SSL-Zertifikate für KI-Workflows: Verschlüsselung im Mittelstand

Sie betreiben Ihre KI-Workflows auf eigener Infrastruktur oder Sie binden externe APIs an. In beiden Fällen laufen Daten über HTTP-Verbindungen. Wenn diese Verbindungen unverschlüsselt sind oder mit abgelaufenen Zertifikaten arbeiten, öffnen Sie Angreifern Tür und Tor. Ich erlebe regelmäßig, dass mittelständische Betriebe interne Dashboards oder Webhook-Endpunkte ohne gültiges SSL-Zertifikat betreiben, weil “es ja nur intern ist”. Das Risiko bleibt, und spätestens bei der nächsten DSGVO-Prüfung wird es teuer.

In diesem Artikel zeige ich Ihnen, welche SSL-Zertifikate Sie für KI-Workflows wirklich brauchen, wie Sie Erneuerung automatisieren und wann Wildcard-Zertifikate sich rechnen.

Warum SSL-Zertifikate in KI-Workflows Pflicht sind

SSL-Zertifikate (genauer: TLS-Zertifikate, die Bezeichnung SSL ist historisch) verschlüsseln die Verbindung zwischen Client und Server. Ohne gültiges Zertifikat senden Sie Daten im Klartext über das Netzwerk. Das betrifft:

• API-Aufrufe an externe KI-Dienste: OpenAI, Anthropic, DeepL, Google Cloud
• Webhooks, die von Workflow-Plattformen wie n8n oder Make empfangen werden
• Interne Dashboards, über die Ihre Geschäftsführung KPI-Daten abruft
• Self-Hosted KI-Modelle, die von mehreren Abteilungen genutzt werden

Alle diese Verbindungen müssen HTTPS verwenden. DSGVO Artikel 32 fordert “Verschlüsselung” als technische Maßnahme zur Sicherung der Verarbeitung. Fehlt das gültige Zertifikat, fehlt die Verschlüsselung.

Zusätzlich warnen moderne Browser und API-Clients bei fehlenden oder abgelaufenen Zertifikaten. Ihre Mitarbeitenden sehen Fehlermeldungen, Workflows brechen ab, und im schlimmsten Fall umgehen Ihre Kollegen die Warnung und akzeptieren unsichere Verbindungen dauerhaft.

Welche Zertifikatstypen es gibt und was sie kosten

Es gibt drei Hauptkategorien von SSL-Zertifikaten:

1. Domain Validated (DV): Die Zertifizierungsstelle prüft nur, dass Sie die Domain kontrollieren. Ausstellung dauert Minuten, Kosten liegen bei null Euro (Let’s Encrypt) bis 50 Euro pro Jahr.
2. Organization Validated (OV): Zusätzlich wird geprüft, dass Ihr Unternehmen im Handelsregister eingetragen ist. Ausstellung dauert ein bis drei Tage, Kosten liegen bei 100 bis 300 Euro pro Jahr.
3. Extended Validation (EV): Intensive Prüfung Ihrer Firma, Browser zeigen den Firmennamen in der Adressleiste. Kosten liegen bei 300 bis 1.200 Euro pro Jahr, Ausstellung dauert eine Woche.

Für KI-Workflows im Mittelstand reichen in den allermeisten Fällen DV-Zertifikate aus. Let’s Encrypt stellt sie kostenfrei aus und erneuert sie alle 90 Tage automatisch. OV- oder EV-Zertifikate lohnen sich nur, wenn Sie öffentlich nach außen auftreten und Vertrauen signalisieren wollen, zum Beispiel bei einem Kundenportal mit Login.

Wenn Sie mehrere Subdomains betreiben (api.ihrefirma.de, dashboard.ihrefirma.de, workflows.ihrefirma.de), bieten sich Wildcard-Zertifikate an. Diese decken alle Subdomains einer Stufe ab (*.ihrefirma.de) und kosten bei Let’s Encrypt ebenfalls null Euro, bei kommerziellen Anbietern 150 bis 400 Euro pro Jahr.

