Die manuelle Zertifikatsverwaltung bremst Teams bereits aus. Doch Zertifikatsautomatisierung allein reicht nicht mehr aus, um moderne Infrastrukturen zu unterstützen.

Zertifikate sind eine zentrale Infrastruktur für Online-Unternehmen. Sie werden in hybriden, Multi-Cloud- und verteilten Umgebungen eingesetzt und sichern alles von Servern und Load Balancern bis hin zu CDNs, WAFs und Zugangssystemen. Mit dem Wachstum dieser Infrastruktur steigt auch der Aufwand, alles gültig, transparent und konform zu halten.

Gleichzeitig bringen kürzere Zertifikatslebenszyklen und steigende Zertifikatsmengen die Automatisierung an ihre Grenzen. Die vorgeschriebene Gültigkeitsdauer von 47 Tagen bedeutet, dass Erneuerungszyklen, die früher nur einige Male im Jahr stattfanden, bald zwölfmal häufiger pro Jahr durchgeführt werden müssen – und zwar in jeder Umgebung, in der ein Unternehmen tätig ist.

Dennoch verlassen sich die meisten Unternehmen nach wie vor auf fragmentierte Konnektoren und manuelle Arbeitsabläufe, um Schritt zu halten. Dieser Ansatz birgt Risiken und schränkt die Skalierbarkeit ein – beides kann man sich jedoch nicht leisten.

Das Sectigo Orchestration Gateway (SOG) ersetzt fragmentierte Automatisierung durch eine einzige, schlanke Automatisierungsebene für den gesamten Zertifikatslebenszyklus über Server, Load Balancer, CDNs, WAFs und Zugangssysteme hinweg und ermöglicht so eine sichere, richtliniengesteuerte Ausführung in großem Maßstab.

Das Fazit? Manuelle Verwaltung allein lässt sich niemals skalieren. Automatisierung mit fragmentierten Konnektoren ebenfalls nicht. Ein einheitliches Orchestrierungs-Gateway ist erforderlich, um vorhersehbare, sichere Zertifikatsabläufe zu gewährleisten.

Die operative Lücke: Warum fragmentierte Automatisierung nicht skalierbar ist

Die meisten Unternehmen arbeiten heute mit einem Flickenteppich aus Tools statt mit einem einheitlichen System:

• Mehrere Konnektoren pro Plattform
• Fragmentierte Integrationen
• Uneinheitliche Arbeitsabläufe über verschiedene Umgebungen hinweg

Einzeln betrachtet mag jedes dieser Elemente funktionieren. Zusammen führen sie jedoch zu blinden Flecken bei Zertifikaten, Konfigurationsabweichungen und hohem betrieblichen Aufwand. Jede neue Plattform bedeutet einen weiteren Konnektor, der entwickelt werden muss, ein weiteres Skript, das gepflegt werden muss, und ein weiteres Team, das sich in einen anderen Prozess einarbeiten muss. Das Ergebnis ist eine Automatisierungsstrategie, die auf dem Papier umfassend erscheint, in der Praxis jedoch versagt – meist zum ungünstigsten Zeitpunkt, wie zum Beispiel bei einem unerwarteten Ausfall, der durch ein Zertifikat verursacht wird, von dessen bevorstehendem Ablauf niemand wusste.

Der Wandel: Von einer Flut von Konnektoren zu einem einzigen Orchestrierungs-Gateway

Modernes Zertifikatslebenszyklusmanagement erfordert ein einheitliches Automatisierungsmodell und eine zentralisierte Steuerung – und nicht einen wachsenden Berg von nachträglich zusammengeflickten Punktlösungen.

Das Sectigo Orchestration Gateway erreicht dies, indem es Punktintegrationen durch ein einziges Gateway ersetzt und so eine konsistente Automatisierung über hybride, Multi-Cloud- und herstellerübergreifende Infrastrukturen hinweg ermöglicht. Anstatt die Automatisierung Plattform für Plattform zu verwalten, verwalten Teams sie einmalig und zentral, wobei überall dieselben Richtlinien und Prozesse angewendet werden, und das bei geringem Platzbedarf in der Infrastruktur. 

Wie SOG eine skalierbare Orchestrierung des Zertifikatslebenszyklus ermöglicht

1. Ersetzen Sie fragmentierte Konnektoren durch ein einziges Automatisierungs-Gateway

SOG verbindet sich über ein einziges Gateway mit mehreren Endpunkten, wodurch separate Agenten und Integrationen für jede Plattform überflüssig werden. Diese Konsolidierung reduziert direkt den Platzbedarf der Infrastruktur und den betrieblichen Aufwand. Weniger bewegliche Teile bedeuten weniger Fehlerquellen und einen geringeren Personalbedarf für deren Wartung.

2. Den gesamten Zertifikatslebenszyklus durchgängig automatisieren

SOG automatisiert die Erkennung, Ausstellung, Erneuerung, Installation und Sperrung als einen einzigen durchgängigen Prozess und nicht als eine Abfolge von unzusammenhängenden Schritten. Dies ermöglicht ein wirklich vollautomatisches Lebenszyklusmanagement in großem Maßstab – im Gegensatz zu einer Automatisierung, die weiterhin eine manuelle Koordination zwischen den einzelnen Phasen erfordert.

3. Sichere Zertifikatsabläufe ohne Erhöhung des Risikos

Automatisierung in großem Maßstab funktioniert nur, wenn dadurch keine neuen Schwachstellen entstehen. SOG ruft Anmeldedaten just-in-time über PAM- und lokale Tresor-Integrationen ab und vermeidet so die lokale Speicherung von Anmeldedaten gänzlich. In Kombination mit einer richtlinienbasierten Zugriffskontrolle bedeutet dies, dass der Zertifikatsbetrieb skaliert werden kann, ohne die Angriffsfläche zu vergrößern.

4. Skalierbarkeit durch schlanke, modulare Bereitstellung

Dank ihres modularen Aufbaus können neue Plattformen unterstützt werden, ohne das gesamte System überarbeiten zu müssen – entscheidend für Unternehmen, deren Infrastruktur sich ständig weiterentwickelt.

5. Beseitigung von blinden Flecken durch vollständige Zertifikatstransparenz

Was man nicht sieht, kann man nicht verwalten. Die Netzwerkerkennung von SOG identifiziert Zertifikate über verschiedene Umgebungen hinweg, und die zentrale Nachverfolgung innerhalb von SCM reduziert das Risiko von Ausfällen aufgrund abgelaufener oder vergessener Zertifikate erheblich.

6. Zukunftssicherer Betrieb durch Krypto-Agilität

SOG unterstützt sich weiterentwickelnde Standards und ist für PQC gerüstet. Damit ermöglicht es den parallelen Zertifikatsbetrieb in großem Maßstab – eine Fähigkeit, die zunehmend an Bedeutung gewinnen wird, wenn Unternehmen den Übergang zur Post-Quanten-Kryptografie einleiten. Und da die Funktionen von SOG dank seiner modularen Architektur kontinuierlich erweitert werden, ist das System darauf ausgelegt, sich schnell an sich wandelnde Unternehmensanforderungen anzupassen, anstatt später eine komplette Plattformüberarbeitung zu erfordern.

Vom Automatisierungschaos zur einheitlichen Steuerung des Zertifikatslebenszyklus

Wenn Unternehmen von einer fragmentierten Automatisierung zu einem einheitlichen Gateway übergehen, summieren sich die Vorteile: geringeres Risiko, geringerer Betriebsaufwand und verbesserte Compliance. Was früher ständiges „Feuerlöschen“ über voneinander getrennte Tools hinweg erforderte, wird zu einem einzigen, vorhersehbaren System.

Die Grundlage für modernes Zertifikatslebenszyklusmanagement

Unternehmen benötigen mehr als nur Automatisierung. Sie benötigen Orchestrierung – bereitgestellt über ein einziges Gateway, das den gesamten Zertifikatslebenszyklus steuert, nicht nur einzelne Teile davon.

Das Sectigo Orchestration Gateway ermöglicht eine durchgängige Automatisierung des Lebenszyklus, eine sichere Ausführung und skalierbare Abläufe in jeder Umgebung.

Die Zukunft des Zertifikatslebenszyklusmanagements liegt in einer einzigen Orchestrierungsebene, die Konsistenz, Geschwindigkeit und Kontrolle in großem Maßstab gewährleistet.

Die Public-Key-Infrastruktur (PKI) wird zur Verwaltung von Identität und Sicherheit in der Internetkommunikation und in Computernetzwerken eingesetzt. Die Kerntechnologie hinter der PKI ist die Public-Key-Kryptografie, ein Verschlüsselungsverfahren, das auf der Verwendung von zwei miteinander verbundenen Schlüsseln – einem öffentlichen und einem privaten Schlüssel – beruht, um Daten zu schützen und Identitäten zu verifizieren.

Dieses Paar aus öffentlichem und privatem Schlüssel arbeitet zusammen, um Nachrichten zu verschlüsseln und zu entschlüsseln. Die Kombination zweier kryptografischer Schlüssel auf diese Weise wird auch als asymmetrische Verschlüsselung bezeichnet, die sich von der symmetrischen Verschlüsselung unterscheidet, bei der ein einziger Schlüssel sowohl für die Verschlüsselung als auch für die Entschlüsselung verwendet wird.

Zu den Vorteilen der asymmetrischen Verschlüsselung gehören:

• Der öffentliche Schlüssel kann sicher für den Schlüsselaustausch und die Datenverschlüsselung weitergegeben werden.
• Der private Schlüssel bleibt auf dem Gerät des Benutzers geschützt, um sichere Schlüsseloperationen zu gewährleisten.
• Sie bietet einen stärkeren Schutz vor Angriffen als die symmetrische Verschlüsselung.

Dieses System unterstützt SSL-Zertifikate, digitale Signaturen und andere Verschlüsselungsprotokolle, die sensible Daten schützen. Die Trennung von öffentlichen und privaten Schlüsseln macht die RSA-Verschlüsselung zu einer Grundlage des Vertrauens in der modernen sicheren Kommunikation.

Wie die Public-Key-Kryptografie auf Verschlüsselung basiert

Die Public-Key-Kryptografie stützt sich auf mathematische Algorithmen zur Generierung von Schlüsselpaaren. Der öffentliche Schlüssel besteht aus einer Folge von Zufallszahlen, die zur Verschlüsselung von Daten verwendet werden, während der private Schlüssel zur Entschlüsselung dient. Nur der vorgesehene Empfänger, der im Besitz des privaten Schlüssels ist, kann die verschlüsselten Daten lesen.

Öffentliche Schlüssel werden mithilfe eines komplexen kryptografischen Algorithmus erstellt, der sie mathematisch mit ihren privaten Schlüsseln verknüpft, wodurch sie äußerst widerstandsfähig gegen Brute-Force-Angriffe oder Erratungsversuche sind.

Die Schlüsselgröße bzw. Bitlänge öffentlicher Schlüssel bestimmt die Stärke des Schutzes. Beispielsweise werden 2048-Bit-RSA-Schlüssel häufig in SSL-Zertifikaten, digitalen Signaturen und anderen digitalen Zertifikaten verwendet. Diese Schlüssellänge bietet ausreichende kryptografische Sicherheit, um Hacker daran zu hindern, den Algorithmus zu knacken. Standardisierungsgremien wie das CA/Browser Forum definieren Mindestanforderungen für unterstützte Schlüsselgrößen und Algorithmen, um Vertrauen und Interoperabilität zwischen verschiedenen Systemen zu gewährleisten.

PKI ermöglicht die digitalen Zertifikate, denen wir täglich unauffällig und allgegenwärtig begegnen, wenn wir Websites, mobile Apps, Online-Dokumente und vernetzte Geräte nutzen. Einer der häufigsten Anwendungsfälle von PKI ist X.509-basiertes Transport Layer Security (TLS)/Secure Socket Layer (SSL). Dies ist die Grundlage des HTTPS-Protokolls, das sicheres Surfen im Internet ermöglicht. Digitale Zertifikate kommen jedoch auch in einer Vielzahl weiterer Anwendungsfälle zum Einsatz, darunter die Signierung von Anwendungscode, digitale Signaturen und andere Aspekte der digitalen Identität und Sicherheit.

RSA-, DSA- und ECC-Algorithmen

Es gibt drei primäre Algorithmen für die PKI-Schlüsselgenerierung, die jeweils auf einem unterschiedlichen mathematischen Problem basieren, das ihre Stärke und Effizienz bestimmt:

• Rivest–Shamir–Adleman (RSA): Basierend auf der Schwierigkeit, große Primzahlen zu faktorisieren, ist die RSA-Verschlüsselung der etablierteste und am weitesten verbreitete Algorithmus für SSL-Zertifikate und digitale Signaturen.
• Digital Signature Algorithm (DSA): Stützt sich auf das Problem des diskreten Logarithmus, um digitale Signaturen zu erzeugen und die Authentizität zu überprüfen. DSA wird von der US-Bundesregierung empfohlen und für die sichere Dokumentenvalidierung verwendet.
• Kryptografie mit elliptischen Kurven (ECC): Nutzt die algebraische Struktur elliptischer Kurven, um Sicherheit bei deutlich kürzeren Schlüssellängen zu gewährleisten, wodurch die Leistung verbessert und der Speicher- sowie Bandbreitenbedarf reduziert wird.

Was ist RSA?

Der RSA-Algorithmus wurde 1977 von Ron Rivest, Adi Shamir und Leonard Adleman entwickelt. Er basiert auf der Tatsache, dass die Faktorisierung großer Primzahlen erhebliche Rechenleistung erfordert. Er war der erste Algorithmus, der das Modell aus öffentlichem und privatem Schlüssel verwendete, und genießt bis heute großes Vertrauen. Bei RSA gibt es unterschiedliche Schlüssellängen, wobei 2048-Bit-RSA-Schlüssellängen heute für die meisten Websites der Standard sind.

Was ist ECC?

ECC-Verschlüsselung, auch bekannt als Elliptic Curve Cryptography, basiert auf mathematischen Algorithmen, die die algebraische Struktur elliptischer Kurven über endlichen Körpern regeln. Sie bietet ein gleichwertiges Maß an kryptografischer Stärke wie RSA und DSA, jedoch mit deutlich kürzeren Schlüssellängen, wodurch der Speicherbedarf und die Bandbreitenanforderungen reduziert werden. Aus diesem Grund wird häufig ein Vergleich zwischen ECC und RSA angestellt. ECC bietet eine schnellere Leistung, insbesondere auf Mobilgeräten und IoT-Geräten. ECC wurde standardisiert, nachdem der „Elliptic Curve Digital Signature Algorithm“ (ECDSA) 1999 akkreditiert wurde, und wird auch von der NSA empfohlen.

Was ist DSA?

