Digitale Zertifikate sind die unsichtbare Grundversorgung moderner Infrastrukturen. Sie authentifizieren, verschlüsseln, schaffen Vertrauen – und werden erst dann sichtbar, wenn eines abläuft und ein kritischer Service stillsteht. In Kundengesprächen erlebe ich regelmäßig denselben Moment: „Wir hatten letzten Monat einen einstündigen Ausfall – wegen eines abgelaufenen TLS-Zertifikats. Wie konnte das passieren?“
Die Antwort ist unbequem einfach: Weil Zertifikate bislang als technisches Detail galten, nicht als geschäftskritischer Asset mit klarem Lifecycle-Management.
Zwei Entwicklungen ändern das fundamental. Erstens macht DORA (Digital Operational Resilience Act) die lückenlose Nachweisbarkeit und Steuerung von Zertifikaten zur regulatorischen Pflicht – insbesondere für Finanzinstitute, aber mit Signalwirkung weit darüber hinaus. Zweitens vollzieht sich gerade die nächste drastische Verkürzung der Zertifikatslaufzeiten: 2020 wurde die maximale Gültigkeitsdauer auf 398 Tage reduziert. Die angekündigte Reduzierung auf 90 Tage bedeutet einen Anstieg der Erneuerungsfrequenz um bis zu 500 %. Perspektivisch werden sogar 47 Tage diskutiert. Ohne konsequente Automation ist diese Frequenz schlicht nicht mehr beherrschbar.
Für Vorstände, CIOs und CISOs ist am Ende nur eine Frage relevant: Können Sie jederzeit zeigen, wo welche Zertifikate verwendet werden, wer verantwortlich ist und dass nichts unbemerkt abläuft? Genau diese Transparenz und Prozesssicherheit verlangt DORA. Excel-Listen und Kalender-Reminder leisten das nicht mehr.
Das eigentliche Risiko: fehlende Sicht und manuelle Routinen
Die Realität in vielen Unternehmen: Zertifikate sind über hybride Infrastrukturen verteilt – On-Premises, Multi-Cloud, Container, IoT-Devices, APIs. Viele Zwischenfälle entstehen nicht durch hochkomplexe Cyberangriffe, sondern durch schlichte organisatorische Versäumnisse: ein Ablaufdatum, das niemand auf dem Radar hatte.
Typische Schwachstellen, die wir in Assessments sehen:
- Kein Gesamtüberblick: Verteilte Systeme bedeuten verteilte Zertifikate. Unbekannte Bestände sind der blinde Fleck – was Sie nicht kennen, können Sie nicht steuern.
- Manuelle Pflege: Kalender-Reminder und Tabellen skalieren nicht mit der Frequenz von Erneuerungen. Bei hunderten oder tausenden Zertifikaten sind Fehler vorprogrammiert, insbesondere wenn Laufzeiten auf 90 Tage sinken.
- Unklare Zuständigkeiten: Wer beantragt, genehmigt, erneuert, widerruft? Ohne klare Governance keine Audit-Readiness – und im Störfall unklare Verantwortung.
- Intransparente Krypto-Standards: Welche Algorithmen und Schlüssellängen sind im Einsatz? Wo laufen noch veraltete Krypto-Verfahren? Ohne systematisches Inventar keine fundierte Antwort.
Die Konsequenz ist betriebswirtschaftlich eindeutig: Ausfallrisiko, operative Hektik im Krisenfall, Reputationsschäden bei Kunden und Partnern. DORA verankert deshalb explizit die Anforderung an ein lückenloses, auditierbares Zertifikatsregister als Teil des IKT-Risikomanagements.
Was modernes Certificate Lifecycle Management leisten muss
Ihr C-Level braucht kein Protokoll-Jargon, sondern messbare Wirkung. Ein wirksames CLM umfasst fünf wesentliche Bausteine:
- Discovery und Inventar: Alle Zertifikate automatisch finden und in einem zentralen, stets aktuellen Register führen – über On-Premises-Systeme, Cloud-Plattformen, Container-Umgebungen und Netzwerkkomponenten hinweg. Das Register ist die Voraussetzung für jede weitere Steuerung.
