Ab dem 15. März 2026 sinkt die maximale Gültigkeit öffentlicher TLS-Zertifikate von 398 auf 200 Tage. Ein Jahr später fällt sie auf 100 Tage, und ab März 2029 bleiben nur noch 47 Tage. Wer heute noch Zertifikate von Hand in einer Excel-Tabelle verwaltet, bekommt damit ein handfestes Problem: Bei mehreren hundert Endpunkten und einem Erneuerungsrhythmus von unter zwei Monaten reicht manuelle Pflege schlicht nicht mehr aus. Genau deshalb wächst der Markt für Certificate-Lifecycle-Management-Plattformen (CLM) gerade so schnell. Wir haben die drei prägenden Anbieter für Unternehmenskunden gegenübergestellt: Sectigo Certificate Manager, Keyfactor Command und Venafi TLS Protect, seit Oktober 2024 Teil von CyberArk. Dazu ordnen wir DigiCert Trust Lifecycle Manager und die kostenlosen Alternativen AWS Certificate Manager und Let’s Encrypt ein.
Der Vergleich stützt sich auf öffentlich zugängliche Preisblätter, G2-Nutzerbewertungen, Branchenstudien und dokumentierte Vorfälle aus den Jahren 2024 bis 2026. Er richtet sich an IT-Verantwortliche, die ihre Zertifikatsverwaltung modernisieren müssen, bevor der nächste Fristsprung im März 2027 greift, sowie an alle, die nach den jüngsten Ausfällen bei GitHub, ServiceNow und der Bank of England verstehen wollen, wie sich ähnliche Vorfälle im eigenen Unternehmen vermeiden lassen.
Warum TLS-Zertifikatsmanagement 2026 zum Pflichtthema wird
Noch vor wenigen Jahren war ein TLS-Zertifikat etwas, das ein Administrator einmal im Jahr erneuerte und dann vergaß. Diese Zeiten sind vorbei. Das CA/Browser Forum, das Gremium aus Zertifizierungsstellen und Browserherstellern, hat mit Ballot SC-081v3 einen mehrstufigen Fahrplan beschlossen, der die Gültigkeitsdauer öffentlicher TLS-Zertifikate radikal verkürzt. Sectigo und DigiCert bestätigen in ihren eigenen Ankündigungen dieselben Stichtage: 200 Tage ab 15. März 2026, 100 Tage ab 15. März 2027, und 47 Tage ab 15. März 2029. Parallel dazu sinkt auch die Wiederverwendungsdauer der Domain-Validierung (DCV) auf zuletzt nur noch 10 Tage.
Das bedeutet in der Praxis: Ein Unternehmen mit 5.000 TLS-Zertifikaten muss ab 2029 rein rechnerisch mehr als achtmal pro Jahr jedes einzelne Zertifikat erneuern. Ohne Automatisierung ist das mit einem klassischen IT-Team nicht mehr zu stemmen. Laut dem “State of Machine Identity Security”-Report von Sectigo, für den Omdia im Juni 2025 272 IT- und Sicherheitsverantwortliche in den USA und in Europa befragte, nutzen zwar 53 Prozent der Organisationen bereits irgendeine Form der Automatisierung bei der Zertifikatserneuerung. Vollständig automatisiert haben aber nur 5 Prozent, 95 Prozent bleiben zumindest teilweise auf manuelle Prozesse angewiesen. Diese Lücke ist der eigentliche Treiber hinter dem CLM-Markt, den Marktforscher von Mordor Intelligence für 2026 auf 8,96 Milliarden US-Dollar taxieren, mit einer erwarteten Wachstumsrate von 20,76 Prozent pro Jahr bis 2031.
Hinzu kommt der Fall Venafi. CyberArk hat die Übernahme des Machine-Identity-Spezialisten am 1. Oktober 2024 abgeschlossen, für rund 1,54 Milliarden US-Dollar in bar und Aktien. Damit ist der bis dahin unabhängige Platzhirsch im Enterprise-Segment Teil eines größeren Identity-Security-Konzerns geworden, was die Wettbewerbslandschaft für 2026 spürbar verschoben hat. Wer heute ein TLS-Zertifikatsmanagement plant, vergleicht deshalb nicht mehr nur Funktionen, sondern auch, wie stabil die jeweilige Produktstrategie nach einer solchen Übernahme bleibt.
Was Certificate Lifecycle Management überhaupt leistet
Certificate Lifecycle Management fasst vier Kernaufgaben zusammen: das automatische Auffinden aller im Netzwerk verteilten Zertifikate (Discovery), die Ausstellung neuer Zertifikate über automatisierte Protokolle, die fristgerechte Erneuerung vor Ablauf und den zentralen Widerruf im Notfall, etwa bei einem kompromittierten privaten Schlüssel. Klassisches Zertifikatsmanagement lief über einzelne CA-Portale, Tabellenkalkulationen und Kalendererinnerungen. CLM-Plattformen ersetzen das durch ein zentrales Inventar, das jede Zertifikatsinstanz über alle Cloud-Umgebungen, Server, Container und IoT-Geräte hinweg sichtbar macht.
Technisch stützen sich fast alle modernen CLM-Werkzeuge auf das ACME-Protokoll (Automated Certificate Management Environment), das ursprünglich von Let’s Encrypt populär gemacht wurde, sowie auf ältere Standards wie SCEP und EST für Geräte- und Netzwerkzertifikate. Der Unterschied zwischen einer reinen ACME-Automatisierung und einer vollwertigen CLM-Plattform liegt in der Governance-Schicht: Rollenbasierte Freigaben, Richtliniendurchsetzung, Audit-Protokolle und die Anbindung an bestehende Zertifizierungsstellen, ganz gleich ob öffentlich oder privat betrieben. Genau in dieser Governance-Tiefe unterscheiden sich Sectigo, Keyfactor und Venafi am deutlichsten voneinander.
