PKI-Wartung und vierteljährliche Bereinigung für Microsoft CA

Einführung

Veröffentlicht: April 2026 | Aktualisiert: August 2026 | Verfasst von Divyansh Dwivedi

Nur etwa ein Drittel der Unternehmen gibt an, einen vollständigen und aktuellen Überblick über ihren Zertifikatsbestand zu haben, und die meisten großen Microsoft AD CS-Umgebungen haben bereits einen Ausfall aufgrund eines abgelaufenen Zertifikats erlebt. Vierteljährliche Wartungsarbeiten an Zertifizierungsstellen verhindern, dass eine Microsoft-Zertifizierungsstelle auf diese Liste gerät – und das funktioniert nur, wenn Sicherung, Bereinigung und Validierung jedes Mal in genau dieser Reihenfolge erfolgen.

Die zentralen Thesen

• Durch die vierteljährliche Bereinigung wird verhindert, dass die Microsoft CA (AD CS)-Datenbank unkontrolliert anwächst, gleichzeitig wird aber so viel Kontrolle gewährleistet, dass in jedem Zyklus Backup, Ausführung und Validierung erfolgen.
• Erstellen Sie unmittelbar vor der Bereinigung immer eine aktuelle Datenbanksicherung und sichern Sie die HSM-geschützten CA-Privatschlüssel separat von der Datenbanksicherung über den vom HSM-Anbieter bereitgestellten Prozess.
• Arbeiten jederzeit weiterbearbeiten können. Jede Präsentation und jeder KI-Avatar, den Sie von Grund auf neu erstellen oder hochladen, certutil -deleterow für gezielte Anfragen oder Zertifikatsbereinigungen, und esentutl /d für die anschließende Offline-Verdichtung. AD CS muss nur für den Verdichtungsschritt angehalten werden.
• Manuelle, skriptbasierte und verwaltete Bereinigungsansätze unterscheiden sich hinsichtlich Aufwand, Fehlerrisiko und Protokollierung. In der folgenden Vergleichstabelle finden Sie die passende Methode für Ihre Umgebung.
• Die Bereinigung von Datenbanken ist eine Maßnahme zur Betriebshygiene, kein kryptografisches Risikomanagement. Ergänzend dazu sollten eine Überprüfung der kryptografischen Sicherheitslage und der Bereitschaft nach der Quantenüberprüfung für die Teile einer PKI durchgeführt werden, die durch die Bereinigung allein nicht erfasst werden.

Eine Microsoft -Zertifizierungsstelle (CA) ist eine der wichtigsten Komponenten in einer PKI-Umgebung (Public-Key-Infrastruktur) eines Unternehmens. Sie ist verantwortlich für die Ausstellung, Registrierung, den Widerruf und die Erneuerung digitaler Zertifikate, die verschiedene Anwendungsfälle unterstützen, darunter Benutzer- und Geräteauthentifizierung, Datenverschlüsselung, Identitätsmanagement und sichere Kommunikation (SS/TLS). Die Installation und Verwaltung einer CA ist keine einmalige Aufgabe. Eine CA ist keine wartungsfreie Einrichtung, sondern erfordert kontinuierliche Überwachung, regelmäßige Validierung und kontrollierte Bereinigung mit regelmäßigen Integritätsprüfungen, um den dauerhaften Betrieb ohne Unterbrechung der Zertifikatsdienste zu gewährleisten. Die Tools des Microsoft Active Directory Certificate Service (ADCS) unterstützen dies durch Backup-, Wiederherstellungs-, Datenbankverwaltungs-, CRL-Veröffentlichungs-, Vorlagenprüfungs- und Datenbankbereinigungsfunktionen.

Die Zertifizierungsstelle (CA) stellt Zertifikate über einen längeren Zeitraum aus, der Tage, Monate oder Jahre dauern kann, ohne dass dabei Probleme sichtbar sind. Im Hintergrund wächst die CA-Datenbank jedoch stetig an, da sie Einträge zu fehlgeschlagenen und abgelehnten Anfragen, widerrufenen und abgelaufenen Zertifikaten sowie veralteten CRL-Einträgen speichert. Da diese Einträge nicht automatisch bereinigt werden, sammeln sie sich über Monate und Jahre an und vergrößern so die Datenbank. Dadurch erhöht sich auch die Menge an veralteten Daten, die Administratoren bei der Fehlersuche oder bei Audits bearbeiten müssen.

