Seminar MTG Intensivseminar PKI, CARA und CLM

Das Intensivformat behandelt die vollständige Konzeption, Administration und Automatisierung einer unternehmensweiten Zertifikatsinfrastruktur von der CA-Hierarchie bis zum operativen Lifecycle. Theorie, Demonstrationen und angeleitete Übungen werden so verbunden, dass technische Entscheidungen, Konfigurationen und Betriebsabläufe unmittelbar nachvollziehbar bleiben.

Inhaltsverzeichnis

1. Zielsetzung
2. Zielgruppe
3. Voraussetzungen
4. Modul 1: PKI-Grundlagen und Vertrauensmodelle
5. Modul 2: Corporate- und Managed-PKI-Architektur
6. Modul 3: CARA-Administration und Rollen
7. Modul 4: Zertifikatsprofile und Templates
8. Modul 5: CLM-Architektur und Inventar
9. Modul 6: Lifecycle, Identity Management und Rollen
10. Modul 7: Automatisierung, Protokolle und Deployment
11. Modul 8: Spezialintegrationen für eID und BACnet/SC
12. Modul 9: Betrieb, Monitoring und Incident Response
13. Modul 10: Gesamtübung und Einführungsroadmap
14. Praxisfälle und Übungen
15. Qualitäts- und Sicherheitskontrollen
16. Kompetenzen nach dem Seminar

Zielsetzung

Ziel ist der methodische Aufbau belastbarer Handlungskompetenz für die vollständige Konzeption, Administration und Automatisierung einer unternehmensweiten Zertifikatsinfrastruktur von der CA-Hierarchie bis zum operativen Lifecycle. Jede Lerneinheit führt von der Anforderungsanalyse über das technische Sollmodell und die Umsetzung bis zur Prüfung, Fehlerbehandlung und Betriebsdokumentation.

Zielgruppe

Das Seminar richtet sich an PKI- und CLM-Administratoren, Security Architects, Plattform Engineers, Automatisierungsteams und technische Betriebsverantwortliche. Die Übungen berücksichtigen Architektur, Administration, Integration, Betrieb und Sicherheitskontrolle in klar getrennten Rollen.

Voraussetzungen

Gute Kenntnisse zu Netzwerken, TLS und Systemadministration; PKI-Grundlagen werden vorausgesetzt. Für praktische Übungen werden ein vorbereitetes Schulungssystem und dokumentierte Beispieldaten verwendet.

Modul 1: PKI-Grundlagen und Vertrauensmodelle

Behandelt werden X.509, Schlüssel, Signaturen, Zertifikatsketten, Validierung, Sperrstatus und Richtlinien. Die fachlichen und technischen Abhängigkeiten werden zunächst abgegrenzt, anschließend in ein prüfbares Sollmodell überführt und danach anhand eines realitätsnahen Szenarios umgesetzt.

Schritt-für-Schritt-Anleitung

1. Ausgangslage erfassen: Vorhandene Angaben zu den Themen „X.509“, „Schlüssel“ und „Signaturen“ erfassen, den Schutzbedarf bestimmen und zuständige Rollen eindeutig zuordnen.
2. Sollmodell festlegen: Für die Teilbereiche „Zertifikatsketten“ und „Validierung“ verbindliche Regeln, Abhängigkeiten, Statusübergänge und messbare Akzeptanzkriterien formulieren.
3. Konfiguration umsetzen: Die Konfiguration für den Teilbereich „Sperrstatus und Richtlinien“ im Schulungssystem in kontrollierter Reihenfolge umsetzen, benötigte Objekte verknüpfen und jede Änderung mit Zweck und Rückfalloption dokumentieren.
4. Funktion und Sicherheit prüfen: Das Zusammenspiel der Teilbereiche „X.509“ und „Sperrstatus und Richtlinien“ in einem Positivfall, einem Berechtigungs- oder Validierungsfehler sowie einem technischen Störungsfall testen.
5. Betrieb vorbereiten: Für PKI-Grundlagen und Vertrauensmodelle Prüfwerte, Alarmkriterien, Wiederanlaufmaßnahmen, Verantwortlichkeiten und wiederkehrende Kontrollen in einer Betriebsanweisung festhalten.

Modul 2: Corporate- und Managed-PKI-Architektur

Behandelt werden Root- und Issuing-CAs, Online- und Offline-Betrieb, Vertrauensdomänen, Namensräume, Skalierung, Servicegrenzen und Übergabeszenarien. Die fachlichen und technischen Abhängigkeiten werden zunächst abgegrenzt, anschließend in ein prüfbares Sollmodell überführt und danach anhand eines realitätsnahen Szenarios umgesetzt.

