Ganz gleich, ob Sie Cloud-Workloads absichern, Identitäten in vernetzte Produkte integrieren oder interne Anwendungen schützen –die Public-Key-Infrastruktur (PKI)ist zur Grundlage des digitalen Vertrauens für moderne Unternehmen geworden. In den letzten zwei Jahrzehnten hat sich die PKI von einer Nischentechnologie zu einem allgegenwärtigen Bestandteil der Infrastruktur entwickelt, der von praktisch jedem IT-Team genutzt wird.
Aber hier ist der Haken: Der Aufbau einer PKI-Infrastruktur, die für Ihr Unternehmen tatsächlich funktioniert, erfordert mehr als nur die Installation software(CA). Er erfordert sorgfältige Planung, das richtige Fachwissen und ein klares Verständnis Ihrer aktuellen Anforderungen sowie der zukünftigen Entwicklungen.
Beginnen Sie damit, Ihre PKI-Anwendungsfälle zu erfassen
Bevor Sie irgendetwas implementieren, müssen Sie wissen, was Ihre PKI tatsächlich unterstützt. Moderne Unternehmen nutzen Zertifikate für alle möglichen Zwecke – von der Absicherung von Webservern über die Authentifizierung von Benutzern bis hin zum Schutz IoT und der Signierung von Code. Jeder Anwendungsfall erfordert unterschiedliche Zertifikatstypen, Vorlagen, Protokolle und Automatisierungsfunktionen.
Wenn Sie hier einen Fehler machen, führt das entweder dazu, dass Sie Ihre PKI überdimensionieren oder später in Eile Funktionen nachrüsten müssen. Deshalb ist der erste Planungsschritt ganz einfach:
- Dokument, in dem aufgeführt ist, welche Teams und Anwendungen Zertifikate benötigen,
- welche Protokolle sie tatsächlich benötigen (ACME, SCEP, EST, CMP, REST-API),
- wie viele Zertifikate Sie voraussichtlich jährlich ausstellen werden, und
- wie diese Zahlen voraussichtlich steigen werden.
Diese Maßnahme beugt dem häufigsten Planungsfehler vor: dem Aufbau einer PKI, die auf die heutigen Anforderungen ausgerichtet ist, statt auf die von morgen.
Bewerten Sie die PKI-Kompetenzen und -Ressourcen Ihres Teams
PKI erfordert Fachwissen, über das die meisten IT-Teams einfach nicht verfügen. Nur etwa 50 % der Unternehmen haben genügend Mitarbeiter, die sich ausschließlich um ihre PKI-Implementierung kümmern. Das bedeutet, dass mehr als die Hälfte der Unternehmen eine kritische Sicherheitsinfrastruktur betreibt, ohne über ausreichende Ressourcen für deren Verwaltung zu verfügen.
PKI war schon immer so etwas wie ein technisches „heißes Eisen“. Es wird zwischen verschiedenen Teams oder Einzelpersonen hin- und hergereicht, ohne dass eine klare Zuständigkeit besteht, und wenn ein Vorfall wie ein Zertifikatsausfall eintritt, ist es schwierig, effektiv darauf zu reagieren. In vielen Organisationen gibt es überhaupt keinen klaren Verantwortlichen für die PKI – ein Problem, das branchen- und sektorübergreifend auftritt.
Das ist wichtig, weil PKI keine Technologie ist, die man einmal einrichtet und dann vergessen kann. Es handelt sich um eine kritische Infrastruktur mit einer Lebensdauer von bis zu 25 Jahren. Jemand muss die Verantwortung dafür übernehmen: Zertifikatsrichtlinien entwerfen, Schlüsselvergabeverfahren verwalten, ablaufende Zertifikate überwachen und die Infrastruktur an sich ändernde Anwendungsfälle anpassen.
Fragen Sie sich ganz ehrlich: Verfügt Ihr Team über das Fachwissen und die Kapazitäten, um eine robuste PKI über deren gesamte Lebensdauer hinweg einzurichten und zu betreiben? Wenn die Antwort „Nein“ lautet, ist das kein Versagen. Es ist vielmehr ein Hinweis darauf, dass Sie die Zusammenarbeit mit einem Managed-Service-Anbieter oder einem vertrauenswürdigen Partner in Betracht ziehen sollten, der den betrieblichen Aufwand übernimmt, während sich Ihr Team auf die Kerngeschäftsziele konzentrieren kann.
