Certificate Lifecycle Management bezeichnet die zentrale Steuerung digitaler Zertifikate \u00fcber ihren gesamten Lebenszyklus \u2013 von der Beantragung \u00fcber die Ausstellung und \u00dcberwachung bis zur Erneuerung oder zum Widerruf. Ziel ist, dass kein Zertifikat unbemerkt abl\u00e4uft und jederzeit klar ist, welches Zertifikat wo im Einsatz ist.<\/p>\n
Das Thema gewinnt an Gewicht, weil sich drei Entwicklungen gegenseitig verst\u00e4rken: Unternehmen setzen immer mehr Zertifikate ein, deren Laufzeiten werden immer k\u00fcrzer, und die Systeme, auf denen sie liegen, werden immer vielf\u00e4ltiger. Was sich fr\u00fcher mit einer Tabelle und einem Kalendereintrag verwalten lie\u00df, braucht heute einen strukturierten Prozess.<\/p>\n
<\/p>\n
Certificate Lifecycle Management, kurz CLM, bezeichnet die ganzheitliche Verwaltung digitaler Zertifikate von ihrer Entstehung bis zu ihrem Ende. Es verbindet drei Dinge: den \u00dcberblick dar\u00fcber, welche Zertifikate vorhanden sind, die \u00dcberwachung ihres Zustands und die Steuerung der Prozesse, mit denen sie beantragt, verteilt, erneuert und widerrufen werden.<\/p>\n
Die Abk\u00fcrzung CLM ist nicht eindeutig. Im Zusammenhang mit IT-Sicherheit steht sie f\u00fcr Certificate Lifecycle Management; in anderen Bereichen bezeichnet dieselbe Abk\u00fcrzung zum Beispiel Contract Lifecycle Management, also die Verwaltung von Vertr\u00e4gen. In diesem Beitrag ist ausschlie\u00dflich das Management digitaler Zertifikate gemeint.<\/p>\n
Certificate Lifecycle Management ist ein Teil der Public-Key-Infrastruktur<\/a> (PKI). Die PKI stellt die Grundlage bereit: Zertifizierungsstellen, die Zertifikate ausstellen, Schl\u00fcsselpaare, die die Identit\u00e4t eines Servers, einer Person oder eines Ger\u00e4ts absichern, und Verfahren, mit denen Zertifikate gepr\u00fcft und gesperrt werden. Certificate Lifecycle Management setzt darauf auf und sorgt daf\u00fcr, dass diese Zertifikate im Alltag zuverl\u00e4ssig verwaltet werden \u2013 f\u00fcr TLS\/SSL-Zertifikate ebenso wie f\u00fcr S\/MIME-, Code-Signing- oder Ger\u00e4tezertifikate.<\/p>\n Digitale Zertifikate stecken heute in nahezu allen Bereichen der IT. Sie sichern nicht nur Websites ab, sondern auch Schnittstellen zwischen Anwendungen, Cloud-Dienste, Microservices, IoT-Ger\u00e4te und automatisierte Abl\u00e4ufe in der Softwareentwicklung. Viele dieser Zertifikate geh\u00f6ren keinem Menschen, sondern Maschinen und Diensten. Mehr dazu lesen Sie im Beitrag \u00fcber Maschinenidentit\u00e4ten<\/a>.<\/p>\n Mit der Zahl der Zertifikate w\u00e4chst die Zahl der Stellen, an denen etwas schiefgehen kann. Hinzu kommt eine Entwicklung, die den Aufwand unabh\u00e4ngig von der Menge erh\u00f6ht: Die Laufzeiten \u00f6ffentlich vertrauensw\u00fcrdiger TLS-Zertifikate werden schrittweise verk\u00fcrzt. Das CA\/Browser Forum hat daf\u00fcr einen festen Fahrplan beschlossen:<\/p>\n Bei 47 Tagen Laufzeit muss jedes Zertifikat rund achtmal im Jahr erneuert werden. Was bei einer Handvoll Zertifikaten noch manuell zu bew\u00e4ltigen ist, wird bei Dutzenden oder Hunderten zur Daueraufgabe. Hintergr\u00fcnde zu den einzelnen Stichtagen finden Sie im Beitrag zur Laufzeit von SSL-Zertifikaten<\/a>.