Die DSA-Verschlüsselung (Digital Signature Algorithm) verwendet einen anderen Algorithmus als RSA zur Erstellung von öffentlichen und privaten Schlüsseln, der auf modularer Potenzierung und dem mathematischen Problem des diskreten Logarithmus basiert. Bei Schlüsseln gleicher Länge bietet sie das gleiche Sicherheitsniveau wie RSA. Der Vergleich zwischen DSA und RSA dreht sich oft um die Signaturgeschwindigkeit und die Effizienz der Verifizierung. DSA wurde 1991 vom National Institute of Standards and Technology (NIST) vorgeschlagen und 1993 in den Federal Information Processing Standard (FIPS) aufgenommen.

Beachten Sie, dass es möglich ist, mehrere Verschlüsselungsalgorithmen gleichzeitig zu unterstützen. Beispielsweise können Apache-Server sowohl RSA- als auch DSA-generierte Schlüssel auf demselben Server unterstützen, was Flexibilität und eine höhere Unternehmenssicherheit bietet.

Wie lassen sich RSA und DSA vergleichen?

Zwar verwenden RSA und DSA unterschiedliche Arten von mathematischen Algorithmen zur Generierung ihrer Schlüsselpaare, doch liegt der wesentliche Unterschied zwischen RSA- und DSA-Schlüsseln in der Leistung und Geschwindigkeit, nicht in der kryptografischen Stärke.

Leistung und Geschwindigkeit

Die RSA-Verschlüsselung ist beim Verschlüsseln und Signieren schneller als DSA, beim Entschlüsseln und Verifizieren jedoch langsamer. Da die Authentifizierung jedoch beide Schlüsseloperationen erfordert, ist der tatsächliche Leistungsunterschied für die meisten Anwendungen minimal.

RSA ist auch bei der Schlüsselgenerierung langsamer als DSA, doch da Schlüssel einmal generiert und über Monate oder Jahre hinweg verwendet werden, spielt dies oft keine wesentliche Rolle.

Unterstützung des SSH-Protokolls

Ein weiterer Unterschied zeigt sich bei der Unterstützung des Secure-Shell-Protokolls (SSH). RSA ist sowohl mit dem ursprünglichen SSH als auch mit der neueren zweiten Version SSH2 kompatibel, während DSA nur SSH2 unterstützt. Da SSH2 sicherer ist, kann dieser Unterschied in bestimmten Umgebungen die Entscheidung zwischen DSA und RSA beeinflussen.

Empfehlung der US-Bundesregierung

Ein weiterer Unterschied zwischen DSA und RSA besteht darin, dass DSA von der US-Bundesregierung empfohlen wird. Für Unternehmen, die Dienstleistungen für Bundesbehörden erbringen, kann die Einhaltung staatlicher Standards ein Grund für die Wahl von DSA sein.

Fazit: Für die meisten Anwendungsfälle, Branchen und regulatorischen Rahmenbedingungen sind RSA und DSA sehr ähnlich, bieten eine gleichwertige kryptografische Stärke und weisen relativ geringe Unterschiede auf. Beide Algorithmen sind zudem gleichermaßen kompatibel mit führenden Internetprotokollen wie Nettle, OpenSSL, wolfCrypt, Crypto++ und cryptlib.

Wie schneidet ECC im Vergleich zu RSA und DSA ab?

Der größte Unterschied zwischen ECC und RSA bzw. DSA ist die höhere kryptografische Stärke, die ECC bei gleicher Schlüsselgröße bietet. Ein ECC-Schlüssel ist sicherer als ein RSA- oder DSA-Schlüssel gleicher Größe und bietet gleichwertige Sicherheit bei deutlich geringerem Rechenaufwand.

Vergleich der Schlüsselgrößen:

Empfohlene Schlüsselgrößen laut NIST

ECC ist effizienter

Wie die Abbildung zeigt, erreichen Sie mit ECC eine gleichwertige kryptografische Stärke wie mit RSA oder DSA bei deutlich kleineren Schlüsselgrößen – etwa eine Größenordnung kleiner. Um beispielsweise die gleichwertige kryptografische Stärke einer Verschlüsselung mit einem symmetrischen 112-Bit-Schlüssel zu erreichen, wäre bei RSA ein 2048-Bit-Schlüssel erforderlich, bei ECC hingegen nur ein 224-Bit-Schlüssel. Die reduzierte Schlüsselgröße führt zu schnelleren Schlüsseloperationen, geringerem Speicherbedarf und verbesserter Leistung bei SSL-Zertifikaten und sicheren Schlüsselaustauschprozessen.

Die kürzeren Schlüssellängen bedeuten, dass Geräte weniger Rechenleistung zum Ver- und Entschlüsseln von Daten benötigen, wodurch sich ECC gut für mobile Geräte, das Internet der Dinge und andere Anwendungsfälle mit begrenzter Rechenleistung eignet.

Sicherheit und Geschwindigkeit

Auch in eher traditionellen Anwendungsfällen wie Webservern bietet ECC gegenüber RSA oder DSA einige Vorteile, da kleinere Schlüsselgrößen eine höhere Sicherheit bei schnelleren SSL-Handshakes ermöglichen, was sich in kürzeren Ladezeiten von Webseiten niederschlägt. Kleinere ECC-Schlüssel ermöglichen einen stärkeren Schutz bei gleichbleibender Effizienz, was bei groß angelegten Implementierungen ein wesentlicher Vorteil ist.

Es ist erwähnenswert, dass ECDSA, die ursprüngliche Version von ECC, eine Variante von DSA ist. ECDSA bietet pro Bitanzahl ein gleichwertiges Maß an kryptografischer Stärke wie ECC.

Warum wird die Kryptografie mit elliptischen Kurven nicht weit verbreitet eingesetzt?

Während RSA der am weitesten verbreitete Algorithmus ist, hat ECC im Laufe der Jahre an Beliebtheit gewonnen. Einer der einfacheren Gründe für die Dominanz von RSA ist, dass es diesen Algorithmus schon länger gibt. Allerdings gibt es einige Nachteile von ECC, die weiter erklären könnten, warum es gemieden wird:

• Komplexität: Das Erlernen und die Einführung von ECC erfordern mehr Zeit und sind komplexer als bei RSA. Dies kann das Fehlerrisiko erhöhen, was sich negativ auf die Cybersicherheit auswirkt.
• Sicherheitslücken: ECC kann anfällig für Seitenkanalangriffe (SCA) sein, die zu Brute-Force-Angriffen führen können. Außerdem kann es anfällig für „Twist“-Sicherheitsangriffe sein, obwohl es Gegenmaßnahmen gibt, um diese Angriffe zu verhindern.
• Kompatibilität: Ältere Infrastrukturen und Legacy-Software wurden in erster Linie auf der Grundlage von RSA und DSA entwickelt, was die ECC-Unterstützung in manchen Umgebungen einschränkt. Da sich die Standards jedoch weiterentwickeln und die ECC-Implementierungen ausgereifter werden, setzen immer mehr Organisationen aufgrund der Effizienz und langfristigen Sicherheit auf ECC.

Was bedeutet Quantencomputing für die Zukunft von Verschlüsselungsalgorithmen?

Quantencomputing stellt eine ernsthafte Bedrohung für traditionelle kryptografische Verfahren wie RSA, DSA und ECC dar. Diese Algorithmen basieren auf mathematischen Problemen wie der Faktorisierung großer Primzahlen und diskreten Logarithmen, die mit einem Quantencomputer fast augenblicklich lösbar wären. Sobald dies geschieht, könnte die in den meisten SSL-Zertifikaten, digitalen Signaturen und sicheren Kommunikationsverbindungen verwendete Verschlüsselung innerhalb von Sekunden geknackt werden.

Auswirkungen in der Praxis, wenn Quantencomputer Einzug halten

Auswirkungen in der Praxis, wenn Quantencomputer Einzug halten

Wenn Unternehmen es versäumen, quantensichere Kryptografie einzuführen, bevor groß angelegte Quantencomputer verfügbar sind, werden die folgenden Szenarien sehr wahrscheinlich:

• „Harvest now, decrypt later“-Angriffe: Angreifer sammeln heute verschlüsselte Kommunikation, die auf Systemen mit RSA-, ECC- oder DSA-Schlüsseln basiert, speichern sie und entschlüsseln sie dann, sobald Quantenressourcen verfügbar sind.
• Gefährdete Vertraulichkeit: Websites, E-Mail-Systeme, virtuelle private Netzwerke und andere sichere Kanäle, die mit klassischer Public-Key-Kryptografie geschützt sind, könnten innerhalb von Minuten statt Jahren geknackt werden.
• Untergrabung von Authentifizierung und digitalen Signaturen: Vertrauensrahmen, die auf Algorithmen für digitale Signaturen (z. B. DSA- und ECC-Varianten) beruhen, können gefälscht oder ungültig gemacht werden, was den Softwarevertrieb, Finanztransaktionen, die Identitätsprüfung und elektronische Dokumente gefährdet.
• Risiken für kritische Infrastrukturen: Systeme in den Bereichen Finanzen, Gesundheitswesen, Energie, Verkehr und öffentliche Verwaltung, die auf Public-Key-Kryptografie angewiesen sind, könnten bei einer Knackung der Verschlüsselung mit Betriebsstörungen, Datenlecks oder der Einschleusung falscher Daten konfrontiert werden.
• Risiken hinsichtlich Regulierung und Compliance: Organisationen könnten feststellen, dass sie neue Vorschriften nicht erfüllen, die eine Umstellung auf quantensichere kryptografische Standards vorschreiben, was sie rechtlichen, rufschädigenden oder finanziellen Sanktionen aussetzen könnte.

Was sind die neuen Post-Quantum-Verschlüsselungsstandards des NIST?

Um sich auf diesen Wandel vorzubereiten, hat das National Institute of Standards and Technology (NIST) die aktuelle Post-Quanten-Kryptografie (PQC) bewertet und im Rahmen der Federal Information Processing Standards (FIPS) neue postquantenverschlüsselungsstandards eingeführt. Diese neuen Algorithmen sind so konzipiert, dass sie Angriffen sowohl durch klassische als auch durch Quantencomputer standhalten.

• FIPS 203 – ML-KEM (CRYSTALS-Kyber): Der primäre Standard für die Verschlüsselung, der gitterbasierte Mathematik für kleine, schnelle Schlüssel und geringen Speicherbedarf nutzt.
• FIPS 204 – ML-DSA (CRYSTALS-Dilithium): Der Hauptstandard für digitale Signaturen, der hohe Geschwindigkeit mit starkem kryptografischem Schutz in Einklang bringt.
• FIPS 205 – SLH-DSA (SPHINCS+): Eine zustandslose, hashbasierte Alternative zu FIPS 204; sie ist langsamer und speicherintensiver, nutzt jedoch eine andere mathematische Struktur für zusätzliche Robustheit.
• FIPS 206 – FN-DSA (FALCON): Ein neuer, noch nicht endgültig festgelegter Standard wird FN-DSA heißen – kurz für FFT (Fast-Fourier-Transformation) über einem NTRU-gitterbasierten Algorithmus für digitale Signaturen.

Nächste Schritte: Entwicklung einer quantenresistenten Sicherheitsstrategie

Die Vorbereitung auf das Quantenzeitalter beginnt mit Bewusstsein und proaktiver Planung. Unternehmen sollten zunächst ermitteln, wo derzeit RSA-, DSA- und ECC-Algorithmen zum Einsatz kommen, unter anderem in SSL-Zertifikaten, VPNs, internen Authentifizierungssystemen und bei der Signierung von Anwendungscode. Auf dieser Grundlage können Sicherheitsteams die Umstellung auf quantensichere Algorithmen priorisieren.

Die Q.U.A.N.T.-Strategie von Sectigo bietet einen klaren Rahmen zur Steuerung dieses Prozesses und hilft Unternehmen dabei, ihren kryptografischen Fußabdruck zu quantifizieren, Risiken aufzudecken sowie den sicheren Übergang zu bewerten und strategisch zu planen. Durch diesen Ansatz können Teams die Implementierung mit automatisierten, quantensicheren Lösungen vorantreiben und den laufenden Fortschritt verfolgen, um die kryptografische Agilität im Zuge der Weiterentwicklung der Standards aufrechtzuerhalten.

Unternehmen können den Schritt voraus bleiben, indem sie mit einer vertrauenswürdigen Zertifizierungsstelle wie Sectigo zusammenarbeiten, einem Vorreiter an der Spitze der Entwicklung der postquanten Kryptografie.

Sichern Sie Ihre Zukunft mit den PQC-fähigen Sicherheitslösungen von Sectigo

Nachdem Sie nun wissen, wie sich die Verschlüsselungsalgorithmen RSA, DSA und ECC unterscheiden und wie Quantencomputer die Verschlüsselungsstandards bald grundlegend verändern werden, ist es an der Zeit, Ihr Unternehmen auf die Zukunft vorzubereiten. Sectigo bietet vertrauenswürdige digitale Zertifikate und fortschrittliche Lösungen für die Post-Quanten-Kryptografie, die Unternehmen einen reibungslosen Übergang zur Verschlüsselung der nächsten Generation ermöglichen sollen.

Können Sie sich noch heute mit uns in Verbindung setzen, um mehr darüber zu erfahren, wie unsere Produkte Ihre Website vor Sicherheitsbedrohungen schützen können. Wir empfehlen Ihnen auch, sich mit den PQC-Lösungen von Sectigo vertraut zu machen.

Quantenresistente Algorithmen lösen zwar das kryptografische Problem, bringen jedoch ein praktisches Problem mit sich: wesentlich größere Schlüssel und Signaturen. Würden sie über die heutige Public-Key-Infrastruktur (PKI) eingesetzt, würden sie jede sichere Verbindung aufblähen und damit die Kosten für Bandbreite, Rechenleistung und Speicherplatz im gesamten Internet in die Höhe treiben. Mobile Nutzer und Netzwerke mit hoher Latenz würden dies am stärksten spüren, doch einige Systeme wie ältere Webserver und Lastverteiler könnten sogar vollständig ausfallen.

Angesichts dieser Grenzen haben Kryptografen aus der gesamten Branche, darunter Teams bei Google und Cloudflare sowie mit Beiträgen von Sectigo, einen neuen Ansatz entwickelt. Merkle-Tree-Zertifikate (MTCs) zwingen keine großen postquanten-Signaturen in eine Infrastruktur, die nicht dafür ausgelegt ist, sondern überdenken die Art und Weise, wie Zertifikate für das postquantenzeitalter erstellt und bereitgestellt werden.

Was ist ein Merkle-Tree-Zertifikat?

Ein MTC ist ein neuer Ansatz für digitale Zertifikate, der die während einer sicheren Verbindung ausgetauschte Datenmenge drastisch reduziert. Anstatt jedes Zertifikat einzeln zu signieren und bei jedem Handshake eine vollständige Kette zu senden, fasst eine Zertifizierungsstelle die von ihr ausgestellten Zertifikate in einer einzigen Struktur zusammen, die als Merkle-Baum bezeichnet wird. Die Zertifizierungsstelle signiert den Baum anstelle der einzelnen Zertifikate, und Browser erhalten die vertrauenswürdigen Baumköpfe im Voraus über eine Transparenzinfrastruktur. Die signierten Elemente des Baums sind Hash-Zusammenfassungen, die an sich quantenresistent sind.

