{"id":37643,"date":"2026-11-11T10:08:15","date_gmt":"2026-11-11T09:08:15","guid":{"rendered":"https:\/\/sits.com\/?p=37643"},"modified":"2026-11-11T10:08:15","modified_gmt":"2026-11-11T09:08:15","slug":"tls-zertifikate-automatisch-erneuern","status":"publish","type":"post","link":"https:\/\/sits.com\/de\/blog\/tls-zertifikate-automatisch-erneuern\/","title":{"rendered":"TLS-Zertifikate automatisch erneuern: Was 47-t\u00e4gige Zertifikatslaufzeiten f\u00fcr Unternehmen bedeuten"},"content":{"rendered":"

[vc_row custom_background_class=\"gradient-up\"][vc_column]

Von 200 auf 47 Tage: Wie lassen sich k\u00fcrzere Laufzeiten von TLS-Zertifikaten effizient umsetzen?<\/h2>[vc_column_text]TLS-Zertifikate kommen in nahezu jedem Unternehmen zum Einsatz. Sie bilden die Vertrauensbasis f\u00fcr <\/span>verschl\u00fcsselte Verbindungen<\/span><\/a> zu Websites, Applikationen, APIs und digitalen Services. Gleichzeitig ver\u00e4ndern sich die Rahmenbedingungen f\u00fcr ihren Einsatz: Das CA\/Browser Forum hat beschlossen, die maximal zul\u00e4ssige Laufzeit \u00f6ffentlich vertrauensw\u00fcrdiger TLS-Zertifikate schrittweise zu verk\u00fcrzen. Seit dem <\/span>15. M\u00e4rz 2026<\/span><\/b> liegt sie bei <\/span>maximal 200 Tagen<\/span><\/b>, ab <\/span>2027<\/span><\/b> sind es nur noch <\/span>100 Tage<\/span><\/b> und ab <\/span>2029 <\/span><\/b>schlie\u00dflich <\/span>47 Tage<\/span><\/b>.<\/span>\u00a0<\/span><\/p>\n

Dadurch m\u00fcssen Unternehmen Zertifikate deutlich \u00f6fter beantragen, Domains validieren, neue Zertifikate bereitstellen und bestehende Installationen aktualisieren. Bei k\u00fcrzeren Laufzeiten wird es immer schwieriger, Zertifikate zuverl\u00e4ssig \u00fcber Kalendererinnerungen, Excel-Listen oder manuelle Tickets zu verwalten. Je k\u00fcrzer die Laufzeiten werden, desto wichtiger wird ein <\/span>durchg\u00e4ngiges Certificate Lifecycle Management<\/span><\/b>, das Transparenz, klare Zust\u00e4ndigkeiten und automatisierte Abl\u00e4ufe miteinander verbindet.<\/span>\u00a0<\/span>[\/vc_column_text]

<\/div>\n[\/vc_column][\/vc_row][vc_row custom_background_class=\"gradient-down\"][vc_column]

Warum k\u00fcrzere Laufzeiten von TLS-Zertifikaten das Betriebsrisiko erh\u00f6hen<\/h2>[vc_column_text]Zertifikate hatten schon immer ein Ablaufdatum. Ver\u00e4ndert hat sich die Geschwindigkeit, mit der der gesamte Prozess erneut durchlaufen werden muss. Bei einer langen Laufzeit konnte die Erneuerung \u00f6ffentlich vertrauensw\u00fcrdiger TLS-Zertifikate in den meisten Unternehmen als vergleichsweise seltene Administrationsaufgabe behandelt werden. Die neuen Vorgaben des CA\/Browser Forum ver\u00e4ndern diese Ausgangslage: Seit dem 15. M\u00e4rz 2026 betr\u00e4gt die maximale Laufzeit 200 Tage, ab dem 15. M\u00e4rz 2027 noch 100 Tage und ab dem 15. M\u00e4rz 2029 nur noch 47 Tage.<\/span>\u00a0<\/span><\/p>\n

