Wächst heute, im 21. Jahrhundert, ein Unternehmen, nimmt in aller Regel nicht nur seine physische, sondern auch seine digitale Präsenz – und damit auch seine Public Key-Infrastruktur (PKI) –unweigerlich zu. Das Problem: viele Unternehmen betreiben das Management ihrer PKI immer noch allenfalls halbherzig, zögern Investitionen und Maßnahmen zur Professionalisierung ihres PKI-Managements immer wieder hinaus.

Oft gibt es kein eigenes PKI-Team, werden PKI-Aufgaben Mitarbeitern unterschiedlicher IT-Bereiche und -Abteilungen übertragen. Die Zuständigkeit für das Zertifikatsmanagement wird aufgesplittet, mitunter intern hin- und hergeschoben. Im Laufe der Zeit geht dann im Unternehmen der Überblick über die eigene PKI verloren, wird es Alltagspraxis, dass kompromittierte Zertifikate nicht widerrufen, dass auslaufende Zertifikate nicht erneuert und dass neue Zertifikate ohne Wissen der zuständigen Stelle eigenmächtig signiert werden. Ein weiterer Problemherd: in vielen Unternehmen wird beim PKI-Management nicht auf spezialisierte Tools, sondern auf manuelle Eintragungen in digitalen Tabellen und Kalendern gesetzt. Nicht wenige IT- und Sicherheitsteams verlassen sich zur Nachverfolgung und Verwaltung ihrer öffentlichen Schlüssel und Zertifikate auf Google Calendar, Excel-Tabellen, Snipe-IT, selbst erstellte PowerShell-Skripte, IT Glue oder sogar auf Helpdesk-Tickets. Ein Zustand, der Mitarbeiter in der Praxis dann häufig rasch an ihre Belastungsgrenze führt. Geht der empfohlene Zeitraum, für den ein Zertifikat gültig sein sollte, doch schon seit Jahren stetig zurück – während die durchschnittliche Zahl der in einem Unternehmen im Einsatz befindlichen Zertifikate kontinuierlich wächst. Ein idealer Nährboden für Fehler und Missmanagement.

Und dieses Missmanagement, es kann, tritt dann einmal ein Schadensfall ein, rasch erhebliche Kosten zur Folge haben:

• Direkte Kosten (unmittelbare und messbare Verluste): Wenn ein Schlüssel oder Zertifikat abläuft oder falsch konfiguriert ist, können wichtige Systeme, wie Websites, APIs, VPNs oder Authentifizierungsdienste, ausfallen. Interne Teams können den Zugriff auf Tools, Dateien oder Arbeitsabläufe, die mit abgelaufenen oder widerrufenen Schlüsseln verbunden sind, verlieren. Bis das Problem behoben ist, steht die Arbeit in den betroffenen Bereichen dann still. Zudem binden die Maßnahmen zur Behebung des Problems zahlreiche hochspezialisierte Mitarbeiter – oder erzeugen, sofern professionelle Dienstleister engagiert werden, erhebliche externe Kosten.
• Indirekte Kosten (Längerfristige Auswirkungen auf das Geschäft): Nicht verfolgte oder missbräuchlich verwendete Schlüssel verstoßen gegen zahlreiche Sicherheits- und Datenschutzvorschriften wie PCI-DSS, HIPAA oder GDPR. Bußgelder können die Folge sein. Außerdem können Kunden, Investoren und Partner schlecht verwaltete Schlüssel, abgelaufene Zertifikate und Ausfälle als Anzeichen einer schwachen Sicherheitshygiene interpretieren. Viel Vertrauen kann hier unnötig verspielt werden.
• Opportunitätskosten (entgangene strategische Vorteile): Die manuelle Handhabung von Zertifikaten ist eine der Hauptursachen für die schlechte Verwaltung öffentlicher Schlüssel. Sie verlangsamt CI/CD-Pipelines und Cloud-Einführungen. Ingenieure müssen ihre kostbare Zeit damit verschwenden, Zertifikate zu erneuern, Keystores ausfindig zu machen und PKI-Probleme zu debuggen – anstatt Code zu schreiben oder neue Funktionen zu entwickeln.

Um das Risiko PKI-bezogener Schadensfälle so gering wie möglich zu halten, hilft nur: Zentralisierung, Automatisierung und Agilisierung der gesamten PKI. Am einfachsten lässt sich dies über einen modernen PKI-Verwaltungsservice realisieren. Eine zentralisierte PKI ermöglicht eine rasche Reaktion bei Vorfällen und verringert das Risiko, dass nicht verfolgte Zertifizierungen oder nicht verwaltete Schlüssel in CI/CD-Pipelines gelangen. Eine Automatisierung der Ausstellung, Erneuerung und Sperrung von Zertifikaten spart menschliche Arbeitskräfte ein, reduziert das Risiko menschlicher Fehler bei repetitiven Aufgaben und hilft, konsistente Richtlinien durchzusetzen, schwache Konfigurationen zu eliminieren und die allgemeine kryptografische Hygiene in verschiedenen Umgebungen anzuheben. Und mit einer agilen PKI schließlich, lassen sich fundamentale Richtlinienänderungen hinsichtlich der Algorithmen (Stichwort PQC) schneller und unkomplizierter umsetzen.