Wenn ein Browser eine Verbindung zu einer Website herstellt, legt die Website einen kurzen Nachweis vor – lediglich eine Handvoll Hashes –, der zeigt, dass ihr Zertifikat zu einem Baum gehört, dem der Browser bereits vertraut. Die umfangreiche Signaturkette wird niemals über das Netzwerk übertragen. Dieser Unterschied ist im Post-Quanten-Maßstab von Bedeutung. Eine einzelne ML-DSA-Signatur ist etwa 2,4 Kilobyte groß, und eine herkömmliche Signaturkette würde mehrere davon sowie Transparenz-Artefakte übertragen. Der Merkle-Nachweis, der diese ersetzt, ist in der Regel kleiner als ein Kilobyte.

MTCs werden wahrscheinlich neben den Zertifikaten bestehen, die wir heute verwenden. Rechnen Sie mit einer Zukunft, in der quantenresistente Methoden effizient, transparent und mit dem Web in seiner derzeitigen Form kompatibel bleiben.

Warum sind Merkle-Tree-Zertifikate für das Internet wichtig?

PKI ist in all unseren Technologie-Stacks allgegenwärtig. Cloud-Anwendungen, KI-gesteuerte Workloads und Milliarden vernetzter Geräte sind alle auf schnelle, konstante TLS-Handshakes angewiesen. Wenn die postquantenauthentifizierung diese Handshakes verlangsamt, spürt das jeder. MTCs sind wichtig, weil sie diesen Kompromiss auf zwei wesentliche Arten beseitigen.

1. Merkle-Tree-Zertifikate tragen dazu bei, das Internet schnell zu halten

Würden herkömmliche postquanten-Signaturen auf öffentlichen Websites erzwungen, würde dies die Größe der Handshakes in die Höhe treiben und die Benutzererfahrung beeinträchtigen, insbesondere auf Mobilgeräten und bei Verbindungen mit hoher Latenz. MTCs umgehen dieses Problem, indem sie mehrere große Signaturen durch einen kompakten Inklusionsnachweis ersetzen und den Overhead damit nahe an dem halten, was Nutzer heute erleben. Wir können das Internet genau so weiter nutzen wie bisher – schnell und unterbrechungsfrei –, wobei die Quantenresistenz im Hintergrund gewährleistet ist.

2. Merkle-Tree-Zertifikate machen Transparenz zu einem integralen Bestandteil des Designs

In der heutigen PKI wird die Protokollierung der Zertifikatstransparenz (Certificate Transparency, CT) als separater Schritt an den Ausstellungsvorgang angehängt. Wenn die Protokollierung fehlschlägt, kann ein Zertifikat unbemerkt im Umlauf bleiben und so eine Sicherheitslücke schaffen.

MTCs kehren dieses Verhältnis um. Die Erstellung eines Zertifikats ist gleichzeitig dessen Protokollierung. Befindet sich ein Zertifikat nicht im Baum, existiert es schlichtweg nicht. Das ist entscheidend, da Authentifizierung in einer postquanten Welt ohne vollständige Transparenz nicht wirklich sicher sein kann – und MTCs machen diese beiden Aspekte untrennbar miteinander verbunden.

Unsere Vision: Sectigo und Merkle-Tree-Zertifikate

Die Dynamik hinter diesem Wandel ist real und messbar. Browser haben signalisiert, dass MTCs ihr bevorzugter Weg sind, um postquanten-sichere Zertifikate im öffentlichen Web einzuführen, und Machbarkeitsexperimente laufen bereits mit echtem Internetverkehr. Sectigo ist davon überzeugt, dass MTCs den vielversprechendsten Weg zur postquanten-sicheren Authentifizierung darstellen, der die Leistung und Skalierbarkeit bewahrt, auf die Unternehmen heute angewiesen sind.

Gleichzeitig verfolgen wir weiterhin das gesamte postquanten-Ökosystem, von NIST-standardisierten Algorithmen wie ML-DSA bis hin zu sich weiterentwickelnden IETF-Spezifikationen, Entscheidungen zur Browser-Roadmap und Anforderungen an die Einführung in Unternehmen. Der volle Umfang dessen, was MTCs leisten können, rückt erst allmählich in den Fokus. Klar ist bereits, dass Unternehmen Transparenz, Automatisierung und kryptografische Agilität benötigen, um sich an die Weiterentwicklung der Standards anpassen zu können. Sectigo setzt sich weiterhin dafür ein, Kunden bei der Vorbereitung auf diese Zukunft zu unterstützen – ganz gleich, welche Form die zugrunde liegende Zertifikatsarchitektur annehmen wird.

Diese Zertifikate verknüpfen einen öffentlichen Schlüssel mit einer verifizierten Identität und ermöglichen es Systemen, die Legitimität einer digitalen Entität zu bestätigen. Sie bilden die Grundlage der Online-Sicherheit und schützen die Kommunikation über Websites, Anwendungen, Dokumente und Geräte hinweg.

Jedes X.509-Zertifikat enthält einen öffentlichen Schlüssel, Identifizierungsdaten und eine digitale Signatur einer vertrauenswürdigen Zertifizierungsstelle (CA). Die digitale Signatur bestätigt die Integrität und Herkunft des Zertifikats und ist Teil einer Zertifikatskette, die zu einer vertrauenswürdigen Stamm-CA zurückführt. Diese Struktur fördert das Vertrauen und hilft, Identitätsbetrug zu verhindern.

Eine zentrale Stärke eines X.509-Zertifikats besteht darin, dass es ein Schlüsselpaar verwendet, das aus einem zugehörigen öffentlichen Schlüssel und einem privaten Schlüssel besteht. In der Kryptografie wird das Paar aus öffentlichem und privatem Schlüssel verwendet, um sichere Sitzungsschlüssel zu erstellen, Identitäten zu überprüfen und verschlüsselte Kommunikation zu ermöglichen.

Die häufigste Anwendung einer X.509-basierten PKI ist Secure Sockets Layer (SSL) / Transport Layer Security (TLS), die Grundlage des HTTPS-Protokolls, das sicheres Surfen im Internet ermöglicht. Über HTTPS hinaus wird der X.509-Standard auch für die Codesignierung zur Anwendungssicherheit, für digitale Signaturen und andere kritische Internetprotokolle verwendet.

Versionsgeschichte von X.509

Die erste Version des X.509-Standards wurde 1988 veröffentlicht. Um die Regeln für die Zertifikatsausstellung zu formalisieren, entwickelte der Telekommunikationsstandardisierungssektor der ITU (ITU-T) ein hierarchisches System für Distinguished Names, das den Regeln des elektronischen Verzeichnisdienstes für X.500 folgte und von den Systemen zur weltweiten Vergabe von Telefonnummern inspiriert war, jedoch auf die flexibleren organisatorischen Anforderungen des Internets angewendet wurde.

Version 3 führte eine umfassende Aktualisierung mit Unterstützung für mehrere Erweiterungen ein. In nachfolgenden Überarbeitungen wurde der v3-Standard weiterentwickelt, um moderne Anwendungsfälle im Internet und sich wandelnde Sicherheitsanforderungen zu unterstützen.

Darüber hinaus hat die Internet Engineering Task Force (IETF) über ihre als PKIX bekannte Arbeitsgruppe für Public-Key-Infrastrukturen den X.509-v3-Zertifikatsstandard angepasst, um das Internet-X.509-Zertifikat für Public-Key-Infrastrukturen und die Zertifikatssperrliste (CRL) zu schaffen, bekannt als RFC 5280. Dieses Profil wird heute weit verbreitet genutzt, um festzulegen, wie Zertifikate und Sperrlisten in Internetsystemen gehandhabt werden.

Die Vorteile von X.509-Zertifikaten

Da X.509-Zertifikate den sicheren Nachrichtenaustausch und das sichere Surfen im Internet ermöglichen, bietet ihre Nutzung erhebliche Vorteile für Unternehmen. Sie dienen zur Authentifizierung von Websites, zur Verschlüsselung von Daten während der Übertragung sowie zur Validierung von Benutzern und Geräten sowohl in öffentlichen als auch in privaten Netzwerken. Ihre Struktur, die eine vertrauenswürdige digitale Signatur einer Zertifizierungsstelle (CA) umfasst, macht sie zu einem integralen Bestandteil der Funktionsweise sicherer Kommunikationsprotokolle wie SSL/TLS und S/MIME.

Durch die Verknüpfung einer verifizierten Identität mit einem öffentlichen Schlüssel schaffen X.509-Zertifikate digitales Vertrauen, das Sicherheit und Datenschutz bei jeder Interaktion gewährleistet. Diese Vorteile erstrecken sich auf den Webverkehr, interne Systeme, APIs, die E-Mail-Kommunikation und darüber hinaus.

Vertrauen schaffen

Digitale Zertifikate, auch als Public-Key-Zertifikate bekannt, ermöglichen es Einzelpersonen, Organisationen und sogar Geräten, ihre Identität in einem digitalen Kontext nachzuweisen. Als Grundlage für alle digitalen Identitäten sind X.509-Zertifikate allgegenwärtig und unverzichtbar für jeden vernetzten Prozess – von Websites über Anwendungen bis hin zu Endgeräten und Online-Dokumenten. Ohne sie könnten wir beispielsweise nicht darauf vertrauen, dass www.amazon.com tatsächlich die Website von Amazon ist.

Dieses Maß an Vertrauen wird nicht nur durch die kryptografische Architektur, sondern auch durch den Prozess der Zertifikatsausstellung geschaffen. Das X.509-Format unterstützt die Identitätsvalidierung, indem es bestätigt, dass:

1. der öffentliche Schlüssel zu der im Zertifikat enthaltenen Domain, Organisation oder Person gehört
2. das Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle (CA) wie Sectigo signiert oder selbst signiert wurde
3. das Zertifikat definierten Zertifikatsrichtlinien entspricht und nicht widerrufen oder verändert wurde

Wenn ein Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle (CA) signiert ist, kann der Zertifikatsnutzer sicher sein, dass der Zertifikatsinhaber oder der Hostname/die Domain validiert wurde, während selbstsignierte Zertifikate in geringerem Maße vertrauenswürdig sind, da der Inhaber vor der Ausstellung keiner zusätzlichen Validierung unterzogen wird.

Skalierbarkeit ermöglichen

Die Architektur der Public-Key-Infrastruktur (PKI), die hinter X.509-Zertifikaten steht, unterstützt eine enorme Skalierbarkeit. Unternehmen können den täglichen Datenaustausch in Milliardenordnung mit Zertifikaten schützen, deren Überprüfung oder Entschlüsselung keinerlei manuellen Eingriff erfordert. Dies ist möglich, da öffentliche Schlüssel offen verteilt werden können, ohne den privaten Schlüssel preiszugeben, der zum Entsperren der verschlüsselten Daten benötigt wird.

Dadurch eignen sich X.509-Zertifikate in einzigartiger Weise für die Skalierung sicherer Identitätsprüfung und Verschlüsselung über Cloud-Dienste, Unternehmensnetzwerke, vernetzte Geräte und grenzüberschreitende Systeme hinweg.

Krypto-Agilität fördern

Der X.509-Standard unterstützt mehrere kryptografische Algorithmen, darunter RSA, ECC und DSA, und wird derzeit erweitert, um neue Post-Quanten-Algorithmen zu unterstützen. Diese Flexibilität ermöglicht es Unternehmen, im Laufe der Zeit stärkere Kryptografie einzuführen, ohne ihre gesamte PKI-Infrastruktur neu aufbauen zu müssen. Während sich Algorithmen weiterentwickeln und Bedrohungen zunehmen, stellt diese Krypto-Agilität sicher, dass Systeme durch aktuelle, standardbasierte Verschlüsselung geschützt bleiben.

Förderung der Interoperabilität

Der X.509-Standard wird von allen Browsern, Betriebssystemen, mobilen Plattformen, Netzwerkgeräten und Cloud-Anbietern universell unterstützt. Diese umfassende Kompatibilität ermöglicht es, dass Zertifikate in verschiedenen Umgebungen und bei unterschiedlichen Anbietern einheitlich funktionieren.

Unterstützung von Automatisierung und Lebenszyklusmanagement

Der Lebenszyklus digitaler Zertifikate kann mithilfe von Protokollen wie ACME, EST und SCEP automatisch verwaltet werden. Unternehmen können X.509-Zertifikate in großem Maßstab ohne manuellen Aufwand ausstellen, erneuern und widerrufen. Diese Automatisierung verringert das Risiko abgelaufener Zertifikate, Ausfälle oder menschlicher Fehler und trägt dazu bei, die Verfügbarkeit kritischer Systeme aufrechtzuerhalten.

Wie funktionieren X.509-Zertifikate?

X.509-Zertifikate funktionieren, indem sie einen öffentlichen Schlüssel mithilfe einer digitalen Signatur einer vertrauenswürdigen Zertifizierungsstelle (CA) an eine verifizierte Identität binden. Das Zertifikat folgt einer definierten Struktur, die eine sichere Datenverschlüsselung, Authentifizierung und Vertrauensvalidierung systemübergreifend ermöglicht.

Der X.509-Standard basiert auf einer als Abstract Syntax Notation One (ASN.1) bekannten Schnittstellenbeschreibungssprache, die Datenstrukturen definiert, die plattformübergreifend serialisiert und deserialisiert werden können. Mithilfe des mit dem Zertifikat verknüpften Schlüsselpaars können Systeme sichere Sitzungen aufbauen, digitale Signaturen überprüfen und die Kommunikation schützen.

Die Grundlage der Public-Key-Infrastruktur

Der öffentliche Schlüssel besteht aus einer Folge von Zufallszahlen und kann zur Verschlüsselung einer Nachricht verwendet werden. Nur der beabsichtigte Empfänger kann diese verschlüsselte Nachricht entschlüsseln und lesen, und dies ist nur mit dem zugehörigen privaten Schlüssel möglich, der ebenfalls aus einer langen Folge von Zufallszahlen besteht. Der private Schlüssel bleibt geheim und wird niemals weitergegeben.

Da der öffentliche Schlüssel für jedermann einsehbar veröffentlicht wird, werden öffentliche Schlüssel mithilfe eines komplexen kryptografischen Algorithmus erstellt, um sie mit einem zugehörigen privaten Schlüssel zu paaren. Dabei werden zufällige Zahlenkombinationen unterschiedlicher Länge generiert, sodass sie nicht durch Brute-Force-Angriffe ausgenutzt werden können.

Die gängigsten Algorithmen zur Generierung öffentlicher Schlüssel sind:

• Rivest–Shamir–Adleman (RSA): Ein weit verbreiteter Algorithmus, der auf der Schwierigkeit der Faktorisierung großer Primzahlen beruht.
• Kryptografie mit elliptischen Kurven (ECC): Nutzt elliptische Kurven über endlichen Körpern, um hohe Sicherheit bei kürzeren Schlüssellängen zu gewährleisten.
• Algorithmus für digitale Signaturen (DSA): Basiert auf modularer Potenzierung und dem Problem des diskreten Logarithmus.

