{"id":2723,"date":"2026-09-11T09:05:26","date_gmt":"2026-09-11T07:05:26","guid":{"rendered":"https:\/\/hitco.at\/blog\/?p=2723"},"modified":"2026-09-11T09:15:03","modified_gmt":"2026-09-11T07:15:03","slug":"certificate-authority-windows-powershell-ca-smime-codesigning","status":"publish","type":"post","link":"https:\/\/hitco.at\/blog\/certificate-authority-windows-powershell-ca-smime-codesigning\/","title":{"rendered":"Certificate Authority unter Windows mit PowerShell betreiben"},"content":{"rendered":"\n

R\u00fcckblick: Vor ein paar Jahren habe ich unter S\/MIME-Zertifikate mittels klickfertiger OpenSSL-CA selbst erstellen<\/a> erl\u00e4utert, wie mittels ein paar Scripts basierend auf OpenSSL eine Certificate Authority (CA) instanziiert und zur Zertifikatsausstellung genutzt wird.<\/p>\n\n\n\n

Mit diesem Blog-Post hier demonstriere ich, wie unter Verwendung von Windows 11 Bordmitteln (Powershell, es wird kein OpenSSL ben\u00f6tigt) eine CA erstellt und daraus Code-Signing-Zertifikate, Webserver-Zertifikate, Benutzer-Zertifikate f\u00fcr TLS-Client-Auth, S\/MIME Mail-Signatur und Mail-Verschl\u00fcsselung sowie Smartcard-Anmeldung ausgestellt werden.<\/p>\n\n\n\n

Die nachfolgende Anleitung nutzt hierzu das in Windows enthaltene PowerShell-Commandlet New-SelfSignedCertificate<\/code><\/strong>, welches von Microsoft grunds\u00e4tzlich ausreichend dokumentiert<\/a> ist. Aber: Der dokumentierte und intendierte Zweck seitens Microsoft ist augenscheinlich damit (nur) Selfsigned-Zertifikate auszustellen. Dieses PowerShell-Commandlet eignet sich aber nicht nur zur Erstellung von Self-Signed-Zertifikaten. Es kann als universelles Zertifikats-Erstellungs-Instrument genutzt werden, mit dem wir nun eine CA, sowie von dieser CA signierte Zertifikate f\u00fcr unterschiedliche Zwecke ausstellen werden.<\/p>\n\n\n\n

Das PowerShell-Commandlet New-SelfSignedCertificate<\/code><\/strong> steht sowohl in der mit Windows 11 mitgelieferten PowerShell Version 5, als auch in der modernen PowerShell 7 zur Verf\u00fcgung.<\/p>\n\n\n\n

Die PowerShell-Code-Zeilen k\u00f6nnen grunds\u00e4tzlich inklusive der hervorgehobenen Kommentarzeilen direkt 1:1 in die PowerShell-Konsole kopiert werden um den Vorgang nachzuvollziehen.<\/p>\n\n\n\n

CA, Root-Zertifikat, Certificate Authority<\/h1>\n\n\n\n

Das CA-Zertifikat erzeugen wir uns mit folgenden PowerShell-Code-Zeilen:<\/p>\n\n\n

\n# Die TextExtension des CA-Zertifikats vorbereiten\n$BasicConstraintsCA = "2.5.29.19={critical}{text}CA=1" # Basic Constraints: CA = True\n$ExtendedKeyUsageCA = "2.5.29.37={text}"               # Extended Key Usage:\n$ExtendedKeyUsageCA += "1.3.6.1.5.5.7.3.1,"            # Server Authentication\n$ExtendedKeyUsageCA += "1.3.6.1.5.5.7.3.2,"            # Client Authentication\n$ExtendedKeyUsageCA += "1.3.6.1.5.5.7.3.3,"            # Code Signing\n$ExtendedKeyUsageCA += "1.3.6.1.5.5.7.3.4,"            # Secure Email (SMIME)\n$ExtendedKeyUsageCA += "1.3.6.1.5.5.7.3.8,"            # Timestamp Signing\n$ExtendedKeyUsageCA += "1.3.6.1.4.1.311.20.2.2"        # Smartcard Logon\n\n# Ein CA-Zertifikat erzeugen, im Windows CertStore des Benutzers ablegen\n$myCA = New-SelfSignedCertificate -Type Custom `\n  -Subject "CN=HITCo Certificate Authority - Demo-CA, OU=PKI, O=HITCo.at, C=AT" `\n  -KeyAlgorithm ECDSA_secp384r1 -HashAlgorithm SHA384 `\n  -TextExtension @( $BasicConstraintsCA, $ExtendedKeyUsageCA ) `\n  -KeyUsage CertSign, CRLSign, DigitalSignature `\n  -NotBefore "01.01.2026 12:00:00" -NotAfter "31.12.2040 12:00:00" `\n  -KeyExportPolicy Exportable -CertStoreLocation "Cert:\\CurrentUser\\My"\n\n# Das Zertifikat inkl. Private Key in ein PFX = P12\/PKCS12 File sichern\n$myPassword = ConvertTo-SecureString -String 'myPassword' -Force -AsPlainText\n$MyCaPfxFile = $MyCA | Export-PfxCertificate -FilePath C:\\Temp\\MyCA.pfx -Password $myPassword\n\n# Das Zertifikat (ohne Private Key) in eine CRT-Datei exportieren\n$myCAfile = $MyCA | Export-Certificate -FilePath C:\\Temp\\MyCA.crt -Type CERT\n<\/pre><\/div>\n\n\n
Abweichend von den von mir hier zusammengestellten Code-Zeilen ist f\u00fcr den jeweiligen konkreten Bedarf anzupassen: Die Subject-Strings und eventuell der G\u00fcltigkeitszeitraum.<\/p>\n\n\n\n
Ich habe einen modernen ECDSA Algorithmus mit NIST P-384 Elliptic Curve gew\u00e4hlt. Wer lieber traditionell mit RSA arbeitet, kann die Parameter entsprechend anpassen.<\/p>\n\n\n\n
Der relevante Teil diese Code-Zeilen liegt in der Zusammenstellung der BasicConstraints (das Zertifikat muss mit „CA = true“ ausgestellt werden), sowie in der Zusammenstellung der passenden Extended Key Usages, f\u00fcr welche das CA-Zertifikat sich anschlie\u00dfend eignen soll. Die meisten OIDs k\u00f6nnen der Microsoft Dokumentation<\/a> entnommen werden, fehlendes l\u00e4sst sich mit Recherche rasch ermitteln. Meine Zusammenstellung d\u00fcrfte f\u00fcr die allermeisten UseCases (jedenfalls aber f\u00fcr die von mir hier nachfolgend skizzierten) geeignet sein.   <\/p>\n\n\n\n
Das exportierte MyCA.pfx enth\u00e4lt auch den Private-Key und dient als Backup der CA. Dieses gemeinsam mit dem f\u00fcr den Export gew\u00e4hlten Passwort sicher verwahren.<\/p>\n\n\n\n
F\u00fcr die Verteilung der CA dient die exportierte CRT-Datei des Zertifikats (ohne PrivateKey). Diese CRT-Datei kann nun auf allen Ger\u00e4ten auf denen diese getrustet werden soll importiert werden. Das erfolgt z.B. wie folgt: Entweder als Administrator in den Maschinen-Zertifikats-Store, oder als Benutzer in den User-Zertifikats-Store:<\/p>\n\n\n
\n# a) CA tusten: Als Administrator in den Maschinen Store Vertrauensw\u00fcrdige Stammzertifikate importieren:\nImport-Certificate -FilePath "C:\\Temp\\MyCA.crt" -CertStoreLocation 'Cert:\\LocalMachine\\Root\\'\n\n# b) CA trusten: Alternativ als Benutzer (ohne Administrator-Rechte) in den User-Store:\nImport-Certificate -FilePath "C:\\Temp\\MyCA.crt" -CertStoreLocation 'Cert:\\CurrentUser\\Root\\'\n<\/pre><\/div>\n\n\n
