericht. Der Nutzen ergibt sich aus der automatisierten Ausstellung, Verlängerung, Rotation und dem Widerruf von Zertifizierungsstellen, die in jeder Umgebung einheitlich durchgesetzt werden. Wenn ein Algorithmus geändert oder eine Zertifizierungsstelle ersetzt werden muss, macht die Automatisierung dies zu einem vorhersehbaren, wiederholbaren Vorgang anstatt zu einem aufwendigen Projekt.

Krypto-Agilität: Das Ziel ist die Fähigkeit, kryptografische Algorithmen über verschiedene Protokolle und Infrastrukturen hinweg schnell und sicher zu ändern. Eine krypto-agilen Grundlage gewährleistet die konsistente Anwendung von Richtlinien über den gesamten Zertifikatslebenszyklus hinweg, sodass der Wechsel zu einem Post-Quanten-Algorithmus zu einem kontrollierten Rollout und nicht zu einem radikalen Upgrade wird. Unser Leitfaden zur Migration von Post-Quanten-Kryptografie beschreibt den 9-phasigen Fahrplan, der auf dieses Ziel hinarbeitet.

Die strategische Erkenntnis besteht darin, dass PKI sich von einer statischen Zertifikatsausgabemaschine zu einem gesteuerten und nachvollziehbaren System entwickelt. Ein Zertifikat ist nicht länger nur ein Ausweisdokument, das ausgegeben und dann vergessen wird; es ist ein Vermögenswert, dessen gesamter Lebenszyklus verfolgt, gemessen und kontrolliert wird. Dies ist der Wandel vom reinen Betrieb von PKI hin zum Management der kryptografischen Sicherheitslage.

ADCS allein vs. ADCS Plus: Einheitliches kryptografisches Statusmanagement

Keine der beiden Spalten ist für sich genommen falsch; die richtige Wahl hängt von der Größe und Struktur Ihres Anwesens ab. Nutzen Sie den Vergleich, um zu sehen, wo ADCS allein noch ausreicht und wo die oben beschriebenen Lücken sich bemerkbar machen.

Capability	ADCS allein	ADCS + Einheitliches kryptografisches Statusmanagement
Transparenz über Waldumgebungen, Cloud-Umgebungen und Nicht-Windows-Workloads hinweg	Beschränkt auf die einzelne AD-Gesamtstruktur, der ADCS angehört; Cloud-, Linux- und macOS-Ressourcen sind standardmäßig unsichtbar.	Kontinuierliche Erkennung über ADCS, Cloud-Schlüsselspeicher, Load Balancer, Container und CI/CD-Pipelines hinweg
Automatisierung des Zertifikatslebenszyklus	Automatische Gruppenrichtlinienregistrierung nur für in die Domäne eingebundene Windows-Geräte	API-gesteuerte Ausstellung und Verlängerung auf allen Plattformen, einschließlich 47-tägiger öffentlicher Zertifikatszyklen
Moderne Anmeldeprotokolle (ACME, EST, CMP, REST)	Wird nicht nativ unterstützt	Darüber hinaus wird eine weitere Ebene geschaffen, sodass Workloads und KI-Agenten automatisch kurzlebige, überprüfbare Identitäten erhalten.
Vorlagen- und Berechtigungshärtung	Manuelle Überprüfung; falsch konfigurierte Vorlagen stellen das Standardrisiko dar	Kontinuierliche Richtlinienprüfungen kennzeichnen riskante Vorlagen und Registrierungseinstellungen, sobald diese auftauchen.
Post-Quanten-Bereitschaft	Keine Transparenz auf Algorithmenebene; die ML-DSA-Unterstützung ist abhängig von der Betriebssystemversion und der Hotfix-Version.	Krypto-agil: Algorithmen können innerhalb des gesamten Systems von einem zentral verwalteten Inventar aus ausgetauscht werden.
Optimale Bildschirmwahl	Kleine, auf eine einzige Gesamtstruktur beschränkte Windows-Umgebungen mit geringem Zertifikatsvolumen	Multi-Forest-, Multi-Cloud- oder maschinenidentitätsintensive Umgebungen, die sich den PQC- und 47-Tage-Fristen von 2029 nähern

Die Tabelle stellt bewusst kein Urteil gegen ADCS dar. Die meisten Unternehmen befinden sich irgendwo in der rechten Spalte, obwohl sie ADCS weiterhin im Hintergrund nutzen, was genau dem unten beschriebenen Modernisierungspfad entspricht.