In einer Microsoft-Fallstudie war die CA-Datenbank eines Kunden über Monate hinweg unerwartet stark angewachsen, ohne dass die Administratoren dies bemerkten. Das Problem wurde erst sichtbar, als die Datenbank fast die gesamte 55 GB große Partition belegt hatte, auf der sie gehostet wurde. In diesem Fall hatte eine Windows Server Enterprise CA-Datenbank bereits über 50 GB erreicht und wuchs weiter. Dies verdeutlicht, wie schnell unkontrollierte Datenansammlungen zu einem ernsthaften Betriebsproblem führen können.

Bei Encryption Consulting verstehen wir die PKI-Wartung als mehr als nur eine einfache Aufräumarbeit. Bevor Sie fehlgeschlagene Anfragen aus der Datenbank löschen, stellen Sie sicher, dass ein aktuelles und gültiges Backup der CA-Datenbank vorhanden ist, um das System bei Bedarf wiederherstellen zu können. Überprüfen Sie anschließend, ob die Datenbankpfade und der Speicherort korrekt konfiguriert sind und ausreichend Speicherplatz bieten. Die Bereinigung sollte dann kontrolliert erfolgen, wobei nur veraltete oder unnötige Datensätze wie abgelaufene oder fehlgeschlagene Anfragen entfernt werden.

Nach Abschluss der Bereinigung sollte die Datenbank komprimiert werden, um Speicherplatz freizugeben und die Leistung zu verbessern. Abschließend ist es unerlässlich zu überprüfen, ob die Kernfunktionen der Zertifizierungsstelle, einschließlich der CRL-Veröffentlichung und des Zertifikatswiderrufs, nach den Wartungsarbeiten weiterhin ordnungsgemäß funktionieren und verfügbar sind.

Warum das wichtig ist: Die Kosten nicht verwalteter CA-Datenbanken

Die oben genannte Microsoft-Fallstudie ist kein Einzelfall. Unabhängige Untersuchungen zu PKI in Unternehmen zeigen dasselbe Muster: Die Zertifikats- und CA-Hygiene ist weitgehend unterfinanziert, und diese Lücke äußert sich in Ausfällen.

• Laut dem „Global PKI Research Report 2026“ von DigiCert, einer globalen Umfrage unter mehr als 400 leitenden IT- und Sicherheitsexperten, die vom unabhängigen Marktforschungsunternehmen Omdia durchgeführt und im Juni 2026 veröffentlicht wurde, geben nur 34 % der Unternehmen an, einen vollständigen und aktuellen Überblick über ihre eigenen digitalen Zertifikate zu haben. Veraltete Einträge in der CA-Datenbank können ohne diese Transparenz leicht übersehen werden.
• Derselbe Bericht stellte fest, dass Organisationen, die ihre PKI-Abläufe modernisierten, eine Reduzierung der Ausfälle um 60 % und eine Verbesserung der Zertifikatslebenszyklusautomatisierung um 64 % verzeichneten. Dies belegt, dass manuelle, ad-hoc-Prozesse wie die Bereinigung nicht verwalteter Zertifizierungsstellen ein reales operationelles Risiko darstellen.
• Laut einer SwissSign-Umfrage aus dem Jahr 2025 unter PKI-Kunden in Unternehmen der DACH-Region gaben 80 % der größeren Organisationen (über 500 Mitarbeiter) an, Microsoft AD CS für ihre private PKI zu nutzen, und 74 % hatten in den letzten fünf Jahren einen Serviceausfall aufgrund eines abgelaufenen Zertifikats erlebt. Da AD CS die Grundlage für einen Großteil der privaten PKI bildet, besteht ein direkter Zusammenhang zwischen dem Zustand der zugrunde liegenden CA-Datenbank und dem Ausfallrisiko.