Die Schlüsselgröße bzw. Bitlänge öffentlicher Schlüssel bestimmt die Stärke des Schutzes. Beispielsweise werden 2048-Bit-RSA-Schlüssel häufig in SSL-Zertifikaten, digitalen Signaturen und anderen digitalen Zertifikaten verwendet. Diese Schlüssellänge bietet ausreichende kryptografische Sicherheit, um Hacker daran zu hindern, den Algorithmus zu knacken. Standardisierungsgremien wie das CA/Browser Forum definieren Mindestschlüsselgrößen und kryptografische Anforderungen, um Vertrauen und Kompatibilität über Browser und Systeme hinweg zu gewährleisten.

Ausstellungsfelder

Die Felder eines X.509-Zertifikats enthalten Informationen über die Identität, auf die das Zertifikat ausgestellt ist, sowie über die Identität der ausstellenden Zertifizierungsstelle (CA). Zu den Standardfeldern gehören:

• Version: Die verwendete X.509-Version, die die Struktur und die verfügbaren Erweiterungen bestimmt.
• Seriennummer: Die von der Zertifizierungsstelle (CA) bereitgestellte eindeutige Seriennummer, die das Zertifikat von anderen unterscheidet.
• Signaturalgorithmus: Die spezifische Hash- und Verschlüsselungsmethode, die zur Erzeugung der digitalen Signatur verwendet wird.
• Signaturwert: Die digitale Signatur selbst, die mit dem privaten Schlüssel der Zertifizierungsstelle erstellt wurde, um den Inhalt des Zertifikats zu authentifizieren.
• Distinguierter Name des Ausstellers: Der Name der Zertifizierungsstelle, die das Zertifikat ausstellt
• Gültigkeitsdauer des Zertifikats: Das Start- und Enddatum sowie die Uhrzeit, zu denen das Zertifikat gültig ist und als vertrauenswürdig gilt
• Distinguierter Name des Zertifikatsinhabers: Der Name der Identität, auf die das Zertifikat ausgestellt ist
• Informationen zum öffentlichen Schlüssel des Zertifikatsinhabers: – der mit der Identität verknüpfte öffentliche Schlüssel

Gängige Erweiterungen für digitale Zertifikate

Zusätzlich zu den Standardinformationsfeldern wurden mit X.509 Version 3 Erweiterungen eingeführt, die die Funktionalität von Zertifikaten für die moderne Internetnutzung erweitern. Zwei gängige X.509-Zertifikatserweiterungen, die heute verwendet werden, sind:

• Erweiterung „Subject Alternative Name“ (SAN): Ermöglicht es einem Zertifikat, mehrere Identitäten an denselben öffentlichen Schlüssel zu binden. Dazu können zusätzliche Domänen, DNS-Namen, IP-Adressen oder E-Mail-Adressen gehören. Dank dieser Erweiterung kann ein einziges Zertifikat mehrere Endpunkte abdecken, was Komplexität und Kosten reduziert. SAN-fähige Zertifikate werden oft als Multi-Domain-Zertifikate bezeichnet.
• Schlüsselverwendung (Key Usage): Definiert, wie der öffentliche Schlüssel verwendet werden darf, beispielsweise für digitale Signaturen, Schlüsselverschlüsselung oder das Signieren von Zertifikaten. Ein Zertifikat mit der Verwendung „signing-only“ kann beispielsweise nicht zur Verschlüsselung verwendet werden. Dies verhindert Missbrauch und stellt sicher, dass Zertifikate wie vorgesehen eingesetzt werden.

Weitere häufig verwendete Erweiterungen sind „Extended Key Usage“, „Basic Constraints“ und „CRL Distribution Points“, je nach Rolle und Umgebung des Zertifikats.

Digitale Zertifikate nutzen hierarchische Vertrauensketten

Um das Vertrauen in eine Identität weiter zu festigen, werden häufig mehrere digitale Zertifikate kombiniert, um eine hierarchische Vertrauenskette aufzubauen, die eine Reihe von Verifizierungsebenen bietet. Jedes Zertifikat muss im Rahmen des X.509-Verifizierungsprozesses von einer ausstellenden Zertifizierungsstelle (CA) signiert werden. Die CA wird namentlich genannt und in der Stammebene des Zertifikats gespeichert. Zusätzliche Zwischenzertifikate können in die Vertrauenskette aufgenommen werden und müssen validiert werden.

Die vollständige Zertifikatskette umfasst in der Regel:

• Stammzertifikat
• Zwischenzertifikat
• Endzertifikat

Wenn beispielsweise ein Webbrowser-Client das Zertifikat liest, muss er in der Lage sein, dem hierarchischen Zertifizierungspfad zu folgen, einschließlich aller für die Validierung erforderlichen Zwischenzertifikate, die rekursiv mit der im Vertrauensspeicher des Clients aufgeführten Stamm-CA verknüpft sind, wodurch eine vollständige Vertrauenskette entsteht.

Zertifikatssperrlisten (CRLs)

Der X.509-Standard definiert auch die Verwendung einer Zertifikatssperrliste, die alle digitalen Zertifikate auflistet, die von der ausstellenden Zertifizierungsstelle vor dem geplanten Ablaufdatum gesperrt wurden. Eine Sperrung erfolgt in der Regel, wenn ein privater Schlüssel kompromittiert wurde, das Zertifikat unsachgemäß ausgestellt wurde oder sich der Status des Zertifikatsinhabers ändert.

Diesen gesperrten Zertifikaten sollte nicht mehr vertraut werden.

CRLs bieten eine einfache Möglichkeit, Informationen über diese ungültigen Zertifikate zu verbreiten. Allerdings werden CRLs von modernen Webbrowsern und Anwendungen zunehmend zugunsten effizienterer Methoden wie dem Online Certificate Status Protocol (OCSP) und OCSP-Stapling verworfen, die umfassende Sperrfunktionen bieten.

PKI-Zertifikatskodierung

Ein bemerkenswertes Element, das im X.509-Standard nicht definiert ist, ist die Art und Weise, wie der Inhalt eines Zertifikats kodiert werden sollte, um in Dateien gespeichert zu werden.

Es gibt zwei Kodierungsschemata, die üblicherweise zur Speicherung digitaler Zertifikate in Dateien verwendet werden:

• Distinguished Encoding Rules (DER) ist am weitesten verbreitet, da das Schema die meisten Datenobjekte abdeckt. Mit DER kodierte Zertifikate sind Binärdateien und können nicht mit Texteditoren gelesen werden, lassen sich jedoch von Webbrowsern und vielen Client-Anwendungen verarbeiten.
• Privacy Enhanced Mail (PEM) ist ein verschlüsseltes E-Mail-Kodierungsschema, das zur Konvertierung von DER-kodierten Zertifikaten in Textdateien verwendet werden kann.

Häufige Anwendungen der X.509-Infrastruktur mit öffentlichem Schlüssel

Viele Internetprotokolle basieren auf X.509, und es gibt zahlreiche Anwendungen der PKI-Technologie, die täglich zum Einsatz kommen, darunter Webserver-Sicherheit, digitale Signaturen und das Signieren von Dokumenten sowie digitale Identitäten.

Webserver-Sicherheit mit SSL/TLS-Zertifikaten

PKI bildet die Grundlage für die SSL/TLS-Protokolle, die HTTPS-Verbindungen in modernen Webbrowsern unterstützen. Ohne SSL-Zertifikate oder TLS zum Aufbau sicherer Verbindungen könnten Cyberkriminelle das Internet oder andere IP-Netzwerke mithilfe verschiedener Angriffsvektoren, wie z. B. Man-in-the-Middle-Angriffen, ausnutzen, um Nachrichten abzufangen und auf deren Inhalte zuzugreifen.

Digitale Signaturen und Dokumentensignierung

PKI-basierte Zertifikate dienen nicht nur der Sicherung von Nachrichten, sondern ermöglichen auch fälschungssichere digitale Signaturen und eine verifizierte Dokumentensignierung.

Digitale Signaturen sind eine spezielle Art der elektronischen Signatur, die PKI nutzt, um die Identität des Unterzeichners sowie die Integrität der Signatur und des Dokuments zu authentifizieren. Digitale Signaturen können in keiner Weise verändert oder dupliziert werden, da die Signatur durch die Erzeugung eines Hash-Werts erstellt wird, der mit dem privaten Schlüssel des Absenders verschlüsselt wird. Diese kryptografische Überprüfung verbindet die Signatur mathematisch mit der ursprünglichen Nachricht, um sicherzustellen, dass der Absender authentifiziert ist und die Nachricht selbst nicht verändert wurde.

Code-Signierung

Code-Signierung ermöglicht es Entwicklern, durch die digitale Signierung von Anwendungen, Treibern und Softwareprogrammen eine zusätzliche Sicherheitsstufe zu schaffen, sodass Endbenutzer überprüfen können, ob der empfangene Code nicht von Dritten verändert oder kompromittiert wurde. Um zu bestätigen, dass der Code sicher und vertrauenswürdig ist, enthalten diese digitalen Zertifikate die Signatur des Softwareentwicklers, den Firmennamen und einen Zeitstempel.

E-Mail-Zertifikate

S/MIME-Zertifikate dienen dazu, E-Mail-Absender zu validieren und den Inhalt von Nachrichten sowie Anhängen zu verschlüsseln. Dies verhindert, dass Angreifer Identitäten fälschen oder Nachrichten während der Übertragung auslesen können.

S/MIME nutzt X.509-Zertifikate, um sowohl die persönliche als auch die unternehmensinterne E-Mail-Kommunikation zu sichern und vor Spear-Phishing, Datenverlust und ausgeklügelten Social-Engineering-Angriffen zu schützen.

Viele Branchen setzen auf S/MIME, um gesetzliche oder Compliance-Anforderungen zu erfüllen.

Digitale Identitäten

X.509-Zertifikate bieten zudem eine effektive Authentifizierung digitaler Identitäten. Da sich Daten und Anwendungen über traditionelle Netzwerke hinaus auf mobile Geräte, öffentliche Clouds, private Clouds und Geräte des Internets der Dinge ausweiten, wird die Sicherung von Identitäten wichtiger denn je. Und digitale Identitäten müssen nicht auf Geräte beschränkt sein; sie können auch zur Authentifizierung von Personen, Daten oder Anwendungen verwendet werden. Digitale Identitätszertifikate, die auf diesem Standard basieren, ermöglichen es Unternehmen, die Sicherheit zu verbessern, indem sie Passwörter ersetzen, die Angreifer zunehmend geschickt stehlen können.

Wie erhalte ich ein X.509-Zertifikat?

Eine entscheidende Komponente bei der Bereitstellung von X.509-Zertifikaten ist eine vertrauenswürdige Zertifizierungsstelle (CA) oder ein Agent, der Zertifikate ausstellt und die öffentlichen Schlüssel veröffentlicht, die mit den privaten Schlüsseln einzelner Personen verknüpft sind. Ohne diese vertrauenswürdige CA wäre es für Absender unmöglich zu wissen, ob sie tatsächlich den richtigen öffentlichen Schlüssel verwenden, der mit dem privaten Schlüssel des Empfängers verknüpft ist, und nicht den Schlüssel eines böswilligen Akteurs, der darauf aus ist, sensible Informationen abzufangen und für unlautere Zwecke zu nutzen.

Beim Bezug von X.509-Zertifikaten stehen Ihnen mehrere Optionen zur Verfügung:

• Nutzung einer vertrauenswürdigen externen Zertifizierungsstelle (CA): Anbieter wie Sectigo überprüfen die Identität des Antragstellers und stellen Zertifikate aus, die durch eine öffentliche Vertrauenshierarchie abgesichert sind.
• Betrieb einer eigenen internen CA: Viele Unternehmen und Technologieanbieter entscheiden sich dafür, eine eigene CA zu betreiben, um Zertifikate für interne Systeme, Geräte oder Benutzer auszustellen.
• Verwenden Sie selbstsignierte Zertifikate: Diese werden von der Organisation selbst erstellt und signiert. Sie lassen sich zwar leicht generieren, genießen jedoch kein öffentliches Vertrauen und erfordern eine manuelle Vertrauenskonfiguration.

Unabhängig davon, für welche Methode Sie sich entscheiden, muss die Zertifizierungsstelle:

• die Identität des Antragstellers vor der Ausstellung des Zertifikats überprüfen;
• sicherstellen, dass der veröffentlichte öffentliche Schlüssel korrekt mit dem privaten Schlüssel des Antragstellers verknüpft ist;
• Strenge interne Sicherheitsmaßnahmen einhalten, um sich vor Kompromittierung oder Missbrauch zu schützen.

Verwalten Sie X.509-Zertifikate mit Sectigo

Einer der wichtigsten Aspekte von X.509-Zertifikaten ist deren effektive Verwaltung in großem Maßstab mithilfe von Automatisierung. Ohne hervorragende Mitarbeiter, Prozesse und Technologien setzen sich Unternehmen dem Risiko von Cybersicherheitsverletzungen, Ausfällen, Imageschäden und kritischen Infrastrukturausfällen aus.

Sectigo Certificate Manager (SCM) Pro bietet eine zentralisierte Kontrolle über den gesamten Lebenszyklus öffentlicher und privater Zertifikate. Von der Ausstellung über die Verlängerung bis hin zur Sperrung unterstützt SCM Pro die Automatisierung, die Durchsetzung von Richtlinien und die nahtlose Integration in Ihre bestehende Technologieumgebung.

SCM Enterprise erweitert diese Funktionen auf alle Personen- und Maschinenidentitäten in Ihrem gesamten Unternehmen und bietet ein umfassendes Zertifikatslebenszyklusmanagement über eine einzige Plattform.

Ein SSL-Zertifikat ist eine Art digitales Zertifikat, das die Identität einer Website authentifiziert und eine verschlüsselte Kommunikation zwischen zwei Endpunkten herstellt. Diese kleine Datendatei nutzt das TLS-Protokoll (Transport Layer Security), das der Nachfolger des SSL-Protokolls (Secure Sockets Layer) ist. Sie werden gemeinhin als SSL/TLS-Zertifikate bezeichnet und erfüllen zwei Funktionen:

1. Authentifizierung: SSL-Zertifikate dienen als Berechtigungsnachweis zur Authentifizierung der Identität einer Website. Sie werden für einen bestimmten Domainnamen und Webserver ausgestellt, nachdem eine Zertifizierungsstelle (Certificate Authority, CA) eine Überprüfung der Organisation durchgeführt hat, die das Zertifikat beantragt. Je nach Zertifikatstyp kann es verifizierte Informationen über das Unternehmen oder die Organisation hinter der Website enthalten.
2. Sichere Datenkommunikation: Wenn ein SSL-Zertifikat auf einem Webserver installiert ist, wird im Webbrowser (je nach Browser) ein Vorhängeschloss- oder Schlüsselsymbol angezeigt. Es aktiviert das HTTPS-Protokoll und stellt eine sichere Verbindung zwischen dem Server und dem Browser her. Es ermöglicht den Einsatz von Verschlüsselungsalgorithmen, um die übertragenen Daten in ein unlesbares Format zu verschlüsseln, das nur mit dem richtigen Entschlüsselungsschlüssel gelesen werden kann. Das bedeutet, dass sensible Daten, wie beispielsweise Finanzinformationen, auf sichere Weise übertragen werden können.

