# Schlüsselvorfall bis zur Validierungswirkung
Typ: Checkliste
Herkunft: pki-tls-operations / revocation-incident-response / pki-tls-incident-revocation-sequence
Version: pki-tls-incident-revocation-sequence-2026-07-30
Geprüft: 2026-07-30

ACHTUNG: Dieses Dokument ist ein Lernartefakt aus einer Schulungssequenz. Es ist kein produktives Runbook. Vor jeder Anwendung in einer realen Umgebung müssen die Schritte gegen lokale Dokumentation, Runbooks und Freigabestatus geprüft werden.

## Szenario
Der Schlüssel eines externen Dienstes wurde exponiert. Der Dienst muss weiter verfügbar bleiben, während das alte Zertifikat seine Vertrauenswirkung verliert.

## Schritte
1. Exposition, betroffene Bindungen und weitere Schlüsselkopien eingrenzen sowie Incidentrollen aktivieren
2. Neues Schlüsselmaterial in der vorgesehenen Schutzgrenze erzeugen und Ersatz-Zertifikat ausstellen
3. Ersatz am produktiven Endpunkt kontrolliert binden und den Handshake prüfen
4. Das betroffene Zertifikat nach Freigabe widerrufen und aktuelle Sperrinformation veröffentlichen
5. Relevante Clientpfade auf Ersatzidentität, Erreichbarkeit der Sperrinformation und Validierungswirkung prüfen

## Begründung
Warum: Containment und Ersatz schützen den laufenden Dienst; erst Widerruf, Veröffentlichung und Clientprüfung schließen die Vertrauenswirkung des alten Zertifikats.
Folgen: **+** Verfügbarkeit und Sicherheitswirkung werden getrennt nachgewiesen. **−** Die exakte Widerrufs- und Failoverpolitik muss zur eigenen Clientlandschaft passen.

## Quellen
1. https://www.rfc-editor.org/rfc/rfc5280
2. https://csrc.nist.gov/pubs/sp/800/57/pt1/r5/final