{"id":17812,"date":"2026-08-05T01:50:29","date_gmt":"2026-08-05T08:50:29","guid":{"rendered":"https:\/\/www.omnitrust.com\/blog\/pki-maturity-model-2-0-0-was-sich-in-der-vorschau-geaendert-hat\/"},"modified":"2026-09-28T21:09:23","modified_gmt":"2026-09-29T04:09:23","slug":"pki-maturity-model-2-0-0-was-sich-in-der-vorschau-geaendert-hat","status":"publish","type":"post","link":"https:\/\/www.omnitrust.com\/de\/blog\/pki-maturity-model-2-0-0-was-sich-in-der-vorschau-geaendert-hat\/","title":{"rendered":"PKI Maturity Model 2.0.0: Was sich in der Vorschau ge\u00e4ndert hat"},"content":{"rendered":" \n

TL;DR:<\/strong> PKI Maturity Model 2.0.0 ist als \u00f6ffentliche Vorschau verf\u00fcgbar. Die wichtigste \u00c4nderung ist eine neue Kategorie Kryptografie im Governance-Modul. Kryptografische Entscheidungen, die zuvor \u00fcber Zertifikats- und Schl\u00fcsselmanagement verteilt waren, haben nun einen gemeinsamen, konsistenten Ort.<\/p> \n\r\n

\u00a0<\/div>\r\n\r\n
\n

Von einem Zertifikatsmanagement-Prozess zu verlangen, Cipher Suites zu steuern, war schon immer eine falsche Kategorisierung. 2.0.0 korrigiert die Taxonomie, statt sie zu erweitern.<\/p> \n<\/div>\r\n\r\n

\u00a0<\/div>\r\n \n

Das PKI Maturity Model<\/a> wird von einer Arbeitsgruppe des PKI Consortium entwickelt. Version 1.0.0 formalisierte f\u00fcnf Reifegrade \u00fcber vier Module und f\u00fcnfzehn Kategorien. Seitdem haben Assessoren es in realen Programmen eingesetzt, und die dabei gemeldeten Reibungspunkte haben diese \u00dcberarbeitung gepr\u00e4gt.<\/p> \n \n

Version 2.0.0 ist jetzt als \u00f6ffentliche Vorschau verf\u00fcgbar. Dieser Beitrag zeigt, was sich ge\u00e4ndert hat und was das bedeutet, wenn Sie bereits eine Bewertung abgeschlossen haben.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

Die neue Kategorie Kryptografie<\/h2> \n \n

Governance erh\u00e4lt eine neue Kategorie: Kryptografie. Sie b\u00fcndelt die Steuerung kryptografischer Algorithmen und Parameter, Protokolle und Versionen, die Sichtbarkeit kryptografischer Assets sowie kryptografische Lebenszyklen, Ausphasung und Agilit\u00e4t.<\/p> \n \n

Zuvor lagen diese Themen innerhalb von Key Management und Certificate Management als Cipher-Suite-Anforderungen. Diese Einordnung verursachte \u00dcberschneidungen und uneindeutige Terminologie. Dadurch konnten zwei Assessoren berechtigterweise unterschiedlicher Meinung sein, zu welcher Kategorie ein Befund geh\u00f6rt.<\/p> \n \n

