{"id":17806,"date":"2026-08-05T01:50:45","date_gmt":"2026-08-05T08:50:45","guid":{"rendered":"https:\/\/www.omnitrust.com\/blog\/ilm-native-signing-und-rfc-3161-zeitstempel\/"},"modified":"2026-09-28T21:09:22","modified_gmt":"2026-09-29T04:09:22","slug":"ilm-native-signing-und-rfc-3161-zeitstempel","status":"publish","type":"post","link":"https:\/\/www.omnitrust.com\/de\/blog\/ilm-native-signing-und-rfc-3161-zeitstempel\/","title":{"rendered":"ILM Native Signing und RFC-3161-Zeitstempel"},"content":{"rendered":" \n

TL;DR:<\/strong> ILM f\u00fchrt Signing und RFC-3161-Zeitstempel jetzt selbst durch \u2013 mit Signing-Profilen, Datens\u00e4tzen pro Vorgang und authentifizierten Zeitstempel-Endpunkten. Das bedeutet ein Inventar, ein Autorisierungsmodell und einen Audit-Trail f\u00fcr Zertifikate, Schl\u00fcssel, Secrets, Signaturen und Zeitstempel.<\/p> \n\r\n

\u00a0<\/div>\r\n\r\n
\n

Signing und Zeitstempel geh\u00f6ren normalerweise zu einem anderen System. Deshalb kann niemand mit einer einzigen Abfrage beantworten, welche kryptografischen Vorg\u00e4nge eine Organisation im letzten Monat durchgef\u00fchrt hat.<\/p> \n<\/div>\r\n\r\n

\u00a0<\/div>\r\n \n

Fragen Sie ein Security-Team, wo seine Zertifikate liegen, und Sie erhalten meist eine klare Antwort. Fragen Sie, wo die Signierschl\u00fcssel liegen, wer sie letzte Woche verwendet hat und welche Zeitstempelinstanz das Ergebnis gestempelt hat, und die Antwort kommt in Fragmenten. Zertifikate liegen auf einer Plattform. Signing l\u00e4uft anderswo. Timestamping ist eine URL, die vor Jahren jemand konfiguriert hat.<\/p> \n \n

Keines dieser Systeme ist f\u00fcr sich genommen falsch. Doch an den \u00dcberg\u00e4ngen zwischen ihnen scheitert Governance unbemerkt. Jedes System hat sein eigenes Identit\u00e4tsmodell, sein eigenes Logformat und seine eigene Vorstellung davon, was ein Operator tun darf.<\/p> \n \n

ILM schlie\u00dft diese L\u00fccken bereits seit mehreren Releases. Zuerst kamen Zertifikate, dann kryptografische Schl\u00fcssel, dann Secrets und danach Cryptographic Bills of Materials. Signing und Timestamping sind die neuesten Funktionen \u2013 und genau diese liegen am h\u00e4ufigsten au\u00dferhalb der Plattform.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

Signing-Profile definieren das Wie, Signing-Datens\u00e4tze belegen das Was<\/h2> \n \n

Signing in ILM beginnt mit einem Signing-Profil. Dort liegt die Konfiguration: welcher Schl\u00fcssel, unter welchem Token-Profil und mit welchen Einschr\u00e4nkungen. Da das Profil ein verwaltetes Objekt ist, \u00fcbernimmt es das Autorisierungsmodell der Plattform, statt ein eigenes zu definieren.<\/p> \n \n

Dann kommt der Teil, der den Betrieb erm\u00f6glicht. Jeder Signiervorgang erzeugt einen Signing-Datensatz. Jedes Signing-Profil stellt einen Endpunkt bereit, der seine Datens\u00e4tze auflistet, und das Plattform-Dashboard zeigt Signing-Statistiken neben den bereits vorhandenen Zertifikats- und Schl\u00fcsselkennzahlen an.<\/p> \n \n

Damit wird aus \u201ewer hat was, wann und mit welchem Schl\u00fcssel signiert?\u201c eine Abfrage statt einer Untersuchung. Dieser Unterschied z\u00e4hlt bei einem Audit \u2013 und noch mehr bei einem Sicherheitsvorfall. In der Praxis ist eine Signing-Funktion, die ihre eigene Historie nicht liefern kann, eine Funktion, die Sie nicht verteidigen k\u00f6nnen.<\/p> \n \n

ILM implementiert au\u00dferdem die Cloud Signature Consortium API als separate Komponente, sodass Remote-Signing-Clients mit CSC-Unterst\u00fctzung einen standardisierten Zugang haben.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

Zeitstempel, die denselben Standard sprechen wie Ihre vorhandenen Werkzeuge<\/h2> \n \n

Eine Signatur ohne vertrauensw\u00fcrdige Zeitangabe ist schw\u00e4cher, als sie aussieht. Sobald das Signaturzertifikat abl\u00e4uft, wird es schwierig nachzuweisen, dass die Signatur zu einem Zeitpunkt existierte, als das Zertifikat noch g\u00fcltig war. Timestamping ist daher keine optionale Erg\u00e4nzung zum Signing, sondern ein Bestandteil dauerhafter Signaturen.<\/p> \n \n

ILM verarbeitet Timestamping \u00fcber TSP-Profile und eine verwaltete Zeitstempel-Engine. Die Engine f\u00fchrt den Vorgang aus und aufrufbare RFC-3161-Endpunkte stellen ihn bereit. Da diese Endpunkte dem Standard entsprechen, funktionieren vorhandene Clients und Build-Tools ohne \u00c4nderungen.<\/p> \n \n