Schritt-für-Schritt-Anleitung

1. Ausgangslage erfassen: Vorhandene Angaben zu den Themen „Root- und Issuing-CAs“, „Online- und Offline-Betrieb“ und „Vertrauensdomänen“ erfassen, den Schutzbedarf bestimmen und zuständige Rollen eindeutig zuordnen.
2. Sollmodell festlegen: Für die Teilbereiche „Namensräume“ und „Skalierung“ verbindliche Regeln, Abhängigkeiten, Statusübergänge und messbare Akzeptanzkriterien formulieren.
3. Konfiguration umsetzen: Die Konfiguration für den Teilbereich „Servicegrenzen und Übergabeszenarien“ im Schulungssystem in kontrollierter Reihenfolge umsetzen, benötigte Objekte verknüpfen und jede Änderung mit Zweck und Rückfalloption dokumentieren.
4. Funktion und Sicherheit prüfen: Das Zusammenspiel der Teilbereiche „Root- und Issuing-CAs“ und „Servicegrenzen und Übergabeszenarien“ in einem Positivfall, einem Berechtigungs- oder Validierungsfehler sowie einem technischen Störungsfall testen.
5. Betrieb vorbereiten: Für Corporate- und Managed-PKI-Architektur Prüfwerte, Alarmkriterien, Wiederanlaufmaßnahmen, Verantwortlichkeiten und wiederkehrende Kontrollen in einer Betriebsanweisung festhalten.

Modul 3: CARA-Administration und Rollen

Behandelt werden Organisationen, Mandanten, Registrierungsprozesse, Genehmigungen, Funktionstrennung und administrative Kontrollen. Die fachlichen und technischen Abhängigkeiten werden zunächst abgegrenzt, anschließend in ein prüfbares Sollmodell überführt und danach anhand eines realitätsnahen Szenarios umgesetzt.

Schritt-für-Schritt-Anleitung

1. Ausgangslage erfassen: Vorhandene Angaben zu den Themen „Organisationen“, „Mandanten“ und „Registrierungsprozesse“ erfassen, den Schutzbedarf bestimmen und zuständige Rollen eindeutig zuordnen.
2. Sollmodell festlegen: Für die Teilbereiche „Genehmigungen“ und „Funktionstrennung und administrative Kontrollen“ verbindliche Regeln, Abhängigkeiten, Statusübergänge und messbare Akzeptanzkriterien formulieren.
3. Konfiguration umsetzen: Die Konfiguration für den Teilbereich „CARA-Administration und Rollen“ im Schulungssystem in kontrollierter Reihenfolge umsetzen, benötigte Objekte verknüpfen und jede Änderung mit Zweck und Rückfalloption dokumentieren.
4. Funktion und Sicherheit prüfen: Das Zusammenspiel der Teilbereiche „Organisationen“ und „CARA-Administration und Rollen“ in einem Positivfall, einem Berechtigungs- oder Validierungsfehler sowie einem technischen Störungsfall testen.
5. Betrieb vorbereiten: Für CARA-Administration und Rollen Prüfwerte, Alarmkriterien, Wiederanlaufmaßnahmen, Verantwortlichkeiten und wiederkehrende Kontrollen in einer Betriebsanweisung festhalten.

Modul 4: Zertifikatsprofile und Templates

Behandelt werden Subject, SAN, Key Usage, EKU, Laufzeiten, Algorithmen, Pflichtfelder, Versionierung und Freigabe. Die fachlichen und technischen Abhängigkeiten werden zunächst abgegrenzt, anschließend in ein prüfbares Sollmodell überführt und danach anhand eines realitätsnahen Szenarios umgesetzt.

Schritt-für-Schritt-Anleitung

1. Ausgangslage erfassen: Vorhandene Angaben zu den Themen „Subject“, „SAN“ und „Key Usage“ erfassen, den Schutzbedarf bestimmen und zuständige Rollen eindeutig zuordnen.
2. Sollmodell festlegen: Für die Teilbereiche „EKU“ und „Laufzeiten“ verbindliche Regeln, Abhängigkeiten, Statusübergänge und messbare Akzeptanzkriterien formulieren.
3. Konfiguration umsetzen: Die Konfiguration für den Teilbereich „Algorithmen“ im Schulungssystem in kontrollierter Reihenfolge umsetzen, benötigte Objekte verknüpfen und jede Änderung mit Zweck und Rückfalloption dokumentieren.
4. Funktion und Sicherheit prüfen: Das Zusammenspiel der Teilbereiche „Subject“ und „Algorithmen“ in einem Positivfall, einem Berechtigungs- oder Validierungsfehler sowie einem technischen Störungsfall testen.
5. Betrieb vorbereiten: Für Zertifikatsprofile und Templates Prüfwerte, Alarmkriterien, Wiederanlaufmaßnahmen, Verantwortlichkeiten und wiederkehrende Kontrollen in einer Betriebsanweisung festhalten.

