Für die meisten Organisationen ist die wichtigste Erkenntnis nicht, ob sich MTCs letztendlich als dominantes Modell durchsetzen werden. Vielmehr wird bereits deutlich, welche betrieblichen Trends ihre Entwicklung vorantreiben.

Was sind Merkle-Tree-Zertifikate?

MTCs sind eine vorgeschlagene Form von X.509-Zertifikaten, die die öffentliche Protokollierung direkt in das Zertifikatsmodell integriert. Anstatt sich ausschließlich auf herkömmliche Zertifikatssignaturen zu stützen, können Zertifikate durch den Nachweis validiert werden, dass sie in einer öffentlich protokollierten Merkle-Tree-Struktur vorhanden sind. Dieser Ansatz soll den mit kürzeren Zertifikatslaufzeiten und größeren postquantenfesten Signaturen verbundenen Aufwand reduzieren und gleichzeitig Sicherheit und Transparenz gewährleisten.

Wichtig ist, dass MTCs kein Ersatz für X.509 sind. Der aktuelle Vorschlag beschreibt sie als eine neue Form von X.509-Zertifikaten und nicht als ein völlig eigenständiges PKI-System.

Kurzlebige Zertifikate könnten zur neuen Normalität werden

Eines der deutlichsten Signale, die sich aus den Diskussionen um MTCs abzeichnen, ist die wachsende Erwartung, dass die Gültigkeitsdauer von Zertifikaten weiter sinken wird. Für TLS-Zertifikate gilt die Vorgabe, die Gültigkeitsdauer schrittweise zu verkürzen, was bis 2029 zu einer Laufzeit von 47 Tagen führen wird. Im Zusammenhang mit MTCs wurden in den Diskussionen Gültigkeitsdauer von sieben Tagen erörtert, doch dieser Zeitraum ist im aktuellen Standard noch keine festgelegte Anforderung. Die operative Ausrichtung ist dennoch klar: Ein häufigerer Zertifikatsaustausch erhöht die Bedeutung zuverlässiger, wiederholbarer Prozesse.

• Zertifikatsverlängerungen und -ersetzungen könnten häufiger stattfinden.
• Manuelle Zertifikatsworkflows lassen sich in großem Maßstab immer schwerer aufrechterhalten.
• Fehler bei der Ausstellung, Bereitstellung oder Erneuerung müssen schnell erkannt werden.

Automatisierung wird zu einer geschäftlichen Anforderung

Für Zertifikatsteams sind MTCs ebenso sehr eine Frage des Betriebs wie der Kryptografie. Häufige Erneuerungen können nicht auf Tabellenkalkulationen, fragmentierte Skripte oder Tools sowie einmalige manuelle Installationen angewiesen sein. Unternehmen benötigen Automatisierung über den gesamten Zertifikatslebenszyklus hinweg, einschließlich:

• Erfassung und Bestandsaufnahme
• Ausstellung und Bereitstellung
• Verlängerung und Ersatz
• Widerruf und Überwachung

Ein automatisiertes Zertifikatslebenszyklusmanagement (CLM) kann Unternehmen dabei helfen, operative Risiken zu reduzieren und sich gleichzeitig auf Änderungen bei Zertifikatsformaten, Gültigkeitsdauern und kryptografischen Standards vorzubereiten. Unternehmen, die bereits über ein CLM verfügen, sind deutlich besser aufgestellt, um sich an zukünftige Zertifikatsmodelle anzupassen.

MTCs könnten die Automatisierung noch wichtiger machen, da der Zertifikatsbetrieb das Abrufen, Bereitstellen, Überwachen und Ausgeben mehrerer Zertifikatsformen umfassen könnte, die zu unterschiedlichen Zeitpunkten verfügbar werden.

Warum Automatisierung wichtiger denn je ist

Da die Gültigkeitsdauer von Zertifikaten immer weiter sinkt, gewinnen automatisierte Registrierungs- und Erneuerungsprozesse zunehmend an Bedeutung.

Der aktuelle MTC-Vorschlag beschreibt eigenständige und an Bezugspunkten orientierte Zertifikate, die zu unterschiedlichen Zeitpunkten verfügbar werden und je nach den Anforderungen der vertrauenden Partei bereitgestellt werden müssen. Die manuelle Verwaltung dieses Prozesses wäre in großem Maßstab schwierig. Unabhängig davon, ob Unternehmen letztendlich ACME oder andere Automatisierungstechnologien einsetzen, ist das zugrunde liegende Prinzip klar: MTCs könnten die manuelle Zertifikatsverwaltung zunehmend unpraktikabel machen.

Unternehmen werden wahrscheinlich mehrere Zertifikatstypen verwalten

Selbst wenn sich MTCs weitreichend durchsetzen, sollten Unternehmen nicht mit einem sofortigen Übergang rechnen.

Bestehende Anwendungen, Geräte, Infrastruktur und eingebettete Systeme werden sich wahrscheinlich mit unterschiedlicher Geschwindigkeit anpassen. Infolgedessen müssen Unternehmen möglicherweise direkt signierte Zertifikate neben neuen MTC-Zertifikatsformen verwalten, während sich die Unterstützung weiterentwickelt.

Tatsächlich beschreibt der aktuelle MTC-Vorschlag zwei Zertifikatsformen für denselben zugrunde liegenden Protokolleintrag: ein anfängliches eigenständiges Zertifikat und ein kleineres, auf einem Meilenstein basierendes Zertifikat, das verfügbar wird, nachdem der entsprechende Meilenstein zugewiesen wurde. Da die „Landmark-relative“ Form nur mit ausreichend aktuellen vertrauenden Parteien funktioniert, müssen Server möglicherweise beide Formen verwalten und für jede Verbindung die passende auswählen. Dies erhöht die betriebliche Komplexität, die ohne Automatisierung nur schwer zu bewältigen sein wird.

Krypto-Agilität ist die eigentliche Priorität

Die wichtigste Erkenntnis aus der MTC-Diskussion hat möglicherweise gar nichts mit MTCs selbst zu tun.

Unabhängig davon, ob die Branche letztendlich MTCs, ein anderes postquantenes Zertifikatsformat oder eine Kombination verschiedener Ansätze einführt, müssen Unternehmen in der Lage sein, sich schnell an die Weiterentwicklung der Standards anzupassen. Googles Post-Quantum-Roadmap betont ausdrücklich die kryptografische Agilität als grundlegende Fähigkeit für die Zukunft.

Unternehmen sollten sich auf Folgendes konzentrieren:

• die Führung eines vollständigen Bestandsverzeichnisses von Zertifikaten und kryptografischen Ressourcen
• die Implementierung eines automatisierten Zertifikatslebenszyklusmanagements
• die Festlegung einer klaren Strategie zur Vorbereitung auf die Post-Quantum-Ära
• Einführung von Technologien, die operative Flexibilität im Zuge der Weiterentwicklung von Standards unterstützen

Die Zukunft des Zertifikatsmanagements könnte MTCs beinhalten, doch am besten auf diese Zukunft vorbereitet sind jene Organisationen, die bereits heute in Automatisierung, Transparenz und kryptografische Agilität investieren.

Bei der manuellen Verwaltung des Zertifikatslebenszyklus (CLM) werden digitale Zertifikate mithilfe von manuell gesteuerten Prozessen durch ihre jeweiligen Phasen geführt: Ausstellung, Bereitstellung, Überwachung, Verlängerung, Widerruf oder Ablauf. Dieser Ansatz stützt sich auf Mitarbeiter, Tabellenkalkulationen, Erinnerungen, Skripte und nicht vernetzte Tools, um zertifikatsbezogene Aufgaben zu erledigen.

In der Praxis kann dies bedeuten, dass eine Zertifikatssignierungsanforderung (Certificate Signing Request, CSR) mit Befehlszeilentools erstellt, Unternehmensdaten übermittelt, Zertifikate auf Servern installiert und in Tabellenkalkulationen nachverfolgt werden. Diese Prozesse können mit steigendem Zertifikatsvolumen zu einer erheblichen operativen Belastung führen.

Inwiefern birgt die manuelle Zertifikatsverwaltung Cybersicherheitsrisiken?

Die manuelle Zertifikatsverwaltung verursacht zusätzlichen Aufwand, ist aber auch aus Sicht der Cybersicherheit problematisch. Die Tabellenkalkulationen und manuellen Übermittlungen, die betriebliche Herausforderungen mit sich bringen, erhöhen zudem das Risiko für menschliche Fehler, Fehlkonfigurationen oder versäumte Verlängerungen, wodurch Systeme ungeschützt bleiben.

Jeder manuelle Schritt birgt eine weitere Fehlerquelle, von der Eingabe falscher Zertifikatsdaten bis hin zur fehlerhaften Konfiguration von Zertifikaten während der Bereitstellung. Die Nachverfolgung mithilfe von Tabellenkalkulationen kann zudem dazu führen, dass bevorstehende Ablaufdaten leichter übersehen werden, was möglicherweise zu Ausfällen führen kann. Mögliche Risiken sind unter anderem:

• Unbekannte Zertifikate. Ohne zentralisierte Bestandsaufnahmen riskieren Unternehmen blinde Flecken. Eingeschränkte Transparenz erschwert es, Fehlkonfigurationen zu erkennen oder Verlängerungen im Blick zu behalten, insbesondere bei steigendem Zertifikatsvolumen.
• Ablaufdaten und Ausfälle. Bei der Nachverfolgung mithilfe von Tabellenkalkulationen können abgelaufene Zertifikate unbemerkt bleiben, was zu Ausfällen führt, die den Zugriff blockieren oder das Vertrauen untergraben. Ablaufdaten werden zudem wahrscheinlicher, wenn überlastete Teams, die einen großen Zertifikatsbestand verwalten, mit der Fülle an Zertifikaten und den verzögerten manuellen Prozessen nicht Schritt halten können.
• Fehlkonfigurationen. Von falschen Domainnamen bis hin zu fehlerhafter Bereitstellung treten verschiedene Fehlkonfigurationen auf, wenn manuelle Prozesse inkonsistent sind. Mit jedem zusätzlichen manuellen Schritt steigt das Fehlerrisiko.
• Verzögerte Reaktion auf Vorfälle. Eingeschränkte Transparenz erschwert es, bei einer Kompromittierung festzustellen, welche digitalen Zertifikate betroffen sind. Ohne zentralisierte Verwaltung müssen Teams betroffene Zertifikate möglicherweise manuell ausfindig machen, widerrufen und ersetzen, was die Reaktion auf Vorfälle verlangsamt.
• Uneinheitliche Durchsetzung von Richtlinien. Strenge Richtlinien verbessern die Rechenschaftspflicht, um das Vertrauen aufrechtzuerhalten, doch ihre konsequente Durchsetzung über fragmentierte Teams oder Systeme hinweg wird erschwert. Anforderungen hinsichtlich Algorithmen oder Schlüssellängen werden möglicherweise uneinheitlich angewendet, und diese Uneinheitlichkeit kann Sicherheitslücken begünstigen.
• Schwache Überwachung. Eine ad-hoc-basierte Nachverfolgung reicht möglicherweise nicht aus, um sorgfältige Sicherheitsstandards oder zugängliche Zertifikatsaufzeichnungen aufrechtzuerhalten. Compliance und Überwachung werden schwieriger, wenn Informationen zur Zuständigkeit sowie Aufzeichnungen über die Ausstellung, Erneuerung, den Austausch und die Sperrung von Zertifikaten unvollständig oder über verschiedene Systeme verstreut sind.

Warum es immer schwieriger wird, den Überblick zu behalten

Die manuelle Zertifikatsverwaltung lässt sich immer schwerer aufrechterhalten, da der Zertifikatsbestand über Cloud-Infrastrukturen, Anwendungen, Geräte, Workloads und Dienste hinweg wächst. Gleichzeitig verkürzen sich die Fristen für die Erneuerung öffentlicher SSL/TLS-Zertifikate, da die maximale Gültigkeitsdauer der Zertifikate immer weiter sinkt.

Vom CA/Browser Forum genehmigte Änderungen sind bereits in Kraft getreten, wodurch sich die Gültigkeitsdauer von zuvor 398 Tagen auf maximal 200 Tage verkürzt hat. Weitere Verkürzungen stehen bevor: Die am 15. März 2027 beginnende 100-Tage-Phase bringt Erneuerungszyklen von etwa drei Monaten mit sich, gefolgt von fast monatlichen Erneuerungsterminen, wenn 2029 die maximale Laufzeit von 47 Tagen in Kraft tritt.

