{"id":148765,"date":"2014-04-30T14:40:37","date_gmt":"2014-04-30T13:40:37","guid":{"rendered":"http:\/\/www.borncity.com\/blog\/?p=148765"},"modified":"2024-08-10T23:32:01","modified_gmt":"2024-08-10T21:32:01","slug":"ssl-zertifikate-was-man-wissen-sollte","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2014\/04\/30\/ssl-zertifikate-was-man-wissen-sollte\/","title":{"rendered":"SSL-Zertifikate: Was man wissen sollte"},"content":{"rendered":"

\"Sicherheit\"Sp\u00e4testens seit dem Auftauchen der OpenSSL-Heartbleed-L\u00fccke, den Snowden-Enth\u00fcllungen und den Phishing-Wellen sollten Anwender zumindest Basiskenntnisse \u00fcber das Thema SSL-Zertifikate haben. Und Anbieter ben\u00f6tigen Wissen zur Zertifkatsauswahl. M\u00f6glicherweise ist es aber f\u00fcr den einen oder andere Blog-Leser ganz hilfreich, eine kurze Einf\u00fchrung in die Thematik zu bekommen.<\/p>\n

<\/p>\n

In meinen Einsteigerb\u00fccher rund um das Thema Internet findet sich zwar immer eine Einf\u00fchrung in das Thema sichere Internetverbindung mit SSL-Zertifikaten. Die Basics hatte ich vor langer Zeit auch mal (in Zusammenarbeit mit Symantec) in diesem Beitrag<\/a> erkl\u00e4rt. Wer aber SSL-Zertifikate als Webseitenbetreiber einsetzen will, braucht eventuell mehr Informationen oder Unterst\u00fctzung bei der Auswahl der richtigen SSL-Zertifkate und Zertifikatsaussteller. Durch Zufall ist mir ein Text der PSW GROUP<\/a> aus Fulda mit einigen sinnvollen Informationen zum Thema in die Finger gefallen \u2013 den ich hier (mit kleinen Erg\u00e4nzungen\/\u00c4nderungen meinerseits) ver\u00f6ffentlichen darf. Vielleicht ist es f\u00fcr euch von Interesse, da sowohl die Nutzer- als auch die Anbieterseite angesprochen wird.<\/p>\n

Raus aus dem Zertifikate-Dschungel: Unterschiede bei SSL-Zertifikaten<\/h3>\n

\"\"Sp\u00e4testens seit Snowdens Enth\u00fcllungen \u00fcber die Geheimdienste, die die \"internette Welt\" abh\u00f6ren, ist f\u00fcr viele Anbieter von Webinhalten klar, dass sie ihre Webseiten sch\u00fctzen m\u00fcssen. SSL-Zertifikate k\u00f6nnen da helfen, geben diese doch einen entsprechenden Schutz, und hinterlassen beim Seitenbesucher aufgrund der Sichtbarkeit in der Adressleiste des Browsers ein sichereres Gef\u00fchl.<\/p>\n

Das Problem an der Sache: Es gibt zahlreiche Anbieter vieler verschiedener Arten von SSL-Zertifikaten. Der folgende Beitrag kl\u00e4rt dar\u00fcber auf, welches SSL-Zertifikat das richtige f\u00fcr den kleinen Blog, den mittelgro\u00dfen Online-Shop und die umfangreiche, sicherheitsrelevante Seite ist.<\/p>\n

