Certificate Lifecycle Management · ADCS · Public CA · Intune
PKI-Verwaltung, die nicht aus dem Jahr 2008 stammt.
TrustFabric ersetzt certsrv, certtmpl und pkiview durch eine containerisierte Plattform —
ein Inventar, ein Freigabemodell und ein Ausstellungskern über mehrstufige ADCS, öffentliche CAs und Intune hinweg.
Mit einem Tier-0-isolierten Sicherheitskern, der niemals auf der CA selbst läuft.
Docker · Kubernetes & Helm · Azure optional · 0 Byte Installation auf der CA
3
CA-Welten in einem Inventar: ADCS, öffentliche CAs, Intune Cloud PKI
16
ESC-Angriffspfade im eingebauten ADCS-Scanner (ESC1 bis ESC16)
5+
Enrollment-Protokolle: ACME, SCEP, EST, CMP, NDES — plus REST & MCP
12
Fähigkeiten, die im ADCS-Umfeld heute schlicht nicht existieren
ADCS
Public
Intune
ACME
SCEP
EST
CMP
Entra
API
Audit
MCP
TIER 0
Ein Ausstellungskern · jedes Protokoll
Renewal Pre-Flight
CRL Dead-Man's-Switch
ESC1–ESC16 Scanner
Shadow-CA-Erkennung
ML-DSA über ADCS
Point-in-Time Reconstruction
Revocation Impact Analysis
ACME · SCEP · EST · CMP
Offline-Root-Zeremonie
Hash-verkettetes Audit
NIS2 · BSI · TR-02102 · ISO 27001
PKI Fire Drills
Lifecycle SLOs
MCP-Schnittstelle
Renewal Pre-Flight
CRL Dead-Man's-Switch
ESC1–ESC16 Scanner
Shadow-CA-Erkennung
ML-DSA über ADCS
Point-in-Time Reconstruction
Revocation Impact Analysis
ACME · SCEP · EST · CMP
Offline-Root-Zeremonie
Hash-verkettetes Audit
NIS2 · BSI · TR-02102 · ISO 27001
PKI Fire Drills
Lifecycle SLOs
MCP-Schnittstelle
Warum
Drei Snap-ins, eine Datenbanksuche, die den Namen nicht verdient — und certutil für den Rest.
Zertifikatsverwaltung unter Windows heißt bis heute: certsrv, certtmpl, pkiview. Drei Fenster, drei Sichten, keine davon beantwortet die Fragen, die wirklich zählen: Welche Zertifikate laufen in dreißig Tagen ab? Wem gehören sie? Warum bekommt dieses Gerät keines?
Gleichzeitig ist die PKI zu einem der kritischsten Systeme im Unternehmen geworden. Eine abgelaufene CRL legt ganze Landschaften still — VPN, WLAN, Smartcard-Logon, Anwendungs-TLS — und niemand wird vorher gewarnt. Die Werkzeuge stammen aus einer Zeit, in der das noch verzeihlich war.
TrustFabric ist kein Aufsatz auf diese Werkzeuge. Es ersetzt sie — und beantwortet die Fragen, die sie nie stellen konnten.
certsrv.msc — Zertifizierungsstelleseit 2000
certtmpl.msc — Zertifikatvorlagenseit 2003
pkiview.msc — Enterprise PKIseit 2008
ersetzt durch
Bechtle TrustFabricEine Plattform. Ein Inventar. Ein Freigabemodell. Jede CA, jedes Protokoll, jedes Gerät.
Architektur
Ein Tier-0-Kern, der die CA nie berührt.
Die CA ist ein Tier-0-System. Also läuft dort nichts von TrustFabric. Ein Windows-Bridge-Sidecar spricht RPC und WinRM
von außen — ohne Agent, ohne Dienst, ohne Installation. Ausstellungskern und Audit-Kette leben in einem streng isolierten
Tier-0-Container; Web-Oberfläche, API und Protokoll-Adapter in Tier 1. Dazwischen: eine schmale, kommandoförmige Schnittstelle,
die nur das durchlässt, was ausdrücklich erlaubt ist.
