Projektinterview: Ohne digitale Zertifikate kein Vertrauen

Jona Hermens absolvierte ein Bachelor- und Masterstudium im Studiengang Computational Engineering Science. Im Anschluss an sein Studium begann er seine Tätigkeit als Berater bei ComConsult im Bereich IT-Sicherheit. Dort arbeitet er seit mehr als zwei Jahren sowohl an konzeptionellen als auch an technischen Themen, insbesondere im Bereich Network Access Control (NAC), und spezialisierte sich Rahmen seiner Projektarbeit auf den Einsatz von Zertifikaten und Public-Key-Infrastrukturen (PKI).

Was sind digitale Zertifikate und warum sind sie wichtig?

Zertifikate sind ein zentraler Bestandteil moderner IT-Sicherheit. Ich vergleiche sie immer gerne mit einem Ausweis: So wie sich eine Person mit ihrem Ausweis identifiziert, kann sich auch ein Gerät oder eine Person mithilfe eines digitalen Zertifikats eindeutig gegenüber einem Kommunikationspartner authentisieren.

Ein Zertifikat geht jedoch über eine reine Identifikation hinaus. Es ermöglicht nicht nur die eindeutige Authentisierung, sondern bildet auch die Grundlage für eine verschlüsselte Kommunikation und trägt damit wesentlich zur Vertraulichkeit von Daten bei. Darüber hinaus spielen Zertifikate eine wichtige Rolle bei der Sicherstellung der Integrität von Informationen. Durch digitale Signaturen kann nachgewiesen werden, dass Daten während der Übertragung nicht verändert oder manipuliert wurden.

Grundsätzlich können Zertifikate für unterschiedlichste Anwendungsfälle ausgestellt werden – beispielsweise für Geräte oder für Benutzer bei der E-Mail-Kommunikation. Entscheidend ist dabei, dass ein Zertifikat eindeutig einer bestimmten Identität und einem konkreten Einsatzzweck zugeordnet ist. Zwar ist es technisch möglich, ein Zertifikat für mehrere Szenarien oder Geräte zu verwenden, aus Sicherheitsgründen sollte dies jedoch vermieden werden.

Was beinhalten digitale Zertifikate und wie funktionieren sie?

Digitale Zertifikate enthalten eine Reihe von Informationen, die für eine sichere Authentisierung und verschlüsselte Kommunikation erforderlich sind. Ein wesentlicher Bestandteil ist dabei der öffentliche Schlüssel, der die Grundlage für kryptografische Verfahren bildet. Darüber hinaus enthalten Zertifikate Informationen zu den verwendeten Algorithmen und Signaturen, die es Kommunikationspartnern ermöglichen, eine sichere und verschlüsselte Verbindung zu berechnen und aufzubauen.

Zusätzlich sind Informationen zur Identität des Zertifikatsinhabers hinterlegt. Dazu gehören beispielsweise eindeutige Namen sowie – je nach Anwendungsfall – weitere Angaben wie der DNS-Name einer Website oder eine IP-Adresse. Weitere Informationen, etwa zur Organisation oder zum Standort, können ebenfalls Bestandteil eines Zertifikats sein, spielen jedoch häufig eine untergeordnete Rolle.

Ein besonders wichtiger Bestandteil sind die Schlüsselverwendungen, die sogenannten Key Usages. Sie definieren den zulässigen Verwendungszweck eines Zertifikats. Nicht jedes Zertifikat ist für jede Aufgabe geeignet. Während einige Zertifikate ausschließlich für die Authentisierung oder die Verschlüsselung von E-Mails vorgesehen sind, dürfen andere beispielsweise zur Ausstellung weiterer Zertifikate oder für bestimmte Authentisierungsverfahren verwendet werden. Diese Einschränkungen sind sicherheitsrelevant und müssen bei der Verwendung eines Zertifikats beachtet werden.