PKI ist mehr als nur software Zertifikate. Sie müssen auch die Sicherheitsmaßnahmen und Richtlinien rund um Ihre PKI-Infrastruktur berücksichtigen, um die erwarteten Sicherheitsniveaus zu erfüllen und die privaten Schlüssel hinter Ihrer Vertrauensbasis zu schützen.
Beziehen Sie Ihre Richtlinien in die Gestaltung ein
Was die Richtlinien betrifft, so ist die Einrichtung einer PKI in erster Linie eine Frage der Richtlinien und erst in zweiter Linie eine technische Angelegenheit, denn jede operative Entscheidung leitet sich aus einer Frage ab: Was bedeutet ein Zertifikat dieser Zertifizierungsstelle, und was garantiert es? Diese Absicht wird in einer Zertifikatsrichtlinie (den Regeln, die ein Zertifikat festlegt) und einer Zertifizierungspraktikerklärung (der Art und Weise, wie die Zertifizierungsstelle arbeitet, um diese einzuhalten) formalisiert, die üblicherweise auf dem Rahmenwerk von RFC 3647 basieren. Von dort aus gliedern sich die zentralen Entscheidungen in eine Handvoll Bereiche:
- DieTrust-Architektur: Wie viele Ebenen, eine oder mehrere Root-Ebenen und vor allem öffentlicher versus privater Trust;
- dieZertifikatsprofile: Schlüsselalgorithmen und -größen, Gültigkeitsdauer und zulässige Verwendungszwecke, nun einschließlich postquanten- und hybrider Optionen;
- Schlüsselverwaltung: HSM-Sicherheitsstufen, unter m-von-n-Kontrolle stattfindende, bezeugte Generierungszeremonien sowie strenge Vorschriften für die Sicherung und Hinterlegung, da die privaten Schlüssel der Zertifizierungsstelle den gesamten Vertrauensanker bilden;
- Identität und Registrierung: Welche Nachweise sind vor der Ausstellung erforderlich und welche Registrierungsverfahren sind zulässig? sowie
- Die Regeln für die Sperrung: Was löst eine Sperrung aus und wie schnell wird der Status an die vertrauenden Parteien weitergeleitet?
Um all dies herum gruppieren sich die operativen und Compliance-Kontrollen, die der Richtlinie Glaubwürdigkeit verleihen: physische und logische Sicherheit, rollenbasierter Zugriff mit durchgesetzter Aufgabentrennung, manipulationssichere Protokollierung, Notfallwiederherstellung sowie die geltenden regulatorischen, Prüfungs- und Datenstandortanforderungen, wobei letztere die Entscheidung zwischen einer Cloud- und einer On-Premise-Bereitstellung direkt beeinflussen. Der rote Faden ist, dass die Zertifikatsrichtlinie den Vertrag darstellt und jede Kontrollmaßnahme dazu dient, diesen Vertrag glaubwürdig und überprüfbar zu machen. Krypto-Agilität gehört nun als eigenständige Dimension der Richtlinie in diesen Vertrag: Die Zertifikatsrichtlinie sollte festlegen, wie neue Algorithmen in Profile aufgenommen werden und wie Übergänge wie die PQC-Migration geregelt werden, damit Agilität eine schriftlich festgelegte, überprüfbare Eigenschaft ist und keine Ad-hoc-Reaktion.
Wählen Sie das richtige PKI-Bereitstellungsmodell
Hier finden Sie eine Übersicht über die verfügbaren Modelle:
Cloud-basierte PKI:Eine gehostete Infrastruktur, die Zertifikate für Cloud-Workloads und verteilte Umgebungen bereitstellt. Dieses Modell bietet eine schnellere Bereitstellung, automatische Skalierung und geringeren Betriebsaufwand. Es eignet sich ideal für Unternehmen mit einer „Cloud-First“-Strategie oder mit begrenztem internem PKI-Fachwissen.
On-Premise-PKI:Eine herkömmliche Infrastruktur, die in Ihrem Rechenzentrum bereitgestellt wird und Ihnen die vollständige Kontrolle über hardware, Richtlinien und den Speicherort der Daten ermöglicht. Dieses Modell eignet sich für Unternehmen mit strengen Compliance-Anforderungen oder bestehenden Investitionen in eine On-Premise-Infrastruktur.
Hybride PKI:Ein kombinierter Ansatz, bei dem eine cloudbasierte PKI Cloud-Workloads bedient, während die Infrastruktur vor Ort für Altsysteme und interne Ressourcen zuständig ist. Dies wird zunehmend zum Standard für moderne Unternehmen, die Flexibilität benötigen, ohne separate Systeme verwalten zu müssen.
