Kurz erklärt
Eine PKI (Public Key Infrastructure) ist das Vertrauensfundament der digitalen Kommunikation. Sie stellt digitale Zertifikate aus, verwaltet und widerruft sie. Diese Zertifikate belegen, dass eine Webseite, ein Server, ein Gerät, eine Software oder eine Person tatsächlich die ist, für die sie sich ausgibt. Ohne PKI gäbe es keine verschlüsselten Verbindungen, keine vertrauenswürdigen E-Mails, keine geschützten Maschinenkommunikation und keine elektronischen Signaturen.
PKI as a Service (PKIaaS) bedeutet, dass ein spezialisierter Anbieter diese Infrastruktur für Sie betreibt: von der Ausstellung der Zertifikate über die sichere Aufbewahrung der kryptografischen Schlüssel bis zur Verfügbarkeit der Widerrufsdienste. Ihr Unternehmen nutzt die Zertifikate, ohne die komplexe Technik dahinter selbst aufbauen, absichern und dauerhaft betreiben zu müssen.
Die typischen Stolpersteine bei der eigenen PKI
Eine eigene PKI klingt zunächst nach maximaler Kontrolle. In der Praxis entstehen die Probleme selten beim Aufbau, sondern im laufenden Betrieb, über Jahre hinweg. Fünf Muster begegnen uns besonders häufig.
Die PKI wächst nebenbei. Oft startet sie als Projekt einer einzelnen IT-Abteilung, etwa für das interne WLAN oder die VPN-Anbindung. Später kommen Geräte, Anwendungen und Standorte hinzu, aber niemand überarbeitet die ursprüngliche Architektur. Aus einer pragmatischen Lösung wird ein kritisches System ohne klare Verantwortung.
Wissen hängt an einzelnen Personen. Wer die Root-CA ursprünglich aufgesetzt hat, ist häufig die einzige Person, die ihre Struktur wirklich versteht. Scheidet sie aus, fehlt dem Unternehmen Know-how, das sich nicht in einer Woche nachholen lässt.
Schlüssel werden nicht ausreichend geschützt. Der private Schlüssel einer Zertifizierungsstelle ist das wertvollste Gut der gesamten Infrastruktur. Liegt er auf einem normalen Server statt in einem zertifizierten Hardware-Sicherheitsmodul (HSM), und fehlen ein Vier-Augen-Prinzip und eine saubere Dokumentation, reicht ein einziger Vorfall, um das Vertrauen in alle ausgestellten Zertifikate zu erschüttern.
Ablaufdaten werden manuell überwacht. Tabellen, Kalendereinträge und gute Absichten sind kein Zertifikatsmanagement. Das wird zunehmend zum Problem, denn die Laufzeiten öffentlich vertrauenswürdiger TLS-Zertifikate werden schrittweise verkürzt: Seit März 2026 gilt ein Maximum von 200 Tagen, ab März 2027 sind es 100 Tage, ab März 2029 nur noch 47 Tage. Wer heute noch einmal jährlich von Hand erneuert, muss dann etwa alle sechs bis sieben Wochen erneuern, und zwar für jedes einzelne Zertifikat.
Es gibt keinen Plan für den Wechsel der Kryptografie. Verschlüsselungsverfahren altern. Mit Blick auf Quantencomputer arbeiten europäische Behörden bereits an Fahrplänen für die Migration auf neue, quantensichere Verfahren. Eine PKI, die sich nicht flexibel auf neue Algorithmen umstellen lässt, wird mittelfristig zum Risiko.
Was im Ernstfall wirklich zählt
Spannend wird eine PKI nicht an normalen Tagen, sondern wenn etwas schiefgeht: bei einem kompromittierten Schlüssel, einem Audit, einem Streitfall oder einer Meldung an die Aufsicht. Dann entscheiden drei Dimensionen darüber, ob Sie handlungsfähig bleiben.
Technisch zählt, wie schnell Sie reagieren können. Lassen sich betroffene Zertifikate sofort widerrufen? Sind die Widerrufsdienste hochverfügbar? Wissen Sie überhaupt, wo welche Zertifikate im Einsatz sind? Ohne vollständiges Inventar gleicht jede Krisenreaktion einer Suche im Dunkeln.