Mit jeder Verk\u00fcrzung steigt die Zahl der Renewal-Vorg\u00e4nge. Zus\u00e4tzlich muss jeder einzelne zuverl\u00e4ssig funktionieren. L\u00e4uft ein Zertifikat unbemerkt ab, kann es zu Warnmeldungen, Verbindungsabbr\u00fcchen oder zur Nichterreichbarkeit eines Dienstes kommen. Die <\/span>Zertifikatsverwaltung<\/span><\/a> erh\u00e4lt damit unmittelbare Bedeutung f\u00fcr den stabilen IT-Betrieb, was weit mehr als PKI-Administratoren betrifft. Je nach Infrastruktur sind Operations-, Netzwerk-, Plattform- und Application-Teams beteiligt. Sie m\u00fcssen gew\u00e4hrleisten, dass Zertifikate auf Webservern, Load Balancern, Cloud-Ressourcen, APIs oder Anwendungen zum richtigen Zeitpunkt korrekt ausgetauscht werden.<\/span>\u00a0<\/span><\/p>\n

Die neuen Grenzwerte gelten f\u00fcr \u00f6ffentlich vertrauensw\u00fcrdige TLS-Serverzertifikate. Interne Zertifikate aus einer privaten Unternehmens-PKI sind davon nicht unmittelbar betroffen. F\u00fcr den Betrieb ist es dennoch sinnvoll, \u00f6ffentliche und private Zertifikate in einer <\/span>\u00fcbergreifenden Certificate-Lifecycle-Strategie<\/span><\/a> zu ber\u00fccksichtigen. So lassen sich Best\u00e4nde, Verantwortlichkeiten und Prozesse zentral steuern. Zudem sollte die <\/span>PKI als technischer Bestandteil des Identity & Access Managements<\/span><\/a> in die \u00fcbergeordnete Sicherheitsarchitektur eingebunden werden.<\/span>\u00a0<\/span>[\/vc_column_text]

<\/div>\n[\/vc_column][\/vc_row][vc_row][vc_column]

Excel-Listen, Tickets und Erinnerungen reichen bald nicht mehr aus<\/h2>[vc_column_text]Viele Betriebe verwalten Zertifikate weiterhin manuell oder teilweise automatisiert. Ablaufdaten stehen in Tabellen, Monitoring-Systeme oder Kalendereintr\u00e4ge erzeugen Erinnerungen und neue Zertifikate werden per Ticket beantragt. Anschlie\u00dfend laden Administratoren sie herunter und installieren sie auf den jeweiligen Zielsystemen.<\/span>\u00a0<\/span><\/p>\n

Solange es wenige Zertifikate gibt und deren Laufzeiten lang sind, kann ein solcher Ablauf funktionieren. Mit 47 Tagen maximaler G\u00fcltigkeit steht rechnerisch ab 2029 etwa <\/span>alle sechs bis sieben Wochen eine Erneuerung<\/span><\/b> an<\/span><\/b>. Ein Unternehmen mit einem gr\u00f6\u00dferen Zertifikatsbestand muss also parallel eine wesentlich h\u00f6here Zahl an Renewal-Prozessen koordinieren.<\/span>\u00a0<\/span><\/p>\n

Zus\u00e4tzlich wird die Domain- oder IP-Adressvalidierung anspruchsvoller. Ab dem 15. M\u00e4rz 2029 kann eine bereits erfolgte Validierung nur noch zehn Tage wiederverwendet werden. Damit w\u00e4chst nicht nur die Zahl der Zertifikatserneuerungen, auch die Validierungsprozesse m\u00fcssen in wesentlich k\u00fcrzeren Intervallen zuverl\u00e4ssig ablaufen, denn mit der Ausstellung endet ein Renewal nicht.<\/span>\u00a0<\/span><\/p>\n

