Zertifikats-
management-Tools im Vergleich

Inhaltsverzeichnis
Welches SSL-Zertifikat brauche ich?
Aufgaben digitaler Zertifikate
Wozu Zertifikatsverwaltung?
Mögliche Fehlerquellen und Risikofaktoren
Vorteile von Zertifikatsmanagement-Tools
Was sollte man bei der Auswahl eines Zertifikatsmanagement-Tools beachten?
Wie geht man bei der Suche nach dem richtigen Tool vor?
Für wen eigenen sich kostenlose Tools?
Wer benötigt ein professionelles Tool?
Warum sind professionelle Tools kostenpflichtig?
Was spricht für essendi xc?

Welches SSL-Zertifikat brauche ich?

Zertifikate werden von einer vertrauenswürdigen Stelle, der Zertifizierungsstelle (CA) herausgegeben. Dazu werden sie mit dem privaten Schlüssel der CA signiert.
Es gibt verschiedene Arten von SSL-Zertifikaten, sie kosten je nach Ausprägung unterschiedlich.

• DV Zertifikate (Domain Validation)
  Dies sind die am häufigsten eingesetzten SSL Zertifikate. Man kann sie von verschiedenen Zertifizierungsstellen beziehen, unter anderem von Let’s Encrypt. Vor der Ausgabe wird maschinell geprüft, ob der DNS-Eintrag der Webseite tatsächlich auf den Antragsteller lautet. Die Identität des Eigentümers wird also geprüft.

• OV Zertifikate (Organisation Validation)
  Organisations-validierte Zertifikate stellen die nächsthöhere Sicherheitsstufe dar. Zusätzlich zur Domain wird eine Identitätsprüfung durchgeführt. Dazu müssen häufig ein Registereintrag (z.B. aus dem Handels- oder Vereinsregister) und Kontaktdaten vorgelegt werden.

• EV Zertifikate (Extended Validation)
  Vor allem große Organisationen mit hohen Sicherheitsanforderungen nutzen EV SSL Zertifikate mit erweiterter Validierung. Sie bietet durch eine mehrstufige Identitätsprüfung die höchste Sicherheit. Für große Webshops oder Banken ist das besonders wichtig. Da verschiedene Dokumente vorgelegt werden müssen, kann die Validierung bis zu zwei Wochen dauern.

• S/MIME-Zertifikate (E-Mail validierte Zertifikate)
  Mit einem S/MIME-Zertifikat (Secure/Multipurpose Internet Mail Extensions) werden E-Mails verschlüsselt und signiert. Das darin enthaltene Schlüsselpaar dient der asymmetrischen Verschlüsselung.
  Der private Schlüssel verbleibt dabei immer beim Zertifikatsinhaber, der öffentliche Schlüssel wird den Kommunikationspartnern mitgeteilt. Mit dem privaten Schlüssel werden ausgehende Mails verschlüsselt. Eingehende Mails, die vom Absender mit dem öffentlichen Schlüssel verschlüsselt wurden, werden mit dem privaten Schlüssel decodiert.
  Besonderheit: Befindet sich der private Schlüssel direkt im Mailprogramm (und nicht auf einem Gateway-Server), erfolgt die Verschlüsselung mit Ende-zu-Ende. Das gewährleistet höchste Vertraulichkeit.

• Wildcard Zertifikate
  Mit einem Wildcard Zertifikat schützt man nicht nur die Haupt-, sondern auch Subdomains. Subdomains erkennt man an einem mit Punkt abgetrennten Zusatz vor dem Domainnamen. So ist z.B. xc.essendi.de eine Subdomain von essendi.de.

• Root Zertifikate
  Ein Wurzelzertifikat wird direkt von der Zertifizierungsstelle unterschrieben. Man nennt sie daher auch selbstsigniert.

Aufgaben digitaler Zertifikate

Man unterscheidet zwischen Authentifizierungs- und Infrastruktur-Zertifikaten für verschiedene Einsatzgebiete. Es gibt sicher noch mehr Anwendungsfälle, als die folgenden Beispiele.

• E-Mail-Signaturen
  E-Mails werden meist mittels S/MIME-Zertifikaten signiert. Dadurch sind die Nachrichten vor dem Zugriff Dritter geschützt. Gleichzeitig können die Absender eindeutig verifiziert werden.