Die neue Kategorie enth\u00e4lt sechs Anforderungen.<\/p> \n \n

\n \n \n \n \n \n \n \n \n \n \n
Anforderung<\/th> \nWas ein Assessor bewertet<\/th> \n<\/tr> \n<\/thead> \n
Terminologie und Umfang<\/td> \nOb die f\u00fcr die PKI relevante kryptografische Terminologie und der Umfang definiert und dokumentiert sind<\/td> \n<\/tr> \n
Algorithmen und Parameter<\/td> \nOb die verwendeten Algorithmen und Parameter dokumentiert und formal genehmigt sind<\/td> \n<\/tr> \n
Protokolle und Versionen<\/td> \nOb die verwendeten Protokolle und Protokollversionen dokumentiert und genehmigt sind<\/td> \n<\/tr> \n
Sichtbarkeit der Nutzung<\/td> \nOb Transparenz \u00fcber die tats\u00e4chliche kryptografische Nutzung geschaffen und aufrechterhalten wird<\/td> \n<\/tr> \n
Lebenszyklus und Ausphasung<\/td> \nOb Regeln f\u00fcr kryptografische Lebenszyklen und Ausphasung definiert sind<\/td> \n<\/tr> \n
Kryptografische Agilit\u00e4t<\/td> \nOb Agilit\u00e4t definiert und gesteuert ist \u2014 also die F\u00e4higkeit, Algorithmen oder Parameter kontrolliert zu ersetzen<\/td> \n<\/tr> \n<\/tbody> \n<\/table> \n
Die sechs Anforderungen der neuen Kategorie Kryptografie im Governance-Modul.<\/figcaption> \n<\/figure> \n \n

Lesen Sie diese Liste neben einem beliebigen Post-Quantum-Migrationsplan. Vier der sechs Punkte sind Voraussetzungen daf\u00fcr, und die meisten Organisationen stellen fest, dass sie daf\u00fcr keine ausreichenden Nachweise haben.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

Zwei Anforderungen wurden entfernt<\/h2> \n \n

Konsolidierung wirkt in beide Richtungen. Aus Certificate Management entf\u00e4llt \u201eCertificate cipher suites are documented\u201c, und aus Key Management \u201eCryptographic cipher suites and protocols are documented and maintained\u201c.<\/p> \n \n

Die Begr\u00fcndung ist einfach. Cipher Suites sind ein Konzept auf Protokollebene und vor allem mit TLS und \u00e4hnlichen Protokollen verbunden. Zertifikate definieren oder verhandeln sie nicht. Deshalb vermischte diese Anforderung im Certificate Management kryptografische Governance mit Zertifikatslebenszyklus-Management.<\/p> \n \n

Key Management hatte dasselbe Problem aus der anderen Richtung. Die Genehmigung von Algorithmen und Protokollen ist eine Governance-Aufgabe und keine Aufgabe des Schl\u00fcssellebenszyklus. Deshalb konzentriert sich Key Management jetzt ausschlie\u00dflich auf den Lebenszyklus von Schl\u00fcsseln und Certificate Management auf den Lebenszyklus von Zertifikaten.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

\u00c4nderungen, die Ihre bestehenden Berichte betreffen<\/h2> \n \n

Mehrere \u00c4nderungen sind struktureller statt inhaltlicher Natur. Trotzdem betreffen sie alles, was Sie automatisiert oder als Lesezeichen gespeichert haben.<\/p> \n \n

Reifegrad 2 wurde von \u201eBasic\u201c in \u201eFoundational\u201c umbenannt. Die Nummer des Levels und die Beschreibung dessen, was zum Erreichen erforderlich ist, bleiben unver\u00e4ndert; die Umbenennung soll lediglich die Absicht besser ausdr\u00fccken. Bestehende Berichte aus 1.0.0 bleiben g\u00fcltig. Wenn Sie jedoch einen Bericht neu ausgeben, aktualisieren Sie die Bezeichnung.<\/p> \n \n

Stabile Bezeichner ersetzen positionsbasierte Nummern. Kategorien und Anforderungen wurden bisher als G.1<\/code> und G.1.1<\/code> referenziert; nun hei\u00dfen sie G.strategy-and-vision<\/code> und G.strategy-and-vision.sponsor-support<\/code>. Da die Bezeichner stabil sind, \u00fcberleben sie zuk\u00fcnftige Minor-Releases. Alles, was Sie gegen die alten Nummern gebaut haben, muss einmalig aktualisiert werden.<\/p> \n \n