Modernisierung ohne alles abzureißen

Hier die beruhigende Nachricht für alle, die bei dem Begriff „kompletter Austausch“ zusammenzucken: Die Modernisierung der PKI erfordert nicht zwangsläufig die sofortige Aufgabe von ADCS, und in vielen Fällen ist dies sogar ratsam. ADCS kann weiterhin für bestimmte Windows-spezifische Anwendungsfälle bestens geeignet sein. Ziel ist es, die gesamte kryptografische Infrastruktur, einschließlich ADCS, in eine einheitliche Ebene für Transparenz, Automatisierung und Governance einzubetten und diese dort zu erweitern, wo die bestehende Plattform an ihre Grenzen stößt. Ein praktikabler Modernisierungspfad verläuft in der Regel in folgenden Schritten.

1. Ermitteln Sie die tatsächliche Datenbasis: Führen Sie eine kryptografische Analyse Ihrer gesamten Umgebung durch, um einen genauen Überblick über Ihre vorhandenen Ressourcen zu erhalten. Seien Sie auf Überraschungen gefasst: verwaiste interne Zertifizierungsstellen, vergessene Zertifikate, abgelaufene Stammzertifizierungsstellen, denen noch irgendwo vertraut wird, und Algorithmen, die längst hätten außer Betrieb genommen werden sollen. Diese Bestandsaufnahme bildet die Grundlage für alles Weitere.

2. Bestehende Systeme absichern und bewerten: Überprüfen Sie ADCS-Vorlagen, Registrierungseinstellungen und Berechtigungen auf bekannte Missbrauchspfade. Beheben Sie Fehlkonfigurationen, die eine Zertifizierungsstelle zu einem Einfallstor für Rechteausweitung machen. Bewerten Sie den Bestand hinsichtlich Richtlinien- und Quantenbereitschaft, um die tatsächlichen Sicherheitslücken zu identifizieren.

3. Zentralisierung des Lebenszyklusmanagements: Führen Sie eine übergeordnete Managementebene für den Zertifikatslebenszyklus Ihrer Zertifizierungsstellen (CAs), einschließlich ADCS, ein. So kann jedes Team Zertifikate an einer zentralen Stelle anfordern, verfolgen, automatisieren und Berichte erstellen. Dadurch werden ausfallgefährdende manuelle Erneuerungen vermieden und Multi-Cloud- sowie Nicht-Windows-Workloads unterliegen endlich derselben Governance wie alle anderen Systeme.

4. Automatisierung in Maschinengeschwindigkeit: Durch die Implementierung moderner Registrierungsprotokolle und API-gesteuerter Ausstellung erhalten Workloads, Container und KI-Agenten automatisch kurzlebige, verifizierbare Identitäten. Dadurch werden 47-tägige Zertifikatszyklen und temporäre Agentenidentitäten nachhaltig und nicht abschreckend.

5. Bereiten Sie sich auf den Übergang zur Post-Quanten-Kryptographie vor: Mit Bestandsverwaltung, Governance und Automatisierung wird Krypto-Agilität erreichbar. Sie können mit dem Testen von Hybrid- und Post-Quanten-Algorithmen beginnen, die Systeme identifizieren, die zuerst Aufmerksamkeit benötigen, und eine Migration planen, die sich nach Ihrem Zeitplan richtet und nicht nach den Fristen der Regulierungsbehörden. Folgen Sie dabei dem schrittweisen Ansatz in unserem Leitfaden zur Migration von Post-Quanten-Kryptographie.

So betrachtet, ist Modernisierung weniger ein einmaliges, disruptives Projekt als vielmehr eine kontinuierliche Verbesserung der Leistungsfähigkeit. Jede Phase schafft Mehrwert: Die Erkennung verringert blinde Flecken, die Härtung schließt Angriffswege, die Automatisierung verhindert Ausfälle und die Agilität minimiert die Risiken des Quantensprungs . Die bestehenden Investitionen in ADCS werden respektiert und nicht verworfen, und die dadurch entstehenden Lücken werden durch eine übergeordnete Steuerungsebene geschlossen.

Wie Verschlüsselungsberatung helfen kann

Die Modernisierung der PKI und der Aufbau eines effektiven kryptografischen Sicherheitsmanagements sind selten allein eine Frage der Tools. Sie erfordern eine Kombination aus Strategie, fundiertem technischem Know-how und konsequenter Umsetzung – und genau hier setzt Encryption Consulting an. Wir unterstützen Unternehmen beim Übergang von einer fragmentierten, manuell verwalteten Zertifikatsinfrastruktur zu einer kontrollierten, kryptoagilen Grundlage, die sowohl für autonome Systeme als auch für Post-Quanten-Standards gerüstet ist, ohne dabei einen radikalen Systemaustausch zu erzwingen.

PKI-Analyse und -Beratung: Wir bewerten Ihre bestehende ADCS- oder Drittanbieter-PKI anhand bewährter Sicherheitsverfahren, identifizieren Fehlkonfigurationen und Möglichkeiten zur Rechteausweitung und liefern Ihnen einen klaren Modernisierungsplan. Sie erhalten ein transparentes Bild Ihrer aktuellen Situation und einen priorisierten Plan für die nächsten Schritte.

