← Alle Beiträge
· Claus Lindemann

PQC Quick Win 9: PKI- und Zertifikats-Bestandsaufnahme in einer Woche

PKIZertifikateS/MIMECode SigningKrypto-InventurQuick Win

PQC Quick Win 9: PKI- und Zertifikats-Bestandsaufnahme in einer Woche

Zertifikate sind die unauffällige Konstante hinter fast jeder kryptografischen Operation im Unternehmen: Sie binden Schlüssel an Identitäten, sie schützen TLS-Endpunkte, sie signieren Software, E-Mails und Geräte. Genau deshalb ist die saubere Übersicht über die eigene Zertifikatslandschaft der zentrale Hebel für die spätere PQC-Migration: Was Sie kennen, können Sie migrieren. Quick Win 9 baut diese Übersicht – ohne dass Sie ein dediziertes Discovery-Tool einkaufen müssen.

Welche Zertifikats-Klassen Sie betrachten

In KMU-Umgebungen finden sich typischerweise sechs Klassen:

  • Öffentliche TLS-Zertifikate für Web, API, Mail, Remote Access – meist von Let’s Encrypt, GlobalSign, DigiCert, Sectigo o. ä.
  • Interne TLS-Zertifikate aus eigener CA für Server, Verwaltungsoberflächen, Maschinenidentitäten.
  • S/MIME-Zertifikate für E-Mail-Signatur und -Verschlüsselung.
  • Code-Signing-Zertifikate für Auslieferung eigener Software, Skripte, Treiber.
  • Client-/Geräte-Zertifikate für 802.1X, MDM-Enrollment, VPN-Authentifizierung.
  • Spezialfälle: Dokumenten-Signaturen, qualifizierte Vertrauensdienste, ELSTER, qualifizierte Zeitstempel.

Nicht jede Klasse ist in jedem KMU vertreten – aber die ersten fünf sind die Regel, nicht die Ausnahme.

Die vier Datenquellen einer Light-PKI-Inventur

  • Certificate Transparency (CT-Logs): Über crt.sh lassen sich alle öffentlichen Zertifikate Ihrer Domains in Sekunden auflisten. Das ist die ehrlichste verfügbare Karte für das, was unter Ihrem Namen draußen sichtbar wird – inklusive der “vergessenen” Zertifikate aus alten Projekten.
  • Eigene CA-Datenbanken: ADCS, EJBCA, Smallstep, OpenSSL-CA: Die jeweilige CA-Software zeigt Anzahl, Ablaufdatum und Signaturalgorithmen der ausgestellten Zertifikate. Bei ADCS ist das Bordmittel certutil, bei EJBCA die Audit-Ausgabe.
  • Endpoint-Inventar: Über das Endpoint-Management lassen sich installierte Zertifikate auf den Geräten ziehen – Roh-Material für die Klasse Client-/Geräte-Zertifikate.
  • Beschaffungsakten: S/MIME- und Code-Signing-Zertifikate stehen oft “neben” der IT, in Personal- oder Entwicklungs-Konten. Ein Blick in die Rechnungen der letzten drei Jahre macht sie sichtbar.

Was Sie pro Zertifikats-Klasse in einem Tag erreichen

In acht bis zehn Stunden ist eine belastbare Übersicht realistisch:

  • Öffentliche TLS: Vollzählige Liste über CT-Logs, abgeglichen mit dem Server-Inventar. Verwaiste oder nicht zuordenbare Zertifikate werden markiert.
  • Interne TLS: Liste aus der CA-Datenbank, ergänzt um Standard-Ablauffristen und Algorithmen.
  • S/MIME: Liste der Inhaber, ausgebenden CAs, Ablaufdaten – idealerweise pro Person.
  • Code-Signing: Vollständige Übersicht über alle gültigen Code-Signing-Zertifikate, mit Verantwortlichen und Hinterlegung des privaten Schlüssels (HSM, USB-Token, KMS?).
  • Client-/Geräte-Zertifikate: Anzahl und Klassen pro MDM/Domain-Bereich.

Diese Übersicht ist nicht audit-fest – sie ist handlungsfähig. Genau das brauchen Sie für die nächste Etappe.

Welche Eigenschaften Sie pro Zertifikat erfassen

Sechs Spalten reichen:

  • Subject / Verwendung: Wofür ist es ausgestellt?
  • Ausstellende CA und Hierarchie: Welche Root, welche Zwischen-CA?
  • Signaturalgorithmus: SHA-256-RSA, SHA-384-ECDSA, oder noch SHA-1-Reste aus Q2.
  • Schlüssellänge und -typ: RSA-2048/3072/4096, ECC-P-256/P-384.
  • Ablaufdatum: Mit klarer Sortierung.
  • Erneuerungsweg: Automatisiert (ACME, Intune-Profil), halbautomatisch, manuell.

Die letzte Spalte ist die wichtigste – sie wird im nächsten Quick Win (kürzere Laufzeiten) zum entscheidenden Faktor.

Was Sie aus der Bestandsaufnahme direkt ableiten

Die fertige Übersicht beantwortet vier Fragen, die jede PQC-Migration zwingend braucht:

  • Volumen: Wie viele Zertifikate sind eigentlich im Umlauf? Die Antwort überrascht in fast jedem Haus.
  • Lebensdauer: Wie lang sind die typischen Laufzeiten, wie schnell kann eine Klasse rotiert werden?
  • Automatisierungsgrad: Welcher Anteil ist automatisch erneuert – und welcher hängt an einer manuellen Routine, die im PQC-Wechsel zur Bremse wird?
  • Verantwortlichkeit: Gibt es für jede Zertifikatsklasse einen klaren Owner, oder versickert die Zuständigkeit zwischen IT, Entwicklung und Fachbereich?

Was Sie diese Woche tun sollten

  • CT-Log-Recherche für alle Domains des Unternehmens fahren, Ergebnis in die Tabelle übernehmen.
  • CA-Datenbanken (intern) auswerten und Inhalt in dieselbe Tabelle ergänzen.
  • S/MIME-, Code-Signing- und Geräte-Zertifikate über die jeweiligen Beschaffungs- bzw. MDM-Quellen aufnehmen.
  • Sechs Spalten pro Zertifikat füllen; verwaiste Zertifikate explizit markieren.
  • Aus der Auswertung eine Tabelle “Erneuerungsweg” ableiten – sie ist die Eingabe für Quick Win 10.

Fazit

Eine PKI-Bestandsaufnahme ist die Sehnerv-Operation der PQC-Migration: Ohne sie ist alles weitere blind. Mit einer Light-Inventur in einer Woche haben Sie eine Karte, mit der Sie zielgerichtet rotieren, ersetzen und automatisieren können – und Sie haben die Eingangsdaten für den letzten technischen Quick Win der Strecke.

Quellen

pqconsult: Ihre Partner bei der PQC-Migration

Wenn Ihre Zertifikatslandschaft komplex ist – mit mehreren CAs, automatisierten und manuellen Strecken, externer Auslagerung – bauen wir mit Ihnen ein vollständiges, prüffähiges Krypto-Bestandsregister auf und verbinden es mit Ihrem Schlüsselmanagement. Sprechen Sie uns an.

Haben Sie Fragen zu diesem Thema?

Kontakt aufnehmen