SSL-Zertifikat – welches ist das passende?

Wozu Verschlüsselung und SSL-Zertifikat?

SSL Zertifikat - SSL ist die Abkürzung für „Secure Sockets Layer“ und steht für das Protokoll zur Verschlüsselung der Datenübertragung im Internet. Beim Aufruf von Webseiten über http://... werden die Daten zwischen Server und Client (Browser des Besuchers) unverschlüsselt übertragen. Das heißt, Dritte könnten die Daten mitlesen, wenn sie auf dem Weg zw. Server und Client abgefangen werden. Das ist an Internetknotenpunkten relativ unwahrscheinlich, da es schwer ist, sich dort Zugang zu verschaffen. In modernen WLAN-Netzen ist es auch schwierig, weil die Daten dort verschlüsselt übertragen werden.

Es ist also schon eine gewisse kriminelle Energie notwendig. Solange es sich um allgemeine Informationen auf der Website handelt, ist die unverschlüsselte Übertragung auch kein großes Problem, außer dass Dritte theoretisch auswerten könnten, welche Webseiten-Inhalte von wem konsumiert werden.

Aber seit der Einführung des neuen EU-Datenschutzgesetzes DSGVO ist die verschlüsselte Übertragung Pflicht, wenn Daten übertragen werden, die dem Datenschutz unterliegen. Hierzu zählen sogar einfache Kontaktformulare, die Kundendaten wie E-Mail-Adresse oder Telefonnummer übertragen.

SSL Zertifikat - Übertragung von sensiblen Daten

Das schwerwiegendere Problem ist die Übertragung von sensiblen Daten, wie Bankverbindungen oder Zugangsdaten bzw. Passwörter wie z.B. in Online-Shops. Hier ist die verschlüsselte Übertragung per SSL unverzichtbar. Beim Aufruf einer Webseite über https://... werden jegliche Daten verschlüsselt übertragen.

Damit die verschlüsselte Übertragung funktioniert, muss der Webseitenbetreiber ein SSL-Zertifikat auf dem Webserver hinterlegen. Über einen privaten und einen öffentlichen Schlüssel dieses SSL-Zertifikats führen Server und Client die Ver- und Entschlüsselung der übertragenen Daten durch.

Theoretisch kann jeder Server- bzw. Webseiten-Betreiber diese Schlüssel selbst erzeugen und auf dem Webserver ablegen. Damit wäre zwar die Verschlüsselung technisch gesehen gegeben aber seine Identität und Vertrauenswürdigkeit wäre nicht sichergestellt und der Browser würde den Seitenbesucher auch darauf hinweisen.

Daher gibt es die sogenannten Zertifizierungsstellen (Trustcenter), wie DigiCert, die die Identität des Webseiten Betreibers prüfen und nur wenn diese Prüfung erfolgt ist, wird ein SSL-Zertifikat ausgestellt bei dessen Verwendung keine Warnung im Browser erscheint und das Schlosssymbol in der Browser-Adresszeile geschlossen dargestellt wird. Damit ein Zertifikat gültig bleibt, muss diese Identitätsprüfung regelmäßig, mindestens einmal pro Jahr erfolgen.

Welche Typen gibt es bei den SSL-Zertifikaten?

Es gibt verschiedene Zertifizierungsstellen, die jeweils etwas andere SSL-Zertifikattypen mit unterschiedlichen Bezeichnungen und Preisen anbieten. Zu den Marktführern gehören DigiCert, Thawte, Geotrust, RapidSSL, Comodo und Let’s Encrypt.

Die einfachste und preisgünstigste Variante eines SSL-Zertifikats gilt nur für eine Domain mit und ohne die Sub-Domain „www“ davor. Viele dieser Standard-Zertifikattypen bieten die Möglichkeit, gegen Aufpreis weitere Domains, sogenannte SANs (Subject Alternative Name) dem Zertifikat zuzuordnen. Sie werden dann häufig „Multi-Domain-Zertifikate“ genannt.

Eine Möglichkeit, um gleichzeitig auch alle Sub-Domains einer Domain mit dem Zertifikat abzudecken, sind die sogenannten „Wildcard-SSL-Zertifikate“. Neben der Sub-Domain www sind dann alle möglichen Sub-Domains abgedeckt, wie z.B. shop.domainname.de.

Welche Variante für welche Anwendung am besten passt, hängt vom Einzelfall der Anwendung ab. So würde man z.B. für nur wenige Sub-Domains kein Wildcard-Zertifikat, sondern ein Multi-Domain-Zertifikat nehmen, sofern das preisgünstiger ist. Häufig bieten auch einfache Standard-Zertifikate die Möglichkeit Zusatzdomains (SANs) dazu zu buchen, obwohl sie gar nicht als Multi-Domain-Zertifikate benannt sind.

Welche Sicherheitslevel gibt es bei den SSL-Zertifikaten?

Selbst erstelltes SSL-Zertifikat

Das selbst erstellte SSL-Zertifikat hat wirklich nur noch eine Bedeutung: bei internen Anwendungen. Für öffentliche Webserver wird es nicht verwendet.