Verteilte Infrastrukturen und die Ausweitung der Cloud verstärken diese Bedenken. Zertifikate müssen nicht nur häufiger erneuert werden, sondern es gibt von vornherein auch mehr Zertifikate, die erneuert werden müssen. Containerisierte Arbeitsabläufe erhöhen die Komplexität zusätzlich, insbesondere wenn Open-Source-Kubernetes diese Container in großem Maßstab verwaltet. Angesichts des beschleunigten Tempos der Orchestrierung wird die manuelle Nachverfolgung unhaltbar, und unerwartete Ablaufdaten werden wahrscheinlicher.

Wie reduziert Automatisierung zertifikatsbezogene Cybersicherheitsrisiken?

Die Zertifikatsautomatisierung begegnet den sich wandelnden Herausforderungen der Cybersicherheit mit zentralisierten Bestandsaufnahmen und richtliniengesteuerten Prozessen. Dieser Ansatz beschleunigt das Zertifikatslebenszyklusmanagement in jeder Phase und reduziert gleichzeitig Fehler.

Dieser Wandel beginnt mit der automatisierten Erfassung und Bestandsaufnahme, wodurch blinde Flecken reduziert werden, da sich Zertifikate oft über umfangreiche digitale Umgebungen verteilen. Mit einem vollständigeren Zertifikatsbestand wird die zentralisierte Überwachung effektiver. Diese zentralisierte Übersicht macht auf bevorstehende Ablauftermine aufmerksam und kann zudem aufkommende Probleme schnell aufdecken, sodass diese behoben werden können, bevor sie eskalieren.

Mit automatisierten CLM-Lösungen können Unternehmen Zertifikatsrichtlinien einheitlich anwenden, einschließlich Anforderungen an Algorithmen, Schlüssellängen und Gültigkeitsdauer. Auch die Bereitstellungsphase lässt sich automatisieren, um vermeidbare Fehler wie Tippfehler oder Versehen beim Kopieren und Einfügen zu verhindern. Sollten Zertifikate kompromittiert werden, beschleunigen automatisierte Sperr-Workflows die Reaktionszeiten, um das Risiko von Sicherheitslücken zu minimieren. Maßnahmen werden zentral protokolliert, um die Transparenz und Nachvollziehbarkeit zu verbessern, die Einhaltung von Vorschriften zu unterstützen und Audits zu vereinfachen.

ACME hilft bei der Automatisierung von Ausstellung und Verlängerung

Das ACME-Protokoll (Automatic Certificate Management Environment) bietet einen optimierten Ansatz für die Ausstellung und Erneuerung von Zertifikaten. Sobald kompatible ACME-Clients und -Integrationen konfiguriert sind, können wiederkehrende Aufgaben im Zertifikatslebenszyklus ohne manuellen Eingriff erledigt werden.

Automatisiertes CLM bietet zentrale Transparenz und Kontrolle

Das automatisierte Zertifikatslebenszyklus-Management geht über das ACME-Protokoll hinaus und schafft ein umfassendes System zur Verwaltung des gesamten Zertifikatslebenszyklus – ohne manuelle Prozesse. Während sich ACME auf die Ausstellung und Erneuerung konzentriert, decken automatisierte CLM-Plattformen wie der Sectigo Certificate Manager auch die Erkennung, Überwachung, Durchsetzung von Richtlinien und sogar die Sperrung ab. Der Zugriff auf die zentralisierte Überwachung erfolgt dann über Verwaltungs-Dashboards.

So wechseln Sie von der manuellen zur automatisierten Zertifikatsverwaltung

Unternehmen können schrittweise von der manuellen Verwaltung abrücken, anstatt eine vollständige Umstellung anzustreben und jeden Zertifikats-Workflow auf einmal zu automatisieren. Beachten Sie diese Schritte, um manuelle Workflows durch automatisierte, richtliniengesteuerte Prozesse zu ersetzen.

• Zertifikate erfassen. Die Erfassung schafft die Grundlage für automatisierte Strategien, indem sie aufzeigt, wo sich Zertifikate befinden. Im Idealfall suchen Erfassungslösungen in verschiedenen Umgebungen und bei mehreren Zertifizierungsstellen nach Zertifikaten.
• Verantwortlichkeiten zuweisen. Ermitteln Sie, wer für jedes Zertifikat oder jede Umgebung verantwortlich ist.
• Priorisieren Sie Systeme mit hohem Risiko. Beginnen Sie mit geschäftskritischen, öffentlich zugänglichen oder ausfallempfindlichen Systemen, bei denen Zertifikatsausfälle die größten Auswirkungen hätten, und erweitern Sie die Automatisierung dann im Laufe der Zeit.
• Zentralisieren Sie das Lebenszyklusmanagement. Implementieren Sie im Zuge der Ausweitung automatisierter Strategien Dashboards, die die Transparenz in den wachsenden Zertifikatsumgebungen verbessern. Nutzen Sie zentralisierte Strategien, um die Überwachung und die Durchsetzung von Richtlinien zu verbessern und so für Konsistenz zu sorgen, auch wenn das Zertifikatsvolumen weiter zunimmt.
• Erweitern Sie das System im Laufe der Zeit. Erweitern Sie die Automatisierung auf weitere Zertifikatstypen und Umgebungen, sobald sich die Arbeitsabläufe bewährt haben.

Automatisieren Sie das Zertifikatslebenszyklusmanagement mit Sectigo

Der „Cybersecurity Awareness Month“ erinnert uns daran, dass betriebliche Realitäten eng mit Sicherheitsherausforderungen verknüpft sind. Automatisierung kann beide Aspekte gleichzeitig angehen und so widerstandsfähige Infrastrukturen schaffen, die sich problemlos skalieren lassen und gleichzeitig vermeidbare Risiken begrenzen.

Sectigo Certificate Manager (SCM) ist eine automatisierte CLM-Plattform, die größere und komplexere Umgebungen unterstützt. Sie wurde für diejenigen entwickelt, die eine CA-unabhängige Lebenszyklusautomatisierung, zentralisierte Transparenz, die Durchsetzung von Richtlinien, Integrationen sowie die Verwaltung öffentlicher und privater digitaler Zertifikate benötigen.

SCM Pro richtet sich an kleinere Unternehmen und schlanke IT-Teams, die eine zentralisierte Übersicht über öffentliche SSL/TLS-Zertifikate, die Erkennung von Zertifikaten sowie eine geführte, ACME-basierte Automatisierung des Lebenszyklus benötigen.

Da Zertifikatsumgebungen immer komplexer werden und der Bedarf an Erneuerungen steigt, ist der Verzicht auf manuelles Zertifikatsmanagement zunehmend weniger eine Frage der Effizienz als vielmehr eine Notwendigkeit der Cybersicherheit.

In der Cybersicherheit hat ein Umdenken stattgefunden, und Vertrauen wird heutzutage nicht mehr als selbstverständlich vorausgesetzt. Da digitale Zertifikate eine immer wichtigere Rolle beim Aufbau vertrauenswürdiger Identitäten und verschlüsselter Verbindungen spielen, ist es unerlässlich, dieses Vertrauen aufrechtzuerhalten, da Unternehmen in ihrer gesamten digitalen Infrastruktur zunehmend auf Zertifikate angewiesen sind.

Kürzere Gültigkeitsdauern von Zertifikaten unterstützen diesen Wandel, indem sie die Zeitspanne verkürzen, in der potenziell veraltetes oder kompromittiertes Vertrauen bestehen bleiben kann. Außerdem zwingen sie Unternehmen dazu, Zertifikate häufiger zu überprüfen und zu ersetzen, wodurch ein automatisiertes Zertifikatslebenszyklusmanagement (CLM) für die Aufrechterhaltung von Sicherheit, Agilität und Kontinuität an Bedeutung gewinnt.

Kürzere Gültigkeitsdauer begrenzt das Risiko

Überblicke über den Zertifikatslebenszyklus konzentrieren sich oft darauf, wie digitale Zertifikate ermittelt, ausgestellt oder erneuert werden, doch auch Gültigkeitsfristen spielen eine wichtige Rolle bei der Begrenzung von Sicherheitsrisiken.

Eine kürzere Gültigkeitsdauer begrenzt die maximale Zeitspanne, in der ein digitales Zertifikat weiterhin als vertrauenswürdig gilt, falls sein Schlüssel kompromittiert wird, seine Informationen veralten oder ein anderes Sicherheitsproblem unentdeckt bleibt. Längere Gültigkeitsdauern führen zu einem größeren Sicherheitsrisiko und können daher dazu führen, dass potenziell problematische Zertifikate länger gültig bleiben.

Durch die Sperrung werden bekannte Fälle von Zertifikatskompromittierung behoben, doch was geschieht, wenn Zertifikatsprobleme unentdeckt bleiben? In diesem Fall bietet das Ablaufen des Zertifikats einen entscheidenden Schutz. Sobald ein Zertifikat abgelaufen ist, gilt es nicht mehr als gültig und muss ersetzt werden, bevor das Vertrauen wiederhergestellt werden kann.

Kürzere Gültigkeitsdauern tragen daher dazu bei, die Dauer eines unentdeckten Problems zu begrenzen. Die Sperrung kann bekannte Kompromittierungen beheben, während das Ablaufen der Gültigkeit ein definitives Ende der Gültigkeit eines Zertifikats darstellt, wenn Probleme verzögert erkannt oder gar nicht entdeckt werden.

Häufigere Validierungen halten das Vertrauen in Zertifikate auf dem neuesten Stand

Das CA/Browser Forum hat Wiederverwendungszeiträume für die Domain Control Validation (DCV) festgelegt, um zu bestimmen, wie lange eine frühere Validierung noch akzeptiert wird, bevor neue Überprüfungen durchgeführt werden müssen. Der Hauptzweck dabei ist, zu verhindern, dass die Validierung als dauerhaft angesehen oder behandelt wird.

Mit den festgelegten DCV-Fristen wird die Validierung zu einem fortlaufenden Prozess; wenn die Wiederverwendungsfristen kürzer sind, müssen Unternehmen die Domänenkontrolle häufiger überprüfen. Dadurch sinkt die Wahrscheinlichkeit, dass veraltete Validierungen auftreten, wenn Domänen den Eigentümer wechseln oder insbesondere, wenn der Zugriff kompromittiert wird.

Es wurde bereits viel über kürzere Gültigkeitsfristen für Zertifikate gesprochen, doch die Verkürzung der DCV-Fristen ist ebenso bemerkenswert. Gemäß den Anforderungen des CA/Browser-Forums werden diese bis 2029 auf nur noch 10 Tage sinken, parallel zur Verkürzung der maximalen Gültigkeitsdauer öffentlicher SSL/TLS-Zertifikate auf nur noch 47 Tage.

Kürzere Lebenszyklen verbessern die Krypto-Agilität

Der „Cybersecurity Awareness Month“ konzentriert sich nicht ausschließlich darauf, aktuelle Sicherheitsprobleme zu finden oder zu beheben. Vielmehr liegt ein klarer Fokus auf den bevorstehenden Bedrohungen und den anpassungsfähigen Sicherheitsstrategien, die erforderlich sind, um mit sich weiterentwickelnden Bedrohungen Schritt zu halten. Hier kommt das Konzept der Krypto-Agilität ins Spiel.

Krypto-Agilität ermöglicht es Unternehmen, zwischen kryptografischen Algorithmen zu wechseln, ohne den Betrieb oder die allgemeine Sicherheit wesentlich zu beeinträchtigen. Kürzere Zertifikatslebenszyklen unterstützen dies, indem sie die Nutzungsdauer älterer kryptografischer Konfigurationen verkürzen und den häufigeren Austausch von Zertifikaten zu einem Teil des normalen Betriebs machen. Der durch kürzere Lebensdauern entstehende operative Druck regt Unternehmen zudem dazu an, die Automatisierungen und Prozesse aufzubauen, die erforderlich sind, um zukünftige kryptografische Übergänge schneller und überschaubarer zu gestalten.