PKI as a Service (PKIaaS): Ein vollständig verwaltetes Angebot, bei dem ein Anbieter Ihre Zertifizierungsstelle (CA) betreibt, während Sie die Kontrolle über die Richtlinien behalten und die Ausstellung von Zertifikaten über APIs nutzen. Es bietet die gleichen Vorteile wie eine cloudbasierte PKI, nämlich eine schnelle Bereitstellung und geringen Betriebsaufwand; der Unterschied besteht darin, dass PKIaaS dasBetriebsmodelldefiniert und nicht nurden Ort, an demdie PKI ausgeführt wird. Dies eignet sich für Unternehmen, die einen privaten, konformen Vertrauensanker wünschen, ohne den Aufwand oder das spezielle Fachwissen zu benötigen, das für den Betrieb einer eigenen Zertifizierungsstelle erforderlich ist.
Die entscheidende Frage lautet nicht „Cloud oder On-Premise?“, sondern vielmehr: „Welche Workloads benötigen Zertifikate und woher?“ Anwendungen, die in die Cloud verlagert wurden, sollten ihre Zertifikate von einer cloudbasierten PKI beziehen. On-Premise-Ressourcen sollten weiterhin Zertifikate aus der On-Premise-Infrastruktur beziehen. Eine moderne PKI-Lösung bietet Ihnen die Flexibilität, beides zu tun, ohne separate Systeme verwalten zu müssen.
Intelligente Entwurfsentscheidungen für Ihre PKI treffen
Skalierbarkeit und Verfügbarkeit sind keine Funktionen, die man nachträglich hinzufügen kann. Sie müssen von Anfang an in Ihre PKI integriert werden.
Eines der häufigsten Probleme in Unternehmens-PKI-Umgebungen ist das sogenannte „Schatten-PKI“. Verschiedene Teams richten für bestimmte Anwendungsfälle ihre eigenen Zertifizierungsstellen ein, ohne die IT-Richtlinien des Unternehmens zu berücksichtigen. Zertifizierungsstellen werden falsch konfiguriert. Zertifikate werden nicht nachverfolgt. Die Folge: unerwartete Prüfungsfeststellungen, Sicherheitslücken und Ausfälle, die niemand vorhergesehen hat.
Konsolidierung bedeutet nicht, alles auf eine einzige Zertifizierungsstelle (CA) zu zwängen. Es bedeutet vielmehr, eine Plattform zu nutzen, die mehrere CA-Hierarchien und Mandanten logisch voneinander trennen kann und gleichzeitig eine einheitliche Übersicht gewährleistet. Sie können weiterhin separate Zertifizierungsstellen für verschiedene Geschäftsbereiche oder Anwendungsfälle betreiben; diese laufen lediglich auf derselben Infrastruktur unter demselben Governance-Rahmenwerk.
Verwaltung des Lebenszyklus Ihrer Zertifikate
Die Ausstellung von Zertifikaten ist nur der Anfang. Danach müssen sie verwaltet werden, und genau dabei tun sich die meisten Organisationen schwer.
Der effektivste Ansatz kombiniert PKI und das Zertifikatslebenszyklusmanagement auf einer einzigen Plattform. Auf diese Weise stellen Sie nicht nur Zertifikate aus, sondern verwalten und automatisieren deren gesamten Lebenszyklus über eine zentrale Oberfläche. Sie behalten die Flexibilität, Zertifikate über alle Zertifizierungsstellen in Ihrer Umgebung hinweg zu verwalten, einschließlich cloud-nativer oder öffentlich vertrauenswürdiger Zertifizierungsstellenanbieter, die außerhalb Ihrer primären PKI angesiedelt sind.
So richten Sie eine PKI-Infrastruktur mit Keyfactor ein
Die Einrichtung einer PKI-Infrastruktur muss keine große Herausforderung sein. Hier erfahren Sie, wie Sie systematisch vorgehen können und wie sich die Plattform Keyfactorin die einzelnen Schritte einfügt:
Schritt 1: Stellen Sie Ihre Zertifizierungsstellen bereit
Beginnen Sie mit dem Aufbau Ihrer CA-Hierarchie – sei es eine einstufige Konfiguration für einfachere Umgebungen oder eine mehrstufige Architektur mit Root- und ausstellenden Zertifizierungsstellen für Sicherheit auf Unternehmensniveau. Keyfactor EJBCA bietet Ihnen die Flexibilität, Zertifizierungsstellen in der Cloud, vor Ort oder in einer Hybridkonfiguration bereitzustellen. Die Lösung basiert auf offenen Standards und unterstützt alle gängigen Protokolle (ACME, SCEP, EST, CMP, REST-API), sodass Sie nicht an proprietäre Systeme gebunden sind und bei der Ausstellung von Zertifikaten keine Einschränkungen haben.
