# Erneuerung ohne Blindflug
Typ: Checkliste
Herkunft: pki-tls-operations / certificate-lifecycle-basics / pki-tls-lifecycle-sequence
Version: pki-tls-lifecycle-sequence-2026-07-30
Geprüft: 2026-07-30

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Für einen externen Dienst liegt ein Ersatz-Zertifikat bereit. Die Änderung darf erst erfolgen, wenn ein Rückfall möglich und die reale Bindung geprüft ist.

## Schritte
1. Dienstname, Endpunkt, Besitzer und Wartungsfenster bestätigen
2. Ersatz-Zertifikat und geschützten Schlüssel für die vorgesehene Bindung bereitstellen
3. Bindung im genehmigten Fenster auf das Ersatz-Zertifikat umstellen
4. Handshake am realen Namen und Port sowie Anwendungspfad prüfen
5. Nach Rückfallfenster den alten Schlüssel und die alte Bindung nach Vorgabe behandeln

## Begründung
Warum: Der Umfang und die Rückfallfähigkeit müssen vor der Änderung stehen; der effektive Endpunkt wird erst danach verifiziert.
Folgen: **+** Der Wechsel hat eindeutige Freigabe- und Prüfpunkte. **−** Temporär parallel verfügbare Materialien erhöhen den Schutzbedarf.

## Quellen
1. https://csrc.nist.gov/pubs/sp/800/57/pt1/r5/final