Was ist ein SSL-Zertifikat?
Ein SSL-Zertifikat ist ein digitales Zertifikat, das eine sichere Kommunikation zwischen einer Website und ihren Besuchern ermöglicht. Es verschlüsselt die Daten, die zwischen der Website und dem Browser des Nutzers ausgetauscht werden, um sie vor unbefugtem Zugriff zu schützen. SSL steht für Secure Sockets Layer.
Ein SSL-Zertifikat ist ein digitales Zertifikat, das von Zertifizierungsstellen (Certificate Authorities, CA) für Websites ausgestellt wird, um deren Identität zu authentifizieren und eine sichere Verbindung zwischen Webseiten und Webbrowsern zu ermöglichen. SSL-Zertifikate schaffen Vertrauen im Internet, da sie zeigen, dass der Verkehr zwischen dem Webbrowser und der Website verschlüsselt ist.
Diese sichere Verbindung wird durch ein Schloss-Symbol in der Adressleiste des Browsers und das „https“-Protokoll in der URL der Website angezeigt. SSL-Zertifikate sind für Online-Transaktionen, wie z. B. E-Commerce-Käufe, unerlässlich, da sie gewährleisten, dass sensible Informationen, wie Kreditkartendaten, sicher übertragen werden. Allerdings besteht auch die Gefahr, dass SSL-Zertifikate ein falsches Sicherheitsgefühl vermitteln, da auch bösartige Websites SSL-Zertifikate erhalten können. Zum Beispiel gab es einen Anstieg von Phishing-Websites, die von Behörden ausgestellte Domain Validated (DV)-Zertifikate erhalten haben, die nicht überwachen, welche Websites Zertifikate bekommen. Zudem können SSL-Zertifikate Websites nicht vor bösartigen Angriffen wie SQL-Injection oder Malware schützen.
Wie funktioniert ein SSL-Zertifikat?
Ein SSL-Zertifikat funktioniert, indem es Verschlüsselungsalgorithmen verwendet, um die Daten zu verschlüsseln, die zwischen einem Webbrowser und einer Website ausgetauscht werden.
Wenn die Daten verschlüsselt sind, ist es fast unmöglich für einen Angreifer, sie zu lesen. Zu diesen Daten gehören Passwörter, Namen und finanzielle Informationen.
Hier ist der fünfstufige Prozess, wie ein SSL-Zertifikat funktioniert:
- Ein Browser versucht, eine Verbindung zu einer Website mit einem SSL-Zertifikat herzustellen.
- Der Server der Website sendet eine Kopie seines SSL-Zertifikats an den Browser zur Validierung. Der öffentliche Schlüssel der Website auf dem Zertifikat hilft, die Daten während der Sitzung zu verschlüsseln.
- Der Browser validiert das Zertifikat, um sicherzustellen, dass es authentisch, nicht widerrufen und nicht abgelaufen ist. Nach der Validierung verwendet der Browser den öffentlichen Schlüssel des Servers, um einen verschlüsselten symmetrischen Schlüssel zu erstellen und sendet ihn an den Server.
- Der Server verwendet seinen privaten Schlüssel, um den symmetrischen Sitzungsschlüssel zu entschlüsseln. Er signalisiert, dass er bereit ist, eine Verschlüsselungssitzung zu starten, indem er eine Bestätigung zurücksendet, die mit dem Sitzungsschlüssel verschlüsselt ist.
- Der Browser und die Website stellen nun eine sichere und verschlüsselte Verbindung mit dem Sitzungsschlüssel her.
Der gesamte Prozess wird auch als SSL-Handshake bezeichnet und erfolgt nahezu augenblicklich. Nachdem das SSL-Zertifikat die Verbindung gesichert hat:
- Ein Schloss-Symbol erscheint in der Adressleiste des Browsers direkt vor der URL.
- Die URL wird durch das Kürzel HTTPS (HyperText Transfer Protocol Secure) eingeleitet.
Was beinhalten SSL-Zertifikate?
-
Domainname: Der Domainname oder die Domainnamen, für die das SSL-Zertifikat gültig ist.
