Was ist das PEM-Dateiformat?
Die PEM-Dateiendung wird von Zertifikatsdateien verwendet, um kryptografische Schlüssel, Zertifikate und andere Datentypen zu speichern und zu übertragen. PEM-Dateien sind Base64-kodiert und speichern Daten im ASCII-Textformat - jeder Block ist von erkennbaren Kopf- und Fußzeilen wie -----BEGIN CERTIFICATE----- und -----END CERTIFICATE----- umschlossen.
Base64-kodierte PEM-Zertifikatsdateien werden häufig auf Internetservern eingesetzt, da sie sich mit jedem Standard-Texteditor einfach einsehen lassen. PEM-Dateien dienen der Authentifizierung vertrauenswürdiger Websites und sind das Standardformat auf Unix-basierten Webservern wie Apache und Nginx. Eine einzelne .pem-Datei kann mehrere Blöcke bündeln - etwa ein Serverzertifikat, Zwischenzertifikate und einen privaten Schlüssel - alles in einer Datei. PEM wird auch häufig für SSH-Schlüsselpaare und TLS/HTTPS-Konfigurationen verwendet.
PEM-Zertifikate nutzen einen digital signierten öffentlichen Schlüssel zur Sicherheit. Der Authentifizierungsprozess verwendet den öffentlichen Schlüssel, um den Inhaber des Schlüssels zu identifizieren und zu bestätigen, dass er derjenige ist, der er vorgibt zu sein. Private Schlüssel in .pem-Dateien können optional mit einer Passphrase für zusätzliche Sicherheit geschützt werden.
Ursprünglich für Privacy-Enhanced Mail in den frühen 1990er-Jahren entwickelt, wurde die PEM-Kodierung 2015 als IETF-Standard in RFC 7468 formalisiert. Sie bleibt das am weitesten verbreitete Containerformat für X.509-Zertifikate und kryptografische Schlüssel. Verwandte Binärformate sind .DER- und PKCS#12-Dateien; .crt- und .key-Dateien sind oft einfach umbenannte .pem-Dateien, die jeweils ein Zertifikat oder einen Schlüssel enthalten.
- PEM-Dateien werden von OpenSSL und den meisten TLS/SSL-Toolkits unterstützt.
- Öffnet man eine
.pem-Datei in einem Texteditor, sind die markierten-----BEGIN------ und-----END------Kopf- und Fußzeilen klar erkennbar. - Eine einzelne
.pem-Datei kann verschiedene Objekttypen enthalten:CERTIFICATE,PRIVATE KEY,RSA PRIVATE KEY,PUBLIC KEY,CERTIFICATE REQUESTund andere.
Sicherheit
RISIKO: HIGHDie Gefahr bei .pem liegt im Fall des PRIVATE KEY. Eine .pem-Datei, die „-----BEGIN PRIVATE KEY-----“ (oder RSA/EC PRIVATE KEY) enthält, ist ein Geheimnis: Wer sie besitzt, kann deinen Server imitieren, Datenverkehr entschlüsseln oder sich in deine Cloud-Instanz einloggen. Füge niemals eine .pem-Datei mit privatem Schlüssel in einen Online-„PEM-Viewer/Konverter“ ein oder versende sie per E-Mail; führe Konvertierungen lokal mit OpenSSL durch. Setze strikte Berechtigungen (SSH verweigert einen weltweit lesbaren Schlüssel - 'chmod 600 key.pem'). Eine .pem-Datei, die nur ein Zertifikat (öffentlich) enthält, ist sicher zum Teilen. Sei bei Online-Zertifikatskonvertern vorsichtig, wenn ein Schlüssel beteiligt ist. Die Dateien selbst sind unveränderlicher Text und können nicht ausgeführt werden.
Formatdetails
kurz gefasstProgramme zum Öffnen von PEM-Dateien
Windows3 apps
OpenSSL
Open Source Prüfen/Konvertieren über die Befehlszeile: 'openssl x509 -in cert.pem -text -noout' zum Lesen eines Zertifikats; 'openssl pkcs12 -export ...' zum Erstellen einer .pfx-Datei. Das zentrale Werkzeug für PEM.
Windows Certificate Manager (certmgr)
Integriert Doppelklick auf eine Zertifikat-.pem/.cer zum Anzeigen oder Import über certmgr.msc in den Zertifikatspeicher. (Bei einer .pem-Datei, die einen PRIVATE KEY enthält, kann Windows sie nicht sinnvoll „öffnen“ - zuerst in .pfx konvertieren.)