Auch die URLs der Kategorieseiten haben ihre numerischen Pr\u00e4fixe verloren. Lesezeichen auf Pfade im Stil 01-\u2026<\/code> sollten daher auf die reine Bezeichnerform umgestellt werden. Zus\u00e4tzlich enth\u00e4lt ein gemeinsamer Referenzkatalog jetzt die Standards, Vorschriften und Ver\u00f6ffentlichungen, auf die das Modell verweist. Dadurch lassen sich Titel und Links zentral zwischen Major-Releases pflegen.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

Tools wurden verschoben, eines wurde eingestellt<\/h2> \n \n

Die Excel-basierten Bewertungswerkzeuge sind ab 2.0.0 eingestellt und wurden durch das webbasierte Self-Assessment ersetzt. Sie bleiben unter den mit 1.0.0 gekennzeichneten URLs und im 1.0.0-Bereich der Website erreichbar. Wenn Sie jedoch gegen einen auf main fixierten Pfad automatisiert haben, wird dieser Link nicht mehr funktionieren.<\/p> \n \n

Die Eramba-CSV-Konverterskripte wurden in ein separates Integrations-Repository verschoben. Ebenso liegen ver\u00f6ffentlichte Erweiterungen jetzt in einem eigenen Katalog, statt zusammen mit dem Kernmodell ausgeliefert zu werden.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

Wenn Ihre Bewertung auf 1.0.0 basiert<\/h2> \n \n

Die praktischen Auswirkungen sind geringer, als es ein Sprung der Major-Version vermuten l\u00e4sst.<\/p> \n \n

Kategorien, die aus 1.0.0 \u00fcbernommen wurden, enthalten abgesehen von den beiden entfernten Cipher-Suite-Anforderungen keine inhaltlichen \u00c4nderungen. Daher kann eine kleine Neubewertung dort erforderlich sein, wo eine entfernte Anforderung ein Level wesentlich beeinflusst hat. F\u00fcr die meisten Bewertungen ist der Effekt gering und auf eine einzelne Anforderung beschr\u00e4nkt.<\/p> \n \n

Die eigentliche Arbeit ist additiv. Organisationen, die eine Bewertung nach 1.0.0 abgeschlossen haben, sollten im n\u00e4chsten Zyklus die Kategorie Kryptografie erg\u00e4nzen. Das ist die eine Stelle, an der 2.0.0 wirklich neue Fragen stellt.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

Warum das \u00fcber das Modell hinaus wichtig ist<\/h2> \n \n

OmniTrust wirkt in der Arbeitsgruppe des PKI Maturity Model mit, und wir halten diese \u00dcberarbeitung f\u00fcr die richtige Art von Ver\u00e4nderung. Sie jagt keinen neuen Themen hinterher. Stattdessen korrigiert sie eine Taxonomie, in der kryptografische Governance f\u00e4lschlich unter Lifecycle Management abgelegt war.<\/p> \n \n

Diese Korrektur ist wichtig, weil die Branche gleichzeitig ihre Kryptografie inventarisieren, Zertifikatslaufzeiten verk\u00fcrzen und eine Post-Quantum-Migration planen soll. Nichts davon ist m\u00f6glich, ohne zu wissen, welche Algorithmen eingesetzt werden und wer sie genehmigt hat. Ein Reifegradmodell, das diese Fragen \u00fcber drei Kategorien verteilt, kann nicht messen, ob Sie diese Antworten kennen.<\/p> \n \n

Das Modell wird offen entwickelt, und die Arbeitsgruppe begr\u00fc\u00dft R\u00fcckmeldungen. Wenn Sie beruflich PKI-Programme bewerten, ist die Vorschau der Zeitpunkt, an dem Einw\u00e4nde am einfachsten ber\u00fccksichtigt werden k\u00f6nnen.<\/p> \n\r\n

\u00a0<\/div>\r\n
\r\n
\u00a0<\/div>\r\n\r\n
\n

Wichtigste Erkenntnisse<\/h3> \n\r\n\r\n \n