PKI-Automatisierung: Unternehmen setzen wenig Vertrauen in manuelle Prozesse

DigiCert, Inc., Anbieter von TLS/SSL-, IoT- und anderen PKI-Lösungen, veröffentlichte heute die Ergebnisse seiner diesjährigen Umfrage zum aktuellen Stand der PKI-Automatisierung, aus denen hervorgeht, dass die Anzahl der öffentlich und privat vertrauenswürdigen PKI-Zertifikate, die Unternehmen im Schnitt zu verwalten haben, bei über 50.000 liegt.

Wer diese Menge an Zertifikaten manuell verwalten möchte, riskiert bei falscher Handhabung kostspielige Ausfälle. Zwei Drittel der Befragten trafen solche Ausfälle im letzten halben Jahr – ganze 25 Prozent sogar fünf bis sechs Mal. Aufgrund dieser und anderer Probleme besteht starkes Interesse an der PKI-Automatisierung.

Bei führenden Unternehmen ist die Zertifikatsverwaltung mit sechs Mal größerer Wahrscheinlichkeit bereits automatisiert. Sie halten PKI-SLAs ein und setzen die Selbstmeldung von Mängeln wirksamer um. 

Beinahe zwei Drittel der Unternehmen zeigen sich einigermaßen bis äußerst besorgt über den zeitlichen Aufwand für die Zertifikatsverwaltung. Außerdem fehlt es ihnen an Transparenz. In 37 Prozent der Unternehmen sind mehr als drei Abteilungen an der Zertifikatsverwaltung beteiligt, was ein einheitliches Vorgehen erschwert. Die an der Umfrage beteiligten Unternehmen geben an, dass im Schnitt bis zu 1.200 Zertifikate eigentlich gar nicht verwaltet werden, und beinahe die Hälfte der Befragten (47 Prozent) entdeckt regelmäßig nicht genehmigte Zertifikate, also Zertifikate, die ohne das Wissen oder die Hilfe der IT-Abteilung implementiert wurden. 

„Das Zertifikatsaufkommen hat drastisch zugenommen“, weiß Brian Trzupek, DigiCert SVP of Product. „Darüber hinaus wurde die Gültigkeitsdauer für öffentliche TLS-Zertifikate seit 2018 von drei Jahren auf ein Jahr verkürzt. Deshalb wird es für Unternehmen immer schwieriger, Workflows für digitale Zertifikate manuell zu verwalten. Deshalb wenden sie sich zunehmend der Zertifikatsautomatisierung zu. In diesem Zusammenhang muss für sie jedoch erkennbar sein, wie das Ganze funktioniert und welche langfristigen Kosten und Sicherheitsvorteile die Automatisierung mit sich bringt.“ 

„Ausfälle von Diensten aufgrund abgelaufener PKI-Zertifikate stellen für sämtliche Organisationen ein permanentes Risiko dar, das sich durch die jetzt kürzeren obligatorischen Erneuerungsintervalle verdoppelt hat“, berichtet Michele Liberman, SaaS Operations Manager bei Smart Communications. „Der Verwaltungsaufwand ist enorm, da Ablauf, Anforderung, Erstellung und Bereitstellung für jedes einzelne Zertifikat überwacht werden müssen. Aus betrieblicher Sicht ist die Automatisierung zwecks Risikosenkung und Minderung des Koordinationsaufwands daher äußerst sinnvoll.“

PKI-Automatisierung ist in den meisten Unternehmen zum Thema geworden, 91 Prozent denken zumindest darüber nach. Nur neun Prozent geben an, Automatisierungsmaßnahmen in diesem Bereich nicht in Erwägung zu ziehen und daran auch nichts ändern zu wollen. Die Mehrheit (70 Prozent) plant, in den nächsten 12 Monaten eine Lösung zu implementieren. Ein Viertel der Befragten befindet sich derzeit in der Implementierungsphase oder hat diese sogar schon abgeschlossen.

Nicht alle Unternehmen sind gleich

Mit einer Reihe von Fragen wurde überprüft, wie die Umfrageteilnehmer in einem breiten Spektrum an PKI-Kennzahlen abschneiden. Nach Auswertung der Ergebnisse wurden die Befragten in drei Gruppen unterteilt:

• Spitzenreiter: Organisationen mit optimaler Umsetzung 
• Schlusslichter: Organisationen mit mangelhafter Umsetzung 
• Mittelfeld: Organisationen mit akzeptabler Umsetzung 

Anschließend wurden die Spitzenreiter mit den Schlusslichtern verglichen, um die Unterschiede zu ermitteln und herauszufinden, was die Spitzenreiter besser machen. 

Das Ergebnis: Die Spitzenreiter weisen in jedem Bereich doppelt bis dreifach bessere Ergebnisse als die Schlusslichter auf, darunter bei der Vermeidung von PKI-Sicherheitsrisiken und PKI-Ausfallzeiten sowie bei der Einhaltung PKI-spezifischer SLAs. Schlusslichter erleiden diverse PKI-bezogene negative Konsequenzen, darunter Produktivitätsverluste, Compliance-Probleme, Kundenabwanderung und sogar Umsatzeinbußen.

Was PKI-Spitzenreiter besser machen

PKI-Spitzenreiter sind eher der Meinung, PKI-Automatisierung sei wichtig für die Zukunft ihres Unternehmens. Zudem sind sich Spitzenreiter doppelt so bewusst, wie hoch der Zeitaufwand für das PKI-Management ist. Ausführliche Informationen zu den von PKI-Spitzenreitern ergriffenen Maßnahmen und den sich daraus ergebenden Vorteilen finden Sie in unserem Bericht.

Empfehlungen 

DigiCert empfiehlt Unternehmen, sich mit der Automatisierung ihrer Zertifikatsverwaltung zu befassen und ihre geschäftlichen Abläufe gegebenenfalls entsprechend anzupassen, um sicherzustellen, dass sie weiterhin Best Practices bei der PKI-Implementierung befolgen. Hier ein paar Beispiele:

Zertifikate:

• Ermitteln Sie alle Zertifikate und listen Sie den Bestand auf, aufgeschlüsselt unter anderem nach TLS-, Code-Signing- und Client-Zertifikaten.
• Korrigieren Sie Schlüssel und Zertifikate, die von den Unternehmensrichtlinien abweichen.
• Sichern Sie das Ausstellen und Widerrufen von Zertifikaten durch Best Practices ab. Standardisieren und automatisieren Sie die Registrierung, Ausstellung und Erneuerung von Zertifikaten.

Zertifikats-Workflows: Nutzen Sie für nicht oder manuell verwaltete Zertifikats-Workflows wie Code-Signing, Dokumentsignierung, E-Mail-Zertifikate oder andere Identitäts- und Zugriffsprüfungslösungen eine Software mit zentralen Übersichts- und Steuerfunktionen, mit der Sie Workflows automatisieren können.

ReRez Research befragte im Rahmen dieser Umfrage IT-Fachleute aus 400 Unternehmen der Regionen EMEA, Nordamerika, Lateinamerika und Asien-Pazifik, die mindestens 1.000 Mitarbeiter beschäftigen.

www.digicert.com