Ein Ausstellungskern hinter jedem Protokoll. ACME, SCEP, EST, CMP, REST und MCP münden in dieselbe Logik — dieselben Regeln, dieselbe Freigabe, dasselbe Audit.
Hash-verketteter Ereignisspeicher. Jede Ausstellung, jede Sperrung, jede Template-Änderung ist manipulationssicher verkettet — nachträgliches Umschreiben fällt auf.
Feingranulare Delegation. Wer darf welches Template mit welchen Namensregeln für wen beantragen — befristet, mit Freigabeketten, mit Vier-Augen-Prinzip für Tier-0-Eingriffe.
Snapshots mit Drift-Erkennung. Template- und CA-Konfiguration werden fortlaufend gesichert; jede Abweichung vom Soll-Zustand wird sichtbar, bevor sie zum Vorfall wird.
docker compose uphelm install trustfabricEntra ID LoginKerberos SSO
Was es so noch nicht gibt
Zwölf Fähigkeiten, die kein ADCS-Werkzeug heute hat. Und die meisten PKI-Suiten auch nicht.
Alle überwachen Ablaufdaten. Niemand prüft, ob der Erneuerungsweg noch funktioniert. Alle zeigen Templates. Niemand kann sagen, wie das Template aussah, als dieses Zertifikat entstand. Genau an diesen Lücken entstehen die Ausfälle — und genau dort setzt TrustFabric an.
12Alleinstellungsmerkmale
01 / 12
Betriebssicherheit
Renewal Pre-Flight
Jedes Monitoring der Welt meldet, wann ein Zertifikat abläuft. Keines prüft, ob die Erneuerung überhaupt funktionieren würde. TrustFabric spielt den vollständigen Erneuerungspfad trocken durch — Template noch publiziert? Enroll-Rechte intakt? Namensregeln, Schlüssellänge, Ausstellerkette, Zielpfad des Deployments? — und meldet Wochen vorher, dass eine Erneuerung scheitern wird, mit Ursache und Korrekturvorschlag. Nicht in der Nacht, in der sie tatsächlich scheitert.
Trockenlauf gegen echte PolicyUrsachenanalyseVorwarnzeit statt Nachtschicht
02 / 12
Ausfallschutz
CRL Dead-Man's-Switch
Eine abgelaufene Sperrliste ist der häufigste selbstverschuldete PKI-Totalausfall. TrustFabric erneuert Sperrlisten bevor sie ablaufen können, prüft die Veröffentlichung an jedem CDP- und AIA-Pfad nach und eskaliert automatisch über mehrere Stufen, wenn die Erneuerung nicht greift. Die CRL kann nicht mehr einfach so ablaufen.
CDP / AIA / OCSPGestufte Eskalation
03 / 12
Vertrauensanker
Trust-Store & Rogue-Root Detection
Was vertrauen die Endgeräte eigentlich? TrustFabric inventarisiert die Trust-Stores der gesamten Flotte, gleicht sie gegen den Soll-Satz an Vertrauensankern ab und findet Root-Zertifikate, die dort nichts zu suchen haben — samt erster Sichtung, Verbreitung und wahrscheinlichem Einfallsweg.
Flottenweiter AbgleichSoll-Anker-Satz
04 / 12
Verzeichnisüberwachung
Shadow-PKI & Rogue-CA Detection
Eine Enterprise-CA lässt sich mit wenigen Rechten und einem Nachmittag aufsetzen — und dann vertraut ihr die gesamte Domäne. TrustFabric überwacht die CA-Objekte im Verzeichnis in Echtzeit und schlägt in dem Moment Alarm, in dem eine nicht autorisierte Zertifizierungsstelle, ein neuer NTAuth-Eintrag oder ein fremder Enrollment-Service erscheint.
NTAuth · AIA · Enrollment ServicesEchtzeit
05 / 12
Schlüsselinventar
Key-Posture & Attestation Inventory
Dass ein Schlüssel existiert, weiß jedes Inventar. TrustFabric weiß, was er wert ist: hardware-gebunden und attestiert, weich und nicht exportierbar — oder exportierbar und damit eine Verbindlichkeit. Dazu Duplikate über Hosts hinweg, schwache Längen, und eine Quantum-Readiness-Klassifikation pro Schlüssel.