• Elektronische Signaturen / Elektronische Siegel
  Elektronische Signaturen und Siegel zählen zu den elektronischen Vertrauensdiensten. Das Vertrauensdienstegesetz (früher: Signaturgesetz) unterscheidet zwischen zwei Arten von Vertrauensdiensten.
  Qualifizierte elektronische Signaturen für natürliche Personen können analoge Unterschriften ersetzen. Sie werden immer dann eingesetzt, wenn mobil und trotzdem rechtssicher unterschrieben werden soll (z.B. bei einer Vertragskündigung).
  Elektronische Siegel für juristische Personen entsprechen in etwa dem Stempel eines Unternehmens oder einer Behörde. Sie finden sich als digitaler Echtheitsnachweis z.B. unter behördlichen Bescheiden.

• Elektronische Zeitstempel
  Mit qualifizierten elektronischen Zeitstempeln können Dokumente signiert werden, die an einem bestimmten Datum oder zu einer bestimmten Uhrzeit ausgestellt werden müssen. Das ist z. B. bei der rechtzeitigen Abgabe von Geboten bei Ausschreibungen der Fall.

Herausgegeben werden alle diese Vertrauensdienste von qualifizierten Vertrauensdiensteanbietern wie der Deutschen Telekom.

• Homepage sicher machen
  Webseiten schützt man mit SSL/TLS Zertifikaten. Dies erkennt man am geschlossenen Schloss-Symbol in der Browserzeile. Daten, die man im Falle einer Bestellung in ein Webformular der Seite eingibt, werden verschlüsselt übertragen. Als Domaininhaber muss man regelmäßig das Website Zertifikat erneuern, bevor es abläuft.

• Systemauthentifizierung
  Bei der Systemauthentifizierung werden Zertifikate zur Identifizierung eines Benutzers, Computers oder Geräts benutzt. Ohne passendes Zertifikat wird kein Zugriff auf Geräte, Netzwerke, VPN oder Anwendungen (auch auf Partnersystemen) gewährt. Die zertifikatbasierte Authentifizierung kann dabei für alle Endpunkte genutzt werden, egal ob für Personen, Computer oder IoT-Geräte.

• Maschinenkommunikation (M2M-Kommunikation)
  Wenn sich Geräte miteinander verständigen sollen, müssen sie mit entsprechenden Maschinenzertifikaten ausgerüstet sein. Sie versehen jede Maschine mit einer eindeutigen Identität. Mit dieser kann sie sich gegenüber anderen Maschinen- oder Personenidentitäten und Systemen im Netzwerk ausweisen.
  So wird sichergestellt, dass nur autorisierte Geräte auf bestimmte Daten zugreifen können. Gleichzeitig wird die Kommunikation zwischen den Geräten geschützt.

Wozu Zertifikatsverwaltung?

Digitale Zertifikate beinhalten immer den Namen und den öffentlichen Schlüssel des Inhabers. So ist dessen eindeutige Identifizierung möglich. Zertifikate sind also ein wesentlicher Baustein für das Vertrauen im Internet. Da sie aber nur eine begrenzte Gültigkeit haben, müssen sie genau überwacht werden.
Je mehr Zertifikate in einem Netzwerk vorhanden sind, desto schwieriger wird deren manuelle Überwachung.
Durch die in den Zertifikaten verankerten Schlüssel sind Identitäten festgelegt. Darüber können auch Berechtigungen und der Zugriff auf sensible Daten gesteuert werden. Eine sorgfältige Zertifikatsverwaltung ist also auch wichtig, um zertifikatsabhängige Berechtigungen im Blick zu haben und bei Bedarf ändern zu können.

In großen Unternehmen sind oft mehrere tausend Zertifikate im Einsatz. Sie alle müssen im Blick behalten und rechtzeitig erneuert werden. Besonders Unternehmen Kritischer Infrastrukturen (KRITIS) müssen sich deshalb auf zuverlässige Tools verlassen. So ein Tool kann dabei helfen, Fehler im gesamten Zertifikats- Lebenszyklus zu minimieren.

Mögliche Fehlerquellen und Risikofaktoren

Falsch konfiguriertes Zertifikat
Bei der Beantragung eines Zertifikats müssen ausreichende Schlüssellängen, interne Compliance-Vorgaben und Anforderungen seitens der CA berücksichtigt werden. Werden letztere nicht beachtet, kann der Antrag von der CA zurückgewiesen werden. Durch den nötigen Neuantrag kann es zu Verzögerungen kommen.