Das neue Zertifikat muss auf das richtige Zielsystem gelangen, gemeinsam mit der vollst\u00e4ndigen Zertifikatskette aktiviert und anschlie\u00dfend technisch gepr\u00fcft werden. Das bisherige Zertifikat muss kontrolliert ersetzt oder bei Bedarf widerrufen werden. Fehlt eine vollst\u00e4ndige Bestands\u00fcbersicht, k\u00f6nnen Installationen auf Cloud-Ressourcen, dezentral administrierten Anwendungen oder wenig dokumentierten Systemen unbemerkt bleiben. Je mehr manuelle \u00dcbergaben in diesem Prozess liegen, desto gr\u00f6\u00dfer werden administrativer Aufwand und Fehlerpotenzial. Zudem entsteht eine starke Abh\u00e4ngigkeit von einzelnen Personen und ihrem Wissen \u00fcber die Infrastruktur.<\/span>[\/vc_column_text]

<\/div>\n[\/vc_column][\/vc_row][vc_row custom_background_class=\"gradient-central\"][vc_column]

Wie man die Erneuerung von TLS-Zertifikaten mithilfe des Certificate Lifecycle Management automatisiert<\/h2>[vc_column_text]Eine belastbare L\u00f6sung beginnt damit, Certificate Renewal als durchg\u00e4ngigen Lebenszyklus zu behandeln. Dieser reicht von der Inventarisierung und Ausstellung \u00fcber Bereitstellung und Erneuerung bis zu Monitoring und Widerruf.<\/span><\/p>\n

1. Transparenz \u00fcber den Zertifikatsbestand schaffen<\/span><\/b><\/h3>\n

Am Anfang steht die Frage: Welche Zertifikate sind \u00fcberhaupt vorhanden?<\/span>\u00a0<\/span><\/p>\n

Zu jedem Zertifikat sollten mindestens Laufzeit, Aussteller, Einsatzort, Status und Verantwortlichkeit zentral nachvollziehbar sein. Erst auf dieser Basis l\u00e4sst sich erkennen, welche Systeme von k\u00fcrzeren Laufzeiten betroffen sind und wo Handlungsbedarf besteht.<\/span><\/p>\n

2. Regeln und Zertifikatsprozesse standardisieren<\/span><\/b><\/h3>\n

Auf dem Inventar bauen einheitliche Regeln f\u00fcr Ausstellung, Erneuerung und Widerruf auf. Zertifikatsprofile und Richtlinien reduzieren individuelle Sonderwege und schaffen einen reproduzierbaren Prozess.<\/span>\u00a0<\/span><\/p>\n

Dazu geh\u00f6rt auch die Definition der Zust\u00e4ndigkeiten: Wer verantwortet das Zertifikat? Wer den dazugeh\u00f6rigen Service? Und was passiert, wenn eine automatisierte Erneuerung fehlschl\u00e4gt?<\/span><\/p>\n

3. Ausstellung und Erneuerung automatisieren<\/span><\/b><\/h3>\n

Wo die beteiligten Systeme es unterst\u00fctzen, k\u00f6nnen standardisierte Protokolle wie ACME oder APIs genutzt werden. Damit lassen sich wiederkehrende Schritte automatisieren und manuelle Eingriffe reduzieren.\u00a0<\/span>\u00a0<\/span><\/p>\n

Automation sollte dabei \u00fcber die reine Ausstellung hinausgehen. Ein neuer Zertifikatsdatensatz in einer CA hilft wenig, wenn das Zertifikat anschlie\u00dfend manuell auf mehreren Zielsystemen installiert werden muss.<\/span><\/p>\n

4. Zertifikate automatisch bereitstellen und validieren<\/span><\/b><\/h3>\n

Nach der Ausstellung muss das Zertifikat auf den vorgesehenen Systemen installiert und aktiviert werden. Anschlie\u00dfend sollte eine technische Kontrolle best\u00e4tigen, dass der Dienst tats\u00e4chlich das neue Zertifikat mit der richtigen Zertifikatskette ausliefert.<\/span>\u00a0<\/span><\/p>\n

