PKIaaS vs. SaaS-PKI vs. Cloud-PKI: Was ist der Unterschied und welche Lösung ist die richtige für Sie?

Das Terminologieproblem bei cloudbasierten PKI-Systemen

Wenn Sie sich bereits mit cloudbasiertenPublic-Key-Infrastrukturen (PKI) beschäftigt haben, ist Ihnen wahrscheinlich etwas Frustrierendes aufgefallen: Die Begriffe PKIaaS, SaaS-PKI und Cloud-PKI tauchen überall auf, oft ohne dass erklärt wird, was sie eigentlich bedeuten. Sind sie dasselbe? Oder beziehen sie sich auf unterschiedliche Konzepte? In diesem Blogbeitrag gehen wir diesen Fragen nach und erklären ausführlich, worin ihre Unterschiede tatsächlich bestehen. Kurz gesagt: Sie sind nicht dasselbe – sie werden zwar synonym verwendet, beschreiben aber deutlich unterschiedliche Bereitstellungsmodelle.

Dies ist von Bedeutung, da jedes Modell unterschiedliche Auswirkungen auf Sicherheit, Kontrolle, Betriebsaufwand und Kosten hat. Die Wahl des falschen Modells oder ein Missverständnis dessen, was ein Anbieter mit dem Begriff „Cloud-PKI“ meint, kann dazu führen, dass Sie eine Lösung erhalten, die weder Ihren Anforderungen noch Ihren Compliance-Vorgaben entspricht, Sie in eine Anbieterbeziehung bindet, aus der Sie nicht mehr aussteigen können, oder Ihrem Team eine unerwartete operative Komplexität aufbürdet.

In diesem Leitfaden wird erläutert, was die einzelnen Begriffe konkret bedeuten, worin sie sich unterscheiden und wie Sie das richtige Modell für die Anforderungen Ihres Unternehmens auswählen können.

Die drei Modelle definieren

Was ist Cloud-PKI?

„Cloud-PKI“ ist der umfassendste Oberbegriff. Er bezeichnet jede PKI-Bereitstellung, die in einer Cloud-Umgebung statt vor Ort betrieben wird. Dies umfasst alles von selbstverwalteten PKI-Lösungen, die in Ihrem eigenen AWS- oder Azure-Konto bereitgestellt werden, bis hin zu vollständig verwalteten, vom Anbieter gehosteten Diensten.

Der entscheidende Unterschied besteht darin, dass sich „Cloud-PKI“ darauf bezieht,wosich die Infrastruktur befindet, und nicht darauf,wersie verwaltet.

Dieser Oberbegriff deckt ein breites Spektrum an möglichen Verantwortlichkeiten für die Durchführung der Arbeiten ab. Am einen Ende übernehmen Sie alles selbst, am anderen Ende übernimmt ein Dienstleister alles für Sie, und dazwischen liegen hybride Modelle. Es lohnt sich, dieses Spektrum von der größten bis zur geringsten Kontrolle durchzugehen, denn bei der Entscheidung geht es letztlich darum, wie viel betrieblichen Aufwand Sie abgeben möchten und – was entscheidend ist – wer letztendlich die privaten CA-Schlüssel verwahrt.

In einer selbstverwalteten Cloud-Bereitstellung richten Sie Ihre CA- software auf gemieteten Rechenressourcen in AWS, Azure oder GCP ein und speichern die privaten Schlüssel in einem Cloud-HSM-Dienst wie AWS CloudHSM, Azure Managed HSM oder GCP Cloud HSM. Der Cloud-Anbieter stellt die Grundbausteine bereit: virtuelle Maschinen, Speicher, Netzwerk und partitionierte HSM- hardware. Sie sind für alles verantwortlich, was diese Bausteine zu einer PKI macht: das Hierarchie-Design, Zertifikatsprofile, Ausstellungsrichtlinien, die CA-Konfiguration, die Verfügbarkeit, Backups und die Notfallwiederherstellung. Entscheidend ist, dass Ihre privaten Schlüssel niemals Ihre Kontrollgrenze verlassen. Der Anbieter ist Ihr Vermieter für die Infrastruktur, nicht der Betreiber Ihres Vertrauensankers. Eine selbstverwaltete Cloud-PKI ist im Wesentlichen das On-Premises-Betriebsmodell, das auf eine gemietete Infrastruktur übertragen wurde. Sie entledigen sich des Rechenzentrums und der Aktualisierungszyklen für „ hardware “, behalten aber die gleichen Verantwortlichkeiten für „ software “ und Schlüssel bei.

