# Neue Kette, kontrollierter Vertrauenswechsel
Typ: Checkliste
Herkunft: pki-tls-operations / crypto-migration-recovery / pki-tls-migration-sequence
Version: pki-tls-migration-sequence-2026-07-30
Geprüft: 2026-07-30

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Eine Organisation ersetzt eine ältere CA-Kette. Nicht alle eingebetteten Clients sind inventarisiert, und eine sofortige Entfernung des alten Vertrauensankers würde kritische Dienste gefährden.

## Schritte
1. Abhängige Clients, Dienste, Protokolle und verbleibende alte Zertifikate erfassen
2. Neue Kette und Vertrauensverteilung getrennt bereitstellen sowie Kompatibilität in begrenzter Kohorte testen
3. Dienste und Clients gestaffelt auf die neue Kette umstellen und effektive Handshakes beobachten
4. Restabhängigkeiten, Rückfallfenster und Ablaufdatum des Parallelvertrauens gegen Evidenz bewerten
5. Alte Vertrauenspfade erst nach dokumentierter Freigabe und ohne verbleibende Abhängigkeiten geordnet entfernen

## Begründung
Warum: Kryptomigration ist eine Vertrauens- und Kompatibilitätsänderung; Parallelvertrauen braucht Inventar, Beobachtung und ein begründetes Ende.
Folgen: **+** Sicherheitsgewinn und Dienstkontinuität werden gemeinsam gesteuert. **−** Uninventarisierte Clients können den Zeitplan verlängern und benötigen einen Ausnahmeweg.

## Quellen
1. https://www.rfc-editor.org/rfc/rfc9325
2. https://learn.microsoft.com/en-us/windows-server/identity/ad-cs/renew-root-ca-certificate