Fehler bei diesem Schritt m\u00fcssen sichtbar werden und einen definierten Eskalationsprozess ausl\u00f6sen.<\/span><\/p>\n

5. Monitoring und Widerruf integrieren<\/span><\/b><\/h3>\n

Ein zentraler Lifecycle schafft dauerhafte Transparenz \u00fcber Status, Ablaufdaten und fehlgeschlagene Abl\u00e4ufe. Ist ein Zertifikat kompromittiert, wird ein System au\u00dfer Betrieb genommen oder darf ein Zertifikat aus anderen Gr\u00fcnden nicht l\u00e4nger eingesetzt werden, geh\u00f6rt auch der Widerruf zum gesteuerten Prozess.<\/span>\u00a0<\/span><\/p>\n

So verschiebt sich Zertifikatsmanagement von einer reaktiven Aufgabe kurz vor dem Ablaufdatum zu einem kontinuierlich kontrollierten Betriebsprozess.<\/span>[\/vc_column_text]

<\/div>\n[\/vc_column][\/vc_row][vc_row][vc_column]

Vorteile eines automatisierten Zertifikats-Lifecycle-Management<\/h2>[vc_column_text]Die Auswirkungen reichen von h\u00f6herer Verf\u00fcgbarkeit bis zu einer besseren <\/span>Auditierbarkeit<\/span>. Die Vorteile lassen sich <\/span>so <\/span>zusammenfassen:<\/span><\/span>\u00a0<\/span>[\/vc_column_text][vc_raw_html]JTNDc3R5bGUlM0UlMEElMjAlMjB0YWJsZS50aHJlYXQtaW5mby10YWJsZSUyMCU3QiUwQSUyMCUyMCUyMCUyMGJvcmRlci1jb2xsYXBzZSUzQSUyMGNvbGxhcHNlJTNCJTBBJTIwJTIwJTIwJTIwd2lkdGglM0ElMjAxMDAlMjUlM0IlMEElMjAlMjAlMjAlMjBmb250LWZhbWlseSUzQSUyMHNhbnMtc2VyaWYlM0IlMEElMjAlMjAlN0QlMEElMEElMjAlMjB0YWJsZS50aHJlYXQtaW5mby10YWJsZSUyMHRoJTJDJTBBJTIwJTIwdGFibGUudGhyZWF0LWluZm8tdGFibGUlMjB0ZCUyMCU3QiUwQSUyMCUyMCUyMCUyMGJvcmRlciUzQSUyMDJweCUyMHNvbGlkJTIwJTIzZmZmZmZmMzMlM0IlMEElMjAlMjAlMjAlMjBwYWRkaW5nJTNBJTIwMjBweCUzQiUwQSUyMCUyMCUyMCUyMGNvbG9yJTNBJTIwJTIzZmZmZmZmJTNCJTBBJTIwJTIwJTIwJTIwdmVydGljYWwtYWxpZ24lM0ElMjB0b3AlM0IlMEElMjAlMjAlN0QlMEElMEElMjAlMjB0YWJsZS50aHJlYXQtaW5mby10YWJsZSUyMHRoZWFkJTIwdGglMjAlN0IlMEElMjAlMjAlMjAlMjBiYWNrZ3JvdW5kLWNvbG9yJTNBJTIwJTIzZGVkYzAwJTNCJTBBJTIwJTIwJTIwJTIwY29sb3IlM0ElMjAlMjMwMDAwMDAlM0IlMEElMjAlMjAlMjAlMjBmb250LXdlaWdodCUzQSUyMGJvbGQlM0IlMEElMjAlMjAlMjAlMjB0ZXh0LWFsaWduJTNBJTIwbGVmdCUzQiUwQSUyMCUyMCU3RCUwQSUwQSUyMCUyMHRhYmxlLnRocmVhdC1pbmZvLXRhYmxlJTIwdGJvZHklMjB0ZCUyMCU3QiUwQSUyMCUyMCUyMCUyMGJhY2tncm91bmQtY29sb3IlM0ElMjAlMjMwYzJmNDglM0IlMEElMjAlMjAlN0QlMEElM0MlMkZzdHlsZSUzRSUwQSUwQSUzQ3RhYmxlJTIwY2xhc3MlM0QlMjJ0aHJlYXQtaW5mby10YWJsZSUyMiUzRSUwQSUyMCUyMCUzQ3RoZWFkJTNFJTBBJTIwJTIwJTIwJTIwJTNDdHIlM0UlMEElMjAlMjAlMjAlMjAlMjAlMjAlM0N0aCUzRVZvcnRlaWwlM0MlMkZ0aCUzRSUwQSUyMCUyMCUyMCUyMCUyMCUyMCUzQ3RoJTNFV2llJTIwd2lyZCUyMGVyJTIwZXJyZWljaHQlM0YlM0MlMkZ0aCUzRSUwQSUyMCUyMCUyMCUyMCUyMCUyMCUzQ3RoJTNFTnV0emVuJTIwZiVDMyVCQ3IlMjBVbnRlcm5laG1lbiUzQyUyRnRoJTNFJTBBJTIwJTIwJTIwJTIwJTNDJTJGdHIlM0UlMEElMjAlMjAlM0MlMkZ0aGVhZCUzRSUwQSUyMCUyMCUzQ3Rib2R5JTNFJTBBJTIwJTIwJTIwJTIwJTNDdHIlM0UlMEElMjAlMjAlMjAlMjAlMjAlMjAlM0N0ZCUzRUglQzMlQjZoZXJlJTIwVmVyZiVDMyVCQ2diYXJrZWl0JTNDJTJGdGQlM0UlMEElMjAlMjAlMjAlMjAlMjAlMjAlM0N0ZCUzRUF1dG9tYXRpc2llcnRlJTIwRXJuZXVlcnVuZ2VuJTJDJTIwa29uZmlndXJpZXJiYXJlJTIwVm9ybGF1ZnplaXRlbiUyQyUyME1vbml0b3JpbmclMjB1bmQlMjBFc2thbGF0aW9uZW4lM0MlMkZ0ZCUzRSUwQSUyMCUyMCUyMCUyMCUyMCUyMCUzQ3RkJTNFRGFzJTIwUmlzaWtvJTIwdW5nZXBsYW50ZXIlMjBTZXJ2aWNlYXVzZiVDMyVBNGxsZSUyMGR1cmNoJTIwYWJnZWxhdWZlbmUlMjBaZXJ0aWZpa2F0ZSUyMHNpbmt0LiUzQyUyRnRkJTNFJTBBJTIwJTIwJTIwJTIwJTNDJTJGdHIlM0UlMEElMjAlMjAlMjAlMjAlM0N0ciUzRSUwQSUyMCUyMCUyMCUyMCUyMCUyMCUzQ3RkJTNFV2VuaWdlciUyMG1hbnVlbGxlciUyMEJldHJpZWJzYXVmd2FuZCUzQyUyRnRkJTNFJTBBJTIwJTIwJTIwJTIwJTIwJTIwJTNDdGQlM0VSZWdlbGJhc2llcnRlJTIwV29ya2Zsb3dzJTJDJTIwQUNNRSUyQyUyMEFQSXMlMjBzb3dpZSUyMGRpZSUyMEludGVncmF0aW9uJTIwdm9uJTIwWmVydGlmaXppZXJ1bmdzc3RlbGxlbiUyMHVuZCUyMFppZWxzeXN0ZW1lbiUzQyUyRnRkJTNFJTBBJTIwJTIwJTIwJTIwJTIwJTIwJTNDdGQlM0VHciVDMyVCNiVDMyU5RmVyZSUyMFplcnRpZmlrYXRzYmVzdCVDMyVBNG5kZSUyMGxhc3NlbiUyMHNpY2glMjB2ZXJ3YWx0ZW4lMkMlMjBvaG5lJTIwZGFzcyUyMGRlciUyMFBlcnNvbmFsYXVmd2FuZCUyMHByb3BvcnRpb25hbCUyMHp1ciUyMFJlbmV3YWwtRnJlcXVlbnolMjBzdGVpZ3QuJTNDJTJGdGQlM0UlMEElMjAlMjAlMjAlMjAlM0MlMkZ0ciUzRSUwQSUyMCUyMCUyMCUyMCUzQ3RyJTNFJTBBJTIwJTIwJTIwJTIwJTIwJTIwJTNDdGQlM0VaZW50cmFsZSUyMFRyYW5zcGFyZW56JTNDJTJGdGQlM0UlMEElMjAlMjAlMjAlMjAlMjAlMjAlM0N0ZCUzRUludmVudGFyaXNpZXJ1bmclMkMlMjBTdWNoZnVua3Rpb25lbiUyQyUyME1vbml0b3JpbmclMkMlMjBDb2NrcGl0cyUyMHVuZCUyMEJlcmljaHRlJTNDJTJGdGQlM0UlMEElMjAlMjAlMjAlMjAlMjAlMjAlM0N0ZCUzRUtyaXRpc2NoZSUyMFplcnRpZmlrYXRlJTIwd2VyZGVuJTIwZnIlQzMlQkNoemVpdGlnJTIwc2ljaHRiYXIlMjB1bmQlMjBrJUMzJUI2bm5lbiUyMGdlemllbHQlMjBwcmlvcmlzaWVydCUyMHdlcmRlbi4lM0MlMkZ0ZCUzRSUwQSUyMCUyMCUyMCUyMCUzQyUyRnRyJTNFJTBBJTIwJTIwJTIwJTIwJTNDdHIlM0UlMEElMjAlMjAlMjAlMjAlMjAlMjAlM0N0ZCUzRUtvbnNpc3RlbnRlJTIwU2ljaGVyaGVpdHNyaWNodGxpbmllbiUzQyUyRnRkJTNFJTBBJTIwJTIwJTIwJTIwJTIwJTIwJTNDdGQlM0VaZW50cmFsZSUyMFplcnRpZmlrYXRzcHJvZmlsZSUyQyUyMFJpY2h0bGluaWVuJTJDJTIwcm9sbGVuYmFzaWVydGUlMjBQcm96ZXNzZSUyMHVuZCUyMGRlZmluaWVydGUlMjBTaWNoZXJoZWl0c3N0dWZlbiUzQyUyRnRkJTNFJTBBJTIwJTIwJTIwJTIwJTIwJTIwJTNDdGQlM0VGZWhsa29uZmlndXJhdGlvbmVuJTIwdW5kJTIwdW5rb250cm9sbGllcnRlJTIwQXVzbmFobWVuJTIwd2VyZGVuJTIwcmVkdXppZXJ0LiUzQyUyRnRkJTNFJTBBJTIwJTIwJTIwJTIwJTNDJTJGdHIlM0UlMEElMjAlMjAlMjAlMjAlM0N0ciUzRSUwQSUyMCUyMCUyMCUyMCUyMCUyMCUzQ3RkJTNFQmVzc2VyZSUyMEF1ZGl0aWVyYmFya2VpdCUzQyUyRnRkJTNFJTBBJTIwJTIwJTIwJTIwJTIwJTIwJTNDdGQlM0VEb2t1bWVudGllcnRlJTIwQXVzc3RlbGx1bmclMkMlMjBFcm5ldWVydW5nJTJDJTIwV2lkZXJydWYlMjB1bmQlMjBhZG1pbmlzdHJhdGl2ZSUyMEVpbmdyaWZmZSUzQyUyRnRkJTNFJTBBJTIwJTIwJTIwJTIwJTIwJTIwJTNDdGQlM0VJbnRlcm5lJTIwdW5kJTIwZXh0ZXJuZSUyMFByJUMzJUJDZmVyJTIwZXJoYWx0ZW4lMjBuYWNodm9sbHppZWhiYXJlJTIwSW5mb3JtYXRpb25lbiUyMCVDMyVCQ2JlciUyMFplcnRpZmlrYXRzcHJvemVzc2UlMjB1bmQlMjBSaXNpa29rb250cm9sbGVuLiUzQyUyRnRkJTNFJTBBJTIwJTIwJTIwJTIwJTNDJTJGdHIlM0UlMEElMjAlMjAlM0MlMkZ0Ym9keSUzRSUwQSUzQyUyRnRhYmxlJTNF[\/vc_raw_html]
<\/div>\n[\/vc_column][\/vc_row][vc_row][vc_column]