Falsch / nicht installiertes Zertifikat
Nicht immer werden Zertifikate sauber auf die Zielgeräte verteilt. Es kann durchaus vorkommen, dass ein Zertifikat zwar beantragt, aber nicht oder auf dem falschen Gerät installiert wurde.

Fehlerhaft beantragtes Zertifikat
Besonders, wenn Zertifikate nicht automatisiert nach festgelegten Vorgaben beantragt werden, können Fehler bei der Beantragung passieren. Bei über Zertifikate gesteuerter Berechtigung können Usern zu umfassende oder zu stark eingeschränkte Rechte zugewiesen werden.

Unentdeckte Zertifikate im Netzwerk
Manche Geräte oder Anwendungen bringen unbemerkt eigene Zertifikate mit ins Netzwerk. Man merkt erst, dass sie abgelaufen sind, wenn das Gerät oder die Anwendung nicht mehr funktioniert. Oft muss dann aber die Fehlerursache erst gesucht werden.

In allen oben genannten Fällen kann unter Umständen keine Kommunikation mehr aufgebaut werden. Prozesse kommen zum Erliegen. Dies kann zu finanziellen Einbußen und Reputationsverlust führen. Deshalb ist das Zertifikatsmanagement eine unbedingt notwendige Aufgabe.

Vorteile von Zertifikatsmanagement-Tools

Keine Systemausfälle wegen abgelaufener Zertifikate
Der wohl wichtigste Vorteil ist, dass Zertifikatsmanagement-Tools unbemerkt abgelaufene Zertifikate und dadurch Systemausfälle verhindern.

Zeitersparnis
Automatisierte Tools übernehmen viele Arbeitsschritte des Zertifikats-Managements. Sie entlasten dadurch IT-Sicherheits-Administratoren. Ihre Arbeitszeit wird für anderen Aufgaben frei.

Zentralisierung
Zertifikatsverwaltung zentral von einem Punkt aus erleichtert die Abläufe.

Standardisierung
Klar definierte Antragsprozesse und standardisierte Benutzerprofile (Rollen) minimieren Fehlerquellen und damit das Risiko falsch beantragter Zertifikate.

Reporting
Managementreports bieten einen konzentrierten Überblick über den Zertifikatsbestand. Manche Tools bieten auch spezielle Compliance-Reports für den Auditfall.

Altering
Einige Tools warnen vor dem Ablauf von Zertifikaten und erinnern so an die rechtzeitige Neubeantragung und Installation.

Höhere Sicherheit
Festgelegte Antragsprozesse und Berechtigungen, Compliance-Vorgaben und Installations-Routinen minimieren Fehlerquellen. Das sorgt für ein sicheres Netzwerk.

Was sollte man bei der Auswahl eines ZM-Tools beachten?

Entscheidet man sich für ein toolgestütztes Zertifikatsmanagement, sollte man bei der Auswahl auf folgende Punkte achten:

Wie geht man bei der Suche nach dem richtigen Tool vor?

Noch bevor man sich auf die Suche nach möglichen Zertifikatsmanagementtools macht, sollte man eine Bedarfs- und Anforderungsanalyse durchführen. Um später den möglicherweise aufwendigen Umstieg auf ein größeres Tool zu vermeiden, sollte man sich die Zeit nehmen, Muss- und Kann-Kriterien sorgfältig zu definieren. Einige Beispiele sind:

• Welche Use Cases gibt es im Unternehmen?
• Welche müssen unbedingt abgedeckt werden?
• Welche können mit bereits vorhandenen Tools automatisiert werden (z.B. Microsoft PKI / MS PKI)?
• Wie viele User müssen auf das Tool zugreifen? Nur 5 Admins oder 30.000 Enduser?
• Welche branchenabhängigen Anforderungen an Betrieb und Zugriffsmöglichkeiten gibt es?
• Müssen bestimmte Compliance-Anforderungen beachtet werden?
• Wie stark ist die Anzahl der benötigten Zertifikate in der Vergangenheit angewachsen? Auf dieser Basis sollte die wahrscheinlich zukünftig benötigte Anzahl geschätzt werden.

Wir haben eine umfassende Liste mit Auswahlkriterien für Sie zum kostenlosen Download bereitgestellt.

Für wen eignen sich kostenlose Tools?

