SSL Certificate Transparency (CT) ist ein öffentliches System, in dem alle ausgestellten SSL-Zertifikate in durchsuchbaren, verschlüsselten Protokollen erfasst werden. Dadurch kann jeder überprüfen, welche Zertifikate für eine Domain ausgestellt wurden, auch durch unbefugte oder fehlerhaft arbeitende Zertifizierungsstellen. Browser wie Chrome verlangen CT für öffentlich vertrauenswürdige Zertifikate. Dieser Artikel erklärt, was CT genau bewirkt, wie es funktioniert und was es für Website-Betreiber bedeutet.
Was ist Certificate Transparency genau
Certificate Transparency ist ein Standard, der dafür sorgt, dass jede Ausstellung eines SSL/TLS-Zertifikats öffentlich sichtbar in unabhängigen Protokollen erfasst wird. Früher konnten Zertifizierungsstellen (CAs) Zertifikate ausstellen, ohne dass der Domaininhaber davon erfuhr. Dies führte in der Vergangenheit zu Vorfällen, bei denen fälschlicherweise Zertifikate für bekannte Domains ausgestellt wurden, was für Phishing oder Man-in-the-Middle-Angriffe missbraucht werden konnte.
Mit CT wird jedes neue Zertifikat zu einem oder mehreren öffentlichen Logs hinzugefügt. Diese Logs sind append-only: Einmal hinzugefügte Daten können nicht mehr entfernt oder geändert werden. Das macht das System zuverlässig und überprüfbar für jeden, von Sicherheitsforschern bis hin zu Domaininhabern selbst.
Wie funktioniert das System
Wenn eine Zertifizierungsstelle ein SSL-Zertifikat ausstellt, sendet sie die Zertifikatsdaten an ein oder mehrere CT-Logs. Das Log liefert einen sogenannten Signed Certificate Timestamp (SCT) zurück, einen kryptografischen Nachweis, dass das Zertifikat registriert wurde. Dieser SCT wird anschließend zusammen mit dem Zertifikat ausgeliefert, beispielsweise eingebettet im Zertifikat selbst oder über eine TLS-Erweiterung.
Moderne Browser prüfen beim Aufbau einer gesicherten Verbindung, ob gültige SCTs vorhanden sind. Fehlt dieser Nachweis, kann der Browser eine Warnung anzeigen oder die Verbindung als nicht vertrauenswürdig kennzeichnen. Auf diese Weise wird CT automatisch durchgesetzt, ohne dass ein Website-Besucher davon etwas bemerkt, solange das Zertifikat korrekt ausgestellt wurde.
Warum ist das wichtig für deine Website
Für Domaininhaber bietet CT die Möglichkeit zu sehen, ob unerwartet Zertifikate für ihre Domain ausgestellt wurden. Das ist beispielsweise relevant, wenn jemand Zugriff auf einen Teil deiner Infrastruktur erhält und ohne dein Wissen ein Zertifikat beantragt. Durch die Überwachung der CT-Logs bemerkst du das schnell und kannst Maßnahmen ergreifen, etwa das Widerrufen des unerwünschten Zertifikats.
Darüber hinaus ist CT inzwischen eine strikte Anforderung großer Browser für öffentlich vertrauenswürdige Zertifikate. Ein Zertifikat ohne gültigen CT-Nachweis wird schlicht nicht als sicher erkannt. Das bedeutet, dass du als Website-Betreiber selbst kaum etwas tun musst: solange deine Zertifikate über eine anerkannte CA ausgestellt werden, erfolgt die Protokollierung automatisch.
CT-Logs selbst überprüfen
Du kannst einfach selbst überprüfen, welche Zertifikate für deine Domain in CT-Logs verzeichnet sind. Es gibt Online-Suchdienste, mit denen du nach Domainnamen suchen und sofort sehen kannst, welche Zertifikate wann ausgestellt wurden, von welcher CA und mit welcher Gültigkeitsdauer. Das ist hilfreich, um veraltete oder unbekannte Zertifikate aufzuspüren.
Suche deinen Domainnamen
Nutze einen CT-Logs-Suchdienst und gib deinen Domainnamen ein, um alle registrierten Zertifikate zu sehen.
Überprüfe die ausstellende Partei
Erkennst du die Zertifizierungsstelle nicht oder stimmt der Gültigkeitszeitraum nicht, untersuche das näher.
Wiederhole dies regelmäßig
Überprüfe deine CT-Logs regelmäßig, besonders bei Domains mit mehreren Subdomains oder wechselnden Verwaltern.
Ergreife Maßnahmen bei Abweichungen
Kontaktiere bei einem unbekannten Zertifikat deinen Hosting-Provider oder die CA, um das Zertifikat widerrufen zu lassen.
Verwaltest du E-Mail und Website beim selben Anbieter, ist es auch sinnvoll, auf die Sicherheit deiner geschäftlichen E-Mail zu achten, da E-Mail-Verkehr oft getrennt vom Website-Verkehr abgesichert wird. Überlegst du, zu einem Anbieter zu wechseln, der dies standardmäßig gut regelt, dann schau dir die Möglichkeiten an, zu Tandata zu wechseln.
Häufig gestellte Fragen
Muss ich selbst etwas für Certificate Transparency einrichten?
Nein, CT wird automatisch von der Zertifizierungsstelle und dem Browser verarbeitet. Du musst hierfür als Website-Betreiber nichts konfigurieren.
Kann ich sehen, welche Zertifikate für meine Domain ausgestellt wurden?
Ja, über öffentliche CT-Log-Suchdienste kannst du nach Domainnamen suchen und alle registrierten Zertifikate einsehen.
Was passiert, wenn ein Zertifikat nicht in einem CT-Log steht?
Moderne Browser vertrauen dem Zertifikat dann nicht und zeigen eine Warnung an oder blockieren die Verbindung.
Hat Certificate Transparency Einfluss auf die Geschwindigkeit meiner Website?
Nein, die Überprüfung der SCTs erfolgt blitzschnell beim Aufbau der gesicherten Verbindung und ist für Besucher nicht spürbar.
Gilt Certificate Transparency auch für kostenlose SSL-Zertifikate?
Ja, auch kostenlose Zertifikate anerkannter CAs werden in CT-Logs protokolliert, genau wie kostenpflichtige Zertifikate.
Fazit
Certificate Transparency sorgt dafür, dass SSL-Zertifikate öffentlich überprüfbar sind, wodurch Missbrauch und unautorisierte Zertifikatsausstellung früher ans Licht kommen. Als Website-Betreiber musst du dafür kaum etwas tun, solange deine Zertifikate über eine anerkannte CA ausgestellt werden. Möchtest du das automatisch gut geregelt haben, inklusive kostenlosem SSL und zuverlässiger Ausstellung? Dann schau dir unser Webhosting oder die Wissensdatenbank für weitere Hintergrundinformationen an.