Persönliche IT-Hilfe. Bundesweit.
Cisco-VPN scheitert nach Zertifikatserneuerung: ClientAuth prüfen
Scheitert Cisco-VPN erst nach Erneuerung eines Clientzertifikats, prüfen Sie dessen zulässigen Verwendungszweck. Ein gültiges Serverzertifikat genügt dafür nicht automatisch.
Kostenfreie Ersteinschätzung · Persönliche Unterstützung
Bruttopreise · Zuschläge nach Absprache. Details zu den Preisen ↓
Alle Themen auf dieser Seite
Die geänderte Zertifikatsrolle bestimmen
Dieser Fall betrifft eine VPN-Anmeldung, bei der sich Benutzer oder Gerät mit einem Clientzertifikat am ASA- oder FTD-Gateway ausweisen. Er ist von einer Warnung über das Zertifikat des Servers zu unterscheiden. Notieren Sie, welches Zertifikat zuletzt erneuert oder neu verteilt wurde und wann die Anmeldung zuletzt funktionierte. Ein späteres Ablaufdatum allein bestätigt nicht, dass der neue Nachweis denselben Verwendungszweck wie sein Vorgänger besitzt. Ändern Sie nicht vorsorglich das Benutzerkennwort, wenn der Fehler zeitlich eindeutig mit der Zertifikatserneuerung zusammenfällt.
Extended Key Usage lesend prüfen
Lassen Sie sich von der zuständigen IT das betreffende öffentliche Zertifikat ohne privaten Schlüssel zur Prüfung bereitstellen. Unter Windows lässt sich eine CER-Datei durch Doppelklick anzeigen. Öffnen Sie Details und den Eintrag Erweiterte Schlüsselverwendung beziehungsweise Enhanced Key Usage. Für die betroffene Clientauthentifizierung ist Client Authentication mit der Kennung 1.3.6.1.5.5.7.3.2 relevant. Ein Eintrag ausschließlich für Server Authentication weist einen anderen Zweck aus. Importieren Sie die Datei für diese Sichtprüfung nicht ungefragt in einen Vertrauensspeicher und exportieren Sie keine privaten Schlüssel in Supportnachrichten.
Passenden Nachweis neu ausstellen lassen
Cisco beschreibt, dass erneuerte öffentliche TLS-Zertifikate den früher zusätzlich enthaltenen ClientAuth-Zweck verlieren können. Ob dies konkret zutrifft, muss am neuen Zertifikat geprüft werden; nicht jede Erneuerung ist betroffen. Die Administration muss dann ein für Clientauthentifizierung geeignetes Zertifikat aus einer vorgesehenen Zertifizierungsstelle ausstellen und verteilen. Eine Änderung des Dateinamens oder ein erneuter Import desselben ungeeigneten Zertifikats ergänzt keine Schlüsselverwendung. Testen Sie nach dem Austausch die reguläre Anmeldung und dokumentieren Sie den Unterschied. Bleibt der Fehler trotz korrektem Zweck, müssen Vertrauenskette, Gültigkeit und Auswahl im VPN-Profil gesondert geprüft werden.
KLARHEIT VOR DEM START
Erst sprechen.
Dann entscheiden.
Die Ersteinschätzung ist kostenfrei. Wir besprechen, was möglich ist und welcher Aufwand zu erwarten ist.
Anliegen besprechen →Weitere angefangene 10 Minuten: 8,90 €
Bruttopreise. Die Ersteinschätzung ist kostenfrei. Erste 30 Minuten: 29,00 €; jede weitere angefangene 10 Minuten: 8,90 €. Montag bis Donnerstag bis einschließlich 17:00 Uhr ohne Zeitzuschlag, danach einmalig 50,00 €. Freitag einmalig 50,00 €, Samstag 50,00 €, Sonntag 60,00 €. Danach gilt jeweils der normale Zeittarif. Tages- und Zeitzuschlag werden nicht addiert. Alle Beträge sind Bruttopreise. Vor-Ort-Konditionen stimmen wir gesondert ab.Weiterführende Herstellerhilfen
Hier finden Sie die technischen Grundlagen und ergänzende Anleitungen. Prüfen Sie, ob die beschriebene Programmversion zu Ihrem Gerät passt.
Quellen geprüft: 06.11.2026.
NOCH EINE FRAGE?
Gute Antworten.
Einfach erklärt.
Ihr Anliegen ist anders?
Wir hören erst einmal zu.
Ist jedes gültige HTTPS-Zertifikat als Clientzertifikat geeignet?
Nein. Die erlaubte Schlüsselverwendung und die Anforderungen der VPN-Anmeldung müssen zusammenpassen.
Kann ich ClientAuth selbst in der Datei ergänzen?
Nein. Die Zertifizierungsstelle muss ein korrekt ausgestelltes Zertifikat bereitstellen; nachträgliches Bearbeiten macht die Signatur ungültig.
PASSEND ZU IHREM ANLIEGEN
Hier geht es weiter.
Leistungen, Orte und Wissen – bewusst ausgewählt, übersichtlich verknüpft.
FUCHSIGER HILFT WEITER.
Sie müssen das nicht
allein lösen.
Persönliche Unterstützung. Verständlich erklärt.