Was ist ein Intermediate-CA-Zertifikat?
Ein Intermediate-CA-Zertifikat ist das Zertifikat einer Zwischenzertifizierungsstelle, die im Auftrag einer Root-CA Zertifikate ausstellt. Im Zscaler-Betrieb ist es der Vertrauensanker der SSL/TLS-Inspection: Für jede inspizierte Verbindung stellt Zscaler dem Client dynamisch ein Prüf-Zertifikat aus, das diese Intermediate-CA signiert. Vertrauen die Endgeräte der Intermediate-CA, laufen geprüfte Verbindungen ohne Warnung; fehlt das Vertrauen oder läuft das Zertifikat ab, hagelt es Zertifikatswarnungen. Die mehrstufige Kette schützt zugleich die hochsensible Root-CA, die dadurch nie direkt im Tagesbetrieb signiert.
Intermediate-CA-Zertifikat im Detail
Zscaler verwaltet die Zertifikate auf einer eigenen Seite der Admin-Oberfläche. Dort liegt entweder das von Zscaler bereitgestellte Standard-Zertifikat oder eine Custom-Intermediate-CA der Organisation, zum Beispiel aus der eigenen PKI über eine signierte Zertifikatsanfrage. Je Zertifikat sind unter anderem Gültigkeitsbeginn, Ablaufdatum, Schlüsseltyp und ein Fallback-Zertifikat hinterlegt; als Schutzarten unterscheidet die Dokumentation Software Protection und Cloud HSM Protection, bei der der private Schlüssel in einem Hardware-Sicherheitsmodul liegt.
Damit die Kette trägt, muss das Zertifikat auf allen Endgeräten als vertrauenswürdig hinterlegt sein, üblicherweise verteilt über Gerätemanagement oder Gruppenrichtlinien. Anwendungen mit Certificate Pinning bilden die Ausnahme: Sie akzeptieren auch eine vertrauenswürdige Intermediate-CA nicht und brauchen eine Inspection-Ausnahme.
Warum ist das Intermediate-CA-Zertifikat im Zscaler-Betrieb wichtig?
Kaum ein einzelnes Objekt im Tenant hat so viel Breitenwirkung. Läuft das Zertifikat ab, verlieren die dynamisch ausgestellten Prüf-Zertifikate ihre gültige Signatur, und alle inspizierten Verbindungen sind gleichzeitig betroffen: Zertifikatswarnungen, abbrechende Anwendungen, ein Helpdesk unter Volllast. Anders als bei einer einzelnen fehlerhaften Regel gibt es keinen kleinen Vorfall, sondern direkt einen flächigen.
Deshalb gehört das Ablaufdatum in ein aktives Monitoring mit ausreichend Vorlauf: Verlängerung oder Neuausstellung, Verteilung des Vertrauens auf die Endgeräte und ein Test mit einer Pilotgruppe brauchen Zeit. Auch Einzelfälle verdienen Aufmerksamkeit: Zeigt ein einzelnes Gerät Warnungen für inspizierte Verbindungen, fehlt dort meist das Vertrauen im Zertifikatsspeicher, ein klassischer Befund bei neuen oder unvollständig verwalteten Geräten.
Typische Fehlerquellen
- Ablaufdatum ohne aktives Monitoring: Die Verlängerung wird erst bemerkt, wenn die ersten Warnungen eintreffen.
- Vertrauen unvollständig verteilt: Einzelne Gerätegruppen, etwa BYOD oder frisch installierte Rechner, haben das Zertifikat nicht im Speicher.
- Zertifikatswarnungen pauschal als Nutzerproblem abgetan: Hinter „Browser meckert“ kann der Vertrauensanker des ganzen Tenants stecken.
- Pinning-Fälle mit Vertrauensproblemen verwechselt: Gepinnte Apps helfen sich nicht mit Trust-Store-Verteilung, sie brauchen eine dokumentierte Ausnahme.
Intermediate-CA in der Praxis: so hilft CentaurNexus
Cert Horizon überwacht in CentaurNexus den Ablauf der ZIA-Intermediate-CA und macht aus einem stillen Datum einen sichtbaren Betriebszustand: Das Cockpit zeigt, wann das Zertifikat ausläuft, und schafft damit den Vorlauf, den Verlängerung, Verteilung und Test wirklich brauchen. Meldet ein einzelner Nutzer Zertifikatswarnungen, liefert die 360°-User-Suche den Kontext dazu, ohne dass der Helpdesk Zscaler-Admin-Rechte braucht. So bleibt der Unterschied zwischen Einzelfall und Flächenrisiko jederzeit erkennbar. Wie Nutzer Verbindungs- und Zertifikatsmeldungen selbst einordnen, zeigt der Beitrag Zscaler-Self-Service direkt im Browser.
Verwandte Begriffe
Häufige Fragen zum Intermediate-CA-Zertifikat
Für jede inspizierte Verbindung stellt Zscaler dem Client dynamisch ein Zertifikat aus, das die Intermediate-CA signiert. Vertrauen die Endgeräte dieser Intermediate-CA, akzeptieren Browser und Anwendungen die geprüften Verbindungen ohne Warnung. Das Zertifikat ist damit der Vertrauensanker der gesamten Entschlüsselung im Tenant.
Standardmäßig signiert ein von Zscaler bereitgestelltes Intermediate-Zertifikat die Prüf-Zertifikate. Alternativ bindet die Organisation eine eigene Intermediate-CA ein, die aus der eigenen PKI stammt, etwa per Zertifikatsanfrage an die interne Zertifizierungsstelle. Vorteil: Die Endgeräte vertrauen der eigenen Kette oft bereits, und die Organisation behält die Kontrolle über den Vertrauensanker.
Dann verlieren die dynamisch ausgestellten Prüf-Zertifikate ihre gültige Signatur, und auf breiter Front drohen Zertifikatswarnungen und Verbindungsabbrüche in allen inspizierten Verbindungen. Weil das viele Nutzer gleichzeitig trifft, gehört das Ablaufdatum in ein aktives Monitoring mit Vorlauf für Verlängerung, Verteilung und Test, nicht in eine Kalendernotiz.
Das Zertifikat muss im Zertifikatsspeicher der Endgeräte als vertrauenswürdig hinterlegt sein, üblicherweise verteilt über Gerätemanagement oder Gruppenrichtlinien. Fehlt das Vertrauen auf einem Gerät, zeigen Browser dort Zertifikatswarnungen für inspizierte Verbindungen. Solche Einzelfälle sind ein klassischer Helpdesk-Befund bei neuen oder unvollständig verwalteten Geräten.
Die Zscaler-Dokumentation unterscheidet Software Protection und Cloud HSM Protection für die Schlüssel der Intermediate-CA. Bei Cloud HSM liegt der private Schlüssel in einem Hardware-Sicherheitsmodul. Je Zertifikat sind unter anderem Gültigkeitsbeginn, Ablaufdatum, Schlüsseltyp und ein Fallback-Zertifikat hinterlegt; das Standard-Zertifikat lässt sich nicht löschen.
- Zscaler Help Portal: About Intermediate CA Certificates - help.zscaler.com
- Zscaler Help Portal: Choosing the CA Certificate for SSL/TLS Inspection - help.zscaler.com
Hinweis: CentaurNexus ist ein unabhängiges Produkt der SourcingBlox GmbH und kein Angebot von Zscaler, Inc. Produkt- und Markennamen gehören ihren jeweiligen Inhabern.