Was für ein SSL-Zertifikat benötige ich?

Vor dem Erwerb eines SSL-Zertifikats steht oft die Frage im Zentrum, was für ein SSL-Zertifikat überhaupt benötigt wird. Viele https://de.wikipedia.org/wiki/Zertifizierungsstelle verwenden deren eigene Klassifizierungen (z.B. Class 1 - 5) zur Einstufung der angebotenen Produkte (SSL-Zertifikate). Wichtig zu verstehen ist, dass es bei diesen Klassifizierungen nicht um erhöhte Sicherheit geht, sondern darum, wie vertrauenswürdig ein ausgestelltes SSL-Zertifikat ist. Aus rein technischem Aspekt, ist ein Zertifikat, welches von einer Zertifizierungsstelle als Class 1 angeboten wird, genau so sicher, wie ein viel teureres Class 5 Zertifikat.

Die Klassifizierung wird verwendet um die Vertrauenswürdigkeit eines Zertifikats zu bestimmen. Dazu gibt es die folgenden Verifikationsverfahren (siehe https://en.wikipedia.org/wiki/Public_key_certificate#Validation_levels), um die Vertrauenswürdigkeit zu bestimmen und zu erhöhen:

Domain validation

Ein Domain Validation (DV) Zertifikat besagt, dass der Eigentümer des Zertifikats berechtigt ist, die angeforderte Domain zu verwalten. Dies kann z.B. der Administrator der Website sein, der Cloud oder Hosting Anbieter oder auch nur der Domain-Besitzer.

Organization validation

Ein Organization Validation (OV) Zertifikat besagt, dass der Eigentümer des Zertifikats berechtigt ist, die angeforderte Domain zu verwalten und dass die Organisation des Eigentümers auf dessen rechtliche Existenz geprüft wurde.

Extended validation (EV)

Ein Extended Validation (OV) Zertifikat besagt, dass der Eigentümer des Zertifikats durch die Zertifizierungsstelle persönlich geprüft und identifiziert wurde. EV Zertifikate werden bei den meisten WebBrowsern durch eine grüne Adressleiste hervorgehoben.

Falls Ihre Zertifizierungsstelle der Wahl die Angebote mit Class 1-5 kennzeichnet, prüfen Sie, welche Art der Validierung (Domain, Organization oder Extended) das jeweilige Angebot beinhaltet, um die richtige Wahl treffen zu können.

Verschlüsselungsmechanismus

Sicherheitsrelevant ist bei SSL-Zertifikaten nicht die Klassifizierung, sondern die für die Generierung des SSL-Zertifikats eingesetzten Verschlüsselungsmechanismen. Je stärker der eingesetzte Verschlüsselungsmechanismus ist, desto sicherer ist das daraus generierte SSL-Zertifikat. So kann ein günstiges Class 1 SSL-Zertifikat mit starkem Verschlüsselungsmechanismus sicherer sein, als ein teures Class 5 Zertifikat, welches mit schwachem Verschlüsselungsmechanismus generiert wurde.

Beim Erwerb sollte also primär drauf geachtet werden, dass das SSL-Zertifikat mit einem starkem Verschlüsselungsmechanismus generiert wird. Zu beachten ist aber auch, dass je stärker der Verschlüsselungsmechanismus ist, desto langsamer wird später der Verbindungsaufbau zur gesicherten Website sein, da die Verifikation dadurch mehr Rechenzeit benötigt.

Heute gängige Empfehlung für den Private Key ist 2,048-bit RSA und für die Signatur SHA256. Mehr dazu auf https://github.com/ssllabs/research/wiki/SSL-and-TLS-Deployment-Best-Practices.