-
Ausstellungsdetails: Das Gerät oder die Person, der das SSL-Zertifikat ausgestellt wurde, und die Zertifizierungsstelle, die es ausgestellt hat.
-
Digitale Signatur: Die digitale Signatur, die die Echtheit des Zertifikats überprüft.
-
Daten: Das Ausstellungs- und Ablaufdatum des Zertifikats.
-
Öffentlicher Schlüssel: Ein SSL-Zertifikat enthält einen öffentlichen Schlüssel, während der private Schlüssel privat bleibt.
Wofür wird ein SSL-Zertifikat verwendet?
Ein SSL-Zertifikat wird verwendet, um eine sichere Verbindung zwischen einem Browser und einer Website zu erstellen. Das Zertifikat hilft, alle Daten zu schützen, die zwischen einem Gerät und dem Server einer Website ausgetauscht werden. Neben der Verschlüsselung von Verbindungen tragen SSL-Zertifikate auch dazu bei, die Sicherheit der Website-Benutzer zu gewährleisten. Außerdem stärkt ein SSL-Zertifikat das Vertrauen in eine Website.
Warum brauche ich ein SSL-Zertifikat für meine Website?
Ein SSL-Zertifikat sollte niemals als das einzige Instrument für die Cybersicherheit einer Website betrachtet werden. Dennoch benötigen Sie ein SSL-Zertifikat für Ihre Website aus folgenden Gründen:
-
Datenschutz: Eine SSL-Verschlüsselung hilft, die Daten, die zwischen Ihrer Website und Ihren Besuchern ausgetauscht werden, vor Cyberkriminellen zu sichern. Dies ist nicht nur gut fürs Geschäft, sondern kann auch dazu beitragen, dass Ihre Online-Plattform den Datenschutzgesetzen entspricht.
-
Vertrauen: Der durchschnittliche Internetnutzer fühlt sich sicherer beim Surfen auf Ihrer Website, wenn er das Schloss-Symbol und das HTTPS-Kürzel sieht, die eine sichere Verbindung signalisieren.
-
SEO: Websites mit SSL-Zertifikaten erzielen höhere Platzierungen in Suchmaschinen, da sie als sicher wahrgenommen werden. Tatsächlich warnen einige Browser sogar vor http-Websites und raten Benutzern davon ab, solche Websites zu besuchen, da sie nicht sicher sind.
Arten von SSL-Zertifikaten
Ihre Website kann mehrere verschiedene Typen von SSL-Zertifikaten erhalten. Jedes Zertifikat hat seine eigenen Stärken, Verifizierungsprozesse und Kosten.
Domain Validated (DV) Zertifikate
DV-Zertifikate sind tendenziell kostengünstiger als EV- oder OV-SSL-Zertifikate. Während sie in der Regel die preiswerteste Option darstellen, bieten sie nur grundlegende Verifizierung. DV-Zertifikate werden typischerweise von Websites mit geringem Risiko verwendet, wie z. B. Foren oder Blog-Seiten.
Extended Validation (EV) Zertifikate
Ein Extended Validation-Zertifikat erfordert die höchste Validierungsstufe und ist in der Regel die teuerste Art von SSL-Zertifikaten. Bekannte Websites, die Online-Shopping oder E-Commerce anbieten, verwenden normalerweise diesen Zertifikatstyp. Zusätzlich zum Schloss-Symbol zeigt ein EV-SSL-Zertifikat den Namen und das Land einer Organisation in der Adressleiste an.
Organization Validated (OV) Zertifikate
Wie EV-Zertifikate bieten auch OV-Zertifikate ein höheres Validierungsniveau im Vergleich zu DV-SSL-Zertifikaten. OV-Zertifikate zeigen ebenfalls die Informationen des Website-Inhabers in der Adressleiste an.
Wildcard-SSL-Zertifikate
Ein Wildcard-SSL-Zertifikat sichert eine Hauptdomain und eine unbegrenzte Anzahl von Subdomains mit einem Zertifikat. Unternehmen mit mehreren Subdomains unter einer einzigen Domain neigen dazu, diese Art von Zertifikat zu erwerben, um Kosten zu sparen.