Werden Zertifikate außerhalb ihres vorgesehenen Einsatzzwecks verwendet oder fehlen erforderliche Eigenschaften, führt dies in der Regel zu Fehlern. Deshalb ist es entscheidend, bereits bei der Ausstellung festzulegen, für welchen Anwendungsfall ein Zertifikat vorgesehen ist und welche Berechtigungen es besitzen soll.

Ist der Gültigkeitszeitraum eines digitalen Zertifikats ein wichtiger Aspekt?

Auf jeden Fall. Ein Zertifikat ist immer nur für einen festgelegten Zeitraum gültig und muss anschließend rechtzeitig erneuert werden. In der Praxis besteht häufig die Sorge, dass nach Ablauf der Gültigkeit bestehende Systeme oder Kommunikationsverbindungen plötzlich nicht mehr funktionieren. Insbesondere bei langfristig betriebenen Systemen wird die Zertifikatserneuerung daher oft als Herausforderung wahrgenommen.

Jedes System verarbeitet Zertifikate unterschiedlich und benötigt daher individuelle Verfahren, um neue Zertifikate sicher und zuverlässig zu beziehen. Gleichzeitig muss sichergestellt werden, dass nur berechtigte Geräte ein Zertifikat erhalten, da andernfalls die Vertrauenswürdigkeit der gesamten Infrastruktur gefährdet wäre.

Für diese Prozesse existieren etablierte Protokolle und Verfahren, die eine automatisierte Ausstellung und Erneuerung von Zertifikaten ermöglichen. Entscheidend ist jedoch, dass diese korrekt implementiert, getestet und auf den jeweiligen Anwendungsfall abgestimmt werden. Gerade in Bereichen wie Smart Buildings oder industriellen Netzwerken werden derzeit verstärkt Lösungen entwickelt, um die automatisierte Zertifikatsverteilung auch für spezialisierte Systeme zu ermöglichen. In klassischen IT-Umgebungen, beispielsweise bei der Verwaltung von Laptops oder Arbeitsplatzrechnern, sind solche Prozesse hingegen bereits weitgehend etabliert und funktionieren in der Regel zuverlässig.

Welche Rolle spielen Zertifizierungsstellen?

Zu den wesentlichen Informationen eines digitalen Zertifikats gehören die Angaben zur ausstellenden Zertifizierungsstelle, der sogenannten Certificate Authority (CA). Jedes Zertifikat wird von einer solchen Zertifizierungsstelle ausgestellt und enthält Informationen darüber, von welcher CA es stammt. Diese Angabe ist entscheidend, da sie die Grundlage für das Vertrauen in ein Zertifikat bildet.

Damit ein Gerät oder ein System ein Zertifikat akzeptiert, muss es zunächst der ausstellenden Zertifizierungsstelle vertrauen. Dieses Vertrauen wird im Vorfeld hergestellt, indem die entsprechende CA als vertrauenswürdig hinterlegt wird. Erst dann werden auch die von dieser CA ausgestellten Zertifikate als gültig anerkannt.

Das Vertrauensmodell basiert dabei auf einer Zertifikatskette. Auch eine Zertifizierungsstelle besitzt ein eigenes Zertifikat, das wiederum von einer übergeordneten Zertifizierungsstelle signiert wurde. Diese Hierarchie setzt sich fort, bis schließlich die sogenannte Root CA erreicht wird, welche den Ursprung der gesamten Vertrauenskette bildet. Ihr Zertifikat ist selbstsigniert, das heißt, sie signiert ihr eigenes Zertifikat. Dieses Konzept mag zunächst ungewöhnlich erscheinen, ist jedoch notwendig, da jede Vertrauenskette einen eindeutigen Ausgangspunkt benötigt.

Welche Schritte sind jetzt notwendig, bevor ein digitales Zertifikat verwendet werden kann?

