Die Erzeugung hängt vom Algorithmus ab: ein zufälliger Skalar und eine Punktmultiplikation bei elliptischen Kurven (Mikrosekunden), ein zufälliger Seed bei Ed25519 oder ML-DSA und bei RSA die Suche nach zwei großen Primzahlen, die auf einem Kern eines Apple M4 Max mit OpenSSL 3.6.5 im Schnitt etwa 26 ms für 2048 Bit und etwa 250 ms für 4096 Bit dauert, bei großer Streuung. Alle brauchen einen kryptografisch sicheren Zufallszahlengenerator; ein schwacher erzeugt schwache oder doppelte Schlüssel.
Bewährte Praxis: Erzeuge Schlüssel dort, wo sie verwendet werden (im HSM, in der Secure Enclave oder auf dem Server), statt sie zu kopieren; halte Algorithmus und Zweck beim Schlüssel fest (JWK alg und use, Key Usage in X.509); nutze ein Schlüsselpaar pro Zweck (SP 800-57 Teil 1 §5.2); und plane die Rotation vom ersten Tag an.
Um zu prüfen, ob ein Zertifikat, ein CSR oder ein JWK zu einem bestimmten privaten Schlüssel gehört, vergleiche die öffentlichen Schlüssel, nicht die Dateinamen: Der Schlüssel- und Zertifikats-Matcher erledigt das lokal.