Der Zugriff wird korrekt kontrolliert und nicht nur \u00fcber die Netzwerkposition. TSP-Profile enthalten Authentifizierungsmethoden und Basic-Credentials, und vor den Zeitstempel-Endpunkten sitzt ein eigener Authentifizierungsfilter. Au\u00dferdem h\u00e4lt ein TSP-Profil-Cache die Profilsuche vom Request-Pfad fern \u2013 wichtig, wenn eine Pipeline Tausende Artefakte stempelt.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

Was Konsolidierung Ihnen tats\u00e4chlich bringt<\/h2> \n \n

Plattformkonsolidierung l\u00e4sst sich leicht behaupten und ebenso leicht \u00fcberverkaufen. Deshalb hier die konkrete Version \u2013 als Unterschiede statt als Adjektive.<\/p> \n \n

\n \n \n \n \n \n \n \n \n \n
Aspekt<\/th> \nGetrennte Systeme<\/th> \nEine Plattform<\/th> \n<\/tr> \n<\/thead> \n
Inventar<\/td> \nZertifikate hier, Signierschl\u00fcssel dort, Zeitstempel-Konfiguration anderswo<\/td> \nEin Inventar f\u00fcr Zertifikate, Schl\u00fcssel, Secrets, Signaturen und Zeitstempel<\/td> \n<\/tr> \n
Autorisierung<\/td> \nJedes System hat eigene Rollen und eine eigene Definition eines Operators<\/td> \nEin Autorisierungsmodell, einschlie\u00dflich einer schreibgesch\u00fctzten Auditor-Rolle<\/td> \n<\/tr> \n
Audit-Trail<\/td> \nMehrere Logformate, die im Nachhinein manuell korreliert werden<\/td> \nSigning-Datens\u00e4tze und Ereignisverlauf am selben Ort wie der Zertifikatsverlauf<\/td> \n<\/tr> \n
Schl\u00fcsselverwahrung<\/td> \nSchl\u00fcssel werden dupliziert oder exportiert, um den Signing-Service zu erreichen<\/td> \nSchl\u00fcssel bleiben unter ihrem Token-Profil; das Signing referenziert sie<\/td> \n<\/tr> \n
Reporting<\/td> \nTeilantworten je System<\/td> \nDashboard-Statistiken \u00fcber mehrere Vorg\u00e4nge hinweg<\/td> \n<\/tr> \n<\/tbody> \n<\/table> \n
Was sich \u00e4ndert, wenn Signing und Timestamping in die Plattform wechseln, die bereits die Schl\u00fcssel verwaltet.<\/figcaption> \n<\/figure> \n \n

Bei der Zeile zur Schl\u00fcsselverwahrung lohnt sich ein genauerer Blick. Sobald ein Signing-Service au\u00dferhalb des Systems lebt, das die Schl\u00fcssel verwaltet, muss etwas die Grenze \u00fcberschreiten. Meist ist dieses Etwas der Schl\u00fcssel oder eine Kopie davon. Wenn Signing direkt neben dem Schl\u00fcsselmanagement bleibt, entf\u00e4llt diese Reise.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

Wo die ehrlichen Grenzen liegen<\/h2> \n \n

Konsolidierung ist nicht dasselbe wie Ersatz, und wir wollen das klar benennen.<\/p> \n \n

ILM ersetzt kein Hardware Security Module. Schl\u00fcssel bleiben dort, wo Ihre Richtlinie es vorsieht, und ILM referenziert sie \u00fcber ein Token-Profil. Ebenso entscheidet ILM weder \u00fcber Ihre Signing-Richtlinie noch \u00fcber die Wahl kryptografischer Algorithmen. Es gibt diesen Entscheidungen einen zentralen Konfigurationsort und einen Nachweis dar\u00fcber, dass sie angewendet wurden.<\/p> \n \n

Auch das Verschieben des Signings in die Plattform beseitigt nicht die Notwendigkeit qualifizierter Vertrauensdienste, wenn Vorschriften sie verlangen. Erfordert ein Anwendungsfall einen qualifizierten Zeitstempel von einem qualifizierten Anbieter, \u00e4ndert sich diese Anforderung nicht, nur weil Ihre Plattform ebenfalls Zeitstempel erzeugen kann.<\/p> \n \n

\n
\n

Ein Regenschirm ist n\u00fctzlich, weil er alles auf einmal abdeckt \u2013 nicht weil er den Himmel ersetzt.<\/p> \n<\/blockquote> \n<\/figure> \n\r\n

\u00a0<\/div>\r\n \n

Erste Schritte<\/h2> \n \n

Wenn Sie ILM bereits betreiben, sind beide Funktionen Konfiguration und keine neue Bereitstellung. Erstellen Sie ein Signing-Profil auf Basis eines vorhandenen Token-Profils und ein TSP-Profil mit einer Authentifizierungsmethode. Richten Sie anschlie\u00dfend einen Client auf den RFC-3161-Endpunkt und pr\u00fcfen Sie, ob ein Signing-Datensatz erscheint.<\/p> \n \n

Wenn Sie ILM evaluieren, sind Signing und Timestamping gerade deshalb ein sinnvoller Einstieg, weil sie \u00fcblicherweise getrennt sind. Konfigurieren Sie beides zusammen mit einigen Zertifikaten und pr\u00fcfen Sie, ob ein einziges Dashboard Fragen beantworten kann, f\u00fcr die zuvor drei Systeme erforderlich waren.<\/p> \n\r\n

\u00a0<\/div>\r\n
\r\n
\u00a0<\/div>\r\n\r\n
\n

Wichtigste Erkenntnisse<\/h3> \n\r\n\r\n \n