Eine generelle Bemerkung vorab: In Zusammenhang mit Zertifikaten werden die Begriffe Public Key Infrastructure (PKI) und Certificate Authority (CA) häufig synonym verwendet, obwohl sie unterschiedliche Bedeutungen haben. Die PKI bezeichnet die gesamte Infrastruktur zur Verwaltung digitaler Zertifikate. Dazu gehören unter anderem Zertifizierungsstellen (CAs), Registrierungsstellen (Registration Authorities, RAs), Richtlinien sowie die Prozesse für Ausstellung, Erneuerung und Sperrung von Zertifikaten. Da die CA die zentrale Komponente einer PKI ist und Zertifikate tatsächlich ausstellt, wird im Alltag häufig verkürzt nur von der „CA“ gesprochen.

Grundsätzlich ist zwischen öffentlichen und internen Zertifizierungsstellen zu unterscheiden.

Öffentliche CAs kommen vor allem bei öffentlich erreichbaren Anwendungen wie Websites zum Einsatz. Moderne Webbrowser vertrauen einer definierten Anzahl an öffentlichen Zertifizierungsstellen bereits standardmäßig. Diese vertrauenswürdigen CAs sind in den Browsern hinterlegt, sodass Zertifikate, die von ihnen ausgestellt wurden, automatisch akzeptiert werden. Möchte ich beispielsweise ein Zertifikat für eine Website erhalten, beantrage ich dieses bei einer öffentlichen CA. Vor der Ausstellung überprüft die Zertifizierungsstelle anhand definierter Validierungsverfahren, ob ich tatsächlich berechtigt bin, das Zertifikat für die entsprechende Domain zu erhalten. Nach erfolgreicher Prüfung wird das Zertifikat ausgestellt und kann auf dem Webserver installiert werden.

Für unternehmensinterne Systeme wird hingegen häufig eine eigene PKI betrieben. In diesem Fall muss die Infrastruktur zunächst aufgebaut und konfiguriert werden. Hierfür stehen unterschiedliche Softwarelösungen zur Verfügung – von der in Windows-Servern integrierten Zertifizierungsstelle bis hin zu spezialisierten PKI-Produkten mit erweitertem Funktionsumfang. Zunächst wird die gewünschte PKI-Struktur festgelegt, beispielsweise mit einer Root CA als Vertrauensanker und einer oder mehreren untergeordneten Zertifizierungsstellen, die anschließend die eigentlichen Endnutzer- und Gerätezertifikate ausstellen.

Nach dem Aufbau der PKI können Zertifikate ausgestellt werden. Dazu wird zunächst ein Zertifikatsantrag, der sogenannte Certificate Signing Request (CSR) erstellt. Dieser enthält die Informationen, die für das Zertifikat benötigt werden, sowie den öffentlichen Schlüssel des Antragstellers. Der CSR wird an die Zertifizierungsstelle übermittelt und dort geprüft. Sind alle Voraussetzungen erfüllt, signiert die CA den Antrag und stellt das digitale Zertifikat aus. Anschließend kann das Zertifikat auf dem jeweiligen Gerät oder System installiert und entsprechend seines vorgesehenen Verwendungszwecks – beispielsweise zur Authentisierung, Verschlüsselung oder Signatur – eingesetzt werden.

Wie bist du im Rahmen eines Projekts zur Einführung von Network Access Control (NAC) zum Thema digitale Zertifikate gekommen?

Unser Kunde im NAC-Projekt ist ein Großunternehmen, das seine Netzwerkzugänge an den verschiedenen Standorten absichern möchte. Dabei werden die Switches so konfiguriert, dass nur ausgewählte Geräte Zugriff auf das interne Unternehmensnetzwerk erhalten.

Wir bereiten die Switches schrittweise für den Einsatz von NAC vor und sichern die einzelnen Switchports entsprechend ab, damit sich ausschließlich autorisierte Endgeräte mit dem Unternehmensnetzwerk verbinden können.