Bei Hybrid-Bereitstellungen werden Modelle bewusst kombiniert; das gängigste Muster besteht darin, eine Offline-Stammzertifizierungsstelle vor Ort zu betreiben, während die Online-Ausstellungszertifizierungsstellen in einer selbstverwalteten Cloud laufen. So erhalten Sie eine hochsichere Stammzertifizierungsstelle, ohne die Betriebskosten für den Betrieb von Ausstellungszertifizierungsstellen auf Bare-Metal-Servern tragen zu müssen. Am anderen Ende des Spektrums befindet sich die vom Anbieter verwaltete PKI, die in der Regel als „PKI-as-a-Service“ (PKIaaS) oder „SaaS-PKI“ angeboten wird. Diese werden im Folgenden erläutert.

Was ist SaaS-PKI?

SaaS-PKI ist eine schlüsselfertige, cloudbasierte PKI-Plattform, bei der der Anbieter die zugrunde liegende Infrastruktur in Ihrem Auftrag verwaltet. Der Anbieter kümmert sich um die Rechenleistung, die Datenbanken, das Netzwerk, die Lastverteiler und die HSMs. Sie behalten den administrativen Zugriff auf die PKI-Anwendung selbst und können Zertifizierungsstellen, Zertifikatsprofile, Validierungsstellen und Registrierungsabläufe konfigurieren.

Stellen Sie sich das so vor, als würden Sie die PKI- software abonnieren, anstatt sie zu kaufen und selbst zu hosten. Die Anforderungen sind minimal: Sie benötigen ein aktives Cloud-Konto und eine Internetverbindung. Sie benötigen keine zusätzliche Infrastruktur, um loszulegen, da der Anbieter den gesamten Technologie-Stack hinter der Anwendung verwaltet.

Bei einer SaaS-Bereitstellung sind Sie für dieKonfigurationIhrer PKI (Ihre Zertifizierungsstellen, Registrierungsstellen und Validierungsstellen) verantwortlich, nicht jedoch für den Betrieb der zugrunde liegenden Systeme. Upgrades werden vom Anbieter im Rahmen geplanter Wartungsfenster durchgeführt. Das Abonnementmodell bedeutet, dass Sie nur für die tatsächlich genutzten Leistungen bezahlen und die Kapazitäten bei Bedarf nach oben oder unten skalieren können.

SaaS-PKI eignet sich besonders für Unternehmen, die die Kontrolle über ihre PKI-Richtlinien und -Governance behalten möchten, ohne die zugrunde liegende Infrastruktur verwalten zu müssen, die ein SLA benötigen, das sie nicht selbst pflegen müssen, oder die einen unmittelbaren Bedarf haben und nicht die Zeit finden, eine vollständige PKI-Umgebung von Grund auf aufzubauen.

Was ist PKIaaS (PKI as a Service)?

PKIaaS ist ein vollständig verwalteter PKI-Dienst, bei dem der Anbieter alles übernimmt: PKI-Entwurf, Bereitstellung, laufenden Betrieb und Überwachung rund um die Uhr. Dies geht in entscheidender Weise über SaaS-PKI hinaus. Bei SaaS-PKI verwaltet der Anbieter die Infrastrukturebene. Bei PKIaaS verwaltet der Anbieter zusätzlich die PKI-Ebene selbst, einschließlich der Root-CA-Zeremonien, der Zertifikatsrichtlinien und Zertifizierungspraktiken (CP/CPS), der Wartung der ausstellenden Zertifizierungsstellen, der CRL-Verwaltung sowie der Reaktion auf Vorfälle.

Das Betriebsmodell folgt einer klaren Aufgabenteilung: Der Anbieter erstellt, implementiert und wartet das System. Ihre Teams betreiben es, indem sie Zertifikate ermitteln, ausstellen und deren Lebenszyklen automatisieren. Sie behalten die Kontrolle über die Schlüssel der Stammzertifizierungsstelle und die Wiederherstellungsmaterialien durch eine Schlüsselhinterlegung, wodurch sichergestellt ist, dass Sie Ihre PKI wieder intern betreiben können, falls sich die Beziehung zum Anbieter ändern sollte.