TPM / HSM AttestationQuantum-Readiness
06 / 12
Forensik
Point-in-Time Reconstruction
Wie sah das Template in dem Moment aus, in dem dieses Zertifikat ausgestellt wurde? Welche Regeln galten, welche EKUs, welche Namensfreigaben? TrustFabric versioniert jede Template-Änderung und rekonstruiert für jedes Zertifikat den exakten Zustand zum Ausstellungszeitpunkt. Aus Versionierung wird Forensik.
Semantischer DiffJe Seriennummer
07 / 12
Sperren ohne Blindflug
Revocation Impact Analysis mit gestuftem Hold
Ein Widerruf ist endgültig — und niemand weiß vorher, was daran hängt. TrustFabric zeichnet den Abhängigkeitsgraphen Zertifikat → Dienst → Anwendung → Geschäftsprozess und zeigt, was brechen würde, bevor Sie sperren. Statt in den Widerruf zu springen, setzen Sie das Zertifikat auf einen umkehrbaren Hold (certificateHold), beobachten die Auswirkung, und entscheiden dann. Falsche Sperrung? Aufheben, weiterarbeiten. Kein Wiederausstellen, kein Nachtschicht-Rollout.
AbhängigkeitsgraphUmkehrbarer HoldBusiness-Impact
08 / 12
Nachweis
Compliance Mapping aus echten Befunden
NIS2, BSI IT-Grundschutz, TR-02102, ISO 27001 — nicht als Checkliste zum Abhaken, sondern abgeleitet aus dem, was der Scanner tatsächlich gefunden hat. Jeder Befund ist auf die Anforderung gemappt, die er verletzt; jeder Nachweis ist mit dem Audit-Ereignis verknüpft, das ihn belegt. Der Auditor bekommt Belege, nicht Behauptungen.
NIS2BSI GrundschutzTR-02102ISO 27001
09 / 12
Übergang
CA Migration Tool — inkl. quantensicherem Pfad
CA-Migrationen sind heute Wochen aus Runbooks, Cross-Signing von Hand und der Hoffnung, nichts vergessen zu haben. TrustFabric führt durch die Migration Schritt für Schritt: Bestandsanalyse, Cross-Zertifizierung, Template-Umzug, Client-Nachführung, Rückbau der alten CA. Und das nicht nur RSA nach RSA — sondern mit einem echten quantensicheren Migrationspfad auf ML-DSA-Hierarchien, hybrid oder nativ.
Cross-SigningHybrid-ZertifikateRückbau-Plan
10 / 12
Übung statt Ernstfall
PKI Fire Drills
Niemand hat den Ausfall der Root-CA je geprobt — weil man ihn nicht proben kann, ohne ihn auszulösen. TrustFabric baut einen digitalen Zwilling der PKI-Umgebung — CA-Hierarchie, Templates, Abhängigkeiten, Endpunkte — und lässt Sie darin die Katastrophe durchspielen: Root kompromittiert, CRL abgelaufen, Issuing-CA weg. Mit Zeitmessung, Runbook-Lücken und Wiederanlauf-Reihenfolge. Produktion unberührt.
Digital TwinSzenario-Bibliothek
11 / 12
Betrieb wie ein Dienst
Lifecycle SLOs mit Error Budgets
Was ist die Zielgröße Ihrer PKI? Bis heute: „läuft halt“. TrustFabric definiert Service Level Objectives für den Zertifikats-Lebenszyklus — Erneuerung spätestens 14 Tage vor Ablauf, Pre-Flight-Erfolgsquote, CRL-Frische, Enrollment-Latenz — und führt dazu echte Error Budgets. Wird das Budget knapp, wissen Sie es, bevor der Vorstand es weiß.
SLO / SLIBurn-Rate-Alarme
12 / 12
Tier-0-Handwerk
Guided Offline Root Ceremonies
Die Root-CA wird alle paar Jahre angefasst — und jedes Mal von jemand anderem, nach einem Runbook, das beim letzten Mal jemand im Kopf hatte. TrustFabric führt die Zeremonie als bezeugten, abgehakten, auditierten Workflow: Rollen und Zeugen, Vier-Augen-Bestätigung je Schritt, HSM-Attestation, Hash-Kette über das gesamte Protokoll. Am Ende steht ein Zeremonie-Bericht, den ein Auditor versteht.