Als zentraler Vorteil, der vom CA/Browser Forum bei der Einführung des Ballots SC081v3 angeführt wurde, hat Krypto-Agilität enorme Auswirkungen auf den Übergang in das postquantenzeitalter. Der Übergang zur postquanten Kryptografie (PQC) wird Organisationen dazu verpflichten, quantenangreifbare Algorithmen in ihren gesamten Umgebungen zu ersetzen. Organisationen, die bereits automatisierte Lösungen eingeführt haben, sind gut aufgestellt, um diesen Übergang zu bewältigen.

Warum werden die Gültigkeitsdauer von SSL/TLS-Zertifikaten immer kürzer?

Kürzere Gültigkeitsdauern von Zertifikaten sind eine moderne Verbesserung der Cybersicherheit, die durch Sicherheitsbedenken im Zusammenhang mit kompromittierten Zertifikaten motiviert ist, aber auch durch die Erkenntnis der bevorstehenden Herausforderungen: das Post-Quanten-Zeitalter und die Notwendigkeit kryptografischer Agilität.

Bisher waren SSL/TLS-Zertifikate 398 Tage lang gültig und mussten jährlich erneuert werden. Apple schlug Änderungen vor, die schließlich vom CA/Browser Forum im Rahmen des Ballots SC-081v3 genehmigt wurden.

Während die offizielle Gültigkeitsdauer auf maximal 47 Tage festgelegt wurde, erstellte das CA/Browser Forum zudem einen Zeitplan zur Begleitung dieses Übergangs, der regelmäßige schrittweise Verkürzungen der Zertifikatslaufzeiten vorsieht. Wir sind bereits bei einer Gültigkeitsdauer von 200 Tagen angelangt (Stand: 15. März 2026), doch eine weitere große Umstellung steht bevor: Ab dem 15. März 2027 wird die Gültigkeitsdauer von Zertifikaten auf nur noch 100 Tage verkürzt. Die endgültige Begrenzung auf 47 Tage wird im März 2029 in Kraft treten.

Kürzere Gültigkeitsdauern erhöhen zudem das Risiko von zertifikatsbedingten Ausfällen

Kürzere Gültigkeitsdauern mögen aus Sicherheitsgründen notwendig sein, können jedoch bei unsachgemäßer Verwaltung selbst erhebliche Sicherheitsrisiken mit sich bringen. Wenn Zertifikate nur noch 47 Tage gültig sind, müssen sie fast monatlich erneuert werden. Werden Erneuerungen versäumt, können vertrauenswürdige Verbindungen ausfallen.

Abgelaufene Zertifikate können Browser-Warnungen auslösen, die Websites und Dienste für Nutzer unzugänglich machen. Dies beeinträchtigt das Nutzererlebnis, ist aber auch aus Reputationssicht problematisch – Ausfallzeiten sind frustrierend und deuten aus Sicht der Verbraucher auf umfassendere Sicherheitsschwächen hin.

Die Automatisierung des Zertifikatslebenszyklus macht kürzere Laufzeiten überschaubar

Das automatisierte Zertifikatslebenszyklusmanagement reduziert den betrieblichen Aufwand, doch seine Vorteile beschränken sich keineswegs auf Effizienz und Komfort. Zertifikatsautomatisierung wird zunehmend zu einem unverzichtbaren Sicherheitsfaktor, der notwendig ist, um Lücken und Schwachstellen zu begrenzen, während die Gültigkeitsdauer von Zertifikaten immer kürzer wird. Sie hilft Unternehmen dabei, diese Veränderungen zuverlässig und in großem Maßstab zu bewältigen.

Automatisierungsfunktionen mindern die Herausforderungen, die mit höheren Zertifikatsmengen (und häufigem Wechsel) in allen Phasen des Zertifikatslebenszyklus verbunden sind:

• Erfassung und Bestandsaufnahme. Automatisierte Lösungen verbessern die Transparenz, indem sie alle Zertifikate in gesamten Umgebungen lokalisieren. Erfassungsdienste nutzen umfassende Scans, um alle Zertifikate zu finden und zu katalogisieren, und mit der richtigen CLM-Plattform lassen sich diese über zentralisierte Dashboards einsehen und verwalten.
• Überwachung des Ablaufs. Die Erfassung verbessert die Transparenz, doch diese muss durch konsequente Überwachung aufrechterhalten werden. Ohne ausreichende Überwachung können Zertifikate unbemerkt ablaufen. Eine konsequente Überwachung stellt sicher, dass Verlängerungen rechtzeitig erfolgen.
• Automatisierte Verlängerungen. Die CLM-Automatisierung kann den manuellen Aufwand bei der Zertifikatsverlängerung reduzieren. ACME unterstützt die optimierte Ausstellung und Verlängerung von Zertifikaten, während kompatible Tools auch die Installation und Bereitstellung automatisieren können.

Wie bereiten sich Unternehmen auf diese Veränderung vor?

Der Cybersecurity Awareness Month bietet eine gute Gelegenheit, sich mit proaktiven Sicherheitsstrategien auseinanderzusetzen. Setzen Sie auf automatisierte Lösungen und bereiten Sie sich auf die bevorstehenden großen Veränderungen vor: kürzere Zertifikatslaufzeiten und DCV-Wiederverwendungszeiträume, gefolgt schließlich vom Übergang zur Post-Quantum-Sicherheit.

Beginnen Sie mit einer Bestandsaufnahme der digitalen Zertifikate und identifizieren Sie öffentlich vertrauenswürdige SSL/TLS-Zertifikate, deren Erneuerung oder Bereitstellung noch manuell erfolgt. Priorisieren Sie anschließend geschäftskritische Systeme und testen Sie automatisierte Erneuerungsworkflows noch vor dem 100-Tage-Stepdown im Jahr 2027. Unternehmen mit ausgereifteren Programmen können zudem das CLM-Reifegradmodell nutzen, um die nächsten Schritte zur Ausweitung von Automatisierung, Transparenz und zentraler Kontrolle zu ermitteln.

Die 47-Tage-Vorgabe gilt zwar nur für öffentlich vertrauenswürdige SSL/TLS-Zertifikate, doch auch private Zertifikate können von einer zentralisierten Verwaltung und gegebenenfalls kürzeren Gültigkeitsdauern profitieren. Ein frühzeitiger, umfassenderer Blick auf die Zertifikatsumgebung kann dazu beitragen, Verlängerungsfehler, zertifikatsbedingte Ausfälle und andere vermeidbare Lücken zu reduzieren, wenn das Zertifikatsvolumen und die Verlängerungshäufigkeit zunehmen.

Werfen Sie einen Blick in den 47-Tage-SSL/TLS-Leitfaden von Sectigo, um Einblicke zu gewinnen, einschließlich praktischer Schritte zur Bewältigung dieses Übergangs.

Machen Sie automatisiertes CLM zu einem Bestandteil Ihrer Cybersicherheitsstrategie

Der Cybersecurity Awareness Month erinnert uns daran, Cybersicherheitspraktiken aus einer breiteren Perspektive zu betrachten. Machen Sie eine Bestandsaufnahme manueller Prozesse und überlegen Sie, wo automatisierte Lösungen implementiert werden können, um vermeidbare Risiken zu begrenzen. Diese Verbesserungen haben den zusätzlichen Vorteil, dass sie betriebliche Einschränkungen beseitigen, insbesondere da der Übergang zu einer Laufzeit von 47 Tagen weiter voranschreitet.

Sectigo bietet zwei CLM-Plattformen an, die darauf ausgelegt sind, die Einschränkungen der manuellen Zertifikatsverwaltung zu überwinden. Der Sectigo Certificate Manager (SCM) unterstützt komplexe Unternehmensumgebungen, die eine CA-unabhängige Automatisierung des Zertifikatslebenszyklus, zentralisierte Transparenz, die Durchsetzung von Richtlinien und Kontrolle in großem Maßstab benötigen.

Kleine Unternehmen und Webadministratoren profitieren vom Einsatz von SCM Pro, das die Zertifikatsverwaltung vereinfacht und gleichzeitig die Automatisierung über das ACME-Protokoll nutzt. Entdecken Sie noch heute die Lösungen von Sectigo und machen Sie den nächsten Schritt zum Aufbau einer stärkeren Grundlage für digitales Vertrauen.

Phishing besteht aus betrügerischen Nachrichten, die darauf abzielen, Informationen oder Zugangsdaten zu stehlen oder den Empfänger zu schädlichen Handlungen zu verleiten. Diese Angriffe basieren in der Regel auf Identitätsdiebstahl, um den Anschein zu erwecken, dass die Nachrichten von einer vertrauenswürdigen Quelle stammen.

Früher waren Phishing-E-Mails oft schwer zu erkennen, wiesen jedoch dennoch einige entscheidende Anzeichen auf:

• Rechtschreibfehler
• Allgemeine Anredeformeln
• Schlampige Grammatik
• Versprechen, die zu gut klingen, um wahr zu sein
• Meldungen oder Aufforderungen zu dringenden Maßnahmen

Erfahrene Nutzer erkannten diese Betrugsanzeichen und reagierten entsprechend, doch heute sind Phishing-E-Mails weitaus ausgefeilter und daher überzeugender. Der Inhalt ist überzeugender, da die Angreifer auf ein professionelles Layout, persönliche Informationen, ähnliche Domains, gefälschte Benutzernamen oder verschiedene Kanäle (z. B. E-Mail und SMS) zurückgreifen können, um legitime Marken und Kontakte nachzuahmen. Künstliche Intelligenz kann zudem die Erstellung betrügerischer Nachrichten in großem Maßstab erleichtern und deren Erkennung allein anhand der Schreibqualität erschweren.

Die traditionellen Warnzeichen für Phishing bleiben zwar wichtig, reichen aber nicht mehr aus, um gefährliche E-Mails von legitimen zu unterscheiden.

Der Monat der Cybersicherheitsaufklärung unterstreicht die anhaltende Notwendigkeit, Phishing proaktiv zu erkennen und zu bekämpfen. Sowohl Absender als auch Empfänger können Maßnahmen ergreifen. Unternehmen können das Bewusstsein der Nutzer durch technische Schutzmaßnahmen und Vertrauensindikatoren fördern, die den Empfängern helfen, legitime Mitteilungen zu erkennen und verdächtige Nachrichten zu identifizieren.

Wie können Unternehmen die Erkennung legitimer E-Mails erleichtern

Die Verantwortung, Phishing-Angriffe von authentischen Nachrichten zu unterscheiden, sollte nicht ausschließlich beim Empfänger einer E-Mail liegen. Marken und E-Mail-Dienstleister können einen Großteil dieser Aufgabe übernehmen, indem sie Strukturen und Protokolle implementieren, die dazu beitragen, Phishing bereits an der Quelle zu bekämpfen . Verschiedene Protokolle wirken synergetisch zusammen, um E-Mail-Sicherheitsrisiken zu bekämpfen und visuelle Indikatoren für die Vertrauenswürdigkeit zu etablieren. Zu den wichtigsten zählen:

• SPF. Das Sender Policy Framework bildet die grundlegende Basis für verschiedene E-Mail-Sicherheitsmaßnahmen. Es hilft den empfangenden E-Mail-Servern zu überprüfen, ob die absendenden Server berechtigt sind, Nachrichten im Namen einer bestimmten Domain zu versenden.
• DKIM. Das Protokoll „DomainKeys Identified Mail“ nutzt die Public-Key-Kryptografie, um E-Mails mit einer kryptografischen Signatur zu versehen. Die empfangenden Systeme überprüfen diese Signatur mithilfe des öffentlichen Schlüssels der Domain. Dank des DKIM-Protokolls können sie die Authentizität der signierenden Domain überprüfen und feststellen, ob der Inhalt der signierten Nachricht verändert wurde.
• DMARC. Das DMARC-Protokoll (Domain-based Message Authentication, Reporting, and Conformance) stützt sich auf SPF und DKIM, um die Authentifizierung und die Konformität mit der „Von“-Domäne zu bewerten. Domain-Inhaber können Richtlinien veröffentlichen, die Empfänger dazu verpflichten, Nachrichten, die die Konformitätsauthentifizierung nicht bestehen, unter Quarantäne zu stellen oder abzulehnen.
• BIMI. Der E-Mail-Standard „Brand Indicators for Message Identification“ (BIMI) ermöglicht es Marken, die die Anforderungen erfüllen, verifizierte Logos neben ihren E-Mails in Posteingängen anzuzeigen, die diese Funktion unterstützen. BIMI nutzt die oben genannten Authentifizierungsstandards, sodass nur Domänen, die diese Standards ordnungsgemäß erfüllen, ihre Logos anzeigen können.