PKIaaS ist eine Dienstleistungsbeziehung und nicht nur ein Modell zur Bereitstellung von „ software “. Es richtet sich an Unternehmen, die den PKI-Betrieb vollständig an Experten auslagern möchten, dabei aber die Kontrolle über ihre Vertrauensanker behalten wollen.

Wenn Sieeine Migration von einer veralteten PKI-Lösung in Betracht ziehen, bietet PKIaaS den schnellsten Weg zu einer modernen, gut durchdachten Infrastruktur, ohne dass dafür tiefgreifendes internes PKI-Fachwissen erforderlich ist.

Die wichtigsten Unterschiede auf einen Blick

Die folgende Tabelle fasst die wesentlichen Unterschiede zwischen den drei Modellen zusammen:

Der wichtigste Unterschied zwischen diesen Modellen liegt inder Frage der Verwahrung und Kontrolle der Schlüssel. Bei einer selbstverwalteten Cloud-PKI behalten Sie die vollständige Kontrolle. Bei einer SaaS-PKI wird die Infrastruktur ausgelagert, die Kontrolle über die Anwendungen verbleibt jedoch bei Ihnen. Bei einer PKIaaS werden sowohl die Infrastruktur als auch der Betrieb ausgelagert, während Sie weiterhin Eigentümer der Vertrauensanker bleiben.

Single-Tenant vs. Multi-Tenant: Warum dies für PKI von Bedeutung ist

Die Isolierung der Infrastruktur ist ein entscheidendes Bewertungskriterium und gilt unabhängig davon, für welches Bereitstellungsmodell Sie sich entscheiden. Ihre private PKI ist der Vertrauensanker für Ihr Unternehmen: Ihre Zertifizierungsstellen-Schlüssel authentifizieren Ihre Geräte, Benutzer und Workloads. Wie gründlich diese Infrastruktur von anderen Kunden isoliert ist, wirkt sich direkt auf Ihr Risiko aus. Daher lohnt es sich, genau zu klären, welche Isolierungsebenen von Bedeutung sind und warum.

Der Aspekt, bei dem keine Kompromisse möglich sind, ist die Verwahrung der Schlüssel. Ihre privaten CA-Schlüssel müssen in HSMs gespeichert sein, aus denen kein anderer Mandant sie extrahieren oder nutzen kann: dedizierte HSMs oder dedizierte Partitionen, die nach FIPS 140-2/3 Level 3 zertifiziert sind. Solange diese Grenze gewahrt bleibt, kann ein Angreifer in einem anderen Mandanten nicht als Ihre Zertifizierungsstelle signieren – und genau das ist das wichtigste Ergebnis.

Über die Schlüssel hinaus isoliert eine Single-Tenant-Bereitstellung die Umgebung: dediziertes Netzwerk und Zugriffskontrollen nach dem Prinzip der geringsten Berechtigungen sowie keine gemeinsam mit anderen Kunden genutzten Rechen- oder Speicherressourcen. Dies ist eher eine mehrschichtige Verteidigungsstrategie als eine einzige feste Grenze und stellt für die private PKI eines Unternehmens die sinnvolle Standardkonfiguration dar:

• Geringerer Auswirkungsbereich.Eine Sicherheitslücke in einer gemeinsam genutzten Plattform kann potenziell jeden darauf befindlichen Mandanten gefährden. In einer dedizierten Umgebung bleibt der Ausfall auf Sie beschränkt.
• Das lässt sich leichter nachweisen.Auditoren akzeptieren zwar eine durch HSMs gesicherte Schlüsselisolierung in einem Multi-Tenant-Design, doch lässt sich die Isolierung Ihrer Vertrauensinfrastruktur sauberer und schneller nachweisen, wenn es sich um eine dedizierte statt um eine gemeinsam genutzte Umgebung handelt.
• Mehr Spielraum für individuelle Anpassungen.Multi-Tenant-Plattformen tendieren dazu, eine Einheitslösung für alle anzubieten. Eine Single-Tenant-Umgebung bietet Ihnen mehr Freiheit bei der Gestaltung individueller CA-Hierarchien, ungewöhnlicher Zertifikatsprofile und Ausstellungsrichtlinien, die speziell auf Ihre Anforderungen zugeschnitten sind.

