Was ist das PFX-Dateiformat?
.pfx-Dateien sind mit dem PKCS #12-Kryptographiestandard verbunden, der ursprünglich von RSA Laboratories entwickelt wurde und nun durch RFC 7292 geregelt wird.
Dateien mit der .pfx-Erweiterung speichern verschlüsselte und digital signierte kryptographische Objekte in einem binären DER-codierten Container. Jede .pfx-Datei ist in sogenannte SafeBags unterteilt, die ebenfalls unabhängig verschlüsselt und signiert werden können. Der PKCS #12-Standard unterteilt SafeBags weiter in Typen zum Speichern privater Schlüssel, X.509-Zertifikate, Zertifikatsketten und anderer Sicherheitsdaten.
.pfx wird am häufigsten verwendet, um einen privaten Schlüssel zusammen mit der passenden Zertifikatskette in einer einzigen kennwortgeschützten Datei zu bündeln. Typische Anwendungsfälle sind der Export von TLS/SSL-Zertifikaten zwischen Servern, die Verteilung von Code-Signing-Identitäten und die Übertragung von S/MIME-Zugangsdaten zwischen Geräten.
.pfx und .p12 sind funktional identisch - Windows-Tools verwenden .pfx, während macOS und Linux .p12 bevorzugen. Beide können mit dem Befehl openssl pkcs12 in das .pem-Textformat konvertiert werden. Im Gegensatz zu eigenständigen .cer-Zertifikaten enthält eine .pfx-Datei den privaten Schlüssel zusammen mit dem Zertifikat und ist daher das bevorzugte Format, wenn der Schlüssel das Zertifikat begleiten muss.
Sicherheit
RISIKO: HIGHEine PFX enthält einen PRIVATEN SCHLÜSSEL und gehört damit zu den sensibelsten Dateitypen: Wer die Datei und das Kennwort hat, kann die Identität des Zertifikatsinhabers annehmen - Code oder Dokumente in dessen Namen signieren oder einen Server mit dessen TLS-Identität betreiben. Senden Sie eine PFX niemals ungeschützt per E-Mail, committen Sie sie nicht in die Versionsverwaltung, verwenden Sie ein starkes Exportkennwort und speichern Sie sie sicher (idealerweise nach dem Import löschen). Behandeln Sie unerwartete .pfx-Anhänge als verdächtig. Erstellen oder verarbeiten Sie PFX-Dateien nur mit vertrauenswürdigen Tools (Betriebssystem-Assistenten, OpenSSL) - nicht auf zufälligen Zertifikat-Viewer-Websites, die Schlüssel und Kennwort abgreifen könnten.
Formatdetails
kurz gefasstVOLLSTÄNDIGER NAMEPKCS #12 Personal Information Exchange File
ENTWICKLERRSA Laboratories (PKCS #12 standard); now IETF RFC 7292seit PKCS #12 v1.0 published 1999 by RSA; Microsoft .pfx predates and feeds into it
KATEGORIEBetriebssystemdateien
MIME TYPEapplication/x-pkcs12
TYPVerschlüsseltes, kennwortgeschütztes Schlüssel-und-Zertifikat-Paket (binär, DER/PKCS#12)
STANDARDOffen · lizenzfrei
MAGIC BYTES · DATEISIGNATUR
OFFSET
0001
HEX
3082
ASCII
0·
Beginnt mit dem DER-Tag 30 82 xx xx (eine ASN.1 SEQUENCE mit 2-Byte-Länge) - dasselbe generische Präfix wie viele andere DER-codierte Kryptoobjekte, daher nicht eindeutig für PFX. Der Inhalt ist eine PKCS#12-Struktur; Identifikation durch Erweiterung/Kontext, nicht durch die ersten Bytes allein.
Programme zum Öffnen von PFX-Dateien
Windows4 apps
OpenSSL
Open Source Extrahieren oder konvertieren: 'openssl pkcs12 -in file.pfx -out out.pem -nodes' (Kennwort wird abgefragt).
