Open Finance · mTLS · Certificate Management
mTLS-Zertifikats- und Schlüsselmanagement
Vollständiges Zertifikatsinventar, automatisierte Key Rotation, Revocation-Management und TLS-Konfiguration für Open-Finance-Schnittstellen.
Management-Zusammenfassung
- mTLS stellt die beidseitige Authentifizierung zwischen Finanzinstitut und Drittanbieter sicher.
- Vollständiges Zertifikatsinventar mit Ablaufdaten, Aussteller und Key-Stärke ist Pflicht.
- Automatisierte Key Rotation und Revocation verhindern Sicherheitslücken durch abgelaufene Zertifikate.
Zertifikatsinventar
Führen Sie ein vollständiges Inventar aller mTLS-Zertifikate und privaten Schlüssel:
- Subject, Aussteller (CA), Seriennummer, Fingerprint
- Gültigkeitszeitraum (Not-Before, Not-After), Key-Algorithmus und -Stärke
- Verantwortlicher Service-Owner und betroffene API-Endpunkte
- Speicherort des privaten Schlüssels (HSM, TPM, Secure Enclave)
Key Rotation
Implementieren Sie einen automatisierten Key-Rotation-Prozess:
- Automatisierte Zertifikatserneuerung 30 Tage vor Ablauf
- Key-Rotation bei Personalwechsel und Sicherheitsvorfällen
- ACME-Protokoll (Let's Encrypt) oder interne PKI mit short-lived Certificates
- RSA ≥ 2048 Bit, ECDSA mit P-256 oder P-384 Kurve
Revocation-Management
Stellen Sie sicher, dass kompromittierte oder nicht mehr benötigte Zertifikate zeitnah revoziert werden:
- OCSP Stapling für Echtzeit-Revocation-Status
- CRL-Verteilungspunkte in allen ausgestellten Zertifikaten
- Notfall-Revocation-Prozess mit definierten Verantwortlichkeiten
TLS-Konfiguration
Härten Sie die TLS-Konfiguration:
- TLS 1.3 mit Perfect Forward Secrecy (PFS) Cipher Suites
- Keine veralteten Protokolle (SSLv3, TLS 1.0, TLS 1.1)
- Sichere Cipher Suites: AES-GCM, ChaCha20-Poly1305
- OCSP Must-Staple für Server-Zertifikate
Monitoring und Alerting
Überwachen Sie alle Zertifikatsabläufe mit Vorwarnzeiten von 60, 30 und 7 Tagen. Integrieren Sie das Zertifikats-Monitoring in Ihr SIEM und Incident-Response-Verfahren. Dokumentieren Sie alle Zertifikate im Informationsregister nach DORA Art. 8.