Ein Hinweis zum Anwendungsbereich: Dies sind Leitlinien für Ihre private PKI, also die interne Vertrauenswurzel, die Sie besitzen und betreiben. Öffentlich vertrauenswürdige PKI-Systeme funktionieren aufgrund ihrer Konzeption anders, da öffentliche Zertifizierungsstellen von Natur aus mandantenfähig sind und unter strengen, geprüften Kontrollen Zertifikate für viele Organisationen gleichzeitig ausstellen. Es geht also nicht darum, dass Mandantenfähigkeit grundsätzlich falsch ist, sondern darum, dass der private Vertrauensanker Ihrer Organisation eine dedizierte Umgebung verdient. Achten Sie bei der Bewertung einer cloudbasierten privaten PKI mindestens darauf, dass die Zertifizierungsstellenschlüssel in dedizierten HSMs isoliert sind, und bevorzugen Sie eine Single-Tenant-Isolation für die umgebende Umgebung.

Kontrolle und Schlüsselverantwortung über alle Bereitstellungsmodelle hinweg

Der Grad der Kontrolle erstreckt sich über ein Spektrum, das sich durch alle drei Modelle zieht, und um die richtige Wahl zu treffen, ist es unerlässlich zu verstehen, wo jedes einzelne Modell auf diesem Spektrum angesiedelt ist.

Cloud-PKI (selbstverwaltet):Sie haben die volle Kontrolle. Ihre Schlüssel, Ihre Richtlinien, Ihre Infrastruktur, Ihre Verfügbarkeit – alles liegt in Ihrer Hand. Das bedeutet maximale Kontrolle, aber auch maximale Verantwortung. Um das System erfolgreich zu betreiben, benötigen Sie internes PKI-Fachwissen.

SaaS-PKI:Sie haben die Kontrolle über die PKI-Anwendung (Konfiguration von Zertifizierungsstellen, Zertifikatsprofilen und Registrierungsabläufen), nicht jedoch über die Infrastruktur. Der Anbieter verwaltet Server, Datenbanken, HSMs und sorgt für die Verfügbarkeit. Sie verfügen weiterhin über Administratorrechte für die PKI selbst, sind jedoch in Bezug auf die Verfügbarkeit und Sicherheit der zugrunde liegenden Systeme auf den Anbieter angewiesen.

PKIaaS:Der Anbieter kümmert sich um alles, doch Sie behalten die Kontrolle über das, was am wichtigsten ist: Ihre Root-CA-Schlüssel und Wiederherstellungsmaterialien. Im Rahmen einer vom Kunden kontrollierten Schlüsselhinterlegung wird eine Kopie Ihrer kryptografischen Root-CA-Materialien von einem vertrauenswürdigen Dritten verwahrt. Das bedeutet, dass Sie Ihre PKI bei Bedarf wieder intern verwalten können.

Dieser letzte Punkt ist unabhängig vom Modell nicht verhandelbar. Jeder Anbieter, der Ihnen nicht das Recht einräumt, Eigentümer Ihrer PKI zu sein, sollte aus der Auswahl ausgeschlossen werden. Ihre PKIaaS-Plattform muss Ihrem Unternehmen die vollständige Kontrolle über die Schlüssel der Stammzertifizierungsstelle und die PKI-Wiederherstellungsmaterialien gewähren. Die Aufgaben im Zusammenhang mit der Konzeption, Bereitstellung und Verwaltung liegen weiterhin in der Verantwortung des Anbieters, während Sie die Kontrolle über Ihre Vertrauensanker behalten.

Sicherheits-, Compliance- und Qualitätssicherungsstufen

Jedes Modell verteilt den Compliance-Aufwand unterschiedlich, und das Verständnis dieser Verteilung ist für Ihre Prüfungs- und Regulierungsplanung von entscheidender Bedeutung.

Die SOC-2-Typ-II-Zertifizierungbietet Sicherheit hinsichtlich der Kontrollen eines Dienstleisters in Bezug auf Sicherheit, Verfügbarkeit und Verarbeitungsintegrität. Während SOC 2 Typ I die Wirksamkeit der Konzeption der Kontrollen eines Anbieters bescheinigt, hat Typ II einen strengeren Geltungsbereich und bescheinigt die Wirksamkeitder Umsetzungdieser Kontrollen. Für SaaS-PKI und PKIaaS sollte Ihr Anbieter mindestens über eine SOC-2-Typ-II-Zertifizierung verfügen.