Windows Certificate Import Wizard (built-in)
Integriert Doppelklicken Sie auf die .pfx → der Zertifikatimport-Assistent öffnet sich; geben Sie das Kennwort ein und wählen Sie den Speicher (Persönlich/Aktueller Benutzer oder Lokaler Computer).
certutil / PowerShell (built-in)
Integriert Prüfen/importieren über die Shell: 'certutil -dump file.pfx' oder in PowerShell 'Get-PfxData -FilePath file.pfx' / 'Import-PfxCertificate'.
Adobe Acrobat (as a digital ID, not a viewer)
Freemium Bearbeiten/Einstellungen → Unterschriften → Identitäten und vertrauenswürdige Zertifikate → .pfx als digitale ID für die PDF-Signierung hinzufügen. Zeigt die Datei nicht als Dokument an. 
macOS2 apps
OpenSSL
Open Source Extrahieren oder konvertieren: 'openssl pkcs12 -in file.pfx -out out.pem -nodes' (Kennwort wird abgefragt).
Keychain Access (built-in)
Integriert Doppelklicken Sie auf die .pfx → sie wird in den Schlüsselbund importiert (Dateikennwort eingeben); die Identität steht dann Apps zur Verfügung. 
Linux2 apps
OpenSSL
Open Source Extrahieren oder konvertieren: 'openssl pkcs12 -in file.pfx -out out.pem -nodes' (Kennwort wird abgefragt).
GNOME Keyring / Seahorse
Open Source Importieren Sie die .pfx/.p12 in die App Passwörter und Schlüssel (Seahorse), um Zertifikat und Schlüssel zu speichern. Technische Details
technische Spezifikation| Container-Kodierung | Binäres DER (Distinguished Encoding Rules) über ASN.1; die Datei ist ohne dedizierten Parser nicht lesbar |
| MIME-Typ | application/x-pkcs12 |
| Magic-Bytes | 30 82 bei Offset 0 (ASN.1 DER SEQUENCE mit 2-Byte-Länge); mit anderen DER-codierten Formaten geteilt - Identifikation durch Erweiterung oder MIME-Typ, nicht durch Bytes allein |
| Interne Struktur | Verschachtelte Ebenen: PFX → AuthenticatedSafe → SafeContents → SafeBags; jede SafeBag enthält ein typisiertes kryptographisches Objekt |
| SafeBag-Typen | KeyBag, PKCS8ShroudedKeyBag, CertBag, CRLBag, SecretBag, SafeContents - die sechs offiziellen SafeBag-Typen gemäß RFC 7292 |
| Kennwortschutz | Gesamtarchiv und einzelne SafeBags können jeweils unabhängig per passwortbasierter Verschlüsselung geschützt werden |
| Verschlüsselungsalgorithmen | AES-256-CBC und 3DES-CBC für moderne Implementierungen; RC2 und RC4 in Legacy-Dateien (veraltet - beim Erstellen neuer Archive vermeiden) |
| MAC-Integrität | Ein HMAC (SHA-1 in Legacy; SHA-256 oder SHA-384 in modernen Implementierungen) schützt die AuthenticatedSafe-Struktur vor Manipulation |
| Schlüsselableitung | PBKDF1 (RFC 7292 Anhang B) oder PBKDF2 mit konfigurierbarer Iterationszahl schützt die passwortbasierte Verschlüsselung gegen Brute-Force-Angriffe |
| Windows- vs. IETF-Bezeichnung | .pfx ist die ursprünglich von Microsoft geprägte Endung; .p12 der IETF-Standardname; beide sind byte-identisch und vollständig austauschbar |
| Mehrobjekt-Speicherung | Eine einzige .pfx kann mehrere Zertifikate und Schlüssel enthalten - z. B. eine vollständige Kette aus Blatt-, Zwischen- und Stammzertifikat plus privatem Schlüssel |
| Gängige CLI-Konvertierung | openssl pkcs12 -in file.pfx -out file.pem -nodes extrahiert als PEM-Text; openssl pkcs12 -export -out file.pfx bündelt PEM-Eingaben in ein neues Archiv |
| Plattformunterstützung | Nativ auf Windows (Zertifikatimport-Assistent, certutil, PowerShell), macOS (Schlüsselbund), iOS, Android, Java (keytool) und den meisten TLS-Bibliotheken |
| Typische Anwendungsfälle | Bereitstellen von TLS/SSL-Serverzertifikaten, Code-Signing-Identitäten, S/MIME-E-Mail-Schlüsseln, VPN-Client-Zugangsdaten und Smart-Card-Provisionierung |
| Veröffentlicht | PKCS #12 v1.0 published 1999 by RSA; Microsoft .pfx predates and feeds into it |
| Offener Standard | Ja · lizenzgebührenfrei |
| Spezifikation | www.rfc-editor.org |
PFX-Konvertierungen
Möglich
.PFX .CRTANLEITUNG
Ja - extrahieren Sie das öffentliche Zertifikat aus einer PFX-Datei mit einem OpenSSL-Befehl oder dem…
So konvertieren Sie
.PFX .P12ANLEITUNG
Ja - in den meisten Fällen benennen Sie die Datei einfach von .pfx in .p12 um; beide sind das gleiche binäre…
So konvertieren Sie
.PFX .CERANLEITUNG
Ja - extrahieren Sie das öffentliche Zertifikat aus Ihrer PFX-Datei mit einem OpenSSL-Befehl oder über den…
So konvertieren Sie
.PFX .PEMANLEITUNG
Ja - OpenSSL konvertiert ein PFX unter Windows, macOS und Linux mit einem Befehl in PEM.
