TPM vs. X.509 vs. symmetrische Schlüssel: Die richtige Attestierungsmethode für Azure DPS wählen

Von Mirko Peters · 2026-10-19

Vergleichen Sie TPM, X.509 und symmetrische Schlüssel für Azure DPS. Erfahren Sie, wie Sie die passende Attestierungsmethode wählen, um mehr als 100.000 IoT-Geräte sicher zu provisionieren.

Automatisch mit KI aus dem Originalbeitrag übersetzt. Englisches Original lesen

Die Wahl der richtigen Geräteattestierungsmethode in Azure Device Provisioning Service (DPS) entscheidet darüber, ob Ihre IoT-Flotte mit 100.000 Geräten auch im großen Maßstab sicher bleibt oder anfällig für Kompromittierungen in der Lieferkette wird. Dieser Leitfaden bewertet Trusted Platform Modules (TPM), X.509-Zertifikate und symmetrische Schlüssel. Er hilft Cloud-Architekten, den passenden kryptografischen Nachweis auf ihre Fertigungs- und Betriebsmodelle abzustimmen.

Das Wichtigste in Kürze

• Attestierung ist der kryptografische Mechanismus, mit dem Geräte ihre Identität gegenüber Azure DPS bei der Erstregistrierung beim ersten Start nachweisen.
• Die TPM-Attestierung bindet die Identität direkt an einen Hardware-Chip. So können geklonte Festplattenabbilder keinen Cloud-Zugriff erben.
• X.509-Zertifikate bieten eine unübertroffene Skalierbarkeit für mehrstufige Lieferketten und langlebige Unternehmensflotten.
• Symmetrische Schlüssel vereinfachen Labortests und erste Prototypen, bergen aber hohe Risiken, sobald gemeinsame Geheimnisse extrahiert werden.
• Registrierungsgruppen ermöglichen es Administratoren, einheitliche Sicherheitsrichtlinien auf ganze Gerätefamilien anzuwenden, statt Datensätze manuell zu verwalten.

Attestierung bei der Flottenprovisionierung verstehen

Beim Ausrollen einer großen Flotte aus Industrie-Gateways, Edge-Sensoren oder Smart-Geräten ist die Etablierung einer sicheren Vertrauensgrenze hürdenreich und zugleich die wichtigste architektonische Grundlage. Zehn Geräte auf einer Testbank lassen sich manuell mit fest codierten Geheimnissen oder einfachen Passwörtern konfigurieren. Bei einhunderttausend Geräten, verteilt auf globale Werke, wird jede administrative Abkürzung jedoch zur Sicherheitslücke.

Azure DPS fungiert als sichere Empfangsstelle für Ihre Cloud-Umgebung. Bevor ein Gerät einem IoT Hub für den täglichen Telemetrie- und Befehlsverkehr zugewiesen wird, muss es seine Identität nachweisen. Dieser kryptografische Identitätsnachweis heißt Attestierung. Die Wahl der richtigen Attestierungsmethode bestimmt, wie Ihre Fertigungspipeline, Ihre Logistik in der Lieferkette und Ihre Cloud-Sicherheitsrichtlinien über den mehrjährigen Lebenszyklus Ihrer Hardware zusammenwirken.

Trusted Platform Module (TPM) Attestierung

Ein Trusted Platform Module ist ein spezieller kryptografischer Chip, der sicher in die Hauptplatine eingebettet ist. Bei der TPM-Attestierung für Azure DPS wird die Geräteidentität dauerhaft an diesen physischen Chip gebunden.

Der größte Vorteil von TPM ist die hardwaregestützte Sicherheit. Da der Endorsement Key und die Registrierungsdaten bereits bei der Fertigung in den Chip eingebrannt werden, können Angreifer ein Software-Festplattenabbild nicht einfach kopieren, auf eine neue Platine spielen und damit Zugriff auf die Cloud erwarten. Selbst wenn ein Betriebssystemabbild kompromittiert ist, bleibt der Hardware-Vertrauensanker geschützt.

TPM erfordert jedoch eine sorgfältige Koordination in der Lieferkette. Sie müssen die Endorsement Keys vom Hardwarehersteller beziehen und in Ihre individuellen Registrierungen oder Endorsement-Key-Listen in Azure DPS laden. Für hochsensible Industrieumgebungen, in denen physische Manipulation eine reale Bedrohung darstellt, bietet TPM das höchste Maß an Hardware-Sicherheit.

X.509-Zertifikate für Skalierung in der Lieferkette

X.509-Zertifikate basieren auf Public-Key-Kryptografie und hierarchischen Zertifizierungsstellen (Certificate Authorities, CAs). In diesem Attestierungsmodell signiert Ihr Fertigungswerk oder Ihr Auftragsfertiger die Gerätezertifikate mit einem Zwischenzertifikat einer CA, das Sie in Azure DPS als Registrierungsgruppe vorab hinterlegt haben.

Diese Methode eignet sich besonders für komplexe Lieferketten, in denen Hardware von Drittanbietern gefertigt und vor dem endgültigen Einsatz in mehreren Regionen ausgeliefert wird. Da DPS die Zertifikatskette bis zu Ihrer Root- oder Zwischen-CA prüft, ist jedes Gerät, das mit einem gültigen Zertifikat aus Ihrer vertrauenswürdigen Kette hergestellt wurde, automatisch zur Bereitstellung berechtigt. Ein Eintrag für jedes einzelne Gerät im Cloud-Portal ist dafür nicht erforderlich.