Webbrowser zeigen Sicherheitsindikatoren an, wenn eine Website ein Zertifikat vorweist, das von einer vertrauenswürdigen Zertifizierungsstelle wie Sectigo ausgestellt wurde. Um eine vertrauenswürdige Zertifizierungsstelle zu werden, muss ein Unternehmen die von den führenden Browsern und der Branchenorganisation CA/Browser Forum festgelegten Standards für Sicherheits- und Authentifizierungsprozesse einhalten und regelmäßige Audits durchführen.

Wenn eine vertrauenswürdige Zertifizierungsstelle ein Zertifikat an eine Organisation ausstellt, erkennt der Browser das Zertifikat als legitim an. Der Browser informiert den Nutzer darüber, dass die Webadresse sicher ist, und der Nutzer kann die Website sicher besuchen und persönliche Daten eingeben.

Wie funktionieren SSL-Zertifikate?

Wenn eine Person eine Website mit einem SSL/TLS-Zertifikat besucht, findet ein „Handshake“ statt, um einen sicheren Kanal zwischen dem Nutzer und der Organisation herzustellen und alle auf der Website übermittelten Daten vor Missbrauch zu schützen. So funktioniert der Handshake-Vorgang in Echtzeit:

1. Ein Client-System, beispielsweise ein gängiger Webbrowser, stellt eine Verbindung zu einem mit einem SSL/TLS-Zertifikat gesicherten Server her.
2. Der Browser initiiert einen TLS-Handshake mit dem Server.
3. Der Server sendet eine Kopie seines SSL-Zertifikats zurück, einschließlich Typ, Gültigkeitsdauer und Angaben zur Organisation.
4. Der Browser prüft, ob das Zertifikat gültig ist. Ist das Zertifikat nicht installiert, nicht auf dem neuesten Stand der Sicherheitsprotokolle (ist abgelaufen) oder nicht von einer vom Browser als vertrauenswürdig eingestuften Zertifizierungsstelle (CA) ausgestellt, wird dem Nutzer eine Warnmeldung angezeigt.
5. Server und Browser schließen den Schlüsselaustausch und die Handshake-Nachrichten ab und beginnen anschließend eine TLS-verschlüsselte Sitzung.
6. Alle zwischen Browser und Server ausgetauschten Daten sind nun sicher. Sollte ein Hacker die Kommunikation abfangen, bleiben die Daten verschlüsselt und unlesbar.

Digitale Zertifikate sind Bestandteile der Public-Key-Infrastruktur (PKI), die Public-Key-Kryptografie nutzt, um Vertrauen herzustellen. Bei diesem Verfahren werden öffentliche und private Schlüssel verwendet, um Verschlüsselungsschlüssel zu generieren, die die Daten während der Übertragung schützen.

Was ist der Unterschied zwischen SSL und TLS?

TLS ist eine aktualisierte Version von SSL, die erweiterte Verschlüsselungsoptionen bietet; dennoch werden die beiden Abkürzungen oft als gleichbedeutend verwendet.

Secure Sockets Layer (SSL) war der Name des ersten kryptografischen Protokolls, das entwickelt wurde, um die Identität eines über das offene Internet verbundenen Servers sicherzustellen. Dieses Protokoll wurde 1995 geschaffen, um den E-Commerce im Web zu ermöglichen.

SSL 2.0 war die erste Version des Protokolls, die in Produktionssystemen zum Einsatz kam, und wurde bald durch SSL 3.0 abgelöst. Nach Version 3.0 ersetzten die Normungsgremien SSL durch ein fortschrittlicheres Protokoll namens „Transport Layer Security“ (TLS). Zu diesem Zeitpunkt war der Begriff SSL jedoch bereits so weit verbreitet, dass er weiterhin als De-facto-Bezeichnung für TLS verwendet wird.

Zertifikate führen zwar selbst keine Verschlüsselung durch, doch standardbasierte Client- und Server-Software benötigt ein Zertifikat, damit eine Verschlüsselung stattfinden kann. Diese Anforderung rührt daher, dass eine Verschlüsselung ohne die zuverlässige Identifizierung der Gegenpartei auf der anderen Seite einer Verbindung keinen Schutz bietet.

Zu den heute in TLS häufig verwendeten Algorithmen für öffentliche Schlüssel gehören RSA (Rivest-Shamir-Adleman) und ECC (Elliptic Curve Cryptography). Mit dem Fortschritt der Quantencomputer wird erwartet, dass diese Algorithmen jedoch angreifbar werden, was einen Übergang zur postquantenkryptografischen Kryptografie (PQC) erforderlich macht, um die Sicherheit langfristig zu gewährleisten.

Welche verschiedenen Arten von SSL-Zertifikaten gibt es?

Es gibt drei verschiedene Arten von SSL/TLS-Zertifikaten, die nach ihrem Validierungsgrad kategorisiert werden, darunter:

• Domain-Validierung (DV): die einfachste und kostengünstigste Möglichkeit, eine Verschlüsselung nach Industriestandard zu erhalten
• Organisations-Validierung (OV): eine Stufe höher als DV, bei der eine Organisation ein rechtmäßig registriertes Unternehmen sein und nachweisen muss, dass sie Eigentümerin der Domain ist
• Erweiterte Validierung (EV): bietet das höchste Maß an Vertrauen und ist der Industriestandard für E-Commerce-Websites

Weitere Varianten von Zertifikaten werden nach der Anzahl der abgedeckten Domains unterschieden:

• Wildcard-SSL-Zertifikate: für eine Hauptdomain und deren Subdomains
• Einzel-Domain: für eine Hauptdomain und eine einzelne Subdomain
• Multi-Domain: wird zur Absicherung mehrerer Domains verwendet

Häufige Anwendungsbereiche

SSL-Zertifikate sind ein wesentlicher Bestandteil der Cybersicherheitsmaßnahmen jeder Website. Millionen von Websites nutzen sie, um das Surfen auf ihren Seiten sicher zu gestalten. Die Aktivierung von HTTPS signalisiert, dass eine Website für das Surfen und die Dateneingabe geschützt ist, und führende Browser warnen Nutzer aktiv, wenn eine Website nicht sicher ist. Websites ohne Zertifikat zeigen möglicherweise eine „Nicht sicher“-Warnung an.

Das Wachstum globaler Websites, mobiler Geräte und mit dem Internet verbundener Geräte hat den Einsatzbereich weit über den E-Commerce hinaus erweitert. Jeder, der Daten sicher über das Internet zwischen Geräten austauschen muss, kann von SSL-Zertifikaten profitieren. Am häufigsten werden sie zur Absicherung folgender Bereiche verwendet:

• Online-Kreditkartentransaktionen
• Webformulare und Kundenanmeldungen
• E-Mail- und Webmail-Anwendungen
• Unternehmenskommunikation über Intranets, Dateifreigaben, Extranets und interne Server
• Cloud-basierte Plattformen und virtualisierte Anwendungen
• Dateiübertragungen über FTPS
• Datenübertragung zu und von Mobilgeräten

Wenn die URL einer Website mit HTTPS:// beginnt und in der Adressleiste ein Vorhängeschloss-Symbol angezeigt wird, nutzt die Website eine sichere SSL/TLS-Verbindung.

Was sind die Vorteile von SSL-Zertifikaten?

Der Hauptzweck der Installation eines SSL-Zertifikats besteht darin, eine sichere Sitzung zwischen einem Webserver und einem Browser herzustellen. Sobald eine sichere Verbindung hergestellt ist, werden alle zwischen dem Webserver und dem Besucher ausgetauschten Informationen vertraulich behandelt und verschlüsselt

Weitere Vorteile sind:

• Stärkt das Vertrauen der Kunden: Das Vorhängeschloss- oder Schloss-Symbol gibt Kunden die Gewissheit, dass ihre Daten nicht kompromittiert werden. Die Daten werden an die vorgesehenen Zielserver gesendet und nicht an unbefugte Dritte weitergeleitet.
• Schutz sensibler Daten vor Phishing-Angriffen: Phishing-Seiten sind betrügerische Kopien bekannter Websites, deren Zweck darin besteht, Sie dazu zu verleiten, wertvolle Informationen wie Ihre Kreditkartennummern oder Sozialversicherungsnummern preiszugeben. Zertifikate mit erweiterter Validierung (Extended Validation) bieten die höchste Stufe der Identitätsprüfung, was Nutzern und Organisationen dabei helfen kann, legitime Websites von Nachahmern zu unterscheiden.
• Bessere Platzierungen in Suchmaschinen: SSL/TLS-Zertifikate können die Suchmaschinenoptimierung (SEO) und die Online-Präsenz einer Website unterstützen. Google hat HTTPS als Ranking-Signal bestätigt, was dessen Bedeutung noch verstärkt.

So installieren Sie ein SSL-Zertifikat

Die Installation eines SSL-Zertifikats auf einer Website erfolgt in drei einfachen Schritten:

1. Erwerben Sie ein von einer vertrauenswürdigen Zertifizierungsstelle ausgestelltes Zertifikat – Vertrauenswürdige Zertifikate können Sie bei Ihrem Webhost oder direkt bei einer vertrauenswürdigen Zertifizierungsstelle wie Sectigo erwerben. SSL-Zertifikate einer vertrauenswürdigen Zertifizierungsstelle werden von allen gängigen Internetbrowsern erkannt, die Ihre Besucher nutzen (Chrome, Firefox, Internet Explorer, Safari usw.).
2. Aktivieren und installieren Sie das Zertifikat – Wenn Sie Ihr Zertifikat bei Ihrem Webhost erworben haben, kann dieser diesen Schritt für Sie übernehmen. Wenn Sie die Website selbst verwalten, müssen Sie zwei Schritte ausführen: Erstellen Sie eine Zertifikatssignierungsanforderung (CSR) und installieren Sie anschließend Ihr Zertifikat. In unserer Wissensdatenbank finden Sie eine Reihe von Anleitungen, die Ihnen bei der Durchführung beider Aufgaben auf verschiedenen Webserver-Softwareplattformen helfen.
3. Stellen Sie Ihre gesamte Website auf HTTPS um – Nachdem Sie Ihr Zertifikat auf Ihren Zielseiten installiert haben, passen Sie Ihre Website so an, dass alle Inhalte sicher bereitgestellt werden.

Verwaltung des Zertifikatslebenszyklus

Die Installation eines SSL/TLS-Zertifikats ist nur der Anfang. Zertifikate müssen überwacht und vor ihrem Ablauf erneuert werden, um Probleme wie ungeplante Ausfälle zu vermeiden.

Dies wird deutlich anspruchsvoller, da die Branche auf kürzere Gültigkeitsdauern für öffentliche SSL-Zertifikate umstellt: Die maximale Gültigkeitsdauer wird im Jahr 2026 auf 200 Tage, im Jahr 2027 auf 100 Tage und im Jahr 2029 auf 47 Tage sinken. Angesichts dieser Entwicklung ist ein automatisiertes Zertifikatslebenszyklusmanagement über eine Plattform wie den Sectigo Certificate Manager (SCM) der praktikable Weg, um den Schutz aufrechtzuerhalten und das Risiko eines Ablaufs zu verringern.

Erste Schritte

Sectigo bietet alle Arten von SSL/TLS-Zertifikaten zum Kauf sowie einen 24/7-Support für Kunden an. Als führende kommerzielle öffentliche Zertifizierungsstelle (CA) hat Sectigo weltweit mehr als 1 Milliarde Zertifikate ausgestellt.

Wenn Sie Hilfe benötigen, um die Funktionsweise von SSL/TLS-Zertifikaten zu verstehen oder das richtige Zertifikat für Ihre Website auszuwählen, kontaktieren Sie uns noch heute.

Möchten Sie mehr erfahren? Nehmen Sie Kontakt auf und buchen Sie eine Demo von Sectigo Certificate Manager!

Elektronische Signaturen, gemeinhin als E-Signaturen bezeichnet, sind eine breite Palette von Lösungen, die ein elektronisches Verfahren zur Annahme eines Dokuments oder einer Transaktion mit einer Unterschrift verwenden. Da Dokumente und Kommunikation zunehmend papierlos sind, haben Unternehmen und Verbraucher weltweit die Schnelligkeit und den Komfort dieser Art von Unterschriften angenommen. Es gibt jedoch viele verschiedene Arten von elektronischen Signaturen, die es den Benutzern ermöglichen, Dokumente digital zu unterzeichnen und ein gewisses Maß an Identitätsauthentifizierung zu bieten.

Digitale Signaturen gehören zu diesen elektronischen Signaturtechnologien und sind die sicherste Art, die es gibt. Digitale Signaturen verwenden PKI-Zertifikate von einer Zertifizierungsstelle (CA), einer Art Vertrauensdiensteanbieter, um die Authentifizierung der Identität und die Integrität des Dokuments durch die verschlüsselte Verbindung der Signatur mit dem Dokument zu gewährleisten. Andere, weniger sichere Arten elektronischer Signaturen können gängige elektronische Authentifizierungsmethoden verwenden, um die Identität des Unterzeichners zu verifizieren, z. B. eine E-Mail-Adresse, einen Benutzernamen/eine ID des Unternehmens oder eine Telefonnummer/PIN.

Aufgrund unterschiedlicher technischer und sicherheitstechnischer Anforderungen werden elektronische Signaturen in verschiedenen Branchen, Regionen und Rechtsordnungen unterschiedlich akzeptiert. Digitale Signaturen erfüllen die anspruchsvollsten gesetzlichen Anforderungen, einschließlich des US-amerikanischen ESIGN Act und anderer anwendbarer internationaler Gesetze.

Wie funktionieren digitale Signaturen?

Digitale Signaturen nutzen PKI, das als Goldstandard für die Authentifizierung digitaler Identitäten und die Verschlüsselung gilt. PKI basiert auf der Verwendung von zwei miteinander verbundenen Schlüsseln, einem öffentlichen Schlüssel und einem privaten Schlüssel, um eine Nachricht mithilfe starker Algorithmen der Public-Key-Kryptografie zu verschlüsseln und zu entschlüsseln. Die Signatur wird mit dem privaten Schlüssel des Unterzeichners erstellt, wodurch dessen Identität sicher mit dem Dokument verknüpft wird. Zudem kann ein Zeitstempel hinzugefügt werden, um festzuhalten, wann das Dokument signiert wurde, und um seine Gültigkeit über einen längeren Zeitraum zu gewährleisten.

