Trust Lifecycle Manager als Puzzle: Gestalten Sie die Zertifikatsautomatisierung entsprechend Ihrer eigenen Infrastruktur

17.09.2026 | Jindřich Zechmeister

Die Automatisierung von Zertifikaten muss nicht unbedingt einer einzigen, vorgegebenen Form folgen. Der DigiCert Trust Lifecycle Manager (TLM) dient als zentrale Steuerungsebene, die die Ausstellung von Zertifikaten, die automatische Domain-Verifizierung und deren Bereitstellung in den Zielsystemen miteinander verknüpft. Der festgelegte Prozess gewährleistet dann die Ausstellung, regelmäßige Erneuerung und Verteilung der Zertifikate und reduziert den Bedarf an wiederholten manuellen Eingriffen.

TLM als Orchestrator des gesamten Prozesses

Trust Lifecycle Manager ist nicht nur ein Werkzeug zur Erfassung der verwendeten Zertifikate. Er fungiert als zentraler Orchestrator ihres Lebenszyklus – er verbindet Zertifizierungsstellen, Verifizierung, Ausstellung und Implementierung von Zertifikaten in Zielsystemen.

Das gesamte Prinzip kann mit einem Puzzle verglichen werden, das die Organisation entsprechend ihrer Infrastruktur zusammenstellt. Zuerst wählt sie die Quelle des Zertifikats, z. B. DigiCert, eine andere öffentliche Zertifizierungsstelle oder eine interne Microsoft CA. Dann wird die Methode zur Verifizierung und Ausstellung des Zertifikats eingestellt und schließlich das System bestimmt, in das das Zertifikat implementiert werden soll.

Ein vereinfachter Prozess könnte beispielsweise so aussehen: Zertifizierungsstelle → TLM → Verifizierung über DNS → Zertifikatausstellung → Implementierung auf dem Webserver.

In einer anderen Umgebung kann TLM eine private Zertifizierungsstelle mit einem Netzwerkgerät, einem Cloud-Service oder einem Vault verbinden. Es nutzt Konnektoren, um die einzelnen Teile der Infrastruktur zu verbinden.

Informationen über Zertifikate werden in einem zentralen Inventar gesammelt, wo der Administrator ihren Status, ihre Gültigkeit und ihren Standort überwacht. TLM koordiniert gleichzeitig ihre Ausstellung, Erneuerung, erneute Ausstellung und Implementierung. Schritte, die der Administrator sonst separat durchführen würde, werden somit in einem automatisierten Prozess vereint.

Es genügt, die Quelle des Zertifikats festzulegen, die Art und Weise, wie es ausgestellt wird, und wohin es anschließend implementiert wird. TLM steuert die eingestellten Abläufe und kann sie bei weiteren Erneuerungen automatisch wiederholen.

Wie man die Automatisierung in TLM zusammenstellt

Die Automatisierung in TLM kann mit einem Puzzle aus mehreren aufeinanderfolgenden Teilen verglichen werden. Der Administrator bestimmt gemäß den Bedürfnissen seiner Infrastruktur, wer das Zertifikat ausstellt, wie die erforderliche Verifizierung erfolgt und wohin das Zertifikat anschließend implementiert wird. TLM verbindet diese Teile zu einem Prozess und sorgt für dessen automatische Wiederholung.