Multi-Domain-SSL-Zertifikate
Multi-Domain-SSL-Zertifikate gehen einen Schritt weiter als Wildcard-SSL-Zertifikate. Sie erlauben es, mit einem einzigen Zertifikat viele Domains und Subdomains zu sichern. Diese Art von Zertifikaten ist ideal für Organisationen mit mehreren Webseiten.
SSL-Zertifikat kaufen: Wie kauft man ein SSL-Zertifikat?
Beginnen Sie mit der Recherche zu verschiedenen SSL-Zertifikaten und wählen Sie jenes, das zu Ihren Bedürfnissen passt. Wenn Sie z.B. eine einzige Domain mit vielen Subdomains haben, benötigen Sie möglicherweise ein Wildcard-SSL-Zertifikat. Alternativ können Sie für Ihre persönliche Seite ein DV-Zertifikat wählen.
Nachdem Sie Ihren Zertifikatstyp ausgewählt haben, suchen Sie nach Ihrem Zertifikat, indem Sie eine Liste von Zertifizierungsstellen (CA) durchsehen. Die Zertifikate von Zertifizierungsstellen variieren im Preis. Während einige Zertifikate kostenlos sind, können andere Hunderte bis Tausende von Dollar kosten.
Bereiten Sie Ihren Server vor, um sicherzustellen, dass Ihr WHOIS-Eintrag mit Ihrem Antrag bei der CA übereinstimmt. Als Nächstes müssen Sie einen Certificate Signing Request (CSR) generieren. Ihr CSR enthält Ihre Daten und Ihren öffentlichen Schlüssel. Nach dem Einreichen Ihres CSR bei Ihrer CA müssen Sie möglicherweise weitere Unterlagen bereitstellen, wie den Nachweis des Domain-Besitzes.
Nachdem Sie die Zertifikatsdateien erhalten haben, können Sie Ihr SSL installieren. Der Prozess hängt von Ihrem Servertyp ab. Kontaktieren Sie Ihren Website-Anbieter, wenn Sie Hilfe benötigen. Später müssen Sie Ihre Website für die Nutzung von HTTPS konfigurieren. Sie können einen SSL-Checker verwenden, um sicherzustellen, dass Ihr Zertifikat authentisch und korrekt installiert ist.
SSL-Zertifikat erneuern: Wie erneuert man ein SSL-Zertifikat?
SSL-Zertifikate haben ein Ablaufdatum. Planen Sie im Voraus, um sicherzustellen, dass Ihre SSL-Erneuerung rechtzeitig erfolgt. Bei Verzögerungen bei der Erneuerung kann Ihr Website das Vertrauenssiegel verlieren.
Die Erneuerung eines SSL-Zertifikats verläuft ähnlich wie der Kauf eines neuen Zertifikats. Sie müssen einen neuen CSR generieren und bei Ihrer CA einreichen. Sie müssen auch die aktualisierten SSL-Zertifikatsdateien auf Ihrem Server wie zuvor installieren und mit einem SSL-Checker sicherstellen, dass Ihr Zertifikat korrekt installiert ist.
SSL-Zertifikatspreise: Wie viel kostet ein SSL-Zertifikat?
Die Kosten für SSL-Zertifikate variieren stark. Während einige SSL-Zertifikate kostenlos verfügbar sind, können Enterprise-Level-SSL-Zertifikate Tausende von Dollar pro Jahr kosten. Die Kosten eines SSL-Zertifikats werden durch die Anzahl der Domains und Subdomains, den Zertifikatstyp, das Sicherheitsniveau und den Ruf der Zertifizierungsstelle (CA) beeinflusst.
TLS vs. SSL-Zertifikat: Der Unterschied zwischen TLS und SSL
Während SSL (Secure Sockets Layer) und TLS (Transport Layer Security) beide kryptografische Protokolle sind, ist TLS die aktualisierte Version. TLS gilt als sicherer und moderner mit einem besseren TLS-Handshake. TLS ist auch abwärtskompatibel und kann sich mit einem SSL-Server verbinden.
