Zertifikatsmanagement als Managed Service anbieten

Ja. Sie beziehen Kundenlizenzen zu MSP-Konditionen, weisen sie den angelegten Kunden-Workspaces zu und rechnen Ihren Managed Service selbst ab. aethercert hat keine kommerzielle Beziehung zu Ihren Kunden; Preisgestaltung, Rechnung und Vertrag liegen bei Ihnen.

Ja. Jeder Kunde ist eine eigene Organisation mit eigenen Domains, Servern, Zertifikaten, CAs, Mitgliedern und Audit-Protokoll. Die Trennung erfolgt nicht nur über eine Kunden-ID innerhalb eines gemeinsamen Mandanten; Datenbankabfragen bleiben auf jeweils eine Organisation beschränkt. Zwischen den Kunden wechseln Sie mit einem zentralen Konto.

Sie übernehmen den First-Level-Support. Im Support-Bereich des Kunden-Workspaces werden Ihr Firmenname und Ihre Kontaktdaten angezeigt. Ihren eigenen Support als direkter aethercert-Kunde erhalten Sie von uns.

Heute nicht. Das Dashboard, das Ihre Kunden sehen - sofern Sie ihnen überhaupt einen Login geben -, trägt die Marke von aethercert. Ihnen gehört die kommerzielle Beziehung, die Preisgestaltung und der im Workspace angezeigte Support-Kontakt. Viele Dienstleister betreiben es, ohne dem Kunden je einen Login zu geben, wodurch sich die Frage erübrigt; wenn White-Labeling für Sie entscheidend wäre, sagen Sie es uns - genau das würde es auf der Liste nach oben bringen.

Sie entscheiden selbst, ob Sie pro Server, pro Zertifikat, im Rahmen eines bestehenden Servicepakets oder pauschal abrechnen. aethercert hat keinen Einblick in Ihre Preisgestaltung und kontaktiert Ihre Kunden nicht dazu.

Es gibt keine Obergrenze für Kunden-Workspaces. Fünf Kundenplätze der Stufe Standard sind im MSP-Tarif enthalten, weitere Standard- oder Pro-Plätze kaufen Sie im Dashboard dazu, sobald Sie neue Kunden gewinnen. Jeder ist ein eigenes Jahresabonnement mit eigenem Verlängerungsdatum - Kapazität folgt also Ihrem Portfolio, nicht einer Vertragsverhandlung.

Nach dem Anlegen des Workspaces installieren Sie den Agent mit erhöhten Rechten auf den Kundenservern. Ein Multi-Provisioning-Token kann für denselben Installationsbefehl auf mehreren Hosts verwendet werden. Sobald sich die Agents melden, erscheinen vorhandene Zertifikate mit ihrem Ablaufdatum im Dashboard.

Ja, über eine Verwaltungseinladung. Sie senden einen Einmal-Link, ein Owner der Organisation nimmt ihn an und wählt, wie weit die Vereinbarung reicht - alles Operative oder volle Kontrolle. Keine Seite kann die Beziehung allein herstellen, und jede Seite kann sie später ohne Zustimmung der anderen beenden. Das bestehende Abonnement bleibt bei ihm und verbraucht keinen Ihrer Plätze.

Ja. Standardmäßig arbeitet jeder in Ihrer Organisation in jedem Kunden-Workspace, aber jede Person kann stattdessen bestimmten Kunden zugewiesen werden, mit einer pro Kunde gewählten Rolle - Admin beim einen, Viewer beim anderen, unabhängig von der Rolle in Ihrer eigenen Organisation.

Nur wenn Sie das möchten. Manche Dienstleister betreiben den Workspace vollständig selbst, ohne dass sich der Kunde je anmeldet. Andere laden den Kunden als Viewer ein, damit er seinen eigenen Zertifikatsstatus sieht, ohne etwas zu ändern, oder als Admin, wenn er selbst konfigurieren soll. Beide Modelle nutzen dasselbe Rollensystem.

Die Lizenz kann freigegeben und einem anderen Kunden zugewiesen werden. Der Workspace wird nicht gelöscht, sondern auf die Limits des Free-Tarifs zurückgestuft. Bereits installierte Zertifikate und gespeicherte Daten bleiben bestehen. Mit dem Trennen des Workspaces endet die Verwaltungsbeziehung und der Kunde erhält die alleinige Kontrolle zurück.

Weniger, als Sie erwarten würden. Let's Encrypt ist bei jedem Workspace eingerichtet und braucht keine Konfiguration, und die Deployment-Ziele sind Vorlagen - IIS, Exchange, Remotedesktop, NGINX, Apache, ein Load Balancer - statt etwas, das Sie pro Kunde skripten müssten. Ihre Expertise wird gebraucht, um zu wissen, welche Systeme eines Kunden überhaupt TLS bedienen - Wissen, das Sie über Ihre Kunden bereits haben.

Unter Windows installiert der Agent Zertifikate im Certificate Store und aktualisiert je nach Deployment-Ziel IIS-Bindings, Exchange-Dienste, ADFS, RDP- oder RDS-Konfigurationen, WinRM-HTTPS-Listener, SQL Server, Skype for Business beziehungsweise Lync und Hyper-V Replica. Unter Linux schreibt er Zertifikat und Schlüssel in die konfigurierten Pfade und lädt NGINX, Apache oder andere Dienste neu. Citrix NetScaler und laufende Docker-Container werden ebenfalls unterstützt.

Nein. Der Agent baut ausschließlich ausgehende HTTPS-Verbindungen auf. Eine eingehende Firewall-Regel, ein VPN oder eine öffentliche IP-Adresse sind nicht erforderlich; der Betrieb hinter NAT wird unterstützt.

Auf den jeweiligen Kundenservern. Der Agent erzeugt bei jeder Ausstellung und Erneuerung einen neuen privaten Schlüssel auf dem verwendenden Host und überträgt ihn nicht. aethercert speichert nur Metadaten wie Seriennummer, Fingerabdruck und Gültigkeitszeitraum. Weder Sie noch aethercert verwahren Schlüsselmaterial des Kunden.

Ja, und das ist oft der schnellste Weg, den Wert des Service zu belegen. Jeder Agent inventarisiert die auf seinem Server bereits installierten Zertifikate - egal wer sie wann dort platziert hat - und meldet sie mit Ablaufdatum. Er liest nur diese eine Maschine und öffnet nie einen privaten Schlüssel. Erneuern kann er ein nicht selbst ausgestelltes Zertifikat nicht, aber es zu übernehmen bedeutet, ein Zertifikat für dieselben Namen anzulegen.

Monitoring-Integrationen sind verfügbar. Jeder Workspace im Pro-Tarif stellt Flottenmetriken im Prometheus-Format für CheckMK, Grafana und andere kompatible Systeme bereit. Relevante Ereignisse können per Webhook, Syslog/CEF oder SNMP-Trap weitergeleitet werden. Für die Provisionierung gibt es noch keine öffentliche API; Workspaces und Zertifikate werden im Dashboard angelegt.

Deutschland - die Anwendung bei Hetzner in Nürnberg, die Datenbank bei Supabase in Frankfurt, mit Cloudflare als TLS-terminierendem Proxy davor, der Traffic verarbeitet, nicht Speicherung. Für Kunden, die fragen, wohin ihre Daten gehen: Speicherung und Verarbeitung bleiben im Land. Ihre Schlüssel und Zertifikate verlassen ohnehin nie ihre eigenen Maschinen.