Modul 5: CLM-Architektur und Inventar

Behandelt werden Certificate Discovery, Eigentümer, Anwendungen, Abhängigkeiten, Kritikalität und Datenqualität. Die fachlichen und technischen Abhängigkeiten werden zunächst abgegrenzt, anschließend in ein prüfbares Sollmodell überführt und danach anhand eines realitätsnahen Szenarios umgesetzt.

Schritt-für-Schritt-Anleitung

1. Ausgangslage erfassen: Vorhandene Angaben zu den Themen „Certificate Discovery“, „Eigentümer“ und „Anwendungen“ erfassen, den Schutzbedarf bestimmen und zuständige Rollen eindeutig zuordnen.
2. Sollmodell festlegen: Für die Teilbereiche „Abhängigkeiten“ und „Kritikalität und Datenqualität“ verbindliche Regeln, Abhängigkeiten, Statusübergänge und messbare Akzeptanzkriterien formulieren.
3. Konfiguration umsetzen: Die Konfiguration für den Teilbereich „CLM-Architektur und Inventar“ im Schulungssystem in kontrollierter Reihenfolge umsetzen, benötigte Objekte verknüpfen und jede Änderung mit Zweck und Rückfalloption dokumentieren.
4. Funktion und Sicherheit prüfen: Das Zusammenspiel der Teilbereiche „Certificate Discovery“ und „CLM-Architektur und Inventar“ in einem Positivfall, einem Berechtigungs- oder Validierungsfehler sowie einem technischen Störungsfall testen.
5. Betrieb vorbereiten: Für CLM-Architektur und Inventar Prüfwerte, Alarmkriterien, Wiederanlaufmaßnahmen, Verantwortlichkeiten und wiederkehrende Kontrollen in einer Betriebsanweisung festhalten.

Modul 6: Lifecycle, Identity Management und Rollen

Behandelt werden Beantragung, Ausstellung, Verteilung, Erneuerung, Austausch, Sperrung, Widerruf, Rollenmodelle, Funktionstrennung und Rezertifizierung. Die fachlichen und technischen Abhängigkeiten werden zunächst abgegrenzt, anschließend in ein prüfbares Sollmodell überführt und danach anhand eines realitätsnahen Szenarios umgesetzt.

Schritt-für-Schritt-Anleitung

1. Ausgangslage erfassen: Vorhandene Angaben zu den Themen „Beantragung“, „Ausstellung“ und „Verteilung“ erfassen, den Schutzbedarf bestimmen und zuständige Rollen eindeutig zuordnen.
2. Sollmodell festlegen: Für die Teilbereiche „Erneuerung“ und „Austausch“ verbindliche Regeln, Abhängigkeiten, Statusübergänge und messbare Akzeptanzkriterien formulieren.
3. Konfiguration umsetzen: Die Konfiguration für den Teilbereich „Sperrung“ im Schulungssystem in kontrollierter Reihenfolge umsetzen, benötigte Objekte verknüpfen und jede Änderung mit Zweck und Rückfalloption dokumentieren.
4. Funktion und Sicherheit prüfen: Das Zusammenspiel der Teilbereiche „Beantragung“ und „Sperrung“ in einem Positivfall, einem Berechtigungs- oder Validierungsfehler sowie einem technischen Störungsfall testen.
5. Betrieb vorbereiten: Für Lifecycle, Identity Management und Rollen Prüfwerte, Alarmkriterien, Wiederanlaufmaßnahmen, Verantwortlichkeiten und wiederkehrende Kontrollen in einer Betriebsanweisung festhalten.

Modul 7: Automatisierung, Protokolle und Deployment

Behandelt werden ACME, EST, SCEP, CMP, REST, CLI, Servicekonten, DevOps-Pipelines, Zielsysteme, Validierung und Rollback. Die fachlichen und technischen Abhängigkeiten werden zunächst abgegrenzt, anschließend in ein prüfbares Sollmodell überführt und danach anhand eines realitätsnahen Szenarios umgesetzt.