Das bedeutet nicht, dass die vierteljährliche Bereinigung allein jeden Ausfall verhindert. Ablauf von Zertifikaten und die zunehmende Größe der CA-Datenbank sind zwar verwandte, aber dennoch separate Probleme. Die Daten zeigen jedoch, dass PKI-Teams, die die Wartung als Routine und nicht als optional betrachten, durchweg weniger Vorfälle melden.

PKI-Wartung

Der erste und wichtigste Schritt bei der PKI-Wartung ist die Sicherstellung eines ordnungsgemäßen Backups. Sie sollten niemals mit der Bereinigung der CA-Datenbank beginnen, ohne einen Rollback-Punkt zu haben, damit Sie das System im Fehlerfall wiederherstellen können.

Mit Microsoft ADCS können Sie nun verschiedene Teile der Zertifizierungsstelle separat sichern, und genau hier liegt oft die Ursache für Verwirrung:

• A reine Datenbanksicherung Beinhaltet die CA-Datenbank und die Protokolle. Dies ist in der Regel ausreichend für Routineaufgaben wie die vierteljährliche Bereinigung, da lediglich Datenbankeinträge geändert werden.
• A vollständige CA-Sicherung ist wesentlich umfassender. Es beinhaltet die CA-Datenbank und -Protokolle, das CA-Zertifikat und den privaten Schlüssel sowie zugehörige CA-Konfigurationsdaten wie Registrierungseinstellungen.

Diese Unterscheidung ist wichtig, da eine Datenbanksicherung allein die Zertifizierungsstelle im Falle eines Ausfalls nicht vollständig wiederherstellen kann; sie hilft lediglich dabei, Datenbankänderungen rückgängig zu machen.

Bei Hardware-Sicherheitsmodulen (HSMs) gibt es einen weiteren kritischen Punkt : Wenn Ihr CA-Privatschlüssel in einem HSM gespeichert ist, können Sie ihn nicht wie einen herkömmlichen Softwareschlüssel sichern. Stattdessen müssen Sie das vom HSM-Anbieter (z. B. Luna oder nShield) vorgegebene Sicherungsverfahren befolgen. Andernfalls kann die Zertifizierungsstelle unter Umständen nicht wiederhergestellt werden.

Eine „gesunde“ Zertifizierungsstelle zeichnet sich nicht nur durch die Ausstellung von Zertifikaten aus, sondern auch dadurch, dass Kunden diesen Zertifikaten vertrauen und sie überprüfen können. Vereinfacht gesagt: Wenn ein Zertifikat ausgestellt wird, akzeptieren Kunden es nicht einfach blind. Sie prüfen:

• Ob das Zertifikat widerrufen wurde (über CRL/OCSP → CDP-Standorte)
• Wer hat das Zertifikat ausgestellt und wie kann die Kette aufgebaut werden (über AIA-Standorte)?

Selbst wenn Ihre Zertifizierungsstelle Zertifikate einwandfrei ausstellt, ist sie nicht voll funktionsfähig, wenn die zugehörigen Dienste nicht funktionieren oder nicht erreichbar sind. Daher sollte die Wartung auch die Überprüfung der Erreichbarkeit der CRL-Verteilungspunkte (CDP) , die Sicherstellung der Korrektheit und Erreichbarkeit der AIA-URLs (Authority Information Access) sowie die Überprüfung der ordnungsgemäßen Veröffentlichung und Aktualisierung der Widerrufsdaten umfassen.

Eine einfache und effektive Methode hierfür in Microsoft-Umgebungen ist die Verwendung von pkiview.msc auf der ausstellenden Zertifizierungsstelle. Dieses Skript bietet einen schnellen Überblick über den Zustand Ihrer PKI. Es zeigt an, ob CDP/AIA-URLs erreichbar sind, kennzeichnet abgelaufene oder fehlende Sperrlisten (CRLs) und hebt etwaige Probleme mit der Kette oder der Veröffentlichung hervor.

