Machine IdentityManagement.
Machine Identity Management steuert Zertifikate, Schlüssel, Servicekonten und Workload-Identitäten über Ausstellung, Nutzung, Rotation und Widerruf. Es ist ein Lifecycle für technische Vertrauensanker, nicht ein Passwortmanager für Personen.
Marktbild: hohe Priorität bei Cloud, APIs, DevOps und grossen PKI-Landschaften. Der Markt ist spezialisiert und von Certificate-Lifecycle-, PKI- und Workload-Identity-Anbietern geprägt. Die Marktsektion unten vergleicht zwölf Werkzeuge.
Technisches Vertrauen steuern.
Relevant bei vielen Zertifikaten, APIs, Servicekonten, Kubernetes- oder Cloud Workloads und wenn ablaufende Zertifikate oder verwaiste Schlüssel Geschäftsprozesse gefährden.
Inventar von Zertifikaten und Schlüsseln, Eigentümer, Verwendungszweck, Laufzeiten, CAs und Abhängigkeiten. Automation bleibt auf bekannte Objekte beschränkt, wenn Discovery fehlt.
Konten ohne
Menschen.
Neben Personen melden sich Dienste, Skripte, Pipelines und Agenten an. Diese nicht-menschlichen Identitäten haben selten eine verantwortliche Person, laufen oft mit festen Zugangsdaten und werden beim Austritt eines Mitarbeitenden nicht automatisch geprüft. In vielen Umgebungen sind sie zahlreicher als die Personenkonten.
Wo sie vorkommen
Welche Klasse wofür zuständig ist
| Objekt | Werkzeugklasse | Kernaufgabe |
|---|---|---|
| Zugangsdaten: Passwort, API-Schlüssel, Token | Secrets Management | Zentral ablegen, kurzlebig ausgeben, rotieren |
| Zertifikate und Schlüssel: TLS, mTLS, SSH, Code Signing | Machine Identity Management (diese Seite) | Inventarisieren, automatisch erneuern, widerrufen |
| Privilegierte Servicekonten (Domänen-Admin, root) | PAM | Interaktive Nutzung sperren, Passwort im Tresor rotieren |
| Eigentümer, Zweck, Lebenszyklus | IGA | Jedes Konto hat eine verantwortliche Person und wird rezertifiziert |
| Missbrauch erkennen | ITDR | Ungewöhnliche Nutzung von Servicekonten melden |
| Geheimnisse im Code finden | Secrets Scanning | Repositories und Pipelines durchsuchen, Funde widerrufen |
Lösungsweg
Zwölf Werkzeuge im Vergleich.
Der Markt verbindet Certificate Lifecycle Management (Discovery, Erneuerung, Verteilung) mit privater PKI; spezialisierte Plattformen wie Keyfactor und AppViewX stehen neben den Plattformen öffentlicher Zertifizierungsstellen (DigiCert, Sectigo, GlobalSign) und Cloud- oder Open-Source-CAs wie AWS Private CA, HashiCorp Vault PKI, step-ca und cert-manager. Eine wesentliche Konsolidierung betrifft Venafi: CyberArk hat die Übernahme am 01.10.2024 abgeschlossen, Palo Alto Networks am 11.02.2026 CyberArk übernommen; das SaaS-Angebot heisst heute Next-Generation Trust Security. Die von den Herstellern vielfach genannte Verkürzung der Laufzeit öffentlicher TLS-Zertifikate auf 47 Tage erhöht den Automatisierungsbedarf über ACME, EST und SCEP. Mit Nexus (Teil von IN Groupe) und der Keyfactor-PKI EJBCA sind Angebote mit EU-Bezug vertreten.
Inventar: Zertifikatserkennung und -inventar · Automation: automatisierte Erneuerung, z. B. ACME · Eigene CA: eigene oder private CA · SSH: SSH-Schlüsselverwaltung · Code Signing: Code Signing · SaaS: als SaaS · On-Prem: On-Premises möglich. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Next-Generation Trust Security (vormals Venafi TLS Protect / CyberArk Certificate Manager)
Palo Alto Networks (vormals Venafi/CyberArk)
Zentrales Zertifikatsinventar mit Eigentümer, Ablauf, ausstellender CA und Richtlinienstatus; Anbindung mehrerer CAs.
Automatisierte Ausstellung, Erneuerung, Verteilung und Validierung; private PKI als SaaS mit Enrollment über ACME, EST und SCEP.
Ausrichtung auf Netzwerk-Enforcement von Palo Alto Networks (PAN-OS, Panorama, Strata Cloud Manager) sowie Unternehmenssysteme.
NGTS ist laut Hersteller die Weiterentwicklung von Venafi TLS Protect; selbst betriebene Produkte für Zertifikate, SSH und Code Signing werden weitergeführt.