Zeugen-WorkflowZeremonie-Bericht
Funktionsumfang
Vom MMC-Ersatz bis zum digitalen Zwilling. Der gesamte Zielumfang, in fünf Schichten.
Jede Schicht baut auf der darunter auf. Das Fundament trägt alles; die Kern-Plattform ersetzt die Snap-ins vollständig; darüber wachsen Geräte, öffentliche CAs, Intune, Post-Quanten-Kryptografie und Tiefenanalyse — bis zur Vision.
Fundament — immer aktiv
Die Fähigkeiten, auf denen jede andere Funktion aufsetzt. Nicht abschaltbar, nicht optional, in jeder Installation vorhanden.
SCHICHT 1 / 5
Vereinheitlichtes Zertifikatsinventar
Ein Inventar über jede CA-Quelle: interne ADCS-Hierarchien, öffentliche CAs, Intune Cloud PKI, später Netzwerk-Discovery. Mit Besitzer, Zweck, Ablauf, Schlüssel-Posture und Abhängigkeiten — durchsuchbar, filterbar, exportierbar.
Snapshots & Drift-Erkennung
Template- und CA-Konfiguration werden fortlaufend gesichert. Jede Abweichung vom Soll-Zustand — geändertes Enroll-Recht, neuer EKU, verändertes CRL-Intervall — wird erkannt, zugeordnet und alarmiert.
Hash-verketteter Audit-Speicher
Jedes Ereignis wird mit dem Hash seines Vorgängers verkettet. Nachträgliches Löschen oder Umschreiben bricht die Kette und fällt sofort auf. Revisionsfest, exportierbar, SIEM-fähig.
Feingranulares Delegationsmodell
Wer darf welches Template mit welchen Namens- und SAN-Regeln für wen beantragen? Befristete Delegationen laufen von selbst aus; kritische Eingriffe brauchen ein zweites Augenpaar.
Ein Ausstellungskern hinter jedem Protokoll
ACME, SCEP, EST, CMP, REST, MCP, Web-UI — alle münden in dieselbe Ausstellungslogik. Eine Regel gilt überall; ein Audit-Eintrag pro Vorgang, egal über welchen Weg er kam.
Tier-0 / Tier-1 Isolation
Sicherheitskern und Oberfläche laufen in getrennten Containern. Dazwischen nur eine schmale, kommandoförmige API mit Allowlist — kein generischer Datenbankzugriff, keine Shell, kein Umweg.
Windows-Bridge-Sidecar
Spricht RPC und WinRM mit der CA — von außen. Kein Agent, kein Dienst, keine DLL auf dem Tier-0-System. Die CA bleibt so unberührt, wie sie sein sollte.
Entra ID Login
Anmeldung über Entra ID mit Conditional Access, MFA und Gruppen-Mapping auf die drei Rollenbereiche. Kerberos-SSO für die On-Prem-Welt folgt in der Ausbaustufe.
Kern-Plattform — der vollständige MMC-Ersatz
Alles, was certsrv, certtmpl und pkiview können — und alles, was sie nie konnten.
SCHICHT 2 / 5
certsrv-Äquivalent: ausgestellt, ausstehend, gesperrt — und ein ASN.1-Deep-Inspector
Ausgestellte, ausstehende, fehlgeschlagene und gesperrte Zertifikate in einer Ansicht mit echter Suche: Subject, SAN, Thumbprint, Seriennummer, Template, Antragsteller — inklusive Regex. Bulk-Operationen über Tausende Einträge (genehmigen, ablehnen, sperren, exportieren). Der Deep-Inspector zerlegt jedes Zertifikat bis auf ASN.1-Ebene und zeigt die Entscheidungskette: welches Template, welche Policy, welche Regel hat zu genau diesem Inhalt geführt.
certtmpl-Äquivalent
Volle Attribut-Parität zum Snap-in, dazu semantischer Diff zwischen zwei Versionen oder zwei Templates, Versionierung jeder Änderung, Inheritance-Ansicht, Export und Import.
pkiview-Äquivalent
Health-Dashboard der gesamten Hierarchie: CRL-Frische, OCSP-Antwortzeiten, AIA/CDP-Erreichbarkeit, Warteschlangen, Zertifikatsketten — mit Verlauf statt Momentaufnahme.