Praxisbeispiele f\u00fcr automatisiertes Certificate Lifecycle Management<\/h2>[vc_column_text]Die Herausforderungen unterscheiden sich je nach Infrastruktur. Drei Szenarien zeigen, wie Certificate Lifecycle Management konkret eingesetzt werden kann.<\/span>\u00a0<\/span><\/p>\n

\u00d6ffentlich erreichbare Websites, Kundenportale und APIs<\/span><\/b>\u00a0<\/span><\/h3>\n

Ein Unternehmen betreibt mehrere \u00f6ffentliche Webanwendungen sowie APIs \u00fcber Webserver und Load Balancer. Die dort eingesetzten \u00f6ffentlich vertrauensw\u00fcrdigen TLS-Zertifikate m\u00fcssen k\u00fcnftig in wesentlich k\u00fcrzeren Abst\u00e4nden ersetzt werden.<\/span>\u00a0<\/span><\/p>\n

Ein automatisierter Prozess erkennt anstehende Ablaufdaten, beantragt ein neues Zertifikat, f\u00fchrt die erforderliche Domainvalidierung aus und verteilt das Ergebnis auf die betroffenen Systeme. Nach der Bereitstellung pr\u00fcft der Prozess, ob der Service erreichbar ist und das korrekte Zertifikat verwendet.<\/span>\u00a0<\/span><\/p>\n

Hybride IT- und Cloud-Infrastrukturen<\/span><\/b>\u00a0<\/span><\/h3>\n

In hybriden Umgebungen befinden sich Zertifikate beispielsweise in lokalen Rechenzentren, Cloud-Plattformen, auf Reverse Proxies und innerhalb containerisierter Anwendungen. Ohne gemeinsame Sicht k\u00f6nnen Eintr\u00e4ge doppelt erfasst werden oder vollst\u00e4ndig aus dem Blick geraten.<\/span>\u00a0<\/span><\/p>\n

Ein zentraler Lebenszyklus f\u00fchrt die Best\u00e4nde zusammen, ordnet Verantwortlichkeiten zu und bindet unterschiedliche Zielsysteme \u00fcber geeignete Schnittstellen an. Damit entsteht eine gemeinsame Steuerungsebene \u00fcber technisch verschiedene Umgebungen hinweg.<\/span>\u00a0<\/span><\/p>\n

\u00d6ffentliche Verwaltung und kritische Infrastrukturen<\/span><\/b>\u00a0<\/span><\/h3>\n

Bei gesch\u00e4ftskritischen Diensten kommen hohe Anforderungen an Verf\u00fcgbarkeit und Nachweisbarkeit zusammen. Kurze Laufzeiten w\u00fcrden bei manueller Verwaltung immer wieder operative Eingriffe notwendig machen. Automatisierte Erneuerungen, dokumentierte Freigaben und Reporting reduzieren manuelle Ber\u00fchrungspunkte und sorgen f\u00fcr nachvollziehbare Abl\u00e4ufe.<\/span>[\/vc_column_text]