Ein oft unterschätzter Baustein ist dabei der Genehmigungs-Workflow. In größeren Organisationen soll nicht jeder Entwickler eigenmächtig ein Zertifikat für eine beliebige Domain anfordern können. CLM-Plattformen bilden deshalb mehrstufige Freigabeprozesse ab, bei denen etwa ein Sicherheitsteam ungewöhnliche Anfragen prüft, bevor eine Zertifizierungsstelle tatsächlich ausstellt. Gleichzeitig lässt sich für Routinefälle, etwa die automatische Erneuerung eines bereits genehmigten Zertifikats, die manuelle Prüfung komplett überspringen. Diese Balance zwischen Kontrolle und Geschwindigkeit ist letztlich der Kern dessen, wofür Unternehmen bereit sind, fünf- bis sechsstellige Jahresbeträge zu zahlen, statt einfach nur einen kostenlosen ACME-Client auf jedem Server laufen zu lassen.
Die drei Plattformen im Kurzporträt
Sectigo Certificate Manager
Sectigo Certificate Manager (SCM) positioniert sich als cloud-native, CA-agnostische Plattform mit engem Bezug zur eigenen Sectigo-Zertifizierungsstelle, lässt sich aber auch mit fremden CAs betreiben. Das Produkt punktet vor allem bei kleineren und mittleren Zertifikatsbeständen mit einem vergleichsweise einfachen Einstieg über flache Abo-Pläne. In den G2-Bewertungen für Certificate Lifecycle Management führt Sectigo seit mehreren Quartalen in Folge, laut eigener Mitteilung zum G2 Summer 2026 Grid Report zum dritten Jahr in Serie mit einer Nutzerempfehlungsrate von 92 Prozent.
Keyfactor Command
Keyfactor Command setzt auf den Open-Source-PKI-Kern EJBCA und positioniert sich explizit CA-agnostisch, also unabhängig von einer bestimmten Zertifizierungsstelle. Die Plattform unterstützt neben ACME, SCEP und EST auch das ältere CMP-Protokoll und lässt sich als SaaS, als abgespeckte “SaaS Lite”-Variante, in Kubernetes-Umgebungen oder komplett selbst gehostet betreiben. Diese Flexibilität macht Keyfactor zur bevorzugten Wahl in hybriden Infrastrukturen mit viel selbst verwalteter Hardware, etwa bei Industrieunternehmen mit eigener OT-Fertigung.
Venafi TLS Protect (CyberArk)
Venafi TLS Protect gilt als das Werkzeug mit der tiefsten Governance-Schicht für Maschinenidentitäten in stark regulierten Branchen. Nach der Integration in CyberArks Machine-Identity-Security-Portfolio liegt der Fokus klar auf zentraler Richtliniensteuerung für TLS-Bestände in großen, verteilten On-Premises- und Cloud-Landschaften. Das schlägt sich auch im Preis nieder: Venafi ist laut mehreren Vergleichsquellen die teuerste der drei Plattformen, dafür mit dem größten Funktionsumfang bei Compliance-Nachweisen und Identity-Governance.
Das unbekannte Risiko: Zertifikate, die niemand auf dem Radar hat
Bevor ein Unternehmen überhaupt über Preise oder Funktionsumfang nachdenkt, steht ein unbequemer erster Schritt an: herausfinden, wie viele Zertifikate im eigenen Netzwerk tatsächlich existieren. In der Praxis liegt diese Zahl fast immer deutlich über der offiziellen Inventarliste. Entwicklerteams stellen sich für Testumgebungen selbst Zertifikate aus, Fachabteilungen buchen SaaS-Tools mit eigenen Subdomains, und alte IoT-Geräte laufen jahrelang mit Zertifikaten, die niemand mehr zuordnen kann. Genau diese “Schatten-Zertifikate” sind der Grund, warum reine ACME-Automatisierung allein nicht reicht: Ein Client kann nur erneuern, was er kennt, findet aber nicht automatisch, was ihm nie gemeldet wurde.
Alle drei Enterprise-Plattformen adressieren dieses Problem mit aktivem Netzwerk-Scanning. Keyfactor Command durchsucht dabei nicht nur klassische IP-Bereiche, sondern auch Cloud-Load-Balancer, Kubernetes-Ingress-Controller und Zertifikatsspeicher in Windows-Domänen. Venafi TLS Protect geht noch einen Schritt weiter und verknüpft gefundene Zertifikate direkt mit Richtlinienverstößen, etwa wenn ein selbstsigniertes Zertifikat in einer Produktionsumgebung auftaucht, wo eigentlich nur öffentlich vertrauenswürdige Zertifikate erlaubt sind. Sectigo Certificate Manager bietet eine vergleichbare Discovery-Funktion, allerdings mit stärkerem Fokus auf öffentlich erreichbare Domains als auf rein interne Netzwerksegmente. Für Unternehmen, die zum ersten Mal ein vollständiges Zertifikatsinventar erstellen, ist es keine Seltenheit, dass die Discovery-Phase zwei- bis dreimal mehr aktive Zertifikate zutage fördert als vorher dokumentiert waren.
Technische Spezifikationen im direkten Vergleich
Die folgende Tabelle stellt die wichtigsten technischen Eckdaten aller sechs betrachteten Lösungen gegenüber, von den drei Enterprise-CLM-Plattformen über DigiCert als Zwischenlösung bis zu den kostenlosen Baseline-Optionen AWS Certificate Manager und Let’s Encrypt.
