Was ist ein SSL-Zertifikat und wie funktioniert es?
Ein SSL-Zertifikat verschlüsselt Daten zwischen einem Browser und einem Server, sichert Kommunikation und authentifiziert Websites. Erfahren Sie, wie SSL/TLS-Zertifikate funktionieren, welche Typen es gibt, ihre Vorteile (z. B. Vertrauen, SEO) und wie sie installiert werden, um sensible Daten zu schützen.
Was ist ein SSL-Zertifikat?
SSL (Secure Sockets Layer) ist der gebräuchliche Name für TLS (Transport Layer Security), ein Sicherheitsprotokoll, das eine verschlüsselte Kommunikation zwischen zwei Computern ermöglicht. Ein SSL-Zertifikat ist eine kleine Datendatei, die dieses Sicherheitsprotokoll nutzt, um zwei Funktionen zu erfüllen:
- Authentifizierung – SSL-Zertifikate dienen als Berechtigungsnachweis zur Authentifizierung der Identität einer Website. Sie werden für einen bestimmten Domainnamen und Webserver ausgestellt, nachdem eine Zertifizierungsstelle (CA) die Organisation, die das Zertifikat anfordert, einem strengen Prüfverfahren unterzogen hat. Je nach Art des Zertifikats kann es Informationen über die Identität eines Unternehmens oder einer Website bereitstellen und bestätigen, dass es sich bei der Website um ein legitimes Unternehmen handelt.
- Sichere Datenkommunikation – Wenn SSL auf einem Webserver installiert ist, erscheint das Vorhängeschloss im Webbrowser. Es aktiviert das HTTPS-Protokoll und stellt eine sichere Verbindung zwischen dem Server und einem Browser her. Es ermöglicht die Verwendung von Verschlüsselungsalgorithmen, um die Daten während der Übertragung in ein nicht entzifferbares Format zu verschlüsseln, das nur mit dem richtigen Entschlüsselungsschlüssel gelesen werden kann.
Webbrowser zeigen nur die Sicherheitsindikatoren für SSL an, die von einer vertrauenswürdigen Zertifizierungsstelle wie Sectigo signiert wurden. Um eine vertrauenswürdige Zertifizierungsstelle zu werden, muss ein Unternehmen die von den führenden Browsern und dem Branchenstandardgremium CA/Browser Forum festgelegten Standards für Sicherheits- und Authentifizierungsprozesse einhalten und regelmäßige Audits durchführen. Wenn eine vertrauenswürdige Zertifizierungsstelle ein Zertifikat für eine Organisation ausstellt, erkennt der Browser das Zertifikat als legitim an. Der Browser informiert den Benutzer darüber, dass die Webadresse sicher ist, und der Benutzer kann die Website sicher durchsuchen und persönliche Informationen eingeben.
Wie funktionieren SSL-Zertifikate?
Alle digitalen Zertifikate sind Beispiele für Public Key Interchange (PKI). Im einfachsten Fall basiert PKI auf einem Paar voneinander abhängiger Schlüssel, einem öffentlichen Schlüssel und einem privaten Schlüssel. Der öffentliche Schlüssel wird zur Verschlüsselung von Informationen verwendet, der private Schlüssel zur Entschlüsselung. SSL funktioniert, indem der öffentliche Schlüssel über die öffentlich zugängliche Website verfügbar gemacht wird. Im Gegensatz dazu bleibt der private Schlüssel auf dem Webserver gesichert, sodass alle Daten, die von der Website, auf der sich der öffentliche Schlüssel befindet, übermittelt werden, nur vom Eigentümer der Website entschlüsselt werden können, wodurch eine sichere 1:1-Kommunikation entsteht.
Wenn eine Person eine Website mit einem SSL-Zertifikat besucht, findet ein „Handshake“ statt, um einen sicheren Kanal zwischen dem Benutzer und der Organisation herzustellen und alle auf der Website übermittelten Daten vor Manipulationen zu schützen. So funktioniert der Handshake-Prozess in Echtzeit:
- Ein Client-System, z. B. ein beliebter Webbrowser, stellt eine Verbindung zu einem Server her, der mit einem SSL/TLS-Zertifikat gesichert ist.