X.509-Zertifikate eignen sich auch hervorragend für die Verwaltung des Lebenszyklus. Wenn ein Zertifikat abläuft, kann eine automatisierte Rotationsrichtlinie die Geräteidentität ohne physischen Eingriff erneuern. Damit ist X.509 der Goldstandard für große, verteilte IoT-Bereitstellungen in Unternehmen.

Symmetrische Schlüssel: Einfachheit versus Risiko

Symmetrische Schlüssel beruhen auf gemeinsamen Geheimnissen, im Grunde einem Kennwort, das zwischen dem Gerät und Azure DPS geteilt wird. Diese Methode ist einfach zu implementieren und für schnelle Labor-Prototypen beliebt, birgt im Produktivbetrieb jedoch erhebliche betriebliche und sicherheitsrelevante Risiken.

Wenn ein symmetrischer Schlüssel in ein Standard-Geräteabbild eingebettet ist oder ein Techniker das Geheimnis bei der Inbetriebnahme oder beim lokalen Debugging versehentlich offenlegt, ist jedes Gerät mit demselben Schlüssel bzw. jede Registrierungsgruppe sofort kompromittiert. Wer einen symmetrischen Schlüssel aus einem einzigen physischen Gehäuse extrahiert, erhält unbefugten Zugriff auf die gesamte Cloud-Umgebung, die mit diesem Schlüssel verbunden ist.

Wenn Sie für Hardware mit eingeschränkten Ressourcen, die keine Secure Elements besitzt, zwingend symmetrische Schlüssel verwenden müssen, sollten Sie diese auf einzelne Registrierungen mit strengen Rotationsrichtlinien für Geheimnisse beschränken und nicht auf breite Registrierungsgruppen anwenden.

Die richtige Strategie für Ihre Architektur wählen

Bei der Wahl zwischen TPM, X.509 und symmetrischen Schlüsseln müssen Sie Sicherheitsanforderungen und betrieblichen Aufwand gegeneinander abwägen:

• Wählen Sie TPM, wenn der Schutz der physischen Hardware oberste Priorität hat und Sie über eine kontrollierte Lieferkette verfügen, die Endorsement-Schlüssel exportieren kann.
• Wählen Sie X.509, wenn Sie große Gerätebestände verschiedener Hersteller verwalten, eine automatisierte Zertifikatsrotation benötigen und Registrierungsgruppen für ein Zero-Touch-Onboarding nutzen möchten.
• Wählen Sie symmetrische Schlüssel vor allem für Entwicklung, Tests oder streng kontrollierte Laborumgebungen, in denen keine Kryptografie-Chips oder PKI-Infrastruktur verfügbar sind.

Wenn Sie Ihre Herstellungsidentität von Ihrer Betriebsidentität trennen, bleibt Ihr grundlegendes Vertrauensmodell portabel, belastbar und prüfbar, während Ihre Cloud-Architektur wächst.

Fazit

Die Architektur einer sicheren Bereitstellungspipeline für 100.000 IoT-Geräte erfordert eine sorgfältige Bewertung der kryptografischen Attestierung. Ob Sie sich für die hardwarebasierte Sicherheit von TPM oder die skalierbare Vertrauenskette von X.509-Zertifikaten entscheiden: Wenn Sie Ihr Identitätsmodell an Azure DPS anpassen, vermeiden Sie betriebliche Engpässe und schützen Ihre Cloud-Infrastruktur von Grund auf.

Um tiefer in die IoT-Architektur, die Trennung von Geräteidentitäten und die Behandlung von Fehlern beim ersten Start einzutauchen, hören Sie sich die vollständige Episode an und abonnieren Sie den M365 FM Podcast für fundierte Einblicke in Cloud-Infrastruktur und das Microsoft-Ökosystem.

Häufige Fragen

Was ist Geräteattestierung in Azure DPS?

Die Attestierung ist der sichere kryptografische Prozess, mit dem ein Gerät beim ersten Start gegenüber dem Azure Device Provisioning Service seine Identität nachweist. So kann DPS die Berechtigung prüfen, bevor das Gerät einem IoT Hub zugewiesen wird.

Kann ich X.509-Zertifikate mit Registrierungsgruppen verwenden?

Ja. X.509-Zertifikate eignen sich ideal für Registrierungsgruppen. So können ganze Gerätefamilien, die von einer vertrauenswürdigen Zwischen- oder Root-CA signiert wurden, automatisch bereitgestellt werden, ohne dass Geräte einzeln verwaltet werden müssen.

Warum gelten symmetrische Schlüssel bei großen Gerätebeständen als Sicherheitsrisiko?

Symmetrische Schlüssel beruhen auf gemeinsamen Geheimnissen. Extrahiert ein Angreifer das Geheimnis von einem einzelnen physischen Gerät, erhält er unbefugten Zugriff auf alle Cloud-Ressourcen oder Gerätegruppen, die dasselbe Geheimnis verwenden.

Wie verhindert TPM das Klonen von Geräten?

TPM bindet die kryptografische Identität des Geräts direkt an einen physischen Sicherheitschip, der auf die Hauptplatine gelötet ist. Dadurch können geklonte Software-Festplattenabbilder sich nicht gegenüber der Cloud authentifizieren.