PKI-as-a-Service: Unser PKIaaS -Angebot bietet Unternehmen eine professionell verwaltete, konforme und quantensichere PKI, ohne dass sie die Kontrolle über ihre Zertifizierungsstelle abgeben müssen. Es ist ideal für Teams, die die Ausfallsicherheit und Automatisierung moderner PKI nutzen möchten, ohne den gesamten Betrieb intern tragen zu müssen.

Zertifikatslebenszyklusmanagement mit CertSecure Manager: Unsere Plattform bietet zentrale Echtzeit-Transparenz über Zertifikatsbereitstellungen, Schlüsselnutzung und Lebenszyklusstatus in Zertifizierungsstellen und Cloud-Umgebungen. Dank ihrer Krypto-Agilität automatisiert sie Ausstellung, Verlängerung und Rotation und unterstützt Sie beim sicheren Übergang zu quantensicheren Zertifikaten im Zuge der Weiterentwicklung von Standards.

Kryptografische Erkennung und Inventarisierung, CBOM Secure: Wir führen einen umfassenden Scan durch, um ein vollständiges Inventar kryptografischer Assets in Ihren Systemen zu erstellen, das Risiko von Quanten- und Algorithmenangriffen zu bewerten und Ihnen die zentrale Datenquelle für Ihr Sicherheitsmanagement bereitzustellen. Erfahren Sie, wie der Quellcode-Sensor von CBOM Secure diese Erkennung bis hin zur in Ihrem eigenen Quellcode eingebetteten Kryptografie erweitert.

Bewertung der Post-Quanten-Kryptographie: Basierend auf den NIST PQC- Richtlinien und den finalisierten Algorithmusstandards helfen Ihnen unsere Beratungsleistungen beim Aufbau einer krypto-agilen Architektur und eines realistischen Migrationsplans , damit Sie rechtzeitig vor dem geplanten Ende der Quantenkryptographie im Jahr 2030 vorbereitet sind und nicht erst in letzter Minute versuchen müssen, die Anforderungen zu erfüllen.

Fazit

Für Führungskräfte, die über die Verteilung des Sicherheitsbudgets entscheiden, lassen sich die Vorteile eines einheitlichen kryptografischen Statusmanagements auf vier leicht nachvollziehbare Ergebnisse gegenüber dem Vorstand reduzieren. Erstens verhindert es vermeidbare Ausfallzeiten: Abgelaufene Zertifikate zählen nach wie vor zu den häufigsten und peinlichsten Ursachen selbstverschuldeter Ausfälle, und die Automatisierung beseitigt diese Fehlerquelle.

Zweitens verringert es die Angriffsfläche, indem es Fehlkonfigurationen und unkontrollierte Anmeldeinformationen beseitigt, nach denen Angreifer aktiv suchen. Drittens vereinfacht es Compliance und Audits von einer Notfallmaßnahme zu einer Routineaufgabe, da Inventarisierung und Richtliniendurchsetzung bereits vorhanden sind. Viertens sichert es die Zukunftsfähigkeit des Unternehmens gegenüber dem Trend sinkender Zertifikatsgültigkeitsdauern und den Anforderungen nach der Quantentechnologie und schützt es so vor einer kostspieligen, überstürzten Migration.

Für die technischen Teams, die täglich damit arbeiten, ist der Nutzen unmittelbarer: weniger nächtliche Nachrichten, weniger Tabellenkalkulationen, weniger individuelle Skripte und ein einheitliches, nachvollziehbares Bild der Kryptografie, das sie auch dann vertreten können, wenn die Führungsebene oder ein Auditor kritische Fragen stellt. Die Interessen von Vorstand und operativem Geschäft decken sich hier optimal, was bei Sicherheitsinvestitionen nicht immer der Fall ist.

Die Kernbotschaft ist für beide Zielgruppen dieselbe: Kryptografie hat sich zu einer grundlegenden Infrastruktur entwickelt, und eine so wichtige Infrastruktur lässt sich nicht mit implizitem Wissen und manueller Arbeit betreiben. Sie muss erfasst, verwaltet, automatisiert und flexibel gestaltet werden. ADCS kann weiterhin Teil dieses Gesamtbildes sein, aber nicht mehr das gesamte Bild abdecken.

Häufig gestellte Fragen

Ist kryptografisches Haltungsmanagement dasselbe wie eine kryptografische Stückliste (CBOM)?

