SAP Certificate Lifecycle Management: Von manueller STRUST-Verwaltung zu Automatisierung

Certificate expires soon

In modernen IT-Landschaften ist die sichere Kommunikation zwischen Systemen und Benutzern ohne digitale Zertifikate kaum vorstellbar. Sie sorgen für Authentizität, Integrität und Vertraulichkeit der Daten. Besonders in SAP-Systemen, die als geschäftskritische Backbone-Anwendungen in nahezu jedem Großunternehmen laufen, haben Zertifikate eine zentrale Rolle. Doch gerade hier zeigt sich: Die manuelle Verwaltung ist fehleranfällig, zeitaufwendig und oft nicht skalierbar. Statt durchgängiger Prozesse findet man in vielen Unternehmen nach wie vor eine manuelle Pflege über die Transaktion STRUST. Was im kleinen Maßstab funktionieren mag, entwickelt sich in komplexen SAP-Landschaften schnell zum Risiko. Ein automatisiertes Certificate Lifecycle Management (CLM) kann hier Abhilfe schaffen - und ist längst mehr als nur ein Komfortgewinn, sondern eine Sicherheitsnotwendigkeit.

Die unterschätzten Herausforderungen der Zertifikatsverwaltung

Die manuelle Verwaltung von Zertifikaten in SAP bringt eine Reihe praktischer Schwierigkeiten mit sich, die Unternehmen früher oder später einholen:

Zunächst ist da der enorme Aufwand der systemweisen Pflege. Jedes SAP-System, jeder Mandant und teilweise auch jede Instanz müssen separat in STRUST bearbeitet werden. In einer typischen Landschaft mit Dutzenden von Systemen summiert sich das zu einem erheblichen administrativen Overhead.

Hinzu kommt die Fehleranfälligkeit. Das Erstellen einer Zertifikatsanfrage, der Import der Antwort der Zertifizierungsstelle, die Pflege der Zertifikatskette - all das sind Arbeitsschritte, die manuell in der richtigen Reihenfolge erfolgen müssen. Ein vergessenes Root-Zertifikat oder ein falsch zugeordnetes PSE kann im schlimmsten Fall dazu führen, dass zentrale Kommunikationskanäle unterbrochen werden.

Ein weiteres Problem ist die Ablaufüberwachung. Zwar liefern SAP-Systeme Warnungen über bevorstehende Zertifikatsabläufe - etwa über den Report SSF_ALERT_CERTEXPIRE oder als SM02-Meldung. Doch diese Benachrichtigungen sind nicht zielgerichtet genug. Häufig landen sie bei allen Benutzern, statt bei den zuständigen Administratoren, und erzeugen so eher Verwirrung als Reaktionssicherheit.

Darüber hinaus verschärfen verkürzte Laufzeiten das Problem. Zertifikate sind in vielen Fällen nur noch für zwölf Monate gültig. Die zeitlichen Anforderungen für Zertifikatserneuerung werden durch verkürzte Gültigkeit weiter verschärft. Das CA/Browser Forum spezifiziert in den "Baseline Requirements", dass Zertifikate ohne erneutes Audit nicht länger als ein Jahr gültig sein dürfen.

Das bedeutet, dass der Erneuerungsprozess nicht nur regelmäßig, sondern in immer kürzeren Intervallen durchgeführt werden muss. Für große Landschaften bedeutet das einen fast permanenten Erneuerungszyklus.

Ein prägnantes Beispiel für die Konsequenzen mangelhafter Zertifikatsverwaltung lieferte der SpaceX Starlink-Ausfall im April 2023, bei dem ein abgelaufenes Bodenstationszertifikat zu stundenlangen Unterbrechungen für Benutzer weltweit führte.

Und schließlich existiert eine technische Bruchstelle zwischen SAP-internen und externen Zertifikatsquellen. Während Zertifikate in STRUST über PSE-Dateien verwaltet werden, müssen parallel auch Zertifikate auf Betriebssystem- oder Middleware-Ebene gepflegt werden, etwa im SAP Web Dispatcher oder SAP Cloud Connector. Diese Fragmentierung macht das Gesamtbild unübersichtlich und fehleranfällig.

Zusammengefasst: Die manuelle Zertifikatsverwaltung in SAP ist zeitaufwendig, fehleranfällig und für wachsende Landschaften kaum noch beherrschbar.

STRUST und PSE – technischer Kern, aber kein Zukunftsmodell

Um zu verstehen, warum Zertifikatsverwaltung in SAP so kritisch ist, lohnt sich ein Blick auf die technischen Grundlagen.

