Eine PKI umfasst den Betrieb vertrauensw\u00fcrdiger IT-Systeme, Prozesse und Richtlinien, mit denen digitale Zertifikate ausgestellt, verteilt, gespeichert, gepr\u00fcft und widerrufen werden k\u00f6nnen. Das Prinzip einer PKI basiert auf der asymmetrischen Verschl\u00fcsselung, und die Zertifikate erm\u00f6glichen eine vertrauensw\u00fcrdige Zuordnung von Entit\u00e4ten zu ihren \u00f6ffentlichen Schl\u00fcsseln. Ein Wurzelzertifikat (Root-Zertifikat) mit zugeh\u00f6rigem Schl\u00fcsselpaar wird bei einer f\u00fcr alle Teilnehmer vertrauensw\u00fcrdigen Stelle, einer so genannten Certificate Authority (CA), erstellt und kann als Vertrauensanker benutzt werden<\/strong>. In dem vom BSI beschriebenen Modell sind mit dem Root-Zertifikat der Root CA die Zertifikate untergeordneter Zertifizierungsstellen beglaubigt; diese stellen die Zertifikate f\u00fcr die Endnutzer aus.<\/p>\n Nutzt ein unter DORA fallender Versicherer Zertifikate f\u00fcr Kundenportal, Schnittstellen und E-Mail, st\u00fctzt er sich auf eine Public Key Infrastructure (PKI), die Zertifikate ausstellt, pr\u00fcft und widerruft; nach Artikel 7 Absatz 4 der delegierten DORA-Verordnung f\u00fchrt er mindestens f\u00fcr IKT-Assets kritischer oder wichtiger Funktionen ein Register aller Zertifikate und Zertifikatspeicher und h\u00e4lt es auf dem neuesten Stand. Zertifikate sind jeweils nur begrenzte Zeit g\u00fcltig<\/strong>; f\u00fcr die Pr\u00fcfung ihrer Echtheit und Vertrauensw\u00fcrdigkeit m\u00fcssen alle Zertifikate zwischen dem zu pr\u00fcfenden Zertifikat und dem Wurzelzertifikat verifiziert werden.<\/p>\n Nach BSI TR-02103 stellt eine Certification Authority (CA) vor der Ausstellung eines Zertifikats sicher, dass die Daten, die in das Zertifikat einflie\u00dfen, der Richtigkeit entsprechen. Eine Signatur f\u00fcr ein Zertifikat wird nur dann ausgegeben, wenn alle von der CA festgelegten Anforderungen erf\u00fcllt<\/strong> wurden. Zentraler Ankerpunkt einer hierarchischen Infrastruktur ist die Wurzelzertifizierungsstelle (Root CA); sie zertifiziert nachgeordnete Zertifizierungsstellen und stellt ihr Wurzelzertifikat zur Verifikation der Vertrauenskette zur Verf\u00fcgung. Die Root CA verwahrt das Root Certificate sicher; mit diesem sind die Zertifikate der untergeordneten Zertifizierungsstellen beglaubigt.<\/p>\n Ein Zertifikat wird gesperrt (Revokation), indem der Aussteller eine neue Version seiner Sperrliste (Certificate Revocation List, CRL) erstellt. Eine weitere M\u00f6glichkeit ist es, die Sperrung eines Zertifikats \u00fcber das Online Certificate Status Protocol (OCSP) zu pr\u00fcfen. Zur Pr\u00fcfung eines Zertifikats geh\u00f6ren damit die Hierarchie bis zum Wurzelzertifikat, die begrenzte G\u00fcltigkeit und die Frage, ob es gesperrt wurde<\/strong>.<\/p>\n Nach der Technischen Richtlinie TR-02102 ist eine PKI ein System, das digitale Zertifikate ausstellen, verteilen, speichern, pr\u00fcfen und widerrufen kann und insbesondere zur Verwaltung \u00f6ffentlicher Schl\u00fcssel im Rahmen asymmetrischer kryptografischer Verfahren zum Einsatz kommt. Die Ausstellung von Zertifikaten obliegt nach TR-02103 den Certification Authorities (CAs). Ein Unterschied zeigt sich beim Schutz vor Man-in-the-Middle-Angriffen: Die in TR-02102 beschriebenen asymmetrischen Verschl\u00fcsselungsverfahren bieten f\u00fcr sich genommen noch keinerlei Schutz davor; die digitalen Zertifikate einer PKI erm\u00f6glichen eine vertrauensw\u00fcrdige Zuordnung von Entit\u00e4ten zu ihren \u00f6ffentlichen Schl\u00fcsseln. In der Verwaltungs-PKI ist die Wurzelzertifizierungsstelle (Root-CA) der zentrale Ankerpunkt der hierarchischen Infrastruktur.