Die Begriffe „SSL“ und „TLS“ werden im Internet häufig synonym verwendet, obwohl letztere die Ablösung der ersteren ist. Viele Zertifikatanbieter bezeichnen ihre TLS-Zertifikate sogar als SSL-Zertifikate.
Wie überprüft man, ob eine Website ein SSL-Zertifikat hat?
https://
Überprüfen Sie, ob die Adresse der Website mit der Abkürzung „HTTPS“ beginnt. HTTPS steht für Hypertext Transfer Protocol Secure.
Verschluss-Symbol
Eine Website mit einem SSL-Zertifikat sollte ein Verschlusssymbol in der Adressleiste haben. Sie können auf das Verschlusssymbol klicken, um mehr über die ausstellende SSL-Behörde, das Ablaufdatum und den Website-Inhaber zu erfahren.
Grüne Adressleiste
Die grüne Adressleiste war ein SSL-Indikator für Websites mit EV-SSL-Zertifikaten. Allerdings halten große Browserentwickler wie Apple und Google sie mittlerweile für veraltet.
Werkzeuge
Einige Websites und Browsererweiterungen können überprüfen, ob eine Website ein gültiges SSL-Zertifikat hat. Zum Beispiel können Sie die URL einer Website in den SSL Checker von SSL Shopper eingeben, um mehr über deren Zertifizierung zu erfahren.
Was ist ein SSL-Zertifikatsfehler?
Ein SSL-Zertifikatsfehler kann auftreten, wenn ein Problem mit dem Zertifikat einer Website vorliegt. Ein SSL-Zertifikatsfehler kann aus mehreren Gründen auftreten. Während einige Fehler auf harmlose Gründe zurückzuführen sein können, können andere auf böswillige Faktoren zurückzuführen sein. Es ist am besten, vorsichtig zu sein, wenn Sie eine Website öffnen, die einen SSL-Zertifikatsfehler anzeigt.
Abgelaufenes SSL-Zertifikat
Wie erwähnt, haben SSL-Zertifikate Ablaufdaten. Manchmal können Website-Inhaber vergessen, ihr SSL-Zertifikat zu erneuern. Ein abgelaufenes SSL-Zertifikat führt dazu, dass Ihr Browser eine Fehlermeldung anzeigt.
SSL-Zertifikat wird nicht vertrauenswürdig
Jeder Browser kann auf eine Liste vertrauenswürdiger SSL-Zertifikatanbieter zugreifen. Ihr Browser kann Ihnen mitteilen, dass das SSL-Zertifikat einer Website nicht vertrauenswürdig ist, wenn die ausstellende Stelle der Website nicht auf der Liste steht oder verdächtig ist. Beispielsweise kann ein Fehler auftreten, wenn das Zertifikat selbst signiert oder von einer betrügerischen Ausstellungsstelle bezogen wurde.
Fehlkonfiguriertes SSL
Nachdem ein SSL-Zertifikat erhalt wurde, muss der Website-Besitzer es korrekt installieren und konfigurieren. Ein fehlkonfiguriertes SSL-Zertifikat kann zu einem Fehler auf der Website führen.
Namensinkongruenz
SSL-Zertifikate werden für bestimmte Domains und Subdomains ausgestellt. Eine Namensabweichung in den Aufzeichnungen führt dazu, dass ein Browser eine Fehlermeldung anzeigt.
SSL-Zertifikat widerrufen
SSL-Zertifikataussteller können ein Zertifikat vor dessen Ablaufdatum widerrufen, wenn dessen privater Schlüssel kompromittiert wurde oder die Domain geschlossen ist. Eine Website kann auch beantragen, dass ihr Zertifikat widerrufen wird. Unabhängig davon, warum das SSL-Zertifikat widerrufen wurde, führt es zu einem Fehler.
Sind SSL-Zertifikate kostenlos?
Obwohl nicht alle SSL-Zertifikate kostenlos sind, sind einige tatsächlich kostenlos. Die kostenlosen SSL-Zertifikate sind in der Regel Domain-validierte (DV) Zertifikate. Sie eignen sich am besten für persönliche Seiten oder kleine Unternehmen. Größere Websites sollten bezahlte Zertifikate erhalten, die mehr Sicherheit und mehr Funktionen als DV-SSL-Zertifikate bieten.