Markenzertifikate machen die authentifizierte Identität der Marke sichtbar

BIMI ermöglicht es Marken, ihre Logos in den Posteingängen anzuzeigen, während Marken-Zertifikate die von zahlreichen E-Mail-Anbietern für die Anzeige geforderte Validierung der Organisation und des Logos durch eine dritte Stelle gewährleisten. Dies fügt authentifizierten E-Mails ein visuelles Signal für eine unabhängig validierte Marke hinzu.

Es gibt zwei Arten von Marken-Zertifikaten, die dazu beitragen, die Vorteile der Markensichtbarkeit und des visuellen Vertrauens in den Posteingängen der Kunden zu gewährleisten. Verifizierte Marken-Zertifikate (VMC) ermöglichen es Marken, markenrechtlich geschützte Logos anzuzeigen und das blaue Häkchen von Gmail zu erhalten.

Gemeinsame Marken-Zertifikate (CMC) bieten eine Alternative für Organisationen, die die Anforderungen erfüllen, aber keine eingetragene Marke besitzen. Die Logos, die den Anforderungen entsprechen, müssen seit mindestens 12 Monaten öffentlich verwendet worden sein.

S/MIME-Zertifikate überprüfen die Identität der Absender und schützen die Integrität der E-Mails

Der Standard „Secure/Multipurpose Internet Mail Extensions“ (S/MIME) ermöglicht den Schutz von E-Mails durch Verschlüsselung und digitale Signaturen. Diese Zertifikate, die in der Regel über Zertifizierungsstellen (CA) erworben und auf E-Mail-Clients installiert werden, nutzen die Public-Key-Verschlüsselung, um den Inhalt von E-Mails, einschließlich der Anhänge, zu schützen.

Dank des S/MIME-Protokolls helfen digitale Signaturen den Empfängern, die Identität des Absenders zu bestätigen, und garantieren ihnen, dass die Nachrichten aus vertrauenswürdigen Quellen stammen. Darüber hinaus weist das S/MIME-Protokoll nach, dass die Nachrichten während der Übertragung nicht verändert wurden. Bei Verwendung der Verschlüsselung kann der Inhalt von Nachrichten und Anhängen so geschützt werden, dass nur der vorgesehene Empfänger sie entschlüsseln kann.

Diese Funktionen können den Schutz vor Phishing verstärken, indem sie den Empfängern ein zusätzliches Mittel zur Überprüfung der Identität des Absenders und der Integrität der Nachricht bieten und es Angreifern somit erschweren, sich als legitimer und signierter Absender auszugeben.

Integrieren Sie die Vertrauenswürdigkeit von E-Mails in Ihre Strategie zur Bekämpfung von Phishing

Das Erkennen und Melden von Phishing-Versuchen ist ein Schlüsselelement der Sensibilisierung für Cybersicherheit, doch da Betrugsversuche immer raffinierter werden, reicht es nicht mehr aus, sich auf das Erkennen klassischer Warnzeichen zu beschränken. Die Sensibilisierung der Nutzer muss durch technische Schutzmaßnahmen verstärkt werden. Standards wie SPF, DKIM und DMARC bilden eine Grundlage für die E-Mail-Authentifizierung. Sie helfen Unternehmen dabei, ihre Absenderdomänen zu schützen, und ermöglichen es den empfangenden Systemen, nicht autorisierte Nachrichten leichter zu identifizieren.

BIMI und Marken-Zertifikate (VMC oder CMC) stärken diese Glaubwürdigkeit durch visuelle Indikatoren, die diese technische Grundlage ergänzen. Dank BIMI und VMC (oder CMC) können validierte Markenlogos in kompatiblen Posteingängen angezeigt werden.

Bei diesem Ansatz spielen sowohl Absender als auch Empfänger eine wichtige Rolle. Unternehmen schaffen die Grundlage für eine sichere E-Mail-Kommunikation, indem sie die Protokolle SPF, DKIM, DMARC und BIMI implementieren und S/MIME hinzufügen, wenn eine Überprüfung der Absenderidentität, eine digitale Signatur oder eine Verschlüsselung erforderlich ist.

Die Empfänger tragen dazu bei, indem sie die Domains der Absender sorgfältig prüfen und auf validierte Markenlogos achten (sowie gegebenenfalls auf die blauen Häkchen von Gmail). Sie sollten es vermeiden, auf unerwartete oder verdächtig wirkende Links zu klicken. Die gleiche Vorsicht ist bei unerwarteten Anhängen geboten. Unerwartete oder heikle Anfragen sollten über andere Kanäle überprüft werden. Jeder festgestellte Phishing-Versuch muss umgehend gemeldet werden.

Sectigo stärkt das Vertrauen in E-Mails durch Lösungen, die auf verschiedene Aspekte der Identität und Sicherheit von E-Mails zugeschnitten sind. Mark-Zertifikate bestätigen die Identität der Marke und die Logos in kompatiblen E-Mail-Postfächern, während S/MIME-Zertifikate die Überprüfung des Absenders, die digitale Signatur, die Integrität der Nachrichten und die Verschlüsselung ermöglichen.

Ein Zertifikat, das in der Woche vom 15. März 2026 ausgestellt wurde, erreicht Anfang Oktober 2026 das Ende seiner 200-tägigen Gültigkeitsdauer – doppelt so schnell, wie es nach dem alten 398-Tage-Standard der Fall gewesen wäre. Das bedeutet, dass der Arbeitsaufwand für die Erneuerung, den Sicherheits- und IT-Teams jährlich einkalkuliert haben, nun zweimal im Jahr anfällt – und zwar zum ersten Mal in diesem Herbst.

Dies ist kein zukünftiges Risiko mehr, das man einplanen muss. Es ist ein aktuelles Risiko, das es zu bewältigen gilt.

Ein kurzer Rückblick: Wie es dazu kam

Im April 2025 genehmigte das CA/Browser Forum den Beschluss SC-081v3, einen Antrag, der ursprünglich von Apple vorgeschlagen und von großen Browser-Anbietern und Zertifizierungsstellen, darunter Google/Chrome, Mozilla und Sectigo, unterstützt wurde. Der Beschluss legte einen stufenweisen Zeitplan für die Verkürzung der Gültigkeitsdauer öffentlicher SSL/TLS-Zertifikate und der Wiederverwendungsfristen für die Domain-Kontrollvalidierung (DCV) fest:

Die Begründung war einfach: Längere Gültigkeitsdauern von Zertifikaten bedeuten längere Zeitfenster, in denen ein Risiko besteht, falls ein Zertifikat oder der ihm zugrunde liegende Schlüssel jemals kompromittiert wird, und längere Zeiträume zwischen den Validierungsprüfungen bedeuten, dass Daten zur Domain-Inhaberschaft veralten können. Kürzere Gültigkeitsdauern, gepaart mit dem Bestreben der postquantum-Kryptografie nach einer schnelleren Schlüsselrotation, sind Teil desselben umfassenderen Wandels hin zu Krypto-Agilität.

Das war die Richtlinie. Was nun auf die IT- und Sicherheitsteams zukommt, ist die operative Realität dieser Richtlinie.

Was ändert sich, wenn sich die Erneuerungszyklen verkürzen?

Die Halbierung der Gültigkeitsdauer von Zertifikaten verdoppelt nicht nur die Häufigkeit, mit der ein Zertifikat erneuert werden muss, sondern verstärkt auch jeden Prozess, der um diese Erneuerung herum aufgebaut ist:

• Das Erneuerungsvolumen verdoppelt sich sofort: Jedes Zertifikat, das ein Unternehmen verwaltet, erfordert nun doppelt so oft Aufmerksamkeit wie bei einer Gültigkeitsdauer von 398 Tagen. Teams, die bisher jährlich erneuert haben, müssen nun etwa alle sechs Monate erneuern, ohne dass sich der Aufwand pro Erneuerung verringert, wenn der Prozess weiterhin manuell abläuft.
• Lücken bei der Erfassung treten schneller zutage: Zertifikate, die bei einem 13-Monats-Zyklus nach dem Prinzip „einmal einrichten und vergessen“ verwaltet wurden, müssen nun bereits nach weniger als sieben Monaten erneut bearbeitet werden. Jedes Zertifikat, das beim ersten Mal nicht ordnungsgemäß erfasst wurde, ist früher als erwartet wieder fällig.
• Auch die Zeitfenster für die Wiederverwendung der DCV verkürzen sich: Die Zeiträume für die Wiederverwendung der Domain Control Validation (DCV) verkürzen sich parallel zur Gültigkeitsdauer der Zertifikate. Teams, die keinen wiederholbaren DCV-Workflow haben, werden diese Reibungsverluste bei jeder Verlängerung spüren, nicht nur bei einigen davon.
• Der Spielraum für Fehler schrumpft: Da Verlängerungen häufiger anstehen, stellt eine versäumte Verlängerung ein wiederkehrendes Risiko dar. Ausfälle aufgrund abgelaufener Zertifikate sind für Unternehmen, die sich noch auf Tabellenkalkulationen und Kalendererinnerungen verlassen, nur noch eine Frage des „Wann“, nicht mehr des „Ob“.

All dies gilt nicht nur für eine bestimmte Branche oder Unternehmensgröße. Jede Organisation mit öffentlich zugänglichen Zertifikaten (also fast alle) sieht sich derzeit gleichzeitig mit dieser Verknappung konfrontiert, was mit ein Grund dafür ist, dass die Auswirkungen in diesem Herbst breitflächig spürbar sind und nicht nur schrittweise zum Tragen kommen.

Die Kosten des Stillstands

Die manuelle Zertifikatsverwaltung war bereits vor der Verkürzung der Gültigkeitsfristen kostspielig. Eine im Auftrag von Sectigo durchgeführte Forrester Total Economic Impact™ (TEI)-Studie ergab jedoch, dass Unternehmen, die das Zertifikatslebenszyklusmanagement mit dem Sectigo Certificate Manager (SCM) automatisieren, eine Kapitalrendite von 243 % erzielten, darunter 1,3 Millionen Dollar an eingesparten Arbeitskosten für die Bereitstellung und 965.000 Dollar an reduzierten Verlängerungskosten über drei Jahre sowie weitere 2,4 Millionen Dollar an vermiedenen ausfallbedingten Kosten.

Diese Zahlen wurden auf der Grundlage eines langsameren Erneuerungsrhythmus berechnet. Bei einer Gültigkeitsdauer von 200 Tagen verdoppeln sich der Arbeitsaufwand und das Risiko, die durch die Automatisierung ausgeglichen werden. Jeder Dollar, den manuelle Prozesse pro Erneuerungszyklus kosteten, wird nun doppelt so oft ausgegeben, und jede Stunde, die mit der Suche nach ablaufenden Zertifikaten verbracht wurde, wird nun ebenfalls doppelt so oft aufgewendet. Die Rentabilitätsberechnung für die Automatisierung gilt auch bei einer Gültigkeitsdauer von 200 Tagen und wird mit jeder Verkürzung noch überzeugender.

Anzeichen dafür, dass Ihr Unternehmen noch nicht bereit ist

Der erste 200-Tage-Verlängerungszyklus deckt in der Regel immer wieder dieselben Lücken auf:

• Unvollständige, veraltete oder auf verschiedene Teams und Tools verteilte Zertifikatsbestände.
• Keine klare Zuständigkeit für Verlängerungen, DCV oder die Reaktion auf Zertifikatsvorfälle.
• Verfolgung von Verlängerungen, die in Tabellenkalkulationen, Tickets oder im Kalender einer einzelnen Person statt in einem zentralisierten System erfolgt.
• Kein automatisierter Ausstellungs- oder Verlängerungsprozess (z. B. über ACME) zumindest für die Zertifikatstypen mit dem höchsten Volumen.

Sollte Ihnen eines dieser Probleme bekannt vorkommen, ist dieser Erneuerungszyklus das Signal, noch vor Beginn des nächsten Zyklus (100-Tage-Gültigkeit) im März 2027 zu handeln.

