PKIaaS vs. SaaS-PKI vs. Cloud-PKI: Was ist der Unterschied und welche Lösung ist die richtige für Sie?

Das Terminologieproblem bei cloudbasierten PKI-Systemen

Wenn Sie sich bereits mit cloudbasiertenPublic-Key-Infrastrukturen (PKI) beschäftigt haben, ist Ihnen wahrscheinlich etwas Frustrierendes aufgefallen: Die Begriffe PKIaaS, SaaS-PKI und Cloud-PKI tauchen überall auf, oft ohne dass erklärt wird, was sie eigentlich bedeuten. Sind sie dasselbe? Oder beziehen sie sich auf unterschiedliche Konzepte? In diesem Blogbeitrag gehen wir diesen Fragen nach und erklären ausführlich, worin ihre Unterschiede tatsächlich bestehen. Kurz gesagt: Sie sind nicht dasselbe – sie werden zwar synonym verwendet, beschreiben aber deutlich unterschiedliche Bereitstellungsmodelle.

Dies ist von Bedeutung, da jedes Modell unterschiedliche Auswirkungen auf Sicherheit, Kontrolle, Betriebsaufwand und Kosten hat. Die Wahl des falschen Modells oder ein Missverständnis dessen, was ein Anbieter mit dem Begriff „Cloud-PKI“ meint, kann dazu führen, dass Sie eine Lösung erhalten, die weder Ihren Anforderungen noch Ihren Compliance-Vorgaben entspricht, Sie in eine Anbieterbeziehung bindet, aus der Sie nicht mehr aussteigen können, oder Ihrem Team eine unerwartete operative Komplexität aufbürdet.

In diesem Leitfaden wird erläutert, was die einzelnen Begriffe konkret bedeuten, worin sie sich unterscheiden und wie Sie das richtige Modell für die Anforderungen Ihres Unternehmens auswählen können.

Die drei Modelle definieren

Was ist Cloud-PKI?

„Cloud-PKI“ ist der umfassendste Oberbegriff. Er bezeichnet jede PKI-Bereitstellung, die in einer Cloud-Umgebung statt vor Ort betrieben wird. Dies umfasst alles von selbstverwalteten PKI-Lösungen, die in Ihrem eigenen AWS- oder Azure-Konto bereitgestellt werden, bis hin zu vollständig verwalteten, vom Anbieter gehosteten Diensten.

Der entscheidende Unterschied besteht darin, dass sich „Cloud-PKI“ darauf bezieht,wosich die Infrastruktur befindet, und nicht darauf,wersie verwaltet.

Dieser Oberbegriff deckt ein breites Spektrum an möglichen Verantwortlichkeiten für die Durchführung der Arbeiten ab. Am einen Ende übernehmen Sie alles selbst, am anderen Ende übernimmt ein Dienstleister alles für Sie, und dazwischen liegen hybride Modelle. Es lohnt sich, dieses Spektrum von der größten bis zur geringsten Kontrolle durchzugehen, denn bei der Entscheidung geht es letztlich darum, wie viel betrieblichen Aufwand Sie abgeben möchten und – was entscheidend ist – wer letztendlich die privaten CA-Schlüssel verwahrt.

In einer selbstverwalteten Cloud-Bereitstellung richten Sie Ihre CA- software auf gemieteten Rechenressourcen in AWS, Azure oder GCP ein und speichern die privaten Schlüssel in einem Cloud-HSM-Dienst wie AWS CloudHSM, Azure Managed HSM oder GCP Cloud HSM. Der Cloud-Anbieter stellt die Grundbausteine bereit: virtuelle Maschinen, Speicher, Netzwerk und partitionierte HSM- hardware. Sie sind für alles verantwortlich, was diese Bausteine zu einer PKI macht: das Hierarchie-Design, Zertifikatsprofile, Ausstellungsrichtlinien, die CA-Konfiguration, die Verfügbarkeit, Backups und die Notfallwiederherstellung. Entscheidend ist, dass Ihre privaten Schlüssel niemals Ihre Kontrollgrenze verlassen. Der Anbieter ist Ihr Vermieter für die Infrastruktur, nicht der Betreiber Ihres Vertrauensankers. Eine selbstverwaltete Cloud-PKI ist im Wesentlichen das On-Premises-Betriebsmodell, das auf eine gemietete Infrastruktur übertragen wurde. Sie entledigen sich des Rechenzentrums und der Aktualisierungszyklen für „ hardware “, behalten aber die gleichen Verantwortlichkeiten für „ software “ und Schlüssel bei.

