"so eine art Info-Sammlung"

Atomare TLS-Zertifikatserneuerung über IIS, Exchange, ADFS und Co. Warum das Erneuern selbst das kleinste Problem ist — und das gleichzeitige, fehlerfreie Umbinden aller Dienste das eigentliche. Kurzfassung vorab Ein TLS-Zertifikat zu erneuern dauert dreißig...

Codesigning-CA aufbauen — Härtung, EV-Anforderungen, Workflows Warum Codesigning in eine eigene, gehärtete Hierarchie gehört — und warum ein kompromittierter Signing-Key kein IT-Vorfall, sondern ein Reputations-GAU ist. Kurzfassung vorab Codesigning ist...

Smartcards, virtuelle Smartcards und Windows Hello for Business Drei Wege zum schlüsselbasierten Logon — und warum Windows Hello for Business für die meisten der richtige ist, Smartcards aber nicht tot sind. Kurzfassung vorab Die ehrliche Ansage zuerst:...

ADCS und Intune — Gerätezertifikate end-to-end via NDES Wie der SCEP-Weg von der eigenen CA bis aufs verwaltete Gerät wirklich läuft — und warum NDES das fragilste, am meisten exponierte Stück deiner PKI ist. Kurzfassung vorab NDES ist die...

S/MIME für Exchange Online — ADCS-Templates und Rollout Wie du Mail-Verschlüsselung sauber aus der eigenen PKI in die Cloud bringst — ohne dir die erste Datenverlust-Falle selbst zu bauen. Kurzfassung vorab S/MIME für Exchange Online ist kein...

Cloud-PKI-Migration – wann der Schritt aus On-Prem sinnvoll ist Kurzfassung vorab Cloud-PKI ist kein Ersatz für ADCS, sondern eine Entlastung. Sie nimmt der On-Prem-CA die Last der MDM-verwalteten Geräte ab – aber Domain-Controller, Server-CSRs und...

Side-by-Side-Migration im Detail – die unterschätzten Stolperfallen Kurzfassung vorab Eine Side-by-Side-Migration ist der sichere Weg zur neuen CA – aber sie scheitert selten am Verfahren, sondern an fünf Details. Vier davon scheitern still: Die Migration...

Algorithmenwechsel in ADCS – RSA, ECC und der Weg zur Post-Quantum-Readiness Kurzfassung vorab RSA bleibt 2026 der sichere Default, ECC ist die schnellere Alternative mit Smartcard-Bonus – und Post-Quantum ist seit Mai 2026 keine reine Zukunftsmusik mehr. Mit dem...

Algorithmenwechsel und Hash-Migration ohne Reissuance Kurzfassung vorab Wenn deine CA noch mit SHA-1 signiert, musst du nicht jedes ausgestellte Zertifikat neu ausrollen. In den allermeisten Fällen reicht ein CA-Renewal mit gleichem Schlüssel und neuem...

ADCS-Migration Schritt für Schritt – inkl. CA-Backup und Wiederherstellung Kurzfassung vorab Eine ADCS-Migration ist kein Klick-Marathon, sondern eine Backup-Übung mit angeschlossenem Serverwechsel. Der sichere Standardweg im Mittelstand ist die...

Auto-Enrollment konfigurieren – Templates, GPO, Troubleshooting Auto-Enrollment ist die Funktion, die deine PKI von „läuft technisch“ zu „läuft im Betrieb“ bringt: Computer und Nutzer bekommen ihre Zertifikate automatisch, ohne dass jemand klickt, und...

Zertifikatsvorlagen v2 vs. v3 vs. v4 – wann was? Die Versionsnummer einer Zertifikatsvorlage ist kein kosmetisches Detail, sondern entscheidet darüber, welche Kryptografie, welcher Schlüsselspeicher und welche Sicherheitsfeatures dir überhaupt zur...

HSM-Auswahl für ADCS – Thales, Utimaco, YubiHSM im Vergleich Ein Hardware-Security-Modul ist die Versicherung dafür, dass der private Schlüssel deiner CA niemals als Datei auf einer Festplatte landet – und damit auch nicht kopiert, gestohlen oder...

Migration einer Software-CA auf HSM-Betrieb Irgendwann kommt bei fast jeder PKI der Moment, in dem das Audit, die NIS2-Einführung oder schlicht das gesunde Misstrauen fragt: Wo liegt eigentlich der private Schlüssel deiner CA? Wenn die Antwort „als Datei im...