Erneuerung automatisieren: Certbot und ACME-Clients

Let’s Encrypt-Zertifikate laufen nach 90 Tagen ab. Manuelle Erneuerung alle drei Monate ist fehleranfällig und führt regelmäßig zu Ausfällen. Automatisierung ist Pflicht.

Der Standard-Client heißt Certbot. Er läuft auf Linux-Servern, prüft täglich, ob ein Zertifikat bald abläuft, und erneuert es automatisch. Die Installation auf Debian oder Ubuntu dauert fünf Minuten:

sudo apt install certbot python3-certbot-nginx
sudo certbot --nginx -d ihrefirma.de -d www.ihrefirma.de

Certbot schreibt die nötigen Konfigurationszeilen direkt in Ihre Nginx-Konfiguration und richtet einen Cronjob ein, der zweimal täglich prüft, ob Erneuerung nötig ist.

Wenn Sie mehrere Server betreiben oder eine komplexere Infrastruktur haben, lohnen sich spezialisierte ACME-Clients wie acme.sh oder Traefik, das Zertifikate vollautomatisch für Docker-Container ausstellt.

Wichtig: Richten Sie Monitoring für Zertifikats-Ablaufdaten ein. Tools wie Nagios, Zabbix oder einfache Bash-Skripte prüfen täglich, ob ein Zertifikat in weniger als 30 Tagen abläuft, und senden eine Warnung an Ihr IT-Team.

Interne Dienste absichern: Private CAs oder Self-Signed

Nicht jeder Workflow kommuniziert nach außen. Wenn Sie Self-Hosted KI-Modelle betreiben, die nur aus dem internen Netzwerk erreichbar sind, stellt sich die Frage: Brauchen Sie auch hier öffentliche Zertifikate?

Die Antwort lautet: Ja, wenn möglich. Öffentliche DV-Zertifikate funktionieren auch für interne Domains, sofern Sie eine öffentliche Domain besitzen und Subdomains per DNS auf interne IPs zeigen lassen (Split-Horizon-DNS).

Alternativ können Sie eine Private Certificate Authority (CA) aufsetzen. Das erfordert Pflege: Sie müssen das Root-Zertifikat auf allen Clients installieren, Ablaufdaten überwachen und Widerruf verwalten. Für Betriebe mit weniger als 50 Mitarbeitenden lohnt der Aufwand meist nicht.

Self-Signed Certificates (selbstsignierte Zertifikate) sind in Produktion tabu. Jeder Client muss die Warnung manuell akzeptieren, und das gewöhnt Ihre Mitarbeitenden daran, Sicherheitswarnungen zu ignorieren.

Wildcard-Zertifikate: Wann sie sich rechnen

Wildcard-Zertifikate decken alle Subdomains einer Ebene ab. Wenn Sie fünf oder mehr Subdomains betreiben, reduzieren Sie Verwaltungsaufwand und Fehlerquellen.

Let’s Encrypt stellt Wildcards aus, aber die ACME-Challenge läuft über DNS-01 statt HTTP-01. Das bedeutet: Sie müssen automatisch TXT-Records in Ihrer DNS-Zone anlegen können. Alle großen DNS-Anbieter (Hetzner, Cloudflare, AWS Route 53) bieten APIs dafür, und Certbot unterstützt sie über Plugins.

Beispiel für Cloudflare:

sudo apt install python3-certbot-dns-cloudflare
sudo certbot certonly --dns-cloudflare \
  --dns-cloudflare-credentials ~/.secrets/cloudflare.ini \
  -d '*.ihrefirma.de'

Der Nachteil: Ein kompromittiertes Wildcard-Zertifikat gefährdet alle Subdomains. Für hochsensible Dienste (z. B. Authentifizierungsserver) sollten Sie separate Zertifikate ausstellen.