- Der Browser sendet eine Anfrage an den Server, um sich zu identifizieren.
- Der Server sendet eine Kopie seines SSL-Zertifikats zurück, einschließlich Typ, Gültigkeitsdauer und organisatorischer Details.
- Der Browser prüft, ob er dem Zertifikat vertraut, und sendet eine Genehmigung an den Server zurück. Wenn das Zertifikat nicht installiert ist, nicht mit den richtigen Sicherheitsprotokollen auf dem neuesten Stand ist oder nicht von einer CA ausgestellt wurde, der der Browser vertraut, wird dem Benutzer in der Adressleiste des Browsers eine Warnmeldung angezeigt.
- Der Server sendet eine digital signierte Bestätigung zurück, um eine SSL-verschlüsselte Sitzung zu starten.
- Alle zwischen dem Browser und dem Server ausgetauschten Daten sind nun sicher. Wenn ein Hacker die Kommunikation abfängt, bleibt sie mit einem kryptografischen Code verschlüsselt, der nicht entschlüsselt werden kann.
Was ist der Unterschied zwischen SSL und TLS?
TLS ist eine aktualisierte Version von SSL, die erweiterte Verschlüsselungsoptionen bietet. Die beiden Akronyme werden jedoch oft als gleichbedeutend bezeichnet.
Secure Sockets Layer (SSL) war der Name des ersten kryptografischen Protokolls, das eingeführt wurde, um die Identität eines über das offene Internet verbundenen Servers sicherzustellen. Dieses Protokoll wurde 1995 entwickelt, um E-Commerce im Internet zu ermöglichen. SSL 2.0 war die erste Version des Protokolls, die in Produktionssystemen eingesetzt wurde, und wurde bald durch SSL 3.0 abgelöst. Nach Version 3.0 ersetzten Normungsgremien SSL durch ein fortschrittlicheres Protokoll namens Transport Layer Security (TLS). Zu diesem Zeitpunkt war der Begriff SSL jedoch bereits im allgemeinen Sprachgebrauch verankert und wird daher weiterhin als De-facto-Bezeichnung für TLS verwendet.
Obwohl Zertifikate selbst keine Verschlüsselung durchführen, ist für die Verschlüsselung eine standardbasierte Client- und Serversoftware erforderlich. Diese Anforderung trägt der Tatsache Rechnung, dass die Verschlüsselung selbst keinen Schutz bietet, wenn die Gegenstelle über keine zuverlässige Identität verfügt. Zu den heutigen Optionen für die Verschlüsselung einer TLS-Sitzung gehören RSA (Rivest-Shamir-Adleman), ECC (Elliptic Curve Cryptography) und DSA (Digital Signature Algorithm).
Welche verschiedenen Arten von SSL-Zertifikaten gibt es?
Es gibt verschiedene Arten von TLS-Zertifikaten, darunter:
- Domain Validation (DV) – die einfachste und kostengünstigste Möglichkeit, eine branchenübliche Verschlüsselung zu erhalten
- Organization Validation (OV) – eine Erweiterung von DV, bei der eine Organisation ein rechtlich eingetragenes Unternehmen sein und nachweisen muss, dass sie Eigentümer der Domain ist
- Extended Validation (EV) – Branchenstandard für Unternehmenswebsites, die ein Höchstmaß an Vertrauen bieten
Zu den weiteren Varianten von Zertifikaten gehören Wildcard-SSL-Zertifikate (für eine Hauptdomain und ihre Subdomains), Single Domain (für eine Hauptdomain und eine einzelne Subdomain) und Multi-Domain (zur Sicherung mehrerer Domains).
Wie werden sie eingesetzt?
SSL-Zertifikate sind ein wesentlicher Bestandteil der Cybersicherheitsmaßnahmen jeder Website. Millionen von Websites verwenden SSL, um das Surfen auf ihren Websites zu sichern. Die Aktivierung von HTTPS auf allen Websites vermittelt den Verbrauchern nicht nur das Vertrauen, dass die Website legitim ist und sicher zum Surfen oder für Transaktionen genutzt werden kann, sondern ist auch von führenden Browsern wie Google Chrome vorgeschrieben. Bei Websites ohne Zertifikat wird in der Adressleiste eine „Nicht sicher“-Warnung angezeigt.