<\/p>\n <\/p>\n Fehlt ein geordneter Umgang mit Zertifikaten, zeigen sich die Folgen meist dort, wo sie am meisten st\u00f6ren:<\/p>\n Jedes Zertifikat durchl\u00e4uft von seiner Entstehung bis zu seinem Ende dieselben Phasen. Certificate Lifecycle Management begleitet es durch jede dieser Phasen und \u00fcbernimmt dabei jeweils bestimmte Aufgaben.<\/p>\n <\/p>\n Bevor sich Zertifikate steuern lassen, muss bekannt sein, welche es \u00fcberhaupt gibt. Die Bestandsaufnahme ist kein Teil des Lebenszyklus eines einzelnen Zertifikats, aber die Voraussetzung f\u00fcr alles Weitere. Sie zeigt, welche Zertifikate auf welchen Systemen liegen, wer sie ausgestellt hat und wann sie ablaufen.<\/p>\n Am Anfang steht ein Schl\u00fcsselpaar aus privatem und \u00f6ffentlichem Schl\u00fcssel. Aus dem \u00f6ffentlichen Schl\u00fcssel und den Angaben zum Inhaber entsteht ein Certificate Signing Request, kurz CSR, der an die Zertifizierungsstelle geht. Der private Schl\u00fcssel verl\u00e4sst dabei das eigene System nicht. Wie ein CSR erstellt wird, zeigt die Anleitung im Support: CSR erstellen<\/a>.<\/p>\n Die Zertifizierungsstelle pr\u00fcft die Angaben im Antrag. Wie gr\u00fcndlich diese Pr\u00fcfung ausf\u00e4llt, h\u00e4ngt vom Zertifikatstyp ab: Bei TLS-Zertifikaten reicht sie von der reinen Domainpr\u00fcfung bis zur ausf\u00fchrlichen Pr\u00fcfung des Unternehmens. Ist die Pr\u00fcfung abgeschlossen, stellt die Zertifizierungsstelle das Zertifikat aus.<\/p>\n Das ausgestellte Zertifikat wird auf dem Zielsystem eingebunden \u2013 auf einem Webserver, einem Load Balancer, einem Mailserver oder einem Ger\u00e4t. Dabei muss es korrekt konfiguriert und mit der richtigen Zertifikatskette verbunden werden, damit Browser und Anwendungen ihm vertrauen.<\/p>\n Solange ein Zertifikat im Einsatz ist, muss sein Zustand im Blick bleiben: wann es abl\u00e4uft, ob es noch richtig konfiguriert ist und ob es noch den aktuellen Sicherheitsanforderungen entspricht. Gleichzeitig muss die \u00dcbersicht \u00fcber den gesamten Bestand aktuell bleiben, denn neue Systeme bringen neue Zertifikate mit.<\/p>\n Vor Ablauf der Laufzeit wird ein Zertifikat erneuert und das neue Zertifikat bereitgestellt, ohne dass der Dienst unterbrochen wird. Bei kurzen Laufzeiten geschieht das sinnvollerweise automatisiert, zum Beispiel \u00fcber das ACME-Protokoll<\/a>. Wird ein Zertifikat nicht mehr ben\u00f6tigt oder ist sein privater Schl\u00fcssel kompromittiert, wird es widerrufen. Die Zertifizierungsstelle macht den Widerruf \u00f6ffentlich bekannt, sodass Browser und Anwendungen dem Zertifikat nicht mehr vertrauen.<\/p>\n Wer seine Zertifikate \u00fcber den gesamten Lebenszyklus steuert, gewinnt vor allem an Verl\u00e4sslichkeit:<\/p>\n In der Praxis werden beide Begriffe oft gleichbedeutend verwendet, und eine feste Abgrenzung gibt es nicht. H\u00e4ufig bezeichnet Zertifikatsmanagement allgemein den Umgang mit Zertifikaten, der auch einzelne oder manuelle T\u00e4tigkeiten umfassen kann \u2013 etwa das Beantragen eines Zertifikats f\u00fcr einen bestimmten Server. Certificate Lifecycle Management betrachtet dagegen bewusst den gesamten Lebenszyklus aller Zertifikate und macht ihn als durchg\u00e4ngigen Prozess steuerbar \u2013 vom ersten Antrag bis zum Ende jedes einzelnen Zertifikats.<\/p>\n Einen \u00dcberblick \u00fcber das Zertifikatsmanagement im weiteren Sinn finden Sie im Beitrag zu den Grundlagen des Zertifikatsmanagements<\/a>.