Zertifikate in Docker und Kubernetes einbinden

Wenn Sie Ihre KI-Workflows in Docker-Containern betreiben, müssen Zertifikate als Volume gemountet werden. Certbot legt Zertifikate standardmäßig unter /etc/letsencrypt/live/ihrefirma.de/ ab. Ihre Docker-Compose-Konfiguration bindet diesen Pfad ein:

volumes:
  - /etc/letsencrypt:/etc/letsencrypt:ro

In Kubernetes übernimmt cert-manager die Ausstellung und Erneuerung. Er erstellt automatisch Kubernetes-Secrets, die Ihre Ingress-Controller nutzen. Die Installation dauert 15 Minuten, danach sind alle neuen Ingress-Ressourcen automatisch mit Let’s Encrypt-Zertifikaten abgesichert.

Monitoring und Alarme für ablaufende Zertifikate

Automatisierung ist gut, Überwachung ist besser. Selbst bei automatischer Erneuerung können Fehler auftreten: DNS nicht erreichbar, API-Limits überschritten, Firewall blockiert ACME-Challenge.

Richten Sie Monitoring ein, das täglich prüft:

• Läuft das Zertifikat in weniger als 30 Tagen ab?
• Ist die Zertifikatskette vollständig?
• Passt der Common Name zur Domain?

Einfache Bash-Lösung mit openssl:

echo | openssl s_client -connect ihrefirma.de:443 2>/dev/null | \
  openssl x509 -noout -enddate

Für größere Infrastrukturen nutzen Sie Nagios check_ssl_cert, Zabbix SSL-Checks oder externe Dienste wie SSL Labs oder Uptime Robot.

Reverse Proxy und Zertifikatsverwaltung zentralisieren

Wenn Sie mehrere Backend-Dienste betreiben, empfehle ich, SSL-Terminierung zentral im Reverse Proxy (Nginx, HAProxy, Traefik) zu erledigen. Das bedeutet:

• Der Reverse Proxy hält das Zertifikat und terminiert HTTPS.
• Backend-Dienste kommunizieren intern per HTTP.
• Sie verwalten Zertifikate an einem Ort.

Dieser Ansatz vereinfacht Betrieb und Monitoring. Interne Kommunikation sollte aber in sicherheitskritischen Umgebungen ebenfalls verschlüsselt sein (mTLS), vor allem wenn mehrere VLANs oder Standorte beteiligt sind.

Was nicht funktioniert

• Selbstsignierte Zertifikate in Produktion: Clients vertrauen ihnen nicht, Workflows brechen ab.
• Manuelle Erneuerung alle 90 Tage: Vergessen Sie einen Termin, steht der Workflow still.
• Zertifikate ohne Monitoring: Sie merken erst beim Ausfall, dass das Zertifikat abgelaufen ist.
• Wildcards für alles: Sicherheitskritische Dienste sollten eigene Zertifikate haben.
• HTTP für interne Dienste, “weil intern sicher ist”: Das Netzwerk ist nie so sicher, wie Sie denken.

Fazit: Zertifikate sind Infrastruktur, kein Luxus

SSL-Zertifikate gehören zur Grundausstattung jeder KI-Infrastruktur im Mittelstand. Let’s Encrypt macht Ausstellung und Erneuerung kostenfrei und einfach. Certbot automatisiert die Arbeit, Monitoring sorgt dafür, dass nichts durchrutscht.

Wenn Sie Ihre KI-Workflows auf eigener Infrastruktur betreiben oder APIs anbinden, prüfen Sie jetzt, ob alle Verbindungen verschlüsselt sind und Zertifikate automatisch erneuert werden. Wir unterstützen Sie bei Planung, Umsetzung und Betrieb. Fordern Sie ein unverbindliches Erstgespräch an.

Sprechen Sie mit uns

Sie möchten das in Ihrem Betrieb umsetzen? Wir bauen die passende Maschine mit Ihnen.

Telefon: 040 468 967 680
E-Mail: info@whitefox-automations.com
Oder über unser Kontaktformular.