Nein, aber sie sind eng miteinander verwandt. Ein CBOM (Cryptographic Posture Management) ist die strukturierte Inventarausgabe: eine Liste aller verwendeten kryptografischen Assets, Algorithmen und Schlüssellängen. Das Kryptografische Posture Management ist die kontinuierliche Disziplin, die auf diesem Inventar aufbaut, es ständig aktualisiert, anhand von Richtlinien bewertet und Korrekturmaßnahmen automatisiert. Ein CBOM ist eine Momentaufnahme; das Kryptografische Posture Management hält diese Momentaufnahme aktuell und nutzbar.

Muss ich ADCS ersetzen, um kryptografisches Posture-Management einzuführen?

Nein. Cryptographic Posture Management ergänzt ADCS, anstatt es zu ersetzen. Unternehmen nutzen ADCS typischerweise weiterhin für Windows-zentrierte Anwendungsfälle wie Smartcard-Anmeldung und Domänencontroller-Authentifizierung und ergänzen es um eine darüberliegende Erkennungs-, Lebenszyklus- und Verwaltungsschicht, die auch Cloud-, Linux- und Nicht-Windows-Workloads abdeckt, für die ADCS ursprünglich nicht konzipiert war.

In welchem ​​Zusammenhang steht das kryptografische Haltungsmanagement mit der Migration zur Post-Quanten-Kryptographie (PQC)?

Das kryptografische Sicherheitsmanagement ist Voraussetzung für die Migration zu PQC und kein separates Projekt. Die NIST-Richtlinien sehen vor, RSA und ECC um das Jahr 2030 als veraltet zu betrachten und ab 2035 vollständig zu verbieten. Die Migration so vieler Algorithmen erfordert, dass man zunächst genau weiß, wo diese implementiert sind. Organisationen mit einem aktuellen kryptografischen Inventar können Algorithmen kontrolliert austauschen; Organisationen ohne ein solches Inventar migrieren blind.

Worin besteht der Unterschied zwischen Zertifikatslebenszyklusmanagement und kryptografischem Sicherheitsstatusmanagement?

Das Zertifikatslebenszyklusmanagement automatisiert die Ausstellung, Verlängerung und den Widerruf von Zertifikaten. Das kryptografische Sicherheitsmanagement ist umfassender: Es deckt Zertifikate, Verschlüsselungsschlüssel, Algorithmen und Protokolle für alle Zertifizierungsstellen, Cloud-Schlüsselspeicher und Anwendungen im Netzwerk ab und ergänzt diese um Risikobewertung und Richtliniendurchsetzung. Das Zertifikatslebenszyklusmanagement ist eine operative Säule eines umfassenden Sicherheitsmanagementprogramms.

Wie lange dauert der Aufbau eines vollständigen kryptografischen Inventars?

Die Zeitpläne variieren je nach Größe und Komplexität des Systems. Branchenübliche Migrationsleitfäden geben jedoch üblicherweise 12 bis 24 Monate allein für die Ermittlungsphase in großen Unternehmen an. Dies entspricht der gemeinsamen Empfehlung von CISA, NSA und NIST, frühzeitig mit der kryptografischen Ermittlung zu beginnen. Anstatt auf ein umfassendes Inventarisierungsprojekt zu warten, beginnt man mit risikoreichen, internetfähigen Assets und weitet das Projekt schrittweise aus. So können Teams Fortschritte aufzeigen und mit der Risikominderung beginnen, lange bevor das vollständige Inventar erfasst ist.

Weiterführende Lektüre von Encryption Consulting

Weitere Ressourcen zu den oben besprochenen Maschinenidentitätsdaten, dem PQC-Fahrplan und der kryptografischen Inventarisierung:

• Leitfaden zur Migration der Post-Quanten-Kryptographie (9 Phasen) legt den vollständigen Fahrplan für die Algorithmusumstellung dar, auf den in diesem Artikel immer wieder Bezug genommen wird.
• Der kryptografische blinde Fleck in Ihrer eigenen Infrastruktur erklärt, warum netzwerkbasiertes Scannen allein die meisten realen kryptografischen Risiken nicht erfasst und was ein vollständiges CBOM tatsächlich erfordert.
• Leitfaden zur Maschinenidentität für PKI-Teams geht näher auf das Verhältnis von 109 zu 1 der Maschinenidentität ein und erläutert, wie ein glaubwürdiges Maschinenidentitätsprogramm aussieht.
• PQC-Migration im Jahr 2026: Entwicklung einer Roadmap, die den Kontakt mit der Produktion übersteht. behandelt, wie die ML-DSA-Unterstützung von Microsoft in ADCS auf Windows Server 2025 die kurzfristige PQC-Planung verändert.
• Zukunftssicherung mit kryptografischer Bestandsaufnahme beschreibt den Aufbau des lebendigen Inventars, auf dem die Entdeckungssäule dieses Artikels basiert.