Organisatorisch zählt, ob Verantwortlichkeiten, Prozesse und Notfallpläne dokumentiert und eingeübt sind. Wer darf Zertifikate ausstellen? Wer genehmigt Ausnahmen? Wer informiert wen, wenn der Ernstfall eintritt? Gerade Geschäftsleitungen sollten diese Fragen beantworten können, denn sie tragen die Verantwortung für das Risikomanagement.
Rechtlich zählt vor allem die Nachweisbarkeit. Ob eine Signatur, ein Siegel oder eine Identitätsprüfung rechtswirksam ist, hängt nicht nur von der Technik ab, sondern davon, wie belastbar die dahinterliegenden Prozesse, Protokolle und Zertifizierungen sind. Die eIDAS-Verordnung knüpft für qualifizierte Vertrauensdienste die stärksten Rechtsfolgen an geprüfte, beaufsichtigte Anbieter. Eine selbstbetriebene Infrastruktur kann diese Rechtswirkung nicht einfach nachbauen.
Welche Mindestanforderungen heute gelten
Der Regulierungsdruck ist in den vergangenen Jahren deutlich gestiegen. Für die meisten Unternehmen lassen sich die Anforderungen an eine moderne PKI auf einige Kernpunkte verdichten.
Seit dem Inkrafttreten des deutschen NIS2-Umsetzungsgesetzes im Dezember 2025 gelten für rund 29.500 Unternehmen in Deutschland verbindliche Pflichten: Registrierung beim BSI, Meldung erheblicher Sicherheitsvorfälle sowie dokumentierte Risikomanagementmaßnahmen. Zu diesen Maßnahmen zählen ausdrücklich der Einsatz von Kryptografie und Verschlüsselung, Zugangskontrolle und Maßnahmen zur Lieferkettensicherheit. Wer eine PKI betreibt oder nutzt, muss also nachweisen können, dass sie angemessen geschützt, überwacht und gepflegt wird. Hinzu kommt die persönliche Verantwortung der Geschäftsleitung.
Darüber hinaus sollte eine zeitgemäße PKI mindestens diese Eigenschaften mitbringen:
- Geschützte Schlüssel in zertifizierten Hardware-Sicherheitsmodulen
- Nachvollziehbare Prozesse mit Rollentrennung, Protokollierung und regelmäßigen Audits
- Automatisierte Zertifikatslebenszyklen statt manueller Erneuerung
- Hochverfügbare Widerrufs- und Statusdienste
- Kryptografische Agilität, also die Fähigkeit, Algorithmen ohne Neuaufbau zu wechseln
- Orientierung an anerkannten Standards und Empfehlungen, etwa des BSI und der europäischen Normung
Wer diese Liste ehrlich mit der eigenen Infrastruktur abgleicht, stellt häufig fest: Technisch machbar ist vieles. Dauerhaft, redundant und auditfest zu leisten, ist es mit eigenen Ressourcen jedoch selten.
Wo qualifizierte Vertrauensdiensteanbieter konkret helfen
Hier liegt der eigentliche Vorteil von PKI as a Service, besonders wenn der Anbieter ein qualifizierter Vertrauensdiensteanbieter (QTSP) nach eIDAS ist. Solche Anbieter werden regelmäßig von unabhängigen Stellen geprüft und von nationalen Aufsichtsbehörden überwacht. Sie sind in der EU-Vertrauensliste verzeichnet und müssen strenge Anforderungen an Sicherheit, Personal, Prozesse und Haftung erfüllen. Im Alltag bedeutet das:
Betrieb und Sicherheit der Infrastruktur liegen bei Fachleuten, die sich ausschließlich damit beschäftigen, einschließlich Schlüsselverwaltung, Hochverfügbarkeit und Notfallprozessen.
Automatisierung über Schnittstellen und Standardprotokolle sorgt dafür, dass Zertifikate zuverlässig ausgestellt, erneuert und widerrufen werden, auch bei kürzeren Laufzeiten.
Vertrauen ist belegbar. Prüfberichte und Zertifizierungen lassen sich im Audit oder gegenüber Kundinnen und Kunden vorlegen, statt jede Anforderung selbst zu dokumentieren.