Was in diesem Quartal zu tun ist

1. Stimmen Sie jetzt Ihren Zertifikatsbestand ab: Überprüfen Sie, welche Zertifikate um den 15. März herum ausgestellt wurden und bald ablaufen, und ermitteln Sie den jeweiligen Inhaber. Erstellen Sie dabei gleich eine Bestandsaufnahme aller Zertifikate in Ihrem Unternehmen.
2. Automatisieren Sie, was Sie können, bevor die nächste Verlängerung ansteht: Selbst eine teilweise Automatisierung für Ihre Zertifikate mit dem höchsten Volumen oder dem höchsten Risiko reduziert den Betriebsaufwand bei der nächsten Erneuerungswelle.
3. Legen Sie klare Zuständigkeiten zwischen den Bereichen Sicherheit, IT und DevOps fest: Der Rhythmus der Erneuerungen ist mittlerweile so hoch, dass Unklarheiten darüber, wer verantwortlich ist, zu erheblichen Verzögerungen führen.
4. Richten Sie Ihren DCV-Workflow ein (oder unterziehen Sie ihn einem Stresstest): Da die Wiederverwendungsfristen immer kürzer werden, ist ein wiederholbarer Validierungsprozess genauso wichtig wie die Verlängerung selbst. Ziehen Sie eine dauerhafte DCV von CLM-Anbietern wie Sectigo in Betracht, damit Sie die Domain-Validierung einmal einrichten und dann nicht mehr daran denken müssen.
5. Legen Sie Überwachungs- und Alarmschwellenwerte jetzt fest, nicht erst nach einem Beinahe-Ausfall: Da Verlängerungen nun alle sechs Monate statt jährlich anstehen, sind Alarmfenster, die auf einen 398-Tage-Zyklus abgestimmt sind, bereits veraltet.
6. Nutzen Sie diesen Zyklus als 100-tägigen Testlauf: Was auch immer diesmal nicht funktioniert oder zu lange dauert, muss genau vor März 2027 behoben werden, wenn sich derselbe Arbeitsaufwand erneut verdichtet.

Was die CLM-Automatisierung aus diesem Bild entfernt

Die Lücken, die in einem ersten 200-tägigen Verlängerungszyklus auftreten, betreffen selten die Zertifikate selbst. Sie betreffen vielmehr die manuellen Prozesse, die damit verbunden sind. Das automatisierte Zertifikatslebenszyklusmanagement (CLM) geht auf jeden einzelnen Punkt direkt ein:

• Erfassung: Ein kontinuierlich aktualisiertes Bestandsverzeichnis ersetzt einmalige Audits, sodass Zertifikate zwischen den Verlängerungszyklen nicht aus dem Blickfeld geraten.
• Ausstellung und Verlängerung: Protokolle wie die Automated Certificate Management Environment (ACME) ermöglichen die automatische Verlängerung von Zertifikaten, wenn ihr Ablaufdatum näher rückt, ohne dass eine Person die Termine manuell nachverfolgen muss.
• DCV: Zentralisierte, wiederholbare Workflows zur Domain-Validierung halten mit den immer kürzer werdenden Wiederverwendungsfenstern Schritt, anstatt bei jeder Verlängerung zu einem Engpass zu werden. Persistentes DCV vereinfacht die Domain-Validierung in großem Maßstab.
• Überwachung und Benachrichtigung: Dank zentraler Transparenz werden Zertifikate, deren Ablaufdatum näher rückt, bereits im Vorfeld als kritisch gekennzeichnet – und nicht erst, wenn die Servicequalität bereits beeinträchtigt ist.
• Governance: Klare Prüfpfade und Zuständigkeitsnachweise ersetzen die Unklarheiten, die die Reaktion verlangsamen, wenn doch einmal ein Eingreifen erforderlich ist.

Nichts davon beseitigt den zugrunde liegenden Richtlinienwechsel. Die Gültigkeitsdauer verkürzt sich weiterhin planmäßig und wird wahrscheinlich auch nach der 47-tägigen Übergangsphase weiter sinken. Was dadurch entfällt, ist der Aufwand und das Risiko, diesen Wandel manuell zu bewältigen.

Als Nächstes stehen 100 Tage an

Die 200-Tage-Gültigkeitsdauer wurde als Anpassungsfenster konzipiert, und für Organisationen, die jetzt handeln, kann sie das auch weiterhin sein. Doch die nächste Verkürzung ist bereits geplant: Am 15. März 2027 tritt eine maximale Gültigkeitsdauer von 100 Tagen in Kraft, wodurch sich der heutige Verlängerungszyklus erneut halbiert. Welche Lücken dieser erste 200-Tage-Zyklus auch immer aufdeckt – bei 100 Tagen werden sie nur noch schwerer zu bewältigen sein und bei der letztendlichen Höchstlaufzeit von 47 Tagen im Jahr 2029 werden sie unhaltbar.

Unternehmen, die diesen Zyklus nutzen, um echte Automatisierung aufzubauen, werden den nächsten Zyklus problemlos bewältigen. Unternehmen, die sich manuell durch den Zyklus flicken, werden in weniger als einem Jahr an eine noch größere Hürde stoßen.

Seien Sie der Erneuerungskurve mit SCM einen Schritt voraus

Die Häufigkeit von Erneuerungen wird bis 2029 weiter steigen. Die manuelle, kalendergesteuerte Zertifikatsverwaltung ist für dieses Tempo nicht ausgelegt, und der aktuelle Erneuerungszyklus beweist dies in Echtzeit.

Der Sectigo Certificate Manager (SCM) automatisiert die Erkennung, Ausstellung, Erneuerung und Überwachung von Zertifikaten durchgängig, sodass eine verkürzte Gültigkeitsdauer zu einer Konfigurationsänderung wird und nicht zu einer Notfallsituation. Vereinbaren Sie eine Demo, um zu sehen, wie SCM den bereits einsetzenden Erneuerungsansturm bewältigt.

Diese Frage steht im Mittelpunkt der neuen Quantum Ready™-Lösung von Sectigo. Anstatt die wachsende Flut an Diskussionen über Quantenrisiken noch weiter anzufüllen, bietet Sectigo Quantum Ready™ Unternehmen eine praktische Möglichkeit, ihre kryptografischen Umgebungen unkompliziert zu erfassen, zu bewerten, zu inventarisieren und zu verwalten, damit sie sich schon heute auf den Übergang zur Post-Quanten-Ära vorbereiten können. Die Lösung soll Unternehmen dabei helfen, das Bewusstsein für Quantenbedrohungen in messbare Maßnahmen umzusetzen und die Grundlage für langfristige Krypto-Agilität in großem Maßstab zu schaffen.

Sectigo Quantum Ready™ beschleunigt die Vorbereitungen auf PQC erheblich.

Die Quantenherausforderung ist zu einem operativen Problem geworden

Die meisten Sicherheitsverantwortlichen in Unternehmen müssen nicht mehr davon überzeugt werden, dass die Umstellung auf Post-Quantum-Kryptografie bevorsteht. Regierungen, Normungsgremien und Technologieanbieter treiben PQC-Initiativen aktiv voran und üben damit zunehmenden Druck auf Unternehmen aus, zu erkennen, wo anfällige Kryptografie zum Einsatz kommt, welche Risiken dadurch entstehen und was sich im Laufe der Zeit ändern muss.

Die Herausforderung besteht darin, dass Kryptografie tief in modernen Unternehmen verankert ist. Zertifikate, Schlüssel, Algorithmen, Anwendungen, Geräte, Dienste und Abhängigkeiten sind über Tausende von Systemen verteilt, die oft von verschiedenen Teams mit unterschiedlichen Tools verwaltet werden. Bevor Unternehmen eine Migrationsstrategie planen können, benötigen sie zunächst einen Überblick darüber, worüber sie tatsächlich verfügen.

Mit anderen Worten:

Man kann keine Kryptografie migrieren, die man nicht sieht.

Deshalb beginnt die Branche, sich von allgemeinen Diskussionen über Quanteninformatik zu lösen und sich den operativen Realitäten der Verwaltung kryptografischer Veränderungen in großem Maßstab zuzuwenden.

Das Problem mit reinen Quantenrisikobewertungen

Viele Unternehmen haben bereits Workshops, Risikobewertungen oder Diskussionen zur Vorbereitung auf das Quantencomputing durchgeführt. Diese Aktivitäten können zwar dazu beitragen, das Bewusstsein zu schärfen, doch stehen Sicherheitsteams danach oft vor derselben Herausforderung: Es fehlen die für Entscheidungen notwendigen Erkenntnisse.

Und eine Bestandsaufnahme allein reicht nicht aus.

Ein einmaliger Scan oder eine Tabelle mag zwar eine Momentaufnahme der Umgebung liefern, doch die Migration auf postquantensichere Systeme wird sich über Jahre erstrecken. Kryptografische Umgebungen entwickeln sich ständig weiter, da sich Anwendungen ändern, die Infrastruktur erweitert wird, Zertifikate erneuert werden, Cloud-Dienste hinzukommen und Standards ausgereift werden. Ein statisches Inventar ist schnell veraltet.

Genau hier scheitern viele Quanteninitiativen. Sie identifizieren zwar Risiken, versäumen es jedoch, Unternehmen dabei zu unterstützen, ihre Bereitschaft in die Praxis umzusetzen.

Sectigo ist der Ansicht, dass Unternehmen mehr als nur eine Anleitung benötigen. Sie benötigen eine Möglichkeit, ihre kryptografische Umgebung kontinuierlich zu erfassen, ihre Bereitschaft zu messen, Maßnahmen zu priorisieren und bei auftretenden Veränderungen stets ein genaues Bild zu bewahren.

Getting Quantum Ready™️ mit Sectigo

Quantum Ready™ ist die Lösung von Sectigo zur Erfassung kryptografischer Ressourcen und zur Bewertung der Quantensicherheit. Sie wurde entwickelt, um Unternehmen dabei zu helfen, auf einfache Weise und in großem Maßstab einen kontinuierlich aktualisierten Überblick über ihre kryptografische Umgebung aufzubauen und zu pflegen. Die Plattform unterstützt Unternehmen dabei, kryptografische Ressourcen und Abhängigkeiten zu erfassen, Quantenrisiken zu identifizieren, den technischen Status zu bewerten und die für die Migrationsplanung erforderlichen Nachweise zu erstellen.

Zum Start unterstützt Sectigo Quantum Ready™ Unternehmen dabei:

• Kryptografische Ressourcen, Algorithmen, Zertifikate, Schlüssel und Abhängigkeiten in komplexen Umgebungen zu erfassen.
• zu ermitteln, wo quantenanfällige Kryptografie vorhanden ist;
• den technischen Stand und die Bereitschaft im Bereich der Kryptografie zu bewerten;
• eine Ausgangsbasis für die PQC-Bereitschaft zu schaffen;
• die erforderlichen Nachweise für die Planung künftiger Migrationsmaßnahmen zu erstellen.

Das Ziel ist einfach:

Sagen Sie mir, welche Kryptografie ich verwende, wo eine Anfälligkeit gegenüber Quantencomputern besteht und was ich vorbereiten muss, um umzustellen.

Über die Bestandsaufnahme hinaus: Aufbau eines kryptografischen Erfassungssystems

Einer der wichtigsten Unterschiede von Sectigo Quantum Ready™ besteht darin, dass es sich nicht um ein einmaliges Erkundungstool handelt. Es soll vielmehr ein kontinuierliches Lagebild liefern.

Die Lösung unterstützt Unternehmen dabei, ein kontinuierlich aktualisiertes Inventar ihrer kryptografischen Ressourcen und Abhängigkeiten aufzubauen und zu pflegen, wodurch eine dynamische, verlässliche Informationsquelle entsteht, die die Vorbereitungsmaßnahmen langfristig unterstützt. Sie kann eine kryptografische Stückliste (Cryptographic Bill of Materials, CBOM) erstellen, die Teams dabei hilft zu verstehen, wo Kryptografie zum Einsatz kommt, inwiefern Systeme davon abhängig sind und wo Quantenbedrohungen Risiken mit sich bringen könnten.

Diese kontinuierliche Transparenz gewinnt zunehmend an Bedeutung, da Unternehmen beginnen, Migrationsmaßnahmen zu priorisieren, Fortschritte zu messen und ihre Bereitschaft gegenüber den Stakeholdern nachzuweisen.

Anstatt einen Bericht zu erstellen, der bereits nach wenigen Monaten veraltet ist, wurde Sectigo Quantum Ready™ entwickelt, um die kontinuierliche Bereitschaft während des gesamten Migrationsprozesses zu unterstützen und dabei die Komplexität des Quantenmanagements im Hintergrund zu verbergen.

