PQC Quick Win 9: PKI- und Zertifikats-Bestandsaufnahme in einer Woche
Zertifikate sind die unauffällige Konstante hinter fast jeder kryptografischen Operation im Unternehmen: Sie binden Schlüssel an Identitäten, sie schützen TLS-Endpunkte, sie signieren Software, E-Mails und Geräte. Genau deshalb ist die saubere Übersicht über die eigene Zertifikatslandschaft der zentrale Hebel für die spätere PQC-Migration: Was Sie kennen, können Sie migrieren. Quick Win 9 baut diese Übersicht – ohne dass Sie ein dediziertes Discovery-Tool einkaufen müssen.
Welche Zertifikats-Klassen Sie betrachten
In KMU-Umgebungen finden sich typischerweise sechs Klassen:
- Öffentliche TLS-Zertifikate für Web, API, Mail, Remote Access – meist von Let’s Encrypt, GlobalSign, DigiCert, Sectigo o. ä.
- Interne TLS-Zertifikate aus eigener CA für Server, Verwaltungsoberflächen, Maschinenidentitäten.
- S/MIME-Zertifikate für E-Mail-Signatur und -Verschlüsselung.
- Code-Signing-Zertifikate für Auslieferung eigener Software, Skripte, Treiber.
- Client-/Geräte-Zertifikate für 802.1X, MDM-Enrollment, VPN-Authentifizierung.
- Spezialfälle: Dokumenten-Signaturen, qualifizierte Vertrauensdienste, ELSTER, qualifizierte Zeitstempel.
Nicht jede Klasse ist in jedem KMU vertreten – aber die ersten fünf sind die Regel, nicht die Ausnahme.
Die vier Datenquellen einer Light-PKI-Inventur
- Certificate Transparency (CT-Logs): Über crt.sh lassen sich alle öffentlichen Zertifikate Ihrer Domains in Sekunden auflisten. Das ist die ehrlichste verfügbare Karte für das, was unter Ihrem Namen draußen sichtbar wird – inklusive der “vergessenen” Zertifikate aus alten Projekten.
- Eigene CA-Datenbanken: ADCS, EJBCA, Smallstep, OpenSSL-CA: Die jeweilige CA-Software zeigt Anzahl, Ablaufdatum und Signaturalgorithmen der ausgestellten Zertifikate. Bei ADCS ist das Bordmittel
certutil, bei EJBCA die Audit-Ausgabe. - Endpoint-Inventar: Über das Endpoint-Management lassen sich installierte Zertifikate auf den Geräten ziehen – Roh-Material für die Klasse Client-/Geräte-Zertifikate.
- Beschaffungsakten: S/MIME- und Code-Signing-Zertifikate stehen oft “neben” der IT, in Personal- oder Entwicklungs-Konten. Ein Blick in die Rechnungen der letzten drei Jahre macht sie sichtbar.
Was Sie pro Zertifikats-Klasse in einem Tag erreichen
In acht bis zehn Stunden ist eine belastbare Übersicht realistisch:
- Öffentliche TLS: Vollzählige Liste über CT-Logs, abgeglichen mit dem Server-Inventar. Verwaiste oder nicht zuordenbare Zertifikate werden markiert.
- Interne TLS: Liste aus der CA-Datenbank, ergänzt um Standard-Ablauffristen und Algorithmen.
- S/MIME: Liste der Inhaber, ausgebenden CAs, Ablaufdaten – idealerweise pro Person.
- Code-Signing: Vollständige Übersicht über alle gültigen Code-Signing-Zertifikate, mit Verantwortlichen und Hinterlegung des privaten Schlüssels (HSM, USB-Token, KMS?).
- Client-/Geräte-Zertifikate: Anzahl und Klassen pro MDM/Domain-Bereich.
Diese Übersicht ist nicht audit-fest – sie ist handlungsfähig. Genau das brauchen Sie für die nächste Etappe.
Welche Eigenschaften Sie pro Zertifikat erfassen
Sechs Spalten reichen:
- Subject / Verwendung: Wofür ist es ausgestellt?
- Ausstellende CA und Hierarchie: Welche Root, welche Zwischen-CA?
- Signaturalgorithmus: SHA-256-RSA, SHA-384-ECDSA, oder noch SHA-1-Reste aus Q2.
- Schlüssellänge und -typ: RSA-2048/3072/4096, ECC-P-256/P-384.
- Ablaufdatum: Mit klarer Sortierung.
- Erneuerungsweg: Automatisiert (ACME, Intune-Profil), halbautomatisch, manuell.
Die letzte Spalte ist die wichtigste – sie wird im nächsten Quick Win (kürzere Laufzeiten) zum entscheidenden Faktor.
Was Sie aus der Bestandsaufnahme direkt ableiten
Die fertige Übersicht beantwortet vier Fragen, die jede PQC-Migration zwingend braucht:
- Volumen: Wie viele Zertifikate sind eigentlich im Umlauf? Die Antwort überrascht in fast jedem Haus.
- Lebensdauer: Wie lang sind die typischen Laufzeiten, wie schnell kann eine Klasse rotiert werden?
- Automatisierungsgrad: Welcher Anteil ist automatisch erneuert – und welcher hängt an einer manuellen Routine, die im PQC-Wechsel zur Bremse wird?
- Verantwortlichkeit: Gibt es für jede Zertifikatsklasse einen klaren Owner, oder versickert die Zuständigkeit zwischen IT, Entwicklung und Fachbereich?
Was Sie diese Woche tun sollten
- CT-Log-Recherche für alle Domains des Unternehmens fahren, Ergebnis in die Tabelle übernehmen.
- CA-Datenbanken (intern) auswerten und Inhalt in dieselbe Tabelle ergänzen.
- S/MIME-, Code-Signing- und Geräte-Zertifikate über die jeweiligen Beschaffungs- bzw. MDM-Quellen aufnehmen.
- Sechs Spalten pro Zertifikat füllen; verwaiste Zertifikate explizit markieren.
- Aus der Auswertung eine Tabelle “Erneuerungsweg” ableiten – sie ist die Eingabe für Quick Win 10.
Fazit
Eine PKI-Bestandsaufnahme ist die Sehnerv-Operation der PQC-Migration: Ohne sie ist alles weitere blind. Mit einer Light-Inventur in einer Woche haben Sie eine Karte, mit der Sie zielgerichtet rotieren, ersetzen und automatisieren können – und Sie haben die Eingangsdaten für den letzten technischen Quick Win der Strecke.
Quellen
- BSI TR-02102-1 – Kryptographische Verfahren: Empfehlungen und Schlüssellängen https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/Technische-Richtlinien/TR-nach-Thema-sortiert/tr02102/tr02102_node.html
- CA/Browser Forum – Baseline Requirements https://cabforum.org/working-groups/server/baseline-requirements/documents/
- crt.sh – Certificate Transparency Search https://crt.sh/
- RFC 5280 – Internet X.509 Public Key Infrastructure Certificate and CRL Profile https://www.rfc-editor.org/rfc/rfc5280
pqconsult: Ihre Partner bei der PQC-Migration
Wenn Ihre Zertifikatslandschaft komplex ist – mit mehreren CAs, automatisierten und manuellen Strecken, externer Auslagerung – bauen wir mit Ihnen ein vollständiges, prüffähiges Krypto-Bestandsregister auf und verbinden es mit Ihrem Schlüsselmanagement. Sprechen Sie uns an.