So funktioniert das Versenden einer digitalen Signatur:

1. Der Absender wählt die Datei, die digital signiert werden soll, in der Dokumentenplattform oder Anwendung aus.
2. Der Computer des Absenders berechnet den eindeutigen Hash-Wert des Dateiinhalts.
3. Dieser Hash-Wert wird mit dem privaten Schlüssel des Absenders verschlüsselt, um die digitale Signatur zu erstellen.
4. Die Originaldatei wird zusammen mit ihrer digitalen Signatur an den Empfänger gesendet.
5. Der Empfänger öffnet die Datei in einer kompatiblen Anwendung, die erkennt, dass die Datei digital signiert wurde.
6. Der Computer des Empfängers entschlüsselt daraufhin die digitale Signatur mit dem öffentlichen Schlüssel des Absenders.
7. Anschließend berechnet der Computer des Empfängers den Hashwert der Originaldatei und vergleicht diesen mit dem nun entschlüsselten Hashwert der Datei des Absenders, um sicherzustellen, dass die Datei nicht verändert wurde.

Welche Sicherheitsvorkehrungen bieten sie?

Digitale Signaturen bieten drei entscheidende Sicherheitsgarantien:

• Authentifizierung der Identität des Unterzeichners,
• Datenintegrität, um zu bestätigen, dass das Dokument nicht verändert wurde,
• Nichtabstreitbarkeit, d. h., der Unterzeichner kann später nicht leugnen, das Dokument genehmigt zu haben.

Zusammen tragen diese Schutzmaßnahmen dazu bei, dass Unternehmen Betrugsfälle reduzieren, Compliance-Anforderungen erfüllen und sichere digitale Transaktionen mit Vertrauen durchführen können.

Wie erhalten Unternehmen ein Zertifikat für digitale Signaturen?

Der Vorgang zur Erstellung einer digitalen Signatur ist sowohl für Selbstständige als auch für Unternehmen einfach und unkompliziert. Zunächst benötigen Sie ein Zertifikat für digitale Signaturen, das Sie über eine vertrauenswürdige Zertifizierungsstelle wie Sectigo erwerben können. Nach Abschluss des Kauf- und Ausstellungsverfahrens können Sie das Zertifikat herunterladen und installieren. Anschließend nutzen Sie einfach die Funktion zur digitalen Signatur der entsprechenden Dokumentenplattform oder Anwendung.

Beispielsweise bieten die meisten E-Mail-Anwendungen eine Schaltfläche „Digital signieren“ an, während in Microsoft Word-Dokumenten möglicherweise eine Signaturschaltfläche angezeigt wird, sobald eine Signaturzeile hinzugefügt wurde.

Wie überprüfen Empfänger ein digital signiertes Dokument?

Beim Versand eines mit einem privaten Schlüssel signierten Dokuments erhält der Empfänger den öffentlichen Schlüssel des Unterzeichners, um die digitale Signatur zu überprüfen. Sobald das Dokument entschlüsselt ist, kann der Empfänger das unveränderte Dokument so anzeigen, wie es vom Benutzer beabsichtigt war. Kann der Empfänger das Dokument nicht mit dem öffentlichen Schlüssel überprüfen, bedeutet dies, dass das Dokument verändert wurde oder dass die Signatur gar nicht vom ursprünglichen Unterzeichner stammt.

Warum ist der Schutz des privaten Schlüssels so wichtig?

Die Technologie der digitalen Signatur setzt voraus, dass alle Beteiligten darauf vertrauen, dass die Person, die die Signatur erstellt, ihren eigenen privaten Schlüssel geheim halten konnte. Wenn jemand anderes Zugriff auf den privaten Schlüssel des Unterzeichners hat, könnte diese Person betrügerische digitale Signaturen im Namen des Inhabers des privaten Schlüssels erstellen.

Was passiert, wenn ein signiertes Dokument verändert wird?

Wenn entweder der Absender oder der Empfänger die Datei nach der digitalen Signatur verändert, ändert sich der Hash-Wert des Dokuments. Wenn das System des Empfängers den neu aktualisierten Hash mit dem ursprünglich signierten Hash vergleicht, zeigt jede Abweichung, dass das Dokument verändert wurde. In diesem Fall wird die digitale Signatur als ungültig markiert, wodurch die Nutzer auf eine mögliche Manipulation hingewiesen werden.

Wie sieht eine digitale Signatur aus?

Da das Herzstück einer digitalen Signatur das PKI-Zertifikat ist, bei dem es sich um Softwarecode handelt, ist die digitale Signatur selbst nicht direkt sichtbar. Dokumentenplattformen können jedoch einen leicht erkennbaren Nachweis dafür liefern, dass ein Dokument digital signiert wurde. Diese Darstellung und die angezeigten Zertifikatsdetails variieren je nach Dokumenttyp und Verarbeitungsplattform. Beispielsweise zeigt ein Adobe-PDF-Dokument oben im Dokument einen visuellen Hinweis wie ein Siegel-Symbol oder ein blaues Band an, auf dem der Name des Unterzeichners und der Zertifikatsaussteller angegeben sind.

Zudem kann sie auf einem Dokument genauso erscheinen wie Unterschriften auf einem physischen Dokument und ein Bild Ihrer handschriftlichen Unterschrift, das Datum, den Ort sowie ein offizielles Siegel enthalten.

Digitale Signaturen können auch unsichtbar sein, wobei das digitale Zertifikat dennoch gültig bleibt. Unsichtbare Signaturen sind nützlich, wenn die Art des Dokuments üblicherweise kein Bild einer physischen Unterschrift, wie beispielsweise ein Foto, anzeigt. In den Eigenschaften des Dokuments können Informationen über das digitale Zertifikat, die ausstellende Zertifizierungsstelle sowie ein Hinweis auf die Authentizität und Integrität des Dokuments enthalten sein.

Ist eine digitale Signatur aus irgendeinem Grund ungültig, wird in den Dokumenten eine Warnung angezeigt, dass sie nicht vertrauenswürdig ist.

Warum sind sie wichtig?

Da immer mehr Geschäfte online abgewickelt werden, werden Vereinbarungen und Transaktionen, die früher auf Papier unterzeichnet wurden, heute über vollständig digitale Arbeitsabläufe abgewickelt. Dieser Wandel erhöht die Notwendigkeit, die Identität zu überprüfen und sicherzustellen, dass Dokumente nicht verändert wurden. Digitale Signaturen schaffen dieses Vertrauen, indem sie den Unterzeichner authentifizieren und Dokumente vor Manipulationen oder Betrug schützen.

Außerdem ermöglichen sie schnellere und effizientere Arbeitsabläufe. Dokumente können von jedem Gerät aus sicher unterzeichnet, sofort geteilt und bis zum Abschluss anhand klarer Prüfpfade nachverfolgt werden. Da die Signatur in die Datei eingebettet ist, bleibt sie intakt und überprüfbar, egal wohin das Dokument gesendet wird.

Über große Organisationen hinaus sind digitale Signaturen ebenso wertvoll für Selbstständige, Berater und kleine Unternehmen, die eine einfache, vertrauenswürdige Möglichkeit benötigen, Verträge, Vereinbarungen und Kundendokumente ohne komplexe Infrastruktur zu unterzeichnen. Lösungen, die für Einzelpersonen entwickelt wurden, machen es einfach, Glaubwürdigkeit aufzubauen und sichere, konforme Arbeitsabläufe aufrechtzuerhalten.

Es ist von entscheidender Bedeutung, dass diese digital signierten Vereinbarungen aus rechtlicher Sicht anerkannt werden. Digitale Signaturen unterstützen die Einhaltung wichtiger Standards wie des US-amerikanischen Federal ESIGN Act, des GLBA, HIPAA/HITECH, des PCI DSS und des US-EU Safe Harbor.

Häufige Anwendungsfälle für digitale Signaturen

Heutzutage werden digitale Signaturen in einer Vielzahl von Geschäftsprozessen eingesetzt, um die Sicherheit, Integrität und Effizienz kritischer Transaktionen zu verbessern, die mittlerweile digital abgewickelt werden, darunter:

• Verträge und rechtliche Dokumente: Digitale Signaturen sind rechtsverbindlich. Daher eignen sie sich ideal für alle rechtlichen Dokumente, die eine authentifizierte Unterschrift einer oder mehrerer Parteien erfordern und bei denen sichergestellt sein muss, dass das Dokument nicht verändert wurde.
• Kaufverträge: Durch die digitale Signatur von Verträgen und Kaufverträgen werden sowohl die Identität des Verkäufers als auch die des Käufers authentifiziert, und beide Parteien können sich darauf verlassen, dass die Signaturen rechtsverbindlich sind und die Vertragsbedingungen nicht verändert wurden.
• Finanzdokumente: Finanzabteilungen signieren Rechnungen digital, damit Kunden darauf vertrauen können, dass die Zahlungsaufforderung vom richtigen Verkäufer stammt und nicht von einem Betrüger, der versucht, den Käufer dazu zu bringen, eine Zahlung auf ein betrügerisches Konto zu überweisen.
• Gesundheitsdaten: Im Gesundheitswesen ist der Datenschutz sowohl für Patientenakten als auch für Forschungsdaten von größter Bedeutung. Digitale Signaturen stellen sicher, dass diese sensiblen Informationen beim Austausch zwischen den zustimmenden Parteien nicht verändert wurden.
• Behördliche Formulare: Behörden auf Bundes-, Landes- und Kommunalebene haben im Vergleich zu vielen Unternehmen der Privatwirtschaft strengere Richtlinien und Vorschriften. Von der Genehmigung von Genehmigungen bis hin zur Erfassung von Arbeitszeiten in einer Stundenzettel können die Signaturen die Produktivität steigern, indem sie sicherstellen, dass der richtige Mitarbeiter für die entsprechenden Genehmigungen beteiligt ist.
• Versanddokumente: Für Hersteller trägt die Gewährleistung, dass Frachtlisten oder Frachtbriefe stets korrekt sind, dazu bei, kostspielige Versandfehler zu reduzieren. Doch physische Unterlagen sind umständlich, unterwegs nicht immer leicht zugänglich und können verloren gehen. Durch die digitale Signatur von Versanddokumenten können Versender und Empfänger schnell auf eine Datei zugreifen, überprüfen, ob die Signatur aktuell ist, und bestätigen, dass keine Manipulation stattgefunden hat.

Sichern Sie Ihre Dokumente mit Sectigo

Sectigo-Zertifikate für die Dokumentensignatur verifizieren die Identität des Unterzeichners und bestätigen, dass ein Dokument nach der Unterzeichnung nicht verändert wurde. Jede Signatur ist kryptografisch an die Datei gebunden, sodass Empfänger die Echtheit und Integrität unabhängig überprüfen können.

Sectigo bietet Lösungen sowohl für Unternehmen als auch für Privatpersonen. Zertifikate für die Dokumentensignatur unterstützen Anwendungsfälle in Unternehmen durch skalierbare, richtliniengesteuerte Signaturverfahren, während „Document Signing Professional“ für Selbstständige und kleine Unternehmen konzipiert ist, die eine einfache, vertrauenswürdige Methode zum Signieren von Dokumenten benötigen. In beiden Fällen wird die verifizierte Identität direkt in jede Datei eingebettet, wodurch manipulationssichere Dokumente entstehen, die von Plattformen wie Adobe Acrobat und Microsoft Office erkannt werden.

Erfahren Sie mehr über die Lösungen von Sectigo zur Dokumentensignatur zum Schutz von Verträgen, Berichten und anderen geschäftskritischen Dokumenten.

Wenn Sie einen Blick in Ihren E-Mail-Posteingang werfen, fallen Ihnen vielleicht eine Reihe blauer Häkchen auf, die beim Öffnen einer Nachricht neben den Absendernamen angezeigt werden. Wenn Sie den Mauszeiger kurz über das Häkchen bewegen, erscheint ein wichtiger Hinweis: „Der Absender dieser E-Mail hat bestätigt, dass er Eigentümer von [Name der Website] und des Logos im Profilbild ist.“

Dieses Häkchen ist Googles Umsetzung eines vertrauensbildenden Signals im Posteingang, das durch den weit verbreiteten Trend zur direkten Anzeige von Absenderlogos in E-Mail-Posteingängen vorangetrieben wird. Es ist eng mit der BIMI-Spezifikation verknüpft und lässt sich durch die Konfiguration der dazugehörigen Richtlinien und Frameworks sichern: SPF (Sender Policy Framework), DKIM (DomainKeys Identified Mail) und DMARC.

Das Häkchen an sich hat einen Wert und kann das Vertrauen stärken, doch ein Großteil seines Wertes liegt in den Sicherheitsmechanismen, die dieses Häkchen überhaupt erst ermöglichen: die Verwendung mehrerer Authentifizierungsebenen zum Nachweis der Legitimität des Absenders. Diese Maßnahme trägt dazu bei, Empfänger vor Spoofing zu schützen, und unterstützt das übergreifende Vertrauenssystem, das die heutigen E-Mail-Posteingänge sichert.

Was Sie benötigen, um das blaue Häkchen bei Gmail zu erhalten

Gmail zeigt nur dann ein blaues Häkchen an, wenn alle Komponenten der Markenverifizierung vorhanden sind: Protokolle, Frameworks, Logos und Zertifikate. Diese Anforderungen wirken zusammen, um die Legitimität der Marke zu bestätigen und die Anzeige des authentifizierten Logos zu ermöglichen.

Zu den Anforderungen gehören:

Die BIMI-Anforderungen müssen korrekt eingerichtet sein

BIMI steht im Mittelpunkt der heutigen Bemühungen um Vertrauen und Verifizierung im Posteingang. Diese weit verbreitete Spezifikation legt fest, wie Organisationen ihre Identität nachweisen und ihre jeweiligen Domains authentifizieren.

Dies setzt voraus, dass SPF, DKIM und DMARC korrekt funktionieren. SPF identifiziert autorisierte Absenderserver, DKIM überprüft, ob Nachrichten nicht verändert wurden, und DMARC teilt E-Mail-Anbietern mit, wie sie mit Nachrichten umgehen sollen, die die Authentifizierung nicht bestehen.

Maßnahmen zur Erfüllung der BIMI-Anforderungen für Gmail erweisen sich auch bei der Zusammenarbeit mit anderen E-Mail-Anbietern als wertvoll.

Ein BIMI-konformes SVG-Logo

Das Logo ist ein entscheidender Bestandteil des Verifizierungsprozesses. Es muss strenge Anforderungen an Formatierung und Größe erfüllen: Jedes eingereichte Logo muss eine echte Vektordatei mit einem einfarbigen Hintergrund sein. Es sollte keine Skripte und Animationen enthalten und auch bei kleinen Größen sauber dargestellt werden.

Verwenden Sie das Format „SVG Tiny Portable/Secure“, auch bekannt als SVG Tiny PS oder SVG Tiny 1.2, und seien Sie darauf vorbereitet, manuelle Anpassungen vorzunehmen, um die BIMI-Anforderungen zu erfüllen. Die BIMI-Gruppe stellt Tools zur Verfügung, die bei der Einhaltung der Vorgaben helfen. 
 