• Zertifikatsquelle (Zertifizierungsstelle) – zuerst muss die Stelle gewählt werden, die das Zertifikat ausstellt. Obwohl TLM ein Produkt der Firma DigiCert ist, ist es nicht nur auf deren Zertifikate beschränkt. Mit CA-Konnektoren können zum Beispiel DigiCert CertCentral, Microsoft CA, AWS Private CA, Entrust, GlobalSign, Let’s Encrypt, Sectigo oder EJBCA angeschlossen werden. Eine Organisation kann somit aus einer Umgebung mit öffentlichen und privaten Zertifizierungsstellen arbeiten.
• Orchestrierung und zentrales Inventar – der Mittelpunkt des Puzzles ist TLM. Im zentralen Inventar können Zertifikate gesucht, erfasst und ihr Status sowie die Endpunkte, an denen sie verwendet werden, überwacht werden. TLM koordiniert gleichzeitig ihre Ausstellung, Erneuerung, erneute Ausstellung und weitere Operationen. Es hat also einen Überblick darüber, woher ein Zertifikat bezogen wird, für welches System es bestimmt ist und welche Schritte folgen sollen.
• Automatische Domain-Verifizierung – vor der Ausstellung eines öffentlichen TLS-Zertifikats muss die Kontrolle über die Domain, also DCV, verifiziert werden. TLM unterstützt DNS-Integrationen für mehr als 150 Anbieter wie Cloudflare, Azure DNS, Amazon Route 53, Google Cloud DNS oder CZECHIA.COM. Über die DNS-API kann der erforderliche Verifizierungseintrag erstellt und die Verifizierung ohne manuelles Eingreifen des Administrators abgeschlossen werden. Das gleiche Verfahren kann auch bei weiteren Zertifikatserneuerungen verwendet werden.
• Implementierung in das Zielsystem – der letzte Schritt besteht darin, zu bestimmen, wohin das ausgestellte Zertifikat verschoben werden soll. Das Ziel kann ein Web- oder Anwendungsserver, ein Load Balancer, eine Firewall, ein Netzwerkgerät, ein Cloud-Service oder ein Secrets Vault sein. Die Implementierung kann mit DigiCert-Agents, Sensoren, Konnektoren oder unterstützten Protokollen und APIs automatisiert werden. Verfügbare Integrationen sind z. B. für AWS Certificate Manager, AWS Load Balancer, CloudFront oder Google Cloud Certificate Manager.

In einer einfacheren Umgebung kann der gesamte Prozess folgendermaßen aussehen: Zertifizierungsstelle → TLM → DNS-Verifizierung → Webserver.

Für interne Infrastrukturen können die einzelnen Teile z. B. so zusammengesetzt werden: Microsoft CA → TLM → privates Zertifikat → Firewall oder interner Server.

Sobald der Administrator den gesamten Prozess einmal eingerichtet hat, kann TLM ihn auch bei weiteren Erneuerungen verwenden. Die Ausstellung, Verifizierung und Implementierung des Zertifikats wiederholen sich somit automatisch, ohne dass die gleichen Schritte jedes Mal manuell durchgeführt werden müssen.

ACME bleibt eines der wichtigsten Teile

Eine bedeutende Rolle in der Automatisierung spielt ACME (Automated Certificate Management Environment). Dieses standardisierte Protokoll ermöglicht die Automatisierung von Ausstellung, Verifizierung und Erneuerung von Zertifikaten.

In einem üblichen Szenario sendet ein auf einem Webserver installierter ACME-Client eine Anfrage für ein Zertifikat, führt die erforderliche Verifizierung durch und sorgt anschließend für dessen Implementierung. TLM bietet einen eigenen ACME-Dienst, mit dem kompatible Clients kommunizieren können. Somit kann nicht nur die erste Ausstellung des Zertifikats, sondern auch dessen regelmäßige Erneuerung oder erneute Ausstellung automatisiert werden.

ACME ist jedoch nicht die einzige Option. TLM unterstützt auch andere Registrierungsprotokolle und Schnittstellen wie SCEP, EST, CMP oder REST-API. Eine Organisation kann daher die Methode wählen, die für die spezifischen Geräte und Umgebungen geeignet ist, in denen ACME nicht verfügbar oder nicht geeignet ist.

Die Verbindung von standardisierten Protokollen mit Agents, Sensoren und Konnektoren ermöglicht es TLM, verschiedene Teile der Zertifikatsinfrastruktur zu steuern. Es handelt sich also nicht nur um ein Werkzeug zur automatischen Erneuerung von HTTPS-Zertifikaten, sondern um eine Plattform zur Koordination ihres gesamten Lebenszyklus.

Eine einzige Einstellung für den gesamten Lebenszyklus des Zertifikats

Der Hauptvorteil von TLM zeigt sich, wenn der Administrator die einzelnen Teile des Prozesses in einen einzigen Workflow verbindet. Er bestimmt die Quelle des Zertifikats, die Art und Weise der Ausstellung und Verifizierung sowie die Zielsysteme, in die es implementiert werden soll. Einmal erstellte Abläufe kann TLM wiederholt verwenden, ohne dass die gleichen Schritte manuell durchgeführt werden müssen.