Kleiner Grundlagen-Exkurs: Was sind eigentlich SSL-Zertifikate?<\/h3>\n

Fast jeder, der sich mit dem Internet besch\u00e4ftigt, hat den Begriff schon mal irgendwie geh\u00f6rt. Was aber steckt genau hinter einem SSL-Zertifikat? SSL ist die Abk\u00fcrzung von Secure Sockets Layer. Das SSL-Protokoll stellt einen Kanal dar, der es zwei Endpunkten (Client und Server) erm\u00f6glicht, den Datenaustausch sicher zu machen. Das Internet und die Daten\u00fcbertragung selbst ist eigentlich unsicher, da alles standardm\u00e4\u00dfig unverschl\u00fcsselt \u00fcbertragen wird. Sollen nun sensible Informationen von A (Webbrowser) nach B (Webserver) gesendet werden, setzt man SSL ein (die Kommunikation zwischen Server und Client wird dann verschl\u00fcsselt). Solange Dritte diese Verschl\u00fcsselung nicht knacken k\u00f6nnen (was bei der Heartbleed-L\u00fccke der Fall war), bleiben die \u00fcbertragenen Daten f\u00fcr diese unbefugten Dritte unlesbar. Um eine SSL-Verschl\u00fcsselung zu nutzen, muss der Anwender, der eine gesicherte Seite besucht, nichts unternehmen. Jede Aktivit\u00e4t geht vom Webseitenbetreiber bzw. dessen Server aus \u2013 und der Browser bzw. das Client-Programm sorgt f\u00fcr die korrekte Entschl\u00fcsselung der empfangenen Daten.<\/p>\n

Woran erkennt man als Websurfer eine SSL-verschl\u00fcsselte Verbindung?<\/h3>\n

Mit SSL verschl\u00fcsselte Webseiten werden \u00fcber das sogenannte https<\/em>-Transportprotokoll \u00fcbertragen (unverschl\u00fcsselte Webseiten \u00fcbertr\u00e4gt der Webserver per http-<\/em>Transportprotokoll zum Client).<\/p>\n

Der Webseitenbesucher erkennt eine SSL-gesicherte Verbindung an dem kleinen Sicherheitsschloss in der Adressleiste des Browsers. Weiter steht \"HTTPS\" in der Adressleiste. Wer also sich also bei Facebook, beim Online-Konto der Bank, beim E-Mail-Postfach, beim Amazon-Shop, bei eBay etc. an seinem Benutzerkonto anmeldet, sollte auf die Verwendung der SSL-Verschl\u00fcsselung achten.<\/p>\n

Sehen wir uns das an einem prominenten Beispiel der Blogosph\u00e4re an: Die Website netzpolitik.org <\/em>ist SSL-gesichert. Der Besucher sieht das Schloss und HTTPS anstelle von HTTP in der Adressleiste. Nachfolgender Screenshot zeigt das Adressfeld im Firefox \u2013 und wenn der Benutzer per Maus auf das Schloss klickt, sollte eine Einblendung mit den Details des SSL-Zertifikats erscheinen.<\/p>\n

\"\"<\/p>\n

Um weitere Hintergr\u00fcnde zu verstehen und tiefergehend in die Materie einzutauchen, kann sich die interaktive Visualisierung des Instituts f\u00fcr Telematik<\/a> ansehen (erfordert Flash).<\/p>\n

 <\/p>\n

Verschiedene SSL-Varianten<\/h3>\n

Wer als Betreiber eines Webangebots seine Inhalte per SSL abgesichert bereitstellen m\u00f6chte, ben\u00f6tigt ein SSL-Zertifikat von einem entsprechenden Anbieter (Trust-Stelle). \u00dcber das Zertifikat best\u00e4tigt der Aussteller (Trust-Stelle), dass sich hinter der abgerufenen Webseite der Zertifikatsbesitzer (z.B. die Bank, der Anbieter der Webseite etc.) steckt. Allerdings ist der Markt der SSL-Zertifikatsanbieter gro\u00df und un\u00fcbersichtlich geworden. Warum kostet das eine Zertifikat lediglich 15 Euro pro Jahr, das andere aber 299 Euro? Um das richtige Zertifikat zu finden, gilt es, den eigenen Bedarf zu kennen. SSL-Zertifikate lassen sich bei folgenden Kriterien unterscheiden:<\/p>\n