{"id":17860,"date":"2026-04-27T10:35:34","date_gmt":"2026-04-27T17:35:34","guid":{"rendered":"https:\/\/www.omnitrust.com\/blog\/pki-reifegradmodell-von-ad-hoc-zu-gesteuerten-ablaeufen\/"},"modified":"2026-09-28T21:09:23","modified_gmt":"2026-09-29T04:09:23","slug":"pki-reifegradmodell-von-ad-hoc-zu-gesteuerten-ablaeufen","status":"publish","type":"post","link":"https:\/\/www.omnitrust.com\/de\/blog\/pki-reifegradmodell-von-ad-hoc-zu-gesteuerten-ablaeufen\/","title":{"rendered":"PKI-Reifegradmodell: Von Ad-hoc zu gesteuerten Abl\u00e4ufen"},"content":{"rendered":" \n

Die meisten PKI-Umgebungen wachsen organisch und arbeiten ohne strukturierte Governance \u2013 nicht aus Nachl\u00e4ssigkeit, sondern weil lange kein Framework zur Orientierung existierte. Das PKI Maturity Model (PKIMM)<\/a> \u00e4ndert das und bietet eine messbare Methode, L\u00fccken zu identifizieren, Verbesserungen zu priorisieren und von reaktiven Abl\u00e4ufen zu gesteuerter Infrastruktur \u00fcberzugehen.<\/p> \n\r\n

\u00a0<\/div>\r\n
\r\n

Die gr\u00f6\u00dfte L\u00fccke vieler PKI-Teams liegt nicht bei den Tools. Sie liegt in der Governance. PKIMM gibt dieser Governance eine Struktur.<\/strong><\/p>\r\n<\/div>\n\r\n

\u00a0<\/div>\r\n \n

Sie kennen das Muster. Ein Zertifikat l\u00e4uft am Freitagabend ab. Jemand erneuert es manuell, schickt dem Team eine E-Mail und aktualisiert eine Tabelle \u2013 sofern diese \u00fcberhaupt noch existiert. Die CA, die es ausgestellt hat, arbeitet nach einer Richtlinie, die seit der Bereitstellung niemand gepr\u00fcft hat. Drei weitere CAs in der Umgebung sind nicht dokumentiert.<\/p> \n \n

Das ist kein Tool-Problem. Es ist ein Governance-Problem. Und der regulatorische Druck macht es dringlich. NIS2, DORA und eIDAS 2 verlangen nachweisbare Kontrolle \u00fcber kryptografische Assets. Pr\u00fcfer akzeptieren \u201eWir verwalten Zertifikate\u201c nicht mehr als ausreichend. Sie wollen Belege f\u00fcr definierte Prozesse, gemessene Compliance und kontinuierliche Verbesserung. Eine Ad-hoc-PKI kann diese Nachweise nicht liefern, weil die Prozesse nie definiert wurden.<\/p> \n \n

Ohne ein Reifegradmodell sind Verbesserungsma\u00dfnahmen meist reaktiv: Man behebt das zuletzt aufgetretene Problem oder kauft das Tool f\u00fcr die lauteste Beschwerde. Das Ergebnis ist Flickwerk \u2013 an einzelnen Stellen besser, insgesamt aber weiterhin fragil.<\/p> \n\r\n

\u00a0<\/div>\r\n \n

Das Problem der Ad-hoc-PKI<\/h2> \n \n

In der Praxis beginnen PKI-Implementierungen selten mit einem Governance-Plan. Stattdessen beginnen sie mit einer Anforderung: Jemand braucht ein Zertifikat. Eine CA wird eingerichtet. Dann eine weitere. Zertifikate werden erstellt. Die Nachverfolgung erfolgt typischerweise in Tabellen, im Ged\u00e4chtnis einzelner Personen \u2013 oder gar nicht.<\/p> \n \n

Mit der Zeit sammeln sich in der Umgebung bekannte Probleme an:<\/p> \n \n