PKI High-End Consulting
PKI High-End
Consulting
Post-Quantum
Warum eine PKI kein Nebenprojekt ist
Eine PKI fällt nicht auf – bis sie ausfällt. Dann meldet sich kein Benutzer mehr per Smartcard an, das WLAN lehnt alle Geräte ab, die Webserver zeigen Warnungen und die Software-Verteilung steht still. Und noch gefährlicher als der Ausfall ist die stille Kompromittierung: Fehlkonfigurierte Zertifikatsvorlagen sind heute einer der häufigsten Wege vom normalen Benutzerkonto zum Domain Admin – bekannt als ESC1 bis ESC16 und in fast jeder Umgebung zu finden, die vor 2021 gebaut wurde.
Andy Wendel beschäftigt sich seit den ersten Windows-Server-Zertifizierungsstellen mit Public-Key-Infrastrukturen. Er hat PKIs für Versicherungen, Industrie und öffentliche Auftraggeber entworfen, hat die eigene PKI-Trainingsreihe und die Masterclass PKI entwickelt, mit der er Administratoren in ganz Deutschland ausbildet, und wurde von Paula Januszkiewicz (CQURE) und Sami Laiho geschult – zwei der weltweit führenden Experten für Windows- und Identity-Security. Wer PKI lehrt, muss sie verstanden haben. Wer sie zusätzlich seit über 20 Jahren baut, kennt auch die Fehler, die in keinem Handbuch stehen.
Die richtige Wahl: Andy Wendel
Über 20 Jahre PKI-Praxis. Von den ersten Windows-Server-Zertifizierungsstellen bis zu Post-Quantum-Migrationspfaden – die gesamte Entwicklung aus erster Hand.
Ausbilder der Ausbilder. Entwickler einer eigenen PKI-Trainingsreihe und der Masterclass PKI; Microsoft Certified Trainer und einer von 56 Microsoft Certified Learning Consultants weltweit.
Ausgebildet von den Besten. Trainiert von Paula Januszkiewicz (CQURE) und Sami Laiho.
PKI und AD aus einer Hand. Zertifikatsinfrastruktur ist Tier 0. Wer beides beherrscht, baut keine PKI, die das Active Directory gefährdet – und umgekehrt.
Enterprise-Erfahrung. PKI-Projekte in [Versicherungswirtschaft, Industrie, öffentlichem Sektor, Hochschulen] – Referenzen auf Anfrage.
Geheimschutz-erfahren. Spezialisiert auf VS-NfD-Umgebungen; vertrauliche Zusammenarbeit über DRACOON.
Herstellerunabhängig. Keine Provision für HSMs, Zertifikate oder Lifecycle-Tools. Die Empfehlung richtet sich ausschließlich nach Ihrer Umgebung.
Persönlich. Sie sprechen mit dem, der plant und umsetzt – kein Vertrieb, keine Übergabe an ein Junior-Team.
„Eine PKI baut man einmal richtig – oder dreimal.“
PKI-Design und Neuaufbau (Greenfield)
Die Entscheidungen beim Aufbau einer PKI – Hierarchie, Schlüssellängen, Algorithmen, Gültigkeitsdauern, Schutz der Root-Schlüssel – wirken zehn bis zwanzig Jahre. Ein Fehler in der Root-CA lässt sich nicht patchen, sondern nur durch einen Neuaufbau beheben. Deshalb lohnt sich der Entwurf von jemandem, der die Konsequenzen aus hunderten Umgebungen kennt.
Design-Grundsätze
Zwei- oder dreistufige Hierarchie: Offline-Root-CA, ausstellende CAs, bei Bedarf Policy-CAs – so schlank wie möglich, so getrennt wie nötig.
Schlüsselschutz: Hardware Security Modules (HSM) für Root und ausstellende CAs, wo Compliance oder Geheimschutz es verlangen; klare Zeremonien für Schlüsselerzeugung und -erneuerung.
Kryptografie mit Zukunft: SHA-256 und Key Storage Provider als Mindeststandard, ECC wo sinnvoll, Crypto-Agility als Designziel – und ein Migrationspfad zu Post-Quantum-Verfahren (ML-KEM, ML-DSA nach FIPS 203/204/205), bevor er zur Pflicht wird.