<\/p>\n KI-generiert<\/em><\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_topic":[429,444,393],"class_list":["post-34260","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_topic-kryptografie-pki","glossary_intl_topic-pki-zertifikate","glossary_intl_topic-cybersecurity"],"acf":{"card_description":"Public Key Infrastructure: System, das Zertifikate ausstellt, pr\u00fcft und widerruft und \u00f6ffentliche Schl\u00fcssel Entit\u00e4ten zuordnet.","nav_theme":"Kryptografie & PKI","nav_subtheme":"PKI & Zertifikate","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"PKI"},{"value":"Public-Key-Infrastruktur"}],"lead_definition":"Eine Public Key Infrastructure (PKI) ist ein System zur Ausstellung, Verteilung, Speicherung und Pr\u00fcfung digitaler Zertifikate, mit denen \u00f6ffentliche Schl\u00fcssel vertrauensw\u00fcrdig den jeweiligen Entit\u00e4ten zugeordnet und verwaltet werden.","at_a_glance":[{"bullet":"Die PKI kann Zertifikate ausstellen, verteilen, speichern, pr\u00fcfen und widerrufen."},{"bullet":"Das Wurzelzertifikat einer Certificate Authority dient als Vertrauensanker der Hierarchie."},{"bullet":"Die delegierte DORA-Verordnung verlangt von Finanzunternehmen ein Zertifikatsregister mindestens f\u00fcr IKT-Assets kritischer oder wichtiger Funktionen; eine eigene PKI schreibt sie nicht vor."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Beim S\/MIME-Protokoll f\u00fcr E-Mails bildet die Root CA den Vertrauensanker; untergeordnete Zertifizierungsstellen stellen die Zertifikate f\u00fcr die Endnutzer aus und beglaubigen diese."},{"example":"Bei OpenPGP ist das Vertrauensmodell flacher organisiert, etwa als Netz des Vertrauens (Web of Trust), in dem indirekt einem fremden Schl\u00fcssel vertraut wird, der von einer vertrauten Person signiert wurde."},{"example":"Ein Versicherer k\u00f6nnte Zertifikate f\u00fcr Kundenportal, Schnittstellen und E-Mail nutzen: Eine PKI stellt sie aus, pr\u00fcft sie und widerruft sie, und ein Register f\u00fchrt die Zertifikate auf."}],"misconception":null,"faq":null,"compare_answer":"","compare":null,"variants":null,"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":[34244,34258,34248],"pillar_link":null,"sources":[{"publisher":"","name":"Public Key Infrastrukturen - Public Key Infrastrukturen (PKIen)","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Oeffentliche-Verwaltung\/Elektronische-Identitaeten\/Public-Key-Infrastrukturen\/public-key-infrastrukturen.html","doc_type":"","group":"used"},{"publisher":"","name":"Kryptographische Verfahren: Empfehlungen und Schl\u00fcssell\u00e4ngen, Version 2026-01","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Publikationen\/TechnischeRichtlinien\/TR02102\/BSI-TR-02102.pdf?