Seminar PKI-Suiten – Sicherheit, Compliance und Auditvorbereitung

Auditfähige Sicherheits- und Betriebsprozesse etablieren

Eine PKI kann technisch funktionieren und dennoch nicht ausreichend kontrolliert sein. Zu breite Administratorrechte, schwache Genehmigungen, unvollständige Audit-Trails, ungetestete Backups oder uneinheitliche Zertifikatsprofile gefährden die Vertrauenswürdigkeit und erschweren jede Prüfung.

Das Seminar übersetzt Schutzanforderungen in konkrete technische und organisatorische Kontrollen. Regulatorische und normative Rahmenwerke werden als Anforderungen an Verantwortlichkeit, Resilienz, Nachvollziehbarkeit und Risikobehandlung eingeordnet, ohne sie mit einer einzigen Produktkonfiguration gleichzusetzen.

Seminarziel

Die Teilnehmer können Bedrohungen und Kontrolllücken einer PKI-Suite bewerten, Rollen und Schlüsselprozesse härten, Policies und Nachweise strukturieren, technische Evidenzen erzeugen und eine interne oder externe Auditvorbereitung systematisch durchführen.

Zielgruppe

PKI- und Security-Architekten, Informationssicherheitsbeauftragte, Auditoren, Compliance, Risikomanagement, PKI-Administratoren und Betreiber regulierter oder kritischer Umgebungen.

Schwerpunkte

• Bedrohungsmodell: Angriffe auf Schlüssel, CAs, RAs, Profile, Enrollment, Validierungsdienste, Administratoren, Datenbank, Backup und Softwarelieferkette.
• Technisches Hardening: Netzsegmentierung, Systemhärtung, starke Authentisierung, privilegierte Zugänge, sichere Administration, Patchen und Schutz von Secrets.
• Rollen und Funktionstrennung: Least Privilege, Vier-Augen-Prinzip, getrennte Operator-, Officer-, Auditor- und Sicherheitsrollen sowie kontrollierte Notfallrechte.
• Policies und Verfahrensdokumentation: Certificate Policy, Certification Practice Statement, Schlüsselmanagement, Profilfreigabe, Ausnahmen, Änderungen und regelmäßige Reviews.
• Logging und Evidenzen: Manipulationsschutz, zentrale Sammlung, Zeitbezug, administrative Aktionen, HSM-Events, Zertifikatsereignisse, Aufbewahrung und Prüfpfade.
• Lifecycle-Kontrollen: Identitätsprüfung, Genehmigung, Profilregeln, Laufzeiten, Verlängerung, Sperrung, Eigentümer, Discovery und Behandlung unbekannter Zertifikate.
• Resilienz und Notfallfähigkeit: Backup, Restore-Test, Hochverfügbarkeit, RTO/RPO, Schlüsselkompromittierung, Kommunikationswege und dokumentierte Übungen.
• Compliance-Mapping: Einordnung von eIDAS, NIS2, DORA, ISO 27001, BSI-Anforderungen und branchenspezifischen Vorgaben in eine prüfbare Kontrollmatrix.
• Auditvorbereitung: Scope, Stichproben, Nachweispaket, Interviews, technische Tests, Befundbewertung, Maßnahmenplan und nachhaltige Schließung von Abweichungen.

Praktische Übungen

Die Teilnehmer analysieren eine Beispielkonfiguration, erstellen ein Bedrohungsmodell und eine Kontrollmatrix, sammeln exemplarische Auditnachweise und führen eine strukturierte Vorprüfung mit Befunden, Risikobewertung und Maßnahmenplan durch.