Ein Verified Mark-Zertifikat

Markenzertifikate helfen dabei, zu überprüfen, ob eine Marke berechtigt ist, ein bestimmtes Logo für die BIMI-Anzeige in E-Mails zu verwenden. Für das blaue Häkchen in Gmail ist ein Verified Mark Certificate erforderlich. Ein VMC bestätigt die Echtheit des Logos und ordnet das markenrechtlich geschützte Logo Ihrer Organisation zu. Die Google Workspace-Richtlinien bestätigen diese Anforderung und weisen darauf hin: „In Gmail sehen Sie ein Häkchen neben Absendern, die mit einem VMC verifiziert wurden.“

Marken, die ein VMC erwerben möchten, sollten darauf vorbereitet sein, Angaben zur Unternehmensvalidierung, Unterlagen zur Marke sowie Logodateien vorzulegen, die mit der eingetragenen Marke übereinstimmen.

Common-Mark-Zertifikate (CMC) sind zwar hilfreich für die Anzeige von Logos, erfüllen jedoch nicht die Anforderungen für die Freischaltung des blauen Häkchens in Gmail. Wenn Sie noch nicht für ein VMC berechtigt sind, weil Ihnen eine eingetragene Marke fehlt, lohnt sich ein CMC dennoch, es führt jedoch nicht zum blauen Häkchen.

So erhalten Sie das blaue Häkchen in Gmail mit BIMI

Um das Vertrauen durch die Anzeige des Logos im Posteingang und das blaue Häkchen zu stärken, müssen Sie eine Reihe technischer Einrichtungsschritte durchführen, darunter E-Mail-Authentifizierung, Logo-Formatierung, Zertifikatsvalidierung und DNS-Aktualisierungen.

Die Schritte umfassen:

Schritt 1: Konfigurieren Sie SPF, DKIM und DMARC. Verwenden Sie SPF, um Server zu identifizieren, die E-Mails versenden dürfen. Aktivieren Sie DKIM, um überprüfbare kryptografische Signaturen anzuwenden. Erstellen Sie ein DKIM-Schlüsselpaar und veröffentlichen Sie den öffentlichen Schlüssel als DKIM-Eintrag im DNS. Konfigurieren Sie abschließend DMARC mit einem TXT-Eintrag in den DNS-Einstellungen. Die Richtlinie sollte auf „p=quarantine“ oder „p=reject“ gesetzt werden, und „pct=100“ sorgt dafür, dass die Richtlinie auf alle ausgehenden E-Mails angewendet wird.

Schritt 2: Erstellen Sie ein konformes SVG-Logo. Wählen Sie ein hochwertiges Bild eines markenrechtlich geschützten Logos aus und stellen Sie sicher, dass es alle relevanten Standards erfüllt: Es muss im Scalable Vector Graphics (SVG)-Format vorliegen und ein quadratisches Seitenverhältnis aufweisen. Vergewissern Sie sich, dass das Logo mit der eingetragenen Marke übereinstimmt.

Schritt 3: Beantragen Sie ein „Verified Mark Certificate“ (VMC). Wenden Sie sich an eine Zertifizierungsstelle, um ein VMC zu erhalten. Legen Sie bei der Beantragung des VMC einen Nachweis über das Markenrecht vor.

Schritt 4: Veröffentlichen Sie Ihren BIMI-DNS-Eintrag. Melden Sie sich bei Ihrem Domain- oder DNS-Anbieter an und fügen Sie einen BIMI-TXT-Eintrag hinzu. Für Gmail sollte der Eintrag auf die mit Ihrem VMC ausgestellte PEM-Datei verweisen. Ein Gmail-kompatibles Beispiel könnte wie folgt aussehen: v=BIMI1;l=;a=https://yourdomain.com/certificate.pem. Die PEM-Datei muss auf einem öffentlich zugänglichen Webserver über HTTPS gehostet werden.

Schritt 5: Überprüfen und testen. Verwenden Sie einen BIMI-Checker, um die korrekte Formatierung und Authentifizierung zu überprüfen, bevor Sie Testnachrichten an unterstützte Anbieter senden. Wenn das Logo nicht wie erwartet angezeigt wird, überprüfen Sie den DNS-Eintrag oder die SVG-Formatierung, um sicherzustellen, dass alle anderen Schritte korrekt ausgeführt wurden. Die Darstellung von BIMI variiert je nach E-Mail-Anbieter, daher können die Ergebnisse je nach Posteingang unterschiedlich ausfallen.

Vorteile des blauen Häkchens

Das blaue Häkchen von Gmail baut auf dem Vertrauen und der Sichtbarkeit auf, die durch verifizierte Logos gewonnen werden. Dies bietet eine zusätzliche Sicherheitsebene und bestätigt, dass Absender vollständig verifiziert sind und die Nachrichten aus legitimen Quellen stammen.

• Schnelle visuelle Bestätigung. E-Mail-Empfänger treffen Entscheidungen in Sekundenbruchteilen, um sich in überfüllten Posteingängen zurechtzufinden. Ein Signal wie ein blaues Häkchen kann Empfängern helfen, verifizierte Absender schnell zu erkennen, insbesondere wenn es zusammen mit einem verifizierten Logo angezeigt wird.
• Professionelles Erscheinungsbild. Häkchen vermitteln Professionalität und verleihen E-Mails ein gepflegtes Erscheinungsbild, das auf der bestehenden Glaubwürdigkeit aufbaut. Gemeinsam sorgen Logos und Häkchen für einen selbstbewussten und vertrauenswürdigen Markenauftritt.
• Gesteigertes Vertrauen. Wenn E-Mail-Empfänger Nachrichten bewerten, suchen sie nach Häkchen als Zeichen der Sicherheit. Obwohl Logos hilfreich sind, kann eine doppelte Verifizierung selbst bei den skeptischsten Nutzern Vertrauen wecken.
• Höheres Engagement und höhere Öffnungsraten. Vertrauen und Sichtbarkeit können dazu beitragen, dass Empfänger sich sicherer fühlen, wenn sie E-Mails von Marken öffnen oder mit ihnen interagieren. Dies beeinflusst, ob Empfänger E-Mails tatsächlich lesen, und kann sie sogar dazu ermutigen, weiterzumachen: auf Links zu klicken oder Formulare auszufüllen, um die Beziehung zu Marken zu stärken.

Warum wird mein blaues Häkchen in Gmail nicht angezeigt?

Nachdem Sie sich die Zeit genommen haben, BIMI zu konfigurieren, kann es frustrierend sein, wenn die blauen Häkchen nicht erscheinen. Dies könnte auf Fehler Ihrerseits hindeuten, aber selbst wenn die technischen Anforderungen erfüllt sind, berücksichtigt Gmail möglicherweise auch die Absenderreputation und andere Validierungsfaktoren, bevor ein Logo oder ein Häkchen angezeigt wird.

Häufige Gründe dafür sind:

• Die DMARC-Richtlinie wird nicht durchgesetzt. Gmail zeigt Häkchen nur an, wenn Domains Quarantäne- oder Ablehnungsrichtlinien verwenden. Dies ist entscheidend, da es den Anbietern mitteilt, wie sie vorgehen sollen, wenn E-Mails die Überprüfung nicht bestehen.
• SPF oder DKIM schlagen fehl. SPF kann fehlschlagen, wenn der sendende Server als nicht autorisiert eingestuft wird. DKIM schlägt fehl, wenn E-Mails manipuliert wurden oder wenn DNS-Einträge falsch konfiguriert sind. Beide Fehler verhindern das Erscheinen des blauen Häkchens.
• Das SVG-Logo entspricht nicht den Vorgaben. Logos können nur dann korrekt dargestellt werden, wenn sie strengen Standards entsprechen. Das blaue Häkchen basiert auf dem Logo; wenn dieses Logo also die erforderlichen Standards nicht erfüllt, bleibt auch das Häkchen unerreichbar.
• Der BIMI-TXT-Eintrag fehlt oder ist fehlerhaft. Gmail kann Logos nur validieren, wenn BIMI-Einträge korrekt formatiert sind. Der TXT-Eintrag gibt an, wo das verifizierte Logo zu finden ist; ohne ihn ist eine Validierung nicht möglich.
• Die PEM-Datei ist nicht korrekt gehostet. Nach der Ausstellung eines VMC wird eine PEM-Datei bereitgestellt, auf die Gmail jedoch zugreifen können muss. Eine Verifizierung ist nicht möglich, wenn die PEM-Datei fehlt oder anderweitig blockiert ist.
• Das Logo stimmt nicht mit der eingetragenen Marke überein. Angezeigte Logos müssen bis hin zu den Farben und Proportionen mit den validierten Markenlogos aus den VMCs übereinstimmen.
• DNS-Änderungen haben sich noch nicht vollständig durchgesetzt. Es dauert eine Weile, bis DNS-Änderungen die Server erreichen. Wenn Aktualisierungen die von Gmail überprüften Server noch nicht erreicht haben, werden kürzlich durchgeführte Authentifizierungsversuche (oder Änderungen an BIMI) möglicherweise nicht erkannt.

Schaffen Sie Vertrauen im Posteingang mit Sectigo

Sectigo bietet „Verified Mark“-Zertifikate und „Common Mark“-Zertifikate an, um Unternehmen dabei zu unterstützen, die Anzeige des BIMI-Logos in Gmail und anderen teilnehmenden Posteingängen zu ermöglichen. Beide Zertifikate können die Sichtbarkeit im Posteingang verbessern.

Wenn es Ihr Ziel ist, das blaue Häkchen von Gmail anzuzeigen, beginnen Sie mit dem Kauf eines VMC bei einem vertrauenswürdigen Anbieter wie Sectigo. Kontaktieren Sie uns bei Fragen oder wenn Sie mehr über E-Mail-Sicherheit erfahren möchten.

Quellen:

https://bimigroup.org/creating-bimi-svg-logo-files/

https://knowledge.workspace.google.com/admin/security/set-up-bimi

Was sieht die Verordnung konkret vor?

Behörden müssen:

1. bis zum 31. Dezember 2030 alle hochwertigen Vermögenswerte und Systeme mit hoher Auswirkung auf die Nutzung von PQC zur Schlüsselerstellung umstellen
2. bis zum 31. Dezember 2031 PQC für digitale Signaturen einsetzen

Zwei Klarstellungen sind wichtig:

Erstens gelten diese Fristen nur für hochwertige Vermögenswerte und Systeme mit großer Tragweite, nicht jedoch für alle Bundes-Systeme. Nationale Sicherheitssysteme unterliegen weiterhin einer gesonderten Regelung unter der NSA mit eigenständigen Berichtspflichten.

Zweitens führt die Verordnung keine neue Kryptografie ein. Sie kodifiziert bestehende NIST-Standards:

• ML-KEM für die Schlüsselerstellung
• ML-DSA und SLH-DSA für digitale Signaturen

Was als Nächstes geschieht: Sofortmaßnahmen

Die Anordnung legt einen Zeitplan für die rasche Umsetzung fest:

• Innerhalb von 30 Tagen: Die Behörden müssen einen PQC-Migrationsleiter ernennen, der dem CIO unterstellt ist
• Innerhalb von 90 Tagen: Das OMB muss Bestandsaufnahmen kritischer Systeme und formelle Migrationspläne verlangen

Bis Ende 2027: Das NIST wird eine Pilotmigration abschließen, die als Blaupause dienen soll.

Warum die Reihenfolge wichtiger ist als die Termine

Die beiden Fristen liegen ein Jahr auseinander, und die Verordnung tut recht daran, sie voneinander zu trennen. Die Schlüsselerstellung hat im Jahr 2030 Vorrang, da die Bedrohung der Vertraulichkeit bereits im Gange ist.

„Harvest now, decrypt later“ (HNDL) macht die Schlüsselerstellung zu einer dringenden Angelegenheit. Ein heute durch klassische Kryptografie geschützter Sitzungsschlüssel schützt Daten, die möglicherweise zehn, zwanzig oder dreißig Jahre lang geheim bleiben müssen. Wenn dieser Datenverkehr bereits jetzt abgefangen und gespeichert wird, ist die Migration bereits zu spät.

Digitale Signaturen sind anders. Eine gefälschte Signatur ist ein Echtzeitangriff. Man kann ein Software-Update, das 2026 ausgeliefert wurde, nicht nachträglich fälschen. Genau deshalb können Signaturen an zweiter Stelle behandelt werden. Die Authentifizierung ist ein Signaturvorgang und zugleich ein Echtzeitvorgang. Bei der Reihenfolge geht es darum, die Arbeiten so zu ordnen, dass das nachträglich ausnutzbare Problem zuerst gelöst wird. Diese Unterscheidung ist wichtig, denn die Dringlichkeit ist hier real, ohne dass man das, was man tatsächlich über Quantentimelines weiß, überbewerten muss.

Warum wurde die PQC-Frist von 2035 auf 2031 vorverlegt?

Lassen Sie uns eines klarstellen: Die Verschiebung ist kein Zeichen für plötzliche Quantendurchbrüche. Vielmehr spiegelt sie drei Tatsachen wider:

• Die PQC-Standards sind nun endgültig festgelegt
• Die Migrationszeiträume sind lang und komplex
• Sensible Daten überschreiten bereits die sicheren kryptografischen Lebensdauern

Mit anderen Worten: Die Politik hat das Tempo nicht beschleunigt, sondern ist der Mathematik nachgeholt.

So starten Sie noch heute mit Ihrer PQC-Migration

1. Erstellen Sie ein Kryptografie-Inventar – was Sie nicht sehen, können Sie nicht schützen
2. Identifizieren Sie die Systeme mit langlebigen sensiblen Daten und priorisieren Sie diese
3. Drängen Sie Ihre Anbieter jetzt auf kryptografische Agilität und fordern Sie von ihnen das Äquivalent einer kryptografischen Stückliste (CBOM) an
4. Beginnen Sie mit der Schlüsselerstellung, wo sich das HNDL-Risiko am stärksten konzentriert
5. Betrachten Sie das Jahr 2031 als unmittelbaren Planungshorizont

Beginnen Sie Ihre PQC-Reise noch heute mit einer kostenlosen Beratung: https://www.sectigo.com/de/quantum-labs

Glücklicherweise lautet die Antwort „Ja“. Wenn Sie jedoch Word-Dokumente – oder überhaupt irgendein Dokument – signieren, ist es unerlässlich, die richtigen Schritte zu befolgen. Im Folgenden erläutern wir, wie eine digitale Signatur funktioniert und wie Sie ein Microsoft Word-Dokument elektronisch signieren.

Wie funktionieren digitale Signaturen in Microsoft Word?

Eine elektronische Signatur ist ein Oberbegriff für das elektronische Unterzeichnen eines Dokuments, beispielsweise durch Eingabe des Namens, Zeichnen einer Unterschrift oder Einfügen eines Bildes Ihrer handschriftlichen Unterschrift. Eine digitale Signatur ist eine Art der elektronischen Signatur, bei der ein digitales Zertifikat verwendet wird, um die Identität des Unterzeichners zu überprüfen und nachzuweisen, dass das Dokument nach der Unterzeichnung nicht verändert wurde.

