SSL/TLS für sichere Websites

Was ein SSL/TLS-Zertifikat tat­säch­lich leistet

Die Bezeichnung SSL ist weiterhin verbreitet, moderne Verbindungen nutzen jedoch TLS. Ein Zertifikat bindet einen öffentlichen Schlüssel an einen Domainnamen und ermöglicht HTTPS. Dadurch werden Vertraulichkeit und Integrität der übertragenen Daten geschützt. Es bestätigt nicht, dass die Anwendung selbst frei von Schwachstellen ist.

DV, OV und EV - das passende Zertifikat auswählen

Stimmen Sie den Validierungstyp auf Zweck, Beschaffungsprozess und Anforderungen des Auftraggebers ab. Jedes öffentlich vertrauenswürdige Zertifikat kann bei korrekter Serverkonfiguration eine verschlüsselte Verbindung bereitstellen. Der wesentliche Unterschied liegt im Umfang der Antragstellerprüfung, nicht in der Stärke des Verschlüsselungsalgorithmus.

• DV bestätigt die Kontrolle über eine Domain und reicht oft für Informationsseiten und automatisierte Erneuerung aus.
• OV ergänzt den Ausstellungsprozess um die Prüfung der Organisation und kann durch Enterprise-Richtlinien verlangt werden.
• EV nutzt eine erweiterte Organisationsprüfung, das Vertrauen der Nutzer sollte aber nicht nur auf einer Browseranzeige beruhen.
• Ein Wildcard-Zertifikat vereinfacht die Verwaltung von Subdomains, macht aber den Schutz des privaten Schlüssels und die Kontrolle der Zertifikatsausstellung besonders wichtig.
• Für mehrere Domains bieten sich SAN, ACME-Automatisierung und ein eindeutig benannter Prozessverantwortlicher an.

Die TLS-Konfiguration ist wichtiger als das Vorhandensein eines Zertifikats

Ein gültiges Zertifikat hilft nicht, wenn der Server schwache Protokolle zulässt, eine unvollständige Kette sendet oder Ressourcen über HTTP lädt. Prüfen Sie die Konfiguration als Ganzes und wiederholen Sie den Test nach Änderungen an Reverse Proxy, CDN, Load Balancer oder Hosting.

• Erzwingen Sie eine direkte HTTP-Weiterleitung auf das kanonische HTTPS-Ziel und entfernen Sie Mixed Content.
• Nutzen Sie TLS 1.2 und TLS 1.3 mit sicheren Cipher Suites und korrekt angeordneten Zwischenzertifikaten.
• Aktivieren Sie HSTS erst nach Prüfung aller Subdomains und Planung der Folgen eines langen max-age.
• Schützen Sie den privaten Schlüssel, begrenzen Sie administrative Zugriffe und planen Sie den Austausch bei Verdacht auf Kompromittierung.
• Prüfen Sie das Sperrstatusverfahren des Ausstellers, etwa CRL oder OCSP, sowie Certificate Transparency, Ablaufdatum und Hostnamen.

HTTPS ersetzt nicht den Schutz der Web­an­wen­dung

TLS schützt den Übertragungskanal, blockiert aber weder ein anfälliges Plugin noch ein kompromittiertes Administratorkonto, SQL Injection, fehlerhafte Autorisierung oder Schadcode auf dem Server. Eine Website benötigt mehrschichtige Kontrollen und einen Betriebsprozess, der Änderungen erkennt, bevor Kunden und Reputation betroffen sind.

Zertifikatsmonitoring und Abnahmenachweise

Der Prozess endet nicht mit der Ausstellung des Zertifikats. Das Unternehmen sollte wissen, wer Domain, DNS, Server, Schlüssel und Erneuerung verantwortet. Alarme müssen frühzeitig eintreffen, und der Test nach einer Erneuerung sollte alle öffentlichen Namen und kritischen Pfade umfassen.

• Inventarisieren Sie Domains, Subdomains, Zertifikate, Aussteller, Ablaufdaten und Verantwortliche.
• Alarmieren Sie bei Ablauf, Kettenfehlern, Ausstellerwechseln und unerwarteten Certificate-Transparency-Einträgen.
• Testen Sie Formulare, Anmeldung, Zahlung, APIs und externe Ressourcen nach einem Zertifikatswechsel.
• Dokumentieren Sie TLS-Versionen, HSTS, Sicherheitsheader, Weiterleitungen und Mixed-Content-Fehler.
• Pflegen Sie ein Notfallverfahren zum Austausch von Zertifikat und Schlüssel ohne längeren Ausfall.

Verwandte Bereiche der Website-Sicherheit

Ein Zertifikat ist ein Bestandteil des Website-Betriebs. Den besten Schutz bieten sichere Serverkonfiguration, Anwendungstests, Absicherung des Datenverkehrs und Verfügbarkeitsmonitoring gemeinsam.