Tier-0-Integration: Zertifizierungsstellen sind Tier-0-Systeme. Administrationspfade, Berechtigungen und Vorlagen werden nach dem Enterprise Access Model entworfen – nicht nachträglich abgedichtet.
Betreibbarkeit: Vorlagenkonzept, Namenskonventionen, Sperrlisten- und OCSP-Design, Benachrichtigungen vor Ablauf, Backup- und Wiederherstellungsverfahren, die Ihr Team ohne externe Hilfe beherrscht.
Leistungsumfang
- Anforderungsworkshop: Welche Anwendungsfälle braucht die PKI heute, welche in fünf Jahren?
- Architekturdokument inklusive Certificate Policy und Certification Practice Statement (CP/CPS) – auf Wunsch auditfähig.
- Aufbau der Umgebung mit gehärteten CA-Servern, HSM-Anbindung, Vorlagen, Auto-Enrollment, CRL/OCSP-Verteilung und Monitoring.
- Root-Schlüsselzeremonie mit Protokoll und Zeugen, wo erforderlich.
- Übergabe mit Betriebshandbuch und Enablement – auf Wunsch als individuelle Schulung Ihres Teams.
PKI-Migration und Erneuerung
Viele PKIs stammen aus der Zeit von Windows Server 2008 oder 2012: SHA-1, 1024-Bit-Schlüssel, Cryptographic Service Provider statt KSP, eine Root-CA, die „vorübergehend“ als Enterprise-CA online steht. Solche Umgebungen lassen sich nicht einfach aktualisieren – sie müssen kontrolliert abgelöst werden, ohne dass währenddessen ein einziges Zertifikat ungültig wird.
Typische Szenarien
CA-Migration auf aktuelle Windows-Server-Versionen: Übernahme von Datenbank, Schlüsseln und Vorlagen auf Windows Server 2022/2025 unter Beibehaltung der Vertrauenskette.
SHA-1-zu-SHA-256- und CSP-zu-KSP-Migration: Umstellung der Algorithmen und Provider mit Koexistenzphase, damit Altsysteme weiterlaufen und neue Systeme moderne Kryptografie nutzen.
Root- und Issuing-CA-Erneuerung: Erneuerung mit oder ohne neues Schlüsselpaar, Verteilung der neuen Vertrauensanker, saubere Ablösung der alten Kette.
Hierarchie-Neuaufbau mit Parallelbetrieb: Neue PKI neben der alten, schrittweise Umstellung aller Anwendungsfälle, kontrollierte Stilllegung.
PKI im Rahmen von AD-Migration oder Cloud-Exit: Zertifikatsinfrastruktur als Teil einer Forest-Migration, Fusion oder Rückholung aus der Cloud – abgestimmt mit dem AD-Design.
Neuaufbau nach Kompromittierung: Wenn einer CA nicht mehr vertraut werden kann, ist der Neuaufbau mit vollständiger Neuausstellung aller Zertifikate der einzige belastbare Weg. Wir planen ihn so, dass der Betrieb weiterläuft.
PKI-Security-Review und Härtung
Die meisten PKIs wurden gebaut, bevor bekannt war, wie leicht sich Zertifikatsvorlagen missbrauchen lassen. Ein Review deckt auf, was Angreifer als Erstes finden würden: Vorlagen mit frei wählbarem Antragstellernamen (ESC1), gefährliche Extended Key Usages (ESC2), Enrollment-Agent-Missbrauch (ESC3), zu großzügige Berechtigungen auf Vorlagen und CA (ESC4/ESC7), NTLM-Relay gegen Web-Enrollment (ESC8), fehlende Zertifikatsbindung (Certifried), veraltete Algorithmen, Online-Root-CAs und ungeschützte Schlüssel.
Werkzeuge und Vorgehen
PingCastle und Locksmith: Standardisierte Prüfung der AD-CS-Konfiguration mit den Werkzeugen, die auch Angreifer und Auditoren einsetzen – Andy Wendel nutzt PingCastle in jedem Projekt und hat dessen Weiterentwicklung als Ideengeber begleitet.
Manuelle Tiefenprüfung: Vorlagen, CA-Berechtigungen, Schlüsselschutz, Sperrlisten-Infrastruktur, Verfügbarkeit, Backup und Wiederherstellbarkeit – das, was kein Scanner sieht.