__blob=publicationFile&v=21","doc_type":"","group":"used"},{"publisher":"","name":"L_202401774DE.000101.fmx.xml","url":"https:\/\/publications.europa.eu\/resource\/cellar\/dc25b21e-328d-11ef-a61b-01aa75ed71a1.0004.03\/DOC_1","doc_type":"","group":"used"},{"publisher":"","name":"BSI Technische Richtlinie TR-02103: X.509 Zertifikate und Zertifizierungspfadvalidierung","url":"https:\/\/www.bsi.bund.de\/SharedDocs\/Downloads\/DE\/BSI\/Publikationen\/TechnischeRichtlinien\/TR02103\/BSI-TR-02103.pdf?__blob=publicationFile&v=2","doc_type":"2020","group":"used"},{"publisher":"","name":"E-Mail-Verschl\u00fcsselung in der Praxis","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Verbraucherinnen-und-Verbraucher\/Informationen-und-Empfehlungen\/Onlinekommunikation\/Verschluesselt-kommunizieren\/E-Mail-Verschluesselung\/E-Mail-Verschluesselung-in-der-Praxis\/e-mail-verschluesselung-in-der-praxis_node.html","doc_type":"","group":"used"},{"publisher":"","name":"Verwaltungs-PKI","url":"https:\/\/www.bsi.bund.de\/DE\/Themen\/Oeffentliche-Verwaltung\/Moderner-Staat\/Verwaltungs-PKI\/verwaltungs-pki_node.html","doc_type":"","group":"used"}],"reviewer":{"name":"Jakub Nov\u00e1k","qualification":"System Engineer \u2013 Endpoint Security & Infrastruktur, msg life Slovakia","date":"2026-11-11"},"disclaimer":"Dieser Beitrag dient der allgemeinen Information und ersetzt keine Rechts- oder Sicherheitsberatung. Genannte Vorschriften und Empfehlungen geben den Stand zum Zeitpunkt der Ver\u00f6ffentlichung wieder."},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tWie funktioniert eine Public Key Infrastructure?<\/h2>\n
Public Key Infrastructure im Vergleich<\/h2>\n
Wof\u00fcr braucht ein Unternehmen eine Public Key Infrastructure?<\/h2>\n
\n\n
\n \nAufgabe der PKI<\/th>\n Worauf es ankommt<\/th>\n<\/tr>\n<\/thead>\n \n Authentische Verteilung \u00f6ffentlicher Schl\u00fcssel<\/td>\n Zum Schutz vor Man-in-the-Middle-Angriffen muss eine authentische Verteilung der \u00f6ffentlichen Schl\u00fcssel aller Teilnehmer sichergestellt werden; in der Regel kommt eine Public-Key-Infrastruktur zum Einsatz (BSI TR-02102-1).<\/td>\n<\/tr>\n \n Zertifikatsregister und Erneuerung (nur Finanzunternehmen)<\/td>\n Finanzunternehmen erstellen und f\u00fchren mindestens f\u00fcr IKT-Assets, die kritische oder wichtige Funktionen unterst\u00fctzen, ein Register aller Zertifikate und Zertifikatspeicher und halten es auf dem neuesten Stand (Artikel 7 Absatz 4 der delegierten DORA-Verordnung); Zertifikate werden vor Ablauf unverz\u00fcglich erneuert (Absatz 5).<\/td>\n<\/tr>\n \n Zertifikate zwischen Kommunikationspartnern austauschen, die sich nicht pers\u00f6nlich kennen<\/td>\n Um den Austausch von Zertifikaten zu vereinfachen und auch dann zu erm\u00f6glichen, wenn die Kommunikationspartner sich vorher nicht pers\u00f6nlich kennen, werden laut BSI so genannte Public Key Infrastructures gebildet.<\/td>\n<\/tr>\n \n Identifikation, Verschl\u00fcsselung und Signaturerstellung mit zertifiziertem Schl\u00fcsselpaar<\/td>\n Als Beispiel aus der \u00f6ffentlichen Verwaltung: Die Nutzer der Verwaltungs-PKI erhalten nach dem BSI ein zertifiziertes Schl\u00fcsselpaar, das ihnen gewisserma\u00dfen als digitaler Ausweis dient und zur Identifikation, Verschl\u00fcsselung und elektronischen Signaturerstellung eingesetzt wird.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n Schutz im Ernstfall<\/h2>\n
Vorbeugen<\/h3>\n
\n