Wie falsch verwaltete Zertifikate Ihre Infrastruktur gefährden

Fehlverwaltete Zertifikate sind digitale Zertifikate, die nicht überwacht, nicht erneuert oder unzureichend verwaltet werden, abgelaufene Anmeldeinformationen, schwache oder Schattenzertifikate sowie nicht widerrufene, kompromittierte Schlüssel. Sie sammeln sich unbemerkt an, bis ein Ablaufdatum zu einem Ausfall führt, eine Prüfung einen nicht erfassten Bestand aufdeckt oder ein kompromittierter privater Schlüssel zum Einfallstor für Sicherheitslücken wird. Digitale Zertifikate sind die stillen Arbeitspferde der Unternehmenssicherheit. Sie authentifizieren Server, verschlüsseln Datenverkehr, validieren Identitäten, signieren Code und schaffen das Vertrauen, das moderne Infrastrukturen zusammenhält. Und doch bleiben sie für die meisten Organisationen unsichtbar, bis eines von ihnen ausfällt.

Dieser Moment ist selten ruhig. Ein abgelaufenes Zertifikat kann ein Zahlungsportal während der Stoßzeiten lahmlegen, Mitarbeiter von internen Anwendungen aussperren, API-Integrationen zwischen kritischen Systemen unterbrechen oder die Verschlüsselung sensibler Daten unbemerkt deaktivieren. Das Zertifikat hat seine Aufgabe einwandfrei erfüllt, bis es plötzlich nicht mehr funktionierte – und dann breitet sich der Schaden bereits aus.

Falsches Zertifikatsmanagement ist eines der am meisten unterschätzten Risiken in der Unternehmens-IT. Es kündigt sich nicht so deutlich an wie ein Ransomware-Angriff oder eine Phishing-Kampagne. Es entsteht unbemerkt durch die Diskrepanz zwischen der Anzahl der Zertifikate, die ein Unternehmen zu besitzen glaubt, und der tatsächlichen Anzahl. Dieser Blog hilft Ihnen zu verstehen, wie diese Diskrepanz entsteht, wie falsch verwaltete Zertifikate Ihre Infrastruktur konkret gefährden und wie ein strukturierter Ansatz für das Zertifikatslebenszyklusmanagement aussieht.

Direkt zu: Zusammenfassung | Kurzcheckliste | Verantwortlichkeits- und Maßnahmenmatrix | Fallbeispiele aus der Praxis | Risikomatrix | Nächste Schritte

Executive Summary

Fehlerhaftes Zertifikatsmanagement ist nicht nur ein einzelner Fehler, sondern umfasst fünf verschiedene Risikokategorien: ungeplante Ausfälle, schwache Kryptografie, Schattenzertifikate, Compliance-Verstöße und verzögerte Reaktion auf Sicherheitsvorfälle. All diese Risiken haben dieselbe Ursache: Man weiß nicht, welche Zertifikate man tatsächlich besitzt. Laut der DigiCert Trust Pulse Survey erlebten 45 % der Unternehmen im vergangenen Jahr Ausfallzeiten aufgrund von Zertifikaten, und 37.5 % führten einen Ausfall auf ein abgelaufenes Zertifikat zurück. Reale Vorfälle bestätigen dies: Ein abgelaufenes Ericsson-Zertifikat legte im Dezember 2018 den Mobilfunkdienst für Millionen von O2- und SoftBank-Kunden lahm, und ein 19 Monate abgelaufenes Zertifikat verzögerte die Entdeckung des Datenlecks bei Equifax im Jahr 2017, wie aus einem Bericht des US-Repräsentantenhaus-Aufsichtsausschusses hervorgeht. Derweil sieht der Beschluss SC-081v3 des CA/Browser Forums, der am 11. April 2025 verabschiedet wurde, eine schrittweise Reduzierung der maximalen Gültigkeitsdauer öffentlicher TLS-Zertifikate auf 47 Tage bis März 2029 vor. Dies vervielfacht den operativen Aufwand, den die manuelle Zertifikatsverwaltung ohnehin schon nicht mehr bewältigen kann. Dieser Leitfaden beschreibt die spezifischen Risiken, erläutert reale Vorfälle und bietet PKI-, Sicherheits-, Plattform- und Compliance-Teams eine konkrete Checkliste und Risikomatrix, um diese Lücke zu schließen.

Checkliste zur schnellen Risikominderung bei Zertifikaten

Nutzen Sie diese Checkliste, um einzuschätzen, wie stark Ihre Organisation dem Risiko eines fehlerhaften Zertifikatsmanagements ausgesetzt ist.