| Merkmal | Sectigo Certificate Manager | Keyfactor Command | Venafi TLS Protect (CyberArk) | DigiCert Trust Lifecycle Manager | AWS Certificate Manager | Let’s Encrypt |
|---|---|---|---|---|---|---|
| CA-agnostisch | Ja | Ja | Ja | Teilweise (eigene CA im Fokus) | Nein (nur AWS-CA/ACM) | Nein (nur Let’s Encrypt) |
| Unterstützte Protokolle | ACME, SCEP, EST | ACME, SCEP, EST, CMP | ACME, SCEP, EST | ACME, SCEP | ACME (eigene API) | ACME |
| Deployment | Managed SaaS | SaaS, SaaS Lite, Kubernetes, Self-Hosted | SaaS + Self-Hosted | SaaS (Essentials/Advanced/Premium) | Nur AWS-Cloud | Nur öffentliches Internet |
| Zielgruppe | KMU bis Enterprise | Enterprise, hybride Infrastruktur | Große, regulierte Konzerne | KMU bis Enterprise | AWS-native Teams | Entwickler, kleine Websites |
| G2-Bewertung | 4,5 / 5 (196 Reviews, Stand 30.08.2026) | 4,5 / 5 (85 Reviews) | 4,3 / 5 (3 Reviews) | 3,8 / 5 (11 Reviews) | 4,5 / 5 (58 Reviews) | 4,8 / 5 (21 Reviews) |
| Maximale Zertifikatslaufzeit ab 15.03.2026 | 200 Tage | 200 Tage | 200 Tage | 200 Tage | Bis 198 Tage (exportierbar) | 90 Tage |
| Governance / Machine Identity | Solide, Fokus TLS | Stark, DevOps-Integration | Am tiefsten, Compliance-fokussiert | Mittel | Gering | Keine |
| Kostenlose Testphase | 30 Tage | 30-Tage “Test Drive” | Nach Anfrage | Nach Anfrage | Dauerhaft kostenlos (AWS-intern) | Immer kostenlos |
| Private-CA-Unterstützung | Ja | Ja (EJBCA-Kern) | Ja | Ja | Ja (AWS Private CA, separat bepreist) | Nein |
| Typische Einstiegsgröße | Ab 100 Zertifikaten | Ab ca. 25.000 Zertifikaten | Ab großen Enterprise-Beständen | Ab Einzelnutzer-Seats | Beliebig | Beliebig |
| Muttergesellschaft | Sectigo Limited | Keyfactor, Inc. | CyberArk (seit 01.10.2024) | DigiCert, Inc. | Amazon Web Services | Internet Security Research Group |
Auffällig ist, dass sich die drei Enterprise-Plattformen bei den reinen Protokollstandards kaum unterscheiden. ACME, SCEP und EST beherrschen alle drei, Keyfactor ergänzt zusätzlich CMP über seinen EJBCA-Unterbau. Der eigentliche Unterschied liegt in der Tiefe der Governance-Funktionen und in der Flexibilität der Bereitstellung, nicht in der reinen Protokollunterstützung.
Preise 2026: Von kostenlos bis über 500.000 Dollar im Jahr
Bei den Kosten klafft die größte Lücke im gesamten Vergleich. Die drei Enterprise-CLM-Anbieter veröffentlichen keine Listenpreise, aber unabhängige Quellen liefern belastbare Anhaltspunkte. Ein Preisblatt von The SSL Store, das auf Sectigo-Konditionen basiert, nennt für Sectigo Certificate Manager mit S/MIME-Zertifikaten bei 100 Zertifikaten 2.000 US-Dollar Einrichtungsgebühr plus 2.900 US-Dollar im Jahr, bei 1.000 Zertifikaten steigt die Jahresgebühr auf 26.395 US-Dollar. Für größere Bestände verweist Sectigo auf individuelle Angebote.
Bei Keyfactor Command nennt der unabhängige Vendor-Vergleich von Axelspire geschätzte Jahresspannen von 75.000 bis 100.000 US-Dollar für den Einstieg, 125.000 bis 175.000 US-Dollar für die Enterprise-Stufe und mehr als 200.000 US-Dollar für “Enterprise Plus”. Für ein konkretes Beispiel mit 100.000 Zertifikaten nennt dieselbe Quelle 250.000 bis 350.000 US-Dollar für eine On-Premises-Installation und sogar 500.000 US-Dollar bis 1 Million US-Dollar im Jahr für eine SaaS-Bereitstellung in dieser Größenordnung. Für Venafi liegt laut derselben Vergleichsquelle die typische Preisspanne bei 250.000 bis über 500.000 US-Dollar im Jahr, was die Positionierung als Premium-Lösung für die größten und am stärksten regulierten Umgebungen bestätigt.
| Plattform | Preismodell 2026 | Ungefähre Jahreskosten | Quelle |
|---|---|---|---|
| Let’s Encrypt | Komplett kostenlos, 90-Tage-Zertifikate | 0 $ | Let’s Encrypt Community |
| AWS Certificate Manager | Kostenlos bei AWS-Integration; exportierbar ab 7 $/FQDN, 79 $/Wildcard | 0 $ bis niedriger dreistelliger Betrag | AWS-Preisseite (Stand Februar 2026) |
| DigiCert Trust Lifecycle Manager | Seat-basierte Abo-Pläne (Essentials/Advanced/Premium) | ca. 4.400 $ bis 8.000 $ pro Lizenzpaket; teils 99 $/Nutzer/Monat | CDW-Produktlistungen, Capterra |
| Sectigo Certificate Manager | Flat-Rate-Pläne, Einrichtungsgebühr + Jahresabo | ca. 4.900 $ (100 Zertifikate) bis 28.395 $ (1.000 Zertifikate) | The SSL Store Preisblatt |
| Keyfactor Command | Enterprise-Angebot nach Zertifikatsvolumen | 75.000 $ bis über 1 Mio. $ je nach Volumen und Deployment | Axelspire Vendor-Vergleich |
| Venafi TLS Protect (CyberArk) | Premium-Enterprise-Angebot, individuell | 250.000 $ bis über 500.000 $ | Axelspire Vendor-Vergleich |
Wichtig für die Einordnung: Diese Zahlen sind Schätzungen aus Drittquellen, keine offiziellen Listenpreise. Alle drei Enterprise-Anbieter verhandeln individuell nach Zertifikatsvolumen, Support-Level und Vertragslaufzeit. Für ein deutsches Unternehmen mit 500 bis 2.000 verwalteten Zertifikaten dürfte die Realität meist zwischen der Sectigo-Einstiegsstufe und der Keyfactor-Starterstufe liegen, während Venafi in dieser Größenordnung häufig überdimensioniert ist. Die genauen aktuellen Konditionen von AWS listet die offizielle ACM-Preisseite auf, während Let’s Encrypt in seiner eigenen Statistik regelmäßig offenlegt, wie viele Zertifikate täglich weltweit ausgestellt werden, aktuell im Bereich von mehreren Millionen pro Tag.
