Einrichtung einer PKI-Infrastruktur: Ein Planungsleitfaden

Ganz gleich, ob Sie Cloud-Workloads absichern, Identitäten in vernetzte Produkte integrieren oder interne Anwendungen schützen –die Public-Key-Infrastruktur (PKI)ist zur Grundlage des digitalen Vertrauens für moderne Unternehmen geworden. In den letzten zwei Jahrzehnten hat sich die PKI von einer Nischentechnologie zu einem allgegenwärtigen Bestandteil der Infrastruktur entwickelt, der von praktisch jedem IT-Team genutzt wird.

Aber hier ist der Haken: Der Aufbau einer PKI-Infrastruktur, die für Ihr Unternehmen tatsächlich funktioniert, erfordert mehr als nur die Installation software(CA). Er erfordert sorgfältige Planung, das richtige Fachwissen und ein klares Verständnis Ihrer aktuellen Anforderungen sowie der zukünftigen Entwicklungen.

Beginnen Sie damit, Ihre PKI-Anwendungsfälle zu erfassen

Bevor Sie irgendetwas implementieren, müssen Sie wissen, was Ihre PKI tatsächlich unterstützt. Moderne Unternehmen nutzen Zertifikate für alle möglichen Zwecke – von der Absicherung von Webservern über die Authentifizierung von Benutzern bis hin zum Schutz IoT und der Signierung von Code. Jeder Anwendungsfall erfordert unterschiedliche Zertifikatstypen, Vorlagen, Protokolle und Automatisierungsfunktionen.

Wenn Sie hier einen Fehler machen, führt das entweder dazu, dass Sie Ihre PKI überdimensionieren oder später in Eile Funktionen nachrüsten müssen. Deshalb ist der erste Planungsschritt ganz einfach:

• Dokument, in dem aufgeführt ist, welche Teams und Anwendungen Zertifikate benötigen,
• welche Protokolle sie tatsächlich benötigen (ACME, SCEP, EST, CMP, REST-API),
• wie viele Zertifikate Sie voraussichtlich jährlich ausstellen werden, und
• wie diese Zahlen voraussichtlich steigen werden.

Diese Maßnahme beugt dem häufigsten Planungsfehler vor: dem Aufbau einer PKI, die auf die heutigen Anforderungen ausgerichtet ist, statt auf die von morgen.

Bewerten Sie die PKI-Kompetenzen und -Ressourcen Ihres Teams

PKI erfordert Fachwissen, über das die meisten IT-Teams einfach nicht verfügen. Nur etwa 50 % der Unternehmen haben genügend Mitarbeiter, die sich ausschließlich um ihre PKI-Implementierung kümmern. Das bedeutet, dass mehr als die Hälfte der Unternehmen eine kritische Sicherheitsinfrastruktur betreibt, ohne über ausreichende Ressourcen für deren Verwaltung zu verfügen.

PKI war schon immer so etwas wie ein technisches „heißes Eisen“. Es wird zwischen verschiedenen Teams oder Einzelpersonen hin- und hergereicht, ohne dass eine klare Zuständigkeit besteht, und wenn ein Vorfall wie ein Zertifikatsausfall eintritt, ist es schwierig, effektiv darauf zu reagieren. In vielen Organisationen gibt es überhaupt keinen klaren Verantwortlichen für die PKI – ein Problem, das branchen- und sektorübergreifend auftritt.

Das ist wichtig, weil PKI keine Technologie ist, die man einmal einrichtet und dann vergessen kann. Es handelt sich um eine kritische Infrastruktur mit einer Lebensdauer von bis zu 25 Jahren. Jemand muss die Verantwortung dafür übernehmen: Zertifikatsrichtlinien entwerfen, Schlüsselvergabeverfahren verwalten, ablaufende Zertifikate überwachen und die Infrastruktur an sich ändernde Anwendungsfälle anpassen.

Fragen Sie sich ganz ehrlich: Verfügt Ihr Team über das Fachwissen und die Kapazitäten, um eine robuste PKI über deren gesamte Lebensdauer hinweg einzurichten und zu betreiben? Wenn die Antwort „Nein“ lautet, ist das kein Versagen. Es ist vielmehr ein Hinweis darauf, dass Sie die Zusammenarbeit mit einem Managed-Service-Anbieter oder einem vertrauenswürdigen Partner in Betracht ziehen sollten, der den betrieblichen Aufwand übernimmt, während sich Ihr Team auf die Kerngeschäftsziele konzentrieren kann.