• Vergewissern Sie sich, dass Sie über ein einziges, ständig aktualisiertes Inventar aller Zertifikate in On-Premise-, Cloud- und Hybridumgebungen verfügen.
• Bitte prüfen Sie, ob für jedes Zertifikat ein namentlich genannter, verantwortlicher Inhaber registriert ist.
• Bestätigen Sie, dass Verlängerung, Ausstellung und Widerruf automatisiert und richtliniengesteuert und nicht manuell erfolgen.
• Stellen Sie sicher, dass Ihr Team innerhalb weniger Minuten beantworten kann, wo ein bestimmtes Zertifikat eingesetzt wird und was davon abhängt.
• Stellen Sie sicher, dass Ihr Team modelliert hat, wie sich der 47-tägige TLS-Zertifikatszyklus auf das Erneuerungsvolumen in Ihrem gesamten Netzwerk auswirkt.

Eigentümer- und Aktionsmatrix des Teams

Fehler im Zertifikatsmanagement treten am häufigsten dann auf, wenn die Zuständigkeiten für Ermittlung, Ausstellung und Prüfung unklar sind. Im Folgenden wird erläutert, wie PKI-, Sicherheits-, Plattform- und Compliance-Teams die Verantwortlichkeiten aufteilen sollten.

Team	Hauptverantwortung	Schlüsselaktion
PKI-Team	Eigene Zertifikatsausstellungspolitik und Governance	Leiten Sie alle Zertifikatsanfragen über geregelte Arbeitsabläufe, um Schattenzertifikate zu vermeiden.
Sicherheitsteam	Eigene kryptografische Risiko- und Vorfallsreaktion	Gewährleisten Sie die Abdeckung der Zertifikatserkennung und stellen Sie sicher, dass ein schneller Widerruf für jeden kompromittierten Schlüssel möglich ist.
Plattform- und DevOps-Team	Eigene automatisierte Verlängerung und Überwachung	Automatisierte Ausstellung, Verlängerung und Ablaufbenachrichtigungen, sodass keine Zertifikate mehr auf manueller Nachverfolgung basieren.
Compliance-Team	Eigene Prüfnachweise für den Zertifikatsbestand	Führen Sie ein dokumentiertes, revisionssicheres Inventar, das den Anforderungen von PCI-DSS, HIPAA und NIST entspricht.

Warum Zertifikate zu einem blinden Fleck werden

Vor zehn Jahren verwaltete ein Unternehmen vielleicht einige hundert Zertifikate. Heute kann dasselbe Unternehmen problemlos Zehntausende oder Hunderttausende betreiben. Die Gründe dafür sind vielfältig: Microservices, die jeweils eine eigene Identität benötigen, containerisierte Workloads, die innerhalb von Minuten gestartet und beendet werden, Service Meshes zur Verschlüsselung des internen Datenverkehrs, IoT-Flotten, DevOps-Pipelines, Multi-Cloud-Bereitstellungen und die stetig sinkende Gültigkeitsdauer von Zertifikaten.

Die maximale Gültigkeitsdauer öffentlicher TLS -Zertifikate wird gemäß regulatorischer Vorgaben immer weiter reduziert, und die Branche tendiert zu deutlich kürzeren Gültigkeitszeiträumen. Kürzere Gültigkeitsdauern verbessern zwar die Sicherheit, da ein kompromittiertes Zertifikat weniger lange gefährlich bleibt, erhöhen aber gleichzeitig den Verwaltungsaufwand erheblich. Ein Zertifikat, das früher alle zwei Jahre erneuert werden musste, muss möglicherweise bald monatlich oder sogar noch häufiger erneuert werden. In einer großen Zertifikatsumgebung wird die manuelle Erneuerung mathematisch unmöglich.

So werden Zertifikate zu einem blinden Fleck, wenn die Menge die verfügbaren Tools übersteigt. Organisationen, die Zertifikate immer noch in Tabellenkalkulationen, verstreuten Skripten oder im Gedächtnis ein oder zweier erfahrener Ingenieure verwalten, kontrollieren nur einen Bruchteil dessen, was ihnen tatsächlich gehört. Der Rest ist unüberwacht, unkontrolliert und läuft stillschweigend dem Ablaufdatum entgegen.

Die spezifischen Risiken falsch verwalteter Zertifikate

Fehlerhaftes Zertifikatsmanagement führt nicht zu einem einzigen Fehlermodus, sondern eröffnet mehrere unterschiedliche Risikokategorien, von denen jede für sich genommen schwerwiegenden Schaden verursachen kann.

1. Ungeplante Ausfälle

Wenn ein Zertifikat, das einen Produktionsdienst schützt, ohne Vorwarnung abläuft, bricht der Dienst die Vertrauenswürdigkeit von Verbindungen ab und der Datenverkehr kommt zum Erliegen. Diese Ausfälle sind besonders schädlich, da sie häufig Systeme betreffen, die nicht aktiv überwacht wurden, was längere Erkennungs- und Wiederherstellungszeiten zur Folge hat.

Einige der bekanntesten Ausfälle der jüngeren Geschichte, die Telekommunikationsnetze, Cloud-Plattformen und wichtige Verbraucherdienste betrafen, ließen sich auf ein einziges abgelaufenes Zertifikat zurückführen. Die finanziellen Folgen summieren sich schnell durch Umsatzeinbußen, Kosten für Notfallmaßnahmen und den Produktivitätsverlust der Teams, die fieberhaft nach dem fehlerhaften Zertifikat und dessen Standort suchen.