Priorisierte Maßnahmenliste: Sortiert nach realem Angriffsweg in Ihrer Umgebung, nicht nach Score. Auf Wunsch mit Umsetzung.
Nachweis: Ein Bericht, der auch gegenüber Wirtschaftsprüfern, ISO-27001-Auditoren, NIS-2- oder DORA-Prüfern und Cyber-Versicherern trägt.
Zertifikats-Lifecycle und Automatisierung
Ein abgelaufenes Zertifikat auf dem falschen System ist bis heute einer der häufigsten Gründe für ungeplante Ausfälle. Die Lösung ist nicht ein besserer Kalender, sondern Automatisierung: Auto-Enrollment über Gruppenrichtlinien für Domänenmitglieder, NDES/SCEP und Intune für mobile Geräte und Nicht-Windows-Systeme, ACME für Webserver, Certificate Connector für Entra ID und Cloud-Dienste. Wir entwerfen den Lifecycle so, dass Ausstellung, Erneuerung und Sperrung ohne manuelle Eingriffe funktionieren – und dass Sie trotzdem jederzeit wissen, welches Zertifikat wo läuft.
Geheimschutz, Compliance und Souveränität
In geheimhaltungsverpflichteten Umgebungen ist die PKI der Vertrauensanker für alles Weitere – und damit selbst Gegenstand des Geheimschutzes. Andy Wendel ist auf Projekte unter VS-NfD spezialisiert und baut Zertifikatsinfrastrukturen, die ohne externe Abhängigkeit funktionieren: kein Vertrauen in ausländische Cloud-CAs, Schlüssel in HSMs, Zeremonien mit Vier-Augen-Prinzip, Projektkommunikation über in Deutschland betriebene Plattformen wie DRACOON. Die Designs orientieren sich an BSI TR-02102 und den Anforderungen von ISO 27001, NIS 2 und DORA – dokumentiert so, dass Prüfer sie nachvollziehen können.
Anwendungsfälle, die wir umsetzen
Starke Authentifizierung: Smartcard-Logon, virtuelle Smartcards, Windows Hello for Business mit Zertifikaten, Certificate-Based Authentication für Entra ID – phishing-resistent und ohne Passwort.
Netzwerkzugang: 1X für LAN und WLAN mit Computer- und Benutzerzertifikaten, VPN-Authentifizierung, Always On VPN.
Verschlüsselung und Signatur: S/MIME, EFS, BitLocker-Wiederherstellung mit Schlüsselarchivierung, Dokumenten- und Code-Signierung mit HSM-geschützten Schlüsseln.
Infrastruktur: TLS für interne Webdienste, LDAPS, RDP, Domain Controller, Hyper-V-Livemigration, SQL Server, SCCM/ConfigMgr – alles über eine Vorlage, nicht über selbstsignierte Zertifikate.
Schlüsselarchivierung und -wiederherstellung: Damit verschlüsselte Daten auch dann noch lesbar sind, wenn der Mitarbeiter das Unternehmen verlassen hat.
So arbeiten wir
1 · Assessment. Bestandsaufnahme der vorhandenen PKI, aller Zertifikatsverbraucher und der Abhängigkeiten – technisch und organisatorisch.
2 · Design. Architekturdokument und CP/CPS, die Entscheidungen begründen. Verständlich für Entscheider, umsetzbar für Administratoren.
3 · Proof. Aufbau in einer Testumgebung, Durchspielen von Erneuerung, Sperrung, Wiederherstellung und Ausfall – bevor die produktive Root-CA existiert.
4 · Umsetzung. Aufbau oder Migration in klar abgegrenzten Schritten, mit Koexistenzphase und definierten Abnahmekriterien.
5 · Übergabe und Enablement. Betriebshandbuch, Notfallverfahren und Wissenstransfer – auf Wunsch als Masterclass PKI für Ihr Team. Ziel ist Unabhängigkeit.
Auf Augenhöhe, mit Respekt vor dem, was Ihr Team bereits aufgebaut hat – und mit der Klarheit, die Sie von einem externen Experten erwarten dürfen.
Lassen Sie uns über Ihre PKI sprechen.
In einem unverbindlichen Erstgespräch von 30 Minuten klären wir, wo Ihre Zertifikatsinfrastruktur steht, welche Risiken drängen und welche Optionen es gibt. Keine Verkaufspräsentation – ein Fachgespräch.
This post is also available in:
