IT-Security-Tipp: SSL-/TLS-Zertifikate verwalten und rechtzeitig erneuern – mit Key Manager Plus
SSL-Zertifikate werden im IT-Alltag häufig erst dann sichtbar, wenn diese ablaufen und erneuert werden müssen. Gemeint sind damit Zertifikate für Secure Sockets Layer (SSL) bzw. Transport Layer Security (TLS), die verschlüsselte Verbindungen absichern. Bis März 2029 werden die Laufzeiten öffentlicher SSL-/TLS-Zertifikate von vertrauenswürdigen Zertifizierungsstellen schrittweise auf 47 Tage verkürzt. Damit steigt der Aufwand für die Verwaltung, Erneuerung und Bereitstellung von Zertifikaten deutlich.
Für IT-Teams bedeutet das: Manuelle Prozesse mit Tabellen, Kalendererinnerungen oder einzelnen Skripten werden zunehmend an Grenzen stoßen. Wer Ausfälle durch abgelaufene Zertifikate vermeiden – und nur wenig Zeit in die Verwaltung von SSL-Zertifikaten investieren – möchte, benötigt eine zentrale Übersicht über die vorhandenen Zertifikate, zuverlässige Ablaufbenachrichtigungen und möglichst automatisierte Erneuerungsprozesse.
Spezialisierte Lösungen für die Verwaltung von SSL-/TSL-Zertifikaten wie ManageEngine Key Manager Plus, umfassende Privileged-Access-Management-Lösungen wie PAM360 oder Passwort-Management-Lösungen wie Password Manager Pro unterstützen IT-Teams dabei, SSL-/TLS-Zertifikate zentral zu verwalten, Ablaufdaten im Blick zu behalten und Erneuerungen strukturiert umzusetzen.
In diesem Tipp zeigen wir, wie Sie SSL-/TLS-Zertifikate mit ManageEngine Key Manager Plus zentral erfassen, überwachen und rechtzeitig erneuern können.
- Warum Zertifikatsmanagement jetzt zur Daueraufgabe wird
- Tipp 1: Vorhandene SSL-/TLS-Zertifikate im Netzwerk ermitteln
- Tipp 2: Certificate Signing Requests (CSR) zentral erstellen und verwalten
- Tipp 3: SSL-/TLS-Zertifikate rechtzeitig erneuern
- Tipp 4: SSL-/TLS-Zertifikate auf Zielsystemen bereitstellen
- Tipp 5: Zertifikate überwachen und auf Schwachstellen prüfen
Hier geht es direkt zu den Key Manager Plus Tipps:
- So konfigurieren Sie die automatische SSL-Discovery
- So suchen Sie manuell nach SSL-/TLS-Zertifikaten
- So erstellen Sie eine Certificate Signing Request (CSR) in Key Manager Plus
- So erneuern Sie Zertifikate über die Zertifikatsübersicht
- So stellen Sie SSL-/TLS-Zertifikate auf Zielsystemen bereit
- So rufen Sie SSL-Reports in Key Manager Plus auf
Key Manager Plus, Password Manager Pro oder PAM360?
Key Manager Plus ist auf das zentrale Management von SSL-/TLS-Zertifikaten und SSH-Schlüsseln spezialisiert und unterstützt IT-Teams über den gesamten Zertifikatslebenszyklus hinweg.
Password Manager Pro ist eine Lösung zur Verwaltung von Passwörtern und Zugangsdaten für privilegierte Konten. Zusätzlich lassen sich damit auch SSL-Zertifikate verwalten; die Lösung unterstützt unter anderem CSR-Erstellung, Ablaufbenachrichtigungen und Zertifikatserneuerung.
PAM360 ist eine umfassende Privileged-Access-Management-Lösung zur Absicherung und Verwaltung privilegierter Konten, Zugangsdaten und Sitzungen. Darüber hinaus unterstützt PAM360 auch die Verwaltung von SSL-Zertifikaten; die Lösung unterstützt unter anderem Discovery, CSR-Erstellung, Zertifikatsverwaltung und Bereitstellung über Agenten.
Warum Zertifikatsmanagement jetzt zur Daueraufgabe wird
Zwei Entwicklungen erhöhen derzeit den Aufwand für IT-Teams bei der Verwaltung von Zertifikaten:
Die Laufzeiten öffentlich vertrauenswürdiger SSL-/TLS-Zertifikate werden schrittweise verkürzt. Grundlage ist eine Entscheidung des CA/Browser Forum, eines Branchenforums aus Zertifizierungsstellen, Browser-Herstellern und weiteren Beteiligten, das zentrale Anforderungen für öffentlich vertrauenswürdige TLS-Zertifikate definiert. Mit der kürzeren Gültigkeit sollen Zertifikatsdaten schneller aktualisiert und Risiken durch veraltete, falsch ausgestellte oder kompromittierte Zertifikate reduziert werden.
Konkret sinkt die maximale Laufzeit von bisher 398 Tagen (seit 15. März 2026 bereits nur noch 200 Tage) in mehreren Schritten auf 47 Tage ab 15. März 2029. Gleichzeitig wird der Zeitraum verkürzt, in dem Validierungsdaten wiederverwendet werden dürfen; für Domain-Validierungen sind ab 2029 nur noch 10 Tage vorgesehen.
Die Zahl der Zertifikate steigt in vielen IT-Umgebungen deutlich. Cloud-native Architekturen, DevOps-Prozesse, Container, Microservices, APIs, IoT-Geräte und Machine Identities sorgen dafür, dass Zertifikate längst nicht mehr nur auf klassischen Webservern relevant sind. Auch interne und private Zertifikate müssen zuverlässig überwacht und verwaltet werden.
Aus einer gelegentlichen Verwaltungsaufgabe wird damit ein kontinuierlicher Betriebsprozess. Das bedeutet: IT-Teams brauchen eine zentrale Übersicht über vorhandene Zertifikate, verlässliche Ablaufbenachrichtigungen und möglichst automatisierte Prozesse für Erneuerung, Validierung und Bereitstellung.
Kurz erklärt: SSL-/TLS-Zertifikate
SSL-/TLS-Zertifikate ermöglichen verschlüsselte Verbindungen zwischen Client und Server. Ruft ein Nutzer beispielsweise eine Website oder Anwendung auf, legt der Server sein Zertifikat vor.
Der Client prüft anschließend, ob das Zertifikat gültig ist und von einer vertrauenswürdigen Zertifizierungsstelle (Certificate Authority, CA) ausgestellt wurde. Ist die Prüfung erfolgreich, wird eine verschlüsselte Verbindung aufgebaut. Das schützt die übertragenen Daten vor Mitlesen oder Manipulation.
Tipp 1: Vorhandene SSL-/TLS-Zertifikate im Netzwerk ermitteln
Für ein zuverlässiges Zertifikatsmanagement brauchen IT-Teams zunächst einen vollständigen Überblick. In gewachsenen Umgebungen sind Zertifikate oft nicht nur auf Webservern im Einsatz, sondern sichern auch interne Anwendungen, APIs, Load Balancer oder Testsysteme ab. Ohne automatisierte Suche lässt sich kaum überblicken, welche Zertifikate tatsächlich im Einsatz sind, wann sie ablaufen und auf welchen Systemen sie bereitgestellt wurden.
Mit Key Manager Plus lassen sich SSL-/TLS-Zertifikate im Netzwerk automatisch ermitteln und in ein zentrales Repository übernehmen. Die Discovery kann entweder manuell gestartet oder regelmäßig automatisiert ausgeführt werden. Alle gefundenen Zertifikate werden anschließend unter „SSL > Certificates“ angezeigt und können dort weiter geprüft und verwaltet werden.
So konfigurieren Sie die automatische SSL-Discovery
- In Key Manager Plus auf dem Reiter „Schedule“ auf „Add Schedule“ klicken.
- Im neuen Fenster einen Namen für den Zeitplan vergeben.
- Bei „Schedule Type“ die Option „SSL Discovery“ auswählen.
- Unter „Discover by“ beispielsweise Start- und End-IP des IP-Adressbereichs sowie den gewünschten Port angeben, über den nach SSL-Zertifikaten gesucht werden soll.
- Unter „Recurrence Type“ festlegen, wie häufig die Discovery ausgeführt werden soll, zum Beispiel stündlich, täglich, wöchentlich, monatlich oder einmalig. Je nach Auswahl Startzeit, Datum oder Wochentag definieren.
- Bei Bedarf E-Mail-Benachrichtigungen ergänzen.
- Mit „Save“ speichern.
Hinweis:
Gerade für größere oder dynamische Umgebungen empfiehlt es sich, die SSL-Discovery regelmäßig auszuführen. So werden auch neu hinzugekommene Zertifikate erfasst, bevor sie unbemerkt ablaufen oder außerhalb definierter Prozesse verwaltet werden.
So suchen Sie manuell nach SSL-/TLS-Zertifikaten
Für gezielte Prüfungen einzelner Systeme oder IP-Bereiche kann die SSL-Discovery auch manuell gestartet werden. Dabei stehen verschiedene Suchoptionen zur Verfügung: nach Hostname, IP-Adresse, IP-Adressbereichen, Subnetzen oder über eine Datei mit Serverlisten.
- Auf dem Reiter „Discovery“ auf den Tab „SSL“ klicken.
- Die gewünschte Suchmethode wählen und die erforderlichen Details eingeben:
- Hostname/IP Address: Suche nach Zertifikaten auf einem bestimmten Server
- IP Address Range: Suche nach Zertifikaten innerhalb eines IP-Adressbereichs
- From File: Import einer Textdatei mit mehreren Servern, die durchsucht werden sollen
- Subnet: Suche nach Zertifikaten in bestimmten Subnetzen innerhalb eines IP-Bereichs
- Bei Bedarf Werte für „Time out“ und „Port“ festlegen. Wenn kein Port angegeben wird, verwendet Key Manager Plus standardmäßig Port 443 für die SSL-Discovery.
- Ggf. „Bypass Proxy Settings“ aktivieren, wenn Key Manager Plus die Online-Zertifikatssuche direkt und ohne den konfigurierten Proxy durchführen soll.
- Auf „Discover“ klicken.
Nach dem Start der Suche leitet Key Manager Plus zur Seite „Discovery Audit“ weiter. Dort können Sie den Status der aktuellen Discovery prüfen.
Hinweis:
Die Sucheinstellungen von Key Manager Plus lassen sich bei Bedarf an die eigene Umgebung anpassen – etwa zur Optimierung von Performance, Effizienz oder bei spezifischen Netzwerkvorgaben.
Detaillierte Informationen finden Sie hier in der englischen Hilfe.
Tipp 2: Certificate Signing Requests (CSR) zentral erstellen und verwalten
Wird ein neues SSL-/TLS-Zertifikat benötigt, beginnt der Prozess in der Regel mit einem Certificate Signing Request (CSR). Mit Key Manager Plus können Sie CSRs direkt über die Weboberfläche erstellen und anschließend nutzen, um Zertifikate bei öffentlichen Zertifizierungsstellen (CAs) anzufordern.
Alle vorhandenen CSRs werden unter „SSL > CSR“ angezeigt. Dort sind unter anderem Informationen wie Domainname, Ersteller, Erstellungszeitpunkt, Schlüsselgröße und Schlüsselalgorithmus sichtbar. CSRs lassen sich dort erstellen, importieren, exportieren oder löschen.
So erstellen Sie eine Certificate Signing Request (CSR) in Key Manager Plus
- Auf dem Reiter „SSL“ auf den Tab „CSR“ klicken.
- Auf „Create“ klicken.
- Im neuen Fenster wählen, wie der CSR erstellt werden soll.
- Möglichkeit 1: „Create CSR“
Der CSR wird manuell mit den erforderlichen Zertifikats- und Schlüsseldaten erstellt. Dazu sind folgende Angaben erforderlich:- „Common Name“, „SAN“, „Organization Unit“, „Organization“, „Location“, „State“, „Country“ und „Email Address“ eingeben.
- „Key Algorithm“, „Key Size“, „Signature Algorithm“ und „KeyStore Type“ festlegen.
- Bei „Validity Type“ die gewünschte Gültigkeitsdauer auswählen, zum Beispiel Tage, Stunden oder Minuten, und die entsprechende Gültigkeit eintragen.
- Bei „Store Password“ ein sicheres Passwort festlegen.
- Bei „Expiry Notification Email“ eine E-Mail-Adresse für Ablaufbenachrichtigungen angeben.
- Bei Bedarf den „Sign Type“ auswählen und die erforderlichen Angaben ergänzen.
- Auf „Create“ klicken.
- Möglichkeit 2: „Create CSR from KeyStore“
Der CSR wird auf Basis einer vorhandenen KeyStore-Datei erstellt:- Die KeyStore-Datei hochladen
- Das Private-Key-Passwort sowie eine E-Mail-Adresse für Ablaufbenachrichtungen angeben.
- Auf “Create” klicken.
