Wenn es darum geht, das obere Management davon zu überzeugen, dass die Modernisierung der eigenen Public Key-Infrastruktur ein ‚must‘ und kein ‚nice to have‘ ist, tun sich PKI-Verantwortliche und CISOs nach wie vor schwer, die passenden Argumente zu finden. Schnell dominieren in den unternehmensinternen Diskussionen dann Punkte, die gegen eine Modernisierung – oder zumindest für deren Hinauszögerung – sprechen. Die Kosten etwa. Der Mangel an qualifiziertem Personal, das solch eine komplexe und langwierige Aufgabe übernehmen müsste. Und die Sorge um die Risiken hinsichtlich der Aufrechterhaltung der Betriebsfähigkeit der über die Jahre gereiften Strukturen. Viele fürchten unvorhersehbare Systemausfälle, sollte zu tiefgreifend und umfassend in die bewährte digitale Vertrauenskette eingegriffen werden.

Dabei gibt es durchaus gute Argumente, die Modernisierung der PKI nicht auf die lange Bank zu schieben, sie zügig in Angriff zu nehmen. Vor allem sechs Punkte sind es, die CISOS und PKI-Verantwortliche hier für sich ins Feld führen können:

1. Die Zahl der digitalen Identitäten wächst

Jeder Microservice, jedes IoT-Gerät und jede noch so kurzlebige Entität in der Cloud benötigt zur Authentifizierung eine eigene digitale Identität – und damit auch: ein Zertifikat. Die Zahl der in einem Unternehmen durchschnittlich im Einsatz befindlichen Zertifikate wächst, immer weiter, ungebremst, was ihre Überwachung und ihr Management zu einer immer umfangreicheren, einer immer komplexeren Angelegenheit macht. Das wiederum steigert das Risiko von Sicherheitslücken durch unkontrollierte oder abgelaufene Zertifikate. Eine kritische Masse ist hier vielerorts längst erreicht.

2. Die Fragmentierung der PKI-Landschaft schreitet voran

In immer mehr Unternehmen herrscht ein wachsender Flickenteppich unterschiedlichster PKI-Instanzen vor. Dies begünstigt das Aufkommen veralteter Kryptografie-Bibliotheken, undokumentierter Abhängigkeiten und veralteter Algorithmen, die in älteren Anwendungen verborgen liegen. Es entstehen blinde Flecken, Schwachstellen, die leicht von Angreifern missbraucht werden können.

3. Zunehmende Überforderung manuell operierender PKI-Teams

Viele Unternehmen verlassen sich, wenn es um ihre PKI geht, immer noch auf Tabellenkalkulationen, auf Skripte oder manuelle Anfrage- und Genehmigungsworkflows. Dabei hat die PKI-Landschaft vielerorts längst eine Größenordnung erreicht, die eine erfolgreiche manuelle Herangehensweise von Vornherein zum Scheitern verurteilt.

4. Wachsender regulatorischer Druck

Regierungen und Normungsgremien erwarten von Unternehmen, dass sie die erforderliche kryptografische Kontrolle nicht nur praktizieren, sondern auch nachweisen können. Eine komplexe Aufgabe, die ohne technische Unterstützung erhebliche Arbeitszeit in Anspruch nimmt. Wertvolle Arbeitszeit, die an anderer Stelle wesentlich produktiver zum Einsatz gebracht werden könnte.

5. Das Quantenzeitalter steht vor der Tür

Das anstehende Quantenzeitalter wird die Unternehmens-Kryptografie nachhaltig verändern. Schon heute sammeln Angreifer verschlüsselte Daten der von ihnen anvisierten Unternehmen. Sie warten darauf, dass ihnen die ersten leistungsfähigen Quantencomputer zur Verfügung stehen, mit denen sie ihre Beute dann entschlüsseln können. Unternehmen müssen hier vorbauen – mit der Umstellung auf quantenresistente Algorithmen.

6. Ausfall- und Lieferkettenrisiken nehmen zu

Schon ein einziges abgelaufenes Zertifikat kann heutzutage problemlos eine ganze kritische Infrastruktur lahmlegen. Leicht kann ein kompromittierter Signaturschlüssel eine ganze Software-Lieferkette beschädigen, können unbekannte kryptografische Abhängigkeiten die Produktion während eines Audits oder Upgrades zum Erliegen bringen. Hiergegen gilt es sich zu wappnen – mit einem wirklich umfassenden, agilen PKI-Management.

Die Auflistung zeigt: es gibt durchaus einige gute Gründe für Unternehmen, die eigene PKI zu modernisieren. Andernfalls laufen sie leicht Gefahr – gänzlich unnötig – nicht unerhebliche Risiken einzugehen. Etwa, dass ihre Systeme eines Tages offline gehen oder dass ihre Daten, von einem Tag auf den anderen, nicht mehr allein die ihren sind. Gänzlich unnötig, denn: mit modernen automatischen PKI-Managementsystemen lässt sich die Modernisierung der Public Key-Infrastruktur von kleinen, mittleren und großen Unternehmen mittlerweile relativ schnell und unkompliziert realisieren. Und das auch ohne den umfangreichen manuellen Aufwand, den im oberen Management immer noch so viele fürchten.