- Policies und Compliance-Reporting: Krypto-Standards zentral durchsetzen (z. B. Mindest-Schlüssellängen, zugelassene Algorithmen), Änderungen lückenlos nachvollziehen und Audit-Reports auf Knopfdruck erzeugen. DORA-Prüfungen erwarten genau diese Nachweise.
- Lifecycle-Workflows: Vom Antrag über Genehmigung und Erneuerung bis zum Widerruf: klare, freigabefähige Prozesse mit dokumentierten Verantwortlichkeiten. Das schafft Governance und beschleunigt zugleich die Bereitstellung.
- Incident-Bereitschaft: Bei Sicherheitsvorfällen (z. B. kompromittierter Private Key, Heartbleed-ähnliche Schwachstellen) müssen Sie betroffene Zertifikate innerhalb von Stunden identifizieren und ersetzen können. Ohne zentrales Inventar und automatisierte Prozesse ist das nicht realistisch.
Unternehmen, die diese Bausteine konsequent umsetzen, berichten über lange Zeiträume ohne zertifikatsbedingte Störungen – das ist gelebte Operational Resilience im Sinne von DORA.
Fragen aus der Praxis – und was sich in der Umsetzung bewährt hat
„Wir haben doch nur wenige Zertifikate.“
Diese Einschätzung höre ich häufig – und sie stimmt oft bis zum ersten Discovery-Scan. Erfahrungsgemäß finden Unternehmen häufig mehr als doppelt so viele Zertifikate als ursprünglich angenommen, vor allem in Cloud-Umgebungen. Ein einziger Ablauf zur falschen Zeit genügt, um kritische Services lahmzulegen. Früh zu automatisieren bedeutet: Wachstum ohne proportional steigenden Verwaltungsaufwand.
„Das ist zu teuer und zu komplex.“
Lassen Sie uns die Perspektive drehen: Was kostet eine Stunde Ausfall eines geschäftskritischen Systems? Wie viel Admin-Zeit binden manuelle Erneuerungen jährlich? In unseren Projekten sehen wir regelmäßig nach wenigen Quartalen eine spürbare Entlastung und Verbesserung. Moderne CLM-Ansätze sind skalierbar: Starten Sie mit schlankem Monitoring für kritische Systeme und bauen Sie schrittweise aus. Der Einstieg ist überschaubar, die Wirkung messbar.
„Nur externe, öffentlich vertrauenswürdige Zertifikate sind relevant.“
Interne Zertifikate – für Authentifizierung, WLAN, interne APIs – sind in unserer Praxis sogar häufigere Auslöser für operative Störungen. Der Grund: Sie werden oft dezentral von Applikationsverantwortlichen erstellt und direkt produktiv genutzt, ohne dass die zentral Verantwortlichen für Zertifikatsverwaltung davon wissen. Ohne Monitoring und zentrales Inventar gibt es keinerlei Schutz vor Ausfällen. Ein holistischer Blick ist nicht nur regulatorische Pflicht, sondern schützt auch vor unterschätzten internen Risiken.
„Wir lösen das mit unserer bestehenden Tool-Landschaft.“
Das ist der richtige Ansatz – vorhandene Investments nutzen, wo immer möglich. Die entscheidenden Fragen: Erfassen Ihre Tools wirklich alle Zertifikate über alle Umgebungen hinweg – auch die dezentral erstellten? Und kritisch: Ermöglichen sie vollautomatisierte Erneuerungen inklusive Austausch in Netzwerkkomponenten wie Loadbalancern, Firewalls oder API-Gateways? Hier zeigen bestehende Tools häufig Grenzen. Ein Assessment zeigt konkret, wo Ihre Landschaft bereits stark ist und wo gezielte Ergänzungen den Unterschied machen.