So konvertieren Sie
.PFX .KEYANLEITUNG
Ja - extrahieren Sie den privaten Schlüssel aus einer PFX-Datei mit OpenSSL: openssl pkcs12 -in file.pfx…
So konvertieren Sie
.PFX .JKSANLEITUNG
Ja - der Standardweg ist das integrierte keytool-Dienstprogramm von Java: ein Befehl unter Windows, macOS…
So konvertieren Sie
Nicht möglich
Community Q&A
von Nutzern gefragt
M
Häufig gestellte Fragen
Was ist eine PFX-Datei?
Ein verschlüsseltes, kennwortgeschütztes Paket (PKCS #12 / .p12-Format), das ein digitales Zertifikat plus seinen privaten Schlüssel enthält - verwendet für TLS-Zertifikate, Code-Signing, Client-Authentifizierung und Dokumentensignierung.
Wie öffne ich eine PFX-Datei unter Windows?
Doppelklicken Sie, um den Zertifikatimport-Assistenten zu starten, geben Sie das Kennwort ein und wählen Sie einen Zertifikatspeicher. Zum Prüfen verwenden Sie 'certutil -dump file.pfx' oder OpenSSL - eine PFX wird nicht geöffnet, sondern importiert.
Was ist der Unterschied zwischen .pfx und .p12?
In der Praxis keiner - beide sind das PKCS #12-Format. .pfx ist Microsofts Bezeichnung, .p12 die allgemeinere. In der Regel können Sie eine einfach in die andere umbenennen.
Wie unterscheidet sich eine PFX von einem CER/CRT-Zertifikat?
Eine .cer/.crt enthält nur das öffentliche Zertifikat und ist unbedenklich weiterzugeben. Eine .pfx enthält auch den privaten Schlüssel, der geheim ist - sie kann die vollständige Identität wiederherstellen und muss daher geschützt werden.
Wie extrahiere ich Zertifikat und Schlüssel aus einer PFX für Apache/Nginx?
Mit OpenSSL: 'openssl pkcs12 -in file.pfx -clcerts -nokeys -out cert.pem' für das Zertifikat und '... -nocerts -nodes -out key.pem' für den privaten Schlüssel.
Ich habe das PFX-Kennwort vergessen - kann ich die Datei trotzdem öffnen?
Nein. Der private Schlüssel ist mit diesem Kennwort verschlüsselt, eine legitime Wiederherstellung gibt es nicht. Sie müssen das Zertifikat erneut aus der Quelle exportieren oder ein neues ausstellen lassen.
Kann Adobe Acrobat eine PFX-Datei öffnen?
Acrobat kann eine PFX als digitale ID zum Signieren von PDFs importieren, öffnet sie aber nicht als sichtbares Dokument. Um das Zertifikat zu installieren, nutzen Sie den Windows-Zertifikatspeicher oder den macOS-Schlüsselbund.
Quellen
1IETF RFC 7292 - PKCS #12: Personal Information Exchange Syntax v1.1www.rfc-editor.org
2Microsoft Learn - Export/import certificates with private keys (PFX)learn.microsoft.com