Bewertungen und Benchmarks aus drei unabhängigen Quellen
Neben Preisen zählen bei einer Enterprise-Software-Entscheidung vor allem echte Nutzererfahrungen. Auf G2 führt Sectigo Certificate Manager mit 4,5 von 5 Sternen bei 196 Bewertungen (Stand 30. August 2026) die Kategorie Certificate Lifecycle Management seit mehreren Quartalen an. Keyfactor Command erreicht ebenfalls 4,5 von 5 Sternen, allerdings bei deutlich weniger Bewertungen (85). Venafi TLS Protect kommt auf 4,3 von 5 Sternen, die Stichprobe ist mit nur 3 Bewertungen aber zu klein, um belastbar zu sein, vermutlich weil viele Bestandskunden noch unter dem alten Venafi-Markennamen oder direkt über CyberArk-Kanäle bewerten.
Ein zweiter Blick lohnt sich bei den Adoptionsraten für Automatisierung, die drei unabhängige Studien liefern. Der bereits erwähnte Omdia-Report im Auftrag von Sectigo (272 Befragte, Juni 2025) findet nur 5 Prozent vollständige Automatisierung. DigiCert kommt in seinem eigenen “State of PKI Automation”-Report mit 400 befragten Unternehmen ab 1.000 Mitarbeitenden zu einem optimistischeren Bild: 91 Prozent der Unternehmen wollen PKI-Automatisierung einführen, 70 Prozent erwarten die Umsetzung innerhalb von zwölf Monaten. Eine dritte Studie des Sicherheitsanbieters HID aus 2026 zu PKI-Trends findet, dass bereits 67 Prozent der befragten Führungskräfte Erneuerungsprozesse automatisieren und 61 Prozent innerhalb der nächsten 24 Monate weiter in PKI-Automatisierung investieren wollen. Die drei Studien kommen zu unterschiedlichen Absolutzahlen, zeichnen aber gemeinsam ein klares Bild: Die Nachfrage nach Automatisierung wächst schneller, als sie tatsächlich umgesetzt wird.
Automatisierung und ACME in der Praxis
Alle drei Enterprise-Plattformen setzen inzwischen auf das ACME-Protokoll als Rückgrat der Automatisierung, ergänzt um SCEP und EST für Netzwerkgeräte und Endpunkte. Ein einfaches Beispiel zeigt, wie eine automatisierte Erneuerung über einen ACME-Client in der Praxis aussieht, unabhängig davon, welche CLM-Plattform im Hintergrund die Richtlinien durchsetzt:
# Automatisierte Erneuerung über einen ACME-Client
certbot renew --cert-name example.de \
--deploy-hook "systemctl reload nginx"
# Status aller verwalteten Zertifikate im CLM-Inventar abfragen
curl -s -H "Authorization: Bearer $API_TOKEN" \
https://clm.internal.example.de/api/v1/certificates?expiring_within=14dDer Unterschied zwischen einem reinen ACME-Client wie Certbot und einer vollwertigen CLM-Plattform zeigt sich erst bei Skalierung. Certbot erneuert ein einzelnes Zertifikat auf einem einzelnen Server. Keyfactor Command oder Venafi TLS Protect erkennen dagegen automatisch neue Endpunkte im Netzwerk, ordnen sie Richtlinien zu, erzwingen Mindestschlüssellängen und protokollieren jede Ausstellung für Audits. Genau diese Governance-Schicht rechtfertigt den Preisunterschied zwischen einem kostenlosen ACME-Client und einer fünf- bis sechsstelligen Jahreslizenz.
Integration in DevOps- und Cloud-native Umgebungen
Wer heute Infrastruktur über Terraform, Kubernetes und CI/CD-Pipelines betreibt, kann sich manuelle Zertifikatsprozesse ohnehin nicht mehr leisten, unabhängig von der 47-Tage-Frist. Keyfactor Command bringt dafür einen eigenen Kubernetes-Operator mit, der Zertifikatsanforderungen direkt über Custom Resource Definitions abwickelt und sich damit nahtlos in bestehende GitOps-Workflows einfügt. Venafi TLS Protect bietet vergleichbare Integrationen über eigene Plugins für HashiCorp Vault, Jenkins und gängige Service-Mesh-Lösungen wie Istio, wo TLS-Zertifikate für die interne Ost-West-Kommunikation zwischen Microservices in noch kürzeren Zyklen rotiert werden als bei öffentlichen Zertifikaten.
Sectigo Certificate Manager punktet dagegen eher bei klassischeren Setups: Webserver, Load Balancer und API-Gateways lassen sich über REST-APIs und vorgefertigte Plugins für gängige Webserver-Software anbinden, ein dedizierter Kubernetes-Operator mit demselben Funktionsumfang wie bei Keyfactor fehlt aber. Für Teams, die bereits stark auf Kubernetes und Infrastructure-as-Code setzen, dürfte deshalb Keyfactor Command tendenziell die reibungslosere Integration bieten, während Sectigo für heterogene, weniger container-lastige Umgebungen ausreichend und günstiger ist. Wichtig ist in jedem Fall, dass die gewählte Plattform native Unterstützung für den offenen Kubernetes cert-manager mitbringt, damit interne Cluster-Zertifikate nicht getrennt von den öffentlichen TLS-Beständen verwaltet werden müssen.
Für sehr kleine Teams, die weder Budget noch Bedarf für eine kommerzielle Plattform haben, existieren zudem Open-Source-Alternativen wie der Kubernetes cert-manager oder Smallsteps step-ca für private Zertifizierungsstellen. Beide Werkzeuge decken einen Teil der Automatisierung ab, bringen aber keine der zentralen Governance-, Audit- und Discovery-Funktionen mit, die Sectigo, Keyfactor und Venafi auszeichnen. Sie eignen sich deshalb vor allem als Einstieg oder als Ergänzung innerhalb eines einzelnen Kubernetes-Clusters, nicht als Ersatz für ein unternehmensweites CLM-Programm.
