ADCS-Beratung – Pakete, Ablauf, Festpreise
Drei klar abgegrenzte Pakete vom 2-Tage-Health-Check bis zum vollständigen Redesign. Festpreise, fachliche Ersteinschätzung binnen eines Werktags.ADCS-Beratung – Pakete, Ablauf, Festpreise
Diese Seite zeigt im Detail, was passiert, wenn du mit deiner ADCS-Umgebung Hilfe brauchst. Drei klar abgegrenzte Pakete – vom 2-Tage-Health-Check über die Härtung bis zum vollständigen Redesign. Health-Check und Härtung mit transparentem Festpreis, das Redesign mit verbindlichem Aufwandsangebot. Keine Subscription-Modelle, keine Vertriebskaskade, keine Beratungsstunden, die niemand mehr nachvollziehen kann.
Wer schon weiß, was er braucht, findet sein Paket direkt unten. Wer unsicher ist, schaut sich den Entscheidungsbaum an oder bucht ein kostenfreies Vorgespräch. Beides funktioniert, beides ist üblich.
Wer hier mit dir arbeitet
Ich bin Ulrich B. Boddenberg, seit fast drei Jahrzehnten in Microsoft-Infrastrukturen unterwegs – als Berater, Architekt und Fachbuchautor mit über zwanzig veröffentlichten Titeln. ADCS ist dabei kein Randthema, sondern eines der Felder, in denen ich am tiefsten arbeite: zwischen Active Directory, Exchange, SharePoint, ADFS, Entra ID und allem, was Zertifikate braucht. Davor war ich einige Jahre bei der Luftwaffe – das hat den Hang zur Systematik geprägt, der bis heute durch jede Hierarchie-Skizze schlägt.
In Beratungsprojekten arbeite ich zwischen Mittelstand und Konzern, oft mit einem laufenden Buch oder Tool im Hintergrund, das gerade entsteht. Das hat den Nebeneffekt, dass Themen, die in der Praxis auftauchen, direkt in die nächsten Inhalte einfließen – und umgekehrt. Wer mit mir arbeitet, bekommt deshalb meistens auch Hinweise auf Themen, die in zwei oder drei Jahren wichtig werden, nicht nur Antworten auf die aktuelle Frage.
Die drei Beratungspakete im Überblick
Die folgende Übersicht zeigt alle drei Pakete nebeneinander. Wer schnell vergleichen will – Dauer, Preis, Format, typischer Anlass und Liefergegenstände stehen jeweils direkt in der Karte. Details zu jedem Paket folgen weiter unten.
Abb. 1: Die drei ADCS-Beratungspakete im direkten Vergleich.
Welches Paket passt zu dir?
Die häufigsten Auslöser für eine ADCS-Beratung lassen sich auf fünf Szenarien herunterbrechen. Der Entscheidungsbaum zeigt, welches Paket sich aus welchem Auslöser typischerweise ergibt – und dass Folge-Aufträge die Regel sind, nicht die Ausnahme.
Abb. 2: Welches Paket passt zu welchem Auslöser? Wer unsicher ist, startet mit dem Vorgespräch.
ADCS Health-Check im Detail
Der Health-Check ist die ehrlichste Antwort auf die Frage „Wo stehen wir eigentlich?“. In zwei Tagen schaue ich mir deine komplette ADCS-Umgebung an – CA-Hierarchie, Templates, Berechtigungen, ESC-Vektoren, CRL- und OCSP-Veröffentlichung, Auto-Enrollment, HSM-Status. Du bekommst hinterher einen schriftlichen Bericht mit konkretem Maßnahmenplan, sortiert nach Kritikalität: Was muss diese Woche passieren, was nächsten Monat, was beim nächsten größeren Projekt.
Der Check ist bewusst auf zwei Tage gestrafft, damit das Format auch budget-technisch immer durchgeht. In dieser Zeit kommt man zu klaren Aussagen, nicht zu detaillierten Umsetzungsplänen – das wäre dann der nächste Schritt, meistens als Härtung oder Redesign.