Bei Hybrid-Bereitstellungen werden Modelle bewusst kombiniert; das gängigste Muster besteht darin, eine Offline-Stammzertifizierungsstelle vor Ort zu betreiben, während die Online-Ausstellungszertifizierungsstellen in einer selbstverwalteten Cloud laufen. So erhalten Sie eine hochsichere Stammzertifizierungsstelle, ohne die Betriebskosten für den Betrieb von Ausstellungszertifizierungsstellen auf Bare-Metal-Servern tragen zu müssen. Am anderen Ende des Spektrums befindet sich die vom Anbieter verwaltete PKI, die in der Regel als „PKI-as-a-Service“ (PKIaaS) oder „SaaS-PKI“ angeboten wird. Diese werden im Folgenden erläutert.

Was ist SaaS-PKI?

SaaS-PKI ist eine schlüsselfertige, cloudbasierte PKI-Plattform, bei der der Anbieter die zugrunde liegende Infrastruktur in Ihrem Auftrag verwaltet. Der Anbieter kümmert sich um die Rechenleistung, die Datenbanken, das Netzwerk, die Lastverteiler und die HSMs. Sie behalten den administrativen Zugriff auf die PKI-Anwendung selbst und können Zertifizierungsstellen, Zertifikatsprofile, Validierungsstellen und Registrierungsabläufe konfigurieren.

Stellen Sie sich das so vor, als würden Sie die PKI- software abonnieren, anstatt sie zu kaufen und selbst zu hosten. Die Anforderungen sind minimal: Sie benötigen ein aktives Cloud-Konto und eine Internetverbindung. Sie benötigen keine zusätzliche Infrastruktur, um loszulegen, da der Anbieter den gesamten Technologie-Stack hinter der Anwendung verwaltet.

Bei einer SaaS-Bereitstellung sind Sie für dieKonfigurationIhrer PKI (Ihre Zertifizierungsstellen, Registrierungsstellen und Validierungsstellen) verantwortlich, nicht jedoch für den Betrieb der zugrunde liegenden Systeme. Upgrades werden vom Anbieter im Rahmen geplanter Wartungsfenster durchgeführt. Das Abonnementmodell bedeutet, dass Sie nur für die tatsächlich genutzten Leistungen bezahlen und die Kapazitäten bei Bedarf nach oben oder unten skalieren können.

SaaS-PKI eignet sich besonders für Unternehmen, die die Kontrolle über ihre PKI-Richtlinien und -Governance behalten möchten, ohne die zugrunde liegende Infrastruktur verwalten zu müssen, die ein SLA benötigen, das sie nicht selbst pflegen müssen, oder die einen unmittelbaren Bedarf haben und nicht die Zeit finden, eine vollständige PKI-Umgebung von Grund auf aufzubauen.

Was ist PKIaaS (PKI as a Service)?

PKIaaS ist ein vollständig verwalteter PKI-Dienst, bei dem der Anbieter alles übernimmt: PKI-Entwurf, Bereitstellung, laufenden Betrieb und Überwachung rund um die Uhr. Dies geht in entscheidender Weise über SaaS-PKI hinaus. Bei SaaS-PKI verwaltet der Anbieter die Infrastrukturebene. Bei PKIaaS verwaltet der Anbieter zusätzlich die PKI-Ebene selbst, einschließlich der Root-CA-Zeremonien, der Zertifikatsrichtlinien und Zertifizierungspraktiken (CP/CPS), der Wartung der ausstellenden Zertifizierungsstellen, der CRL-Verwaltung sowie der Reaktion auf Vorfälle.

