PKI as a Service (PKIaaS): welches Betriebsmodell zu Ihnen passt

Kurz gesagt: PKI as a Service (PKIaaS) verlagert Aufbau und Betrieb einer Public-Key-Infrastruktur zu einem spezialisierten Anbieter, während Sie Richtlinien und Ausstellung der Zertifilate selbst steuern. Alternativen sind die klassische On-Premises-PKI mit voller Kontrolle und die Managed-Variante als Mittelweg. Welches Modell passt, hängt von Kontrollbedarf, Personal und regulatorischen Vorgaben ab.

Die Frage nach dem richtigen Betriebsmodell taucht in fast jedem PKI-Projekt auf und wird oft unterschätzt. Sie entscheidet nicht nur über Kosten, sondern auch darüber, wer im Ernstfall haftet, wo Schlüssel liegen und wie schnell sich neue Anwendungsfälle bedienen lassen. Wer die Modelle sauber gegeneinander abwägt, vermeidet spätere, teure Kurskorrekturen.

Was PKI as a Service (PKIaaS) ausmacht

Eine Public-Key-Infrastruktur besteht aus mehreren Bausteinen: Zertifizierungsstellen, Schlüsselschutz per HSM, Sperrdiensten, Ausstellungsprozessen und dem gesamten Lebenszyklus der Zertifikate. Der Unterschied zwischen den Betriebsmodellen liegt darin, wer diese Bausteine betreibt und verantwortet. Bei PKI as a Service (PKIaaS) stellt ein Anbieter die Infrastruktur bereit und betreibt sie. Sie definieren Richtlinien, Zertifikatsprofile und Freigaben, ohne selbst Hardware und Root-CAs pflegen zu müssen.

Damit adressiert PKIaaS genau die Aufgaben, die intern am meisten Spezialwissen binden: hochverfügbare CA-Dienste, geschützte Signaturschlüssel in FIPS-140-3-zertifizierten HSM sowie ein sauberer Sperr- und Erneuerungsprozess. Die kryptografische Governance, also welche Zertifikate mit welchen Profilen an wen ausgegeben werden, bleibt dabei bei Ihnen.

On-Premises, Managed PKI und Cloud-PKI im Vergleich

Für die Einordnung helfen drei Grundmodelle, die sich vor allem in Kontrolle und Betriebsaufwand unterscheiden:

• On-Premises-PKI: Sie betreiben Root- und Issuing-CAs sowie HSM im eigenen Rechenzentrum. Maximale Kontrolle und Datenhoheit, aber hoher Aufwand für Hochverfügbarkeit, Personal und Audits.
• Managed PKI: Die Infrastruktur bleibt dediziert, ein Partner übernimmt jedoch Betrieb, Überwachung und Wartung. Ein Mittelweg zwischen Kontrolle und Entlastung.
• Cloud-PKI und SaaS-PKI: Die CA-Dienste laufen als mandantenfähiger Service. Schnelle Bereitstellung und elastische Skalierung, wobei Datenstandort und Mandantentrennung vertraglich klar geregelt sein müssen.

PKIaaS ist dabei kein Gegensatz zur Cloud-PKI, sondern beschreibt den Servicecharakter: Betrieb, SLAs und Skalierung liegen beim Anbieter. Eine Cloud-PKI kann als PKIaaS bezogen werden, eine SaaS-PKI ebenso. Entscheidend ist weniger das Etikett als die klare Aufteilung der Verantwortung zwischen Anbieter und Ihrer Organisation.

Nutzen und Einsatzszenarien der Betriebsmodelle

Welches Modell den größten Nutzen bringt, zeigt sich an konkreten Szenarien statt an Grundsatzdebatten:

• Schnell wachsende Zertifikatsmengen für TLS, Geräte und Workloads sprechen für die Skalierbarkeit von Cloud-PKI oder PKIaaS.
• Strenge Datenhoheit oder abgeschottete Umgebungen sprechen für On-Premises-PKI mit voller physischer Kontrolle.
• Knappes Spezialisten-Personal, das dennoch belastbare Verfügbarkeit braucht, findet in Managed PKI oder PKIaaS spürbare Entlastung.
• Regulierte Branchen unter NIS2 oder DORA profitieren von nachweisbaren Prozessen und dokumentierten Verantwortlichkeiten – unabhängig vom gewählten Modell.

Viele Organisationen kombinieren die Modelle bewusst. Eine hoch geschützte Root-CA im eigenen Haus, die operative Ausstellung dagegen als Service. So lassen sich Kontrolle und Skalierbarkeit gegeneinander ausbalancieren.

Betriebsmodell und Compliance gemeinsam betrachten

Die Wahl des Betriebsmodells wirkt sich unmittelbar auf Nachweispflichten und Prüfbarkeit aus. Regulierungen wie NIS2 und DORA verlangen dokumentierte Prozesse, klare Verantwortlichkeiten und die Fähigkeit, im Ernstfall schnell zu reagieren. Diese Anforderungen lassen sich in jedem Modell erfüllen, aber die Verteilung der Aufgaben ist jeweils eine andere.

Bei einer On-Premises-PKI liegt die gesamte Beweislast im eigenen Haus, von der Schlüsselzeremonie über die Zutrittskontrolle bis zum Notfallplan. In betriebenen Modellen teilt sich diese Verantwortung. Damit daraus keine Lücke entsteht, sollten folgende Punkte vertraglich und organisatorisch geklärt sein:

• Wer erbringt welche Nachweise für Audits, und in welcher Form werden sie bereitgestellt?
• Wie werden Schlüsselzeremonien dokumentiert und die Trennung von Aufgaben sichergestellt?
• Welche Wiederanlaufzeiten und Verfügbarkeitsziele sichern die vereinbarten SLAs zu?
• Wie lässt sich das Modell wieder verlassen, ohne den Vertrauensanker zu verlieren?

Wer diese Fragen früh beantwortet, vermeidet, dass ein technisch attraktives Modell später an Compliance-Anforderungen scheitert. Häufig ist eine hybride Aufteilung der pragmatischste Weg. Kritische Teile unter eigener Kontrolle, der operative Betrieb entlastend ausgelagert.

Checkliste: das passende PKI-Betriebsmodell wählen

Bevor Sie sich festlegen, klären Sie diese Fragen:

• Kontrollbedarf: Müssen Root-CA und Schlüssel physisch im eigenen Haus bleiben?
• Datenstandort: Gibt es Vorgaben zu Speicherort und Gerichtsbarkeit der Schlüssel und Metadaten?
• Skalierung: Wie stark schwankt die Zahl der Zertifikate, und wie kurz werden die Laufzeiten?
• Automatisierung: Werden offene Protokolle wie ACME, EST und SCEP für die Ausstellung benötigt?
• Verantwortung: Wer haftet für Verfügbarkeit, Audit-Nachweise und Wiederanlauf im Ernstfall?

Wie CRYPTAS hilft

Die Wahl zwischen On-Premises-, Managed- und Cloud-Betrieb ist keine reine Technikfrage, sondern eine Governance-Entscheidung. CRYPTAS begleitet Organisationen von der Enterprise-PKI im eigenen Haus bis hin zu betriebenen Modellen im Sinne von PKI as a Service (PKIaaS) – mit HSM-geschützten Schlüsseln, klaren Rollen und belastbaren SLAs. Welches Betriebsmodell würde Ihr Team heute am spürbarsten entlasten?