Schritt 2: Festlegung von Governance- und Zertifikatsrichtlinien
Legen Sie fest, wer Zertifikate anfordern darf, welche Arten von Zertifikaten ausgestellt werden können und unter welchen Bedingungen. EJBCA Sie Zertifikatsprofile, Endentitätsprofile und Genehmigungsworkflows konfigurieren, die Ihre Sicherheitsrichtlinien auf CA-Ebene durchsetzen. Dies gewährleistet Konsistenz und Compliance bei jedem von Ihnen ausgestellten Zertifikat, unabhängig davon, welches Team oder welche Anwendung es anfordert.
Schritt 3: Integration in Ihre bestehende Infrastruktur
Ihre PKI muss mit den Tools und Plattformen kompatibel sein, die Ihre Teams bereits nutzen. EJBCA nahtlos in Microsoft-Umgebungen (Active Directory, Intune, Azure Key Vault), Kubernetes-Cluster, Cloud-Plattformen und DevOps-Pipelines EJBCA . Das bedeutet, dass Entwickler und IT-Teams Zertifikate über die ihnen bereits vertrauten Workflows anfordern und erneuern können.
Schritt 4: Verschaffen Sie sich einen Überblick über Ihren gesamten Zertifikatsbestand
Sobald Zertifikate im Umlauf sind, benötigen Sie eine Möglichkeit, diese nachzuverfolgen – nicht nur aus Ihrer neuen PKI, sondern von jeder Zertifizierungsstelle in Ihrer Umgebung. Keyfactor Command bietet eine einheitliche Plattform für das Zertifikatslebenszyklusmanagement, die Zertifikate aus allen Quellen ermittelt, inventarisiert und überwacht: Ihre internen Zertifizierungsstellen, öffentlichen Zertifizierungsstellen, Cloud-nativen Dienste und sogar Schatten-IT. Sie erhalten eine zentrale Übersicht über jedes Zertifikat in Ihrem Unternehmen, unabhängig davon, woher es stammt.
Schritt 5: Automatisierung der Vorgänge im Zertifikatslebenszyklus
Die manuelle Zertifikatsverwaltung ist nicht skalierbar. Command die Registrierung, Erneuerung, Sperrung und Bereitstellung von Zertifikaten in Ihrer gesamten Infrastruktur. Die Lösung lässt sich in Load Balancer, Webserver, Cloud-Plattformen und Container-Orchestrierungssysteme integrieren, um sicherzustellen, dass Zertifikate stets auf dem neuesten Stand sind, ohne dass manuelle Eingriffe erforderlich sind. Da die Gültigkeitsdauer von Zertifikaten immer weiter sinkt, wird diese Automatisierung unerlässlich, um Ausfälle zu verhindern.
Schritt 6: Erweiterung der PKI auf vernetzte Produkte und Geräte
Wenn Sie Zertifikate in IoT , vernetzte Produkte oder eine verteilte Edge-Infrastruktur einbetten, benötigen Sie eine Lösung, die auf Skalierbarkeit und Zero-Touch-Provisioning ausgelegt ist. Keyfactor wurde speziell für die Produkt- und Geräteidentität entwickelt und übernimmt die Zertifikatsintegration während der Fertigung, Over-the-Air-Updates sowie das Lebenszyklusmanagement für Millionen von Geräten. Es schließt die Lücke zwischen herkömmlicher Unternehmens-PKI und den besonderen Anforderungen an die Produktsicherheit.
Haben Sie Fragen zur PKI-Infrastruktur? Wir haben die Antworten.
F: Was sind die Kernkomponenten einer PKI-Infrastruktur?
Eine PKI-Infrastruktur besteht aus Zertifizierungsstellen (CAs), die digitale Zertifikate ausstellen und verwalten, Registrierungsstellen (RAs), die Zertifikatsanträge prüfen, und Validierungsstellen (VAs), die den Status von Zertifikaten überprüfen. Zu den unterstützenden Komponenten gehören hardware (HSMs) zum Schutz privater Schlüssel, CRL- oder OCSP-Responder für die Echtzeit-Validierung sowie eine Zertifikatsverwaltungsplattform für Transparenz und Automatisierung.