Häufige Stolperfallen bei der Einführung von CLM
In der Praxis scheitern CLM-Einführungen selten an der Software selbst, sondern an organisatorischen Lücken. Der häufigste Fehler: Teams migrieren zwar die Erneuerung, vergessen aber den Widerruf. Wenn ein Server abgeschaltet wird, bleibt das zugehörige Zertifikat oft aktiv im System, was Audits unnötig verkompliziert und im schlimmsten Fall ein Sicherheitsrisiko schafft, falls der private Schlüssel weiterhin irgendwo gespeichert ist. Ein zweiter typischer Fehler ist die fehlende Eskalationskette: Ein automatisiertes System, das eine fehlgeschlagene Erneuerung nur per E-Mail meldet, hilft wenig, wenn diese E-Mail in einem selten gelesenen Postfach landet, wie es unter anderem beim GitHub-Vorfall im November 2025 eine Rolle gespielt haben dürfte.
Der dritte Stolperstein betrifft die Berechtigungsstruktur. Wird eine CLM-Plattform mit zu weitreichenden Rechten für alle Teams ausgerollt, kann praktisch jeder Entwickler Zertifikate für beliebige Domains anfordern, was Governance-Vorteile wieder zunichtemacht. Empfehlenswert ist ein rollenbasiertes Modell, bei dem jedes Team nur für seine eigenen Subdomains und Namespaces Zertifikate beantragen kann, während zentrale Richtlinien wie Mindestschlüssellängen und erlaubte Zertifizierungsstellen unternehmensweit fest verankert bleiben. Alle drei hier verglichenen Enterprise-Plattformen unterstützen ein solches Modell, in der Grundkonfiguration ist es aber häufig nicht aktiviert und muss aktiv eingerichtet werden.
Krypto-Agilität: Mehr als nur Ablaufdaten überwachen
Ein Aspekt, der bei der reinen Fokussierung auf Ablauffristen leicht untergeht, ist die sogenannte Krypto-Agilität, also die Fähigkeit, Verschlüsselungsalgorithmen und Schlüssellängen unternehmensweit schnell auszutauschen, wenn ein Standard als unsicher gilt. Das ist kein theoretisches Problem: Schon heute mahnen Sicherheitsbehörden weltweit, sich auf den Übergang zu quantensicheren Verfahren vorzubereiten, weil klassische RSA- und ECC-basierte Zertifikate langfristig durch leistungsfähigere Quantencomputer angreifbar werden könnten. Ein Unternehmen, das seine Zertifikate zentral über eine CLM-Plattform verwaltet, kann im Ernstfall per Richtlinienänderung alle betroffenen Zertifikate identifizieren und in einem kontrollierten Zeitraum austauschen. Wer dagegen tausende Zertifikate über einzelne Teams und Tabellenkalkulationen verstreut hat, weiß im Zweifel nicht einmal, welche Systeme überhaupt betroffen sind.
Alle drei hier verglichenen Plattformen werben inzwischen mit “Crypto-Agility”-Funktionen, die es erlauben, veraltete Algorithmen, zu kurze Schlüssellängen oder unerwünschte Zertifizierungsstellen automatisch zu erkennen und zentral zu melden. Venafi hat diesen Begriff über Jahre hinweg stark geprägt und bietet die granularsten Richtlinien-Dashboards für genau diesen Zweck. Keyfactor Command zieht mit vergleichbaren Funktionen nach, die sich vor allem an DevOps-Teams richten, die Richtlinien direkt als Code in ihre Pipelines integrieren wollen. Sectigo positioniert seine entsprechenden Funktionen etwas schlanker, deckt damit aber für die meisten mittelständischen Anwendungsfälle die relevanten Basisszenarien ab, etwa das Erzwingen von Mindestschlüssellängen bei neu ausgestellten Zertifikaten.
Fünf reale Ausfälle durch abgelaufene TLS-Zertifikate
Wer glaubt, abgelaufene Zertifikate seien ein Problem kleiner Websites, irrt. Allein in den vergangenen zwei Jahren legten abgelaufene TLS-Zertifikate mehrfach Systeme großer, professionell betriebener Organisationen lahm.
- Alaska Airlines, 22. September 2024: Ein IT-Ausfall verzögerte zahlreiche Flüge. Die Fluggesellschaft stellte klar, es habe sich nicht um einen Cyberangriff gehandelt, sondern um ein Zertifikatsproblem, das mehrere Systeme gleichzeitig betraf.
- Bank of England, 21. Juli 2024: Das Hochwertzahlungssystem CHAPS fiel weltweit aus, Abwicklungen im Privatkundengeschäft standen laut Berichten mehr als anderthalb Stunden still. Als Ursache wurde ein abgelaufenes SSL/TLS-Zertifikat identifiziert.
- ServiceNow, 24. September 2024: Ein abgelaufenes SSL-Root-Zertifikat störte die Verbindung zwischen MID-Servern und Instanzen. Nach Angaben von ServiceNow waren 616 Kundenorganisationen betroffen.
- GitHub, 18. November 2025: Zwischen 20:30 und 21:34 UTC schlugen sämtliche Git-Operationen fehl. Laut GitHubs eigenem Verfügbarkeitsbericht war die Ursache ein abgelaufenes internes TLS-Zertifikat für die Kommunikation zwischen Diensten.
- Chromecast der zweiten Generation, 9. März 2025: Ein abgelaufenes Zwischenzertifikat der Google-eigenen Zertifizierungsstelle (Chromecast ICA 3) legte weltweit Millionen Geräte lahm, die sich nicht mehr bei Google-Servern authentifizieren konnten.
Auch Microsoft blieb 2026 nicht verschont: Die Diagnoseseite connectivity.office.com zeigte laut Berichten ab dem 14. Juni 2026 Vertrauenswarnungen im Browser, weil das TLS-Zertifikat abgelaufen und rund 35 Stunden lang nicht ersetzt worden war. Bemerkenswert an diesem Fall ist, dass es sich um eine interne Diagnoseseite handelte, mit der Administratoren die Verbindung zu Microsoft-365-Diensten testen. Ausgerechnet das Werkzeug zur Fehlerdiagnose war also selbst von einem abgelaufenen Zertifikat betroffen, was zeigt, wie leicht auch Randsysteme durch das Raster fallen, wenn keine automatisierte Überwachung greift.
Diese Beispiele zeigen, dass selbst Unternehmen mit großen, gut ausgestatteten IT-Abteilungen ohne durchgängige Automatisierung an genau dieser Stelle scheitern. Bezeichnend ist außerdem, dass fast keiner dieser Vorfälle auf einen Cyberangriff zurückgeht. Es handelt sich durchweg um operative Fehler, die mit konsequenter Automatisierung vermeidbar gewesen wären. Genau das ist das zentrale Verkaufsargument aller drei hier verglichenen CLM-Plattformen: Sie ersetzen menschliche Erinnerung durch technische Zwangsläufigkeit.