Das Betriebsmodell folgt einer klaren Aufgabenteilung: Der Anbieter erstellt, implementiert und wartet das System. Ihre Teams betreiben es, indem sie Zertifikate ermitteln, ausstellen und deren Lebenszyklen automatisieren. Sie behalten die Kontrolle über die Schlüssel der Stammzertifizierungsstelle und die Wiederherstellungsmaterialien durch eine Schlüsselhinterlegung, wodurch sichergestellt ist, dass Sie Ihre PKI wieder intern betreiben können, falls sich die Beziehung zum Anbieter ändern sollte.

PKIaaS ist eine Dienstleistungsbeziehung und nicht nur ein Modell zur Bereitstellung von „ software “. Es richtet sich an Unternehmen, die den PKI-Betrieb vollständig an Experten auslagern möchten, dabei aber die Kontrolle über ihre Vertrauensanker behalten wollen.

Wenn Sieeine Migration von einer veralteten PKI-Lösung in Betracht ziehen, bietet PKIaaS den schnellsten Weg zu einer modernen, gut durchdachten Infrastruktur, ohne dass dafür tiefgreifendes internes PKI-Fachwissen erforderlich ist.

Die wichtigsten Unterschiede auf einen Blick

Die folgende Tabelle fasst die wesentlichen Unterschiede zwischen den drei Modellen zusammen:

Abmessung	Cloud-PKI (selbstverwaltet)	SaaS-PKI	PKIaaS
Infrastrukturmanagement	Der Kunde verwaltet alle Cloud-Ressourcen	Der Anbieter verwaltet die Infrastruktur	Der Anbieter verwaltet die Infrastruktur
PKI-Betriebsmanagement	Der Kunde übernimmt alle PKI-Vorgänge	Der Kunde konfiguriert die PKI; der Anbieter verwaltet die zugehörigen Systeme	Der Anbieter übernimmt alle PKI-Vorgänge
Eigentumsverhältnisse bei der Root-CA	Der Kunde behält die volle Kontrolle	Je nach Anbieter unterschiedlich	Der Kunde verwahrt die Schlüssel über einen Treuhandservice auf
Bereitstellungsgeschwindigkeit	Wochen bis Monate (erfordert internes Fachwissen)	Tage bis Wochen	Wochen (anbietergesteuert, Best-Practice-Konzeption)
Flexibilität bei der Anpassung	Maximale Flexibilität	Hoch (Steuerung auf Anwendungsebene)	Mäßig (vom Anbieter empfohlene Best Practices)
Verantwortung für die Einhaltung der Vorschriften	Zu 100 % im Besitz der Kunden	Gemeinsam genutzt von Kunde und Anbieter	Überwiegend im Besitz von Anbietern
Typisches Preismodell	Betriebskosten (Cloud-Computing + HSM-Nutzung)	Abonnement (OPEX)	Abonnement (OPEX)
Profil einer idealen Organisation	Interne PKI-Kompetenz, „Cloud-First“-Ansatz, Bedarf an maximaler Kontrolle	Schnelle Bereitstellung, begrenzte Infrastrukturressourcen, PKI-Anwendungskontrolle	Vollständige Auslagerung des Betriebs, Unternehmenssicherheit, Partnerbeziehungen

Der wichtigste Unterschied zwischen diesen Modellen liegt inder Frage der Verwahrung und Kontrolle der Schlüssel. Bei einer selbstverwalteten Cloud-PKI behalten Sie die vollständige Kontrolle. Bei einer SaaS-PKI wird die Infrastruktur ausgelagert, die Kontrolle über die Anwendungen verbleibt jedoch bei Ihnen. Bei einer PKIaaS werden sowohl die Infrastruktur als auch der Betrieb ausgelagert, während Sie weiterhin Eigentümer der Vertrauensanker bleiben.