F: Sollte ich PKI in der Cloud oder vor Ort bereitstellen?
Das hängt von Ihren regulatorischen Anforderungen, dem verfügbaren Fachwissen und Ihrer Infrastrukturstrategie ab. Cloud- und SaaS-PKI-Lösungen bieten eine schnellere Bereitstellung und einen geringeren Wartungsaufwand. Vor-Ort-Bereitstellungen eignen sich für Unternehmen mit strengen Anforderungen an den Datenaufbewahrungsort oder an die Compliance. Viele Unternehmen entscheiden sich für einen hybriden Ansatz, bei dem Zertifikate für Cloud-Workloads über eine cloudbasierte PKI ausgestellt werden, während für Altsysteme eine vor Ort installierte PKI beibehalten wird.
F: Wie entscheide ich mich zwischen einer öffentlichen und einer privaten PKI?
Verwenden Sie eine öffentliche PKI für Anwendungen mit Internetanbindung, bei denen jeder Browser oder jedes Gerät Ihre Zertifikate überprüfen muss (Websites, SaaS-Anwendungen). Verwenden Sie eine private PKI für interne Systeme, IoT und Produkte, bei denen Sie die Endpunkte kontrollieren und die Vertrauenskette selbst verwalten können. Viele Unternehmen nutzen eine Kombination aus beidem.
F: Was ist PKI as a Service (PKIaaS)?
PKIaaS ist eine vollständig verwaltete PKI-Bereitstellung, bei der ein vertrauenswürdiger Anbieter die Infrastruktur, die Überwachung, die Wartung und die Updates übernimmt. Sie nutzen Zertifikate, ohne die zugrunde liegende CA-Infrastruktur verwalten zu müssen. Dieses Modell reduziert den Bedarf an internem PKI-Fachwissen und stellt sicher, dass Ihre PKI den Best Practices entspricht – mit SLAs für garantierte Verfügbarkeit.
F: Wie viele Zertifizierungsstellen benötigt ein typisches Unternehmen?
Das ist unterschiedlich, aber Unternehmen ohne Konsolidierungsstrategie verfügen oft über neun oder mehr unterschiedliche PKI-Systeme. Moderne PKI-Plattformen ermöglichen es Ihnen, mehrere CA-Hierarchien auf einer einzigen Plattform zu konsolidieren, wodurch Komplexität und Kosten reduziert werden, während die logische Trennung für verschiedene Geschäftsbereiche oder Anwendungsfälle erhalten bleibt.
F: Welche Kompetenzen benötigt mein Team für die Verwaltung einer PKI?
Eine PKI erfordert Fachwissen in den Bereichen Kryptografie, Zertifikatsverwaltung, Gestaltung von Sicherheitsrichtlinien und Infrastrukturbetrieb. Laut dem Bericht „State of Machine Identity Management 2023“ gibt mehr als die Hälfte der Unternehmen an, nicht über genügend Personal zu verfügen, das sich ausschließlich mit der PKI befasst. Falls Ihrem Team diese Kompetenzen fehlen, sollten Sie einen Managed- oder SaaS-PKI-Dienst in Betracht ziehen, um den Betriebsaufwand zu verringern.
F: Wie kann ich Zertifikatsausfälle nach der Einrichtung einer PKI verhindern?
Kombinieren Sie Ihre PKI mit einer Automatisierung des Zertifikatslebenszyklus, die Ihnen einen Überblick über alle Zertifizierungsstellen, eine automatisierte Verlängerung und Bereitstellung sowie Warnmeldungen vor dem Ablauf von Zertifikaten bietet. Da das Zertifikatsvolumen wächst und die Lebensdauer der Zertifikate immer kürzer wird, sind manuelle Nachverfolgungsmethoden nicht mehr tragbar.
F: Kann ich meine neue PKI parallel zu meiner bestehenden Microsoft CA Microsoft CA betreiben?
Ja. Moderne PKI-Lösungen können parallel zur Microsoft CA betrieben werden und unterstützen Microsoft-eigene Tools wie „Auto-Enrollment“, „Intune“ und „Azure Key Vault“, während sie gleichzeitig moderne Anwendungsfälle abdecken. So können Sie die Migration in Ihrem eigenen Tempo vornehmen, anstatt eine störende Umstellung vornehmen zu müssen.