Die Grundlage des Quantum Security Posture Managements

Die Einführung von Sectigo Quantum Ready™ markiert zudem den Einstieg des Unternehmens in den aufstrebenden Bereich des Quantum Security Posture Management (QSPM).

Sectigo definiert QSPM als das Betriebsmodell für Unternehmen zur Vorbereitung auf die Post-Quanten-Ära, das auf drei Kernprinzipien basiert:

• Erkennen: Identifizieren Sie kryptografische Ressourcen, Abhängigkeiten, Algorithmen und Quantenrisiken in der gesamten Umgebung. Transparenz ist der Ausgangspunkt.
• Planen: Erfassen Sie die Anfälligkeiten, legen Sie Prioritäten fest, identifizieren Sie Abhängigkeiten und erstellen Sie praktische Migrationspläne, die die geschäftlichen Gegebenheiten widerspiegeln.
• Verwalten: Kryptografische Änderungen umsetzen, steuern, überprüfen und kontinuierlich anpassen, während sich Technologien, Standards, Bedrohungen und Richtlinien weiterentwickeln.

Sectigo Quantum Ready™ dient als Einstieg in dieses Modell, indem es Unternehmen dabei unterstützt, die Grundlage für die Erfassung und Bereitschaft zu schaffen, die erforderlich ist, bevor eine sinnvolle Migrationsplanung beginnen kann. Im Zuge der Ausweitung der QSPM-Strategie von Sectigo wird Sectigo Quantum Ready™ eine entscheidende Rolle dabei spielen, Kunden dabei zu helfen, vom Verständnis des Problems zum langfristigen Management kryptografischer Veränderungen überzugehen.

Von der Bereitschaft zur Krypto-Agilität

Während der unmittelbare Fokus auf der Post-Quantum-Bereitschaft liegt, ist das langfristige Ziel weitreichender.

Der Übergang zur Post-Quanten-Sicherheit ist nur ein Beispiel für die umfassendere Herausforderung, vor der Unternehmen stehen: Die Kryptografie steht niemals still. Algorithmen entwickeln sich weiter. Die Lebenszyklen von Zertifikaten werden immer kürzer. Compliance-Anforderungen ändern sich. Neue Bedrohungen tauchen auf. Unternehmen müssen in der Lage sein, sich kontinuierlich anzupassen.

Aus diesem Grund betrachtet Sectigo Krypto-Agilität als das nachhaltige Ergebnis.

Sectigo Quantum Ready™ bietet die Transparenz und die Informationen zur Bereitschaft, die erforderlich sind, um diesen Weg einzuschlagen. In Kombination mit den umfassenderen Investitionen von Sectigo in das Zertifikatslebenszyklusmanagement (CLM), private PQC (Post-Quanten-Kryptografie), Sectigo Quantum Labs und zukünftige QSPM-Fähigkeiten hilft es dabei, die operative Grundlage zu schaffen, die Unternehmen benötigen, um kryptografische Veränderungen in großem Maßstab zu bewältigen.

Quantenbewusstsein in die Tat umsetzen

Die Debatte um Quantencomputer entwickelt sich weiter. Die Frage lautet nicht mehr: „Wann werden Quantencomputer zu einer Bedrohung?“ Die dringlichere Frage ist: „Wie bewältigen wir den Übergang heute?“

Dieser Wandel erfordert mehr als nur Dashboards zur Transparenz, Sensibilisierungskampagnen oder theoretische Risikobewertungen. Er erfordert einen praktischen Ansatz, um kryptografische Risiken zu verstehen, einen Fahrplan für die Migration zu erstellen und die Bereitschaft aufrechtzuerhalten, während sich die Umgebungen weiterentwickeln. Genau dafür wurde Sectigo Quantum Ready™ entwickelt.

Indem Sectigo Quantum Ready™ Unternehmen dabei unterstützt, kryptografische Ressourcen zu identifizieren, Quantenrisiken zu priorisieren, ein kontinuierliches Erfassungssystem einzurichten und sich auf zukünftige Migrationsmaßnahmen vorzubereiten, verwandelt es die postquantenische Herausforderung von einem abstrakten Zukunftsszenario in ein sichtbares, messbares und handhabbares Arbeitsprogramm.

Denn die Unternehmen, die im Post-Quanten-Zeitalter erfolgreich sein werden, sind nicht diejenigen, die das Problem lediglich erkennen.

Es werden diejenigen sein, die sich aktiv darauf vorbereiten.

Nehmen Sie am Early-Access-Programm teil und erfahren Sie, wie Sectigo Quantum Ready™ Sie bei besseren Entscheidungen im Post-Quanten-Bereich unterstützen kann – besuchen Sie https://www.sectigo.com/qspm-quantum-ready. Bitte beachten Sie, dass die Verfügbarkeit des Early-Access-Programms begrenzt ist.

Die Landschaft des digitalen Vertrauens verändert sich rasant. Die Lebenszyklen öffentlicher TLS-Zertifikate verkürzen sich, da Branchenanforderungen die Gültigkeitsdauer von Zertifikaten von derzeit 200 Tagen auf 100 Tage im Jahr 2027 und schließlich auf 47 Tage bis 2029 reduzieren. Da die Häufigkeit der Zertifikatserneuerungen zunimmt, müssen Unternehmen deutlich mehr Zertifikatsereignisse, Validierungen, Erneuerungen und Compliance-Anforderungen bewältigen als je zuvor.

Gleichzeitig nimmt die Anzahl der Maschinenidentitäten in Cloud-Infrastrukturen, Anwendungen, Geräten, APIs, Containern und neuen KI-gesteuerten Diensten weiter zu.

Jüngste Untersuchungen zeigen, dass nur 13 % der Unternehmen äußerst zuversichtlich sind, alle Zertifikate im Blick zu haben, was eine kritische Lücke in Bezug auf den Betrieb und die Transparenz offenbart. Angesichts des rasanten Anstiegs des Zertifikatsvolumens und der immer kürzeren Erneuerungszyklen fehlen vielen Unternehmen die Tools und Ressourcen, um Schritt zu halten – was einen wachsenden Bedarf an Partnern schafft, die Automatisierung und Transparenz in das Zertifikatsmanagement bringen können. Dies bietet Partnern eine klare Chance, Dienstleistungen im Bereich des Zertifikatslebenszyklusmanagements (CLM) anzubieten, die nicht nur ihr Portfolio erweitern, sondern ihnen auch helfen, sich auf dem Markt abzuheben.

Eine Plattform, die Partnern beim Skalieren hilft

Mit der Einführung des SPP wurde eine neue Kategorie geschaffen: eine speziell entwickelte, partnerorientierte CLM-Plattform mit echter Mandantenfähigkeit. Bis dahin mussten sich Partner entweder mit der Verwaltung von Kunden über eine einfache, gemeinsam genutzte Verwaltungsumgebung mit begrenzter Kundentrennung begnügen oder auf Unternehmen ausgerichtete Tools anpassen, die nie für den Channel-Betrieb konzipiert waren. Sectigo führte ein partnerorientiertes Modell ein, das auf Kundenisolierung, Sicherheitsgrenzen, Segmentierung der Berichterstattung und operativer Skalierbarkeit basiert.

Doch Innovation hört nicht bei den ersten Schritten auf. Sectigo hat die Plattform kontinuierlich um Verbesserungen wie optimierte Dashboards, strengere Lizenzkontrollen, erweiterte Berichterstellung und weitere betriebliche Optimierungen erweitert, die darauf abzielen, Partnern den Ausbau profitabler CLM-Dienstleistungen zu ermöglichen.

Flexible Mandantenfähigkeit ist der nächste Schritt in dieser Entwicklung.

Heute gehen wir den nächsten Schritt auf diesem Weg mit neuen flexiblen Tenancy-Optionen, die Partnern mehr Freiheit bei der Auswahl des Betriebsmodells geben, das den Anforderungen ihres Unternehmens und ihrer Kunden am besten entspricht.

Eine Plattform. Zwei Mietmodelle.

Da wir wissen, dass Partner unterschiedliche Kundenprofile und Betriebsmodelle verwalten, bietet SPP nun zwei Möglichkeiten, CLM in großem Maßstab bereitzustellen. Beide Modelle erfüllen weiterhin das Kernversprechen, jeden Kunden als eigenständige Geschäftsbeziehung über eine zentralisierte Plattform zu verwalten – mit Berichterstattung auf Kundenebene, Abonnementverwaltung, Nutzungserfassung und finanzieller Transparenz über das gesamte Kundenportfolio des Partners hinweg.

Partner können wählen zwischen:

Dedizierter Mandant

Für strategische oder komplexere Kunden bietet ein dedizierter Mandant den Partnern eine separate SCM-Umgebung, die auf die Bedürfnisse dieses Kunden zugeschnitten ist. Dies eignet sich besonders für Unternehmen, die Unterstützung durch eine private Zertifizierungsstelle, erweiterte CLM-Implementierungen für Unternehmen oder strengere Sicherheits- und Compliance-Vorgaben benötigen. Partner können eine klare Trennung zwischen Zertifikatsbestand, Nutzungsberichten, Abrechnung und administrativen Kontrollen aufrechterhalten und gleichzeitig die Kundenbeziehung über SPP verwalten.

Sichere gemeinsame Mandantenumgebung

Für kleinere oder betrieblich ähnlich ausgerichtete Kunden bietet die sichere gemeinsame Mandantenumgebung Partnern eine effizientere Möglichkeit, CLM in großem Maßstab zu verwalten. Mehrere Kunden können über eine zentralisierte Umgebung betreut werden, während SPP die Transparenz auf Kundenebene, Abonnements, Nutzungsberichte, Bestandsverfolgung und finanzielle Einblicke gewährleistet, die Partner benötigen, um jede Kundenbeziehung separat zu verwalten. Partner profitieren von der Effizienz eines gemeinsamen Modells, ohne dass alle Kunden zu einer einzigen Organisation zusammengefasst werden.

Das Ergebnis ist Flexibilität, ohne dabei auf Sicherheit und betriebliche Transparenz zu verzichten.

Partnern dort entgegenkommen, wo sie stehen

Die Realität sieht so aus, dass Partnerunternehmen nicht einheitlich sind.

Einige Partner betreuen große Unternehmen mit komplexen Compliance-Anforderungen. Andere verwalten Hunderte oder Tausende kleinerer Kunden, die zuverlässige digitale Vertrauensdienste benötigen, ohne den Aufwand einer dedizierten Verwaltung. Viele betreuen beides.

In der Zukunft geht es nicht darum, jeden Kunden in ein einziges Betriebsmodell zu zwingen.

Es geht darum, Partnern die Flexibilität zu geben, das richtige Modell auf den richtigen Kunden anzuwenden und dabei alles über eine einheitliche Plattform zu verwalten, die speziell für den Vertriebskanal entwickelt wurde. Diese Vision stand bei SPP von Anfang an im Mittelpunkt und bestimmt auch weiterhin die weitere Entwicklung des Unternehmens.

Die Gültigkeitsdauer von Zertifikaten wird immer kürzer, während die Betriebsfläche immer größer wird. Teams, die F5 Distributed Cloud als Proxy für internetbasierte Anwendungen nutzen, verwalten Zertifikate über verschiedene Load-Balancer-Konfigurationen hinweg, was bisher oft bei jedem Erneuerungszyklus manuelle Eingriffe erforderte. Da die Gültigkeitsdauer immer kürzer wird, wiederholt sich dieser manuelle Aufwand immer wieder und wird zu einer echten Risikoquelle.

SOG schließt diese Lücke für Distributed-Cloud-Umgebungen auf dieselbe Weise wie im restlichen F5-Ökosystem: durch die Automatisierung jener Prozessschritte, die bisher davon abhingen, dass jemand daran dachte, sie auszuführen.

