Was ist ein SSL Server Zertifikat? Wir klären auf

Ein SSL Server Zertifikat ist die Basis für eine Verschlüsselung einer Webseite durch den Betreiber. Es dient nicht allein der Kommunikation, sondern gewährleistet ebenfalls eine sichere Authentifizierung einer Webseite. Dadurch verhindert es sowohl ein unbefugtes Mitschneiden von Informationen wie auch das Vortäuschen einer falschen Identität - ein häufiges Vorgehen bei den sogenannten Phishing-Attacken. Für den Besucher einer Webseite ändert ein SSL Server Zertifikat nichts, schafft aber eine hohe Sicherheit.

SSL-Server-Zertifikat gilt heute als Standard für ein sicheres Internet

Lange Zeit maßen die Betreiber der Verschlüsselung von Webseiten nur eine verhältnismäßig geringe Bedeutung zu, sofern es sich nicht um sensible Daten wie Zahlungsinformationen handelte. Ein Grund dafür waren die hohen Kosten, die ein offizielles SSL Server Zertifikat lange Zeit verursachte und die für Privatpersonen in keinem Verhältnis zu dem Nutzen standen. Selbst große Anbieter wie Facebook benutzten viele Jahre lang unverschlüsselte Verbindungen, was in offenen WLAN-Netzwerken eine erhebliche Sicherheitslücke bedeutete. Seit 2014 hat sich diese Situation stark geändert, was unter anderem auf den Druck von Konzernen wie Google und Microsoft und den Anbietern von Browsern wie Mozilla Firefox zurückzuführen ist. So gilt eine Verschlüsselung mittlerweile als wichtiges Ranking-Kriterium und Browser warnen seit etwa 2017 eindringlich vor Webseiten ohne einem gültigen SSL Server Zertifikat.

Wie ist ein SSL Server Zertifikat aufgebaut?

Ein SSL Server Zertifikat kann seine Informationen binär oder als Text speichern. Es besteht aus einer oder mehreren Dateien, die sowohl das Zertifikat selbst sowie den öffentlichen und den privaten Schlüssel beinhalten. Zu den Angaben eines Zertifikats gehören unter anderem:

• Einmalige, individuelle Seriennummer
• Inhaber des Zertifikats, zum Beispiel Namen des Unternehmens
• Zertifizierte Domain (URL)
• Zeitraum der Gültigkeit
• Technische Angaben zu den verwendeten Algorithmen
• Aussteller (CA)
• Signatur der Zertifizierungsstelle
• Fingerabdruck
• Öffentlicher Schlüssel

Diese Angaben werden dem Browser bei einem Besuch zunächst mitgeteilt, damit er das SSL Server Zertifikat überprüfen und dessen Echtheit bestätigen kann. Darüber hinaus baut er mithilfe des öffentlichen Schlüssels eine erste sichere Verbindung auf und tauscht mit der Gegenstelle einen zufällig generierten Session Key aus. Zu einem SSL Server Zertifikat gehört darüber hinaus ein streng vertraulicher, privater Schlüssel, der mitunter in einer separaten Datei mit der Endung .key liegt. Dieser ist das Gegenstück zu dem öffentlichen Schlüssel und darf niemals veröffentlicht oder in einem öffentlich zugreifbaren Verzeichnis gespeichert werden.

Verschiedene Anbieter und das Wildcard Zertifikat

Um den Inhaber eines Zertifikats eindeutig zu authentifizieren, muss dieses von einer offiziellen Zertifizierungsstelle (Certification Authority, CA) stammen. Diese überprüft bei Erteilung, dass der Antragsteller Inhaber einer Webseite ist oder unbeschränkten Zugriff auf den verwendeten Server besitzt. Bis 2015 wurde dieser Prozess manuell durchgeführt und war entsprechend langsam und teuer. Um die Verschlüsselung im Internet als Standard zu etablieren, bietet seitdem die nicht profitorientierte Zertifizierungsstelle Lets Encrypt ein kostenloses SSL Server Zertifikat für Webseitenbetreiber an. Dazu gehört seit 2018 auch ein Wildcard Zertifikat, das mehrere Subdomains einschließt, die sonst ein individuelles SSL Server Zertifikat verwenden müssten. In einem SSL Zertifikat Vergleich belegt Lets Encrypt wegen seines gebührenfreien Angebots in der Regel einen der ersten Plätze.

Mögliche Nachteile und Alternativen

Im Internet hat sich HTTPS in Verbindung mit einem SSL Server Zertifikat wegen seiner einfachen Verwendung für den Besucher und seiner Sicherheit etabliert. Alternativen sind nur aufwendig und mit entsprechenden technischen Kenntnissen zu realisieren. Im praktischen Einsatz besitzt das Verfahren nur sehr wenige Nachteile - so erhöht die Verschlüsselung den Ressourcenverbrauch beider Gegenstellen leicht. Es ist jeder Zertifizierungsstelle vorbehalten, die Überprüfung ihrer Kunden auf unterschiedliche Weisen vorzunehmen. Kostenfreie Anbieter wie Lets Encrypt bieten in diesem Zusammenhang wegen des hohen Aufwands nur eine technische Überprüfung des Betreibers etwa über den DNS Server oder über die Webseite, aber keine generelle Zertifizierung von Unternehmen. Diesen Service bieten nur kommerzielle Anbieter, deren Kosten in einem SSL Zertifikat Vergleich ermittelt werden können.

Bild: typographyimages - pixabay.com