Die Daten bestätigen, dass es sich hierbei um ein weit verbreitetes und nicht nur um ein vereinzeltes Problem handelt. Laut der DigiCert Trust Pulse Survey vom 2. Juli 2025 gaben 45 % der Unternehmen an, im vergangenen Jahr aufgrund von Zertifikatsausfällen Ausfallzeiten erlebt zu haben, und 37.5 % konnten einen Ausfall konkret auf ein abgelaufenes Zertifikat zurückführen. Quelle: digicert.com/news/digicert-survey-finds-manual-processes-expose-organizations . Der ITIC-Bericht „Hourly Cost of Downtime 2024“ ergab, dass die durchschnittlichen Kosten einer einzelnen Ausfallstunde für mehr als 90 % der mittelständischen und großen Unternehmen mittlerweile 300,000 US-Dollar übersteigen – die tatsächlichen Kosten einer einzigen versäumten Zertifikatsverlängerung. Quelle: itic-corp.com/itic-2024-hourly-cost-of-downtime-report.

2. Sicherheitslücken und schwache Kryptographie

Fehlendes Zertifikatsmanagement beschränkt sich nicht nur auf das Ablaufdatum. Ein unkontrollierter Zertifikatsbestand häuft kryptografische Schulden an. Zertifikate, die veraltete Algorithmen wie SHA-1, zu kurze Schlüssel wie RSA-1024 oder schwache Signaturverfahren verwenden, verbleiben im Netzwerk, da niemand Einblick in ihren Verbleib hat. Jedes einzelne dieser Zertifikate stellt eine Schwachstelle dar, die Angreifer ausnutzen können.

Darüber hinaus verfügen nicht nachverfolgte Zertifikate oft über schlecht geschützte private Schlüssel. Ein privater Schlüssel, der in einer Konfigurationsdatei gespeichert, fest in eine Anwendung einprogrammiert oder aus Bequemlichkeit zwischen Servern kopiert wird, stellt ein erhebliches Sicherheitsrisiko dar. Gelangt ein Angreifer in den Besitz dieses Schlüssels, kann er Ihre Dienste imitieren, Datenverkehr entschlüsseln oder Schadcode signieren, dem Ihre Systeme bedingungslos vertrauen.

3. Gefälschte, Schatten- und nicht autorisierte Zertifikate

Wenn die Zertifikatsausstellung nicht zentral gesteuert wird, kann jeder mit ausreichenden Zugriffsrechten Zertifikate anfordern oder selbstsignieren . Dadurch entsteht eine Schatten- PKI , also Zertifikate, die außerhalb jeglicher Richtlinien ausgestellt werden, oft von internen Teams, die schnell handeln wollen. Diese Zertifikate erfüllen möglicherweise nicht die Sicherheitsstandards, werden unter Umständen nie inventarisiert und bei der Stilllegung des zugrunde liegenden Systems möglicherweise nie widerrufen.

Schattenzertifikate sind gerade deshalb gefährlich, weil Sicherheitsteams nichts von ihrer Existenz wissen. Sie können weder überwacht, ausgetauscht noch widerrufen werden und stellen unkontrollierte Vertrauensbeziehungen dar, die in der gesamten Infrastruktur verankert sind.

4. Verstöße gegen die Compliance- und Prüfungsbestimmungen

Regulatorische Rahmenbedingungen in den Bereichen Finanzen, Gesundheitswesen, Verwaltung und kritische Infrastrukturen fordern zunehmend von Organisationen den Nachweis der Kontrolle über ihre kryptografischen Vermögenswerte. Standards wie PCI-DSS , HIPAA , NIST-Richtlinien und andere verlangen dokumentierte Zertifikatsverzeichnisse, festgelegte Schlüssellängen, definierte Eigentumsverhältnisse sowie nachvollziehbare Ausstellungs- und Widerrufsprozesse.

Eine Organisation, die kein korrektes Zertifikatsverzeichnis vorlegen kann, wird diese Audits nicht ohne Weiteres bestehen. Fehlmanagement führt zu Beanstandungen hinsichtlich der Compliance, was wiederum Nachbesserungskosten, Verzögerungen bei Geschäftsabschlüssen und in regulierten Branchen potenzielle Strafen nach sich zieht.

5. Gestörtes Vertrauen und verzögerte Reaktion auf Vorfälle

Wird ein Zertifikat oder dessen privater Schlüssel kompromittiert, muss umgehend reagiert werden: Das Zertifikat muss widerrufen, ein Ersatzzertifikat ausgestellt und der betroffene Schlüssel ausgetauscht werden. Allerdings kann man nur das widerrufen, was man finden kann. Organisationen ohne zentrale Übersicht können während eines solchen Vorfalls oft grundlegende Fragen nicht beantworten, beispielsweise wo ein bestimmtes Zertifikat eingesetzt ist, welche Systeme davon abhängen oder ob andere Systeme denselben kompromittierten Schlüssel verwenden.

