Aufbau und Betrieb einer Unternehmens Public Key Infrastructure Managed PKI oder On Premise Strategie

Anbieter zum Thema

Dell GmbH

Fujitsu Technology Solutions GmbH

SEPPmail - Deutschland GmbH

Das PKI-Segment ist in vielen Unternehmen seit Jahren etabliert und dynamisches Wachstum wird weiterhin erwartet. Aufgrund wachsender und sich ständig ändernder Bedrohungslage stehen zukünftig mehr Unternehmen vor der Frage, ob sich dauerhaft der Betrieb einer eigenen „privaten“ PKI lohnt und worin sich private von öffentlichen Zertifikaten unterscheiden.

Die Public Key Infrastructure (PKI) ermöglicht als bewährtes Instrument die authentische und vertrauliche Kommunikation von Menschen und Maschinen. Sie stellt Zertifikate aus und repräsentiert den sicheren Vertrauensanker in Unternehmen oder Organisationen. Zertifikate werden für Virtual Private Networks (VPNs) genutzt, sichern Homeoffices ab. Die Replikation von Daten und Dateien zwischen Servern, ein Remote Backup oder die Remote Administration benötigen ebenfalls Schutz durch gesicherte Identitäten, das Internet der Dinge oder kritische Infrastrukturen setzen gleichermaßen auf digitale Zertifikate. Um all diese Systeme zu schützen darf kein Gerät Zugriff haben, solange es nicht durch ein zulässiges Zertifikat die Vertrauenswürdigkeit bewiesen hat.

Öffentliche und private Zertifikate

Private Zertifikate werden meist in internen Netzwerken verwendet und nicht von der Öffentlichkeit genutzt. Die Dienste richten sich somit an eine geschlossene, klar abgegrenzte Nutzergruppe. In diesem Fall reicht es aus, den Vertrauensanker im Unternehmen zu setzen und dort bekannt zu machen. Öffentliche Zertifikate hingegen stellt ein externer Dienstleister aus. Deren Gültigkeit ist jederzeit von Dritten überprüfbar. Bei der Verwendung von öffentlichen Zertifikaten kann die Zertifikatskette von Dritten bis zur Root CA (Certificate Authority) geprüft werden. Das CA Browser Forum gibt Mindestanforderungen für CAs heraus, deren Zertifikate von Webbrowsern als vertrauenswürdig eingestuft werden. Mitglieder des Browser-Forums sind rund 50 Zertifizierungsstellen sowie etwa 8 Browser-Hersteller. Das Zertifizieren einer eigenen (Sub-) CA von einer Public CA ist ein hoher technischer, organisatorischer und finanzieller Aufwand. Der Kreis der Anbieter öffentlicher Zertifikate bleibt folglich überschaubar. Je nach Anbieter, muss man mit unterschiedlichen Kosten für ein Zertifikat rechnen, das über eine Public CA bezogen wird. Zum Teil gibt es SSL-Zertifikate sogar kostenlos. Für Zertifikate höherer Sicherheitsstufen und je nach Prüftiefe der jeweiligen Antragsprozesse fallen deutlich höhere Kosten an. Dazu zählen die Domain-, Organisations- oder Extended Validierung. Öffentliche Zertifikate werden unter anderem zur Absicherung der Kommunikation im Internet mittels SSL/TLS oder auch der E-Mail auf Basis von S/MIME genutzt. Der Einsatz von öffentlichen und privaten Zertifikaten ist dabei keine Frage des Entweder-oder, dienen sie doch unterschiedlichen Zwecken.

Planung und Aufbau einer Unternehmens-PKI

Ist die Entscheidung für eine Unternehmens PKI gefallen, so offerieren die großen Cloud-Anbieter unterschiedliche Optionen. Befindet man sich bereits bei einem Anbieter, profitiert man von abgestimmten Services zur Erzeugung von Zertifikaten für die eigene Cloud-Infrastruktur und erhält dazu maßgeschneiderte Schnittstellen. Mehr Freiheiten und Gestaltungsmöglichkeiten bei der Integration von Zertifikaten in die Unternehmensprozesse bietet jedoch der Einsatz einer dezidierten Unternehmens PKI. Diese kann im eigenen Rechenzentrum („On-Premise“) betrieben oder als Service über spezialisierte Rechenzentrums-Dienstleister und Infrastrukturanbieter genutzt werden.

Die Einführung und der Betrieb einer On-Premise PKI ist dabei eine anspruchsvolle komplexe Aufgabe. Darauf setzen vor allem Unternehmen, die spezielle Sicherheitsanforderungen umsetzen wollen oder erfüllen müssen. Dazu zählen behördliche Auflagen, das Bestücken von IoT-Geräten mit Zertifikaten während der Produktion oder die Umsetzung umfangreicher Services wie im Health Care Bereich. Möglicherweise ist das Unternehmen auch einfach groß genug und verfügt sowohl über die Infrastruktur als auch das erforderliche Fach-Personal, so dass der Betrieb einer eigenen PKI angedacht werden kann. In allen anderen Fällen sollte der Blick jedoch gen Managed PKI gelenkt werden.