Eine Plattform für mehrere Anwendungsfälle. Dieselbe Vertrauensbasis kann Serverzertifikate, Geräte- und Maschinenidentitäten, Siegel für Dokumente und die Anbindung elektronischer Signaturen und Identitätsprüfungen abdecken.
Zukunftsfähigkeit wird mitgedacht. Anbieter, die in europäischen Vertrauensstrukturen verankert sind, beobachten regulatorische Entwicklungen wie eIDAS 2.0 und den Übergang zu quantensicheren Verfahren kontinuierlich und bereiten ihre Dienste darauf vor.
Das bedeutet nicht, dass Sie die Kontrolle abgeben. Sie behalten die Hoheit über Richtlinien, Freigaben und Einsatzszenarien, während der Betrieb der Infrastruktur dort liegt, wo die Spezialisierung ist.
Häufige Fragen zu PKI as a Service
Was ist der Unterschied zwischen PKI und PKIaaS?
Eine klassische PKI wird vom Unternehmen selbst aufgebaut und betrieben. Bei PKIaaS übernimmt ein Anbieter Betrieb, Absicherung und Verfügbarkeit der Infrastruktur, während das Unternehmen die Zertifikate nutzt und die Richtlinien steuert.
Für wen eignet sich PKI as a Service?
Für Unternehmen und Organisationen, die Zertifikate für Server, Geräte, Anwendungen oder Personen benötigen, aber keine eigene, dauerhaft abgesicherte Infrastruktur betreiben wollen. Das gilt besonders für Branchen mit hohen Nachweispflichten.
Was bringt ein qualifizierter Vertrauensdiensteanbieter als PKI-Partner?
Einen geprüften und beaufsichtigten Betrieb nach europäischen Standards, nachweisbare Sicherheitsprozesse und die Möglichkeit, Zertifikate, Signaturen, Siegel und Identitätsprüfungen auf einer gemeinsamen Vertrauensbasis zu nutzen.
Welche Rolle spielt NIS2 für die PKI?
NIS2 verpflichtet betroffene Unternehmen zu angemessenen Risikomanagementmaßnahmen, darunter der Einsatz von Kryptografie und Verschlüsselung. Eine sauber betriebene und dokumentierte PKI ist dafür eine zentrale Grundlage.
Warum werden Zertifikatslaufzeiten verkürzt?
Kürzere Laufzeiten begrenzen das Risiko kompromittierter Zertifikate und verringern die Abhängigkeit von Widerrufsmechanismen. Der Preis dafür ist ein höherer Erneuerungsaufwand, den sich ohne Automatisierung kaum bewältigen lässt.
Wann sich eine eigene PKI trotzdem lohnen kann
Fairerweise: Es gibt Konstellationen, in denen ein vollständiger Eigenbetrieb sinnvoll ist, etwa bei sehr speziellen Anforderungen, abgeschotteten Umgebungen oder wenn ein Unternehmen selbst Vertrauensdienste anbietet. Für die große Mehrheit der Unternehmen gilt jedoch: Der Betrieb einer PKI differenziert sie nicht im Markt. Er bindet Fachpersonal, erzeugt Risiken und kostet Aufmerksamkeit, die an anderer Stelle mehr bewirken würde.
Ihr nächster Schritt
Ob eigene PKI oder PKIaaS die richtige Wahl ist, hängt von Ihrer Ausgangslage ab. Hilfreich ist ein nüchterner Blick auf fünf Fragen:
- Wissen wir, wie viele Zertifikate wir einsetzen und wann sie ablaufen?
- Wer ist für Betrieb und Vertretung verantwortlich?
- Wo liegen unsere kritischen Schlüssel, und wie sind sie geschützt?
- Sind wir auf kürzere Laufzeiten und neue Kryptografie vorbereitet?
- Können wir unsere Maßnahmen gegenüber Aufsicht, Audit und Kundschaft belegen?
Wenn Sie bei einer oder mehreren Fragen zögern, lohnt sich ein Gespräch. In einem unverbindlichen Austausch mit unseren Expertinnen und Experten klären wir gemeinsam, wo Ihre PKI heute steht und welche Optionen zu Ihrer Organisation passen.