Single-Tenant vs. Multi-Tenant: Warum dies für PKI von Bedeutung ist

Die Isolierung der Infrastruktur ist ein entscheidendes Bewertungskriterium und gilt unabhängig davon, für welches Bereitstellungsmodell Sie sich entscheiden. Ihre private PKI ist der Vertrauensanker für Ihr Unternehmen: Ihre Zertifizierungsstellen-Schlüssel authentifizieren Ihre Geräte, Benutzer und Workloads. Wie gründlich diese Infrastruktur von anderen Kunden isoliert ist, wirkt sich direkt auf Ihr Risiko aus. Daher lohnt es sich, genau zu klären, welche Isolierungsebenen von Bedeutung sind und warum.

Der Aspekt, bei dem keine Kompromisse möglich sind, ist die Verwahrung der Schlüssel. Ihre privaten CA-Schlüssel müssen in HSMs gespeichert sein, aus denen kein anderer Mandant sie extrahieren oder nutzen kann: dedizierte HSMs oder dedizierte Partitionen, die nach FIPS 140-2/3 Level 3 zertifiziert sind. Solange diese Grenze gewahrt bleibt, kann ein Angreifer in einem anderen Mandanten nicht als Ihre Zertifizierungsstelle signieren – und genau das ist das wichtigste Ergebnis.

Über die Schlüssel hinaus isoliert eine Single-Tenant-Bereitstellung die Umgebung: dediziertes Netzwerk und Zugriffskontrollen nach dem Prinzip der geringsten Berechtigungen sowie keine gemeinsam mit anderen Kunden genutzten Rechen- oder Speicherressourcen. Dies ist eher eine mehrschichtige Verteidigungsstrategie als eine einzige feste Grenze und stellt für die private PKI eines Unternehmens die sinnvolle Standardkonfiguration dar:

• Geringerer Auswirkungsbereich.Eine Sicherheitslücke in einer gemeinsam genutzten Plattform kann potenziell jeden darauf befindlichen Mandanten gefährden. In einer dedizierten Umgebung bleibt der Ausfall auf Sie beschränkt.
• Das lässt sich leichter nachweisen.Auditoren akzeptieren zwar eine durch HSMs gesicherte Schlüsselisolierung in einem Multi-Tenant-Design, doch lässt sich die Isolierung Ihrer Vertrauensinfrastruktur sauberer und schneller nachweisen, wenn es sich um eine dedizierte statt um eine gemeinsam genutzte Umgebung handelt.
• Mehr Spielraum für individuelle Anpassungen.Multi-Tenant-Plattformen tendieren dazu, eine Einheitslösung für alle anzubieten. Eine Single-Tenant-Umgebung bietet Ihnen mehr Freiheit bei der Gestaltung individueller CA-Hierarchien, ungewöhnlicher Zertifikatsprofile und Ausstellungsrichtlinien, die speziell auf Ihre Anforderungen zugeschnitten sind.

Ein Hinweis zum Anwendungsbereich: Dies sind Leitlinien für Ihre private PKI, also die interne Vertrauenswurzel, die Sie besitzen und betreiben. Öffentlich vertrauenswürdige PKI-Systeme funktionieren aufgrund ihrer Konzeption anders, da öffentliche Zertifizierungsstellen von Natur aus mandantenfähig sind und unter strengen, geprüften Kontrollen Zertifikate für viele Organisationen gleichzeitig ausstellen. Es geht also nicht darum, dass Mandantenfähigkeit grundsätzlich falsch ist, sondern darum, dass der private Vertrauensanker Ihrer Organisation eine dedizierte Umgebung verdient. Achten Sie bei der Bewertung einer cloudbasierten privaten PKI mindestens darauf, dass die Zertifizierungsstellenschlüssel in dedizierten HSMs isoliert sind, und bevorzugen Sie eine Single-Tenant-Isolation für die umgebende Umgebung.