Der pragmatische Weg: Umsetzung in überschaubaren Schritten
Aus unserer Erfahrung in CLM-Projekten hat sich ein gestaffeltes Vorgehen bewährt, das Transparenz und Quick Wins verbindet. Ein Zeitrahmen von rund 90 Tagen ist ambitioniert, aber mit klaren Prioritäten erreichbar:
Phase 1: Standortbestimmung und Zielbild
Kurzassessment mit Fokus auf aktuelle Risiken, DORA-Compliance-Lücken und operative Ziele. Ergebnis: priorisierte Maßnahmen, klarer Scope für den Einstieg und belastbare Entscheidungsgrundlage für Investitionen.
Phase 2: Transparenz schaffen
Zentrales Zertifikatsinventar aufsetzen und Monitoring für kritische Systeme aktivieren. Deliverable für das Management: „Wir haben erstmals den vollständigen Überblick – X Zertifikate identifiziert, Y laufen in den nächsten 60 Tagen ab."
Phase 3: Pilot automatisieren
Automatisierte Erneuerung und sicheren Rollout für einen definierten Service-Pool (z. B. 10–20 kritische Zertifikate) implementieren. Ergebnis messen: Downtime-Vermeidung, eingesparte Admin-Zeit, reduziertes Fehlerrisiko.
Phase 4: Skalieren und Governance verankern
Policies, Verantwortlichkeiten und Workflows formalisieren; interne Certificate Authorities (CAs) und Spezialfälle (z. B. Code-Signing, IoT) integrieren. Schulung der beteiligten Teams.
Phase 5: Fortschritt belegen und kontinuierliche Verbesserung (fortlaufend)
KPIs etablieren und regelmäßig im Management berichten:
- Prozentsatz inventarisierter Zertifikate (Ziel: 100%)
- Anteil automatisiert erneuerter Zertifikate
- Zero-Outage-Monate durch Zertifikatsprobleme
- Time-to-Replace bei Sicherheitsvorfällen
Diese Kennzahlen schaffen Steuerbarkeit und dokumentieren Resilienz-Fortschritte gegenüber Aufsicht und Stakeholdern.
Wie NTT DATA Sie unterstützt – mit Methode und Pragmatismus
Unser Ansatz folgt einem klaren Prinzip: erst Klarheit, dann Automation. Mit unserem CLM Assessment schaffen wir in kurzer Zeit Transparenz über Ihre Ausgangslage, entwickeln Entscheidungsgrundlagen und einen realistischen, schrittweise umsetzbaren Fahrplan – kompatibel mit Ihrer bestehenden Infrastruktur und Tool-Landschaft. Das Assessment umfasst:
- Inventarisierung kritischer Zertifikatsbestände und aktueller Prozesse
- Gap-Analyse mit priorisierten Handlungsfeldern
- Tool-Evaluation (vorhandene vs. ergänzende Lösungen)
- Roadmap mit Quick Wins und realistischem Zeitkorridor
Sie erhalten einen kompakten Maßnahmenkatalog mit klaren Empfehlungen – keine hundertseitigen Berichte, sondern handlungsfähige Entscheidungsvorlagen.
Was Sie jetzt konkret tun können
- Risiko sichtbar machen: Inventar-Snapshot und Gap-Analyse in zwei Wochen erstellen lassen. Welche Zertifikate laufen wo? Welche Nachweise fehlen für Compliance?
- Pilot definieren: 10–20 kritische Zertifikate identifizieren, auf automatisierte Erneuerung umstellen und Effekte messen: Zeitersparnis, vermiedene Ausfälle, reduzierte Eskalationen.
- Governance fixieren: Zuständigkeiten, Policies, Workflows und Audit-Reports formal verankern. Wer darf was beantragen? Welche Krypto-Standards gelten? Wie sehen Erneuerungs- und Widerrufsprozesse aus?
- Skalierung planen: Phasenplan und KPIs im Management beschließen – Quartal für Quartal ausrollen, Fortschritte messen, kontinuierlich verbessern.
IHR NÄCHSTER SCHRITT
Details zu Vorgehen, konkreten Ergebnissen und nächsten Schritten finden Sie im NTT DATA Factsheet „Certificate Lifecycle Management“ Laden Sie es jetzt herunter und planen Sie Ihren Einstieg in audit-fähiges, resilientes CLM mit NTT DATA.