Was ist PEM?

Veröffentlicht am 13. August 2026

← Alle Begriffe im Glossar Weiter zu P

Privacy-Enhanced Mail (PEM) ist ein Klartext-Kodierungsformat für kryptografische Objekte – X.509-Zertifikate, private Schlüssel, Zertifikatssignierungsanfragen und Zertifikatsketten –, das Base64-kodierte Daten zwischen -----BEGIN X----- und -----END X----- Trennzeilen. Obwohl PEM ursprünglich in den 1990er Jahren für die E-Mail-Sicherheit entwickelt wurde, ist es heute das nahezu universelle Containerformat für TLS-Zertifikate und -Schlüssel.

Die wichtigsten Erkenntnisse

  • PEM umschließt Base64-kodierte Zertifikats- oder Schlüsseldaten mit den Zeilen „BEGIN“ und „END“.
  • Benannt nach einem E-Mail-Verschlüsselungsstandard aus den 1990er Jahren, der heute fast ausschließlich für Zertifikate verwendet wird.
  • Dank des Klartextformats lassen sich PEM-Dateien leicht kopieren, einfügen und versionieren.
  • Versa Der Director und das VMS benötigen CA-Zertifikate und Schlüssel im PEM-Format.
  • PEM kodiert dieselben X.509-Daten, die im binären DER-Format als Bytes gespeichert sind.

Auf dieser Seite: Warum das wichtig istSo funktioniert esArtenPEM & VersaHäufig gestellte Fragen

Warum ist PEM wichtig?

Zertifikate und Schlüssel sind Binärdaten, doch die Systeme, über die sie übertragen werden – E-Mail-Anhänge (der ursprüngliche Anwendungsfall von PEM), Konfigurationsdateien, Kopieren und Einfügen in eine Konsole – sind für Binärinhalte nicht immer sicher. PEM kodiert diese Struktur als Base64-Text um, der durch lesbare Trennzeilen begrenzt wird, sodass ein Zertifikat oder Schlüssel den Transport über reine Textkanäle unbeschadet übersteht.

Diese Portabilität machte PEM zum Standard-Austauschformat im gesamten TLS- und PKI-Ökosystem, obwohl sich sein ursprünglicher Zweck – die E-Mail-Verschlüsselung gemäß dem IETF-Standard von 1993 – nie durchgesetzt hat. OpenSSL, Webserver, Browser und Netzwerkgeräte lesen und schreiben standardmäßig im PEM-Format. Es ist das Format, das beim Hochladen eines CA-Zertifikats auf eine Firewall oder bei der Konfiguration von gegenseitigem TLS zwischen Geräten erwartet wird, darunter „ Versa “-Director-, VMS- und VOS-Knoten.

Was ist PEM?

Eine PEM-Datei besteht aus einfachem ASCII-Text: einer Kopfzeile, einem Base64-kodierten Hauptteil, der auf 64 Zeichen pro Zeile umgebrochen ist, und einer entsprechenden Fußzeile – zum Beispiel -----BEGIN CERTIFICATE----- … -----END CERTIFICATE-----. Der Base64-Block ist die DER-Binärkodierung des Objekts, die durch das ASN.1-Schema für das jeweilige Objekt definiert ist: ein Zertifikat, einen Schlüssel, eine Signaturanforderung oder eine Sperrliste.

Der Name leitet sich von „Privacy Enhanced Mail“ ab, einem IETF-Standard, der 1993 als RFC 1421 bis RFC 1424 zur Verschlüsselung und Signierung von E-Mails im Internet veröffentlicht wurde. Dieser Standard wurde zwar durch S/MIME und PGP abgelöst, doch seine Textkodierung hat sich weiter durchgesetzt: RFC 7468 legte später dasselbe „Base64-mit-Trennzeichen“-Schema als Standardkodierung für X.509-, PKCS- und CMS-Strukturen fest – worauf sich „PEM“ heute bezieht.

Arten von PEM-Dateien

A .pem Die Dateiendung kann mehrere Objekttypen umfassen, die sich durch den Trenntext und nicht durch den Dateinamen unterscheiden.

Zertifikate Verwendung -----BEGIN CERTIFICATE-----; Eine Datei kann ein Zertifikat oder eine Kette aus End-, Zwischen- und Stammzertifikaten enthalten. Private Schlüssel Verwendung -----BEGIN RSA PRIVATE KEY----- (PKCS#1) oder -----BEGIN PRIVATE KEY----- (PKCS#8) und kann verschlüsselt werden. CSRs Verwendung -----BEGIN CERTIFICATE REQUEST----- und die an eine Zertifizierungsstelle zur Signierung gesendete Identität und den öffentlichen Schlüssel zu übermitteln. CRLs Verwendung -----BEGIN X509 CRL----- und die Zertifikate aufzulisten, die eine Zertifizierungsstelle widerrufen hat.

PEM sollte nicht mit PKCS#12 verwechselt werden (.pfx/.p12), ein binäres, passwortgeschütztes Bundle – bei PEM bleiben die Daten im Klartext und Zertifikate und Schlüssel werden getrennt gespeichert.