Dadurch wird aus einer eigentlich gezielten und präzisen Reaktion eine langsame und unsichere Untersuchung, wodurch sich das Zeitfenster verlängert, in dem Angreifer das kompromittierte Vertrauen ausnutzen können.

Vorfälle aus der Praxis: Als falsch verwaltete Zertifikate zu Ausfällen führten

Dies sind keine hypothetischen Risiken. Fehlerhaftes Zertifikatsmanagement hat in der jüngeren Geschichte einige der gravierendsten und am besten dokumentierten Ausfälle und Sicherheitslücken verursacht.

Ericsson-Zertifikatsausfall stört O2- und SoftBank-Netzwerke (Dezember 2018)

Am 6. Dezember 2018 verursachte ein abgelaufenes Softwarezertifikat in Ericssons Netzwerkausrüstung einen Knotenausfall, der die mobilen Datendienste für rund 32 Millionen O2-Kunden in Großbritannien und mehrere zehn Millionen SoftBank-Kunden in Japan lahmlegte. Das O2-Netzwerk war innerhalb von etwa 24 Stunden weitgehend wiederhergestellt; der Ausfall bei SoftBank dauerte mehrere Stunden. Die Ursache lag in einem einzigen abgelaufenen Zertifikat, das Ericsson für die betroffenen Softwareversionen nicht erneuert hatte. Quelle : techradar.com/news/o2-network-outage-over-as-uk-4g-restored

Abgelaufenes Zertifikat verzögerte Erkennung des Equifax-Datenlecks (2017)

Ein Bericht des Aufsichtsausschusses des US-Repräsentantenhauses vom Dezember 2018 stellte fest, dass ein von Equifax zur Überprüfung des verschlüsselten Netzwerkverkehrs eingesetztes Sicherheitsgerät 19 Monate lang inaktiv war, da sein digitales Zertifikat abgelaufen war. Nach der Erneuerung des Zertifikats am 29. Juli 2017 entdeckten die Administratoren umgehend den Einbruch, der zum Datenleck bei Equifax im Jahr 2017 führte – einem der größten Verbraucherdatendiebstähle der Geschichte. Das abgelaufene Zertifikat war zwar nicht die Ursache des Datenlecks, verhinderte aber über anderthalb Jahre lang die Überprüfung des verschlüsselten Datenverkehrs und verzögerte so dessen Entdeckung. Quelle : oversight.house.gov/report/committee-releases-report-revealing-new-information-on-equifax-data-breach

Weltweiter Ausfall von Microsoft Teams (Februar 2020)

Am 3. Februar 2020 kam es weltweit zu einem mehrstündigen Ausfall von Microsoft Teams, nachdem Microsoft ein Authentifizierungszertifikat nicht erneuert hatte. Dadurch war ein Großteil der damals rund 20 Millionen täglich aktiven Nutzer direkt zu Beginn der Arbeitswoche ausgesperrt. Microsoft bestätigte das Problem und stellte innerhalb von etwa einer Stunde eine Lösung bereit, die jedoch für einige Nutzer länger dauerte. Quelle : geekwire.com/2020/microsofts-slack-competitor-teams-due-expired-authentication-certificate

Risikomatrix: Ursache, Auswirkung, Erkennung, Minderung und Verantwortlichkeit

Die nachfolgende Tabelle ordnet jede der fünf oben genannten Risikokategorien ihrer Ursache, ihren Auswirkungen auf das Geschäft, ihrer typischen Erkennungsmethode, ihren Minderungsmöglichkeiten, der verantwortlichen Person und der Beweisquelle für die Behauptung zu.