In Microsoft ADCS-Umgebungen bietet der Befehl `certutil -deleterow` gezielte Bereinigungsoptionen, abhängig vom Typ der zu löschenden Daten. Die Bereinigung von Anfragen konzentriert sich beispielsweise auf fehlgeschlagene oder ausstehende Anfragen und basiert in der Regel auf dem Zeitpunkt ihrer Einreichung. Die Zertifikatsbereinigung hingegen bezieht sich auf abgelaufene oder widerrufene Zertifikate und basiert auf deren Ablaufdatum. Diese Unterscheidung ist wichtig, da die Bereinigung gezielt und gemäß definierten Aufbewahrungsrichtlinien erfolgen sollte. So wird sichergestellt, dass nur unnötige Datensätze entfernt werden, ohne wichtige Prüf- oder Betriebsdaten zu beeinträchtigen.

Nach Abschluss der Bereinigung kann eine Komprimierung der Zertifikatsdatenbank erforderlich sein, um ungenutzten Speicherplatz freizugeben. Hierfür wird der Befehl `esentutl /d` verwendet, um die ESE-Datenbank (Extensible Storage Engine) offline zu defragmentieren und zu komprimieren. Dieser Schritt ist besonders wichtig nach dem Entfernen veralteter Datensätze, da er die Datenbank reorganisiert und ihre physische Größe reduziert. Dadurch werden die Leistung verbessert, die Speichernutzung optimiert und die CA-Datenbank in einen saubereren und effizienteren Zustand versetzt.

Bedeutung der vierteljährlichen Reinigung

Die vierteljährliche Bereinigung bietet einen praktischen und ausgewogenen Ansatz für die Administration von CA-Systemen. Sie erfolgt häufig genug, um ein langfristiges Anwachsen der Datenbank zu verhindern, und gleichzeitig kontrolliert genug, um sich in einen strukturierten Wartungsprozess einzufügen, der Überprüfung, Datensicherung, Ausführung und Validierung nach Änderungen umfasst. Anstatt zu warten, bis die CA-Datenbank zu groß oder schwer zu verwalten wird, können Administratoren regelmäßig nicht mehr benötigte Daten entfernen und gleichzeitig einen Wiederherstellungspunkt für das Wartungsfenster sichern.

Die vierteljährliche Wartung hilft Ihnen auch dabei, diszipliniert Backups und Wiederherstellung durchzuführen. Bevor Sie mit der Bereinigung beginnen, sollten Sie ein aktuelles Backup der Zertifizierungsstelle erstellen, damit dieses den aktuellen Zustand der Datenbank genau widerspiegelt. Wenn Sie sich auf ein älteres Backup verlassen, entspricht dieses möglicherweise nicht mehr den neuesten Änderungen und ist daher für die Wiederherstellung weniger geeignet. In der Praxis ist es daher am sichersten, unmittelbar vor Beginn der Bereinigung ein Backup zu erstellen. Dies bietet Ihnen einen zuverlässigen Wiederherstellungspunkt, falls während der Wartungsarbeiten etwas schiefgeht.

Auswahl einer Bereinigungsmethode: Manuell, skriptbasiert oder verwaltet

Nicht jede Microsoft-CA-Umgebung sollte auf dieselbe Weise bereinigt werden. Die richtige Methode hängt von der Anzahl der eingesetzten CAs, dem vorhandenen internen PKI-Know-how und dem Umfang der benötigten Prüfnachweise ab. Die folgende Tabelle vergleicht die drei gängigen Ansätze.

Für die meisten Organisationen, die eine einzelne ausstellende Zertifizierungsstelle (CA) mit einem echten Quartalszyklus betreiben, bietet ein gut getestetes PowerShell-Skript die beste Lösung. Umgebungen mit mehreren CAs, einer Offline-Root-Zertifizierungsstelle und begrenztem internem PKI-Personal erzielen in der Regel konsistentere Ergebnisse und eine übersichtlichere Protokollierung durch Managed Support.

Ein praktischer vierteljährlicher Bereinigungsprozess für Microsoft CA

Ein praktischer vierteljährlicher Bereinigungsprozess für Microsoft CA sollte einer definierten und wiederholbaren Abfolge folgen, um sicherzustellen, dass die Datenbankwartung sicher durchgeführt wird, wobei vor jeder Änderung ein klarer Rollback-Punkt festgelegt und nach Abschluss der Aktivität eine ordnungsgemäße Validierung durchgeführt wird.