Kontrolle und Schlüsselverantwortung über alle Bereitstellungsmodelle hinweg

Der Grad der Kontrolle erstreckt sich über ein Spektrum, das sich durch alle drei Modelle zieht, und um die richtige Wahl zu treffen, ist es unerlässlich zu verstehen, wo jedes einzelne Modell auf diesem Spektrum angesiedelt ist.

Cloud-PKI (selbstverwaltet):Sie haben die volle Kontrolle. Ihre Schlüssel, Ihre Richtlinien, Ihre Infrastruktur, Ihre Verfügbarkeit – alles liegt in Ihrer Hand. Das bedeutet maximale Kontrolle, aber auch maximale Verantwortung. Um das System erfolgreich zu betreiben, benötigen Sie internes PKI-Fachwissen.

SaaS-PKI:Sie haben die Kontrolle über die PKI-Anwendung (Konfiguration von Zertifizierungsstellen, Zertifikatsprofilen und Registrierungsabläufen), nicht jedoch über die Infrastruktur. Der Anbieter verwaltet Server, Datenbanken, HSMs und sorgt für die Verfügbarkeit. Sie verfügen weiterhin über Administratorrechte für die PKI selbst, sind jedoch in Bezug auf die Verfügbarkeit und Sicherheit der zugrunde liegenden Systeme auf den Anbieter angewiesen.

PKIaaS:Der Anbieter kümmert sich um alles, doch Sie behalten die Kontrolle über das, was am wichtigsten ist: Ihre Root-CA-Schlüssel und Wiederherstellungsmaterialien. Im Rahmen einer vom Kunden kontrollierten Schlüsselhinterlegung wird eine Kopie Ihrer kryptografischen Root-CA-Materialien von einem vertrauenswürdigen Dritten verwahrt. Das bedeutet, dass Sie Ihre PKI bei Bedarf wieder intern verwalten können.

Dieser letzte Punkt ist unabhängig vom Modell nicht verhandelbar. Jeder Anbieter, der Ihnen nicht das Recht einräumt, Eigentümer Ihrer PKI zu sein, sollte aus der Auswahl ausgeschlossen werden. Ihre PKIaaS-Plattform muss Ihrem Unternehmen die vollständige Kontrolle über die Schlüssel der Stammzertifizierungsstelle und die PKI-Wiederherstellungsmaterialien gewähren. Die Aufgaben im Zusammenhang mit der Konzeption, Bereitstellung und Verwaltung liegen weiterhin in der Verantwortung des Anbieters, während Sie die Kontrolle über Ihre Vertrauensanker behalten.

Sicherheits-, Compliance- und Qualitätssicherungsstufen

Jedes Modell verteilt den Compliance-Aufwand unterschiedlich, und das Verständnis dieser Verteilung ist für Ihre Prüfungs- und Regulierungsplanung von entscheidender Bedeutung.

Die SOC-2-Typ-II-Zertifizierungbietet Sicherheit hinsichtlich der Kontrollen eines Dienstleisters in Bezug auf Sicherheit, Verfügbarkeit und Verarbeitungsintegrität. Während SOC 2 Typ I die Wirksamkeit der Konzeption der Kontrollen eines Anbieters bescheinigt, hat Typ II einen strengeren Geltungsbereich und bescheinigt die Wirksamkeitder Umsetzungdieser Kontrollen. Für SaaS-PKI und PKIaaS sollte Ihr Anbieter mindestens über eine SOC-2-Typ-II-Zertifizierung verfügen.

CP/CPS-Rahmenwerke(Certificate Policy und Certification Practices Statements) legen die Anforderungen an eine PKI sowie die Mittel fest, mit denen eine Implementierung diese Anforderungen erfüllt. Bei PKIaaS entwickelt und pflegt der Anbieter in der Regel die CP/CPS in Ihrem Auftrag und passt sie an die Anforderungen Ihrer Organisation an. Bei SaaS-PKI oder Cloud-PKI sind Sie selbst für die Erstellung und Pflege Ihrer eigenen CP/CPS verantwortlich.