CP/CPS-Rahmenwerke(Certificate Policy und Certification Practices Statements) legen die Anforderungen an eine PKI sowie die Mittel fest, mit denen eine Implementierung diese Anforderungen erfüllt. Bei PKIaaS entwickelt und pflegt der Anbieter in der Regel die CP/CPS in Ihrem Auftrag und passt sie an die Anforderungen Ihrer Organisation an. Bei SaaS-PKI oder Cloud-PKI sind Sie selbst für die Erstellung und Pflege Ihrer eigenen CP/CPS verantwortlich.

Der Offline-Schutz der Root-CAist eine grundlegende Sicherheitsmaßnahme. Eine gut konzipierte PKIaaS-Lösung schützt Ihre Root-CA mit einem stets offline betriebenen, vollständig luftisolierten System. Die Root-Schlüssel werden in dedizierten HSMs nach FIPS 140-2 Level 2 in Einrichtungen gespeichert, die über Sicherheitstresore der GSA-Stufe 5, Brandschutz, mit zwei Schlüsseln gesicherte Schränke, manipulationssichere Beutel und rund um die Uhr vor Ort präsentes Sicherheitspersonal verfügen.

Regelmäßige PKI-Zustandsprüfungenstellen sicher, dass Ihre PKI-Umgebung langfristig sicher bleibt. PKI ist kein Sicherheitstool, das man einmal einrichtet und dann vergessen kann. Eine kontinuierliche Überwachung und Verwaltung sind von entscheidender Bedeutung. PKIaaS-Anbieter bieten Zustandsprüfungen in der Regel als Teil ihres Serviceangebots an, während bei selbstverwalteten Modellen diese Verantwortung vollständig bei Ihrem Team liegt.

Die Zuständigkeiten im Bereich Compliance lassen sich wie folgt aufschlüsseln:

Welches Modell passt zu Ihrer Organisation?

Orientieren Sie sich an diesen Leitlinien, um das für Ihre Situation geeignete Bereitstellungsmodell zu finden:

Wählen Sie „Cloud-PKI (selbstverwaltet)“, wenn Sie:

• Verfügen Sie über internes PKI-Fachwissen und engagierte Mitarbeiter
• Sie betreiben bereits eine Cloud-Infrastruktur auf AWS, Azure oder GCP
• Sie möchten maximale Kontrolle über Schlüssel, Richtlinien und Konfigurationen haben
• Kann die Zeit und die finanziellen Mittel aufbringen, um die Umgebung aufzubauen und zu pflegen
• Es gelten strenge Anforderungen an die Datenhoheit, wonach die Schlüssel in Ihrer eigenen Cloud-Tenancy verbleiben müssen

Entscheiden Sie sich für SaaS-PKI, wenn Sie:

• Sie benötigen eine schnelle Bereitstellung und haben keine Zeit, eine PKI-Umgebung von Grund auf neu aufzubauen
• Möchten Sie die Kontrolle über Ihre PKI-Anwendung behalten, ohne Server und Datenbanken verwalten zu müssen?
• Es stehen weder die finanziellen Mittel noch das Personal zur Verfügung, um die zugrunde liegende Infrastruktur zu unterstützen
• Wir benötigen ein Abonnementmodell, das sich je nach Bedarf nach oben oder unten skalieren lässt
• Verfügen Sie über PKI-Erfahrung (oder Zugang zu professionellen Dienstleistungen), um die PKI-Anwendung zu konfigurieren und zu verwalten

Entscheiden Sie sich für PKIaaS, wenn Sie:

• Möchten Sie den PKI-Betrieb vollständig an ein Expertenteam auslagern?
• Benötigen Sie Sicherheit und Compliance auf Unternehmensniveau (SOC 2 Typ II, FIPS 140-2-konforme HSMs, Offline-Root-CA)?
• Es fehlt an internem PKI-Fachwissen oder der Einsatz von eigenem PKI-Personal lässt sich nicht rechtfertigen
• Ich möchte lieber eine partnerschaftliche Beziehung als ein „ software “-Tool
• Möchten Sie, dass Ihre PKI für die Post-Quanten-Ära gerüstet ist, ohne den Übergang selbst verwalten zu müssen?