Schritt 1: Vorreinigungsprüfungen durchführen

Vor Beginn der Aktivität sollten Administratoren den Zustand der ausstellenden Zertifizierungsstelle (CA) überprüfen und sicherstellen, dass auf dem Server ausreichend Speicherplatz vorhanden ist. Dies ist wichtig, da sowohl die Datensicherung als auch die Offline-Datenbankkomprimierung Speicherplatz benötigen. Befindet sich die CA in einer virtuellen Umgebung, kann die Erstellung eines VM-Snapshots – vorbehaltlich der betrieblichen Standards des Unternehmens – eine zusätzliche Rollback-Sicherheitsmaßnahme bieten.

Schritt 2: Erstellen Sie vor der Wartung eine Sicherung der CA-Datenbank.

Nachdem die Umgebung vorbereitet wurde, muss die CA-Datenbank gesichert werden, bevor Datensätze gelöscht werden. Dies erfolgt über die Zertifizierungsstellenkonsole. Klicken Sie dazu mit der rechten Maustaste auf die CA, wählen Sie die Sicherungsoption und anschließend nur die Zertifikatsdatenbank und das Zertifikatsdatenbankprotokoll für diese Wartungsaufgabe aus. Diese Sicherung dient der Datenbanksicherung für den Wartungs-Rollback und ist keine vollständige CA-Sicherung. Falls eine vollständige CA-Sicherung erforderlich ist, müssen das CA-Zertifikat und der private Schlüssel separat gesichert werden.

Dieser Schritt ist von entscheidender Bedeutung, da er den Ausgangspunkt für die Bereinigungsmaßnahmen festlegt.

Schritt 3: Führen Sie das Bereinigungsskript oder den certutil-basierten Bereinigungsprozess aus.

Nachdem die Datensicherung durchgeführt wurde, kann der Bereinigungsprozess auf der ausstellenden Zertifizierungsstelle ausgeführt werden. In diesem Schritt sollte der Administrator das genehmigte PowerShell-Skript oder den Befehlssatz der Bereinigungsrichtlinie ausführen und das Stichtagsdatum angeben, bis zu dem Datensätze gelöscht werden sollen.

So löschen Sie abgelaufene Zertifikate:

certutil -deleterow Zertifikat

So löschen Sie fehlerhafte Zertifikate:

certutil -deleterow Anfrage

So löschen Sie widerrufene Zertifikate:

certutil -deleterow "ExpiredRevokedCerts"

Der Prozess sollte so gestaltet sein, dass zunächst übereinstimmende Datensätze identifiziert, die Gesamtzahl angezeigt und anschließend eine explizite Bestätigung vor dem Löschvorgang angefordert wird. Dies ist wichtig, da die Bereinigung von Microsoft-Zertifizierungsstellen datensatzspezifisch ist. Die Bereinigung von Anfragen zielt auf fehlgeschlagene und ausstehende Anfragen ab, während die Bereinigung von Zertifikaten abgelaufene und widerrufene Zertifikate betrifft. Daher sollte der Administrator vor dem Fortfahren genau bestätigen, welche Datensätze gelöscht werden sollen.

Schritt 4: Überprüfen Sie den Abschluss der Bereinigung und bereiten Sie die Datenbankwartung vor.

Nach erfolgreichem Abschluss des Löschvorgangs muss die Datenbankwartung vorbereitet werden. Die Bereinigung veralteter Zeilen hat zwar den logischen Inhalt der CA-Datenbank reduziert, die physische Datenbankdatei kann jedoch immer noch größer als nötig sein. Um ungenutzten Speicherplatz freizugeben, sollte eine Offline-Datenbankkomprimierung durchgeführt werden.

Bevor dies geschieht, sollte der Administrator sicherstellen, dass der Bereinigungsprozess vollständig abgeschlossen ist und keine anderen Wartungsarbeiten auf der CA durchgeführt werden.

Schritt 5: AD CS stoppen

Der Active Directory-Zertifikatdienste-Dienst muss vor jeder Offline-Datenbankoperation beendet werden. Dies ist ein notwendiger Bestandteil des Wartungsprozesses, da die Datenbankkomprimierung nicht durchgeführt werden darf, während die CA-Datenbank aktiv genutzt wird.