Für die Authentisierung innerhalb einer NAC-Umgebung stehen verschiedene Verfahren zur Verfügung. Neben Methoden wie der Authentisierung über beispielsweise Benutzername und Passwort gilt die zertifikatsbasierte Authentisierung als besonders sicher. In diesem Zusammenhang kommt häufig das Verfahren EAP-TLS zum Einsatz, bei dem sich Geräte mithilfe digitaler Zertifikate eindeutig gegenüber dem Netzwerk ausweisen.

Für mich rückte im Projekt die Frage in den Mittelpunkt, wie Endgeräte überhaupt erstmals ein Zertifikat erhalten. Während die spätere Erneuerung von Zertifikaten durch etablierte Prozesse in der Regel gut automatisiert werden kann, stellt die initiale Bereitstellung häufig die größere Herausforderung dar. Schließlich muss zunächst eine Vertrauensbasis geschaffen werden, damit ein Gerät überhaupt berechtigt ist, ein Zertifikat zu erhalten.

In dem Projekt liegt der Schwerpunkt aktuell noch auf der Einführung und dem Rollout der NAC-Infrastruktur. Die umfassende Ausstattung aller Endgeräte mit Zertifikaten steht noch bevor.

Wie bist du beim Troubleshooting digitaler Zertifikate im Labor vorgegangen?

Im Rahmen des neuen ComConsult-Seminars „Einsatz von Zertifikaten im Voice-over-IP-Umfeld“ habe ich bei uns im Hause eine eigene Laborumgebung aufgebaut, um den Einsatz und die Auswirkungen digitaler Zertifikate praktisch zu untersuchen. Dabei habe ich eine Telefonie-Umgebung mit einem Soft Client auf einem Laptop sowie einem physischen Telefon eingerichtet und beide Endgeräte mit Zertifikaten ausgestattet.

Die benötigten Zertifikate habe ich über meine interne Labor-PKI ausgestellt. Dabei konnte ich den gesamten Prozess nachvollziehen – von der Erstellung eines CSR über die Prüfung durch die Zertifizierungsstelle bis hin zur Installation der ausgestellten Zertifikate auf den Endgeräten.

Anschließend habe ich die Kommunikation mit Wireshark analysiert, um die Auswirkungen der Zertifikatsnutzung sichtbar zu machen. Bei der verschlüsselten Kommunikation konnte ich nachvollziehen, dass die übertragenen Daten geschützt waren und nicht eingesehen werden konnten. Ohne die Verwendung von Zertifikaten und einer entsprechenden Verschlüsselung war hingegen eine Analyse des Datenverkehrs möglich, und die Sprachübertragung konnte sogar mitgehört werden.

Der Test hat sehr deutlich gezeigt, welchen praktischen Nutzen Zertifikate haben und wie entscheidend sie für den Schutz vertraulicher Kommunikation sind.

Welche typischen Fehler treten beim Einsatz digitaler Zertifikate auf?

Neben der sicheren Erstbereitstellung und der automatisierten Erneuerung von Zertifikaten gibt es zahlreiche technische Details, die berücksichtigt werden müssen. Häufig entstehen Probleme durch Konfigurationsfehler oder inkompatible Einstellungen. Deshalb sind umfangreiche Tests vor einer Einführung besonders wichtig.

Typische Fehlerquellen sind beispielsweise nicht zueinander passende Protokoll- oder Softwareversionen, unterschiedliche Anforderungen an Verschlüsselungsalgorithmen oder falsch konfigurierte Key Usages. Ein Zertifikat kann nur für den vorgesehenen Einsatzzweck verwendet werden. Ein Zertifikat, das beispielsweise für die E-Mail-Verschlüsselung ausgestellt wurde, kann nicht für die Authentisierung eines Webservers eingesetzt werden.

Ein weiterer wichtiger Aspekt ist das Vertrauen in die ausstellende Zertifizierungsstelle. Insbesondere bei internen PKIs muss das Root- oder CA-Zertifikat zunächst auf den Endgeräten installiert werden, damit diese den ausgestellten Zertifikaten überhaupt vertrauen.