<\/p>\n Dieser Beitrag erkl\u00e4rt, was Certificate Lifecycle Management ist und warum es gebraucht wird. Wie es im eigenen Unternehmen aussehen sollte, ist eine andere Frage: Sie h\u00e4ngt davon ab, welche Zertifikate im Einsatz sind, welche Infrastruktur bereits besteht und wie die Verantwortung im Betrieb verteilt ist.<\/p>\n Welche Fragen bei der Auswahl einer L\u00f6sung eine Rolle spielen und welche Ans\u00e4tze es gibt, zeigt unsere \u00dcbersicht zu L\u00f6sungen f\u00fcr Certificate Lifecycle Management. Wie sich Certificate Lifecycle Management organisatorisch und technisch einf\u00fchren l\u00e4sst, beschreiben die Best Practices f\u00fcr Certificate Lifecycle Management<\/a>.<\/p>\n Im Zusammenhang mit digitalen Zertifikaten steht CLM f\u00fcr Certificate Lifecycle Management, also die Verwaltung von Zertifikaten \u00fcber ihren gesamten Lebenszyklus. Dieselbe Abk\u00fcrzung wird in anderen Bereichen auch f\u00fcr Contract Lifecycle Management verwendet, die Verwaltung von Vertr\u00e4gen.<\/p>\n K\u00fcrzere Laufzeiten begrenzen den Zeitraum, in dem ein kompromittiertes oder fehlerhaft ausgestelltes Zertifikat missbraucht werden kann. Au\u00dferdem sorgen sie daf\u00fcr, dass neue Sicherheitsanforderungen schneller in allen Zertifikaten ankommen. F\u00fcr \u00f6ffentlich vertrauensw\u00fcrdige TLS-Zertifikate sinkt die H\u00f6chstlaufzeit bis M\u00e4rz 2029 schrittweise auf 47 Tage.<\/p>\n Eine Erneuerung ersetzt ein Zertifikat, dessen Laufzeit planm\u00e4\u00dfig endet, durch ein neues. Ein Widerruf beendet die G\u00fcltigkeit eines Zertifikats vorzeitig, etwa weil sein privater Schl\u00fcssel kompromittiert ist oder das System, f\u00fcr das es ausgestellt wurde, nicht mehr existiert. Die Zertifizierungsstelle macht einen Widerruf \u00f6ffentlich bekannt, damit Browser und Anwendungen dem Zertifikat nicht mehr vertrauen.<\/p>\n Certificate Lifecycle Management sorgt daf\u00fcr, dass digitale Zertifikate \u00fcber ihren gesamten Lebenszyklus hinweg bekannt, \u00fcberwacht und rechtzeitig erneuert sind. Mit steigenden Zertifikatszahlen und Laufzeiten, die bis 2029 auf 47 Tage sinken, wird dieser strukturierte Umgang von einer guten Praxis zur Notwendigkeit. Wer seine Zertifikatslandschaft kennt und ihre Abl\u00e4ufe im Griff hat, vermeidet Ausf\u00e4lle, schlie\u00dft Sicherheitsl\u00fccken und kann seine Prozesse jederzeit belegen.<\/p>\n Welcher Ansatz zur eigenen Ausgangslage passt, l\u00e4sst sich mit unserer \u00dcbersicht zu Certificate Lifecycle Management einordnen.<\/p>\nWarum Certificate Lifecycle Management immer wichtiger wird<\/h2>\n
\n
Risiken ohne strukturiertes Certificate Lifecycle Management<\/h3>\n
\n
Der Zertifikatslebenszyklus: Phasen und Aufgaben im \u00dcberblick<\/h2>\n
Vorab: Zertifikate erfassen<\/h3>\n
1. Beantragung<\/h3>\n
2. Validierung und Ausstellung<\/h3>\n
3. Installation und Bereitstellung<\/h3>\n
4. \u00dcberwachung<\/h3>\n
5. Erneuerung oder Widerruf<\/h3>\n
Welche Vorteile Certificate Lifecycle Management bietet<\/h2>\n
\n
Certificate Lifecycle Management und Zertifikatsmanagement: der Unterschied<\/h2>\n
Von den Grundlagen zur Umsetzung<\/h2>\n
H\u00e4ufige Fragen zu Certificate Lifecycle Management<\/h2>\n
Wof\u00fcr steht die Abk\u00fcrzung CLM bei Zertifikaten?<\/h3>\n
Warum werden Zertifikatslaufzeiten immer k\u00fcrzer?<\/h3>\n
Was ist der Unterschied zwischen Erneuerung und Widerruf?<\/h3>\n
Fazit<\/h2>\n