OCSP-Responder und CRL-Hochverfügbarkeit in der Praxis Eine PKI ist nur so gut wie ihre Sperrprüfung – und die ist genau dann gefragt, wenn es brennt. Wenn deine CRL nicht erreichbar ist oder der OCSP-Responder steht, dann scheitern im schlimmsten Fall...

ESC1 bis ESC15 erklärt – mit Erkennung und Gegenmaßnahmen Kurzfassung vorab: Die ESC-Reihe beschreibt die typischen Fehlkonfigurationen, mit denen sich eine ADCS-Umgebung in einen Generalschlüssel für das gesamte Active Directory verwandelt. Wer...

ADCS-Härtung nach BSI IT-Grundschutz Kurzfassung vorab: BSI IT-Grundschutz klingt nach 800 Seiten Bürokratie, ist für ADCS aber überraschend handlich: Der Kernbaustein APP.7 plus eine ordentliche Server-Grundhärtung deckt 80 Prozent ab. Wer...

TameMyCerts als Policy-Modul – wann sinnvoll, wann übertrieben Kurzfassung vorab: TameMyCerts ist ein kostenloses Open-Source-Policy-Modul, das genau dort ansetzt, wo das native ADCS-Vorlagenmodell an seine Grenzen stößt: bei der inhaltlichen...

CRL-Veröffentlichung der Offline Root – der elegante Weg ohne Netzwerk Kurzfassung vorab: Die Offline Root steht bewusst ohne Netzwerk da — und trotzdem muss ihre Sperrliste (CRL) für die ganze PKI erreichbar sein. Der Trick ist simpel und wird trotzdem...

Audit-Logging für ADCS – was protokolliert werden muss Kurzfassung vorab: Die CA-Auditierung ist bei ADCS standardmäßig aus — und genau das ist der Grund, warum Konfigurationsänderungen wie bei ESC4 monatelang unbemerkt bleiben. Protokollieren...

Offline Root CA korrekt aufsetzen – Schritt für Schritt Die Offline Root ist die oberste Vertrauensinstanz deiner PKI – und genau deshalb gehört sie nicht ins Netz. „Offline“ heißt wörtlich: nicht in der Domäne, nicht am Netzwerk,...

ADCS-Architekturen im Vergleich – ein-, zwei- und dreistufig Die ehrliche Empfehlung vorweg: Für den Mittelstand ist zweistufig fast immer richtig – eine Offline Root plus eine oder mehrere Issuing CAs. Einstufig ist die Express-Variante fürs Labor und...

Wirtschaftlichkeit einer eigenen PKI – Kosten, Aufwand, Break-Even Die ehrliche Antwort auf „Lohnt sich eine eigene PKI?“ lautet: ab etwa 100 bis 150 Zertifikaten pro Jahr fast immer, darunter selten. Die Lizenz für ADCS kostet nichts – es ist eine Server-Rolle,...

Aufbau einer ADCS-Umgebung von Grund auf Eine ADCS-Umgebung baust du nicht „mit dem Wizard durchklicken“ – jedenfalls nicht, wenn sie einen Audit überstehen soll. Die Reihenfolge ist entscheidend: erst planen und Namen festlegen, dann die Offline Root, dann die...

ADCS vs. öffentliche CAs – wann welche Lösung sinnvoll ist Faustregel vorab: Sobald du regelmäßig Geräte- oder Nutzerzertifikate brauchst – Computer-Auth, Smartcard-Logon, 802.1X, VPN, S/MIME – baust du eine eigene PKI mit ADCS. Für die...

Management Summary Microsoft Active Directory Certificate Services (ADCS) sind das Herzstück der unternehmensinternen Public-Key-Infrastruktur (PKI). Sie ermöglichen die Ausstellung und Verwaltung digitaler Zertifikate für eine Vielzahl geschäftskritischer...

Zu Power Automate biete ich eine eintägige Online-Schulung an, die regelmäßig durchgeführt wird. Hier finden Sie die Schulung zu Power Automate.Als anerkannter PKI-Spezialist und Autor von 20 Fachbüchern unterstütze ich Sie dabei, Ihre Active Directory Certificate...