Durch das Anhalten von AD CS wird sichergestellt, dass die Datenbank während der Wartungsarbeiten in einem stabilen Zustand bleibt.

Schritt 6: Bestätigen Sie den Pfad zur CA-Datenbank

Nachdem der Dienst beendet wurde, sollte der Administrator den genauen Speicherort der Zertifikatsdatenbankdatei in den Eigenschaften der Zertifizierungsstelle überprüfen, anstatt sich auf einen angenommenen Standardpfad zu verlassen. Dies kann erfolgen, indem die Konsole der Zertifizierungsstelle geöffnet, mit der rechten Maustaste auf die Zertifizierungsstelle geklickt, „Eigenschaften“ ausgewählt und anschließend zum Tab „Speicher“ navigiert wird.

In vielen Umgebungen wird die Zertifikatsdatenbank unter folgendem Pfad gespeichert:

C:\Windows\System32\CertLog

Der tatsächliche Name der EDB-Datei hängt jedoch vom Namen der Zertifizierungsstelle ab. In der Beispielumgebung lautet die Datenbankdatei:

Encon Issuing CA.edb

Die Überprüfung des Pfads zur Live-Datenbank in dieser Phase hilft, zu vermeiden, dass Wartungsarbeiten an der falschen Datei durchgeführt werden.

Schritt 7: Offline-Datenbankkomprimierung durchführen

Nachdem der Administrator den korrekten Pfad zur EDB-Datei bestätigt hat, sollte er zum Verzeichnis der Zertifikatsdatenbank navigieren und die Offline-Kompaktierung mit esentutl /d ausführen.

Ejemplo:

esentutl /d "C:\Windows\System32\CertLog\Encon Issuing CA.edb"

Dieser Schritt defragmentiert und komprimiert die CA-Datenbank, nachdem veraltete Datensätze entfernt wurden. Er ist besonders nützlich, wenn eine große Anzahl fehlerhafter, abgelaufener oder widerrufener Datensätze gelöscht wurde, da er dazu beiträgt, ungenutzten Speicherplatz in der Datenbank freizugeben und die Datenbankhygiene zu verbessern.

Schritt 8: Erstellen Sie nach der Wartung eine neue Datensicherung.

Nach erfolgreichem Abschluss der Komprimierung sollte eine neue Sicherung der CA-Datenbank erstellt werden. Diese dient als neuer, sauberer Wiederherstellungspunkt nach Wartungsarbeiten und bewahrt den Zustand der CA-Datenbank nach der Bereinigung und Komprimierung.

Dieser Schritt ist genauso wichtig wie die Sicherung vor der Bereinigung, da er die Zertifizierungsstelle in ihrem aktualisierten und gepflegten Zustand erfasst.

Schritt 9: AD CS neu starten

Nachdem die Sicherung nach der Wartung abgeschlossen ist, muss der Active Directory-Zertifikatdienst neu gestartet werden. Der Administrator sollte überprüfen, ob der Zertifizierungsstellendienst ordnungsgemäß startet und ob keine unmittelbaren Fehler im Zusammenhang mit der Datenbank, den Zertifikatdiensten oder den Veröffentlichungsfunktionen auftreten.

Schritt 10: Durchführung der Validierung nach der Wartung

Der letzte Schritt ist die Validierung. Nachdem die Zertifizierungsstelle (CA) wieder online ist, sollten Administratoren überprüfen, ob die CA ordnungsgemäß funktioniert, die Zertifikatsdienste fehlerfrei laufen und die Veröffentlichungspunkte weiterhin gültig sind. Dazu gehört die Überprüfung des Status von AIA und CDP über pkiview.msc , die Überprüfung der CA-Konsole und die Bestätigung, dass die Wartungsarbeiten den normalen CA-Betrieb nicht beeinträchtigt haben.

Die vierteljährliche Bereinigung sollte erst dann als abgeschlossen betrachtet werden, wenn das CA bereinigt, komprimiert, erneut gesichert, erfolgreich neu gestartet und betriebsbereit validiert wurde.