<\/div>\n[\/vc_column][\/vc_row][vc_row][vc_column]

Wie gelingt die Umstellung auf automatisierte Zertifikats-Erneuerung?<\/h2>[vc_column_text]Der Einstieg sollte mit einer strukturierten Bestandsaufnahme beginnen. Wer sofort einzelne Zertifikate automatisiert, ohne Zertifikatsbestand, Zust\u00e4ndigkeiten und Prozesse zu kennen, l\u00f6st nur einen Teil des Problems.<\/span><\/p>\n

1. Geltungsbereich definieren<\/span><\/b><\/h3>\n

Zun\u00e4chst sollte feststehen, welche Zertifikatstypen und Umgebungen einbezogen werden. Dabei ist eine klare Trennung zwischen \u00f6ffentlich vertrauensw\u00fcrdigen TLS-Zertifikaten und internen Zertifikaten der Unternehmens-PKI sinnvoll.<\/span><\/p>\n

2. Zertifikatsbestand erfassen<\/span><\/b><\/h3>\n

Bekannte Zertifikatsquellen, CAs und Zielsysteme werden in einem Inventar zusammengef\u00fchrt. Zus\u00e4tzlich sollte gezielt nach Zertifikaten gesucht werden, die au\u00dferhalb der dokumentierten Prozesse entstanden sind.<\/span><\/p>\n

3. Owner und Kritikalit\u00e4t festlegen<\/span><\/b><\/h3>\n

Jedes Zertifikat ben\u00f6tigt einen technischen und gegebenenfalls fachlichen Owner. Parallel werden die zugeh\u00f6rigen Services nach Kritikalit\u00e4t, \u00f6ffentlicher Erreichbarkeit und m\u00f6glichen Auswirkungen eines Ausfalls bewertet.<\/span><\/p>\n

4. Den gesamten Lifecycle standardisieren<\/span><\/b><\/h3>\n

Beantragung, Freigabe, Ausstellung, Verteilung, Erneuerung und Widerruf werden als zusammenh\u00e4ngender Ablauf definiert. F\u00fcr notwendige Ausnahmen braucht es dokumentierte und zeitlich begrenzte Verfahren.<\/span><\/p>\n

5. Automatisierung sinnvoll priorisieren<\/span><\/b><\/h3>\n

F\u00fcr den Einstieg bieten sich \u00f6ffentlich erreichbare, gesch\u00e4ftskritische oder regelm\u00e4\u00dfig zu erneuernde Zertifikate an. Systeme ohne geeignete Schnittstelle ben\u00f6tigen einen alternativen kontrollierten Prozess.<\/span><\/p>\n

6. Pilotieren, Fehlerf\u00e4lle testen und ausrollen<\/span><\/b><\/h3>\n

Statt sofort die gesamte Umgebung umzustellen, empfiehlt sich ein Pilotprojekt mit einer \u00fcberschaubaren Zahl repr\u00e4sentativer Systeme. Getestet wird nicht nur der erfolgreiche Renewal. Auch eine fehlgeschlagene Validierung, ein nicht erreichbares Zielsystem oder eine fehlerhafte Zertifikatskette sollten Bestandteil des Tests sein.<\/span>[\/vc_column_text]

<\/div>\n[\/vc_column][\/vc_row][vc_row custom_background_class=\"gradient-up\"][vc_column]

Kriterien f\u00fcr die Auswahl einer Certificate-Lifecycle-Management-L\u00f6sung<\/h2>[vc_column_text]Eine geeignete Plattform sollte mehr k\u00f6nnen, als vor einem bevorstehenden Ablauf zu warnen. Wichtig ist, welchen Anteil des gesamten Lifecycle sie wirklich steuern und automatisieren kann.<\/span>\u00a0<\/span><\/p>\n

Bei der Bewertung helfen folgende Fragen:<\/span>\u00a0<\/span><\/p>\n