Sichtpr\u00fcfung des Root-CA-Zertifikats<\/h3>\n\n\n\n
Noch eine Sichtpr\u00fcfung mittels Windows-Zertifikatsverwaltung:<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
Sowie noch eine optionale Sichtpr\u00fcfung mittels OpenSSL:<\/p>\n\n\n
\n# Sichtpr\u00fcfung mit OpenSSL\nopenssl x509 -in "C:\\Temp\\MyCA.crt" -noout -text >"C:\\Temp\\MyCA.txt"\n\ntype "C:\\Temp\\MyCA.txt"\n...\n        Signature Algorithm: ecdsa-with-SHA384\n...\n        Validity\n            Not Before: Jan  1 10:00:00 2026 GMT\n            Not After : Dec 31 10:00:00 2040 GMT\n        Subject: C=AT, O=HITCo.at, OU=PKI, CN=HITCo Certificate Authority - Demo-CA\n...\n        X509v3 extensions:\n            X509v3 Key Usage: critical\n                Digital Signature, Certificate Sign, CRL Sign\n            X509v3 Basic Constraints: critical\n                CA:TRUE\n            X509v3 Extended Key Usage:\n                TLS Web Server Authentication, TLS Web Client Authentication, \n                Code Signing, E-mail Protection, Time Stamping, Microsoft Smartcard Login\n...\n<\/pre><\/div>\n\n\n
Wir haben somit ein modernes CA-Root-Zertifikat (Basic Constraints: CA = True) mit 14 Jahren G\u00fcltigkeit erstellt, welches sich in Folge zur Ausstellung all unserer angedachten Zertifikats-Verwendungszwecke eignet.<\/p>\n\n\n\n
Code-Signing-Zertifikat<\/h1>\n\n\n\n
Wir stellen uns nun aus der soeben generierten Root-CA ein Authenticode-Signing-Zertifikat aus. Dieses dient der Signatur von Executables, Makro-Code, PowerShell-Scripts, Catalog-Files, u.v.m<\/p>\n\n\n
\n# Das CA-Zertifikat f\u00fcr die Erstellung lokalisieren\n$caSubject = "*HITCo Certificate Authority - Demo-CA*"\n$caCert = Get-ChildItem -Path "Cert:\\CurrentUser\\My" | Where-Object { $_.Subject -like $caSubject } | Select-Object -First 1\n\n# Die TextExtension des Code-Signing-Zertifikats vorbereiten\n$BasicConstraints = "2.5.29.19={critical}{text}CA=0" # Basic Constraints: CA = false (Leaf-Certificate)\n$ExtendedKeyUsageCodeSigning =  "2.5.29.37={text}"   # Extended Key Usage:\n$ExtendedKeyUsageCodeSigning += "1.3.6.1.5.5.7.3.3"  # Code Signing\n\n# Zertifikat erstellen, mittels "Signer" w\u00e4hlt man das CA-Zertifikat, sodass es sich nicht um ein SelfSignedCertificate handelt\n$myCodeSigningCert = New-SelfSignedCertificate -Type Custom `\n  -Subject "CN=HITCo Demo-Authenticode-Signer, OU=Dev-Department, O=HITCo.at, C=AT" `\n  -Signer $caCert -KeyAlgorithm ECDSA_secp384r1 -HashAlgorithm SHA384 `\n  -TextExtension @( $BasicConstraints, $ExtendedKeyUsageCodeSigning ) `\n  -KeyUsage DigitalSignature `\n  -NotBefore "01.01.2026 12:00:00" -NotAfter  "31.12.2035 12:00:00" `\n  -KeyExportPolicy Exportable -CertStoreLocation "Cert:\\CurrentUser\\My"\n\n# Das Zertifikat inkl. Private Key in ein PFX = P12\/PKCS12 File sichern\n$myPassword = ConvertTo-SecureString -String 'myPassword' -Force -AsPlainText\n$myCertPFXfile = $myCodeSigningCert | Export-PfxCertificate -FilePath C:\\Temp\\MyCodeSigningCert.pfx -Password $myPassword\n\n# Das Zertifikat (ohne Private Key) in eine CRT-Datei exportieren\n$myCertfile = $myCodeSigningCert | Export-Certificate -FilePath C:\\Temp\\MyCodeSigningCert.crt -Type CERT\n\n# Das Zertifikat eventuell als Trusted Publisher = Vertrauensw\u00fcrdiger Herausgeber im Machine Store hinterlegen \nImport-Certificate -FilePath "C:\\Temp\\MyCodeSigningCert.crt" -CertStoreLocation 'Cert:\\LocalMachine\\TrustedPublisher\\'\n<\/pre><\/div>\n\n\n
Abweichend von den von mir hier zusammengestellten Code-Zeilen ist f\u00fcr den jeweiligen konkreten Bedarf anzupassen: Der Name des CA-Zertifikats, das zur Ausstellung verwendet werden soll, sowie das Subject des zu erstellenden Code-Signing-Zertifikats.<\/p>\n\n\n\n
Der Import des Code-Signing-Zertifikats in den Trusted Publisher Store der Maschine ist unter Windows nur in bestimmten Szenarien n\u00f6tig. F\u00fcr das signieren von EXE-, DLL-, PowerShell- & Catalog-Files, etc … ist das in der Regel nicht erforderlich. Um aber zum Beispiel das Zertifikat zum Trusten f\u00fcr AppLocker-Policies zu verwenden, oder Treiber damit zu signieren ist dieser Schritt (optional) durchzuf\u00fchren.<\/p>\n\n\n\n
Werfen wir einen Blick auf dieses Zertifikat, Sichtpr\u00fcfung:<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
TLS-WebServer Zertifikat mit Wildcard *.hitco.at<\/h1>\n\n\n\n
Nun stellen wir uns ein TLS-WebServer-Zertifikat mitWildcard-Subject-Alternative-Name aus.<\/p>\n\n\n
\n# Das CA-Zertifikat f\u00fcr die Erstellung lokalisieren\n$caSubject = "*HITCo Certificate Authority - Demo-CA*"\n$caCert = Get-ChildItem -Path "Cert:\\CurrentUser\\My" | Where-Object { $_.Subject -like $caSubject } | Select-Object -First 1\n\n# Die TextExtension des TLS-WebServer-Zertifikats vorbereiten\n$BasicConstraints = "2.5.29.19={critical}{text}CA=0" # Basic Constraints: CA = false (Leaf-Certificate)\n$ExtendedKeyUsageTLS =  "2.5.29.37={text}"           # Extended Key Usage:\n$ExtendedKeyUsageTLS += "1.3.6.1.5.5.7.3.1,"         # Server Authentication\n\n# Zertifikat erstellen, mittels "Signer" w\u00e4hlt man das CA-Zertifikat, sodass es sich nicht um ein SelfSignedCertificate handelt\n$myServerCert = New-SelfSignedCertificate -Type Custom `\n  -Subject "CN=HITCo.at WebServer, OU=Server-Department, O=HITCo.at, C=AT" `\n  -DnsName "hitco.at", "*.hitco.at" `\n  -Signer $caCert -KeyAlgorithm ECDSA_secp384r1 -HashAlgorithm SHA384 `\n  -TextExtension @( $BasicConstraints, $ExtendedKeyUsageTLS ) `\n  -KeyUsage DigitalSignature, KeyEncipherment `\n  -NotBefore "01.01.2026 12:00:00" -NotAfter  "31.12.2035 12:00:00" `\n  -KeyExportPolicy Exportable -CertStoreLocation "Cert:\\CurrentUser\\My"\n\n# Das Zertifikat inkl. Private Key in ein PFX = P12\/PKCS12 File sichern\n$myPassword = ConvertTo-SecureString -String 'myPassword' -Force -AsPlainText\n$myCertPFXfile = $myServerCert | Export-PfxCertificate -FilePath "C:\\Temp\\MyServerCert.pfx" -Password $myPassword\n\n# Das Zertifikat (ohne Private Key) in eine CRT-Datei exportieren\n$myCertfile = $myServerCert | Export-Certificate -FilePath "C:\\Temp\\MyServerCert.crt" -Type CERT\n<\/pre><\/div>\n\n\n