Risikokategorie	Verursachen	Auswirkungen auf das Geschäft	Erkennungsmethode	Mitigation	Eigentümer	Beweisquelle
Ungeplante Ausfälle	Das Zertifikat läuft ohne Verlängerung ab, da keine automatische Benachrichtigung oder Eigentumsnachweis vorliegt.	Serviceausfälle; DigiCert stellte fest, dass 45 % der Unternehmen von Zertifikatsausfällen betroffen sind, und ITIC beziffert die durchschnittlichen Kosten einer Stunde Ausfallzeit für die meisten mittelständischen und großen Unternehmen auf über 300,000 US-Dollar.	Überwachungs-Dashboards, synthetische Verfügbarkeitsprüfungen und von Kunden gemeldete Ausfälle	Automatisierte Benachrichtigungen über Verlängerung und Ablauf, verknüpft mit einem zentralen Zertifikatsbestand	Plattform- und DevOps-Team	DigiCert Trust Pulse Survey (2. Juli 2025); ITIC-Bericht zu den stündlichen Ausfallkosten 2024; Ericsson/O2/SoftBank-Vorfall (Dezember 2018)
Sicherheitslücken und schwache Kryptographie	Veraltete Schlüssellängen, veraltete Algorithmen oder außerhalb der Richtlinien ausgestellte Zertifikate	Erhöhtes Risiko von Sicherheitslücken und Man-in-the-Middle-Angriffen; wachsender Bearbeitungsrückstand aufgrund der Vervielfachung des Zertifikatsvolumens durch die 47-tägige Gültigkeitsdauer.	Kryptografische Erkennungsscans und Richtlinienkonformitätsprüfungen	Bei der Ausstellung Mindestschlüsselstärke und genehmigte Algorithmen durchsetzen; Neuausstellung automatisieren	Sicherheitsteam	CA/Browser Forum Abstimmung SC-081v3 (genehmigt am 11. April 2025)
Rogue-, Shadow- und nicht autorisierte Zertifikate	Teams oder Einzelpersonen stellen Zertifikate außerhalb der festgelegten Arbeitsabläufe aus.	Unerforschte Angriffsfläche; Zertifikate, die bei Prüfungen durchfallen oder missbräuchlich verwendet werden	Kontinuierliche Erkennung und Scans in Cloud-, On-Premise- und Hybridumgebungen	Alle Meldungen müssen über einen festgelegten Workflow geleitet werden; die Ergebnisse der Recherche werden mit dem Bestandsverzeichnis abgeglichen.	PKI-Team	Interne Ermittlung/Bestandsabgleich
Compliance- und Prüfungsfehler	Für den Zertifikatsbestand existiert kein dokumentiertes, nachvollziehbares Inventar oder Eigentumsnachweis.	Fehlgeschlagene PCI-DSS-, HIPAA- oder NIST-Audits; behördliche Feststellungen und Fristen für die Behebung von Mängeln	Interne und externe Compliance-Audits	Führen Sie ein stets aktuelles, dokumentiertes Inventar mit Eigentums- und Ausgabehistorie.	Compliance-Team	PCI-DSS-, HIPAA- und NIST-Auditanforderungen
Gestörtes Vertrauen und verzögerte Reaktion auf Vorfälle	Abgelaufene oder nicht überwachte Zertifikate auf Sicherheitsinspektionstools, Blinderkennungssysteme	Die Verweildauer des Verstoßes erstreckte sich über Monate; das Verkehrsüberwachungsgerät von Equifax war aufgrund eines abgelaufenen Zertifikats 19 Monate lang außer Betrieb.	Überprüfung des Zertifikatsstatus der gesamten Sicherheits- und Inspektionsinfrastruktur, nicht nur der kundenseitigen Systeme.	Integrieren Sie interne Sicherheitstools in die gleiche Automatisierung der Erkennung und Erneuerung von Zertifikaten wie in die Automatisierung von öffentlich zugänglichen Zertifikaten.	Sicherheitsteam	Bericht des Aufsichtsausschusses des US-Repräsentantenhauses zum Equifax-Datendiebstahl (Dezember 2018)

Interne PKI: Das Risiko im Inneren des Netzwerks

Die Aufmerksamkeit richtet sich bei Zertifikaten häufig auf das öffentlich zugängliche TLS, doch ein Großteil des Risikos liegt innerhalb des Netzwerks. Interne PKI stellt die Zertifikate aus, die Geräte bei VPNs und WLAN authentifizieren, die Kommunikation zwischen Maschinen sichern, internen Code signieren, E-Mails verschlüsseln und die Identität für IoT- und Betriebstechnologien festlegen.

Interne Zertifikate werden leicht vernachlässigt, gerade weil sie nicht kundenorientiert sind. Läuft ein internes Zertifikat jedoch ab oder wird es kompromittiert, hat dies weitreichende Folgen für Authentifizierungssysteme, interne Dienste und die Gerätekonnektivität. Eine schlecht geführte interne PKI ohne klare Zuständigkeiten, mit inkonsistenten Richtlinien und ohne automatisiertes Lebenszyklusmanagement ist eine der häufigsten und am meisten übersehenen Quellen für Zertifikatsrisiken in Unternehmen.

Wie ein gutes Zertifikatsmanagement tatsächlich aussieht

Die Lösung für fehlerhaftes Zertifikatsmanagement liegt nicht in einem nicht tragbaren manuellen Aufwand. Vielmehr ist es ein disziplinierter, automatisierter und zentralisierter Ansatz für den gesamten Zertifikatslebenszyklus. Mehrere Prinzipien definieren, wie dies in der Praxis aussieht.

Vollständige Transparenz durch Erkennung. Grundlage jedes Zertifikatsmanagementprogramms ist die kontinuierliche Erkennung, die jedes Zertifikat in On-Premise-, Cloud- und Hybridumgebungen findet – auch jene, deren Bereitstellung niemand mehr kennt. Die Erkennung muss fortlaufend erfolgen und darf nicht nur ein einmaliger Scan sein, da sich die Umgebung ständig verändert.