Abdeckung von TLS-Zertifikaten, privater PKI, SSH und Code Signing aus einer Produktfamilie.
Produktnamen, Webseiten und Dokumentation befinden sich nach zwei Übernahmen im Wechsel; die Strategie für die selbst betriebenen Produkte verweist auf Gespräche mit dem Hersteller.
Keyfactor Command
Keyfactor
Laufende Discovery von Zertifikaten und Schlüsseln, auch Post-Quantum- und Hybrid-Zertifikaten, über öffentliche und private CAs, Cloud-Dienste, Netzwerk, Kubernetes und Schlüsselspeicher.
Erneuerung, Bereitstellung und Installation über Keyfactor Orchestrators und Plugins; Alarme, Berichte und Metadaten für das Inventar.
Verwaltung von SSH-Identitäten, TLS- und Client-Zertifikaten aus einer Konsole; Kombination mit dem verwalteten PKIaaS-Angebot von Keyfactor möglich.
Betrieb on-premises, als von Keyfactor gehosteter Dienst, als SaaS Lite aus dem Azure Marketplace oder als Container-Module in Kubernetes.
CA-unabhängiges Inventar und Automatisierung mit breiter Auswahl an Betriebsformen.
Private CA (EJBCA/PKIaaS) und Code Signing (Signum) sind eigene Produkte und separat zu lizenzieren.
AppViewX AVX Platform (vormals AVX ONE)
AppViewX
Smart Discovery über öffentliche und private CAs, Multi-Cloud und Legacy-Anwendungen; Module für CLM, PKI, Code Signing und SSH.
Geschlossener Ablauf aus Discovery, Erneuerung, Ausstellung und Bereitstellung vor Ablauf; richtlinienbasierte Automatisierung.
CA-unabhängig über bestehende öffentliche und private CAs, Kubernetes und DevOps-Pipelines; SSH-Schlüssel und -Zertifikate mit Eigentümerzuordnung.
Laut Hersteller cloud-native Plattform, betrieben on-premises oder als SaaS; PKI-Modul für private Zertifikatsausstellung.
Zertifikate, private PKI, SSH-Schlüssel und Code Signing in einer Plattform mit gemeinsamer Discovery.
Funktionsumfang verteilt sich auf mehrere Module; die Umbenennung von AVX ONE ist bei Dokumentation und Verträgen zu beachten.
DigiCert Trust Lifecycle Manager (DigiCert ONE)
DigiCert
Inventar über Cloud-Discovery-Scans, Certificate-Transparency-Logs, APIs oder CSV-Import; höhere Stufen mit Mehr-CA-Umgebungen.
Richtlinienbasierte Ausstellung und Erneuerung; Automatisierung über ACME, SCEP, Windows-Autoenrollment und APIs.
PKI-Dienste mit Erstellung von Zwischen-CAs und privater Zertifikatsausstellung für Benutzer, Geräte und Server; Kubernetes-, ServiceNow- und PAM-Integrationen in der Premium-Stufe.
Teil der Plattform DigiCert ONE; Code Signing ist ein eigenes Produkt (Software Trust Manager).
Lifecycle Management und private PKI aus der Hand einer öffentlichen Zertifizierungsstelle.
Ein Teil der Integrationen und Mehr-CA-Funktionen ist an höhere Stufen gebunden; Betrieb on-premises und SSH-Verwaltung sind auf den abgerufenen Seiten nicht beschrieben.
Sectigo Certificate Manager
Sectigo
CA-unabhängige Plattform, die öffentliche und private Zertifikate erkennt, ausstellt, erneuert und ersetzt, inklusive S/MIME und Code Signing.
Automatisierung über ACME, SCEP und EST; Ausrichtung auf 47-Tage-Laufzeiten öffentlicher Zertifikate.
Anbindung der Microsoft CA, CI/CD- und DevOps-Abläufe; Sectigo Private PKI für interne Systeme und Geräte.
Laut Hersteller cloud-basierte Lösung.
Lifecycle Management für viele Zertifikatstypen, einschliesslich Code Signing und S/MIME, mit eigener privater PKI.
Nur als Cloud-Dienst beschrieben; SSH-Schlüsselverwaltung ist auf den abgerufenen Seiten nicht genannt.
GlobalSign Atlas mit Certificate Automation Manager
GlobalSign (GMO)
Atlas als SaaS-Plattform für Zertifikatsbedarf im Unternehmen; Atlas Discovery zur Erkennung von Zertifikaten.
Certificate Automation Manager unterstützt SCEP, ACME, Schlüsselarchivierung und automatische S/MIME-Konfiguration.
REST-APIs, AD-Integration und MDM-Konnektoren; Technologiepartnerschaften unter anderem mit HashiCorp Vault und cert-manager.