So funktioniert diese Integration

• Nutzt die Integration die F5 Distributed Cloud-APIs? Ja. SOG stellt über die APIs eine Verbindung zur Distributed Cloud her und erhält so einen direkten, sicheren Zugang zum Mandanten, anstatt auf manuelle Export-/Import-Workflows angewiesen zu sein.
• Stellt SOG eine sichere Verbindung direkt zum F5 Distributed Cloud-Mandanten her? Ja. Dank der API-basierten Verbindung kann SOG direkt auf Zertifikate innerhalb der Distributed Cloud-Umgebung zugreifen, ohne dass Dateien manuell zwischen den Systemen verschoben werden müssen.
• Welche manuellen Schritte entfallen dadurch? Bisher musste man, um eine von der Distributed Cloud verwaltete Anwendung auf dem neuesten Stand zu halten, eine Zertifikatsanforderung an eine Zertifizierungsstelle (CA) senden, auf das ausgestellte Zertifikat warten, es entgegennehmen und dann manuell in die Konsole laden. Und das bei jedem Erneuerungszyklus und für jede Anwendung. SOG eliminiert diese gesamte Kette. Es übernimmt automatisch die Koordination der Ausstellung und die Bereitstellung in der Konsole, sodass die Techniker den Vorgang nicht mehr manuell abschließen müssen.
• Wie sieht das in der Praxis aus? Stellen Sie sich einen Kunden vor, der die Distributed Cloud einsetzt, um internetorientierte Anwendungen zu proxyen. Zertifikate werden wie gewohnt in SCM erneuert, doch anstatt es dabei zu belassen, stellt SOG das aktualisierte Zertifikat automatisch in die Konfiguration des Distributed-Cloud-Load-Balancers bereit. Entwickler müssen nicht mehr bei jeder Erneuerung ein neues Zertifikat manuell importieren und binden.

Das große Ganze

Diese Erweiterung ist Teil eines umfassenderen Ansatzes in der Zusammenarbeit zwischen Sectigo und F5: Die Reduzierung manueller Arbeitsschritte, bei denen zertifikatsbedingte Ausfälle häufig ihren Ursprung haben, und die Entlastung gemeinsamer Kunden von einer weiteren Aufgabe, die manuell nachverfolgt werden muss, während sich die Erneuerungszyklen branchenweit beschleunigen. Die Unterstützung von F5 Distributed Cloud über SOG bedeutet, dass die Automatisierung nun den Anwendungen überallhin folgt, wo sie bereitgestellt werden – nicht nur innerhalb traditioneller ADSP/BIG-IP-Bereitstellungen, sondern auch über die Multi-Cloud- und Edge-Umgebungen hinweg, für die Distributed Cloud konzipiert ist.

Für Teams, die SCM bereits parallel zu Distributed Cloud einsetzen, ist die Integration ab sofort im Rahmen der Einführung des Sectigo Orchestration Gateway verfügbar. Wenn Sie derzeit Zertifikate in Distributed Cloud verwalten und sehen möchten, wie eine automatisierte Bereitstellung in Ihrer Umgebung aussieht, wenden Sie sich an Ihr Sectigo-Team.

Elektronische Signaturen sind virtuelle Markierungen, die bestätigen, dass Personen den in bestimmten Dokumenten dargelegten Details oder Bestimmungen zugestimmt haben. Sie ähneln traditionellen, handschriftlichen Unterschriften, da sie dazu dienen, Zustimmung oder Autorisierung zu signalisieren – mit einem entscheidenden Unterschied: Sie basieren auf elektronischen Vorgängen statt auf physischen Markierungen. Zu den Möglichkeiten gehören die Eingabe von Namen, das Zeichnen von Unterschriften über einen Touchscreen oder das Hochladen von Bildern handschriftlicher Unterschriften.

Elektronische Signaturen reichen von einfachen visuellen Signaturen bis hin zu sichereren digitalen Signaturen. Einfache Signaturen lassen sich leicht hinzufügen, doch diese visuellen Markierungen können kopiert oder wiederverwendet werden. Digitale Signaturen bieten durch kryptografische Validierung einen stärkeren Schutz: Sie helfen dabei, die Identität des Unterzeichners zu bestätigen, die Integrität des Dokuments zu gewährleisten und anzuzeigen, ob die Datei nach der Unterzeichnung verändert wurde.

Drei Methoden zum Hinzufügen einer Signatur zu einem PDF-Dokument

Bei so vielen Möglichkeiten, Dokumente zu unterschreiben, ist es schwer zu wissen, wo man anfangen soll. Letztendlich hängt die bevorzugte Signaturmethode vom jeweiligen Risikograd des Dokuments ab. In manchen Situationen können einfache elektronische Signaturen ausreichen: interne Dokumente, Angebote, Einverständniserklärungen oder Empfangsbestätigungen. Mit steigenden Sicherheitsanforderungen gewinnen kryptografische Optionen an Bedeutung, insbesondere bei Dokumenten, die eine Identitätsprüfung oder Manipulationssicherheit erfordern.

So signieren Sie ein PDF digital mit einem digitalen Zertifikat (am sichersten):

Wenn Sicherheit oberste Priorität hat, nutzen Sie zertifikatsbasierte Lösungen, um PDFs zuverlässig zu signieren. Dieser Vorgang ist im Allgemeinen unkompliziert, erfordert jedoch verifizierte Zertifikate zur Dokumentensignatur sowie Software, die kryptografische Signaturen unterstützt.

• Erwerben Sie ein Zertifikat für digitale Signaturen. Beziehen Sie ein Zertifikat zur Dokumentensignatur von einer vertrauenswürdigen Zertifizierungsstelle (CA). Achten Sie auf eine Zertifikatslösung, die Manipulationsschutz und Kompatibilität mit Zeitstempelmechanismen bietet. Installieren oder binden Sie das Zertifikat ein, damit Ihre Signatursoftware es erkennen kann.
• Öffnen Sie die PDF-Datei. Verwenden Sie ein Tool, das zertifikatsbasierte Signaturen unterstützt, um die PDF-Datei zu öffnen und anzuzeigen (Adobe Acrobat ist eine Möglichkeit). Sie können PDF-Formulare auch über den Adobe Acrobat Reader digital signieren.
• Wählen Sie das Zertifikat oder die Option für die digitale Signatur aus. Durchsuchen Sie das Programmmenü nach einer Aufforderung zum Anbringen einer digitalen Signatur. Wenn diese Funktion ausgewählt ist, können Sie die PDF-Datei mit einem Zertifikat zur Dokumentensignatur schützen, anstatt eine elektronische Signatur zu verwenden. Dies ist nicht zu verwechseln mit anderen elektronischen Optionen wie „Fill & Sign“.
• Wählen Sie eine Position für die Signatur aus. Wählen Sie die Aufforderung zum digitalen Signieren des Dokuments aus. Es erscheinen Anweisungen, den Bereich, in dem die Signatur erscheinen soll, anzuklicken und zu ziehen.
• Wählen Sie Ihr Zertifikat oder Ihre digitale ID aus. Nachdem Sie die Position festgelegt haben, erscheint eine weitere Aufforderung zur Konfiguration einer Identität für die digitale Signatur. Sie können ein Signaturgerät verwenden, um ein Token zu konfigurieren, oder eine vorhandene digitale ID als Datei importieren. Falls Sie noch ein Zertifikat erwerben müssen, wählen Sie die Option zur Bestellung eines Signaturgeräts bei einem Partner. Für Adobe-Workflows sollten Sie nach Anbietern suchen, die über die „Adobe Approved Trust List“ (AATL) unterstützt werden, zu denen auch Sectigo gehört. Stellen Sie sicher, dass Sie die erforderlichen Treiber herunterladen und überprüfen Sie, ob das Signaturgerät ordnungsgemäß mit Ihrem Computer verbunden ist. Möglicherweise können Sie auch einen Zeitstempel anbringen.
• Signieren und speichern Sie die PDF-Datei. Überprüfen Sie alle Signaturdetails und vergewissern Sie sich, dass das richtige Zertifikat ausgewählt wurde. Halten Sie ein Passwort oder eine PIN bereit, falls Sie dazu aufgefordert werden. Speichern Sie das Dokument abschließend. Überprüfen Sie die Signatur, indem Sie das Dokument erneut öffnen und den Signaturstatus anzeigen.

Wie signiert man ein PDF elektronisch mit einer einfachen Signatur?

Integrierte PDF-Anwendungen (wie Adobe Acrobat) bieten die Möglichkeit, PDF-Dateien elektronisch zu signieren. Dieser vereinfachte Ansatz ermöglicht eine schnelle Unterzeichnung von Dokumenten, jedoch ohne den kryptografischen Schutz, der digitale Signaturen so überzeugend macht.

Um eine PDF-Datei elektronisch zu signieren, gehen Sie wie folgt vor:

• Öffnen Sie die PDF-Datei. Verwenden Sie dazu eine Softwarelösung wie Adobe Acrobat.
• Wählen Sie ein Signaturwerkzeug aus. Verschiedene Programme verwenden möglicherweise unterschiedliche Werkzeuge zum Hinzufügen von Signaturen. Die Funktion „Ausfüllen und Signieren“ von Adobe Acrobat bietet eine unkomplizierte Möglichkeit, einfache elektronische Signaturen zu PDF-Dateien hinzuzufügen.
• Fügen Sie Ihre Unterschrift ein. Wählen Sie Optionen wie das Eintippen oder Zeichnen Ihrer Unterschrift. Bei Adobe können Sie sogar eine bevorzugte Schriftart auswählen. Falls gewünscht, laden Sie ein Bild Ihrer handschriftlichen Unterschrift hoch.
• Fügen Sie die Unterschrift in das Dokument ein. Geben Sie an, wo die Unterschrift erscheinen soll. In der Regel wird sie in einer dafür vorgesehenen Unterschriftszeile platziert. Ihre PDF-App oder Ihr Programm ermöglicht es Ihnen möglicherweise, die Platzierung oder sogar die Größe anzupassen.
• Speichern oder laden Sie die signierte PDF-Datei herunter. Nachdem die Signatur eingefügt wurde, speichern Sie die signierte PDF-Datei. Adobe bietet die Möglichkeit, das Dokument über einen Cloud-Speicher zu speichern. Die signierte Datei gilt als neue Version des Dokuments. Wenn Sie einen Prüfpfad benötigen, nutzen Sie einen Dienst, der Signaturvorgänge, Zeitstempel und Angaben zum Unterzeichner aufzeichnet. Eine einfache getippte, gezeichnete oder hochgeladene Unterschrift bietet möglicherweise nicht denselben Beweiswert.

Wie signiert man ein PDF mit einem Online-Tool?

Online-Tools machen es einfach, PDF-Dokumente auch unterwegs zu unterschreiben. Der Vorgang ist schnell und erfordert weder das Herunterladen noch den Besitz eines bestimmten Programms oder einer App. Einige Online-Dienste bieten zudem Funktionen an, mit denen sich Bearbeitungsmöglichkeiten einschränken oder der Zugriff regeln lassen, beispielsweise das „Flattening“ einer PDF-Datei oder das Hinzufügen eines Passwortschutzes. Diese Optionen können nützlich sein, bieten jedoch nicht dieselbe Sicherheit wie zertifikatsbasierte digitale Signaturen.

Browserbasierte Tools sind in der Regel kostenlos nutzbar, allerdings mit einer Einschränkung: Möglicherweise müssen Sie zusätzliche Gebühren zahlen, um andere Personen zum Unterzeichnen einzuladen. Diese Online-Dienste bieten auch Tools zum Komprimieren von PDF-Dateien (um deren Dateigröße zu verringern) oder zum Konvertieren (beispielsweise in Microsoft Word oder PowerPoint). Wenn es Ihnen jedoch vor allem darum geht, PDF-Dateien unterschreiben zu lassen, sollten Sie folgende Schritte befolgen:

• Laden Sie die PDF-Datei hoch. Suchen Sie in der Liste der Tools oder Funktionen der Website nach Optionen mit der Bezeichnung „Signieren“ oder „PDF signieren“. Wählen Sie ein Tool aus, mit dem Sie ein Dokument signieren und anschließend hochladen können. Achten Sie darauf, welche Formate akzeptiert werden; möglicherweise können Sie ein Word-Dokument hochladen, es konvertieren und dann als PDF signieren.
• Wählen Sie die gewünschte Signaturfunktion aus. Viele Online-Tools für elektronische Signaturen ermöglichen es, elektronische Signaturen einfach einzugeben oder sie sogar per Touchscreen oder Maus „handschriftlich“ zu erstellen. Entscheiden Sie sich für eine Methode, bevor Sie die Signatur fertigstellen und bestätigen.
• Platzieren Sie die Unterschrift auf der PDF-Datei. Die meisten Online-Dienste bieten Drag-and-Drop-Funktionen an, sodass Sie das Unterschriftsfeld an einer beliebigen Stelle platzieren können. Mit einem Größenanpassungswerkzeug sollten Sie Ihre Unterschrift verkleinern oder vergrößern können.
• Exportieren oder laden Sie die Datei herunter. Der Online-Dienst zeigt eine Aufforderung oder eine Schaltfläche an, über die Sie die signierte Datei auf Ihr Gerät herunterladen können. Klicken Sie darauf oder wählen Sie, falls gewünscht, eine ähnliche Option zum Speichern in Google Drive oder Dropbox.