Zentralisierte Bestandsführung und Besitzverwaltung. Jedes Zertifikat sollte in einer einzigen, verlässlichen Quelle gespeichert sein, die Aussteller, Ablaufdatum, Schlüsselstärke, Speicherort und verantwortlichen Inhaber erfasst. Nur so wird sichergestellt, dass kein Zertifikat zwischen verschiedenen Teams verloren geht.

Automatisiertes Lebenszyklusmanagement. Ausstellung, Verlängerung und Widerruf von Zertifikaten sollten automatisiert und richtlinienbasiert erfolgen. Die Automatisierung beseitigt menschliche Fehler und verpasste Fristen, die die überwiegende Mehrheit der Zertifikatsausfälle verursachen, und ist die einzige Möglichkeit, mit den immer kürzeren Gültigkeitsdauern Schritt zu halten.

Richtliniendurchsetzung und -verwaltung. Ein wirksames Programm gewährleistet einheitliche Standards für Schlüssellängen, zugelassene Algorithmen, vertrauenswürdige Aussteller und Gültigkeitsdauern. Es verhindert die unkontrollierte Ausstellung von Zertifikaten, indem es alle Zertifikatsanfragen über geregelte Arbeitsabläufe leitet.

Proaktive Überwachung und Benachrichtigung. Ablaufdaten sollten niemals überraschend kommen. Das System sollte anstehende Verlängerungen frühzeitig anzeigen und die zuständigen Eigentümer benachrichtigen, bevor es zu einem kritischen Zustand kommt.

Krypto-Agilität für die Zukunft. Angesichts kürzerer Zertifikatsgültigkeitsdauern und der bevorstehenden Post-Quanten-Kryptographie muss die Infrastruktur in der Lage sein, Algorithmen zu wechseln und Zertifikate in großem Umfang ohne manuelle Nachbearbeitung neu auszustellen. Wer diese Agilität jetzt aufbaut, vermeidet späteren, kostspieligen Aufwand.

Wie Verschlüsselungsberatung helfen kann

Bei Encryption Consulting helfen wir Unternehmen, die Lücke zwischen den Zertifikaten, die sie zu haben glauben, und denen, die ihnen tatsächlich gehören, zu schließen und die Zertifikatsverwaltung von einer wiederkehrenden Notfallmaßnahme in eine kontrollierte, automatisierte Disziplin zu verwandeln.

CertSecure Manager ist unsere Lösung für das Zertifikatslebenszyklusmanagement, die entwickelt wurde, um alle in diesem Blog beschriebenen Risiken zu adressieren. Sie bietet kontinuierliche Erkennung in Cloud-, On-Premise- und Hybridumgebungen, ein zentrales Inventar mit klarer Zuständigkeit sowie vollautomatisierte Ausstellung, Verlängerung und Widerrufung von Zertifikaten. Durch die Eliminierung manueller Verlängerungen und die frühzeitige Anzeige von Ablaufdaten beseitigt CertSecure Manager die Hauptursache für zertifikatsbedingte Ausfälle und setzt gleichzeitig einheitliche Richtlinien für Schlüsselstärke, Algorithmen und vertrauenswürdige Aussteller durch, um die unkontrollierte Ausbreitung von Schattenzertifikaten zu verhindern.

CBOM Secure erweitert die Transparenz über Zertifikate hinaus auf Ihre gesamte kryptografische Landschaft. Es erkennt und inventarisiert die in Ihrer Umgebung verwendeten Algorithmen, Schlüssel und Protokolle und hilft Ihnen so, Schwachstellen in der Kryptografie zu identifizieren, die Behebung zu priorisieren und die nötige Krypto-Agilität für kürzere Zertifikatslaufzeiten und den späteren Übergang zu Post-Quanten-Algorithmen aufzubauen. Unser Beitrag „CBOM: Von der Bestandsaufnahme zur intelligenten Analyse“ zeigt Ihnen, wie aus dieser kryptografischen Bestandsaufnahme ein konkreter Behebungsplan entsteht.

Zertifikatsautomatisierung und Kryptoagilität sind nur die halbe Miete, sobald Post-Quanten-Kryptographie relevant wird. Unser PQC Center of Excellence bündelt Forschung, Tools und Beratung für die bevorstehende Migration. Unsere PQC-Readiness -Analyse zeigt Ihnen genau, wo Ihre Zertifikats- und Kryptografie-Landschaft im Hinblick auf diesen Übergang aktuell steht. So ist Kryptoagilität bereits vor dem Zusammentreffen des 47-Tage-Zertifikatsplans und der Post-Quanten-Fristen gewährleistet.

Für Organisationen, die eine moderne Zertifizierungsstelle benötigen, ohne diese intern betreiben zu müssen, bietet PKI-as-a-Service eine vollständig verwaltete, skalierbare PKI mit integrierter, starker Governance. HSM-as-a-Service gewährleistet zudem den Schutz der privaten Schlüssel Ihrer Zertifikate durch hochsichere, hardwarebasierte Schlüsselisolation und schließt damit eine der größten Schwachstellen in jeder Zertifikatslandschaft.

