Zukunftssicheres IAM und Zertifikatsmanagement für einen globalen Industriekonzern 

Herausforderung
Authentifizierungs-Systeme im Konzern abgesichert erstellen und managen 

Digitales Vertrauen ist die Währung der modernen Wirtschaft. Die Gewährleistung, dass jede Kommunikation zwischen Systemen, Maschinen und Mitarbeitenden authentisch und verschlüsselt erfolgt, ist die Basis für die Integrität aller Geschäftsprozesse und Kernbestandteil jeder Zero Trust Architektur. Ein lückenloses Management dieser Vertrauensanker schützt das Unternehmen nicht nur vor Cyberrisiken, sondern sichert auch die Reputation gegenüber Kunden und Partnern.  

Digitale Zertifikate sind in einer modernen IT-Infrastruktur somit essenziell. Man kann sie sich wie einen Personalausweis für Computer und Softwareanwendungen vorstellen: Sie stellen sicher, dass Systeme einander vertrauen und nur autorisierte Teilnehmer miteinander kommunizieren dürfen. Je nach Unternehmensgröße können die Menge dieser Zertifikate variieren, abhängig von der Mitarbeitenden-Anzahl und der genutzten Hard- und Software. Bei unserem Kunden, einem globalen Industriekonzern, sprechen wir über mehrere Millionen dieser Zertifikate.  

Die Verwaltung wird somit zur gewaltigen Aufgabe, da Zertifikate regelmäßig ablaufen, angepasst oder bei Nichtgebrauch zurückgezogen werden müssen. Zusätzlich ergibt sich – sowohl für unseren Kunden als auch für alle Unternehmen mit umfangreichen Systemen – ein strategisches Risiko durch die Entwicklung von Quantencomputern, die in der Lage sein werden, klassische asymmetrische Verschlüsselungsalgorithmen zu knacken. Organisationen müssen daher bereits heute handeln, um ihren Schutz gemäß den Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) anzupassen, Quanten-sichere Algorithmen bis 2031, für kritische Anwendung sogar bis 2030 zu implementieren. Die generelle Vorbereitung wird ebenfalls von der National Institute of Standards and Technology (NIST)-Richtlinie empfohlen und ist wesentlicher Bestandteil eines modernen Risikomanagements und der Supply Chain Security. 

Lösungsansatz
Strategische Modernisierung und Zukunftssicherung der Zertifikatslandschaft

Gemeinsam mit dem Kunden hat Comma Soft einen Prozess etabliert, um die bestehende Zertifikatslandschaft vollständig zu durchleuchten. Ziel war es, eine lückenlose Transparenz darüber herzustellen, welche Zertifikate existieren und wo sie eingesetzt werden. Gleichzeitig wurde dabei auf höhere Sicherheitsniveaus umgestellt, die das BSI ebenfalls empfiehlt. 

Darauf aufbauend entwickelten wir eine gemeinsame Zukunftsvision, um die Infrastruktur mit modernen Algorithmen als Zielsetzung „Post-Quantum-ready“ zu machen. Das bedeutet, die Umstellung auf neue, quantensichere Verschlüsselungsverfahren zu planen. Dabei wurden kritische Randbedingungen analysiert: Neue Zertifikatsalgorithmen, z.B. erhöhte Schlüssellängen, können die Last auf die Systeme erhöhen oder mit älteren Anwendungen inkompatibel sein. Durch diese detaillierte Prüfung wird sichergestellt, dass die Migration ohne Unterbrechungen im laufenden Betrieb erfolgt. 

Zielbild
Modernisierte Zertifikatsinfrastruktur und Cloud-IAM

Der Industriekonzern verfügt nun über eine klare Handlungsstrategie, um seine Zertifikatsumgebung schrittweise zu modernisieren. Die strategische Roadmap gibt eine klare Richtung vor, wie diese durch rechtzeitige Migration gegen die Bedrohungen durch Quantentechnologie gewappnet wird. Durch die Berücksichtigung der technischen Systemlast und der Kompatibilität wurden potenzielle Ausfallrisiken frühzeitig identifiziert und eliminiert. Folgende Zwischenergebnisse dienen als Basis zur Umsetzung der Roadmap: 

• Feststellung passender Algorithmen: Um eine optimale Balance zwischen maximaler Kompatibilität und modernsten Sicherheitsstandards zu gewährleisten, erfolgt die Auswahl der Algorithmen differenziert. Für die breite Integration in bestehende Systeme sowie zur Erfüllung der aktuellen BSI-Empfehlungen und kundenspezifischen Sicherheitsanforderungen wird RSA mit erhöhter Schlüssellänge als Standard eingesetzt. Für modernere Endgeräte und spezifische Anwendungsfälle, bei denen eine höhere Effizienz gefordert ist, werden die asymmetrischen Kryptosysteme ECDSA 256 oder EDSA 384 als leistungsstarke Alternativen ausgewählt. Parallel dazu werden bereits heute Kombinationen aus aktuell standardisierten Post-Quantum-Verfahren evaluiert, um durch gezielte Tests die Grundlage für eine zukünftige, quantensichere Migration zu schaffen.
• Individuelle Migrations-Timeline: Die Migration ist als mehrstufiger Prozess konzipiert, beginnend mit der Umstellung auf die Microsoft Cloud PKI. Dieser erste Schritt fungiert als „Quick Win“, da er eine schnelle Entlastung der bestehenden Infrastruktur ermöglicht und unmittelbar zu Kosteneinsparungen führt. Gleichzeitig dient diese Phase als Pilotprojekt, um die Migrationsprozesse zu testen und die notwendigen Stakeholder-Einbindungen zu definieren. Auf dieser validierten Grundlage wird das Migrationskonzept anschließend sukzessive auf weitere Anwendungsfälle ausgeweitet. In einem weiteren Schritt wird der kontinuierliche Austausch mit den Stakeholdern genutzt, um Proof-of-Concepts (PoCs) für Post-Quantum-Szenarien zu planen und umzusetzen.
• Rollenkonzept zur Verwaltung der neuen Infrastruktur: Zur effizienten Verwaltung der neuen Infrastruktur wird ein detailliertes Rollenkonzept entwickelt, das auf benutzerdefinierten Rollen innerhalb von Entra ID mit Berechtigungen zur Verwaltung der Cloud PKI basiert. Ziel ist eine präzise Definition der Verantwortlichkeiten sowie eine klare Aufgabenverteilung (Scoping). Im Rahmen dieses Konzepts werden grundlegende Governance-Fragen geklärt, insbesondere hinsichtlich der administrativen Zuständigkeit: Es ist zu definieren, ob die Verwaltung der PKI über Intune durch die Intune-Administratoren, die PKI-Verantwortlichen oder eine gemeinsam gebildete Gruppe erfolgt und welche spezifischen Berechtigungen hierfür erforderlich sind. Damit vollzieht sich ein strategischer Wechsel von einer rein infrastrukturellen Verwaltung hin zu einer Integration in Intune als zentrales Governance-Tool für das Identity Lifecycle Management.
• Umstellung auf Microsoft Lösungen: Ein wesentlicher Pfeiler der Modernisierung ist die Migration zur Cloud PKI, welche ab August 2026 in der E5-Lizenz enthalten ist. Diese Umstellung reduziert die Abhängigkeit von lokaler Infrastruktur und optimiert die Betriebskosten. Die Migration erfolgt schrittweise über definierte Testgruppen, um eine maximale Stabilität zu gewährleisten.