Anforderungen an ein Managed PKI Angebot

Eine moderne Managed PKI sollte von einem vertrauenswürdigen Anbieter stammen, exklusiv für den Nutzer eingerichtet werden können und die komplette Vertrauenskette von der Root-CA über die ausstellende Sub-CA abbilden. Jedes ausgestellte private Zertifikat stammt in diesem Fall vom Unternehmen selbst. Skalierbarkeit und der Schutz der Schlüssel nach Stand der Technik sind weitere Anforderungen. Idealerweise sollte man auch öffentliche Zertifikate über eine angebundene Public-CA beziehen können.

Eine benutzerfreundliche Bedienung sowie ein zeitgemäßes Certificate Lifecycle Management (CLM) sind weitere Auswahlkriterien. Denn Unternehmen werden sich zunehmend der Probleme bewusst, die abgelaufene Zertifikate hervorrufen. Ein CLM erleichtert die Einführung, Überwachung und den reibungslosen Betrieb der Zertifikatsprozesse erheblich. Teure Ausfallzeiten durch unbeabsichtigt abgelaufene Zertifikate werden verhindert und somit der Ausfall etwa von Produktionsanlagen oder die fehlende Erreichbarkeit von Homeoffices vermieden. Wenn es um die Überwachung und Verlängerung von vielen Zertifikaten geht, spielen Automatisierungsmöglichkeiten eine sehr wichtige Rolle. Hierfür sollten neben einer REST-Schnittstelle (Representational State Transfer) vor allem standardisierte Schnittstellen, wie ACME (Automatic Certificate Management Environment), EST, CMP (Certificate Management Protocol) genannt werden.

Dies steigert nicht nur die Qualität der Prozesse rund um die Zertifikate, sondern reduziert parallel den kostentreibenden manuellen Aufwand. Mit einem CLM herrscht volle Transparenz über den Status und Verbleib von Zertifikaten. Ein granulares Rechtemanagement, die Unterstützung des Vier-Augen Prinzips, sowie die einfache Verwaltung beliebiger Unternehmensbereiche mit individuellen Policies optimiert zudem die Umsetzung von Compliance Richtlinien im Unternehmen. Ein nicht zu unterschätzender Aspekt beim Betrieb einer PKI ist der persönliche Support und Beratungsbedarf, den Unternehmen in diesem Zusammenhang haben. Selbst bei einer Managed PKI sollte daher der direkte Zugriff auf PKI-Expertise im Blick behalten werden.

Zeit und Kostenaspekte bei der PKI-Planung

Eine private Managed PKI lässt sich mit deutlich geringerem Aufwand und Vorbereitungszeit umsetzen als die On-Premise Lösung. Die vertrauenswürdige Authentifizierung, Verifizierung, Integrität und Verschlüsselung für kritische und sensible Unternehmensprozesse und -anwendungen steht direkt bereit. Unternehmen können sich schneller auf die Absicherung ihrer Unternehmensprozesse konzentrieren und die aufgebaute PKI zügiger nutzen. Denn bei einer Managed PKI entfällt beim Anwender der Aufwand für sichere Konfiguration, Backupkonzepte und Ausfallsicherheit. Zugangskontrollen und Zugriffsrechte sind geregelt, die erforderliche Infrastruktur steht bereit und skaliert mit wachsenden Anforderungen. Darüber hinaus muss kein umfangreiches PKI- und IT Security Know-How oder das entsprechende Fachpersonal aufgebaut werden. Regelmäßige Software- und Security-Updates, sowie Anpassungen an stetig wachsende Krypto-Vorgaben übernimmt der Dienstleister. Der Umgang mit Hardware Security Modulen und das erforderliche Spezialwissen ebenso.

Die Gesamtkosten für eine On-Premise PKI sind wegen der Personal-, Infrastruktur- und Betriebskosten meist deutlich höher als die im Vergleich dazu geringeren Kosten für Softwarelizenzen. Selbst Open Source PKI-Lösungen leisten daher keinen wesentlichen Beitrag zur Reduktion der Gesamtkosten.

Das Szenario entscheidet

Ob On-Premise oder Managed PKI – beide haben ihre Existenzberechtigung. Für spezielle Anforderungen und je nach Szenario bleibt Unternehmen oder Betreibern kritischer Infrastrukturen und Behörden keine andere Wahl als die Entscheidung für eine On-Premise PKI. Aber gerade im Mittelstand, wo Standardanwendungen umgesetzt und abgesichert werden, bieten Managed PKI Angebote die Chance, Einstiegshürden erheblich zu senken und die Sicherheit im Unternehmen deutlich zu verbessern, und das bei deutlich niedrigeren Kosten.

Über den Autor: Jürgen Ruf ist Vorstandsvorsitzender MTG AG.

(ID:49046383)