Im Beratungsbereich unterstützt unser PKI-Services- Team Unternehmen bei der Konzeption, dem Aufbau und der Modernisierung ihrer PKI-Umgebungen (Unternehmen und Microsoft) – von Grund auf mit klar definierter Hierarchie, Richtlinien und Verantwortlichkeiten. Unsere Verschlüsselungsberatung bietet strategische Unterstützung beim Aufbau eines robusten Zertifikats- und Schlüsselmanagementsystems, und unsere Compliance-Beratung stellt sicher, dass Ihre Zertifizierungspraktiken den Anforderungen von PCI-DSS, HIPAA, NIST und anderen regulatorischen Vorgaben entsprechen.

Ob Sie sich von einem kürzlich aufgetretenen Ausfall erholen, sich auf ein Audit vorbereiten oder proaktiv ein ausgereiftes Zertifikatsmanagementprogramm aufbauen möchten – Encryption Consulting bietet Ihnen die passenden Produkte und das nötige Know-how. Kontaktieren Sie uns , um Ihr Zertifikatsrisiko zu analysieren und eine Strategie für mehr Ausfallsicherheit zu entwickeln.

Was macht man als nächstes

Die Behebung der Mängel im Zertifikatsmanagement erfordert eine teamübergreifende Aufgabe. Hier sollte jedes Team ansetzen.

• PKI-Team: Prüfen Sie die aktuellen Ausstellungsworkflows auf Schattenpfade und leiten Sie jede Anfrage durch einen kontrollierten Prozess; stellen Sie sicher, dass der Umfang der Zertifikatserkennung Cloud-, On-Premise- und Hybridumgebungen gleichermaßen abdeckt.
• Sicherheits Team: Vergewissern Sie sich, dass nicht nur kundenorientierte Dienste, sondern auch interne Sicherheits- und Prüfwerkzeuge in die Zertifikatsüberwachung einbezogen sind, und bestätigen Sie, dass ein schneller Widerruf für jeden kompromittierten Schlüssel möglich ist.
• Plattform- und DevOps-Team: Die Benachrichtigungen über Ausstellung, Verlängerung und Ablauf von Zertifikaten sollten jetzt, noch vor dem 47-tägigen TLS-Zertifikatszyklus, auf die Automatisierung umgestellt werden, anstatt auf das Ende der Gültigkeitsdauer zu warten, um diese Änderung zu erzwingen.
• Compliance-Team: Bestätigen Sie, dass das Zertifikatsinventar prüfbare Nachweise, Eigentumsnachweise und Ausstellungshistorie liefert, die ausreichen, um die Anforderungen von PCI-DSS, HIPAA und NIST auf Anfrage zu erfüllen.

Fazit

Falsch verwaltete Zertifikate stellen ein Risiko dar, weil sie unsichtbar sind. Sie lösen keine Warnmeldungen aus und erscheinen nicht in Bedrohungsübersichten. Sie sammeln sich unbemerkt zwischen Teams und Tools an, bis ein Ablaufdatum einen kritischen Dienst lahmlegt, eine Prüfung unentdeckte Zertifikate aufdeckt oder ein kompromittierter privater Schlüssel zum Einfallstor für Sicherheitslücken wird.

Organisationen, die Zertifikate vernachlässigen, werden die Folgen weiterhin in Form von Ausfällen , fehlgeschlagenen Audits und Notfallmaßnahmen zu spüren bekommen. Diejenigen hingegen, die in Transparenz, Automatisierung und Governance investieren, machen Zertifikate wieder zu dem, was sie immer sein sollten: ein unauffälliges, verlässliches Fundament des Vertrauens und keine versteckte Risikoquelle.

Die Zertifikate Ihrer Infrastruktur laufen gerade ab. Die Frage ist nur, ob Sie sie im Auge behalten oder abwarten, bis es zu spät ist.

Häufig gestellte Fragen

Was ist die wichtigste Erkenntnis aus dem Artikel „Wie falsch verwaltete Zertifikate Ihre Infrastruktur gefährden“?

Fehlerhaftes Zertifikatsmanagement ist nicht nur ein, sondern gleich fünf Fehlerursachen: ungeplante Ausfälle, schwache Kryptografie, Schattenzertifikate, Compliance-Verstöße und verzögerte Reaktion auf Sicherheitsvorfälle. Alle fünf lassen sich auf dieselbe Ursache zurückführen: die Unkenntnis darüber, welche Zertifikate tatsächlich vorhanden sind. Und alle fünf sind durch kontinuierliche Erkennung, klare Verantwortlichkeiten und automatisiertes Lebenszyklusmanagement vermeidbar.

Warum ist das für das Zertifikatslebenszyklusmanagement in Unternehmen wichtig?