Drei Rollenbereiche, Self-Service
Administration, Power User, Anwender. Anwender beantragen ihre Zertifikate selbst — innerhalb der Regeln, die ihre Delegation vorgibt — und bekommen sie ohne Ticket und ohne Admin.
ADCS-Sicherheitsaudit: ESC1–ESC16
Der eingebaute Scanner prüft alle bekannten ESC-Angriffspfade — von ESC1 (Antragsteller liefert SAN) bis ESC16 — dazu Konfigurations- und Betriebsaudit mit vollständigem Verlauf, und die Erkennung von Shadow- und Rogue-CAs.
CRL Dead-Man's-Switch
Sperrlisten werden erneuert, bevor sie ablaufen können — mit Nachprüfung an jedem Veröffentlichungspfad und automatischer, gestufter Eskalation, wenn es hakt.
Geführte Fehlersuche
„Warum bekommt dieses Gerät kein Zertifikat?“ — eine deterministische Regel-Engine prüft Template, Rechte, Policy, Erreichbarkeit und Ketten und benennt die Ursache. Nachvollziehbar, reproduzierbar, keine Black-Box-KI.
Interner ACME-Server
ACME für die interne Welt: Webserver, Load-Balancer, Kubernetes-Ingress holen sich Zertifikate wie bei Let's Encrypt — aber aus Ihrer eigenen CA, mit Ihren Regeln, in Ihrem Audit.
REST-API und MCP-Schnittstelle
Alles, was die Oberfläche kann, kann die API. Und über MCP können KI-Agenten und Werkzeuge das Inventar befragen, Befunde erklären lassen und Anträge vorbereiten — innerhalb derselben Delegationsgrenzen.
Mehrstufige PKI, Offline-Root-Workflow
Root, Policy und Issuing CA als eine Hierarchie verwaltet — inklusive geführtem Workflow für die Offline-Root: Zeremonie, CRL-Erneuerung, Cross-Signing.
AD-bewusstes Mapping
Zertifikate werden Konten, Geräten und Gruppen zugeordnet: verwaiste Zertifikate gelöschter Objekte, doppelte oder schwache Schlüssel, und eine Quantum-Readiness-Klassifikation über den gesamten Bestand.
Geräte & öffentliche CAs
Die Plattform wächst über die interne Hierarchie hinaus: Netzwerkgeräte, mobile Endpunkte, öffentliche Aussteller — und der Nachweis, dass alles regelkonform ist.
SCHICHT 3 / 5
SCEP- und EST-Adapter
SCEP für Netzwerkgeräte und MDM, EST (RFC 7030) für Industrie und moderne Clients — beide direkt am Ausstellungskern, beide mit denselben Regeln und demselben Audit.
NDES ausrollen und verwalten, Intune-Connector
NDES-Server werden nicht nur angesprochen, sondern ausgerollt, konfiguriert und überwacht. Der Intune-Certificate-Connector wird eingebunden, damit SCEP- und PKCS-Profile aus einer Hand kommen.
Public-CA-Ordering via ACME + EAB
Öffentliche Zertifikate von DigiCert, Sectigo oder SwissSign werden über ACME mit External Account Binding bestellt, erneuert und inventarisiert — im selben Inventar wie die interne PKI.
Certificate-Transparency-Monitoring
Die CT-Logs werden auf Ihre Domänen überwacht. Ein öffentlich ausgestelltes Zertifikat, das nicht über TrustFabric lief, ist ein Befund — nicht eine Überraschung Monate später.
Netzwerk-Discovery unverwalteter Zertifikate
TLS-Endpunkte im Netz werden gescannt und mit dem Inventar abgeglichen. Selbstsignierte Zertifikate auf Appliances, vergessene Test-Zertifikate, abgelaufene Ketten — alles wird sichtbar.