Die Zunahme globaler Websites, mobiler und mit dem Internet verbundener Geräte hat auch die Nutzung weit über den reinen E-Commerce hinaus ausgedehnt. Jeder, der Daten zwischen Geräten über das Internet sicher austauschen muss, benötigt ein SSL-Zertifikat. Es wird am häufigsten verwendet, um Folgendes zu sichern:
- Online-Kreditkartentransaktionen
- Webformulare und Kundenanmeldungen
- E-Mail- und Webmail-Anwendungen
- Unternehmenskommunikation über Intranets, Dateifreigabe, Extranets und interne Server
- Cloud-basierte Plattformen und virtualisierte Anwendungen
- Dateiübertragungen über FTP
- Datentransfer zu und von mobilen Geräten
Wenn eine Website-URL mit HTTPS:// beginnt und in der Adressleiste ein Vorhängeschloss-Symbol angezeigt wird, verwendet die Website eine sichere TLS/SSL-Verbindung.
Welche Vorteile bietet dies?
Die wichtigste Bedeutung der Installation eines SSL-Zertifikats besteht darin, eine sichere Sitzung zwischen einem Webserver und einem Browser zu initiieren. Sobald eine sichere Verbindung hergestellt ist, werden alle zwischen dem Webserver und dem Besucher übertragenen Informationen privat und verschlüsselt gehalten
Weitere Vorteile von SSL:
- Stärkt das Vertrauen der Kunden. Das Vorhängeschloss gibt Kunden die Gewissheit, dass ihre Daten nicht gefährdet sind. Die Daten werden an die vorgesehenen Zielserver gesendet und nicht an unbefugte Dritte weitergeleitet.
- Schützt sensible Informationen vor Phishing-Angriffen. Phishing-Websites sind betrügerische Kopien bekannter Websites, die darauf abzielen, Sie zur Eingabe wertvoller Informationen wie Ihrer Kreditkarten- oder Sozialversicherungsnummer zu verleiten. Erweiterte Validierungszertifikate schützen Sie vor Phishing-Angriffen, indem sie den vollständigen Firmennamen des Website-Eigentümers in der Adressleiste anzeigen. Phishing-Betreiber können aufgrund der umfangreichen Validierungsanforderungen kein EV-Zertifikat erhalten.
- Bessere Platzierungen in Suchmaschinen. HTTPS wird von einer der größten Suchmaschinen der Welt, Google, als Ranking-Signal berücksichtigt.
So installieren Sie ein SSL-Zertifikat
Es gibt 3 einfache Schritte, um ein SSL-Zertifikat auf einer Website zu installieren:
- Erwerben Sie ein Zertifikat, das von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt wurde – Vertrauenswürdige Zertifikate können Sie bei Ihrem Webhost oder direkt bei einer vertrauenswürdigen Zertifizierungsstelle erwerben. Zertifikate von einer vertrauenswürdigen Zertifizierungsstelle werden von allen gängigen Internetbrowsern, die von Ihren Besuchern verwendet werden (Chrome, Firefox, Internet Explorer, Safari usw.), erkannt.
- Aktivieren und installieren Sie das Zertifikat. Wenn Sie das Zertifikat von Ihrem Webhost gekauft haben, kann dieser Schritt für Sie erledigt werden. Wenn Sie die Website selbst verwalten, müssen Sie zwei Schritte ausführen: eine Zertifikatsignierungsanforderung (Certificate Signing Request, CSR) generieren und dann Ihr Zertifikat installieren. In unserer Wissensdatenbank finden Sie eine Reihe von Dokumenten, die Sie bei der Ausführung beider Aufgaben auf verschiedenen Webserver-Softwares unterstützen.
- Konvertieren Sie Ihre gesamte Website zu HTTPS – Nachdem Sie Ihr Zertifikat auf Ihren Zielseiten installiert haben, ändern Sie Ihre Website so, dass alle Inhalte sicher bereitgestellt werden.
Nächste Schritte
Wenn Sie weitere Informationen zur Funktionsweise von SSL-Zertifikaten oder zur Auswahl des richtigen Zertifikats für Ihre Website benötigen, wenden Sie sich an Sectigo.