Schritt-für-Schritt-Anleitung

1. Ausgangslage erfassen: Vorhandene Angaben zu den Themen „ACME“, „EST“ und „SCEP“ erfassen, den Schutzbedarf bestimmen und zuständige Rollen eindeutig zuordnen.
2. Sollmodell festlegen: Für die Teilbereiche „CMP“ und „REST“ verbindliche Regeln, Abhängigkeiten, Statusübergänge und messbare Akzeptanzkriterien formulieren.
3. Konfiguration umsetzen: Die Konfiguration für den Teilbereich „CLI“ im Schulungssystem in kontrollierter Reihenfolge umsetzen, benötigte Objekte verknüpfen und jede Änderung mit Zweck und Rückfalloption dokumentieren.
4. Funktion und Sicherheit prüfen: Das Zusammenspiel der Teilbereiche „ACME“ und „CLI“ in einem Positivfall, einem Berechtigungs- oder Validierungsfehler sowie einem technischen Störungsfall testen.
5. Betrieb vorbereiten: Für Automatisierung, Protokolle und Deployment Prüfwerte, Alarmkriterien, Wiederanlaufmaßnahmen, Verantwortlichkeiten und wiederkehrende Kontrollen in einer Betriebsanweisung festhalten.

Modul 8: Spezialintegrationen für eID und BACnet/SC

Behandelt werden Identitätsprozesse, sichere Rückgaben, Gebäudeautomationsgeräte, Zertifikatsprofile, Trust-Listen, TLS und kontrollierte Inbetriebnahme. Die fachlichen und technischen Abhängigkeiten werden zunächst abgegrenzt, anschließend in ein prüfbares Sollmodell überführt und danach anhand eines realitätsnahen Szenarios umgesetzt.

Schritt-für-Schritt-Anleitung

1. Ausgangslage erfassen: Vorhandene Angaben zu den Themen „Identitätsprozesse“, „sichere Rückgaben“ und „Gebäudeautomationsgeräte“ erfassen, den Schutzbedarf bestimmen und zuständige Rollen eindeutig zuordnen.
2. Sollmodell festlegen: Für die Teilbereiche „Zertifikatsprofile“ und „Trust-Listen“ verbindliche Regeln, Abhängigkeiten, Statusübergänge und messbare Akzeptanzkriterien formulieren.
3. Konfiguration umsetzen: Die Konfiguration für den Teilbereich „TLS und kontrollierte Inbetriebnahme“ im Schulungssystem in kontrollierter Reihenfolge umsetzen, benötigte Objekte verknüpfen und jede Änderung mit Zweck und Rückfalloption dokumentieren.
4. Funktion und Sicherheit prüfen: Das Zusammenspiel der Teilbereiche „Identitätsprozesse“ und „TLS und kontrollierte Inbetriebnahme“ in einem Positivfall, einem Berechtigungs- oder Validierungsfehler sowie einem technischen Störungsfall testen.
5. Betrieb vorbereiten: Für Spezialintegrationen für eID und BACnet/SC Prüfwerte, Alarmkriterien, Wiederanlaufmaßnahmen, Verantwortlichkeiten und wiederkehrende Kontrollen in einer Betriebsanweisung festhalten.

Modul 9: Betrieb, Monitoring und Incident Response

Behandelt werden Jobs, Logs, Ablaufwarnungen, CA- und CLM-Zustände, Kompromittierung, Widerruf und Wiederherstellung. Die fachlichen und technischen Abhängigkeiten werden zunächst abgegrenzt, anschließend in ein prüfbares Sollmodell überführt und danach anhand eines realitätsnahen Szenarios umgesetzt.

Schritt-für-Schritt-Anleitung

1. Ausgangslage erfassen: Vorhandene Angaben zu den Themen „Jobs“, „Logs“ und „Ablaufwarnungen“ erfassen, den Schutzbedarf bestimmen und zuständige Rollen eindeutig zuordnen.
2. Sollmodell festlegen: Für die Teilbereiche „CA- und CLM-Zustände“ und „Kompromittierung“ verbindliche Regeln, Abhängigkeiten, Statusübergänge und messbare Akzeptanzkriterien formulieren.
3. Konfiguration umsetzen: Die Konfiguration für den Teilbereich „Widerruf und Wiederherstellung“ im Schulungssystem in kontrollierter Reihenfolge umsetzen, benötigte Objekte verknüpfen und jede Änderung mit Zweck und Rückfalloption dokumentieren.
4. Funktion und Sicherheit prüfen: Das Zusammenspiel der Teilbereiche „Jobs“ und „Widerruf und Wiederherstellung“ in einem Positivfall, einem Berechtigungs- oder Validierungsfehler sowie einem technischen Störungsfall testen.
5. Betrieb vorbereiten: Für Betrieb, Monitoring und Incident Response Prüfwerte, Alarmkriterien, Wiederanlaufmaßnahmen, Verantwortlichkeiten und wiederkehrende Kontrollen in einer Betriebsanweisung festhalten.