Der Offline-Schutz der Root-CAist eine grundlegende Sicherheitsmaßnahme. Eine gut konzipierte PKIaaS-Lösung schützt Ihre Root-CA mit einem stets offline betriebenen, vollständig luftisolierten System. Die Root-Schlüssel werden in dedizierten HSMs nach FIPS 140-2 Level 2 in Einrichtungen gespeichert, die über Sicherheitstresore der GSA-Stufe 5, Brandschutz, mit zwei Schlüsseln gesicherte Schränke, manipulationssichere Beutel und rund um die Uhr vor Ort präsentes Sicherheitspersonal verfügen.

Regelmäßige PKI-Zustandsprüfungenstellen sicher, dass Ihre PKI-Umgebung langfristig sicher bleibt. PKI ist kein Sicherheitstool, das man einmal einrichtet und dann vergessen kann. Eine kontinuierliche Überwachung und Verwaltung sind von entscheidender Bedeutung. PKIaaS-Anbieter bieten Zustandsprüfungen in der Regel als Teil ihres Serviceangebots an, während bei selbstverwalteten Modellen diese Verantwortung vollständig bei Ihrem Team liegt.

Die Zuständigkeiten im Bereich Compliance lassen sich wie folgt aufschlüsseln:

Compliance-Bereich	Cloud-PKI (selbstverwaltet)	SaaS-PKI	PKIaaS
SOC 2 Typ II	Verantwortung des Kunden	Lieferantenrückhalte für die Infrastruktur	Anbieter-Rückhalte für Full-Service
CP/CPS-Entwicklung	Im Besitz des Kunden	Im Besitz des Kunden	Der Anbieter entwickelt das Produkt unter Einbeziehung der Kundenmeinungen
HSM-Verwaltung	Kundenverwaltung (Cloud-HSMs)	Anbieter verwaltet	Vom Anbieter verwaltet (speziell nach FIPS 140-2 zertifiziert)
Schutz der Stamm-Zertifizierungsstelle	Der Kunde plant und betreibt	Je nach Anbieter unterschiedlich	Der Anbieter betreibt ein Offline-Root-System mit mehrschichtiger Sicherheit
Gesundheitschecks und Überwachung	Kundenläufe	Geteilt	Der Anbieter sorgt für eine kontinuierliche Überwachung
Vorlage von Prüfungsnachweisen	Der Kunde legt alle Beweise vor	Gemeinsames Engagement	Der Anbieter legt die meisten Beweise vor

Welches Modell passt zu Ihrer Organisation?

Orientieren Sie sich an diesen Leitlinien, um das für Ihre Situation geeignete Bereitstellungsmodell zu finden:

Wählen Sie „Cloud-PKI (selbstverwaltet)“, wenn Sie:

• Verfügen Sie über internes PKI-Fachwissen und engagierte Mitarbeiter
• Sie betreiben bereits eine Cloud-Infrastruktur auf AWS, Azure oder GCP
• Sie möchten maximale Kontrolle über Schlüssel, Richtlinien und Konfigurationen haben
• Kann die Zeit und die finanziellen Mittel aufbringen, um die Umgebung aufzubauen und zu pflegen
• Es gelten strenge Anforderungen an die Datenhoheit, wonach die Schlüssel in Ihrer eigenen Cloud-Tenancy verbleiben müssen

Entscheiden Sie sich für SaaS-PKI, wenn Sie:

• Sie benötigen eine schnelle Bereitstellung und haben keine Zeit, eine PKI-Umgebung von Grund auf neu aufzubauen
• Möchten Sie die Kontrolle über Ihre PKI-Anwendung behalten, ohne Server und Datenbanken verwalten zu müssen?
• Es stehen weder die finanziellen Mittel noch das Personal zur Verfügung, um die zugrunde liegende Infrastruktur zu unterstützen
• Wir benötigen ein Abonnementmodell, das sich je nach Bedarf nach oben oder unten skalieren lässt
• Verfügen Sie über PKI-Erfahrung (oder Zugang zu professionellen Dienstleistungen), um die PKI-Anwendung zu konfigurieren und zu verwalten

Entscheiden Sie sich für PKIaaS, wenn Sie:

• Möchten Sie den PKI-Betrieb vollständig an ein Expertenteam auslagern?
• Benötigen Sie Sicherheit und Compliance auf Unternehmensniveau (SOC 2 Typ II, FIPS 140-2-konforme HSMs, Offline-Root-CA)?
• Es fehlt an internem PKI-Fachwissen oder der Einsatz von eigenem PKI-Personal lässt sich nicht rechtfertigen
• Ich möchte lieber eine partnerschaftliche Beziehung als ein „ software “-Tool
• Möchten Sie, dass Ihre PKI für die Post-Quanten-Ära gerüstet ist, ohne den Übergang selbst verwalten zu müssen?

Viele Unternehmen setzen letztendlich auf ein Hybridmodell, bei dem sie PKIaaS als primäre Unternehmens-PKI nutzen und gleichzeitig selbstverwaltete Cloud-Bereitstellungen für bestimmte Anwendungsfälle beibehalten. Entscheidend ist die Wahl einer Plattform, die mehrere Bereitstellungsoptionen unterstützt und die Zertifikatsverwaltung über alle diese Optionen hinweg vereinheitlichen kann.

Wie Keyfactor helfen Keyfactor

Keyfactor unterstützt alle drei Bereitstellungsmodelle und bietet Unternehmen so die Flexibilität, dort anzusetzen, wo sie gerade stehen, und sich im Laufe der Zeit weiterzuentwickeln. Ganz gleich, ob Sie eine selbstverwaltete PKI in Ihrer eigenen Cloud, eine als SaaS bereitgestellte Plattform oder ein vollständig verwaltetes PKIaaS benötigen – „ Keyfactor “ bietet eine einzige Plattform, die sich an Ihre Anforderungen anpasst.

KeyfactorDas PKIaaS-Angebot von […] zeichnet sich aus mehreren Gründen aus:

• Vollständig verwaltet, durchgängig:„Keyfactor “ erstellt, implementiert und wartet Ihre PKI. Ihre Teams betreiben sie, indem sie Zertifikate ausstellen und automatisieren. Jede Implementierung beginnt mit einem robusten CP/CPS und einer stets offline betriebenen, vollständig luftisolierten Stamm-Zertifizierungsstelle (Root CA), die durch dedizierte FIPS 140-2 Level 2-HSMs geschützt ist.
• Von Grund auf selbst entwickelt: „Keyfactor “entwickelt und wartet den gesamten PKI-Stack, von den Kryptografie-Bibliotheken (Bouncy Castle) bis hin zur Zertifizierungsstelle software (EJBCA). Das bedeutet: keine Abhängigkeit von Komponenten von Drittanbietern, schnellere Updates und langfristige Zuverlässigkeit als PKI-Partner.
• Post-Quantum-fähig:Mit einer vollständig verwalteten, PQC-fähigen PKI sowie fortschrittlichen Funktionen zur Zertifikatserkennung und -automatisierung unterstützt Sie „ Keyfactor “ dabei, Zertifikate zu identifizieren und auf quantensichere Standards umzustellen, ohne Ihre internen Teams zu belasten.
• Von ABI Research auf Platz 1 im Bereich Enterprise-PKI eingestuftund laut der „Total Economic Impact“-Studie von Forrester miteinem ROI von 356%.
• PKI + Automatisierung des Zertifikatslebenszyklus auf einer Plattform:Anstatt separate Tools anzufügen, kombiniert „ Keyfactor “ PKIaaS mit der Automatisierung des Zertifikatslebenszyklus und sorgt so für einen nahtlosen Ablauf von der Erkennung über die Ausstellung und Verlängerung bis hin zum Widerruf.

