# Neue Schlüssel, kontrollierter Wechsel
Typ: Checkliste
Herkunft: pki-tls-operations / key-lifecycle-assurance / pki-tls-key-lifecycle-sequence
Version: pki-tls-key-lifecycle-sequence-2026-07-30
Geprüft: 2026-07-30

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Ein produktiver TLS-Schlüssel wurde unzulässig exportiert. Der Dienst muss mit neuem Material weiterlaufen; die Vertrauens- und Betriebswirkung darf nicht geraten werden.

## Schritte
1. Zugriff auf den betroffenen Schlüssel und seine Kopien eingrenzen sowie betroffene Bindungen erfassen
2. Neues Schlüsselmaterial in der vorgesehenen Schutzgrenze erzeugen und Ersatz-Zertifikat ausstellen
3. Ersatz kontrolliert am Dienst binden und den realen Handshake prüfen
4. Betroffenes Zertifikat nach Incident-Entscheidung widerrufen und Sperrinformation veröffentlichen
5. Alte Schlüsselkopien nach Verfahren entfernen oder sperren sowie Nachweise schließen

## Begründung
Warum: Containment und Ersatz schützen zuerst den Betrieb; Widerruf und Behandlung alter Kopien schließen danach die Vertrauenswirkung.
Folgen: **+** Der Incident hat eine klare technische und nachweisbare Sequenz. **−** Der konkrete Widerrufszeitpunkt hängt von Verfügbarkeit, Incident-Policy und Risiko ab.

## Quellen
1. https://csrc.nist.gov/pubs/sp/800/57/pt1/r5/final
2. https://www.rfc-editor.org/rfc/rfc5280