Managed PKI sowie eigene bzw. private CA und dedizierte Zwischen-CA als Dienst von GlobalSign.
Ausstellung und Automatisierung aus einer öffentlichen CA mit Managed-PKI-Angebot.
Auf GlobalSign-Zertifikate ausgerichtet; Mehr-CA-Lifecycle, SSH und Code-Signing-Verwaltung sind auf den abgerufenen Seiten nicht beschrieben.
Nexus Smart ID PKI
Nexus (IN Groupe)
PKI-Plattform für zertifikatsbasierte digitale Identitäten von Personen, Geräten und IoT.
Mehrere Enrollment-Protokolle; Kombination mit öffentlich vertrauenswürdigen Zertifikaten über SCEP oder ACME.
Standard- oder kundenspezifische Dienste über Nexus GO; Smart-ID-Plattformen für Workforce und IoT.
Als Dienst, on-premises in der eigenen Umgebung oder hybrid; Nexus tritt unter «Nexus IN Groupe» auf.
Private PKI wahlweise als Dienst oder selbst betrieben, von einem europäischen Anbieter.
Discovery und Lifecycle-Management fremder Zertifikate sind auf den abgerufenen Seiten nicht beschrieben; Schwerpunkt ist die PKI.
EJBCA (Community und Enterprise)
Keyfactor
Zertifizierungsstelle für Geräte, Workloads und Benutzer; X.509-, SSH- und C-ITS-Zertifikate aus einer Konsole.
Signierte Audit- und Transaktionsprotokolle, rollenbasierte Berechtigung und Anbindung von Cloud- und On-Premises-HSMs; Common-Criteria-zertifiziert laut Hersteller.
Enrollment über ACME, SCEP, EST, CMP, Microsoft Autoenrollment, SOAP und REST-API.
Als Software- oder Hardware-Appliance, Container, in der Cloud oder als SaaS; Community-Edition 9.6 am 16.09.2026 angekündigt.
Offene CA-Software mit breiter Protokollunterstützung und HSM-Anbindung (HSM in der Enterprise-Edition).
Reine CA ohne Discovery fremder Zertifikate; SLAs, Appliance, SaaS und ab Version 9.6.2 auch HSM-Krypto-Tokens nur in der Enterprise-Edition.
Smallstep Certificate Manager und step-ca
Smallstep Labs
Kurzlebige, automatisierbare Zertifikate für VMs, Kubernetes, Cloud-Workloads, Geräte und mTLS.
ACME-Server und ACME Device Attestation mit hardwaregebundenen Schlüsseln; kurzlebige SSH-Zertifikate mit Anbindung an Identitätsanbieter.
Werkzeuge für Kubernetes, unter anderem cert-manager mit step-ca; Anbindung von Okta, Entra ID und Google Workspace.
step-ca als Open Source selbst betrieben oder Step CA Pro bzw. gehostete CA bei Smallstep.
Leichtgewichtige private CA mit ACME und SSH-Zertifikaten für Cloud-native und Geräte-Szenarien.
Keine Discovery fremder Zertifikate beschrieben; Schwerpunkt verlagert sich auf Geräteidentität, klassische Enterprise-PKI-Anforderungen sind gesondert zu prüfen.
cert-manager
cert-manager (CNCF)
Erstellt TLS-Zertifikate für Workloads in Kubernetes- und OpenShift-Clustern und erneuert sie vor Ablauf.
Issuer für ACME, eigene CA-Schlüssel (CA, SelfSigned), Vault und CyberArk; mit csi-driver bleibt der private Schlüssel auf dem Knoten.
Kubernetes-Ressourcen (Certificate, Issuer) und trust-manager für die Verteilung von Vertrauensankern.
CNCF-Projekt, seit 29.09.2024 auf Stufe Graduated; Lizenz Apache 2.0.
Automatische Zertifikatsausstellung und -erneuerung innerhalb von Kubernetes als CNCF-Graduated-Projekt.
Auf Kubernetes beschränkt; ohne zentrales Inventar über Cluster hinaus und mit nur einfacher eigener CA.
HashiCorp Vault PKI Secrets Engine
HashiCorp (IBM)
Root- und Zwischen-CA in Vault; Ausstellung kurzlebiger X.509-Zertifikate über API.
ACME-Unterstützung; EST, CMPv2 und SCEP nur in Vault Enterprise; Managed Keys für CA-Schlüssel.
SSH Secrets Engine signiert SSH-Schlüssel mit einer SSH-CA; Einsatz als Certificate Manager in Kubernetes mit Helm dokumentiert.
Teil von Vault, selbst betrieben oder als HCP Vault Dedicated.
Private CA und SSH-CA in derselben Plattform wie das Secrets Management.