Risikobewertung und CBOM-Export
Jedes Zertifikat, jeder Schlüssel, jede CA bekommt einen Risikowert. Der gesamte kryptografische Bestand ist als CycloneDX CBOM exportierbar — die Cryptography Bill of Materials für Audit und Post-Quanten-Planung.
Compliance-Mapping-Pakete
NIS2, BSI IT-Grundschutz, TR-02102, ISO 27001 — als Pakete, die Befunde auf Anforderungen abbilden und Nachweise aus dem Audit-Speicher belegen.
Key-Recovery-Workflows
Schlüsselwiederherstellung mit Vier-Augen-Freigabe, Begründungspflicht, befristetem Zugriff und lückenlosem Audit — statt certutil -recoverkey auf gut Glück.
Geführte Offline-Root-Zeremonien & Kerberos-SSO
Die Zeremonie als bezeugter, abgehakter Workflow mit Zeremonie-Bericht. Und für die On-Prem-Welt: Kerberos-Single-Sign-on neben Entra ID.
Intune, Post-Quanten-Kryptografie & Tiefenanalyse
Die Schicht, in der TrustFabric Fragen beantwortet, die heute niemand stellt — weil sie niemand beantworten könnte.
SCHICHT 4 / 5
Echte ML-DSA-Ausstellung über ADCS — quantum-ready heute, nicht „irgendwann“
TrustFabric stellt Post-Quanten-Zertifikate (ML-DSA, FIPS 204) über die vorhandene ADCS-Infrastruktur aus — nativ und hybrid neben RSA/ECC. Nicht als Folie in einer Roadmap, sondern als Ausstellungspfad im Kern. Wer heute anfängt, hat den Bestand klassifiziert, die Migration geplant und die ersten quantensicheren Hierarchien aufgebaut, bevor der Zwang kommt.
Natives Intune-Geräteinventar & Cloud PKI
Intune-Geräte und ihre Zertifikate aus SCEP-, PKCS- und Cloud-PKI-Profilen werden direkt inventarisiert — nicht über Umwege, sondern als eigene Quelle mit Gerätekontext.
CMP-Protokoll (RFC 9483)
Certificate Management Protocol für Industrie, Telco und Embedded — mit CRMF-Anträgen, Proof-of-Possession und der gesamten Nachrichtenfamilie am selben Ausstellungskern.
GPO- & Autoenrollment-Analyse
„Warum hat dieses Gerät sein Zertifikat nicht bekommen?“ Die Analyse verfolgt Gruppenrichtlinie, Template-Berechtigung, Autoenrollment-Trigger und CA-Erreichbarkeit — und nennt das Glied, das gerissen ist.
Trust-Store- & Rogue-Root-Erkennung
Flottenweiter Abgleich der Vertrauensanker gegen den Soll-Satz — Root-Zertifikate, die nirgends hingehören, werden mit Verbreitung und erstem Auftreten gemeldet.
Template-Impact-Simulator
Wen bricht diese Template-Änderung? Vor dem Speichern zeigt der Simulator jedes Gerät, jeden Dienst, jede Autoenrollment-Gruppe, die von der Änderung betroffen wäre.
Renewal Pre-Flight
Der Erneuerungspfad wird trocken durchgespielt, bevor Sie sich auf ihn verlassen — mit Ursache und Korrekturvorschlag, wenn er scheitern würde.
Automatisierte CA-Migration
Geführte Migration von CA zu CA — inklusive quantensicherer Pfade: Bestandsanalyse, Cross-Signing, Template-Umzug, Client-Nachführung, Rückbau.
Lifecycle-SLOs mit Error Budgets
Zielgrößen für Erneuerung, Pre-Flight-Quote, CRL-Frische und Enrollment-Latenz — mit echten Fehlerbudgets und Burn-Rate-Alarmen, wie ein SRE-Team einen Dienst führt.
Multi-Forest-Föderation
Mehrere Forests, mehrere Hierarchien, ein Inventar und ein Regelwerk — mit klaren Vertrauensgrenzen und getrennten Delegationsräumen je Forest.
Vision
Wohin die Plattform wächst, wenn das Fundament trägt: eine PKI, die geprobt, angebunden und selbstheilend ist.