Abweichend von den von mir hier zusammengestellten Code-Zeilen ist f\u00fcr den jeweiligen konkreten Bedarf anzupassen: Der Name des CA-Zertifikats, das zur Ausstellung verwendet werden soll, sowie das Subject des neuen TLS-WebServer-Zertifikats und die Liste der Subject-Alternative-Names (DNSName).<\/p>\n\n\n\n
Werfen wir einen Blick auf dieses Zertifikat, Sichtpr\u00fcfung:<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
Benutzer-Zertifikat f\u00fcr E-Mail-Signatur\/Verschl\u00fcsselung, TLS-Client-Authentifizierung, Smartcard-Anmeldung<\/h1>\n\n\n\n
Nun widmen wir uns der Ausstellung eines Benutzer-Zertifikats, welches sich nicht nur f\u00fcr die S\/MIME Verschl\u00fcsselung und Signatur von E-Mails nutzen lassen soll, sondern auch zur TLS-Client-Authentifizierung gegen\u00fcber WebServern und zur Smartcard-Anmeldung z.B. an ein Windows-System verwendet werden kann.<\/p>\n\n\n
\n# Das CA-Zertifikat f\u00fcr die Erstellung lokalisieren\n$caSubject = "*HITCo Certificate Authority - Demo-CA*"\n$caCert = Get-ChildItem -Path "Cert:\\CurrentUser\\My" | Where-Object { $_.Subject -like $caSubject } | Select-Object -First 1\n\n# Die TextExtension des Benutzer-Zertifikats vorbereiten\n$BasicConstraints = "2.5.29.19={critical}{text}CA=0" # Basic Constraints: CA = false (Leaf-Certificate)\n$ExtendedKeyUsageUser =  "2.5.29.37={text}"          # Extended Key Usage:\n$ExtendedKeyUsageUser += "1.3.6.1.5.5.7.3.2,"        # Client Authentication\n$ExtendedKeyUsageUser += "1.3.6.1.5.5.7.3.4,"        # Secure Email (SMIME)\n$ExtendedKeyUsageUser += "1.3.6.1.4.1.311.20.2.2"    # Smartcard Logon\n$SubjectAltNamesUser  =  "2.5.29.17={text}"          # E-Mail-Addresses and UserPrincipalNames\n$SubjectAltNamesUser  += "email=max.mustermann@hitco.at&upn=max.mustermann@hitco.at"\n\n# Zertifikat erstellen, mittels "Signer" w\u00e4hlt man das CA-Zertifikat, sodass es sich nicht um ein SelfSignedCertificate handelt\n$myUserCert = New-SelfSignedCertificate -Type Custom `\n  -Subject "CN=Max Mustermann, OU=HR-Department, O=HITCo.at, C=AT" `\n  -Signer $caCert -KeyAlgorithm ECDSA_secp384r1 -HashAlgorithm SHA384 `\n  -TextExtension @( $BasicConstraints, $ExtendedKeyUsageUser, $SubjectAltNamesUser ) `\n  -KeyUsage DigitalSignature, KeyEncipherment, DataEncipherment `\n  -NotBefore "01.01.2026 12:00:00" -NotAfter  "31.12.2035 12:00:00" `\n  -KeyExportPolicy Exportable -CertStoreLocation "Cert:\\CurrentUser\\My"\n\n# Das Zertifikat inkl. Private Key in ein PFX = P12\/PKCS12 File sichern\n$myPassword = ConvertTo-SecureString -String 'myPassword' -Force -AsPlainText\n$myCertPFXfile = $myUserCert | Export-PfxCertificate -FilePath "C:\\Temp\\MyUserCert.pfx" -Password $myPassword\n\n# Das Zertifikat (ohne Private Key) in eine CRT-Datei exportieren\n$myCertfile = $myUserCert | Export-Certificate -FilePath "C:\\Temp\\MyUserCert.crt" -Type CERT\n<\/pre><\/div>\n\n\n