PKI ist mehr als nur software Zertifikate. Sie müssen auch die Sicherheitsmaßnahmen und Richtlinien rund um Ihre PKI-Infrastruktur berücksichtigen, um die erwarteten Sicherheitsniveaus zu erfüllen und die privaten Schlüssel hinter Ihrer Vertrauensbasis zu schützen.

Beziehen Sie Ihre Richtlinien in die Gestaltung ein

Was die Richtlinien betrifft, so ist die Einrichtung einer PKI in erster Linie eine Frage der Richtlinien und erst in zweiter Linie eine technische Angelegenheit, denn jede operative Entscheidung leitet sich aus einer Frage ab: Was bedeutet ein Zertifikat dieser Zertifizierungsstelle, und was garantiert es? Diese Absicht wird in einer Zertifikatsrichtlinie (den Regeln, die ein Zertifikat festlegt) und einer Zertifizierungspraktikerklärung (der Art und Weise, wie die Zertifizierungsstelle arbeitet, um diese einzuhalten) formalisiert, die üblicherweise auf dem Rahmenwerk von RFC 3647 basieren. Von dort aus gliedern sich die zentralen Entscheidungen in eine Handvoll Bereiche:

• DieTrust-Architektur: Wie viele Ebenen, eine oder mehrere Root-Ebenen und vor allem öffentlicher versus privater Trust;
• dieZertifikatsprofile: Schlüsselalgorithmen und -größen, Gültigkeitsdauer und zulässige Verwendungszwecke, nun einschließlich postquanten- und hybrider Optionen;
• Schlüsselverwaltung: HSM-Sicherheitsstufen, unter m-von-n-Kontrolle stattfindende, bezeugte Generierungszeremonien sowie strenge Vorschriften für die Sicherung und Hinterlegung, da die privaten Schlüssel der Zertifizierungsstelle den gesamten Vertrauensanker bilden;
• Identität und Registrierung: Welche Nachweise sind vor der Ausstellung erforderlich und welche Registrierungsverfahren sind zulässig? sowie
• Die Regeln für die Sperrung: Was löst eine Sperrung aus und wie schnell wird der Status an die vertrauenden Parteien weitergeleitet?

Um all dies herum gruppieren sich die operativen und Compliance-Kontrollen, die der Richtlinie Glaubwürdigkeit verleihen: physische und logische Sicherheit, rollenbasierter Zugriff mit durchgesetzter Aufgabentrennung, manipulationssichere Protokollierung, Notfallwiederherstellung sowie die geltenden regulatorischen, Prüfungs- und Datenstandortanforderungen, wobei letztere die Entscheidung zwischen einer Cloud- und einer On-Premise-Bereitstellung direkt beeinflussen. Der rote Faden ist, dass die Zertifikatsrichtlinie den Vertrag darstellt und jede Kontrollmaßnahme dazu dient, diesen Vertrag glaubwürdig und überprüfbar zu machen. Krypto-Agilität gehört nun als eigenständige Dimension der Richtlinie in diesen Vertrag: Die Zertifikatsrichtlinie sollte festlegen, wie neue Algorithmen in Profile aufgenommen werden und wie Übergänge wie die PQC-Migration geregelt werden, damit Agilität eine schriftlich festgelegte, überprüfbare Eigenschaft ist und keine Ad-hoc-Reaktion.

Wählen Sie das richtige PKI-Bereitstellungsmodell

Hier finden Sie eine Übersicht über die verfügbaren Modelle:

Cloud-basierte PKI:Eine gehostete Infrastruktur, die Zertifikate für Cloud-Workloads und verteilte Umgebungen bereitstellt. Dieses Modell bietet eine schnellere Bereitstellung, automatische Skalierung und geringeren Betriebsaufwand. Es eignet sich ideal für Unternehmen mit einer „Cloud-First“-Strategie oder mit begrenztem internem PKI-Fachwissen.

On-Premise-PKI:Eine herkömmliche Infrastruktur, die in Ihrem Rechenzentrum bereitgestellt wird und Ihnen die vollständige Kontrolle über hardware, Richtlinien und den Speicherort der Daten ermöglicht. Dieses Modell eignet sich für Unternehmen mit strengen Compliance-Anforderungen oder bestehenden Investitionen in eine On-Premise-Infrastruktur.

Hybride PKI:Ein kombinierter Ansatz, bei dem eine cloudbasierte PKI Cloud-Workloads bedient, während die Infrastruktur vor Ort für Altsysteme und interne Ressourcen zuständig ist. Dies wird zunehmend zum Standard für moderne Unternehmen, die Flexibilität benötigen, ohne separate Systeme verwalten zu müssen.

