# CA-Recovery ohne neue Vertrauenslücke
Typ: Checkliste
Herkunft: pki-tls-operations / ca-architecture / pki-tls-ca-recovery-sequence
Version: pki-tls-ca-recovery-sequence-2026-07-30
Geprüft: 2026-07-30

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Eine Issuing-CA muss nach einem Ausfall wiederhergestellt werden. Das Team besitzt ein Backup, darf aber weder Schlüsselmaterial breit kopieren noch ungeprüft wieder ausstellen.

## Schritte
1. Incident-Scope, Recoveryrollen, Zielumgebung und Ausstellungsstopp verbindlich festlegen
2. Die autorisierte, isolierte Umgebung und den geschützten Zugriff auf Datenbank sowie Schlüsselmaterial bereitstellen
3. CA-Komponenten nach dokumentiertem Verfahren wiederherstellen und Konfiguration gegen den Sollzustand prüfen
4. Kette, Datenbank, Sperrinformationspfad und eine begrenzte Testausstellung in der kontrollierten Umgebung verifizieren
5. Erst nach Freigabe die Ausstellungsrolle kontrolliert wieder in den Betriebsprozess aufnehmen

## Begründung
Warum: Eine CA-Recovery stellt eine hochprivilegierte Ausstellungsidentität wieder her und benötigt deshalb Schutzgrenze, Verifikation und explizite Freigabe vor dem Betrieb.
Folgen: **+** Wiederherstellbarkeit und Vertrauen werden gemeinsam geprüft. **−** Der Ablauf verlangt vorbereitete Rollen, Medien und einen getesteten Recoveryplan.

## Quellen
1. https://learn.microsoft.com/en-us/windows/win32/seccrypto/restoring-certificate-services-from-backup
2. https://learn.microsoft.com/en-us/windows-server/identity/ad-cs/migrate-certification-authority