Kostenloses SSL-Zertifikat von „Let‘s Encrypt“

Let’s Encrypt ist eine Non-Profit-Organisation, die von vielen Sponsoren der IT-Branche unterstützt wird. Durch eine automatisierte Zertifikatsverlängerung alle 90 Tage wird der Personalaufwand minimal gehalten, so dass die SSL-Zertifikate kostenlos angeboten werden können. Zur Validierung, um sicherzustellen, dass der Beantragende auch tatsächlich die Kontrolle über die Domain hat, muss er entweder einen TXT-Eintrag in den Nameservern der Domain eintragen oder es muss eine versteckte Datei auf dem Webserver abgelegt werden. Diese Einträge werden dann von Let’s Encrypt geprüft. So wird sichergestellt, dass kein Dritter das SSL-Zertifikat installiert, der die Domain gar nicht besitzt.

Die Identität des Antragstellers wird jedoch nicht geprüft, so dass beim Anklicken des Schlosssymbols im Browser auch die Identität des Webseitenbetreibers nicht dargestellt wird. Let’s-Encrypt-Zertifikate sind ausreichend für normale Websites, die keine sensiblen Daten übertragen und keine hohe Verfügbarkeit oder ein hohes Besuchervertrauen benötigen.

Auch wenn dieser Zertifikatstyp kostenlos ist, hat er neben dem niedrigen Vertrauenslevel auch einen weiteren Nachteil. Es gibt bereits Webhoster, die mehr Ausfallzeiten wegen technischer Probleme bei Let’s Encrypt haben als durch eigene Netzwerk- oder Hardware-Ausfälle. Insofern besteht eine gewisse Abhängigkeit von Let’s Encrypt, dass die Verlängerung alle 90 Tage auch zuverlässig funktioniert.

Domain-validiertes SSL-Zertifikat (DV)

Bezüglich des Vertrauenslevels sind die Domain-validierten SSL-Zertifikate der kommerziellen Zertifizierungsstellen (Digicert, Thawte…) den Let’s-Encrypt-Zertifikaten sehr ähnlich. Die Validierung erfolgt ebenfalls über einen Nameserver-Eintrag, eine versteckte Datei im Webspace oder eine Validierungs-E-Mail an eine Domain-E-Mail-Adresse. Die Identität des Antragstellers wird aber ebenso wenig wie bei Let’s Encrypt geprüft und der Zertifikatsinhaber somit auch nicht im Browser dargestellt.

Der (relative geringe) Preis der DV-SSL-Zertifikate ist gegenüber den kostenlosen Zertifikaten von Let’s Encrypt damit zu rechtfertigen, dass eine renommierte Zertifizierungsstelle dahinter steht und der technische Aufwand der automatisierten Verlängerungen nicht notwendig ist.

Organisationsvalidiertes SSL-Zertifikat (OV)

Die organisationsvaliderten SSL-Zertifikate bieten dem Besucher der Website eine höhere Vertrauensstufe, denn er kann sich durch Anklicken des Schlosssymbols vergewissern, dass er es auch tatsächlich mit der richtigen Firma zu tun hat und nicht auf einer Phishing-Seite gelandet ist. Das wird dadurch ermöglicht, dass die Zertifizierungsstelle zusätzlich zur Domain-Validierung die Existenz und Identität des Antragstellers des SSL-Zertifikats prüft. Aus einem öffentlichen Telefonverzeichnis wird die Telefonnummer ermittelt und ein Kontrollanruf beim Antragsteller durchgeführt.

Dieser Zertifikatstyp bietet sich für Shops an, bei denen sicherheitsrelevante Daten wie Kreditkartennummern übertragen werden.

Dieser Mehraufwand bei den Zertifizierungsstellen schlägt sich natürlich auch im Preis nieder, so dass diese Zertifikate auch wesentlich teurer sind.

SSL-Zertifikate mit erweiterter Validierung (EV)

Für die sogenannte „Extended Validation“ (EV) wird zusätzlich zur Domain- und Organisations Validierung per Telefon der Handelsregisterauszug oder Gewerbeschein zur Identifizierung der antragstellenden Firma verlangt.

Den Unterschied zu den OV-Zertifikaten sieht man im Browser erst, wenn man das Schlosssymbol in der Adresszeile klickt. Der Firmenname wird bei EV-Zertifikaten eine Ebene früher dargestellt als bei OV-Zertifikaten und das Kürzel „EV“ ist in den Zertifikatsinformationen zu finden.

In früheren Browserversionen wurde die Firma bei EV-Zertifikaten sogar in der Browser-Adresszeile dargestellt und grün hinterlegt. Diese Praxis haben die großen Browserhersteller inzwischen wieder verworfen.

Der Preis dieser Zertifikate ist noch einmal deutlich höher als bei den OV-Zertifikaten. Daher ist das eher für Websites mit sehr sensiblen Daten zu empfehlen, wie z.B. Banken. Allerdings ist die Wertigkeit des SSL-Zertifikats inzwischen auch ein Kriterium für das Google-Ranking. Insofern könnten sich die Mehrausgaben für das SSL-Zertifikat durchaus rechnen.

Welches ist das richtige SSL-Zertifikat für mich?

Welches SSL-Zertifikat das richtige für Sie ist, lässt sich nicht pauschal beantworten, sondern hängt von vielen Faktoren ab. Die SSL-Spezialisten von iS-Fun beraten Sie gern und bieten Ihnen das passende SSL-Zertifikat an. Wir führen die Beantragung und jährliche Verlängerung so durch, dass für Sie der geringstmögliche Aufwand entsteht.