Jedes Zertifikat, das unerwartet abläuft, außerhalb der Richtlinien ausgestellt wird oder nicht überwacht wird, führt direkt zu Ausfallzeiten, Sicherheitslücken oder Compliance-Verstößen. Laut der DigiCert Trust Pulse Survey verzeichneten 45 % der Unternehmen im vergangenen Jahr Ausfallzeiten aufgrund von Zertifikaten. Da die Gültigkeit öffentlicher TLS-Zertifikate bis März 2029 auf 47 Tage sinkt, wird der Aufwand für die manuelle Überwachung weiter steigen.

Welche Teams sind für die Umsetzung dieser Richtlinien verantwortlich?

Vier Teams teilen sich die Verantwortung: das PKI-Team, zuständig für die Ausstellungsrichtlinien; das Sicherheitsteam, verantwortlich für kryptografische Risiken und die Reaktion auf Sicherheitsvorfälle; das Plattform- und DevOps-Team, zuständig für die automatisierte Erneuerung und Überwachung; und das Compliance-Team, das die revisionssicheren Nachweise über den Zertifikatsbestand verwaltet. Die Verantwortlichkeiten der einzelnen Teams sind in der Verantwortlichkeits- und Aufgabenmatrix in diesem Beitrag detailliert aufgeführt.

Welche Risiken erhöhen sich, wenn dieses Thema manuell behandelt wird?

Die manuelle Zertifikatsverwaltung erhöht das Risiko verpasster Verlängerungen, die zu Ausfällen führen, inkonsistenter Schlüsselstärke und ungeeigneter Algorithmen, die Sicherheitslücken schaffen, unkontrollierter Zertifikatsausstellung, die Schattenzertifikate erzeugt, und unvollständiger Datensätze, die bei Compliance-Prüfungen zum Scheitern führen. Sie verlangsamt zudem die Reaktion auf Sicherheitsvorfälle, da abgelaufene Zertifikate auf internen Sicherheitssystemen deren Erkennungssysteme monatelang blockieren können, wie der Vorfall bei Equifax im Jahr 2017 zeigte.

Wie reduziert Automatisierung das Risiko von Zertifikatsausfällen?

Die Automatisierung beseitigt menschliche Fehler und verpasste Fristen, die die überwiegende Mehrheit der Zertifikatsausfälle verursachen. Sie wickelt Ausstellung, Verlängerung und Widerruf nach einem festgelegten Zeitplan ab und meldet bevorstehende Abläufe frühzeitig, bevor diese kritisch werden. Zudem ist sie die einzige praktikable Möglichkeit, mit den immer kürzeren Gültigkeitsdauern Schritt zu halten, da das erforderliche Verlängerungsvolumen im 47-Tage-Rhythmus manuell nicht zu bewältigen ist.

Welche Kennzahlen sollten Teams nach der Implementierung verfolgen?

Verfolgen Sie die Vollständigkeit des Zertifikatsbestands (Anteil der Zertifikate, die aktiv ermittelt werden), die verbleibende Gültigkeitsdauer im Verhältnis zum Ablaufdatum, die Anzahl der Zertifikate ohne benannten Inhaber, gefundene Schatten- oder unautorisierte Zertifikate pro Scan sowie die Ergebnisse von Prüfungen im Zusammenhang mit der Zertifikatsverwaltung. Ein rückläufiger Trend bei diesen Kennzahlen ist das deutlichste Zeichen dafür, dass das Programm funktioniert.

Wie hängt das mit der 47-tägigen TLS-Zertifikatsbereitschaft zusammen?

Der vom CA/Browser Forum am 11. April 2025 verabschiedete Antrag SC-081v3 sieht eine schrittweise Reduzierung der maximalen Gültigkeitsdauer öffentlicher TLS-Zertifikate vor: auf 200 Tage im März 2026, 100 Tage im März 2027 und schließlich 47 Tage im März 2029. Alle in diesem Beitrag genannten Risiken – Ausfälle, Schattenzertifikate, Compliance-Lücken – verschärfen sich mit zunehmender Erneuerungshäufigkeit. Daher ist die automatisierte Verwaltung des Zertifikatslebenszyklus für die 47-tägige Gültigkeitsdauer unerlässlich und nicht nur wünschenswert.

Wie sollte dies in Multi-Cloud- oder Hybrid-PKI-Umgebungen gehandhabt werden?

Multi-Cloud- und Hybridumgebungen benötigen ein zentrales, kontinuierlich aktualisiertes Zertifikatsinventar, das alle Cloud-Anbieter, On-Premise-Systeme und Hybrid-Verbindungspunkte umfasst. Denn fragmentierte Transparenz ist genau die Ursache für die Ansammlung von Schattenzertifikaten und nicht nachverfolgten Ablaufdaten. Die zentrale Ermittlung und Richtliniendurchsetzung über alle Umgebungen hinweg – anstelle von Insellösungen für jede Cloud – gewährleistet konsistente Besitzverhältnisse und Automatisierung, unabhängig vom Speicherort eines Zertifikats.