NIS2, BSI und die Kryptografie-Pflicht für deutsche Unternehmen
Für Unternehmen in Deutschland kommt zur technischen Notwendigkeit noch eine regulatorische hinzu. Die NIS2-Richtlinie der EU verlangt in Artikel 21 von den betroffenen Einrichtungen unter anderem “Konzepte und Verfahren für den Einsatz von Kryptografie und gegebenenfalls Verschlüsselung” als eine von zehn Mindestmaßnahmen zum Risikomanagement. Auch wenn NIS2 keine konkrete Zertifikatslaufzeit vorschreibt, zwingt die Pflicht zu dokumentierten, überprüfbaren Kryptografie-Prozessen genau die Unternehmen, die bislang auf Zuruf und Tabellenkalkulation gesetzt haben, zu einem strukturierten CLM-Ansatz. Das BSI beobachtet die Bedrohungslage kontinuierlich und empfiehlt Betreibern kritischer Infrastrukturen seit Jahren, Zertifikatsprozesse zu automatisieren statt manuell zu pflegen.
Für KRITIS-Betreiber, Banken, Versicherer und andere stark regulierte Branchen in Deutschland verschärft sich die Lage durch die kürzeren Zertifikatslaufzeiten zusätzlich: Wer schon heute Mühe hat, jährliche Erneuerungen fristgerecht zu dokumentieren, wird bei acht Zyklen pro Jahr ab 2029 ohne automatisiertes Audit-Protokoll kaum noch nachweisen können, dass Kryptografie-Richtlinien eingehalten wurden. Genau hier punkten Keyfactor und Venafi mit ihren tief integrierten Compliance- und Audit-Funktionen gegenüber einfacheren ACME-Only-Lösungen.
Migration: In acht Schritten von manueller Verwaltung zu CLM
Der Umstieg von verstreuten, manuell gepflegten Zertifikaten auf eine zentrale CLM-Plattform lässt sich in acht überschaubare Schritte gliedern, unabhängig davon, für welchen Anbieter sich ein Unternehmen letztlich entscheidet.
- Inventar erstellen: Automatisiertes Netzwerk-Scanning, um wirklich jedes aktive Zertifikat zu finden, auch die “vergessenen” auf internen Diensten und Testsystemen.
- Ist-Zustand bewerten: Ablaufdaten, Schlüssellängen, verwendete Algorithmen und Ausstellerquellen dokumentieren, um Risiken zu priorisieren.
- Anforderungen definieren: Zertifikatsvolumen, Deployment-Präferenz (SaaS vs. Self-Hosted), Compliance-Pflichten und Budget festlegen.
- Anbieter auswählen: Anhand der oben stehenden Tabellen und eines kostenlosen Testzugangs prüfen, welche Plattform zur eigenen Infrastruktur passt.
- Pilotprojekt starten: Eine überschaubare Umgebung, etwa eine Testumgebung oder eine einzelne Abteilung, vollständig automatisieren, bevor der Rollout beginnt.
- ACME-Automatisierung einrichten: Clients auf allen relevanten Servern und in CI/CD-Pipelines integrieren, damit Erneuerungen ohne manuellen Eingriff laufen.
- Schrittweise ausrollen: Abteilung für Abteilung migrieren, dabei alte manuelle Prozesse erst abschalten, wenn die Automatisierung nachweislich funktioniert.
- Monitoring und Audits etablieren: Warnschwellen für ablaufende Zertifikate setzen und regelmäßige Compliance-Berichte für NIS2- oder BSI-Nachweise einrichten.
Realistisch braucht ein mittelständisches Unternehmen mit einigen hundert Zertifikaten für diesen kompletten Prozess vier bis acht Wochen, während ein Konzern mit mehreren zehntausend Zertifikaten über mehrere Quartale hinweg migriert, meist Abteilung für Abteilung.
SaaS oder Self-Hosted: Die Bereitstellungsfrage
Neben Preis und Funktionsumfang entscheidet die Bereitstellungsart oft darüber, ob ein Projekt in der eigenen IT-Landschaft überhaupt genehmigungsfähig ist. Sectigo Certificate Manager läuft praktisch ausschließlich als verwaltetes SaaS-Angebot, was den Betriebsaufwand minimiert, aber voraussetzt, dass private Schlüssel und Metadaten in der Sectigo-Cloud verarbeitet werden dürfen. Für viele deutsche Mittelständler ohne strenge Datenresidenz-Vorgaben ist das unproblematisch, für Behörden oder Finanzinstitute mit expliziten On-Premises-Vorgaben kann es dagegen ein Ausschlusskriterium sein.
Keyfactor Command adressiert genau dieses Bedürfnis mit vier unterschiedlichen Bereitstellungsmodellen: klassisches SaaS, eine abgespeckte SaaS-Lite-Variante für kleinere Teams, ein Kubernetes-natives Deployment für container-lastige Unternehmen sowie eine vollständig selbst gehostete Installation, bei der keinerlei Daten das eigene Rechenzentrum verlassen. Venafi TLS Protect bietet ebenfalls sowohl SaaS als auch Self-Hosted an, mit dem Vorteil, dass sich beide Modelle im laufenden Betrieb kombinieren lassen, etwa SaaS für Cloud-Workloads und Self-Hosted für das klassische Rechenzentrum. Für Unternehmen mit strengen Datenschutz- oder Souveränitätsanforderungen, wie sie im deutschen öffentlichen Sektor üblich sind, dürfte diese Kombinationsfähigkeit ein starkes Argument für Keyfactor oder Venafi gegenüber dem SaaS-only-Ansatz von Sectigo sein.
Vor- und Nachteile jeder Plattform im Überblick
Sectigo Certificate Manager überzeugt durch schnellen Einstieg, transparente Flat-Rate-Preise für kleinere Bestände und die höchste G2-Bewertungsanzahl im Segment. Nachteil: Bei sehr großen, heterogenen Infrastrukturen mit starkem Fokus auf selbst gehostete Deployments fehlen einige der tiefen Governance-Werkzeuge, die Keyfactor und Venafi bieten.