Hinweis:
CSR-Vorlagen helfen, wiederkehrende Angaben zu standardisieren und Fehler bei der Erstellung neuer Zertifikatsanfragen zu vermeiden – etwa bei Organisation, Standort oder technischen Vorgaben. Bei Bedarf können Sie unter „Choose From Template“ eine vorhandene CSR-Vorlage auswählen oder über „Manage CSR Templates“ eine neue Vorlage erstellen bzw. bearbeiten.
Nach dem Erstellen zeigt Key Manager Plus den CSR-Inhalt an und nimmt den neuen CSR in die Listenansicht auf. Der CSR wird dem Benutzer zugeordnet, der ihn erstellt hat.
Hinweis:
Wildcard-Zertifikate können genutzt werden, um mehrere Subdomains einer Basisdomain abzusichern. Der Wildcard-Name kann dabei nicht nur im Feld „Common Name“, sondern auch im Feld „SAN“ angegeben werden, zum Beispiel „*.example.com“.
Tipp 3: SSL-/TLS-Zertifikate rechtzeitig erneuern
Viele Zertifikate können in Key Manager Plus direkt aus der zentralen Zertifikatsübersicht heraus erneuert werden. Läuft ein Zertifikat bald ab, versendet das Tool automatisch eine Benachrichtigung, damit die Erneuerung rechtzeitig angestoßen werden kann.
Die Renewal-Funktion unterstützt unter anderem selbstsignierte und Root-signierte Zertifikate sowie Zertifikate, die über eine Microsoft CA ausgestellt wurden. Auch Zertifikate vieler öffentlicher bzw. externer Certificate Authorities lassen sich über Key Manager Plus verwalten und erneuern – etwa von Let’s Encrypt, DigiCert, GlobalSign, GoDaddy, Sectigo oder über ACME-Anbindungen. Voraussetzung ist, dass die jeweilige CA bzw. ACME-Integration in Key Manager Plus eingerichtet ist.
So erneuern Sie Zertifikate über die Zertifikatsübersicht
- In Key Manager Plus zu „SSL > Certificates“ navigieren.
- Das gewünschte Zertifikat auswählen und oben auf „Renew“ klicken.
- Noch einmal mit „Renew“ bestätigen, um den Renewal-Prozess zu starten. Bei Zertifikaten von öffentlichen oder externen CAs wird die Erneuerungsanfrage an die jeweilige Zertifizierungsstelle weitergeleitet.
Nach erfolgreicher Erneuerung wird das Zertifikat automatisch im Repository aktualisiert. Die vorherige Zertifikatsversion bleibt unter „Certificate History“ nachvollziehbar.
Hinweis:
Für die Erneuerung öffentlicher SSL-/TLS-Zertifikate muss die jeweilige CA- bzw. ACME-Integration in Key Manager Plus eingerichtet sein. Key Manager Plus unterstützt unter anderem Integrationen mit Let’s Encrypt, DigiCert, GlobalSign, GoDaddy, Sectigo und weiteren Zertifizierungsstellen.
Details zur Einrichtung finden Sie in der englischen Hilfe.
Hinweis:
Detaillierte Informationen zur Erneuerung verschiedener Zertifikatstypen (z. B. selbstsignierte Zertifikate, Root-signierte Zertifikate, über Microsoft CA ausgestellte Zertifikate) sowie weitere Renewal-Optionen finden Sie in der englischen Hilfe von Key Manager Plus.
Tipp 4: SSL-/TLS-Zertifikate auf Zielsystemen bereitstellen
Nach der Erneuerung müssen SSL-/TLS-Zertifikate auf den jeweiligen Zielsystemen bereitgestellt werden. In vielen Umgebungen geschieht das noch manuell: Zertifikate werden aus einem Repository exportiert und anschließend auf Webservern, Anwendungen, Load Balancern oder Cloud-Diensten installiert. Das ist fehleranfällig und zeitintensiv – besonders, wenn viele Systeme betroffen sind oder Zertifikate kurzfristig erneuert werden müssen.
Mit Key Manager Plus lassen sich Zertifikate direkt aus dem zentralen Repository an die passenden Zielsysteme verteilen – einzeln oder in größeren Mengen. Für DMZ-Server, die sich außerhalb der Domäne befinden, in der der Key-Manager-Plus-Server betrieben wird, kann der Key-Manager-Plus-Agent genutzt werden.
So stellen Sie SSL-/TLS-Zertifikate auf Zielsystemen bereit
- In Key Manager Plus zu „SSL > Certificates“ navigieren.