Für Privatanwender und Unternehmen, die nur eine handvoll Zertifikate verwalten müssen, ist oft eine “manuelle Überwachung” mit Kalkulationstabellen und Kalendereinträgen ausreichend. In der Tabelle werden die Rahmendaten wie ausstellende CA, Einsatzstelle und geforderte Ausprägungen festgehalten. Ein Termineintrag im Kalender erinnert an die rechtzeitige Erneuerung.

Mit steigender Komplexität des Netzwerks steigen auch die Anforderungen an das Zertifikatsmanagement. Besonders im Open-Source-Bereich gibt es eine Anzahl kostenloser Tools, die etwas mehr Komfort bieten, als Tabelle und Kalender.

Zertifikatsmanagement mit Tabelle und Kalender

Nachteile kostenloser Tools

Kostenlose Tools sind also für sehr komplexe Infrastrukturen weniger geeignet. Die Entscheidung hängt zum einen von der Komplexität der Use Cases und der Zertifikatsmenge ab. In einem geschlossenen Rahmen funktioniert eine MS PKI und man benötigt kein großes Tool.
Zum anderen erfordern sie entsprechendes Vorwissen oder Einarbeitung in das Thema. Ist beides nicht vorhanden, sollten man entsprechende Unterhaltskosten berücksichtigen.

Zertifikatsmanagement mit Open Source Tools oder kostenlosen Basistools

Wer benötigt ein professionelles Tool?

Unternehmen, die eine große Menge an Zertifikaten einsetzen, brauchen ein professionelles Zertifikatsmanagement-Tool zum Mengen- und Massenhandling. Dabei geht es nicht nur um die Menge an Zertifikaten, sondern auch darum, wie viele User, Umsysteme und Zieldevices versorgt werden müssen. Außerdem sollte man sich folgende und (abhängig vom jeweiligen Unternehmen) noch weitere Fragen stellen:

Droht bei abgelaufenen Zertifikaten der Ausfall kritischer Prozesse?
Wenn durch ein abgelaufenes oder fehlerhaftes Zertifikat kritische Unternehmensprozesse oder die Produktion betroffen sind, muss eine lückenlose Überwachung erfolgen können.

Wie hoch ist das Schutzniveau / Compliance
Wie interessant sind die Unternehmensdaten oder auch im Unternehmen befindliche Kundendaten für potenzielle Angreifer? Je höher das Schutzniveau, desto strengere Krypto-Richtlinien sollten festgelegt werden können.

Welche Risiken stellt ein Prozess-Ausfall dar?
Bedeutet ein Prozess-Ausfall möglicherweise, dass wichtige Anwendungen nicht zur Verfügung gestellt werden können (Börsenhandels-Plattformen, Geldautomaten, Stromversorgung, …)

Wie wird sichergestellt, dass die Anwendungen verfügbar sind?
Dass eine Infrastruktur sauber läuft, kann nur über ein Tool mit SLA garantiert werden. Diese Vereinbarung regelt unter anderem, in welchem Umfang und wie schnell Support zur Verfügung steht. Mit einem SLA können beide Seiten sich sicher sein, einen zuverlässigen Partner an der Seite zu haben.

Zertifikatsmanagement mit kostenpflichtigen Tools

Warum sind professionelle Tools kostenpflichtig?

In professionellen Zertifikatsmanagement-Tools steckt hoher Entwicklungsaufwand und viel Know-How. Da sie genau auf das jeweilige Unternehmen abgestimmt werden müssen, erhalten Sie umfangreichen Support bei der Einführung. Und weil sie kryptographisches Material verwalten, müssen sie immer auf dem neuesten Sicherheitsstand sein. Dazu werden regelmäßig Releases entwickelt.
Aus diesen Gründen werden neben den Lizenzgebühren für die Software auch Setup- und andere laufende Kosten fällig.
Trotzdem lohnt sich die Abwägung, ein solches Tool selbst zu entwickeln oder auf eine vorgefertigte Anwendung zurückzugreifen, die mit Add Ons genau auf die eigenen Anforderungen angepasst werden kann.

Was spricht für Zertifikatsmanagement mit xc

Zusätzlich zu den oben genannten Vorteilen bietet xc folgende Benefits:

Noch mehr Sicherheit erreichen Sie durch optionale Zusatzmodule wie essendi cd (extended certificate scan). Das Tool findet auch unbemerkt ins Netzwerk gelangte Zertifikate. Diese bezieht sie in die Verwaltung und das Alerting mit ein.
Interesse geweckt? Kontaktieren Sie uns!