Keyfactor Command punktet mit der größten Deployment-Flexibilität, von SaaS über Kubernetes bis zur vollständigen Selbstverwaltung, und mit CA-Agnostizität dank des offenen EJBCA-Kerns. Nachteil: Der Preis steigt bei großen Zertifikatsvolumina schnell in den sechsstelligen Bereich, und die G2-Bewertungsbasis ist kleiner als bei Sectigo.
Venafi TLS Protect bietet die tiefste Machine-Identity-Governance und ist durch die CyberArk-Integration eng an bestehende Privileged-Access-Umgebungen anbindbar. Nachteil: Es ist die mit Abstand teuerste Option, die öffentliche Bewertungsbasis auf G2 ist mit nur drei Reviews kaum aussagekräftig, und für kleinere Organisationen ist der Funktionsumfang oft überdimensioniert.
DigiCert Trust Lifecycle Manager liegt preislich und funktional zwischen den drei Platzhirschen und den kostenlosen Optionen, mit der niedrigsten G2-Bewertung im Vergleich (3,8 von 5). Für Unternehmen, die bereits DigiCert als Zertifizierungsstelle nutzen, ist die native Integration trotzdem ein starkes Argument.
AWS Certificate Manager und Let’s Encrypt bleiben die richtige Wahl, wenn keine komplexe Governance nötig ist. Beide sind kostenlos oder nahezu kostenlos, bieten aber keine zentrale Richtliniendurchsetzung, keine Discovery über mehrere Cloud-Anbieter hinweg und keine Audit-Trails für Compliance-Zwecke.
Einsatzempfehlungen: Welches Tool passt zu welchem Unternehmen
- Startups und kleine Websites mit unter 50 Zertifikaten: Let’s Encrypt mit automatisiertem ACME-Client reicht in den meisten Fällen vollständig aus und kostet nichts.
- AWS-native Teams: AWS Certificate Manager ist die naheliegende Wahl, solange alle Zertifikate ausschließlich mit ACM-integrierten Diensten wie CloudFront oder Elastic Load Balancing genutzt werden.
- Mittelständische Unternehmen mit gemischter Cloud- und On-Premises-Umgebung: Sectigo Certificate Manager bietet den besten Einstiegspreis bei solider Funktionstiefe für einige hundert bis wenige tausend Zertifikate.
- Konzerne mit hybrider, DevOps-lastiger Infrastruktur und eigener PKI: Keyfactor Command bietet die größte Deployment-Flexibilität und lässt sich tief in CI/CD-Pipelines integrieren.
- Regulierte Branchen wie Banken, Versicherungen und KRITIS-Betreiber: Venafi TLS Protect liefert die umfassendsten Compliance- und Governance-Funktionen, auch wenn der Preis entsprechend hoch ausfällt.
- Bestehende DigiCert-Kunden: Trust Lifecycle Manager nutzt vorhandene CA-Beziehungen und Verträge, ohne dass ein kompletter Anbieterwechsel nötig wird.
Marktentwicklung: Warum jetzt in CLM investiert wird
Mehrere unabhängige Marktforschungsunternehmen bestätigen unabhängig voneinander ein zweistelliges Wachstum im PKI- und Zertifikatsmanagement-Markt, auch wenn die absoluten Zahlen je nach Abgrenzung variieren. Mordor Intelligence beziffert den globalen PKI-Markt für 2025 auf 7,42 Milliarden US-Dollar, mit einer Prognose von 8,96 Milliarden US-Dollar für 2026 und 22,99 Milliarden US-Dollar bis 2031, was einer jährlichen Wachstumsrate von 20,76 Prozent entspricht. The Business Research Company setzt den spezifischeren Markt für Certificate-Lifecycle-Management-Software 2025 bei 5,23 Milliarden US-Dollar an, mit einem Anstieg auf 11,05 Milliarden US-Dollar bis 2030 bei 15,6 Prozent CAGR. Fortune Business Insights kommt für den PKI-Gesamtmarkt auf 6,76 Milliarden US-Dollar für 2025 und rechnet mit 32,42 Milliarden US-Dollar bis 2034.
So unterschiedlich die absoluten Zahlen ausfallen, so einheitlich ist der Trend: Alle drei Analysehäuser erwarten ein Wachstum deutlich über dem allgemeinen Software-Marktdurchschnitt, angetrieben genau durch die kürzeren Zertifikatslaufzeiten und den steigenden regulatorischen Druck, den auch NIS2 in Deutschland verstärkt.
Für den DACH-Raum kommt ein weiterer Faktor hinzu: Viele deutsche Mittelständler betreiben nach wie vor eigene Rechenzentren parallel zu Cloud-Workloads, statt vollständig auf einen einzigen Hyperscaler zu setzen. Diese hybride Realität begünstigt tendenziell CA-agnostische Lösungen wie Sectigo und Keyfactor gegenüber reinen Cloud-Angeboten wie AWS Certificate Manager, das nur innerhalb der eigenen Plattform kostenlos bleibt. Wer heute noch zögert, weil das Budget für eine sechsstellige Enterprise-Lizenz fehlt, sollte den Zeitpunkt trotzdem nicht zu weit hinausschieben: Bis der 100-Tage-Zyklus im März 2027 greift, bleiben ab jetzt gerechnet nur noch gut anderthalb Jahre, um Prozesse, Verantwortlichkeiten und Werkzeuge sauber aufzustellen.
Das Urteil: Welche Plattform sich wirklich lohnt
Eine pauschale Kaufempfehlung gibt es bei einem Preisunterschied von 0 US-Dollar bis über 500.000 US-Dollar im Jahr nicht, aber die Datenlage zeichnet ein klares Bild für die drei Hauptszenarien. Wer unter tausend Zertifikaten verwaltet und Wert auf schnellen Einstieg legt, fährt mit Sectigo Certificate Manager am besten: gute G2-Bewertung, überschaubare Kosten ab rund 4.900 US-Dollar im Jahr, klare Preisstruktur. Wer eine hybride, DevOps-getriebene Infrastruktur mit eigener PKI betreibt und Flexibilität bei der Bereitstellung braucht, liegt bei Keyfactor Command richtig, trotz der ab etwa 75.000 US-Dollar deutlich höheren Einstiegskosten.