Alle Zertifikate und Schlüsselmaterialien werden in sogenannten Personal Security Environments (PSE) abgelegt. Diese Dateien enthalten den privaten Schlüssel, das dazugehörige Zertifikat und die komplette Vertrauenskette bis hin zur Root-CA. Unterschiedliche Einsatzszenarien erfordern unterschiedliche PSEs: etwa die SSL Server Standard PSE für eingehende HTTPS-Verbindungen, SSL Client PSEs für ausgehende Verbindungen zu Drittsystemen oder das System PSE für interne Authentifizierung innerhalb der SAP-Landschaft.

Die Verwaltung dieser PSEs erfolgt über die Transaktion STRUST. Sie erlaubt es Administratoren, Zertifikatsanfragen zu erstellen, Zertifikatsantworten zu importieren, Vertrauensketten aufzubauen und Schlüsselmaterial zu ersetzen. Mit dem Replacement Wizard (beschrieben in SAP Note 2414090) gibt es sogar eine Unterstützung, um neue Schlüsselpaare einzuspielen, ohne bestehende Konfigurationen zu stören. Besonders wichtig ist das, wenn zusätzliche Subject Alternative Names (SANs) hinterlegt werden müssen, zum Beispiel beim Hinzufügen weiterer Application Server.

STRUST ist damit ein mächtiges Werkzeug, aber eben vollständig auf manuelle Bedienung ausgelegt. Genau an diesem Punkt stoßen viele Unternehmen an ihre Grenzen.

Automatisiertes Lifecycle Management - die konsequente Weiterentwicklung

Die Automatisierung der Zertifikatsverwaltung ist längst nicht mehr nur ein Mittel zur Arbeitserleichterung, sondern entwickelt sich zu einer strategischen Notwendigkeit. Während sich früher die Diskussion auf Effizienzgewinne konzentrierte, rückt heute die Frage der Resilienz und Zukunftsfähigkeit in den Vordergrund. Analysten wie Gartner prognostizieren, dass bis 2025 über 95 % der neuen digitalen Workloads auf cloud-nativen Plattformen laufen werden. Damit steigt die Bedeutung der Public Key Infrastructure (PKI) dramatisch, denn ohne robuste Zertifikatsverwaltung sind Cloud-Szenarien schlicht nicht sicher betreibbar.

Integration von Zero-Trust-Prinzipien

Die Implementierung von Zero-Trust-Architekturen transformiert die Anforderungen an das SAP Certificate Management grundlegend. Gartner prognostiziert, dass bis 2025 70 % der Unternehmen traditionelle VPNs durch Zero Trust Network Access (ZTNA) ersetzen werden und dabei stark auf PKI für sichere Authentifizierung angewiesen sind.

Zero-Trust-Modelle erfordern kontinuierliche Verifikation aller Systemzugriffe, was die Bedeutung dynamischer Zertifikatsverwaltung exponentiell erhöht. In SAP-Kontexten bedeutet dies, dass nicht nur Benutzerauthentifizierung, sondern auch maschinelle Identitäten zwischen SAP-Komponenten, externen Systemen und Cloud-Services kontinuierlich validiert werden müssen.

Von reaktiv zu proaktiv - KI im Zertifikatsmanagement

Moderne Ansätze gehen weit über einfache Automatisierung hinaus. Immer häufiger kommen Künstliche Intelligenz (KI) und Machine Learning (ML) ins Spiel. Laut den ISACA's 2025 Identity Management Trends wird KI in den kommenden Jahren eine entscheidende Rolle übernehmen:

• Sie kann Zertifikatsabläufe vorhersagen, bevor sie kritisch werden.

• Sie erkennt Anomalien im Zertifikatsbestand, etwa falsch ausgestellte oder nicht mehr verwendete Zertifikate.

• Sie ermöglicht proaktive Reaktionen, sodass Ausfälle gar nicht erst eintreten.

Gerade in komplexen SAP-Umgebungen, in denen hunderte Zertifikate parallel im Einsatz sind, bedeutet das einen Paradigmenwechsel: von reaktiver Feuerwehrarbeit hin zu einer vorausschauenden Sicherheitsstrategie.

Regulatorische Anforderungen - NIS2 und DORA im Fokus

Neben der technischen Dimension drängen auch regulatorische Vorgaben in den Vordergrund. Mit der NIS2-Richtlinie verpflichtet die EU Unternehmen, Daten durch starke Verschlüsselung und aktuelle kryptografische Standards abzusichern. Zertifikate bilden hier den Grundpfeiler, da sie Ende-zu-Ende-Verschlüsselungen im Transit ermöglichen.