In der Praxis können auch unerwartete, gerätespezifische Probleme auftreten. Bei der Einführung von NAC im neuen Gebäude unseres Unternehmens kam es beispielsweise vor, dass ein Endgerät nach der Installation des CA-Zertifikats nicht mehr ordnungsgemäß funktionierte. Gemeinsam mit dem Hersteller stellte sich heraus, dass die Gültigkeitsdauer unseres CA-Zertifikats zu lang gewählt war und ein internes Speicherlimit des Geräts überschritt. Solche Besonderheiten lassen sich nicht vorhersagen und oft erst durch umfangreiche Tests identifizieren.

Gerade diese Erfahrungen zeigen, dass eine sorgfältige Planung und praxisnahe Erprobung entscheidend sind, um spätere Probleme im Produktivbetrieb zu vermeiden.

Wie gelingt ein erfolgreiches Zertifikatsmanagement im Unternehmen?

Ein erfolgreiches Zertifikatsmanagement beginnt mit einer Bestandsaufnahme. Zunächst sollte klar sein, an welchen Stellen im Unternehmen Zertifikate bereits eingesetzt werden oder künftig eingesetzt werden sollen. Anschließend lässt sich für jedes System dokumentieren, wie Zertifikate bereitgestellt, genutzt und erneuert werden.

Eine allgemeingültige Vorgehensweise gibt es dabei nicht. Die Anforderungen unterscheiden sich je nach Unternehmensgröße, IT-Landschaft und Anwendungsfällen. Deshalb empfiehlt es sich, schrittweise vorzugehen. Zunächst kann beispielsweise eine PKI aufgebaut werden. Anschließend lassen sich nach und nach einzelne Bereiche – etwa Endgeräte, E-Mail-Signaturen oder weitere Anwendungen – auf eine zertifikatsbasierte Authentisierung und Verschlüsselung umstellen.

Ebenso wichtig ist eine sorgfältige Dokumentation der gesamten Zertifikatsinfrastruktur. Moderne PKI-Lösungen bieten hierfür häufig Übersichten über ausgestellte Zertifikate, deren Gültigkeitszeiträume und den jeweiligen Einsatzzweck. Ergänzend können automatische Benachrichtigungen eingerichtet werden, die rechtzeitig vor dem Ablauf eines Zertifikats informieren oder – im Idealfall – die Erneuerung vollständig automatisieren.

Mit einer guten Planung, einer strukturierten Dokumentation und einem schrittweisen Vorgehen lässt sich eine Zertifikatsinfrastruktur langfristig zuverlässig und sicher betreiben.

Welches Fazit ziehst du zum Thema Einsatz digitaler Zertifikate?

Der erfolgreiche Einsatz digitaler Zertifikate erfordert weit mehr als die technische Einrichtung einer PKI. Entscheidend ist, sich frühzeitig mit dem Thema auseinanderzusetzen und aktiv alle beteiligten Bereiche in die Planung einzubeziehen. Gerade die enge Kommunikation und Zusammenarbeit zwischen den Verantwortlichen für die PKI und den Teams, die Endgeräte oder Anwendungen betreuen, ist aus meiner Sicht ein wesentlicher Erfolgsfaktor.

Ebenso wichtig ist es, bereits bei der Auswahl neuer Systeme oder im Rahmen von Ausschreibungen zu prüfen, ob Geräte den Einsatz digitaler Zertifikate überhaupt unterstützen. Fehlen entsprechende Funktionen zur Zertifikatsverwaltung, kann dies den späteren Einsatz erheblich erschweren oder sogar unmöglich machen.

Wer Zertifikate frühzeitig berücksichtigt, die notwendigen Prozesse sorgfältig plant und die Einführung schrittweise umsetzt, schafft die Grundlage für eine deutlich höhere Sicherheit. Der Aufwand zu Beginn ist zwar nicht zu unterschätzen, der Sicherheitsgewinn im späteren Betrieb ist aus meiner Sicht jedoch eindeutig.