Woher weiß man, wie man ein PDF richtig signiert?

Es gibt keinen „richtigen“ Ansatz für das Signieren einer PDF-Datei. Dies hängt von persönlichen Vorlieben und der Risikobereitschaft ab. Für einfache Formulare oder Genehmigungen mit geringem Risiko können einfache elektronische Signaturen (die in PDF-Programmen oder über Online-Tools erstellt werden) ausreichend sein, je nach Dokument, Organisation und rechtlichen oder Compliance-Anforderungen. Online-Tools beschleunigen diesen Signaturprozess, während Programme wie Adobe Acrobat vielen Empfängern vertraut sind und häufig für PDF-Signatur-Workflows verwendet werden.

Wenn Dokumente eine strenge Identitätsprüfung und Manipulationssicherheit erfordern, sollten Sie sich für zertifikatsbasierte digitale Signaturen entscheiden. Diese nutzen kryptografische Validierung, um die Identität des Unterzeichners zu bestätigen und nachzuweisen, ob die Datei nach der Unterzeichnung verändert wurde.

Wann sollten Sie ein Zertifikat für digitale Signaturen verwenden?

Viele Dokumente erfordern einen zuverlässigen Nachweis der Identität des Unterzeichners oder einen robusten Schutz vor Manipulationen. Diese erhöhten Anforderungen treten am häufigsten auf, wenn Dokumente sensible Informationen enthalten: Finanzdaten, rechtliche Verpflichtungen oder geschützte Geschäftsinformationen.

Unternehmen und Freiberufler aus vielen Branchen vertrauen auf zertifikatsbasierte digitale Signaturen, um Kunden und Klienten zu schützen und gleichzeitig strenge Compliance-Anforderungen zu erfüllen. Diese können in Branchen vom Gesundheitswesen bis zur Immobilienwirtschaft von großem Wert sein. Sie werden auch bei öffentlichen Aufträgen geschätzt, da sie strenge Nachverfolgbarkeitsketten gewährleisten.

Diese Situationen erfordern einen höheren Schutz; ohne zusätzliche Sicherheit sind Unternehmen und Einzelpersonen anfällig für Dokumentmanipulationen. Zertifikatsbasierte digitale Signaturen begrenzen diese Risiken, indem sie verifizierte Identitäten an sensible Dokumente binden.

Digitale Signaturen unterstützen zudem strenge Governance-Rahmenwerke. Beispielsweise legt die Richtlinie der Europäischen Union über elektronische Identifizierung, Authentifizierung und Vertrauensdienste (eIDAS) Standards für elektronische Signaturen fest. Gemäß eIDAS haben qualifizierte elektronische Signaturen in der EU die gleiche Rechtswirksamkeit wie handschriftliche Unterschriften.

Sichern Sie PDF-Dateien mit digitalen Signaturzertifikaten von Sectigo

Digitale Signaturen sorgen durch Manipulationsschutz und Identitätsprüfung für Sicherheit. Durch die direkte Integration kryptografischer Validierung in PDF-Dateien gehen Zertifikate über einfache elektronische Signaturen hinaus und sichern sensible Dokumente.

Sectigo bietet Optionen zur Dokumentensignatur sowohl für Selbstständige, die vertrauenswürdige PDF-Signaturen benötigen, als auch für Unternehmensteams, die Signatur-Workflows mit hohem Volumen verwalten. Nutzen Sie die Lösungen von Sectigo zur Dokumentensignatur, um Dokumente zu schützen, Vertrauen zu überprüfen und sicher zu signieren.

Die manuelle Zertifikatsverwaltung bremst Teams bereits aus. Doch Zertifikatsautomatisierung allein reicht nicht mehr aus, um moderne Infrastrukturen zu unterstützen.

Zertifikate sind eine zentrale Infrastruktur für Online-Unternehmen. Sie werden in hybriden, Multi-Cloud- und verteilten Umgebungen eingesetzt und sichern alles von Servern und Load Balancern bis hin zu CDNs, WAFs und Zugangssystemen. Mit dem Wachstum dieser Infrastruktur steigt auch der Aufwand, alles gültig, transparent und konform zu halten.

Gleichzeitig bringen kürzere Zertifikatslebenszyklen und steigende Zertifikatsmengen die Automatisierung an ihre Grenzen. Die vorgeschriebene Gültigkeitsdauer von 47 Tagen bedeutet, dass Erneuerungszyklen, die früher nur einige Male im Jahr stattfanden, bald zwölfmal häufiger pro Jahr durchgeführt werden müssen – und zwar in jeder Umgebung, in der ein Unternehmen tätig ist.

Dennoch verlassen sich die meisten Unternehmen nach wie vor auf fragmentierte Konnektoren und manuelle Arbeitsabläufe, um Schritt zu halten. Dieser Ansatz birgt Risiken und schränkt die Skalierbarkeit ein – beides kann man sich jedoch nicht leisten.

Das Sectigo Orchestration Gateway (SOG) ersetzt fragmentierte Automatisierung durch eine einzige, schlanke Automatisierungsebene für den gesamten Zertifikatslebenszyklus über Server, Load Balancer, CDNs, WAFs und Zugangssysteme hinweg und ermöglicht so eine sichere, richtliniengesteuerte Ausführung in großem Maßstab.

Das Fazit? Manuelle Verwaltung allein lässt sich niemals skalieren. Automatisierung mit fragmentierten Konnektoren ebenfalls nicht. Ein einheitliches Orchestrierungs-Gateway ist erforderlich, um vorhersehbare, sichere Zertifikatsabläufe zu gewährleisten.

Die operative Lücke: Warum fragmentierte Automatisierung nicht skalierbar ist

Die meisten Unternehmen arbeiten heute mit einem Flickenteppich aus Tools statt mit einem einheitlichen System:

• Mehrere Konnektoren pro Plattform
• Fragmentierte Integrationen
• Uneinheitliche Arbeitsabläufe über verschiedene Umgebungen hinweg

Einzeln betrachtet mag jedes dieser Elemente funktionieren. Zusammen führen sie jedoch zu blinden Flecken bei Zertifikaten, Konfigurationsabweichungen und hohem betrieblichen Aufwand. Jede neue Plattform bedeutet einen weiteren Konnektor, der entwickelt werden muss, ein weiteres Skript, das gepflegt werden muss, und ein weiteres Team, das sich in einen anderen Prozess einarbeiten muss. Das Ergebnis ist eine Automatisierungsstrategie, die auf dem Papier umfassend erscheint, in der Praxis jedoch versagt – meist zum ungünstigsten Zeitpunkt, wie zum Beispiel bei einem unerwarteten Ausfall, der durch ein Zertifikat verursacht wird, von dessen bevorstehendem Ablauf niemand wusste.

Der Wandel: Von einer Flut von Konnektoren zu einem einzigen Orchestrierungs-Gateway

Modernes Zertifikatslebenszyklusmanagement erfordert ein einheitliches Automatisierungsmodell und eine zentralisierte Steuerung – und nicht einen wachsenden Berg von nachträglich zusammengeflickten Punktlösungen.

Das Sectigo Orchestration Gateway erreicht dies, indem es Punktintegrationen durch ein einziges Gateway ersetzt und so eine konsistente Automatisierung über hybride, Multi-Cloud- und herstellerübergreifende Infrastrukturen hinweg ermöglicht. Anstatt die Automatisierung Plattform für Plattform zu verwalten, verwalten Teams sie einmalig und zentral, wobei überall dieselben Richtlinien und Prozesse angewendet werden, und das bei geringem Platzbedarf in der Infrastruktur. 

Wie SOG eine skalierbare Orchestrierung des Zertifikatslebenszyklus ermöglicht

1. Ersetzen Sie fragmentierte Konnektoren durch ein einziges Automatisierungs-Gateway

SOG verbindet sich über ein einziges Gateway mit mehreren Endpunkten, wodurch separate Agenten und Integrationen für jede Plattform überflüssig werden. Diese Konsolidierung reduziert direkt den Platzbedarf der Infrastruktur und den betrieblichen Aufwand. Weniger bewegliche Teile bedeuten weniger Fehlerquellen und einen geringeren Personalbedarf für deren Wartung.

2. Den gesamten Zertifikatslebenszyklus durchgängig automatisieren

SOG automatisiert die Erkennung, Ausstellung, Erneuerung, Installation und Sperrung als einen einzigen durchgängigen Prozess und nicht als eine Abfolge von unzusammenhängenden Schritten. Dies ermöglicht ein wirklich vollautomatisches Lebenszyklusmanagement in großem Maßstab – im Gegensatz zu einer Automatisierung, die weiterhin eine manuelle Koordination zwischen den einzelnen Phasen erfordert.

3. Sichere Zertifikatsabläufe ohne Erhöhung des Risikos

Automatisierung in großem Maßstab funktioniert nur, wenn dadurch keine neuen Schwachstellen entstehen. SOG ruft Anmeldedaten just-in-time über PAM- und lokale Tresor-Integrationen ab und vermeidet so die lokale Speicherung von Anmeldedaten gänzlich. In Kombination mit einer richtlinienbasierten Zugriffskontrolle bedeutet dies, dass der Zertifikatsbetrieb skaliert werden kann, ohne die Angriffsfläche zu vergrößern.

4. Skalierbarkeit durch schlanke, modulare Bereitstellung

Dank ihres modularen Aufbaus können neue Plattformen unterstützt werden, ohne das gesamte System überarbeiten zu müssen – entscheidend für Unternehmen, deren Infrastruktur sich ständig weiterentwickelt.

5. Beseitigung von blinden Flecken durch vollständige Zertifikatstransparenz

Was man nicht sieht, kann man nicht verwalten. Die Netzwerkerkennung von SOG identifiziert Zertifikate über verschiedene Umgebungen hinweg, und die zentrale Nachverfolgung innerhalb von SCM reduziert das Risiko von Ausfällen aufgrund abgelaufener oder vergessener Zertifikate erheblich.

6. Zukunftssicherer Betrieb durch Krypto-Agilität

SOG unterstützt sich weiterentwickelnde Standards und ist für PQC gerüstet. Damit ermöglicht es den parallelen Zertifikatsbetrieb in großem Maßstab – eine Fähigkeit, die zunehmend an Bedeutung gewinnen wird, wenn Unternehmen den Übergang zur Post-Quanten-Kryptografie einleiten. Und da die Funktionen von SOG dank seiner modularen Architektur kontinuierlich erweitert werden, ist das System darauf ausgelegt, sich schnell an sich wandelnde Unternehmensanforderungen anzupassen, anstatt später eine komplette Plattformüberarbeitung zu erfordern.

Vom Automatisierungschaos zur einheitlichen Steuerung des Zertifikatslebenszyklus

Wenn Unternehmen von einer fragmentierten Automatisierung zu einem einheitlichen Gateway übergehen, summieren sich die Vorteile: geringeres Risiko, geringerer Betriebsaufwand und verbesserte Compliance. Was früher ständiges „Feuerlöschen“ über voneinander getrennte Tools hinweg erforderte, wird zu einem einzigen, vorhersehbaren System.

Die Grundlage für modernes Zertifikatslebenszyklusmanagement

Unternehmen benötigen mehr als nur Automatisierung. Sie benötigen Orchestrierung – bereitgestellt über ein einziges Gateway, das den gesamten Zertifikatslebenszyklus steuert, nicht nur einzelne Teile davon.

Das Sectigo Orchestration Gateway ermöglicht eine durchgängige Automatisierung des Lebenszyklus, eine sichere Ausführung und skalierbare Abläufe in jeder Umgebung.

Die Zukunft des Zertifikatslebenszyklusmanagements liegt in einer einzigen Orchestrierungsebene, die Konsistenz, Geschwindigkeit und Kontrolle in großem Maßstab gewährleistet.