Die Automatisierung kann beispielsweise Folgendes umfassen:

• Erstmalige Zertifikatsausstellung gemäß den festgelegten Regeln,
• Verifizierung der Domain über die angeschlossene DNS-API,
• Installation des Zertifikats auf ausgewählte Endpunkte,
• Rechtzeitige Erneuerung vor Ablauf der Gültigkeit,
• Erneute Ausstellung oder Austausch des Zertifikats,
• Überwachung von Zertifikaten und damit verbundenen Operationen im zentralen Inventar.

Bei einer Erneuerung muss der Administrator das Zertifikat nicht erneut manuell bestellen, Verifizierungs-DNS-Einträge erstellen, erforderliche Dateien herunterladen oder sie einzeln auf Servern installieren. TLM sorgt gemäß dem eingestellten Workflow für die notwendigen Schritte und liefert das neue Zertifikat an den festgelegten Ort.

Die Automatisierung beschränkt sich also nicht nur auf die Verlängerung der Gültigkeit. Sie deckt den gesamten Prozess ab, von der Ausstellung und Verifizierung über die Implementierung bis zur weiteren Erneuerung oder zum Austausch des Zertifikats. Ein gut eingestellter Workflow kann daher einer Organisation über den gesamten Lebenszyklus hinweg dienen.

Warum Automatisierung immer wichtiger wird

Der Bedarf an Automatisierung steigt auch aufgrund der schrittweisen Verkürzung der Gültigkeit öffentlicher TLS-Zertifikate. Während bis vor Kurzem ein öffentliches TLS-Zertifikat bis zu 398 Tage gültig sein konnte, wird die maximale Gültigkeitsdauer gemäß den Regeln des CA/Browserforums ab dem 15. März 2026 schrittweise verkürzt:

• ab dem 15. März 2026 auf maximal 200 Tage,
• ab dem 15. März 2027 auf maximal 100 Tage,
• ab dem 15. März 2029 auf maximal 47 Tage.

Zertifikate müssen daher wesentlich häufiger erneuert, verifiziert und implementiert werden. Bei einer einzigen Website kann dieser Prozess noch manuell bewältigt werden. In einer Organisation, die Hunderte von Zertifikaten auf Servern, Load Balancern, Netzwerkgeräten oder in Cloud-Diensten verwaltet, steigt jedoch schnell die Arbeitsmenge und das Risiko menschlicher Fehler. Ein einziger übersehener Ablauf kann zu einem nicht erreichbaren Dienst oder einer Warnung im Browser führen.

TLM, ACME und andere Automatisierungsmechanismen werden daher eine immer wichtigere Rolle spielen. Anstatt die einzelnen Zertifikate manuell zu überwachen, ermöglichen sie die Automatisierung des gesamten Prozesses – von der Verifizierung und Ausstellung über die Implementierung bis zur rechtzeitigen Erneuerung.

Automatisierung nach eigener Infrastruktur

Der Trust Lifecycle Manager kann als Automatisierungsschicht zwischen Zertifizierungsstellen und Systemen gesehen werden, die Zertifikate verwenden. Ein Unternehmen muss dabei seine Infrastruktur nicht an eine einzige Art der Ausstellung und Implementierung von Zertifikaten anpassen.

Im Gegenteil, es stellt einen Prozess aus den verfügbaren Teilen entsprechend seinen eigenen Bedürfnissen zusammen. Es verbindet die verwendete öffentliche oder private CA, den DNS-Anbieter und anschließend Server, Clouds, Load Balancer, Netzwerkgeräte oder Vaults. TLM verbindet die einzelnen Teile in einem gemeinsamen automatisierten Workflow.

Eine kleinere Umgebung kann beispielsweise ACME nutzen und die Zertifikatsverwaltung auf mehreren Servern automatisieren. Ein größeres Unternehmen kann mehrere Zertifizierungsstellen, DNS-APIs, Agents, Sensoren und Cloud-Konnektoren kombinieren. In beiden Fällen bleibt das Ziel gleich: den Prozess einmal festzulegen und anschließend die Ausstellung, Verifizierung, Implementierung und Erneuerung der Zertifikate zu automatisieren.

Mit dem Entwurf und der Implementierung einer Lösung kann auch SSLmarket helfen, der den DigiCert Trust Lifecycle Manager anbietet und bei der Wahl einer geeigneten Automatisierung entsprechend der spezifischen Infrastruktur unterstützt. Mit der schrittweisen Verkürzung der Gültigkeit von TLS-Zertifikaten wird ein solcher Ansatz immer wichtiger.

---