Dieser fünftägige Intensiv-Workshop vermittelt umfassendes Wissen zum Aufbau, Betrieb und zur Absicherung einer Public Key Infrastructure (PKI) auf Basis von Microsoft-Technologien. Ziel ist es, den Teilnehmern ein tiefgreifendes Verständnis für alle relevanten Aspekte einer modernen PKI zu vermitteln – von der strategischen Planung über die technische Umsetzung bis hin zum sicheren und wartbaren Betrieb. Dabei stehen sowohl theoretische Grundlagen als auch umfangreiche praktische Übungen im Mittelpunkt, sodass die Teilnehmer in die Lage versetzt werden, eigene PKI-Umgebungen professionell zu konzipieren und zu betreiben.

Zu Beginn des Workshops werden die wesentlichen kryptographischen Grundlagen behandelt, insbesondere die Funktionsweise asymmetrischer Verschlüsselung, digitale Signaturen sowie Hashing-Verfahren. Aufbau, Struktur und Bedeutung von X.509-Zertifikaten werden detailliert erläutert. Im Anschluss erfolgt eine Einführung in die verschiedenen Rollen und Komponenten einer PKI: Root- und Subordinate-Zertifizierungsstellen (CAs), Registrierungsstellen (RAs), Sperrlisten (CRLs), OCSP-Responder sowie die unterschiedlichen Typen von Zertifikaten und deren Einsatzgebiete. Dabei werden praxisrelevante Anwendungsszenarien wie HTTPS/TLS-Absicherung, VPN-Zugänge, S/MIME-E-Mail-Verschlüsselung, Code Signing und gerätebasierte Authentifizierung erläutert.

Ein zentrales Element des Workshops ist die Vermittlung von Best Practices zur Architekturplanung und sicheren Ausgestaltung einer PKI. Hierzu gehören Entscheidungen hinsichtlich der Hierarchiestruktur (Ein- oder Mehrstufenmodell), der Einsatz einer Offline Root CA zur Trennung sensibler Vertrauensebenen, die Definition von Gültigkeitszeiträumen und Namenskonventionen, die Planung von Sperrmechanismen sowie die Einrichtung von CDP- und AIA-Pfaden. Zusätzlich werden Sicherheitsaspekte wie die Härtung von CA-Systemen, Rollentrennung, Zugriffskontrollen, Backup-Strategien und die Konzeption von Key Recovery Agents (KRAs) behandelt. Die Teilnehmer lernen, wie sich diese Maßnahmen in einer realen Unternehmensumgebung praktisch umsetzen lassen.

Ein besonderer Fokus liegt auf der praktischen Einrichtung einer PKI unter Windows Server: Die Teilnehmer installieren und konfigurieren sowohl eine Offline Root CA als auch eine untergeordnete Enterprise CA. Sie lernen die Verwaltung der Zertifizierungsstellen mit nativen Werkzeugen wie der MMC-Zertifikatskonsole, certreq und certutil kennen. Darüber hinaus werden Zertifikatvorlagen erstellt, angepasst und mit passenden Berechtigungen versehen, sodass automatische Zertifikatsregistrierung über Gruppenrichtlinien (Autoenrollment) möglich wird. Dabei werden sowohl Benutzer- und Computerzertifikate als auch spezielle Templates für Smartcard-basierte Authentifizierung eingerichtet und getestet.

Ein zentraler Bestandteil des Workshops ist die starke Authentifizierung mittels Smartcards, insbesondere unter Verwendung des YubiKey im PIV-Modus. Die Teilnehmer lernen, wie der YubiKey initialisiert und mit einem persönlichen Schlüssel- und Zertifikatspaar versehen wird. In praktischen Übungen wird gezeigt, wie sich Benutzerzertifikate mithilfe des YubiKey Manager auf das Gerät übertragen lassen und wie eine Anmeldung an Windows-Clients mithilfe der Smartcard durchgeführt wird. Dabei werden sowohl technische Voraussetzungen (u. a. Smartcard Logon Templates, Zertifikatsmapping im AD) als auch Sicherheitsaspekte wie PIN-Policy, Sperrung und Wiederherstellung berücksichtigt. Die Teilnehmer erfahren, wie Smartcards zur Absicherung privilegierter Zugänge (z.  B. RDP, BitLocker, VPN) eingesetzt werden können und wie sich damit eine „Smartcard-only“-Policy technisch umsetzen lässt.

