Wie fügt man unter Windows 11 per Kommandozeile ein Zertifikat zu den vertrauenswürdigen Stammzertifizierungsstellen des aktuellen Benutzers hinzu?

**Ja: Unter Windows 11 geht das per Kommandozeile, am direktesten mit `certutil` oder PowerShell. Für den Store „Vertrauenswürdige Stammzertifizierungsstellen“ des aktuellen Benutzers ist entscheidend, dass du in den *CurrentUser*-Store importierst – nicht in *LocalMachine*.** ## Direkt per Kommandozeile Mit `certutil`: ```cmd certutil -user -addstore Root "C:\Pfad\dein-zertifikat.cer" ``` - `-user` = Store des aktuellen Benutzers - `Root` = „Vertrauenswürdige Stammzertifizierungsstellen“ - funktioniert typischerweise mit `.cer`, `.crt`, auch Base64/DER je nach Zertifikatformat Wenn es erfolgreich war, landet das Zertifikat in: `Zertifikate – Aktueller Benutzer > Vertrauenswürdige Stammzertifizierungsstellen > Zertifikate` ## PowerShell-Variante ```powershell Import-Certificate -FilePath "C:\Pfad\dein-zertifikat.cer" -CertStoreLocation "Cert:\CurrentUser\Root" ``` Das ist meist die sauberere Variante in Skripten, weil der Ziel-Store sehr eindeutig ist. Microsoft dokumentiert `Import-Certificate` für Zertifikatimporte in Zertifikatsspeicher und `certutil` als Standardwerkzeug für Zertifikatstores. citeturn0search0turn0search1 ## Wichtiger Unterschied `Root` ist **nur dann richtig**, wenn du wirklich ein **Stammzertifikat** importierst. Wenn du stattdessen ein normales Server-, Client- oder Zwischenzertifikat dort hineinlegst, erzeugst du unnötig Vertrauen. Genau das ist der häufigste Fehler. Zwischenzertifikate gehören in der Regel in `CA`, persönliche Zertifikate in `My`. Die Windows-Zertifikatsstores sind dafür getrennt vorgesehen. citeturn0search2turn0search3 ## Prüfen, ob es angekommen ist Mit `certutil`: ```cmd certutil -user -store Root ``` Oder gezielt in PowerShell: ```powershell Get-ChildItem Cert:\CurrentUser\Root ``` ## Wenn die Datei ein PFX ist Ein `.pfx` enthält meist privaten Schlüssel plus Zertifikat und gehört normalerweise **nicht** in `Root`. Für PFX-Import nutzt man andere Stores, meist `My`. Für Root-Import solltest du fast immer ein einzelnes Stammzertifikat als `.cer` verwenden. Microsoft trennt diese Importfälle auch in der Dokumentation klar. citeturn0search1turn0search4 ## Praktische Empfehlung Wenn du nur schnell ein Root-Zertifikat für den aktuellen Benutzer hinzufügen willst, nimm diesen Befehl: ```cmd certutil -user -addstore Root "C:\Pfad\root-ca.cer" ``` Wenn du es skriptest oder sauber lesbar halten willst, nimm PowerShell: ```powershell Import-Certificate -FilePath "C:\Pfad\root-ca.cer" -CertStoreLocation "Cert:\CurrentUser\Root" ``` citeturn0search0turn0search1turn0search2turn0search3turn0search4