Viele Unternehmen setzen letztendlich auf ein Hybridmodell, bei dem sie PKIaaS als primäre Unternehmens-PKI nutzen und gleichzeitig selbstverwaltete Cloud-Bereitstellungen für bestimmte Anwendungsfälle beibehalten. Entscheidend ist die Wahl einer Plattform, die mehrere Bereitstellungsoptionen unterstützt und die Zertifikatsverwaltung über alle diese Optionen hinweg vereinheitlichen kann.

Wie Keyfactor helfen Keyfactor

Keyfactor unterstützt alle drei Bereitstellungsmodelle und bietet Unternehmen so die Flexibilität, dort anzusetzen, wo sie gerade stehen, und sich im Laufe der Zeit weiterzuentwickeln. Ganz gleich, ob Sie eine selbstverwaltete PKI in Ihrer eigenen Cloud, eine als SaaS bereitgestellte Plattform oder ein vollständig verwaltetes PKIaaS benötigen – „ Keyfactor “ bietet eine einzige Plattform, die sich an Ihre Anforderungen anpasst.

KeyfactorDas PKIaaS-Angebot von […] zeichnet sich aus mehreren Gründen aus:

• Vollständig verwaltet, durchgängig:„Keyfactor “ erstellt, implementiert und wartet Ihre PKI. Ihre Teams betreiben sie, indem sie Zertifikate ausstellen und automatisieren. Jede Implementierung beginnt mit einem robusten CP/CPS und einer stets offline betriebenen, vollständig luftisolierten Stamm-Zertifizierungsstelle (Root CA), die durch dedizierte FIPS 140-2 Level 2-HSMs geschützt ist.
• Von Grund auf selbst entwickelt: „Keyfactor “entwickelt und wartet den gesamten PKI-Stack, von den Kryptografie-Bibliotheken (Bouncy Castle) bis hin zur Zertifizierungsstelle software (EJBCA). Das bedeutet: keine Abhängigkeit von Komponenten von Drittanbietern, schnellere Updates und langfristige Zuverlässigkeit als PKI-Partner.
• Post-Quantum-fähig:Mit einer vollständig verwalteten, PQC-fähigen PKI sowie fortschrittlichen Funktionen zur Zertifikatserkennung und -automatisierung unterstützt Sie „ Keyfactor “ dabei, Zertifikate zu identifizieren und auf quantensichere Standards umzustellen, ohne Ihre internen Teams zu belasten.
• Von ABI Research auf Platz 1 im Bereich Enterprise-PKI eingestuftund laut der „Total Economic Impact“-Studie von Forrester miteinem ROI von 356%.
• PKI + Automatisierung des Zertifikatslebenszyklus auf einer Plattform:Anstatt separate Tools anzufügen, kombiniert „ Keyfactor “ PKIaaS mit der Automatisierung des Zertifikatslebenszyklus und sorgt so für einen nahtlosen Ablauf von der Erkennung über die Ausstellung und Verlängerung bis hin zum Widerruf.

David Yu, Vice President für Sicherheitsarchitektur bei der EQ Bank, erklärte dazu: „Keyfactor hat uns von Beginn an bis zur Produktionsphase bei jedem Schritt begleitet und dabei äußerst proaktiv gehandelt. Das Fachwissen und die Unterstützung des Teams haben maßgeblich zum Erfolg unserer Teams beigetragen.“

Ganz gleich, ob Sie sich zum ersten Mal mit PKI befassen oder eineschrittweise Migration von einer älteren PKI-Lösung planen – „ Keyfactor “ bietet Ihnen mehr als 20 Jahre Erfahrung im Bereich PKI und unterstützt Sie bei der Konzeption, Implementierung und Verwaltung einer Lösung, die genau zu Ihren Anforderungen passt.

Haben Sie Fragen zur Cloud-PKI? Wir haben die Antworten.

F: Was ist der Unterschied zwischen PKIaaS und SaaS-PKI?
PKIaaS ist ein vollständig verwalteter Dienst, bei dem der Anbieter den gesamten PKI-Betrieb übernimmt – von der Einrichtung der Stammzertifizierungsstelle bis hin zur Überwachung und Wartung rund um die Uhr. SaaS-PKIist eine über die Cloud bereitgestellte PKI-Plattform, bei der der Anbieter die Infrastruktur verwaltet, der Kunde jedoch für die Konfiguration und den Betrieb der PKI selbst verantwortlich ist. PKIaaS ist eine Dienstleistungsbeziehung; SaaS-PKI ist ein „ software “-Bereitstellungsmodell.