PKI as a Service (PKIaaS): Ein vollständig verwaltetes Angebot, bei dem ein Anbieter Ihre Zertifizierungsstelle (CA) betreibt, während Sie die Kontrolle über die Richtlinien behalten und die Ausstellung von Zertifikaten über APIs nutzen. Es bietet die gleichen Vorteile wie eine cloudbasierte PKI, nämlich eine schnelle Bereitstellung und geringen Betriebsaufwand; der Unterschied besteht darin, dass PKIaaS dasBetriebsmodelldefiniert und nicht nurden Ort, an demdie PKI ausgeführt wird. Dies eignet sich für Unternehmen, die einen privaten, konformen Vertrauensanker wünschen, ohne den Aufwand oder das spezielle Fachwissen zu benötigen, das für den Betrieb einer eigenen Zertifizierungsstelle erforderlich ist.

Die entscheidende Frage lautet nicht „Cloud oder On-Premise?“, sondern vielmehr: „Welche Workloads benötigen Zertifikate und woher?“ Anwendungen, die in die Cloud verlagert wurden, sollten ihre Zertifikate von einer cloudbasierten PKI beziehen. On-Premise-Ressourcen sollten weiterhin Zertifikate aus der On-Premise-Infrastruktur beziehen. Eine moderne PKI-Lösung bietet Ihnen die Flexibilität, beides zu tun, ohne separate Systeme verwalten zu müssen.

Intelligente Entwurfsentscheidungen für Ihre PKI treffen

Skalierbarkeit und Verfügbarkeit sind keine Funktionen, die man nachträglich hinzufügen kann. Sie müssen von Anfang an in Ihre PKI integriert werden.

Eines der häufigsten Probleme in Unternehmens-PKI-Umgebungen ist das sogenannte „Schatten-PKI“. Verschiedene Teams richten für bestimmte Anwendungsfälle ihre eigenen Zertifizierungsstellen ein, ohne die IT-Richtlinien des Unternehmens zu berücksichtigen. Zertifizierungsstellen werden falsch konfiguriert. Zertifikate werden nicht nachverfolgt. Die Folge: unerwartete Prüfungsfeststellungen, Sicherheitslücken und Ausfälle, die niemand vorhergesehen hat.

Konsolidierung bedeutet nicht, alles auf eine einzige Zertifizierungsstelle (CA) zu zwängen. Es bedeutet vielmehr, eine Plattform zu nutzen, die mehrere CA-Hierarchien und Mandanten logisch voneinander trennen kann und gleichzeitig eine einheitliche Übersicht gewährleistet. Sie können weiterhin separate Zertifizierungsstellen für verschiedene Geschäftsbereiche oder Anwendungsfälle betreiben; diese laufen lediglich auf derselben Infrastruktur unter demselben Governance-Rahmenwerk.

Verwaltung des Lebenszyklus Ihrer Zertifikate

Die Ausstellung von Zertifikaten ist nur der Anfang. Danach müssen sie verwaltet werden, und genau dabei tun sich die meisten Organisationen schwer.

Der effektivste Ansatz kombiniert PKI und das Zertifikatslebenszyklusmanagement auf einer einzigen Plattform. Auf diese Weise stellen Sie nicht nur Zertifikate aus, sondern verwalten und automatisieren deren gesamten Lebenszyklus über eine zentrale Oberfläche. Sie behalten die Flexibilität, Zertifikate über alle Zertifizierungsstellen in Ihrer Umgebung hinweg zu verwalten, einschließlich cloud-nativer oder öffentlich vertrauenswürdiger Zertifizierungsstellenanbieter, die außerhalb Ihrer primären PKI angesiedelt sind.

So richten Sie eine PKI-Infrastruktur mit Keyfactor ein

Die Einrichtung einer PKI-Infrastruktur muss keine große Herausforderung sein. Hier erfahren Sie, wie Sie systematisch vorgehen können und wie sich die Plattform Keyfactorin die einzelnen Schritte einfügt:

Step 1: Deploy your certificate authorities
Start by establishing your CA hierarchy, whether that’s a single-tier setup for simpler environments or a multi-tier architecture with root and issuing CAs for enterprise-grade security. Keyfactor EJBCA gives you the flexibility to deploy CAs in the cloud, on-premises, or in a hybrid configuration. It’s built on open standards and supports every major protocol (ACME, SCEP, EST, CMP, REST API), so you’re not locked into proprietary systems or limited in how you issue certificates.