Notepad / any text editor
Open Source Als Text öffnen, um die „-----BEGIN ...-----“-Kopfzeile zu sehen und zu erkennen, ob es sich um ein Zertifikat oder einen Schlüssel handelt. Füge einen privaten Schlüssel nirgends ein, dem du nicht vertraust. 
macOS2 apps
Keychain Access
Integriert Doppelklick auf eine Zertifikat-.pem und importieren, um sie anzuzeigen und als vertrauenswürdig zu markieren. Bei einer .pem-Datei mit privatem Schlüssel diesen in den Schlüsselbund importieren oder bei Bedarf mit OpenSSL konvertieren.
OpenSSL / LibreSSL
Open Source Im Terminal prüfen ('openssl x509 -in cert.pem -noout -text') oder in andere Formate konvertieren. Auf macOS vorinstalliert (LibreSSL). 
Linux2 apps
OpenSSL
Open Source Prüfen/Konvertieren über die Befehlszeile: 'openssl x509 -in cert.pem -text -noout' zum Lesen eines Zertifikats; 'openssl pkcs12 -export ...' zum Erstellen einer .pfx-Datei. Das zentrale Werkzeug für PEM.
ssh / web servers (use it)
Open Source SSH-Schlüssel: 'chmod 600 key.pem', dann 'ssh -i key.pem user@host'. Server: Die .pem in Apache (SSLCertificateFile) oder Nginx (ssl_certificate) referenzieren. Technische Details
technische Spezifikation| Kodierung | Base64-kodierte DER-Daten, eingebettet in ASCII-Kopf- und Fußzeilen |
| Dateistruktur | Ein oder mehrere PEM-Blöcke, jeweils begrenzt durch `-----BEGIN <type>-----`- und `-----END <type>-----`-Zeilen |
| Zugrunde liegendes Binärformat | DER (Distinguished Encoding Rules), ein binäres ASN.1-Serialisierungsformat |
| MIME-Typ | `application/x-pem-file` |
| Unterstützte Objekttypen | `CERTIFICATE`, `PRIVATE KEY`, `RSA PRIVATE KEY`, `PUBLIC KEY`, `CERTIFICATE REQUEST` |
| Zeilenlängenkonvention | Base64-Daten gemäß RFC 7468 bei 64 Zeichen pro Zeile umgebrochen |
| Mehrfachobjekt-Unterstützung | Eine einzelne `.pem`-Datei kann mehrere PEM-Blöcke verketten, z. B. eine vollständige Zertifikatskette plus privaten Schlüssel |
| Übliche alternative Erweiterungen | `.crt`, `.cer`, `.key`, `.ca-bundle` - gleiches PEM-Format, unterschiedliche Benennungskonventionen nach Verwendungszweck |
| Schutz privater Schlüssel | Schlüsselblöcke können mit einer Passphrase über PKCS#8 oder Legacy-PEM-Verschlüsselungsheader geschützt werden |
| Primäre Anwendungsfälle | TLS/HTTPS-Serverzertifikate, SSH-Schlüsselpaare, CA-Zertifikatsbündel, Code-Signing-Zertifikate |
| Interoperabilität | Konvertierbar in binäres `.der` mit `openssl x509 -outform DER`; PKCS#12-Dateien (`.p12`) können in PEM exportiert werden |
| Zeichensatz | Nur US-ASCII - Base64-Alphabet (A-Z, a-z, 0-9, +, /) plus Kopf-/Fußzeilen-Bindestriche und Typbezeichnungen |
| Zeilenende-Behandlung | RFC 7468 schreibt LF (\n) als Zeilenende vor; viele Tools akzeptieren aus Kompatibilitätsgründen auch CRLF |
| Kopf-/Fußzeilen-Syntax | Fünf Bindestriche, `BEGIN` oder `END`, ein Leerzeichen, die Objekttyp-Bezeichnung, fünf Bindestriche - z. B. `-----BEGIN CERTIFICATE-----` |
| Veröffentlicht | PEM email RFCs 1421-1424 (1993); the encoding lives on as the textual format, codified in RFC 7468 (2015) |
| Offener Standard | Ja · lizenzgebührenfrei |
| Spezifikation | www.rfc-editor.org |
PEM-Konvertierungen
Community Q&A
von Nutzern gefragtNoch keine Fragen - stellen Sie die erste Frage zu PEM-Dateien.
