Public Key Infrastruktur (PKI)
Text mit Hilfe von KI erzeugt
Eine Public-Key-Infrastruktur (PKI) ist das technische und organisatorische Fundament, auf dem digitale Zertifikate, digitale Signaturen und verschlüsselte Kommunikation in Unternehmen beruhen. Ob verschlüsselte Webseiten, signierte E-Mails oder zertifikatsbasierte Anmeldung an Endgeräten: Hinter all diesen Mechanismen steckt eine PKI, die Vertrauen zwischen Kommunikationspartnern technisch absichert.
Was ist eine Public-Key-Infrastruktur (PKI)? Definition
Eine Public-Key-Infrastruktur ist ein System aus Richtlinien, Prozessen und technischen Komponenten, das die Erstellung, Verteilung, Prüfung und den Widerruf digitaler Zertifikate regelt. Nach Definition des Bundesamts für Sicherheit in der Informationstechnik (BSI) besteht eine PKI aus einer hierarchisch angeordneten Struktur von Stellen, die digitale Zertifikate ausstellen – mit einem Root-Zertifikat als zentralem Vertrauensanker (BSI: Public-Key-Infrastrukturen (PKIen)). Jedes weitere Zertifikat in dieser Hierarchie wird mit dem privaten Schlüssel der übergeordneten Stelle signiert und erbt so deren Vertrauenswürdigkeit.
Wie funktioniert asymmetrische Verschlüsselung?
Jede PKI basiert auf asymmetrischer Kryptografie (Public-Key-Kryptografie). Dabei erhält jeder Teilnehmer ein mathematisch zusammengehöriges Schlüsselpaar:
- Öffentlicher Schlüssel (Public Key): Kann frei verteilt und veröffentlicht werden.
- Privater Schlüssel (Private Key): Muss geheim gehalten werden.
Dieses Prinzip ermöglicht drei zentrale Sicherheitsfunktionen:
- Vertraulichkeit: Nachrichten werden mit dem öffentlichen Schlüssel des Empfängers verschlüsselt und können nur von diesem entschlüsselt werden.
- Authentizität: Der Hashwert einer Nachricht wird mit dem privaten Schlüssel des Absenders signiert. Der Empfänger prüft die Signatur mit dem öffentlichen Schlüssel, wodurch die Identität des Absenders bestätigt wird.
- Integrität: Jede nachträgliche Veränderung der Daten macht die Signatur ungültig und ist damit erkennbar.
Bestandteile einer PKI im Überblick
Eine funktionierende PKI besteht aus mehreren zusammenwirkenden Komponenten:
| Komponente | Aufgabe |
|---|---|
| Zertifizierungsstelle (CA) | Stellt digitale Zertifikate aus und signiert sie mit ihrem Root- oder Intermediate-Schlüssel. |
| Registrierungsstelle (RA) | Prüft die Identität von Antragstellern, bevor ein Zertifikat ausgestellt wird. |
| Zertifikatsverzeichnis | Speichert und veröffentlicht ausgestellte Zertifikate für andere Teilnehmer. |
| Sperrliste (CRL) / OCSP | Informiert in Echtzeit über zurückgezogene oder ungültige Zertifikate. |
Digitale Signatur und digitales Zertifikat
Digitale Signatur erstellen: typischer Ablauf
Eine digitale Signatur entsteht in der Praxis in mehreren Schritten:
- Erzeugung eines Schlüsselpaars aus privatem und öffentlichem Schlüssel.
- Berechnung eines Hashwerts aus dem zu signierenden Dokument.
- Signierung des Hashwerts mit dem privaten Schlüssel. Das Ergebnis ist die digitale Signatur.
- Hinzufügen des zugehörigen digitalen Zertifikats zum signierten Dokument.
- Prüfung durch den Empfänger mit dem öffentlichen Schlüssel aus dem Zertifikat.
Qualifizierte digitale Signatur nach eIDAS
Die qualifizierte digitale Signatur ist die höchste Vertrauensstufe innerhalb der EU-Verordnung eIDAS und einer handschriftlichen Unterschrift rechtlich gleichgestellt. Sie erfordert ein qualifiziertes PKI-Zertifikat einer akkreditierten Zertifizierungsstelle sowie eine sichere Signaturerstellungseinheit, etwa eine Smartcard oder ein Hardware-Sicherheitsmodul (HSM). Für Verträge, Angebote oder behördliche Dokumente ist sie damit eine besonders rechtssichere Form der digitalen Signatur.
Einsatzbereiche von PKI im Unternehmen
PKI-Zertifikate sichern heute weit mehr als verschlüsselte Webseiten (TLS/HTTPS): Sie verschlüsseln und signieren E-Mails (S/MIME), authentifizieren VPN-Verbindungen und ermöglichen zertifikatsbasierte Geräteauthentifizierung für Laptops, Mobilgeräte und IoT-Komponenten. Besonders verbreitet ist der Einsatz von Zertifikaten für die Anmeldung per Smartcard oder Token – eine Form der passwortlosen Authentifizierung, bei der kein Passwort mehr existiert, das gestohlen oder erraten werden könnte.
Zertifikatsbasierte Anmeldeverfahren gelten zudem als besonders robust gegenüber Phishing, da der private Schlüssel das Gerät nie verlässt und sich nicht durch gefälschte Login-Seiten abgreifen lässt. Das macht PKI zu einem zentralen Baustein jeder Strategie für phishingresistente Multi-Faktor-Authentifizierung.
PKI-Betrieb: Eigene Zertifizierungsstelle oder Managed PKI?
Unternehmen, die bereits auf Microsoft-Infrastruktur setzen, betreiben ihre interne CA häufig über Active-Directory-Zertifikatdienste und stellen Zertifikate damit direkt aus der bestehenden Verzeichnisstruktur aus. Alternativ übernimmt ein spezialisierter Managed-PKI-Anbieter den Betrieb der Zertifizierungsstelle als Dienstleistung. Bei der Entscheidung helfen folgende Kriterien:
- Anzahl und Art der benötigten Zertifikate – intern genutzt oder extern vertrauenswürdig.
- Vorhandene IT-Ressourcen für den sicheren Betrieb und die Auditierung einer eigenen CA.
- Regulatorische Anforderungen, etwa durch eIDAS oder die NIS2-Richtlinie.
- Integration in die bestehende Verzeichnis- und Identitätsinfrastruktur.
Unabhängig vom Betriebsmodell gilt: Private Schlüssel sind das wertvollste Gut einer PKI. Ein strukturiertes Key Management über den gesamten Lebenszyklus – von der sicheren Erzeugung über die Speicherung bis zum rechtzeitigen Austausch – entscheidet darüber, ob eine PKI tatsächlich vertrauenswürdig bleibt.