Über die vierteljährliche Bereinigung hinaus: Kryptografische Sicherheitslage und Bereitschaft für die Zeit nach der Quantenintegration

Die vierteljährliche Datenbankbereinigung sorgt dafür, dass eine Microsoft-Zertifizierungsstelle schnell, gesichert und leicht zu prüfen ist. Sie gibt jedoch keine Auskunft darüber, welche Algorithmen, Schlüssellängen oder Zertifikatvorlagen die Zertifizierungsstelle tatsächlich ausgibt oder ob diese Einstellungen nach Ablauf der Fristen für die Migration nach der Quantenmigration noch als sicher gelten. Dies ist eine Frage der kryptografischen Sicherheit, keine Frage der Datenbankhygiene, und erfordert eine separate Transparenzebene zusätzlich zur oben beschriebenen Wartungsroutine.

Für Zertifizierungsstellen, die auf Windows Server laufen, beschreibt „Modernizing ADCS: Why PKI Needs Unified Cryptographic Posture Management“, wie ältere AD CS-Umgebungen dieses kryptografische Inventar ohne einen aufwändigen Austausch erhalten können, indem sie Tools wie CBOM Secure verwenden , um schwache oder veraltete Algorithmen aufzudecken, die bereits im Produktivbetrieb eingesetzt werden.

Im Hinblick auf die Migration beschreibt „PQC-Migration 2026: Entwicklung einer Roadmap, die den Produktivbetrieb übersteht“, wie die ML-DSA-Unterstützung von Microsoft in AD CS auf Windows Server 2025 die kurzfristige Planung nach der Quantenmigration für Teams verändert, die dieselbe CA-Infrastruktur betreiben, deren Bereinigungsprozess in diesem Leitfaden behandelt wird. Betrachten Sie diese Roadmap als nächsten Schritt, sobald Ihre vierteljährliche Wartung abgeschlossen ist, und nicht als Ersatz dafür.

Wie kann Verschlüsselungsberatung helfen? 

Die Verwaltung einer Microsoft-Zertifizierungsstelle geht weit über die anfängliche Bereitstellung hinaus. Sie erfordert kontinuierliche Aufmerksamkeit für die Datenbankintegrität, disziplinierte Datensicherung, die Veröffentlichung von Sperrlisten und regelmäßige Validierungsaktivitäten, die viele Unternehmen neben dem Tagesgeschäft nur schwer konsequent umsetzen können. Genau hier setzt die Verschlüsselungsberatung an. 

Unsere PKI-Bewertungsdienste bieten eine umfassende Analyse Ihrer bestehenden ADCS-Umgebung und decken Schwachstellen in der CA-Hygiene, den Backup-Praktiken, der CRL/AIA-Konfiguration und dem Datenbankzustand auf. Unabhängig davon, ob Ihre CA-Datenbank im Laufe der Zeit unkontrolliert gewachsen ist oder Ihre Wartungsprozesse unstrukturiert sind, liefert unser Team einen detaillierten Risikobericht sowie einen priorisierten Fahrplan, um Ihre PKI wieder in einen gesunden und auditierbaren Zustand zu versetzen.

Für Organisationen, die kontinuierliche Unterstützung anstelle einer einmaligen Überprüfung benötigen, bieten unsere PKI-Supportdienste abonnementbasierte Unterstützung rund um die Uhr. Dies umfasst die proaktive Wartung von Zertifizierungsstellen, die Überwachung von Sperrlisten, die Behebung von Datenbankproblemen und die Durchführung geführter vierteljährlicher Bereinigungen. So stellen wir sicher, dass Ihre Zertifizierungsstellenumgebung sauber, kompakt und betriebssicher bleibt, ohne Ihre internen Teams zu belasten.

Häufig gestellte Fragen

Wie oft sollte eine Microsoft CA-Datenbank bereinigt werden?