|
Typische Befunde aus Health-Checks ESC1 und ESC8 sind in 7 von 10 Umgebungen anzutreffen – vulnerable Templates und Webenrollment ohne HTTPS. EDITF_ATTRIBUTESUBJECTALTNAME2 (ESC6) ist gefühlt bei jeder dritten Issuing CA gesetzt – oft historisch und ohne Wissen der aktuellen Admins. CRL-Veröffentlichung läuft regelmäßig nur über LDAP – HTTP fehlt, was bei externen Clients spätestens beim ersten Audit auffällt. Schlüssellängen und Algorithmen sind in 4 von 10 Umgebungen unter dem aktuellen BSI-Empfehlungsstand. |
|---|
Was du nach dem Health-Check in der Hand hast
- Schriftlicher Bericht (PDF und DOCX) mit Befunden, Risikobewertung und Maßnahmenplan
- Maßnahmen sortiert nach Kritikalität – kritisch / mittel / niedrig, mit Aufwandsabschätzung
- Skizze deiner aktuellen Architektur (für Übergaben an interne Stakeholder)
- Abschluss-Telko mit Q&A für dein Team, typischerweise 60 Minuten
ADCS-Härtung im Detail
Die Härtung ist der häufigste Folgeauftrag aus einem Health-Check. Drei bis fünf Tage, je nach Größe der Umgebung, um die identifizierten Schwachstellen tatsächlich zu schließen – nicht nur zu dokumentieren. Schwerpunkt liegt auf ESC-Vektoren, Template-Bereinigung, Berechtigungsstraffung und Audit-Logging. Optional fließt die Konfiguration eines Policy-Moduls wie TameMyCerts ein, wenn das Schutzbedarfsprofil das hergibt.
Härtung lässt sich auch ohne vorherigen Health-Check buchen – allerdings nur, wenn der Umgebungsumfang klar definiert ist (zum Beispiel nach internem Audit oder nach Sicherheitsvorfall mit konkreten Findings). Andernfalls macht die Bestandsaufnahme als Vorlauf einfach mehr Sinn.
|
Achtung – Härtung ist kein Audit-Ersatz Eine Härtung schließt bekannte Lücken. Sie ersetzt aber keinen Penetrationstest, kein offizielles BSI-Audit und keine ISO-27001-Zertifizierung. Wenn dein Ziel eine formale Bescheinigung ist, brauchst du parallel einen Auditor – ich bin Berater, kein Auditor. Diese Trennung ist bewusst, weil sich beide Rollen sonst gegenseitig kompromittieren würden. |
|---|
Was bei der Härtung konkret passiert
- ESC-Pfade nach Vorbefund schließen (Template-Berechtigungen, Subject-Validierung, EDITF-Flags)
- Templates konsolidieren und bereinigen – obsolete Vorlagen abräumen, Berechtigungen straffen
- Audit-Logging einrichten und auf das SIEM mappen (sofern vorhanden)
- Optionale Konfiguration eines Policy-Moduls (TameMyCerts), wenn das Schutzbedarfsprofil das hergibt
- Dokumentation der Änderungen, Übergabe-Workshop mit deinem Team
ADCS-Redesign oder Migration im Detail
Wenn die bestehende PKI historisch gewachsen ist, einstufig betrieben wird, mit überholten Algorithmen läuft oder der Server-OS-Wechsel ansteht, ist Redesign die richtige Antwort. Standardansatz ist die Side-by-Side-Migration: Die neue PKI wird parallel aufgebaut, getestet und stückweise übernommen – der laufende Betrieb bleibt dabei unangetastet, ein Rollback ist jederzeit möglich. Typischer Zeitrahmen sind 10 bis 15 Personentage.
Das genaue Vorgehen hängt vom Ausgangszustand ab: Reicht eine Übernahme der bestehenden Schlüssel auf einen neuen Host, oder ist eine komplette Neu-PKI mit neuen Algorithmen und HSM-Integration sinnvoll? Die Antwort fällt im Vorgespräch und wird im Health-Check final festgelegt.
Abb. 3: Typischer Phasenablauf eines Redesign-Projekts über 10 bis 15 Tage.
|
Tipp aus der Praxis Bei Redesigns lohnt sich fast immer ein zweistufiger Ansatz mit Offline Root – auch wenn die Umgebung heute einstufig läuft und „eigentlich klein“ ist. Der Mehraufwand beim Aufbau ist überschaubar, die Wartbarkeit über die nächsten zehn Jahre dafür um Welten besser. Wer einstufig bleibt, baut spätestens nach drei Jahren neu – meistens unfreiwillig. |
|---|
Was bei einem Redesign-Projekt enthalten ist
- Discovery: vollständige Bestandsaufnahme der aktuellen Umgebung
- Konzeption: Zielarchitektur, HSM-Auswahl, Template-Strategie, Algorithmenwahl
- Aufbau: Offline Root + Issuing CA(s) inkl. HSM-Integration
- Veröffentlichungs-Layer: CRL, OCSP, Auto-Enrollment, NDES (falls gewünscht)
- Migration: Side-by-Side-Übernahme der vorhandenen Zertifikate und Templates
- Übergabe: vollständige Betriebsdokumentation, Operations-Handbuch, Schulungs-Workshop
So läuft ein Projekt ab
Vom Erstkontakt bis zur Übergabe sind es typischerweise fünf Schritte. Reaktionszeiten sind klar definiert: innerhalb eines Werktags melde ich mich mit einer fachlichen Ersteinschätzung, schriftliches Angebot folgt nach dem Vorgespräch ebenfalls binnen eines Werktags.