David Yu, Vice President für Sicherheitsarchitektur bei der EQ Bank, erklärte dazu: „Keyfactor hat uns von Beginn an bis zur Produktionsphase bei jedem Schritt begleitet und dabei äußerst proaktiv gehandelt. Das Fachwissen und die Unterstützung des Teams haben maßgeblich zum Erfolg unserer Teams beigetragen.“

Ganz gleich, ob Sie sich zum ersten Mal mit PKI befassen oder eineschrittweise Migration von einer älteren PKI-Lösung planen – „ Keyfactor “ bietet Ihnen mehr als 20 Jahre Erfahrung im Bereich PKI und unterstützt Sie bei der Konzeption, Implementierung und Verwaltung einer Lösung, die genau zu Ihren Anforderungen passt.

Haben Sie Fragen zur Cloud-PKI? Wir haben die Antworten.

Q: What is the difference between PKIaaS and SaaS PKI?
PKIaaS is a fully managed service where the vendor handles all PKI operations, from root CA ceremonies to 24/7 monitoring and maintenance. SaaS PKI is a cloud-delivered PKI platform where the vendor manages the infrastructure, but the customer is responsible for configuring and operating the PKI itself. PKIaaS is a service relationship; SaaS PKI is a software delivery model.

Q: Is Cloud PKI the same as PKIaaS?
Not exactly. Cloud PKI is the broadest term, referring to any PKI deployed in a cloud environment. This includes self-managed deployments in your own AWS or Azure account, vendor-managed SaaS PKI, and fully managed PKIaaS. Cloud PKI describes where the infrastructure lives; PKIaaS describes who manages it and how.

Q: Should I choose single-tenant or multi-tenant PKI?
For enterprise PKI, single-tenant is strongly recommended. PKI is mission-critical trust infrastructure, and shared, multi-tenant environments introduce security risks and compliance complications. A dedicated, single-tenant deployment provides isolation, flexibility, and the ability to meet audit requirements without dependencies on other tenants.

Q: Can I keep control of my root CA keys with a managed PKI service?
Yes, with the right provider. A well-designed PKIaaS solution includes customer-controlled key escrow, where a copy of your root CA cryptographic materials is held by a trusted third party. This ensures you can bring your PKI back in-house if the vendor relationship changes. Any provider that does not offer key ownership should be excluded from consideration.

Q: How does PKIaaS help with post-quantum cryptography readiness?
A fully managed PKIaaS provider stays current with evolving cryptographic standards, including the transition to post-quantum algorithms. Because the provider manages the PKI stack end to end, they can identify and migrate certificates to quantum-safe standards on your behalf, reducing the burden on your internal teams.

Q: What should I look for when evaluating a PKIaaS provider?
Key evaluation criteria include: single-tenant infrastructure, offline root CA protection with HSMs, customer-controlled key escrow, SOC 2 Type II certification, a robust CP/CPS framework, SLA-backed uptime (look for 99.5% to 99.9% guaranteed availability), integrated certificate lifecycle automation, and a proven track record of PKI expertise.

Q: Can I combine different PKI deployment models?
Yes. Many organizations run a hybrid model where they use PKIaaS for their primary enterprise PKI while maintaining self-managed Cloud PKI or on-premises deployments for specific use cases. The key is choosing a platform that supports multiple deployment options and can unify certificate management across all of them.

Q: How quickly can I deploy PKIaaS compared to building PKI in-house?
PKIaaS deployments can be significantly faster than building PKI in-house. The vendor brings pre-built best practices, established CP/CPS frameworks, and existing security infrastructure, which eliminates the need to design and procure everything from scratch. Some vendors can have your PKI production-ready in weeks rather than months.