Code-Signing-Zertifikate und Authenticode-Signaturen
Ein Code-Signing-Zertifikat beantragen oder selbstsigniert zum Testen erstellen und exe, dll, msi und PowerShell-Skripte mit RFC-3161-Zeitstempel signieren - mit einem Zertifikat aus dem Windows-Speicher, einem USB-Token, einem HSM oder einer PFX.
Version 1.1.2 · 27. Oktober 2026 · Windows x64 · kostenlos · aethercert Toolkit herunterladen
Signieren mit dem Authenticode, das Windows schon hat
„Code signieren“ nutzt das Authenticode von Windows über die PowerShell, die jedes Windows mitbringt, gesteuert von einem festen Skript: Dateiliste und PFX-Passwort gehen über stdin, nie über die Kommandozeile. Damit sind alle Formate abgedeckt, die Windows signiert, und Zertifikate, deren Schlüssel auf einer Smartcard, einem USB-Token oder einem HSM liegt.
Seit Juni 2023 müssen öffentlich vertrauenswürdige Code-Signing-Zertifikate ihren privaten Schlüssel auf Hardware wie einem Token oder HSM haben. Ein Schlüssel, den das Toolkit in Software erzeugt, eignet sich deshalb für eine interne CA - etwa die Active Directory-Zertifikatdienste - und zum Testen. Mit einem öffentlichen Zertifikat auf einem Token signiert das Toolkit über dieses Token.
Vom Zertifikat zur signierten Datei
- 01
Zertifikat besorgen
Einen Code-Signing-CSR für die interne CA erstellen, ein selbstsigniertes Zertifikat fürs Testlabor oder das Zertifikat auf dem Token verwenden.
- 02
Dateien auswählen
exe, dll, sys, msi, cab, cat, PowerShell-Skripte (ps1, psm1, psd1) und Windows-Script-Dateien; vorhandene Signaturen werden je Datei angezeigt.
- 03
Zertifikat und Zeitstempel wählen
Ein Zertifikat aus dem Speicher - Token und HSMs eingeschlossen - oder eine PFX sowie einen Zeitstempelserver; DigiCert, Sectigo und GlobalSign sind voreingestellt.
- 04
Signieren und prüfen
Windows signiert jede Datei, und das Toolkit meldet Erfolg erst, nachdem Windows jede Signatur samt Zeitstempel geprüft hat.
Was „Code signieren“ abdeckt
Jedes Format, das Windows signiert
Programme, Bibliotheken, Treiber, Installer, Cabinet-Dateien, Kataloge, PowerShell-Skripte und Windows-Script-Dateien.
Token und HSMs
Zertifikate, deren Schlüssel auf einem USB-Token oder HSM liegt, erscheinen zusammen mit dem übrigen Windows-Speicher.
RFC-3161-Zeitstempel
Eine Signatur mit Zeitstempel bleibt gültig, auch wenn das Signaturzertifikat abgelaufen ist.
Signaturprüfung
Zeigt Signatur und Zeitstempel jeder Datei vor und nach dem Signieren; actk verify tut dasselbe in Skripten.
Code-Signing-CSRs
Das Code-Signing-Profil in „CSR erstellen“ fordert bei der CA die Schlüsselverwendung für Codesignatur an.
Selbstsigniert zum Testen
Ein selbstsigniertes Code-Signing-Zertifikat mit PFX für Testrechner, die ihm ausdrücklich vertrauen.
Im Build-Skript signieren
actk signiert und prüft aus einer Pipeline oder auf einem Build-Server, mit dem Zertifikat per Fingerabdruck oder aus einer PFX.
actk csr --profile codesign --cn "Example GmbH" --org "Example GmbH" --country DE --key rsa3072actk certsactk sign Setup.exe deploy.ps1 package.msi --thumbprint 0123ABCD...actk sign tool.exe --pfx codesign.pfx --timestamp http://timestamp.sectigo.comactk verify Setup.exeWeitere Werkzeuge im Toolkit
Dokumentation
Häufige Fragen
Code Signing
Kann ich mit dem Toolkit ein öffentlich vertrauenswürdiges Code-Signing-Zertifikat erstellen?
Nicht den Schlüssel: Öffentliche CAs verlangen, dass der Schlüssel eines Code-Signing-Zertifikats auf Hardware erzeugt und aufbewahrt wird, und liefern es deshalb auf einem Token oder HSM aus. Der Code-Signing-CSR des Toolkits ist für interne CAs gedacht; signieren kann es mit jedem Zertifikat im Windows-Speicher, Token eingeschlossen.
Warum sollte ich eine Signatur mit Zeitstempel versehen?
Ohne Zeitstempel wird die Signatur ungültig, sobald das Zertifikat abläuft. Mit RFC-3161-Zeitstempel akzeptiert Windows sie auch danach.
Welche Dateien kann ich signieren?
exe, dll, sys, msi, cab, cat, PowerShell-Skripte und -Module (ps1, psm1, psd1) und Windows-Script-Dateien - alle Formate, die Authenticode unter Windows unterstützt.
Wird mein PFX-Passwort beim Signieren sichtbar?
Nein. Das Passwort erreicht PowerShell über stdin, nicht als Kommandozeilenargument, und taucht deshalb weder in Prozesslisten noch in Logs auf.
Besteht eine mit internem Zertifikat signierte Datei SmartScreen?
Rechner, die Ihrer internen CA vertrauen, sehen eine gültige Signatur - das prüfen Gruppenrichtlinien und AppLocker-Regeln. SmartScreen-Reputation hängt an öffentlich vertrauenswürdigen Zertifikaten.
Zertifikate auch für Server, nicht nur für Code?
aethercert erneuert TLS-Zertifikate und installiert sie auf IIS, Exchange, NGINX, Load Balancern und Firewalls - automatisch, vor dem Ablauf.
Community-Tarif, keine Zahlungsdaten nötig. Offene Registrierung – Ihr Konto ist in wenigen Minuten eingerichtet.