Abweichend von den von mir hier zusammengestellten Code-Zeilen ist f\u00fcr den jeweiligen konkreten Bedarf anzupassen: Der Name des CA-Zertifikats, das zur Ausstellung verwendet werden soll, das Subject des neuen Benutzer-Zertifikats und die Liste der Subject-Alternative-Names (E-Mail-Adressen und eventuell der User-Principal-Name zur Dom\u00e4nen-Anmeldung).<\/p>\n\n\n\n
Werfen wir einen Blick auf dieses Zertifikat, Sichtpr\u00fcfung:<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
Test mit Thunderbird<\/h2>\n\n\n\n
Und noch ein abschlie\u00dfender Test der Nutzung des S\/MIME-Zertifikats mittels Thunderbird. Gepr\u00fcft wurde E-Mail-Verschl\u00fcsselung und Signatur. Hierzu muss zuerst das CA-Zertifikat in Thunderbird importiert und f\u00fcr den Verwendungszweck getrustet werden:<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n\n\n\n
Anschlie\u00dfend kann das Benutzer-Zertifikat (PFX-Datei) in Thunderbird importiert, konfiguriert und benutzt werden. Das Resultat f\u00e4llt positiv aus:<\/p>\n\n\n\n
\"\"<\/a><\/figure>\n","protected":false},"excerpt":{"rendered":"
R\u00fcckblick: Vor ein paar Jahren habe ich unter S\/MIME-Zertifikate mittels klickfertiger OpenSSL-CA selbst erstellen erl\u00e4utert, wie mittels ein paar Scripts basierend auf OpenSSL eine Certificate Authority (CA) instanziiert und zur Zertifikatsausstellung genutzt wird. Mit diesem Blog-Post hier demonstriere ich, wie unter Verwendung von Windows 11 Bordmitteln (Powershell, es wird kein OpenSSL ben\u00f6tigt) eine CA erstellt und daraus Code-Signing-Zertifikate, Webserver-Zertifikate, Benutzer-Zertifikate… <\/p>\n","protected":false},"author":1,"featured_media":2732,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"ngg_post_thumbnail":0,"footnotes":""},"categories":[3,4,5,23],"tags":[634,503,630,502,217,500,640,499,632,633,173],"class_list":["post-2723","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it","category-security","category-smartcards","category-windows","tag-authenticode-signing","tag-ca","tag-certificate-authority","tag-openssl","tag-powershell","tag-s-mime","tag-smartcard-zertifikat","tag-smime","tag-tls-client-authentication","tag-wildcard-zertifikate","tag-windows"],"_links":{"self":[{"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/posts\/2723","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/comments?post=2723"}],"version-history":[{"count":39,"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/posts\/2723\/revisions"}],"predecessor-version":[{"id":2792,"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/posts\/2723\/revisions\/2792"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/media\/2732"}],"wp:attachment":[{"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/media?parent=2723"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/categories?post=2723"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/tags?post=2723"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}