- Das Kontrollkästchen neben dem Zertifikat aktivieren, das bereitgestellt werden soll.
- Auf „Deploy“ klicken.
- Im Dropdown-Menü den gewünschten Zielsystemtyp auswählen, zum Beispiel:
- Windows Server
- MS Certificate Store
- Internet Information Services (IIS)
- IIS Binding
- Linux Server
- Browser
- ManageEngine MDM
- AWS-ACM
- Load Balancer
- Azure Key Vault
- Azure Application
- Im neuen Fenster die erforderlichen Angaben zum Zielsystem ergänzen und die Bereitstellung mit „Deploy“ starten.
Tipp 5: Zertifikate überwachen und auf Schwachstellen prüfen
SSL-/TLS-Zertifikate sollten nicht erst kurz vor Ablauf geprüft werden. Neben dem Ablaufdatum sind auch der Widerrufsstatus und die Sicherheit der jeweiligen TLS-Konfiguration relevant – etwa wenn veraltete Protokolle oder schwache Cipher Suites im Einsatz sind.
Key Manager Plus bietet zahlreiche Reports, mit denen IT-Teams ihre SSL-/TLS-Zertifikate kontinuierlich überwachen und auswerten können. So lassen sich beispielsweise ablaufende Zertifikate, eingesetzte Wildcard-Zertifikate, bereitgestellte Zertifikate, Renewal-Vorgänge oder potenziell unsichere SHA-1-Zertifikate gezielt prüfen. Ergänzend steht ein SSL-Vulnerability-Scan zur Verfügung, um Zertifikate und TLS-Konfigurationen auf mögliche Schwachstellen zu kontrollieren.
So rufen Sie SSL-Reports in Key Manager Plus auf
- Auf dem Reiter „Reports“ zum Tab „SSL Reports“ gehen und den gewünschten Report auswählen.
- Bei Bedarf Filter setzen, zum Beispiel nach Ablaufdatum, Zeitraum, Zertifikatstyp oder Zielsystem.
- Über den „Column Chooser“ festlegen, welche Informationen im Report angezeigt werden sollen.
- Den Report prüfen und bei Bedarf exportieren oder per E-Mail versenden.
Zu den relevanten Reports gehören:
- SSL Certificate Report: Übersicht über alle importierten, entdeckten oder erstellten SSL-Zertifikate.
- SSL Expiry Report: Übersicht über Zertifikate mit Ablaufdaten passend zum ausgewählten Filter.
- Wildcard SSL Certificates Report: Übersicht über eingesetzte Wildcard-Zertifikate und die Server, auf denen sie bereitgestellt wurden.
- Deployed Servers: Übersicht über Zertifikate, die auf mehreren Servern bereitgestellt sind.
- Certificate Renewal Report: Informationen zu versuchten und erfolgreichen Zertifikatserneuerungen.
- SHA-1 Certificates Report: Übersicht über SHA-1-Zertifikate, die im Unternehmen im Einsatz sind.
Zusatztipp:
Mit dem „SSL Vulnerability Scan“ können IT-Teams zusätzlich prüfen, ob Zertifikate oder TLS-Konfigurationen Schwachstellen aufweisen. Key Manager Plus prüft dabei unter anderem den CRL- und OCSP-Status, bekannte Schwachstellen wie Heartbleed und POODLE, aktiviertes SSL 3.0 sowie unsichere Cipher Suites. Die Ergebnisse stehen im SSL Vulnerability Report zur Verfügung.
Detaillierte Informationen finden Sie in der englischen Hilfe.
Über Key Manager Plus
ManageEngine Key Manager Plus ist eine webbasierte Lösung für das zentrale Management von SSL-/TLS-Zertifikaten und SSH-Schlüsseln. IT-Teams erhalten damit eine umfassende Übersicht über die im Unternehmen eingesetzten Zertifikate und Schlüssel – gebündelt in einer zentralen Benutzeroberfläche. Darüber hinaus können sie den gesamten Lebenszyklus digitaler Zertifikate und Schlüssel steuern, verwalten, überwachen und prüfen. Viele Aufgaben – von der Ermittlung über die Erstellung bis hin zur Erneuerung – lassen sich automatisieren.
Die Lösung gibt Administratoren mehr Kontrolle über Zertifikate und Schlüssel, reduziert den manuellen Aufwand und hilft, Risiken durch unverwaltete, abgelaufene oder unsichere Zertifikate zu verringern.