Step 2: Establish governance and certificate policies
Define who can request certificates, what types of certificates can be issued, and under what conditions. EJBCA lets you configure certificate profiles, end entity profiles, and approval workflows that enforce your security policies at the CA level. This ensures consistency and compliance across every certificate you issue, regardless of which team or application is requesting it.

Step 3: Integrate with your existing infrastructure
Your PKI needs to work with the tools and platforms your teams already use. EJBCA integrates natively with Microsoft environments (Active Directory, Intune, Azure Key Vault), Kubernetes clusters, cloud platforms, and DevOps pipelines. This means developers and IT teams can request and renew certificates using the workflows they’re already familiar with.

Step 4: Gain visibility across your entire certificate estate
Once certificates start flowing, you need a way to track them, not just from your new PKI, but from every CA in your environment. Keyfactor Command provides a unified certificate lifecycle management platform that discovers, inventories, and monitors certificates across all sources: your internal CAs, public CAs, cloud-native services, and even shadow IT. You get a single pane of glass for every certificate in your organization, regardless of where it came from.

Step 5: Automate certificate lifecycle operations
Manual certificate management doesn’t scale. Command automates enrollment, renewal, revocation, and deployment across your infrastructure. It integrates with load balancers, web servers, cloud platforms, and container orchestration systems to ensure certificates are always up to date without manual intervention. As certificate lifespans continue to shrink, this automation becomes essential to preventing outages.

Step 6: Extend PKI to connected products and devices
If you’re embedding certificates into IoT devices, connected products, or distributed edge infrastructure, you need a solution built for scale and zero-touch provisioning. Keyfactor AgileSec is purpose-built for product and device identity, handling certificate injection during manufacturing, over-the-air updates, and lifecycle management for millions of devices. It bridges the gap between traditional enterprise PKI and the unique demands of product security.

Haben Sie Fragen zur PKI-Infrastruktur? Wir haben die Antworten.

Q: What are the core components of a PKI infrastructure?
A PKI infrastructure consists of certificate authorities (CAs) that issue and manage digital certificates, registration authorities (RAs) that verify certificate requests, and validation authorities (VAs) that check certificate status. Supporting components include hardware security modules (HSMs) to protect private keys, CRL or OCSP responders for real-time validation, and a certificate management platform for visibility and automation.

Q: Should I deploy PKI in the cloud or on-premises?
It depends on your regulatory requirements, available expertise, and infrastructure strategy. Cloud and SaaS PKI options offer faster deployment and lower maintenance overhead. On-premises deployments suit organizations with strict data residency or compliance requirements. Many organizations choose a hybrid approach, issuing certificates from cloud-based PKI for cloud workloads and maintaining on-prem PKI for legacy systems.

Q: How do I decide between public and private PKI?
Use public trust for internet-facing applications where any browser or device needs to verify your certificates (websites, SaaS applications). Use private PKI for internal systems, IoT devices, and products where you control the endpoints and can manage the trust chain yourself. Many organizations use a combination of both.

Q: What is PKI as a Service (PKIaaS)?
PKIaaS is a fully managed PKI deployment where a trusted provider handles the infrastructure, monitoring, maintenance, and updates. You consume certificates without needing to manage the underlying CA infrastructure. This model reduces the need for in-house PKI expertise and ensures your PKI follows best practices with guaranteed uptime SLAs.

Q: How many certificate authorities does a typical enterprise need?
It varies, but organizations without a consolidation strategy often end up with nine or more disparate PKI systems. Modern PKI platforms allow you to consolidate multiple CA hierarchies onto a single platform, reducing complexity and cost while maintaining logical separation for different business units or use cases.

Q: What skills does my team need to manage PKI?
PKI requires expertise in cryptography, certificate management, security policy design, and infrastructure operations. According to the 2023 State of Machine Identity Management report, more than half of organizations say they do not have enough staff dedicated to PKI. If your team lacks these skills, consider a managed or SaaS PKI service to offload the operational burden.

Q: How do I prevent certificate outages after setting up PKI?
Combine your PKI with certificate lifecycle automation that provides visibility across all certificate authorities, automated renewal and provisioning, and alerting before certificates expire. As certificate volumes grow and lifespans shorten, manual tracking methods become unsustainable.

Q: Can I run my new PKI alongside my existing Microsoft CA?
Yes. Modern PKI solutions can run in tandem with Microsoft CA, supporting Microsoft-native tools like Auto-enrollment, Intune, and Azure Key Vault while also handling modern use cases. This allows you to migrate at your own pace rather than requiring a disruptive cutover.