Kann eine Website ohne SSL gehackt werden?
Ein SSL-Zertifikat sichert nur die Verbindung zwischen einem Benutzer und einer Website. Eine Website kann mit oder ohne SSL-Zertifizierung auf verschiedene Weise gehackt werden. Bedrohungsakteure können Sicherheitslücken, schwache Anmeldeinformationen, schlechte Codierung, veraltete Software und andere Mittel nutzen, um eine Website zu hacken.
Techniken zum Website-Hacking umfassen:
-
SQL-Injection.
-
Cross-Site Scripting (XSS).
-
Brute-Force-Angriffe wie diesen rekordbrechenden DDoS-Angriff.
-
Malware-Überfälle.
-
Phishing-Aktionen gegen Website-Mitarbeiter.
Wie lange sind SSL-Zertifikate gültig?
Es gab eine Zeit, in der SSL-Zertifikate mit einer Laufzeit von fünf Jahren ausgestellt werden konnten. Diese Zeitspanne wurde jedoch mehrfach angepasst. Seit Ende 2020 kann ein SSL-Zertifikat nicht mehr für mehr als 13 Monate ausgestellt werden.
Bedeutet ein SSL-Zertifikat, dass eine Website sicher zu benutzen ist?
Obwohl ein SSL-Zertifikat bedeutet, dass Ihre Verbindung zu einer Website sicher ist, bedeutet das nicht unbedingt, dass die Website sicher zu nutzen ist. Beispielsweise können auch bösartige Websites einige Arten von SSL-Zertifikaten, wie DV-Zertifikate, erhalten.
Obwohl Phishing-Websites DV-Zertifikate haben können, sind sie darauf ausgelegt, vertrauliche Informationen wie Namen, Adressen, Passwörter und Kreditkartendaten zu stehlen. Phishing-Seiten können legitim aussehen, aber grammatikalische Fehler, minderwertige Grafiken, schlechtes Design oder Angebote, die zu gut erscheinen, um wahr zu sein, aufweisen.
Darüber hinaus können Bedrohungsakteure legitime Websites mit SSL-Zertifikaten hacken, indem sie verschiedene Tools und Exploits verwenden.
Hier sind einige Schritte, die Ihnen helfen können, die Sicherheit einer Website zu überprüfen:
-
Verwenden Sie Malwarebytes Browser Guard, um Webseiten zu blockieren, die Malware, Betrügereien und andere bösartige Inhalte enthalten.
-
Abonnieren Sie einen Virtual Private Network (VPN)-Service, um Ihre Daten zu verschlüsseln und Ihre IP-Adresse zu verbergen. Sie können lernen, wie VPN funktioniert, um Ihre Daten zu verschlüsseln und Ihren Standort zu verschleiern.
-
Stellen Sie sicher, dass die URL der Website korrekt geschrieben ist. Eine Phishing-Website mit einem einfachen SSL-Zertifikat, die Walmart.com imitiert, kann eine sehr ähnliche Adresse haben, die sich nur um ein oder zwei Zeichen unterscheidet. Beispielsweise könnte es anstelle von Walmart.com Walmert.com oder Walmrat.com heißen.
-
Suchen Sie nach dem Verschlusssymbol und der HTTPS-Abkürzung in der Adressleiste, um sicherzustellen, dass es ein SSL-Zertifikat hat. Eine Website mit einem SSL-Zertifikat bietet zumindest eine verschlüsselte Verbindung.
-
Klicken Sie auf das Verschlusssymbol in der Adressleiste des Browsers, um die Identität des Website-Besitzers zu überprüfen und die Zertifizierungsstelle sowie das Ablaufdatum zu kontrollieren.
-
Untersuchen Sie den Ruf der Webseite mit einem Websitesicherheit-Checker.
Eine gehackte oder Phishing-Website kann Ihr System auch mit Malware infizieren. Holen Sie sich Malware-Schutz, um sicherzustellen, dass Ihre Computer und Geräte frei von bösartiger Software sind. Befolgen Sie diese Internetsicherheitstipps für mehr Sicherheit in Ihrem Browser.