1. OpenSSL installieren, falls noch nicht vorhanden
2. Erzeugen des privaten und öffentlichen Schlüssels.
   Der Algorithmus ist entsprechend den Fähigkeiten der Server-Software zu wählen. In den meisten Fällen kann heutzutage aber ECC genutzt werden.
   - RSA-4096 mit Passwort:
         > openssl genrsa -aes256 -out <dateiname_key.pem>  4096
   - RSA-4096 ohne Passwort:
         > openssl genrsa -out <dateiname_key.pem>  4096
   - ECC-384 mit Passwort
         > openssl ecparam -genkey -name secp384r1 | openssl ec -aes256 -out <dateiname_key.pem>
   - ECC-384 ohne Passwort:
         > openssl ecparam -name secp384r1 -genkey -out <dateiname_key.pem>
3. Erzeugen Sie einen Zertifikat-Request:
         > openssl req -sha256 -new -key <dateiname_key.pem> -out <Dateiname.csr> -subj '/CN=servername.b-tu.de'

Soll das Zertifikat weitere Servername enthalten, können diese später in der Weboberfläche angegeben werden. Im Request muss lediglich der „Common Name [CN]“ gesetzt werden. Alle anderen Felder können leer gelassen werden, sie werden von der CA entsprechend gesetzt.

Nachträglich Passwort entfernen

Mit folgender Befehlszeile können Sie aus einer mit Passwort geschützten Schlüsseldatei (key.pem) eine Schlüsseldatei ohne Passwortschutz (key-no-pw.pem) erzeugen:

    > openssl rsa –in <dateiname_key.pem> –out <dateiname-no-pw.pem>
bzw.
    > openssl secp384r1 –in <dateiname_key.pem> –out <dateiname-no-pw.pem>