Digitale Signaturen ermöglichen einen sicheren elektronischen Dokumentenaustausch und sichere Arbeitsabläufe, gewährleisten die Integrität und Urheberschaft von Dokumenten und erfüllen die Compliance-Anforderungen für elektronische Dokumente. Dies geschieht mithilfe von Verschlüsselung und einem Signaturzertifikat, um ein Dokument mit einem verifizierten Unterzeichner zu verknüpfen. Zertifikate für digitale Signaturen werden von einer Zertifizierungsstelle (CA) wie beispielsweise Sectigo ausgestellt.

Wenn ein Word-Dokument digital signiert ist, können Empfänger überprüfen, wer es signiert hat und ob die Datei seit dem Anbringen der Signatur manipuliert wurde.

Digitale Signaturen können auch auf eine Vielzahl anderer Dokumenttypen angewendet werden, darunter Adobe-PDF-Dateien und Bilddateien.

Hinzufügen einer Signaturzeile in Microsoft Word

Signaturzeilen in Microsoft Office eignen sich am besten, wenn Sie einen sichtbaren Signaturbereich im Dokument wünschen. Sie eignen sich gut für Verträge, Genehmigungen, interne Formulare und Dokumente, die ein klares Feld für den Unterzeichner erfordern.

Unterzeichnete Dokumente verfügen unten über eine Schaltfläche „Signaturen“. Darüber hinaus werden bei unterzeichneten Dokumenten die Signaturinformationen im Abschnitt „Info“ angezeigt und können durch Klicken auf die Registerkarte „Datei“ in Word eingesehen werden.

Um eine Signaturzeile hinzuzufügen, gehen Sie wie folgt vor:

• Öffnen Sie das Dokument, das Sie unterschreiben möchten, in Microsoft Word oder Excel.
• Setzen Sie den Cursor im Word-Dokument oder Excel-Arbeitsblatt an die Stelle, an der die Unterschriftslinie erscheinen soll.
• Klicken Sie auf die Registerkarte Einfügen, die sich oben rechts in der Menüleiste befindet. Ein neues Dropdown-Menü wird angezeigt.
• Klicken Sie auf Unterschriftszeile im Abschnitt „Text“ auf der rechten Seite der neuen Dropdown-Liste.
• Ein Dialogfeld für die Einrichtung der Unterschrift wird angezeigt. Geben Sie in das erste Textfeld den Namen des vorgeschlagenen Unterzeichners ein. Sie können auch den Titel und die E-Mail-Adresse des vorgeschlagenen Unterzeichners sowie Anweisungen hinzufügen.
• Wenn Sie möchten, können Sie das Kontrollkästchen Kommentare des Unterzeichners im Dialogfeld Unterschrift zulassen aktivieren, um dem Unterzeichner die Möglichkeit zu geben, einen Zweck für seine Unterschrift einzugeben, oder Sie können das Kontrollkästchen Unterschriftsdatum in der Unterschriftszeile anzeigen aktivieren, um ein Datum hinzuzufügen, an dem das Dokument unterzeichnet wurde.
• Klicken Sie auf OK.

Nach Abschluss des Vorgangs erscheint eine Signaturzeile an der von Ihnen gewählten Stelle im Dokument. Diese Schritte können wiederholt werden, falls weitere Unterschriften erforderlich sind. Einige Funktionen können je nach Word-Version variieren.

Wenn Sie denselben Signaturblock häufig verwenden, können Sie ihn als AutoText speichern oder in eine Dokumentvorlage einfügen. Dies hilft bei der Standardisierung der Signaturangaben und beschleunigt den Signaturprozess in mehreren Word-Dateien.

Wie signiert man ein Word-Dokument mit einer Signaturzeile?

Wenn Sie der Unterzeichner sind, wird Ihnen ein Dokument zur Verfügung gestellt, in dem die Unterschriftszeile im Word-Dokument bereits ausgefüllt ist. Indem Sie Ihre Unterschrift in die Zeile setzen, erstellen Sie sowohl eine sichtbare als auch eine digitale Version Ihrer Unterschrift. Um eine Unterschrift in ein Word-Dokument einzufügen, gehen Sie wie folgt vor:

1. Doppelklicken Sie auf das Unterschriftsfeld oder klicken Sie mit der rechten Maustaste darauf und wählen Sie „Signieren“.
2. Es erscheint ein Dialogfeld mit mehreren Optionen zum Hinzufügen Ihrer Unterschrift. Zu diesen Optionen gehören:
   1. Eine gedruckte Version Ihrer Unterschrift, indem Sie Ihren Namen in das Feld neben dem „X“ eingeben.
   2. Eine handschriftliche Unterschrift mithilfe der Freihandfunktion.
   3. Ein Bild Ihrer Unterschrift, indem Sie auf „Bild auswählen“ klicken. Nach der Auswahl erscheint ein Popup-Fenster, in dem Sie den Speicherort Ihrer Bilddatei auswählen können.
3. Sobald Ihre Unterschrift hinzugefügt ist, klicken Sie auf „Signieren“.

Nach dem Hinzufügen erscheint außerdem ein kleines Unterschriftssymbol am unteren Rand des Fensters, um anzuzeigen, dass das Dokument signiert wurde. Empfänger können auf die Unterschrift doppelklicken oder auf das Symbol klicken, um Informationen über den Unterzeichner anzuzeigen.

So fügen Sie eine unsichtbare digitale Signatur in Microsoft Word hinzu

Bevor Sie ein Dokument mit einem digitalen Signaturzertifikat digital signieren, müssen Sie ein Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle wie Sectigo erwerben und die Validierung abschließen. Nach der Ausstellung steht das Zertifikat auf Ihrem Gerät über die unterstützte Signaturmethode, z. B. einen USB-Token, zur Verfügung.

Befolgen Sie anschließend diese Schritte:

1. Wählen Sie auf der Registerkarte „Datei“ die Option „Info“
2. Wählen Sie „Dokument schützen“ > „Digitale Signatur hinzufügen“
3. Es erscheint ein Dialogfeld mit mehreren Feldern, die Sie nach Belieben ausfüllen können. Zu diesen Optionen gehören:
   1. Verpflichtungsart: Wählen Sie die Art der Verpflichtung aus, die Sie durch die Signatur eingehen (z. B. „Dieses Dokument erstellt und genehmigt“)
   2. Zweck der Signatur dieses Dokuments: Geben Sie den Grund für die Signatur des Dokuments ein.
4. Klicken Sie auf „Signieren“. Sie werden anschließend aufgefordert, die Datei auf Ihrem Gerät zu speichern. Nach dem Speichern ist die unsichtbare digitale Signatur fertiggestellt.

Nach dem Hinzufügen erscheint am unteren Rand des Fensters ein kleines Signatursymbol, das anzeigt, dass das Dokument signiert wurde. Empfänger können auf das Symbol klicken, um Informationen über den Unterzeichner anzuzeigen.

So fügen Sie in Microsoft Windows mithilfe eines digitalen Signaturzertifikats eine digitale Signatur hinzu

Bevor Sie ein Dokument mit einem digitalen Signaturzertifikat digital signieren, müssen Sie ein Zertifikat von einer vertrauenswürdigen Zertifizierungsstelle wie Sectigo erwerben und die Validierung abschließen. Nach der Ausstellung steht das Zertifikat auf Ihrem Gerät über die unterstützte Signaturmethode, z. B. einen USB-Token, zur Verfügung.

Befolgen Sie anschließend diese Schritte:

1. Öffnen Sie das Dokument, das signiert werden soll.
2. Stecken Sie den USB-Smartcard-Token mit dem Zertifikat in den USB-Anschluss Ihres Computers. Microsoft kopiert das Zertifikat automatisch in den kryptografischen API-Zertifikatspeicher (CAPI) Ihres Computers.
3. Klicken Sie im Fensterbereich Tools auf More Tools. Die Seite Erstellen & Bearbeiten wird angezeigt.
4. Wählen Sie Zertifikate.
5. Wählen Sie in der Symbolleiste Zertifikate die Option Digital signieren. Das Dialogfeld Auswahl des Signaturbereichs wird angezeigt.
6. Klicken Sie im Dialogfeld Auswahl des Unterschriftenbereichs auf OK.
7. Klicken und ziehen Sie mit der Maus den Bereich, in dem die Signatur erscheinen soll. Das Dialogfeld Unterschreiben mit einer digitalen ID wird angezeigt.
8. Klicken Sie auf Weiter. Das Dialogfeld Unterschreiben als <Ihr Name> wird angezeigt.
9. Klicken Sie auf Unterschreiben. Das Dialogfeld Windows Explorer wird geöffnet.
10. Wählen Sie den Ordner, in dem das signierte Dokument gespeichert werden soll.
11. Geben Sie den Namen des Dokuments ein.
12. Klicken Sie auf Speichern. Sie werden aufgefordert, Ihre PIN einzugeben.
13. Geben Sie Ihre PIN ein und klicken Sie auf OK. Ihre Signatur wird im Dokument erscheinen.

Sichern Sie Word-Dokumente mit den Signaturzertifikaten von Sectigo

Für einfache Dokumente kann eine getippte Signatur, ein gescanntes Signaturbild oder eine Word-Signaturzeile ausreichend sein. Für Dokumente mit höheren Vertrauensanforderungen bietet eine zertifikatsgestützte digitale Signatur einen stärkeren Schutz.

Die Dokumentensignaturzertifikate von Sectigo helfen Einzelpersonen und Organisationen dabei, wichtige Dateien mit vertrauenswürdigen digitalen Signaturen zu versehen, und unterstützen so die Dokumentenintegrität, Compliance-Anforderungen und die Nichtabstreitbarkeit. „Document Signing Professional“ richtet sich an selbstständige Fachleute, die unter ihrem eigenen Namen signieren, während „Document Signing Enterprise“ Organisationen unterstützt, die eine verwaltete Dokumentensignatur für mehrere Benutzer benötigen.

Kontaktieren Sie Sectigo noch heute, um zu erfahren, welche Lösung für Ihre Anforderungen die richtige ist.

Die meisten KI-Workflows folgen einem bekannten Muster: Abfragen, Analysieren, Empfehlen. Das funktioniert für die Sichtbarkeit. Es ist keine Lösung für die Ausführung.

Bei Zertifikatsoperationen ist die Ausführung die Arbeit: Ausstellen, Erneuern, Widerrufen, Genehmigen. Wenn sich diese Vorgänge verzögern, entsteht ein verstecktes Risiko, und Unternehmen müssen sich mit Zertifikaten herumschlagen, von denen sie nicht wussten, dass sie ablaufen, was zu Ausfällen und Compliance-Problemen führt.

Dies führt zu einer Diskrepanz, bei der KI zwar Probleme erkennen kann, Menschen aber immer noch zwischen den Systemen wechseln müssen, um sie zu lösen, da Erkenntnisse allein das Risiko nicht verringern. Die Ausführung tut es.

Warum die Unternehmensführung zum Hindernis wird

Das Zögern, diese Lücke zu schließen, ist berechtigt. Der direkte Zugriff zwischen KI-Agenten und der Zertifikatsinfrastruktur birgt Risiken wie rollenbasierte Zugriffsinkonsistenzen, schwache Aufgabentrennung und fragmentierte Prüfpfade. Unternehmen sollten nicht zwischen Kontrolle und Geschwindigkeit wählen müssen.

Was fehlt, ist ein Modell, bei dem KI innerhalb bestehender Governance-Rahmenwerke arbeitet. Nicht um sie herum und auch nicht parallel, sondern in ihnen.

Dies erfordert eine sichere Ausführungsebene, die Berechtigungen, Genehmigungen und Prüfbarkeit beibehält und gleichzeitig Maßnahmen ermöglicht.

Ein geregelter Ansatz für die KI-Ausführung

Der Model Context Protocol (MCP)-Server von Sectigo für den Sectigo Certificate Manager (SCM) führt diese Ausführungsebene ein, und zwar als erster produktionsreifer, weltweit verfügbarer MCP-Server für die Verwaltung des Lebenszyklus von Zertifikaten.

Unser MCP-Server fungiert als sichere, gehostete Verbindung zwischen KI-Agenten und SCM und ermöglicht Zertifikatsoperationen in natürlicher Sprache, ohne die Governance zu umgehen. Um es klar zu sagen: Es handelt sich nicht um einen KI-Assistenten, einen Ersatz für SCM oder eine uneingeschränkte Automatisierung.

Stattdessen ermöglicht MCP Server for SCM die Ausführung von KI-gesteuerten Aktionen, wie z. B. die Identifizierung von ablaufenden Zertifikaten, die Initiierung von Erneuerungen oder den Widerruf von gefährdeten Zertifikaten, über die bestehenden Richtlinien, Genehmigungen und Prüfkontrollen von SCM.

Hinter den Kulissen ist der Workflow einfach und kontrolliert:

• KI-Agenten stellen eine Verbindung über MCP Server her (über ein berechtigungsbasiertes Token)
• Anfragen werden über SCM Admin APIs ausgeführt
• SCM bleibt das System der Aufzeichnung für Berechtigungen, Genehmigungen und Audit-Protokollierung

Das Interaktionsmodell entwickelt sich weiter. Das Governance-Modell ändert sich nicht.

Entwickelt für Skalierung ohne zusätzliche Komplexität

Dieser Ansatz entspricht der Art und Weise, wie Unternehmensteams heute arbeiten müssen - in großem Umfang, ohne zusätzliche Reibungsverluste:

• KI zu Ihren Bedingungen: Verwenden Sie vorhandene KI-Agenten, einschließlich Copilot, Claude oder andere MCP-kompatible Agenten.
• Kein Infrastruktur-Overhead: MCP Server wird vollständig von Sectigo gehostet
• Die Governance bleibt intakt: Rollenbasierter Zugriff, Genehmigungsworkflows und Prüfpfade bleiben erhalten
• Die Ausführung ersetzt die Beobachtung: KI wechselt von reinen Leseeinblicken zu kontrolliertem Handeln im gesamten Zertifikatsbetrieb

So sieht die orchestrierte Automatisierung in der Praxis aus: KI-gesteuerte Ausführung innerhalb definierter Kontrollen, nicht außerhalb davon.

Von der Einsicht zur orchestrierten Ausführung

Unternehmen brauchen nicht noch mehr Tools. Sie brauchen KI, die innerhalb der Systeme arbeitet, denen sie bereits vertrauen.

MCP Server for SCM markiert den Übergang von unverbundenen Experimenten zu einer gesteuerten Ausführung, bei der KI agieren und nicht nur informieren kann, ohne die Kontrolle zu verlieren.

Dies ist nur der Anfang. Mit der Weiterentwicklung von Zertifikats-Ökosystemen werden auch die Möglichkeiten der Integration von KI in diese Systeme zunehmen und mit den Anforderungen der Unternehmen wachsen.

In der nächsten Phase des Lebenszyklusmanagements von Zertifikaten geht es nicht darum, Intelligenz hinzuzufügen. Vielmehr geht es darum, sie sicher, vorhersehbar und in großem Umfang zu nutzen.