Bei der Anmeldung per SmartCard mit einem YubiKey im PIV-Modus erscheinen manchmal Geisterzertifikate – das sind alte Zertifikate, die Windows oder Anwendungen anzeigen, obwohl sie ersetzt wurden.

Der Grund liegt in der Struktur des YubiKey: Es gibt bis zu 24 Slots für Zertifikate, darunter primäre Slots wie 9a für die Authentifizierung und Retired Slots (82 bis 95), in denen alte Zertifikate automatisch gespeichert werden, um Ketten oder Backups zu erhalten.

Beim Erneuern von Zertifikaten landen Reste in diesen Retired Slots und werden durch Windows-Caching sichtbar, was zu mehreren Anmeldungsoptionen oder Fehlern führen kann. Bis zu 20 Retired Zertifikate sind möglich.

Voraussetzung ist die Installation der aktuellen Version von YubiKey Manager (ykman), die von der Yubico-Website heruntergeladen werden kann. Die GUI ist ab Februar 2026 nicht mehr verfügbar, daher wird die Kommandozeile (CLI) empfohlen, die auch ohne Admin-Rechte installiert werden kann, z. B. über das INGOS Self-Service-Portal.

Um Geisterzertifikate zu finden, liest man zuerst die Slots aus, um zu sehen, was auf dem YubiKey gespeichert ist.

Man öffnet eine Eingabeaufforderung und führt certutil -scinfo aus; dabei muss ggf. die PIN des YubiKey eingegeben werden.

Das zeigt alle erkannten Zertifikate mit ihren Slots, die Windows erkennt, oft inklusive Cached- oder Retired-Einträge.

Zum Vergleich führt man ykman piv info aus, was den Hardware-Zustand darstellt und belegte Slots auflistet, z. B. "Slot 9a: occupied" oder "Retired Slot 84: occupied".

Zum Löschen verwendet man ykman, um gezielt vorzugehen, ohne den YubiKey vollständig zurückzusetzen.

Für ein Zertifikat in einem Retired Slot, z. B. 84, gibt man ykman piv certificates delete 84 ein und bestätigt mit der PIN des YubiKey. Das wiederholt man für weitere Slots, z. B. ykman piv certificates delete 85.

Anschließend prüft man mit ykman piv info, ob die Slots frei sind, und startet den Computer neu, damit Windows den Cache aktualisiert.

Jeder Benutzer kann das durchführen, solange ykman installiert ist, auch ohne Admin-Rechte. Falls viele Slots betroffen sind, erstellt man eine Batch-Datei mit diesen Befehlen für eine schnellere Ausführung.