PEM & Versa

Versa Systeme benötigen an mehreren Stellen Zertifikate und Schlüssel im PEM-Format. VMS installieren und konfigurieren erzeugt einen vollständigen Zertifikatssatz – Stamm-CA, Zwischen-CA, Server und Client – als .pem Dateien; root-ca-cert.pem wird in das Verzeichnis „Files and Folders“ eines Director-Knotens hochgeladen, damit VOS-Geräte dem „ Versa Messaging Service“ (VMS) vertrauen, während server-cert.pem wird bei der Konfiguration des VMS-Konnektors für TLS in Director hochgeladen, wofür das PEM-Format erforderlich ist. Die Leitfaden zur Bereitstellung von VMS auf HA-Basis befasst sich mit der Erstellung und Validierung eben dieser Kette für einen hochverfügbaren VMS-Cluster.

PEM kommt auch bei Wartungsarbeiten zum Einsatz: Für das Upgrade von „ Versa “-Knoten auf Ubuntu 18.04 müssen alle UI-Zertifikate im PEM-Format ersetzt werden, und der Zugriff auf Public-Cloud-Knoten erfolgt über SSH mithilfe einer PEM-Schlüsseldatei.

Häufig gestellte Fragen

Wofür steht die Abkürzung PEM?

PEM steht für „Privacy-Enhanced Mail“, einen IETF-Standard aus dem Jahr 1993 (RFC 1421–1424) zur Verschlüsselung und Signierung von E-Mails im Internet. Der Standard fand zwar keine breite Anwendung, doch seine „Base64-mit-Trennzeichen“-Kodierung wurde für Zertifikate und Schlüssel wiederverwendet und ist das, worauf sich „PEM“ heute gemeinhin bezieht.

Worin unterscheidet sich eine PEM-Datei von einer DER-Datei?

Beide Formate kodieren dieselben zugrunde liegenden Daten – in der Regel ein Zertifikat oder einen Schlüssel –, doch DER ist ein rohes Binärformat, während PEM dieselben Daten in Base64-Kodierung enthält und zwischen -----BEGIN-----/-----END----- Zeilen. PEM ist textsicher; DER ist kompakter, lässt sich jedoch nicht als Text öffnen.

Kann eine PEM-Datei mehr als ein Zertifikat enthalten?

Ja. Eine PEM-Datei kann mehrere -----BEGIN CERTIFICATE-----/-----END CERTIFICATE----- Blöcke in einer bestimmten Reihenfolge, um eine vollständige Zertifikatskette zu bilden – in der Regel das Blattzertifikat des Servers, gefolgt von einem oder mehreren Zwischenzertifikaten und manchmal auch dem Stammzertifikat der Zertifizierungsstelle.

Ist ein PEM-Privatschlüssel immer verschlüsselt?

Nein. Ein PEM-Privatschlüssel kann unverschlüsselt gespeichert werden, sodass er für jeden lesbar ist, der die Datei öffnet, oder mithilfe von Headern wie beispielsweise Proc-Type: 4,ENCRYPTED oder die -----BEGIN ENCRYPTED PRIVATE KEY----- Format. Unverschlüsselte Schlüssel sollten restriktive Dateiberechtigungen haben.

Welche Dateiendungen werden für PEM-verschlüsselte Dateien verwendet?

.pem kommt am häufigsten vor, aber .crt, .cer (Zertifikate), .key (private Schlüssel) und .csr (Signaturanfragen) sind häufig ebenfalls PEM-kodiert. Die Dateiendung dient lediglich als Namenskonvention – wenn man die Datei öffnet und prüft, ob -----BEGIN-----/-----END----- Trennzeichen sind die zuverlässige Methode, um die Kodierung zu überprüfen.

Mehr zum Thema PEM

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

RFC 7468: Textuelle Kodierungen von PKIX-, PKCS- und CMS-Strukturen RFC 1421: Verbesserung des Datenschutzes bei elektronischer Post im Internet
Der aktuelle IETF-Standard, der die BEGIN/END- und Base64-Kodierung definiert, die für Zertifikate, Schlüssel und andere PKIX- und PKCS-Strukturen verwendet wird. Der Standard aus dem Jahr 1993, mit dem die BEGIN/END-Base64-Kodierung eingeführt wurde – als Teil eines E-Mail-Verschlüsselungsverfahrens, das später in der Praxis aufgegeben wurde.

Wenn Sie sich gerade über PEM informieren, sollten Sie sich als Nächstes diese Artikel ansehen.

Alternativer Name des Themas SD-WAN Weitverkehrsnetz
Eine Zertifikatserweiterung, in der die Hostnamen oder IP-Adressen aufgeführt sind, für die ein Zertifikat gültig ist – das Feld, das TLS-Clients anstelle des „Common Name“ überprüfen. Ein Netzwerkansatz, bei dem verschlüsselte Overlays über WAN-Verbindungen hinweg aufgebaut werden – Overlays, deren Sicherheit durch PEM-kodierte Zertifikate und Schlüssel gewährleistet wird. Die Breitband-, MPLS- oder drahtlosen Verbindungen, über die ein VOS-Gerät auf das Internet oder auf entfernte Standorte zugreift, werden häufig mit PEM-Zertifikaten gesichert.