Venafi TLS Protect bleibt die richtige Wahl für die größten, am strengsten regulierten Umgebungen, in denen Compliance-Nachweise und Machine-Identity-Governance wichtiger sind als der Preis. Für alle anderen ist der Sprung ab 250.000 US-Dollar aufwärts schwer zu rechtfertigen. Und für kleine Teams gilt weiterhin: Solange keine komplexe Governance nötig ist, bleiben Let’s Encrypt und AWS Certificate Manager die wirtschaftlich sinnvollste Basis, kombiniert mit einem simplen ACME-Client. Angesichts der 47-Tage-Frist ab 2029 gilt für praktisch jedes Unternehmen aber dasselbe: Automatisierung ist ab jetzt keine Option mehr, sondern Grundvoraussetzung.
Bei der Gesamtkostenrechnung sollten Verantwortliche außerdem nicht nur die Lizenzgebühr betrachten, sondern auch die Folgekosten eines Ausfalls einpreisen. Die Bank of England büßte im Juli 2024 über anderthalb Stunden Verfügbarkeit ihres Hochwertzahlungssystems ein, ServiceNow musste im September 2024 gegenüber 616 Kundenorganisationen Rechenschaft ablegen. Verglichen mit dem Reputationsschaden und den internen Aufräumkosten eines solchen Vorfalls relativiert sich selbst eine sechsstellige Jahreslizenz für viele Konzerne schnell. Für kleinere Unternehmen mit überschaubarer Zertifikatsanzahl bleibt dagegen der pragmatische Mittelweg über Sectigo oder eine gut konfigurierte ACME-Automatisierung meist die wirtschaftlich vernünftigere Antwort.
Häufig gestellte Fragen zum TLS-Zertifikatsmanagement
Was ist der Unterschied zwischen TLS-Zertifikatsmanagement und einer normalen Zertifizierungsstelle?
Eine Zertifizierungsstelle stellt Zertifikate aus. Eine CLM-Plattform verwaltet den kompletten Lebenszyklus über mehrere Zertifizierungsstellen hinweg, findet Zertifikate automatisch im Netzwerk, erneuert sie rechtzeitig und protokolliert jeden Schritt für Audits.
Warum sinkt die Gültigkeit von TLS-Zertifikaten auf 47 Tage?
Kürzere Laufzeiten reduzieren das Zeitfenster, in dem ein kompromittierter privater Schlüssel unbemerkt missbraucht werden kann, und erzwingen, dass veraltete Validierungsdaten regelmäßig erneuert werden. Der Fahrplan wurde vom CA/Browser Forum mit Ballot SC-081v3 beschlossen und tritt stufenweise zwischen 2026 und 2029 in Kraft.
Ist Let’s Encrypt für Unternehmen ausreichend?
Für kleine und mittlere Websites mit wenigen Zertifikaten ja, insbesondere in Kombination mit einem automatisierten ACME-Client. Sobald zentrale Governance, Audit-Nachweise oder eine private interne CA benötigt werden, reicht Let’s Encrypt allein nicht mehr aus.
Wie viel kostet Keyfactor Command im Vergleich zu Venafi?
Nach unabhängigen Schätzungen liegt Keyfactor Command je nach Zertifikatsvolumen zwischen 75.000 und über 1 Million US-Dollar im Jahr, während Venafi TLS Protect typischerweise bei 250.000 bis über 500.000 US-Dollar im Jahr beginnt. Beide Anbieter verhandeln individuell, konkrete Angebote können abweichen.
Welche Rolle spielt NIS2 beim Zertifikatsmanagement in Deutschland?
NIS2 schreibt in Artikel 21 dokumentierte Kryptografie- und Verschlüsselungsverfahren als Mindestmaßnahme vor. Auch ohne konkrete Laufzeitvorgabe zwingt das betroffene Unternehmen faktisch zu strukturiertem, nachweisbarem Zertifikatsmanagement statt manueller Prozesse.
Was passiert, wenn ein TLS-Zertifikat unbemerkt abläuft?
Browser und Clients verweigern die Verbindung mit Vertrauenswarnungen, Dienste werden für Nutzer unerreichbar. Fälle wie der GitHub-Ausfall im November 2025 oder der ServiceNow-Vorfall im September 2024 mit 616 betroffenen Kunden zeigen, dass selbst große Technologieunternehmen davon nicht verschont bleiben.
Unterstützen alle drei Enterprise-Plattformen das ACME-Protokoll?
Ja. Sectigo Certificate Manager, Keyfactor Command und Venafi TLS Protect unterstützen alle ACME neben SCEP und EST. Keyfactor bietet über seinen EJBCA-Kern zusätzlich Unterstützung für das ältere CMP-Protokoll.
Lohnt sich ein Wechsel von Venafi zu einem anderen Anbieter nach der CyberArk-Übernahme?
Ein pauschaler Wechsel ist nicht nötig. CyberArk hat Venafi im Oktober 2024 vollständig übernommen und führt das Produkt als Machine-Identity-Security-Sparte fort, mit tiefer Anbindung an CyberArks Privileged-Access-Portfolio. Unternehmen, die bereits stark auf CyberArk setzen, profitieren von dieser Integration. Wer unabhängig bleiben will oder ein kleineres Budget hat, findet mit Sectigo oder Keyfactor gleichwertige Alternativen ohne diese Kopplung.
Wie finde ich heraus, wie viele TLS-Zertifikate in meinem Unternehmen bald ablaufen?
Der erste Schritt ist ein aktiver Netzwerk-Scan, entweder über ein kostenloses Werkzeug für kleine Umgebungen oder über die Discovery-Funktion einer der hier vorgestellten CLM-Plattformen für größere Bestände. Wichtig ist, dabei nicht nur öffentlich erreichbare Domains zu prüfen, sondern auch interne Server, Load Balancer, Kubernetes-Cluster und Netzwerkgeräte einzubeziehen, da genau dort die meisten unentdeckten und damit riskanten Zertifikate liegen.