Darüber hinaus werden fortgeschrittene Szenarien rund um die Authentication Mechanism Assurance (AMA) behandelt. Die Teilnehmer lernen, wie sich gestufte Authentifizierungsniveaus im Active Directory definieren lassen und wie diese über Zertifikatsmerkmale durchgesetzt werden können. Die Kombination von AMA mit Gruppenrichtlinien, Sicherheitsgruppen und IPSec Policies ermöglicht es, differenzierte Zugangsberechtigungen in Abhängigkeit vom verwendeten Authentifizierungsmechanismus umzusetzen – etwa um besonders schützenswerte Systeme nur noch bei vorheriger starker Authentifizierung zugänglich zu machen.

Ergänzend zum klassischen On-Premises-Szenario wird auch die Integration der PKI in Cloud-Infrastrukturen behandelt, insbesondere die Azure Certificate-Based Authentication (CBA) mit Entra ID (vormals Azure AD). Die Teilnehmer erhalten eine Einführung in die Voraussetzungen und Konfigurationen, die notwendig sind, um On-Premises ausgestellte Zertifikate für die Authentifizierung in Azure-basierten Umgebungen zu nutzen. Dazu gehört das Hochladen von Root- und Intermediate-Zertifikaten in Azure, das Erstellen von CBA-Policies sowie die praktische Anbindung von Clients. Die Kombination aus lokal betriebener PKI und Azure CBA ermöglicht hybride Authentifizierungsszenarien mit hohem Sicherheitsniveau.

Ein weiteres Thema des Workshops ist die Transition bestehender PKI-Infrastrukturen. Viele Unternehmen betreiben veraltete Zertifizierungsstellen, deren technisches oder organisatorisches Design heutigen Sicherheitsanforderungen nicht mehr genügt. Die Teilnehmer lernen, wie sich solche Umgebungen mit minimalen Risiken und klaren Migrationspfaden ablösen oder schlicht aktualisieren lassen. Hierzu gehören Parallelbetrieb, kontrollierter Rollout neuer Templates, Erneuerung der Root-CA (Root Rollover), Re-Enrollment bestehender Zertifikate und der Umgang mit vertrauenswürdigen Drittzertifizierungsstellen.

Abschließend wird der laufende Betrieb der PKI beleuchtet. Dazu zählen Maßnahmen zur Überwachung und Pflege der CA-Datenbank, das Management von CRLs und Delta-CRLs, die Einrichtung und Pflege von OCSP-Responder-Instanzen sowie die Protokollierung sicherheitsrelevanter Vorgänge mittels Audit-Logs. Die Teilnehmer erlernen den Einsatz von PowerShell zur Automatisierung wiederkehrender Aufgaben wie Template-Erstellung, Reporting, Benutzerzertifikatverwaltung oder Massenimport/-export. Auch organisatorische Maßnahmen wie die Definition klarer Rollen, Prozesse zur Antragstellung, Genehmigung und Dokumentation sowie der Umgang mit kompromittierten oder abgelaufenen Zertifikaten werden diskutiert.

Der Workshop kombiniert fundiertes Theorie-Wissen mit einem hohen Anteil an praktischen Übungen in einer dediziertenTestumgebung. Die Teilnehmer erhalten damit das notwendige Rüstzeug, um eine PKI nicht nur technisch korrekt, sondern auch zukunftssicher und auditkonform zu betreiben. Durch die thematische Tiefe und den praxisorientierten Aufbau eignet sich der Kurs besonders für Administratoren, Sicherheitsverantwortliche und IT-Architekten, die in ihrer Organisation für Authentifizierungs- und Verschlüsselungsinfrastrukturen verantwortlich sind.