SCHICHT 5 / 5
Digitaler Zwilling für PKI-Feuerübungen
Eine vollständige Kopie der PKI-Umgebung, in der sich der Ernstfall gefahrlos proben lässt — Root-Kompromittierung, CRL-Ablauf, CA-Ausfall — mit Zeitmessung und Runbook-Lücken.
Universelles Inventar-Connector-SDK
Kubernetes-Secrets, Azure Key Vault, AWS ACM, F5, Citrix, Palo Alto — jede Quelle, die Zertifikate hält, wird über ein offenes SDK Teil des Inventars.
Secrets-Manager-Integrationen
Ausgestellte Zertifikate landen direkt in HashiCorp Vault, Key Vault oder Kubernetes — und werden dort auch erneuert, ohne Copy-and-Paste.
DevOps-Pipeline-Integrationen
Zertifikate als Pipeline-Schritt: ausstellen, prüfen, ausrollen — mit Pre-Flight im Build und Audit-Eintrag pro Deployment.
Zero-Trust: risikosignalbasierte Sperrung
Ein kompromittiertes Gerät, ein gekündigter Mitarbeiter, ein Alarm aus dem SIEM — Risikosignale lösen automatische, gestufte Sperrungen aus. Mit Impact-Analyse davor, nicht danach.
Erklärungsschicht über der Regel-Engine
KI erklärt Befunde in Klartext, schlägt Korrekturen vor und beantwortet Rückfragen — sie entscheidet nie. Jede Entscheidung bleibt bei der deterministischen Engine und ist reproduzierbar.
Eingebautes Sicherheitsaudit
ESC1 bis ESC16 — geprüft, bevor der Angreifer prüft.
Die ESC-Angriffspfade auf ADCS sind seit Jahren öffentlich dokumentiert und werden in fast jedem Red-Team-Bericht ausgenutzt.
TrustFabric prüft alle sechzehn fortlaufend — nicht als einmaliger Scan, sondern mit Verlauf: Wann ist ein Befund
entstanden, wer hat die Änderung gemacht, wann wurde er behoben? Dazu ein Konfigurations- und Betriebsaudit und die
Überwachung des Verzeichnisses auf Zertifizierungsstellen, die dort nicht hingehören.
Beim Bearbeiten warnen, nicht erst beim Audit. Wer ein Template so konfiguriert, dass ESC1 entsteht, sieht das im Editor — bevor gespeichert wird.
Befund mit Kontext. Betroffenes Template, betroffene Principals, ausgestellte Zertifikate unter der Fehlkonfiguration — und der Weg zur Behebung.
Deterministisch. Jeder Befund kommt aus einer benannten Regel, ist reproduzierbar und lässt sich einem Auditor erklären.
Post-Quanten-Kryptografie
ML-DSA-Zertifikate aus Ihrer ADCS. Heute. Nicht auf einer Roadmap-Folie.
„Harvest now, decrypt later“ ist keine Theorie mehr. TrustFabric stellt echte ML-DSA-Zertifikate (FIPS 204)
über die bestehende ADCS-Infrastruktur aus — nativ oder hybrid neben RSA und ECC. Der Bestand wird nach Quantum-Readiness
klassifiziert, die Migration geführt, und die neue Hierarchie entsteht neben der alten, nicht statt ihrer.
Jede Quelle, jedes Protokoll, jedes Werkzeug — ein Inventar.
TrustFabric ist keine Insel. Was Zertifikate ausstellt, hält oder braucht, wird angebunden — heute über Protokoll-Adapter und API, in der Vision über ein offenes Connector-SDK.
ADCS · Root / Policy / Issuing
DigiCert · Sectigo · SwissSign
Intune · Cloud PKI · NDES
Entra ID · Kerberos
REST-API · MCP
Prometheus · SIEM · Webhooks
Kubernetes · Key Vault · AWS ACM
F5 · Citrix · Palo Alto
Vault · Secrets-Manager
CI/CD-Pipelines
In Closed Preview
Hinter verschlossenen Türen passiert gerade eine Menge.
TrustFabric befindet sich in einer geschlossenen Vorschau. Wenn Ihre PKI zu den Systemen gehört, die sich keinen Ausfall leisten können, sprechen wir gern darüber, was TrustFabric für Sie bedeutet.