Noch konkreter wirkt seit Januar 2025 die DORA-Verordnung (Digital Operational Resilience Act), die für Finanzunternehmen verbindlich ist. Sie verschärft die Anforderungen an die Cybersicherheit und fordert, dass IT-Dienstleistungen gegenüber Ausfällen und Angriffen widerstandsfähig bleiben. Da SAP-Systeme vielfach das Rückgrat von Banken und Versicherern bilden, steigen die Erwartungen an ein verlässliches Zertifikatsmanagement. Fehlerhafte oder abgelaufene Zertifikate sind hier nicht nur ein Betriebsrisiko, sondern ein Compliance-Verstoß mit potenziell hohen Strafen.

Best Practices für die Integration mit STRUST

Trotz Automatisierung bleibt ein tiefes Verständnis für die SAP-internen Prozesse entscheidend. Ein automatisiertes System muss die Funktionsweise von STRUST eins zu eins nachbilden:

• Die Erstellung einer Zertifikatsanfrage über den Button „Zertifikatsrequest erstellen“.

• Die Weiterleitung dieser Anfrage an eine Zertifizierungsstelle.

• Den Import der Antwort zurück ins System, um das PSE zu erneuern.

Diese grundlegende Funktionalität, wie sie in aktuellen SAP Community Best Practices beschrieben wird, muss in automatisierten Systemen nahtlos repliziert werden.

Zudem müssen verschiedene PSE-Typen korrekt berücksichtigt werden. Während SSL Server PSEs für eingehende Verbindungen zuständig sind, sichern Client PSEs ausgehende Verbindungen ab – beide folgen unterschiedlichen Workflows, die eine Automatisierung verstehen und umsetzen muss.

Ein oft unterschätzter Aspekt sind Backup- und Recovery-Strategien für PSE-Dateien. Ohne saubere Sicherung und dokumentierte Wiederherstellungsprozesse kann ein fehlerhaftes Zertifikatsupdate die Betriebskontinuität gefährden. Automatisierte Systeme sollten daher auch diese Dimension abdecken, um SAP-Landschaften nicht nur effizient, sondern auch resilient zu machen.

Monitoring und Proactive Management

Effektives Certificate Lifecycle Management erfordert kontinuierliches Monitoring und proaktive Intervention. Das System sendet automatisch eine Warnung, wenn die Gültigkeitsdauer von Zertifikaten weniger als 30 Tage beträgt. SAP Basis-Verantwortliche erhalten im Voraus Benachrichtigungen, um entsprechende Maßnahmen zur Zertifikatserneuerung zu ergreifen. Wie in SAP Note 588297 "Warnings about security certificates in the system logs" beschrieben, bietet SAP verschiedene Mechanismen für Warnungen über Sicherheitszertifikate in Systemlogs. Diese reaktive Herangehensweise muss durch proaktive Systeme ersetzt werden, die Ablaufzeiten weit im Voraus prognostizieren.

Real-time Dashboards und Alerting-Systeme ermöglichen SAP-Basis-Teams, den Zustand ihrer gesamten Zertifikatslandschaft im Blick zu behalten. Die Visualisierung komplexer Abhängigkeiten zwischen verschiedenen Zertifikaten und Systemen hilft bei der Priorisierung von Wartungsaktivitäten.

Die Lösung: Intelligente Automatisierung mit der SmartSecOps Platform

Die automatics SmartSecOps Platform adressiert diese vielschichtigen Herausforderungen durch einen ganzheitlichen Ansatz, der alle Aspekte des SAP Certificate Management in einem integrierten System vereint.

Der LifecycleHub automatisiert kritische Lifecycle-Prozesse wie das SAP-Zertifikats-Management, inklusive dem proaktiven Erneuern und Verteilen der Zertifikate und Aktivierung in der STRUST. Diese vollständig automatisierte Implementierung eliminiert menschliche Fehlerquellen und gewährleistet konsistente Sicherheitsstandards.

Der TransparencyHub schafft die erforderliche Sichtbarkeit in komplexe SAP-Umgebungen durch zentrale Erfassung, Analyse und Visualisierung sämtlicher in SAP eingesetzter Zertifikate und weiterer sicherheitsrelevanter SAP-Systemdaten.

Die Kombination dieser spezialisierten Hubs bietet eine umfassende Lösung für moderne SAP Certificate Management Herausforderungen. Durch die intelligente Automatisierung komplexer Zertifikatsprozesse, proaktive Überwachung und nahtlose STRUST-Integration ermöglicht die SmartSecOps Platform den Übergang von reaktivem zu proaktivem SAP-Betrieb. In einer Zeit, in der eine einzige fehlende Zertifikatserneuerung geschäftskritische Prozesse zum Stillstand bringen kann, ist eine intelligente Automatisierung strategisch unerlässlich für nachhaltigen Geschäftserfolg.