Abb. 4: Engagement-Ablauf vom ersten Mail-Kontakt bis zur Projektübergabe.
Häufige Fragen
Arbeitest du remote oder vor Ort?
Beides. Die meisten Health-Checks und Härtungs-Projekte laufen vollständig remote – das ist effizienter und für viele Kunden auch sicherheitstechnisch unkritischer (keine externen Personen im Serverraum). Bei Redesigns und HSM-Integrationen ist meist ein hybrider Ansatz sinnvoll: Konzeption und Aufbau remote, Cut-Over und Übergabe-Workshops vor Ort. Vor Ort heißt: deutschlandweit, mit Schwerpunkt Ruhrgebiet und Niedersachsen.
Welche Branchen betreust du?
Schwerpunkt sind Mittelstand und gehobener Mittelstand, dazu Behörden, Bildungseinrichtungen und einige Konzern-Mandate. Branchenfremde Themen sind kein Hinderungsgrund – ADCS funktioniert in Industrie, Handel, Finance, Gesundheitswesen und öffentlicher Hand technisch identisch. Regulatorische Unterschiede (NIS2, KRITIS, BAIT, KAIT, BSI IT-Grundschutz) berücksichtige ich, wo sie für die konkrete PKI relevant sind.
Wie schnell kannst du starten?
Health-Checks lassen sich oft innerhalb von zwei bis vier Wochen einplanen, je nach aktueller Auftragslage. Härtungs-Projekte folgen typischerweise direkt nach dem Health-Check, sodass die Gesamtdauer „erster Kontakt bis Härtungsabschluss“ bei vier bis acht Wochen liegt. Redesigns brauchen meist eine längere Vorlaufzeit für HSM-Beschaffung, Vorgespräche mit dem Kundenteam und Stakeholder-Abstimmung – realistisch sind acht bis zwölf Wochen ab Erstkontakt.
Was kostet eine ADCS-Beratung?
Health-Check und Härtung laufen als Festpreis – konkret nenne ich die Zahl im Angebot nach dem Vorgespräch, weil sie vom genauen Umgebungsumfang abhängt. Redesign-Projekte sind verbindliche Aufwandsangebote, ebenfalls schriftlich fixiert. Stundensatz-basierte Beratung biete ich nicht an – die Erfahrung zeigt, dass Festpreise für beide Seiten ehrlicher und planbarer sind.
Arbeitest du mit anderen Beratern oder Systemhäusern zusammen?
Ja, regelmäßig. Häufig bin ich der spezialisierte ADCS-Anteil in größeren Migrationsprojekten, die ein Systemhaus federführend betreut. In solchen Fällen läuft die Vertragsgestaltung über das Systemhaus, ich agiere als Unterauftragnehmer. Direktmandate von Endkunden sind aber genauso üblich – das hängt schlicht davon ab, wie der Auftraggeber sich aufstellen möchte.
Gibt es Referenzkunden, die ich sprechen kann?
Auf Anfrage gerne – allerdings erst nach einem ersten Vorgespräch, bei dem klarer wird, welche Referenz inhaltlich passt. Pauschal-Referenzen ohne Bezug zum konkreten Szenario sind erfahrungsgemäß weniger hilfreich als ein gezielter Hinweis auf einen vergleichbaren Fall. Schriftliche Referenzen liefere ich im Zweifelsfall mit dem Angebot mit.
Nächster Schritt
Schick mir eine kurze Mail mit deinem Szenario: Größe der Umgebung (Anzahl Issuing CAs, ungefähre Zahl der ausgestellten Zertifikate pro Jahr), aktuelle Hierarchie und der Auslöser, der dich diese Seite finden ließ – Audit, Migration, Vorfall, Compliance-Druck oder einfach das ungute Gefühl, dass etwas nicht stimmt. Du bekommst innerhalb eines Werktags eine fachliche Einschätzung zurück: welches Paket aus dieser Seite zu deinem Fall passt, oder ob es ein Vorgespräch braucht, um das festzulegen.
|
Direkter Draht Mail: ulrich@boddenberg.de Telefon: +49 231 222458-121 Web: boddenberg.de Standort: Dortmund, deutschlandweit unterwegs |
|---|
Kein Vertriebsgespräch, sondern fachliche Ersteinschätzung. Wenn das passt, geht’s weiter; wenn nicht, ist auch das eine ehrliche Auskunft, die dich weiterbringt.