Vierteljährliche Überprüfungen sind der gängigste Rhythmus für Produktionszertifizierungsstellen. Dieser Rhythmus ist häufig genug, um ein unkontrolliertes Datenbankwachstum zu verhindern und gleichzeitig einen kontrollierten Zyklus für Datensicherung, Bereinigung und Validierung zu gewährleisten. Zertifizierungsstellen mit hohem Zertifikatsaufkommen, die Zehntausende von Zertifikaten pro Jahr ausstellen, benötigen möglicherweise monatliche Überprüfungen, während interne Zertifizierungsstellen mit geringem Aufkommen unter Umständen halbjährliche Überprüfungen durchführen können, sofern die Datenbankgröße und der Zustand der Sperrlisten (CRL) zwischendurch überwacht werden.

Worin besteht der Unterschied zwischen einer reinen Datenbanksicherung und einer vollständigen CA-Sicherung?

Eine reine Datenbanksicherung umfasst die CA-Datenbank und ihre Transaktionsprotokolle, was in der Regel für die Rückgängigmachung einer routinemäßigen Bereinigung ausreicht. Eine vollständige CA-Sicherung ergänzt diese um das CA-Zertifikat, den zugehörigen privaten Schlüssel und die registrierungsbasierte Konfiguration und ist erforderlich, um die CA selbst nach einem Serverausfall wiederherzustellen – nicht nur, um eine Bereinigung rückgängig zu machen.

Muss ich AD CS stoppen, um certutil -deleterow auszuführen?

Nein. `certutil -deleterow` entfernt Zeilen direkt aus der Live-Datenbank und erfordert kein Anhalten der Active Directory-Zertifikatdienste. Die Offline-Komprimierung mit `esentutl /d` erfordert hingegen das vorherige Anhalten der AD-Zertifikatdienste, da sie auf Dateisystemebene und nicht über die Live-Datenbank-Engine arbeitet.

Was passiert, wenn eine Microsoft CA-Datenbank nie bereinigt wird?

Fehlgeschlagene, abgelaufene und widerrufene Datensätze sammeln sich unbegrenzt an, da AD CS sie nicht automatisch löscht. Die Datenbankgröße wächst stetig, was die Sicherungs- und Wiederherstellungszeiten verlängert, Audits erschwert und schließlich den verfügbaren Speicherplatz belegen kann. In einem von Microsoft dokumentierten Fall wuchs eine unüberwachte CA-Datenbank auf über 50 GB an, bevor die Administratoren dies bemerkten, und erschöpfte damit beinahe die Speicherpartition des Servers.

Hat die Bereinigung der CA-Datenbank Auswirkungen auf Zertifikate, die Clients bereits besitzen?

Nein. Das Entfernen abgelaufener, fehlgeschlagener oder widerrufener Einträge aus der CA-Datenbank führt nicht zur Aufhebung oder Ungültigmachung bereits an Clients ausgestellter Zertifikate. Es werden lediglich historische Datensätze entfernt, die die CA operativ nicht mehr benötigt. Der Widerrufsstatus aktiver Zertifikate wird weiterhin separat über die CRL- und OCSP-Veröffentlichung geregelt.

Fazit

Die vierteljährliche Bereinigung der Zertifizierungsstellen (CA) sollte nicht als einfache Löschaktion betrachtet werden. Es handelt sich um eine kontrollierte PKI- Wartungsmaßnahme, die Datensicherung, sorgfältige Datensatzbereinigung, Offline-Datenbankwartung und Validierung nach Änderungen umfasst. Bei korrekter Durchführung verbessert sie die Datenbankhygiene, hält die CA-Administration überschaubar und unterstützt eine langfristig stabilere Betriebsführung der Microsoft PKI.

Für Organisationen, die Microsoft AD CS einsetzen, erzielt man die besten Ergebnisse, wenn die Wartung als integraler Bestandteil des gesamten PKI-Governance-Modells betrachtet wird. Backups sollten gezielt durchgeführt, Bereinigungen unter Berücksichtigung der Aufbewahrungsfristen vorgenommen und die Datenbankwartung sorgfältig durchgeführt werden. Jeder Wartungszyklus sollte mit der Überprüfung der Funktionsfähigkeit der Zertifizierungsstelle und der Integrität der Widerrufsveröffentlichung abgeschlossen werden. Dadurch wird die routinemäßige Wartung zu einer zuverlässigen und wiederholbaren PKI-Betriebspraxis.