Modul 10: Gesamtübung und Einführungsroadmap

Behandelt werden Anforderungen, Zielbild, Pilot, Migration, Test, Rollout, Abnahme und Betriebsübergabe. Die fachlichen und technischen Abhängigkeiten werden zunächst abgegrenzt, anschließend in ein prüfbares Sollmodell überführt und danach anhand eines realitätsnahen Szenarios umgesetzt.

Schritt-für-Schritt-Anleitung

1. Ausgangslage erfassen: Vorhandene Angaben zu den Themen „Anforderungen“, „Zielbild“ und „Pilot“ erfassen, den Schutzbedarf bestimmen und zuständige Rollen eindeutig zuordnen.
2. Sollmodell festlegen: Für die Teilbereiche „Migration“ und „Test“ verbindliche Regeln, Abhängigkeiten, Statusübergänge und messbare Akzeptanzkriterien formulieren.
3. Konfiguration umsetzen: Die Konfiguration für den Teilbereich „Rollout“ im Schulungssystem in kontrollierter Reihenfolge umsetzen, benötigte Objekte verknüpfen und jede Änderung mit Zweck und Rückfalloption dokumentieren.
4. Funktion und Sicherheit prüfen: Das Zusammenspiel der Teilbereiche „Anforderungen“ und „Rollout“ in einem Positivfall, einem Berechtigungs- oder Validierungsfehler sowie einem technischen Störungsfall testen.
5. Betrieb vorbereiten: Für Gesamtübung und Einführungsroadmap Prüfwerte, Alarmkriterien, Wiederanlaufmaßnahmen, Verantwortlichkeiten und wiederkehrende Kontrollen in einer Betriebsanweisung festhalten.

Praxisfälle und Übungen

Praxisaufgabe 1

Eine vollständige PKI- und CLM-Zielarchitektur entwerfen. Die Bearbeitung folgt den Schritten Analyse, Sollentwurf, Umsetzung, Validierung und Dokumentation. Abweichungen werden nach Ursache, Auswirkung und Korrekturmaßnahme bewertet.

Praxisaufgabe 2

Ein Zertifikatsprofil samt Genehmigung und automatisierter Erneuerung umsetzen. Die Bearbeitung folgt den Schritten Analyse, Sollentwurf, Umsetzung, Validierung und Dokumentation. Abweichungen werden nach Ursache, Auswirkung und Korrekturmaßnahme bewertet.

Praxisaufgabe 3

Einen abgelaufenen oder kompromittierten Bestand kontrolliert bereinigen. Die Bearbeitung folgt den Schritten Analyse, Sollentwurf, Umsetzung, Validierung und Dokumentation. Abweichungen werden nach Ursache, Auswirkung und Korrekturmaßnahme bewertet.

Qualitäts- und Sicherheitskontrollen

• Konfigurationen werden gegen ein dokumentiertes Sollmodell und definierte Akzeptanzkriterien geprüft.
• Administrative und fachliche Berechtigungen werden nach Least-Privilege und Funktionstrennung bewertet.
• Positiv-, Negativ-, Ablauf-, Ausfall- und Wiederanlauffälle werden reproduzierbar getestet.
• Protokolle, Statusinformationen und Bestandsdaten werden auf Vollständigkeit, Zeitbezug und Nachvollziehbarkeit kontrolliert.
• Änderungen, Restrisiken, Rückfalloptionen und wiederkehrende Betriebsaufgaben werden in einer Übergabedokumentation festgehalten.

Kompetenzen nach dem Seminar

• Anforderungen für die vollständige Konzeption, Administration und Automatisierung einer unternehmensweiten Zertifikatsinfrastruktur von der CA-Hierarchie bis zum operativen Lifecycle strukturiert erheben und priorisieren
• eine technisch und organisatorisch belastbare Zielkonfiguration entwerfen
• Konfigurations- und Integrationsschritte kontrolliert ausführen
• Fehler anhand von Zuständen, Protokollen und Abhängigkeiten eingrenzen
• Betriebs-, Sicherheits- und Auditkontrollen nachvollziehbar dokumentieren