diff --git a/MA-Inhalt.tex b/MA-Inhalt.tex
index 5cba5c2..136f308 100644
--- a/MA-Inhalt.tex
+++ b/MA-Inhalt.tex
@@ -233,6 +233,7 @@ Benutzer/Passwort:
 Gewinner: Zertifikate
 Für Zertifikate wird eine Zertifizierungsstelle benötigt.
 
+
 \section{Konzeption und Umsetzung einer Zertifizierungsstelle}
 OpenSSL ist aufgrund der Abhängigkeit von OpenVPN bereits gegeben.
 Mit OpenSSL kann man Schlüsselpaare erzeugen, Zertifikatsanträge erzeugen und Zertifikate ausstellen.
@@ -254,27 +255,38 @@ Viele Verbesserungen, wie z.B. Unterstützung für ECDSA (Siehe Changelog) oder
 
 Da für die Anfertigung von Zertifikatsanträgen einige Details beachtet werden sollen und diverse Einstellungen durch die Zertifizierungsstelle vorgegeben bzw. vorausgesetzt werden, ist es sinnvoll, dass die CA durch das IT-Team auf Basis von EasyRSA3 kurz vorbereitet wird und dann als Paket für Benutzer bereitgestellt wird.
 
-Danach: Wie funktioniert die CA mit EasyRSA?
---> Dokumente: Benutzerdokumentation, CA-Admin-Dokumentation, Serverdokumentation
+Danach: Wie funktioniert die CA mit EasyRSA? Das ist in einem separaten Dokument geklärt.
+\todo{Gegebenenfalls kann man daraus noch eine kürzere Version für die VPN-Benutzer herausdampfen.}
 
 Frage: Welche Einstellungen sind anzupassen?
 
-RSA vs EC? (Geht das mit allen OpenVPN-Clients?)
-* Die Wahl der Algorithmen wirkt sich höchstens auf die Dauer der Authentisierung beim Verbindungsaufbau aus, der reguläre Betrieb wird davon nicht berührt.
-* Da OpenVPN-Clients für alle Plattformen den selben Code verwenden, sollte bei gleichbleibenden Versionen von OpenSSL (bzw. kompatiblen mbed-TLS-Bibliotheken) die Wahl sich nicht auf die Kompatibilität auswirken.
-* RSA ist lange erprobt, Patente sind ausgelaufen. Schlüssel sind etwas größer (2-4Kbit), nicht gegen Angriffe durch Quantencomputer beständig (Primfaktorzerlegung)
-* Elliptic Curve-Verfahren sind noch relativ neu (10 Jahre?). Schlüssel sind kleiner, es gab schon einen Fall mit einer Backdoor in einer Curve, nicht gegen Angriffe durch Quantencomputer beständig (diskreter Logarithmus).
-Empfehlungen des BSI\cite{bsi:tr-02102-1}
-\cite{bsi:tr-02102-3}
+Frage: RSA oder Elliptic Curve für die VPN-CA?
+\begin{itemize}
+\item Die Wahl der Algorithmen wirkt sich höchstens auf die Dauer der Authentisierung beim Verbindungsaufbau aus, der reguläre Betrieb wird davon nicht berührt.
+\item Da OpenVPN-Clients für alle Plattformen den selben Code verwenden, sollte bei gleichbleibenden Versionen von OpenSSL (bzw. kompatiblen mbed-TLS-Bibliotheken) die Wahl sich nicht auf die Kompatibilität auswirken.
+\item RSA ist lange erprobt, bestehende Patente sind ausgelaufen. Schlüssel sind etwas größer (2-4Kbit), nicht gegen Angriffe durch Quantencomputer beständig (Primfaktorzerlegung)
+\item Elliptic Curve-Verfahren sind noch relativ neu (10 Jahre?). Schlüssel sind kleiner, es gab schon einen Fall mit einer Backdoor in einer Curve\todo{Citation needed für Dual\_EC\_DRBG}, nicht gegen Angriffe durch Quantencomputer beständig (diskreter Logarithmus).
+\end{itemize}
+RSA wird gewählt.
+Weil es deutlich länger auf dem Markt ist.
+Weil in einer Elliptic Curve schon eine Backdoor gezeigt wurde.
+Weil RSA immer noch funktioniert und in naher Zukunft nicht geknackt werden wird.
+Das BSI hat in seinen technischen Richtlinien keine Bedenken gegen den Einsatz von RSA in Szenarien, die über 2023 hinausgehen\cite[][Kapitel 3.5, Absatz \enquote{Schlüssellänge} (S.38)]{bsi:tr-02102-1}.
 
-From man:openvpn:
---tls-cert-profile profile
- OpenVPN will migrate to 'preferred' as default in the future. Please ensure that your keys already comply.
+Ressourcen:
+* Empfehlungen des BSI\cite{bsi:tr-02102-1}
+* Empfehlungen des BSI bezüglich IPsec\cite{bsi:tr-02102-3}
 
-Wie groß soll der Schlüssel sein? [Welche Kurve?]
+
+
+Wie groß soll der Schlüssel sein?
+\begin{itemize}
+\item OpenVPN empfiehlt RSA >2048Bit: \enquote{OpenVPN will migrate to 'preferred' as default in the future. Please ensure that your keys already comply.}\cite[][Option \texttt{--tls-cert-profile}]{man:openvpn}
+\item Das BSI empfiehlt den Betrieb mit Schlüsseln >3000Bit über das Jahr 2023 hinaus\cite[][Kapitel 3.5, Absatz \enquote{Schlüssellänge} (S.38)]{bsi:tr-02102-1}.
+\end{itemize}
 
 Zertifikate nur mit CN oder volles Schema?
-* Eigentlich egal, keine Vorteile oder Nachteile. Volles Schema => Mehr Informationen darüber, wo der VPN-Dienst angesiedelt ist. Ändert nicht viel. Es spricht nichts gegen den Einsatz des vollen Schemas.
+Volles Schema => Mehr Informationen darüber, wo der VPN-Dienst angesiedelt ist. Ändert nicht viel. Es spricht nichts gegen den Einsatz des vollen Schemas. Es gibt keine nennenswerten Vorteile oder Nachteile. Mehr Informationen können helfen, wenn man einen Eimer voller Zertifikate findet.
 
 
 Welche Angaben werden für Benutzerzertifikate übernommen? Namen? Benutzerkennungen?