F: Ist Cloud-PKI dasselbe wie PKIaaS?
Nicht ganz. Cloud-PKI ist der weitest gefasste Begriff und bezieht sich auf jede PKI, die in einer Cloud-Umgebung bereitgestellt wird. Dazu gehören selbstverwaltete Bereitstellungen in Ihrem eigenen AWS- oder Azure-Konto, vom Anbieter verwaltete SaaS-PKI sowie vollständig verwaltete PKIaaS. Cloud-PKI beschreibt, wo sich die Infrastruktur befindet; PKIaaS beschreibt, wer sie verwaltet und wie.

F: Sollte ich mich für eine Single-Tenant- oder eine Multi-Tenant-PKI entscheiden?
Für Unternehmens-PKIs wird eine Single-Tenant-Lösung dringend empfohlen. Eine PKI ist eine geschäftskritische Vertrauensinfrastruktur, und gemeinsam genutzte Multi-Tenant-Umgebungen bergen Sicherheitsrisiken und Komplikationen hinsichtlich der Compliance. Eine dedizierte Single-Tenant-Bereitstellung bietet Isolation, Flexibilität und die Möglichkeit, Audit-Anforderungen zu erfüllen, ohne von anderen Mandanten abhängig zu sein.

F: Kann ich bei einem verwalteten PKI-Dienst die Kontrolle über meine Root-CA-Schlüssel behalten?
Ja, mit dem richtigen Anbieter. Eine gut konzipierte PKIaaS-Lösung umfasst eine vom Kunden kontrollierte Schlüsselhinterlegung, bei der eine Kopie Ihrer kryptografischen Root-CA-Materialien von einem vertrauenswürdigen Dritten verwahrt wird. Dies stellt sicher, dass Sie Ihre PKI wieder intern verwalten können, falls sich die Beziehung zum Anbieter ändert. Jeder Anbieter, der keine Schlüsselhoheit anbietet, sollte von der Auswahl ausgeschlossen werden.

F: Wie trägt PKIaaS zur Vorbereitung auf die postquantenkryptografische Zukunft bei?
Ein vollständig verwalteter PKIaaS-Anbieter hält sich über die sich weiterentwickelnden kryptografischen Standards auf dem Laufenden, einschließlich des Übergangs zu postquantenkryptografischen Algorithmen. Da der Anbieter den PKI-Stack durchgängig verwaltet, kann er in Ihrem Auftrag Zertifikate identifizieren und auf quantensichere Standards migrieren, wodurch Ihre internen Teams entlastet werden.

F: Worauf sollte ich bei der Bewertung eines PKIaaS-Anbieters achten?
Zu den wichtigsten Bewertungskriterien gehören: Single-Tenant-Infrastruktur, Offline-Schutz der Root-CA durch HSMs, vom Kunden kontrollierte Schlüsselhinterlegung, SOC-2-Typ-II-Zertifizierung, ein robustes CP/CPS-Framework, durch ein SLA abgesicherte Verfügbarkeit (achten Sie auf eine garantierte Verfügbarkeit von 99,5 % bis 99,9 %), integrierte Automatisierung des Zertifikatslebenszyklus sowie nachgewiesene Erfahrung im Bereich PKI.

F: Kann ich verschiedene PKI-Bereitstellungsmodelle kombinieren?
Ja. Viele Unternehmen nutzen ein Hybridmodell, bei dem sie PKIaaS als primäre Unternehmens-PKI einsetzen und gleichzeitig für bestimmte Anwendungsfälle selbstverwaltete Cloud-PKI- oder lokale Bereitstellungen beibehalten. Entscheidend ist die Wahl einer Plattform, die mehrere Bereitstellungsoptionen unterstützt und die Zertifikatsverwaltung über alle diese Optionen hinweg vereinheitlichen kann.

F: Wie schnell lässt sich PKIaaS im Vergleich zum Aufbau einer internen PKI bereitstellen?
Die Bereitstellung von PKIaaS kann deutlich schneller erfolgen als der Aufbaueiner internen PKI. Der Anbieter bringt vorgefertigte Best Practices, etablierte CP/CPS-Rahmenwerke und eine bestehende Sicherheitsinfrastruktur mit, sodass nicht alles von Grund auf neu entworfen und beschafft werden muss. Bei einigen Anbietern kann Ihre PKI bereits innerhalb von Wochen statt Monaten produktionsbereit sein.