Kein Inventar fremder Zertifikate; mehrere Enrollment-Protokolle erfordern eine Enterprise-Lizenz.
AWS Private Certificate Authority
Amazon Web Services
Verwaltete private CA für Server, Anwendungen, Benutzer, Geräte und Container; rein cloudbasierte oder hybride Hierarchie mit On-Premises-CAs.
Private CA-Schlüssel in FIPS-140-2-Hardware; Zugriffssteuerung über IAM; Modus für kurzlebige Zertifikate bis 7 Tage.
Über AWS Certificate Manager angeforderte private Zertifikate werden verwaltet erneuert.
Verwalteter Dienst in AWS-Regionen.
Private CA ohne eigenen Hardwarebetrieb, eng mit AWS-Diensten verzahnt.
Automatische Erneuerung gilt nur für über ACM ausgestellte Zertifikate, nicht für direkt über die Private-CA-API ausgestellte; kein übergreifendes Inventar.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- SSH Communications Security PrivX Key Manager: SSH-Schlüsselverwaltung mit Discovery und Rotation; Betriebsformen auf der Produktseite nicht beschrieben
- Microsoft Active Directory Certificate Services, Microsoft Cloud PKI: Windows- bzw. Intune-CA ohne übergreifendes Lifecycle Management
- Google Cloud Certificate Authority Service: verwaltete private CA in Google Cloud
- Entrust PKIaaS / Certificate Hub: PKI als Dienst und Zertifikatsübersicht von Entrust, nach dem Verkauf des öffentlichen Zertifikatsgeschäfts
- Akeyless, Infisical (Certificate Management): Zertifikatsfunktionen innerhalb von Secrets-Plattformen; Schwerpunkt Secrets Management
- SwissSign Managed PKI: Schweizer CA mit Managed PKI
- Keyfactor Signum, DigiCert Software Trust Manager: eigenständige Code-Signing-Produkte; im Bericht nur als Ergänzung der jeweiligen Plattform erwähnt
Erst finden,
dann automatisieren.
- Discovery über CAs, Load Balancer, Kubernetes-Secrets, Code und Netzwerk-Scans fahren und jedes Zertifikat einem Dienst und Owner zuordnen.
- Vorgaben je Klasse festlegen: zugelassene CAs, Algorithmen, maximale Laufzeit und Speicherort privater Schlüssel, für kritische Dienste z. B. im HSM.
- Erneuerung zuerst dort automatisieren, wo Laufzeiten kurz sind (z. B. über ACME), und vorher Abnehmer mit Certificate Pinning identifizieren.
- Den Austausch aller Zertifikate einer kompromittierten CA als Notfallablauf mit Zeitmessung üben.
- Anteil Zertifikate mit automatisierter Erneuerung, getrennt nach öffentlich und intern
- Anzahl Zertifikate, die in den nächsten 30 Tagen ablaufen und keine geplante Erneuerung haben
- Zeit für den vollständigen Austausch aller Zertifikate einer CA im Übungsfall
Die PKI- oder Plattformverantwortung betreibt CAs und Automation; jeder Applikations-Owner verantwortet seine Zertifikate und Servicekonten. Security setzt die Vorgaben und überwacht Abweichungen.
ISO/IEC 27001:2022 Annex A 8.24 (Einsatz von Kryptografie, einschliesslich Schlüsselverwaltung) und 5.17 (Authentisierungsinformationen); NIS2 Art. 21 Abs. 2 lit. h verlangt Konzepte und Verfahren für den Einsatz von Kryptografie.
Für Finanzunternehmen in der EU verlangt die delegierte Verordnung (EU) 2024/1774 zu DORA in Art. 7 ein Schlüsselmanagement über den ganzen Lebenszyklus, ein Register aller Zertifikate für IKT-Assets kritischer oder wichtiger Funktionen und die Erneuerung vor Ablauf.
Manuelle Erneuerung mit Kalendererinnerung skaliert nicht. Nach Beschluss des CA/Browser Forums sinkt die maximale Laufzeit öffentlicher TLS-Zertifikate schrittweise auf 47 Tage ab März 2029; ohne Automation vervielfacht sich das Ausfallrisiko.
Keine menschliche Identität.
Secrets Management schützt Geheimnisse in Entwicklung und Betrieb. PAM schützt privilegierte Menschen. CIEM kontrolliert Cloud Berechtigungen. Die technische Identität braucht ihren eigenen Lifecycle.
- Unentdeckte Zertifikate und hart codierte Secrets bleiben ausserhalb des Lifecycles.
- Automatische Rotation kann abhängige Systeme brechen.
- Teste Discovery, Ablaufwarnung, Erneuerung und Widerruf an einem kritischen Dienst inklusive Owner und Rückfallweg.
Security Tool Navigator · Gebiet 03
Im Gebiet Identity Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Identity Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.